DSGVO im Autohaus: Welche Regeln beim Umgang mit Kundendaten gelten

DSGVO im Autohaus: Welche Regeln beim Umgang mit Kundendaten gelten

Jedes Autohaus verarbeitet täglich personenbezogene Daten – bei Kaufanfragen, Probefahrten, Werkstattaufträgen, Finanzierungsanträgen oder schon beim einfachen Kontaktformular auf der Website. Die Datenschutz-Grundverordnung (DSGVO) regelt seit 2018, unter welchen Bedingungen diese Daten erhoben, gespeichert und weitergegeben werden dürfen. Was in der Theorie klar klingt, wirft im Autohaus-Alltag allerdings viele konkrete Fragen auf, die sich nicht mit einem Blick in den Gesetzestext beantworten lassen.

Welche personenbezogenen Daten fallen im Autohaus typischerweise an?

Kundenstammdaten

Name, Adresse, Telefonnummer, E-Mail-Adresse – diese Angaben werden bei nahezu jedem geschäftlichen Kontakt erhoben, ob bei einer Anfrage, einem Kaufvertrag oder einer Werkstattannahme. Sie gelten als personenbezogene Daten im Sinne der DSGVO und unterliegen damit den entsprechenden Schutzpflichten.

Fahrzeugbezogene Daten mit Personenbezug

Die Fahrgestellnummer (FIN), das Kennzeichen oder der Fahrzeugbrief sind zunächst fahrzeugbezogene Daten. Sobald sie aber einer konkreten Person zugeordnet werden können – und das ist im Autohaus praktisch immer der Fall –, handelt es sich ebenfalls um personenbezogene Daten. Das wird häufig übersehen.

Finanzdaten

Bei Finanzierungsanfragen, Leasingverträgen oder Bonitätsprüfungen werden besonders sensible Informationen verarbeitet: Einkommensnachweise, Bankverbindungen, Schufa-Abfragen. Hier gelten erhöhte Sorgfaltspflichten, sowohl hinsichtlich der Rechtsgrundlage als auch der Speicherdauer.

Kommunikationsdaten

E-Mail-Verläufe, Gesprächsnotizen, aufgezeichnete Telefonate – auch diese Daten fallen unter die DSGVO, sobald sie einer identifizierbaren Person zugeordnet werden können. Gerade informelle Notizen in CRM-Systemen oder auf Zetteln neben dem Telefon werden datenschutzrechtlich häufig unterschätzt.

Auf welcher Rechtsgrundlage dürfen Daten verarbeitet werden?

Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage. Im Autohaus-Alltag sind vor allem drei relevant.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Wenn ein Kunde ein Fahrzeug kauft, einen Werkstattauftrag erteilt oder einen Finanzierungsvertrag abschließt, dürfen alle Daten verarbeitet werden, die für die Erfüllung dieses Vertrags erforderlich sind. Dazu gehören Stammdaten, Fahrzeugdaten und Zahlungsinformationen. Eine gesonderte Einwilligung ist hierfür nicht notwendig.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Auch ohne Vertrag kann eine Datenverarbeitung zulässig sein, wenn ein berechtigtes Interesse des Autohauses vorliegt und die Interessen der betroffenen Person nicht überwiegen. Ein typisches Beispiel: Ein Interessent stellt eine Anfrage über ein Portal. Es gibt noch keinen Vertrag, aber das Autohaus hat ein berechtigtes Interesse daran, die Anfrage zu beantworten und den Kontakt für eine angemessene Zeit zu speichern. Diese Rechtsgrundlage erfordert allerdings immer eine Abwägung im Einzelfall – sie ist kein Freifahrtschein für unbegrenzte Datenspeicherung.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Für bestimmte Zwecke – insbesondere für Werbemaßnahmen wie Newsletter oder telefonische Nachfassaktionen – ist eine ausdrückliche, freiwillige Einwilligung erforderlich. Diese muss dokumentiert werden und jederzeit widerrufbar sein. Eine vorausgefüllte Checkbox auf einem Formular reicht nicht aus.

Wie lange dürfen Daten gespeichert werden?

Der Grundsatz der Speicherbegrenzung

Die DSGVO schreibt vor, dass personenbezogene Daten nur so lange gespeichert werden dürfen, wie es für den ursprünglichen Zweck erforderlich ist. Es gibt keine pauschale Frist, die für alle Daten gleichermaßen gilt – die Speicherdauer hängt vom jeweiligen Verarbeitungszweck und von gesetzlichen Aufbewahrungspflichten ab.

