Joint Control im Bereich der E-Mobility: Wer ist datenschutzrechtlich verantwortlich?

Autoren: Thanos Rammos und Max Harttrumpf

E-Mobility macht das Autofahren nachhaltiger, aber zugleich datenschutzrechtlich komplexer. Allein im Kontext eines einzigen Ladevorgangs an einem aufgestellten Ladepunkt sind verschiedene Unternehmen involviert. Diese interagieren auf unterschiedliche Weise miteinander. Sie können direkt oder indirekt beteiligt sein und kommen hierbei mit personenbezogenen Daten der Kundinnen und Kunden in Berührung. Die datenschutzrechtliche Abgrenzung der jeweiligen Verantwortungsbereiche und die damit einhergehende Einordnung der beteiligten Akteure als eigenständige Verantwortliche, weisungsgebundene Auftragsverarbeiter oder gemeinsam Verantwortliche ist stets eine Frage des Einzelfalls und insbesondere im Hinblick auf das Rechtsinstitut der gemeinsamen Verantwortlichkeit („Joint Control“) mit Unsicherheiten behaftet, da von den Gerichten, Aufsichtsbehörden sowie Stimmen in der Literatur hierfür zum Teil unterschiedliche – und nicht immer überzeugende – Beurteilungskriterien herangezogen werden.

Vom Erwerb des Elektrofahrzeugs zum Ladepunkt

Im Zuge des Erwerbs eines Elektrofahrzeugs stellt sich für den Kunden bzw. die Kundin unweigerlich die Frage nach den Modalitäten des Aufladens. Um die Attraktivität des Fahrzeugs zu steigern, hat der Fahrzeughersteller (Original Equipment Manufacturer, „OEM“) daher in der Regel ein Interesse daran, dem Kunden bzw. der Kundin einen möglichst breit gefächerten Zugang zu Ladepunkten zu ermöglichen. Dies kann beispielsweise umgesetzt werden, indem der OEM dem Kunden bzw. der Kundin die Anmeldung bei einem spezifischen E-Mobility Service Provider („EMSP“) empfiehlt. EMSP können den Zugang zu einer Vielzahl von Ladepunkten in einem bestimmten geografischen Gebiet eröffnen. OEM und EMSP agieren im Rahmen dieser Variante komplett unabhängig voneinander und tauschen in der Regel Kundendaten entweder nur einmalig oder gar nicht aus. Sie bestimmen jedenfalls Zwecke und Mittel der Datenverarbeitung nicht gemeinsam und sind datenschutzrechtlich jeweils alleinverantwortlich.

Registrierung und Authentifizierung

Hat der Kunde bzw. die Kundin sich für die Nutzung eines bestimmten EMSP entschieden, ist eine entsprechende Registrierung für dessen Dienst unter Angabe der Zahlungsdaten, des Wohnortes, des Fahrzeugtyps etc. notwendig. Da sich die Funktion des EMSP gewissermaßen auf die „Vermittlung“ der zur Verfügung stehenden Ladepunkte beschränkt, ist deren eigentlicher Betreiber (der sogenannte Charge Point Operator, „CPO“) zu diesem Zeitpunkt noch nicht involviert, sodass eine datenschutzrechtliche Einzelverantwortlichkeit des EMSP anzunehmen ist. Sobald der Kunde bzw. die Kundin nunmehr zu einem Ladepunkt fährt und den Ladevorgang starten will, wird er aufgefordert, sich zu authentifizieren. Eine bisher gängige Authentifizierungsmethode ist die sogenannte Ladekarte, durch welche eine Identifikationsnummer (Kunden-ID) an den Ladepunkt übermittelt wird. Befindet sich diese ID auf einer Liste, die dem CPO im Vorfeld vom EMSP übermittelt worden ist, schaltet Ersterer den Ladevorgang frei. Die einzige zwischen EMSP und CPO geteilte Information ist mithin die spezifische Kunden-ID, durch welche der CPO über die Berechtigung zum Laden des jeweiligen Kunden bzw. der jeweiligen Kundin in Kenntnis gesetzt wird. Alternative Authentifizierungsvorgänge via beispielsweise einer App des EMSP folgen im Wesentlichen dem gleichen Prinzip. Bei Registrierung wird zwar die Identität des Kunden bzw. Kundin durch dieses Verfahren pseudonymisiert, jedoch ändert dies nichts an der grundsätzlichen Identifikationsmöglichkeit, sodass es sich bei der Kunden-ID regelmäßig um ein personenbezogenenes Datum handeln dürfte. In diesem Kontext dessen könnte erwogen werden, ob EMSP und CPO datenschutzrechtlich als gemeinsam Verantwortliche agieren. Dies wäre anzunehmen, wenn und soweit sie gemeinsam – aber nicht notwendigerweise gleichrangig – über die Zwecke und/oder Mittel der Datenverarbeitung entscheiden, wobei nach der Rechtsprechung des EuGH bereits der Genuss wirtschaftlicher Vorteile für die Annahme einer gemeinsamen Verantwortlichkeit ausreichen könne. Im Hinblick auf den Authentifizierungsvorgang wird der Zweck der Datenverarbeitung jedoch allein durch den EMSP bestimmt, denn App und Ladekarte sollen dessen Kunden und Kundinnen eine Aufladung seines Elektrofahrzeugs ermöglichen. Auch die Mittel der Datenverarbeitung (App beziehungsweise Ladekarte) werden ausschließlich durch den EMSP bestimmt. Insbesondere hat der CPO in der Praxis keinerlei Einfluss auf die konkrete Ausgestaltung der Ladekarten. Diese folgen in der Regel einem einheitlichen technischen Standard, da sie an verschiedenen Ladepunkten funktionieren sollen. Somit liegt wiederum eine Einzelverantwortlichkeit des EMSP vor.

