Leitfaden

Dürfen EU-Testfahrtaufnahmen nach China? Ein Entscheidungsweg klärt es.

Für OEMs und Zulieferer mit Testflotten in Europa und Entwicklung in China: wann die Übermittlungsregeln der DSGVO greifen, was sie verlangen und was China verlangt, jede Quelle verlinkt.

Gespräch vereinbaren Zu den Quellen

Der Entscheidungsweg

Eine Frage entscheidet den Weg.

1. Sind die Daten nach der Anonymisierung noch personenbezogen?

Prüfen Sie den Datensatz, nicht nur die Bilder: Gesichter und Kennzeichen sind maskiert, aber lässt sich über GPS, Lidar, Zeitstempel oder Fahrzeug-IDs eine Person herausgreifen, verknüpfen oder ableiten (Stellungnahme 05/2014)?

Nein

Wenn nein

2. Nein: außerhalb der DSGVO

Anonyme Daten fallen nicht unter die DSGVO (Erwägungsgrund 26), Kapitel V gilt nicht. Bewahren Sie die Prüfung auf; sie ist Ihr Nachweis, falls das Ergebnis hinterfragt wird.

Wenn ja

3. Ja: Kapitel V gilt

Für China gibt es keinen Angemessenheitsbeschluss. Die Übermittlung braucht eine Garantie nach Art. 46, in der Regel Standardvertragsklauseln (DSGVO Kapitel V).

4. Die chinesische Seite, auf beiden Wegen

Ohne personenbezogene Informationen oder wichtige Daten sind Daten aus Tätigkeiten wie internationalem Handel oder multinationaler Fertigung von Exportverfahren befreit (Art. 3 der CAC-Bestimmungen von 2024). Im Ausland erhobene personenbezogene Informationen, die in China verarbeitet und zurückgegeben werden, sind nach Art. 4 befreit, sofern keine inländischen personenbezogenen Informationen oder wichtigen Daten hinzukommen.

Erst anonymisieren, dann übermitteln: wie Marsstein AEON und die Compliance-Plattform zusammenarbeiten.

Automotive

Die EU-Seite: anonym oder nicht.

Die DSGVO gilt nur für personenbezogene Daten. Erwägungsgrund 26 nimmt anonyme Informationen aus, also Daten, die sich nicht mehr auf eine identifizierte oder identifizierbare Person beziehen, unter Berücksichtigung aller Mittel, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um jemanden zu identifizieren.

Kameradaten aus Fahrzeugen sind selten von sich aus anonym. Verpixeln von Gesichtern und Kennzeichen verdeckt direkte Merkmale, doch der Datensatz um die Bilder herum enthält oft GPS-Spuren, genaue Zeitstempel, Lidar-Punktwolken und Fahrzeugkennungen. Die Artikel-29-Datenschutzgruppe (Stellungnahme 05/2014) prüft Anonymisierung an drei Risiken: Herausgreifen, Verknüpfbarkeit und Inferenz. Erfüllt ein Datensatz eines davon nicht, verlangt die Artikel-29-Datenschutzgruppe eine gründliche Bewertung der Identifizierungsrisiken.

Die EDSA-Leitlinien zu vernetzten Fahrzeugen (01/2020) empfehlen, Daten möglichst lokal zu verarbeiten und eine Anonymisierung zu erwägen, bevor sie aus dem Fahrzeug übermittelt werden. Pseudonymisierte Daten bleiben personenbezogen für jeden, der sie re-identifizieren kann. In C-413/23 P (4. September 2025) hat der EuGH entschieden, dass pseudonymisierte Daten für einen Empfänger, der die Personen nicht mit vertretbarem Aufwand re-identifizieren kann, keine personenbezogenen Daten sein müssen.

Bleiben die Daten personenbezogen: Kapitel V.

Übermittlungen personenbezogener Daten in ein Drittland regelt Kapitel V der DSGVO, Art. 44 bis 49. China steht nicht auf der Liste der Länder mit Angemessenheitsbeschluss der Europäischen Kommission, daher braucht eine Übermittlung geeignete Garantien nach Art. 46, in der Praxis Standardvertragsklauseln. Die Compliance-Plattform hält den gewählten Mechanismus und die zugehörigen Unterlagen zusammen mit dem Datensatz fest.

Das wird durchgesetzt. Am 2. Mai 2025 verhängte die irische Datenschutzbehörde gegen TikTok Geldbußen von insgesamt 530 Mio. EUR, davon 485 Mio. EUR wegen Verstoßes gegen Art. 46 Abs. 1 DSGVO bei Übermittlungen von Nutzerdaten aus dem EWR nach China.

Die chinesische Seite: Entscheidend ist, wo die Daten erhoben wurden.

Für in China erhobene Daten stufen die CAC-Bestimmungen zur Sicherheit von Fahrzeugdaten (in Kraft seit 1. Oktober 2021) Video- und Bilddaten von außerhalb des Fahrzeugs mit Gesichtern und Kennzeichen als wichtige Daten ein. Wichtige Daten sind in China zu speichern, ihr Export erfordert eine Sicherheitsbewertung.

Für in Europa erhobene Daten sind die CAC-Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse von 2024 maßgeblich. Art. 4 befreit personenbezogene Informationen, die im Ausland erhoben, zur Verarbeitung nach China übermittelt und dann wieder ins Ausland gegeben werden, von Sicherheitsbewertung, Standardvertrag und Zertifizierung, solange bei der Verarbeitung keine inländischen personenbezogenen Informationen oder wichtigen Daten hinzukommen. Art. 3 befreit Daten aus Tätigkeiten wie internationalem Handel und multinationaler Fertigung, die keine personenbezogenen Informationen oder wichtigen Daten enthalten.

Anonymisieren in der EU vor der Übermittlung hilft daher auf beiden Seiten: Es kann die Daten aus der DSGVO herausnehmen und, wenn der Datensatz die Anonymitätsprüfung besteht, personenbezogene Informationen aus dem Weg über China heraushalten.

Quellen