Anfragedaten ohne Vertragsabschluss

Wenn ein Interessent eine Anfrage stellt, aber kein Kauf zustande kommt, sollten die Daten nach einer angemessenen Frist gelöscht werden. Was "angemessen" bedeutet, ist nicht gesetzlich exakt definiert. In der Praxis gelten sechs bis zwölf Monate als vertretbarer Zeitraum, sofern keine weiteren Kontakte stattfinden. Wer Anfragedaten jahrelang ohne erneuten Kontakt speichert, bewegt sich in einem rechtlichen Graubereich.

Vertragsdaten und steuerliche Aufbewahrungspflichten

Bei abgeschlossenen Verträgen greifen zusätzlich handels- und steuerrechtliche Aufbewahrungspflichten. Rechnungen und Vertragsunterlagen müssen in der Regel zehn Jahre aufbewahrt werden, Handelsbriefe sechs Jahre. Diese Pflichten gehen der DSGVO-Löschpflicht vor – die Daten dürfen in diesem Fall aufbewahrt, aber nicht mehr aktiv für andere Zwecke genutzt werden.

Werkstatthistorie und Servicedaten

Werkstattdaten, die einem bestimmten Fahrzeug und einem bestimmten Kunden zugeordnet sind, dürfen für die Dauer der Geschäftsbeziehung und darüber hinaus im Rahmen der Gewährleistungsfristen gespeichert werden. Nach Ende der Geschäftsbeziehung und Ablauf aller Fristen besteht eine Löschpflicht.

Besondere Situationen im Autohaus-Alltag

Probefahrten

Bei einer Probefahrt werden üblicherweise Führerscheindaten, Personalausweis und teilweise eine Kopie des Ausweisdokuments erfasst. Die Erfassung der Führerscheindaten ist zur Absicherung des Autohauses zulässig – es besteht ein berechtigtes Interesse, sicherzustellen, dass der Fahrer eine gültige Fahrerlaubnis besitzt. Eine vollständige Ausweiskopie geht darüber hinaus und sollte nach der Probefahrt wieder vernichtet werden, sofern kein Kaufvertrag zustande kommt.

Versicherungsrechtliche Anforderungen

Manche Versicherungen verlangen die Dokumentation bestimmter Fahrerdaten bei Probefahrten. In diesem Fall kann die Datenverarbeitung zusätzlich auf die Vertragserfüllung mit dem Versicherer gestützt werden – allerdings nur in dem Umfang, den die Versicherung tatsächlich verlangt.

Portalanfragen und Leadmanagement

Anfragen, die über Portale wie mobile.de oder AutoScout24 eingehen, enthalten in der Regel Name, E-Mail und teilweise Telefonnummer. Diese Daten dürfen zur Bearbeitung der Anfrage gespeichert werden. Was viele Autohäuser nicht berücksichtigen: Die Weiterverarbeitung dieser Daten für andere Zwecke – etwa das Hinzufügen zum eigenen Newsletter-Verteiler – ist ohne gesonderte Einwilligung nicht zulässig. Eine Portalanfrage ist keine Einwilligung in Werbung.

Videokameras auf dem Betriebsgelände

Viele Autohäuser setzen Videoüberwachung ein, um den Fahrzeugbestand auf dem Hof zu sichern. Das ist grundsätzlich zulässig, sofern ein berechtigtes Interesse an der Überwachung besteht (Diebstahlprävention) und die Überwachung verhältnismäßig ist. Voraussetzungen sind unter anderem eine deutlich sichtbare Beschilderung, eine begrenzte Speicherdauer der Aufnahmen (in der Regel 48 bis 72 Stunden) und der Ausschluss von Bereichen, in denen die Überwachung unverhältnismäßig wäre (etwa Sozialräume oder Umkleiden).

Fotos von Fahrzeugen mit Kennzeichen

Bei der Fahrzeugfotografie für Inserate werden häufig Fahrzeuge mit sichtbarem Kennzeichen fotografiert. Da Kennzeichen in Verbindung mit dem Standort einer identifizierbaren Person zugeordnet werden können, ist es empfehlenswert, Kennzeichen vor der Veröffentlichung unkenntlich zu machen oder abzudecken – insbesondere bei Fahrzeugen, die noch auf den Vorbesitzer zugelassen sind.

