Urteil des Obersten Gerichtshofs zu datenschutzrechtlichen Fragen bei vernetzten Fahrzeugen

veröffentlicht am 14.11.2022

Verein für Konsumenteninformation klagte im Auftrag des Sozialministerium das Autoverleihunternehmen AVIS. In seiner Entscheidung stärkte der Oberste Gerichtshof den Grundsatz der Datenminimierung. 

Vernetzte Autos (connected cars) sind Fahrzeuge, die sich über ein Funknetz, beispielsweise WLAN, mit anderen Geräten oder Diensten verbinden und Daten austauschen können. Über das Funknetz ist das Fahrzeug mit dem Internet und damit mit zahlreichen Services externer Datenquellen verbunden. So sammeln vernetzte Fahrzeuge laufend Daten, die zum einen Informationen über den technischen Zustand des Fahrzeugs sowie über die Mobilitätsgewohnheiten der Nutzerin/des Nutzers liefern. Letztere erlauben Rückschlüsse auf das Nutzungsprofil, die Intensität der Nutzung, die Anzahl der Fahrer:innen oder sogar den Fahrstil. So können Einträge für zu hohe Motordrehzahl oder -temperatur und die Zahl der elektromotorischen Gurtstraffungen (wie oft wird heftig gebremst?) auf eine:n sportliche:n Fahrer:in hinweisen oder die Zahl der Verstellvorgänge des elektrischen Fahrersitzes Rückschlüsse auf die Anzahl der Fahrer:innen zulassen.

Datenverarbeitung ist Fahrer:innen oft nicht bewusst

Darüber, ob und wozu Hersteller und andere Dritte diese Daten verwenden, kann man nur spekulieren. Autofahrerinnen und Autofahrer wissen meist gar nicht, welche Fahrzeugdaten erzeugt und gespeichert werden, und sie können auch keinen Einfluss darauf nehmen, was mit ihren Daten geschieht. Zum einen fehlt es in den meisten Fällen an einer umfassenden und verständlichen Aufklärung der Käufer:innen bei Vertragsabschluss, welche Daten generiert und verarbeitet werden und wem und zu welchem Zweck sie übermittelt werden, und daher auch an einer datenschutzkonformen freiwilligen Einwilligung der Käufer:innen. Zum anderen besteht für Käufer:innen auch keine (technische) Möglichkeit, bestimmte Funktionen zu deaktivieren, um sich damit bewusst gegen eine Datenerzeugung und –speicherung zu entscheiden.

VKI-Verfahren gegen Mietautoverleiher AVIS

In einem Verfahren, das der Verein für Konsumenteninformation (VKI) im Auftrag des Sozialministeriums gegen den Mietwagenverleiher AVIS geführt hat, gab es nun seitens des Obersten Gerichtshofs (OGH) eine Entscheidung zu datenschutzrechtlichen Fragen rund um die Einwilligung zur Datenverarbeitung im Zusammenhang mit vernetzten Autos und deren Widerruf.

In den Verleihbedingungen des Mietautoverleihunternehmens AVIS fanden sich 58 Klauseln, die der VKI als rechtswidrig ansah. Zu 56 Klauseln hatte Avis eine Unterlassungserklärung abgegeben und sich damit freiwillig verpflichtet, sie zukünftig nicht mehr zu verwenden.

Gegenstand des Verfahrens vor dem OGH waren somit nur noch folgende zwei Klauseln:

Zur Klausel 1

Diese Klausel regelte, dass die im vernetzten Fahrzeug integrierten Geräte immer aktiv sind, solange Verbraucher:innen sie nicht bewusst ausschalten, und das auch dann, „wenn andere Dienste oder Medien im Fahrzeug ausgeschaltet wurden“.

Der OGH sah darin einen Verstoß gegen den in der Datenschutz-Grundverordnung (DSGVO) verankerten Grundsatz zur Datenminimierung, der Unternehmen dazu verpflichtet, nur jene personenbezogenen Daten zu verarbeiten, die für den jeweiligen bestimmten Verarbeitungszweck auch tatsächlich erforderlich sind.

Ebenso sah der OGH einen Verstoß gegen die Verpflichtung der Unternehmen zum Datenschutz durch datenschutzfreundliche Voreinstellungen (Privacy by Default). Es sei nicht zulässig, dass Verbraucher:innen von sich aus aktiv werden müssen, um datenschutzunfreundliche Voreinstellungen auszuschalten.

Zur Klausel 2

Diese Klausel regelte den Widerruf der Einwilligung zur Datenverarbeitung. Laut Klausel können Verbraucher:innen ihre Zustimmung zurückziehen, indem sie ihr Gerät ausschalten/abkoppeln und ihre Informationen im Infotainment-System löschen.

Der OGH beurteilte diese Klausel als intransparent, weil Verbraucher:innen gar nicht wüssten, wie sie überhaupt die Einwilligung zur Datenverarbeitung erteilt hatten. Nach Ansicht des OGH müssten sich Verbraucher:innen die nötige Information zu den konkreten Einwilligungsmodalitäten selbst durch ungenaue Querverweise in den AGB „zusammensuchen“.

Fazit?

Das höchstgerichtliche Urteil ist aus konsumentenschutzrechtlicher Sicht sehr zu begrüßen. Der Oberste Gerichtshof hat mit diesem Urteil den Grundsatz der Datenminimierung gestärkt und der Geschäftspraxis von datenschutzwidrigen Voreinstellungen eine klare Absage erteilt.

Zum Urteil: RIS - 6Ob106/22i - Entscheidungstext - Justiz (bka.gv.at)