Ihr OEM verlangt das TISAX-Label. Ihre Rechtsberatung will die Verzeichnisse von Verarbeitungstätigkeiten sehen. Ihre Testfahrzeuge nehmen weiter Menschen auf öffentlichen Straßen auf. Drei Anforderungen treffen ein kleines Team, jede mit eigener Frist.

Die gute Nachricht: Sie haben mehr gemeinsam, als die drei Mail-Verläufe vermuten lassen.

Wo sich TISAX und DSGVO überschneiden

TISAX baut auf dem VDA-ISA-Katalog auf, der sich an ISO 27001 anlehnt, und schützt, was der OEM Ihnen anvertraut: Prototypen, Zeichnungen, vertrauliche Informationen. Die DSGVO schützt die personenbezogenen Daten von Menschen: Beschäftigten, Kunden, Fahrzeugnutzern. Die Zwecke unterscheiden sich, die Mechanik ähnelt sich.

Beide verlangen einen Risikoprozess. Beide verlangen Zugriffskontrolle, Verschlüsselung der Daten im Ruhezustand und bei der Übertragung und einen Plan für Sicherheitsvorfälle. Eine Datenschutzverletzung nach DSGVO ist sehr oft zugleich ein Sicherheitsvorfall nach TISAX und umgekehrt. Beschreiben Sie die Maßnahmen einmal, dann nutzen beide Regelwerke sie: Die technischen und organisatorischen Maßnahmen, die Ihr Verzeichnis von Verarbeitungstätigkeiten beschreiben muss, sind zu großen Teilen die Kontrollen, die ein Informationssicherheits-Assessment prüft.

Vernetzte Fahrzeuge erhöhen den Einsatz

Ein modernes Fahrzeug erzeugt enorme Datenmengen, und vieles davon sind personenbezogene Daten im Sinne der DSGVO: Telematik, Standort, Nutzung des Infotainments, sogar biometrische Informationen aus Sensoren im Innenraum. Oft verarbeiten mehrere Zulieferer entlang der Kette denselben Datenstrom.

Damit ist es zugleich ein TISAX-Thema (sensible Fahrzeuginformationen) und ein DSGVO-Thema (personenbezogene Daten). UNECE R155 (Cyber Security Management System) und R156 (Software Update Management System) legen den gesamten Fahrzeuglebenszyklus obendrauf. Ein Zulieferer muss zeigen, dass er die Daten vor Angriffen schützt und die Menschen respektiert, die sie beschreiben.

Was der OEM verlangt und was er weiterreicht

Für viele deutsche OEMs und andere Hersteller ist ein TISAX-Label Voraussetzung für Geschäftsbeziehungen, und die Anforderung wandert die Kette hinunter, von Tier 1 zu Tier 2 und weiter. Die DSGVO geht denselben Weg: Wer im Auftrag eines OEMs oder eines anderen Zulieferers personenbezogene Daten verarbeitet, braucht einen Auftragsverarbeitungsvertrag, und jede Übermittlung außerhalb der EU braucht ein zulässiges Instrument. Fehlende Unterlagen kosten Bußgelder und das Vertrauen des Kunden, der danach gefragt hat.

Was der Agent auf der DSGVO-Seite übernimmt

Marsstein ist für die DSGVO live. Der Agent liest Ihre öffentliche Website und die hochgeladenen Dokumente und listet jede Seite auf, die er verwendet hat. Er findet die Lücken und entwirft das Verzeichnis von Verarbeitungstätigkeiten, die DSFA für Testflotten und Daten vernetzter Fahrzeuge, die Auftragsverarbeitungsverträge und die Unterlagen zu Übermittlungen. Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung liest dann jedes Dokument und entscheidet, was Bestand hat.

Die Informationssicherheit, also der VDA-ISA-Katalog hinter TISAX, bleibt bei der Person, die Ihr ISMS verantwortet, und bei Ihrem Assessor. Die Unterstützung für ISO 27001 ist in Vorbereitung, und Marsstein vergibt oder garantiert kein TISAX-Label.

Kameradaten: erst anonymisieren, dann übermitteln

Wenn Ihre Testfahrzeuge Straßenaufnahmen machen, sind die darauf zu sehenden Menschen personenbezogene Daten. Marsstein AEON, ein Service neben der Plattform, maskiert Gesichter und Kennzeichen in Kameradaten von Fahrzeugen innerhalb der EU, bevor eine Kopie an ein Labeling-Team, einen Algorithmus-Anbieter oder die Entwicklung im Ausland geht. Mehr als 100 TB Kameradaten sind auf diesem Weg bereits in der EU verarbeitet worden.

Maskieren allein macht einen Datensatz noch nicht anonym. GPS-Spuren, Zeitstempel und Fahrzeug-IDs können weiterhin auf eine Person hinweisen, deshalb wird jeder Datensatz auf Herausgreifen, Verknüpfbarkeit und Inferenz geprüft. Marsstein bescheinigt nicht, dass ein Datensatz anonym ist: Ihre Rechtsberatung oder Ihr Datenschutzbeauftragter gibt die Bewertung frei, und die Compliance-Plattform hält sie zusammen mit den Unterlagen zur Übermittlung fest. Sollen Aufnahmen zur Entwicklung nach China gehen? Unser Leitfaden EU nach China zeigt den Entscheidungsweg.

Sprechen Sie mit uns

Wenn die DSGVO-Unterlagen der Engpass sind: Gespräch vereinbaren. Wenn es die Kameradaten sind: Gespräch zu AEON vereinbaren.