Rechte der betroffenen Personen

Auskunftsrecht

Jede Person hat das Recht zu erfahren, welche Daten über sie gespeichert sind, zu welchem Zweck und auf welcher Rechtsgrundlage. Ein Autohaus muss auf eine solche Anfrage innerhalb eines Monats vollständig antworten können. In der Praxis scheitert das häufig daran, dass Daten über mehrere Systeme verteilt sind – DMS, CRM, E-Mail-Postfächer, Papierakten – und eine vollständige Auskunft erheblichen Aufwand erfordert.

Recht auf Löschung

Betroffene können die Löschung ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Löschanfrage eines ehemaligen Kunden, dessen Kaufvertrag innerhalb der steuerlichen Aufbewahrungsfrist liegt, kann nicht vollständig erfüllt werden – die Vertragsdaten müssen aufbewahrt werden. Daten, die keiner Aufbewahrungspflicht unterliegen (etwa Gesprächsnotizen oder Probefahrtprotokolle nach Fristablauf), müssen dagegen tatsächlich gelöscht werden.

Widerspruchsrecht gegen Werbung

Gegen die Nutzung von Daten zu Werbezwecken kann jederzeit Widerspruch eingelegt werden – ohne Begründung. Dieser Widerspruch muss umgehend umgesetzt werden. Das betrifft nicht nur klassische Werbebriefe, sondern auch E-Mail-Marketing und telefonische Nachfassaktionen.

Auftragsverarbeitung und Weitergabe an Dritte

Wann ein Auftragsverarbeitungsvertrag nötig ist

Sobald ein Autohaus personenbezogene Daten von einem externen Dienstleister verarbeiten lässt – etwa durch einen Datendienstleister für die Portalbelieferung, einen Hostinganbieter, ein externes Callcenter oder einen Cloud-CRM-Anbieter – ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Dieser regelt, was der Dienstleister mit den Daten tun darf, welche Sicherheitsmaßnahmen gelten und was bei Vertragsende mit den Daten geschieht.

Weitergabe an Hersteller und Importeure

Im Vertragshändlerbereich werden Kundendaten häufig an den Fahrzeughersteller oder Importeur weitergegeben – etwa im Rahmen von Garantieabwicklungen, Rückrufaktionen oder Kundenzufriedenheitsbefragungen. Auch hier braucht es eine Rechtsgrundlage für die Weitergabe und eine transparente Information an den Kunden.

Häufige Fehler in der Praxis

Keine dokumentierte Löschroutine

In vielen Betrieben werden Daten zwar erhoben, aber nie systematisch gelöscht. Alte Anfragen, ehemalige Kundendaten oder längst abgeschlossene Werkstattaufträge liegen jahrelang in Systemen, ohne dass jemand prüft, ob die Speicherung noch zulässig ist. Eine dokumentierte Löschroutine mit festen Fristen und Zuständigkeiten ist nicht nur rechtlich erforderlich, sondern reduziert auch das Risiko bei einer Datenschutzprüfung erheblich.

Fehlende oder unvollständige Datenschutzhinweise

Die DSGVO verlangt, dass betroffene Personen bei der Datenerhebung über den Zweck, die Rechtsgrundlage, die Speicherdauer und ihre Rechte informiert werden. In der Praxis fehlen diese Hinweise häufig bei Probefahrtformularen, Kontaktformularen auf der Website oder an der Werkstattannahme – oder sie sind so allgemein gehalten, dass sie die gesetzlichen Anforderungen nicht erfüllen.

Unklare Zuständigkeiten

In kleineren Betrieben ist oft nicht klar geregelt, wer für die Einhaltung der DSGVO verantwortlich ist, wer Löschanfragen bearbeitet und wer bei einer Datenschutzanfrage der Aufsichtsbehörde Auskunft erteilt. Eine klare Zuständigkeit – ob intern oder über einen externen Datenschutzbeauftragten – ist die Grundvoraussetzung dafür, dass Datenschutz im Alltag tatsächlich funktioniert.

Fazit

Die DSGVO ist im Autohaus kein rein juristisches Thema, sondern betrifft ganz praktische Alltagsprozesse: von der Portalanfrage über die Probefahrt bis zur Werkstattannahme. Die meisten Pflichten sind bei genauerer Betrachtung gut umsetzbar – vorausgesetzt, man kennt sie. Die häufigsten Probleme entstehen nicht durch böswillige Verstöße, sondern durch fehlende Strukturen: keine Löschroutinen, keine dokumentierten Rechtsgrundlagen, keine klaren Zuständigkeiten. Wer diese drei Punkte sauber aufstellt, hat die wichtigste Grundlage für einen rechtssicheren Umgang mit Kundendaten bereits gelegt.

‍