Der Ladevorgang

Ab dem Start des eigentlichen Ladevorgangs erhebt der CPO direkt Daten bei dem Kunden bzw. der Kundin, etwa die Dauer des Ladevorgangs, die Positionsdaten des Ladpunktes und folglich des Kunden bzw. der Kundin, die Kosten des Ladevorgangs sowie dessen Start- und Endzeitpunkt. Im Zusammenhang mit der Kunden-ID handelt es sich hierbei um zuordenbare und mithin personenbezogene Daten. Die Mittel dieser Datenerhebung liegen gänzlich in der Hand des CPO. Der EMSP hat keinerlei Einfluss auf die Software und Hardware des Ladepunktes. Gleiches gilt für den Zweck der Datenverarbeitung, denn allein der CPO bestimmt über die Freischaltung des Ladevorgangs und die zur späteren Vertragsabwicklung erforderlichen Ladedaten. Auch insofern spricht viel für die Annahme einer Einzelverantwortlichkeit. Das Fehlen eines direkten Vertragsverhältnisses zwischen CPO und Kunde bzw. Kundin ist unerheblich, weil aus datenschutzrechtlicher Sicht die tatsächlichen und nicht die vertraglichen Verhältnisse maßgebend sind. Allenfalls das vom EuGH entwickelte Kriterium des wirtschaftlichen Vorteils könnte zur Annahme einer gemeinsamen Verantwortlichkeit zwischen CPO und EMSP herangezogen werden. Immerhin dienen die auf beiden Seiten erfolgenden Datenverarbeitungen letztlich der – wirtschaftlich vorteilhaften – Ermöglichung und Förderung der sich überschneidenden Geschäftskonzepte. Die isolierte und schablonenartige Anwendung dieses Kriterium ist jedoch abzulehnen. soweit nicht weitere Anhaltspunkte die gemeinsame Verantwortlichkeit begründen würde. Andernfalls müsste bei nahezu jeder wirtschaftlichen Transaktion mit zwei oder mehr Parteien eine gemeinsame Verantwortlichkeit angenommen werden, was den tatsächlichen Gegebenheiten zuwiderliefe und eine unsachgemäße gemeinsame Haftung der Beteiligten zur Folge hätte.

Die Vertragsabwicklung

In den meisten Fällen übermittelt der CPO im Anschluss die über den Ladevorgang erhobenen Informationen an den EMSP, zu Abrechnungszwecken. Aufseiten des EMSP werden die Informationen anhand der Kunden-ID dem jeweiligen Kunden bzw. der jeweiligen Kundin zugeordnet. Auf die Mittel und Zwecke dieser Datenverarbeitung des EMSP hat der CPO keinen Einfluss. Auch ein wirtschaftliches Interesse des CPO ist nicht erkennbar, denn die Identifizierung des Kunden bzw. der Kundin im Verhältnis zwischen diesem und dem EMSP spielt für den CPO, dessen direkter Schuldner allein der EMSP ist, keinerlei Rolle. Eine gemeinsame Verantwortlichkeit scheidet abermals aus.

Sonderfall: Tesla

Die Prämisse der bisherigen Darstellungen war, dass es sich bei OEM, EMSP sowie CPO um verschiedene Unternehmen handelt. Sofern jedoch beispielswiese ein CPO zugleich als EMSP agiert, scheidet eine gemeinsame Verantwortlichkeit von vornherein aus, denn CPO und EMSP bilden in diesem Fall eine Verarbeitungseinheit als Einzelverantwortlicher. Einen bislang einzigartigen Sonderfall dürfte wohl Tesla bilden, da das Unternehmen sämtliche Produkte und Dienstleistungen vereint: Tesla stellt nicht nur Elektrofahrzeuge her. Tesla stellt darüber hinaus auch Ladepunkte („Supercharger“) zur Verfügung, die per eigener App und integrierter Software verwendet werden können. Tesla ist somit OEM, CPO und EMSP in einem und infolgedessen einheitlich einzelverantwortlich.

Praktische Herausforderungen

Wie sich gezeigt hat, ist im Bereich der E-Mobility trotz des Zusammenspiels verschiedener Unternehmen im Kontext eines Ladevorgangs eher nicht von gemeinsamer datenschutzrechtlicher Verantwortlichkeit auszugehen. Insbesondere würde eine strikte Anwendung des vom EuGH im Kontext internetbezogener Sachverhalte entwickelten Kriteriums der wirtschaftlichen Vorteilhaftigkeit diesbezüglich zu wenig sachgerechten Ergebnissen führen. Freilich beanspruchen die erfolgten Einordnungen der Beteiligten keine Allgemeingültigkeit. Vielmehr ist stets eine einzelfallorientierte Betrachtung unter Berücksichtigung der jeweiligen konkreten Gegebenheiten erforderlich, wobei insbesondere zwischen den einzelnen Phasen der Datenverarbeitung sowie den damit einhergehenden Datenflüssen unterschieden werden sollte. Aufgrund der daraus resultierenden haftungsrelevanten Unsicherheiten sowie angesichts der zunehmenden Beliebtheit von Elektrofahrzeugen wäre eine klarstellende Positionierung der Aufsichtsbehörden zu den dargestellten datenschutzrechtlichen Abgrenzungsfragen im Bereich der E-Mobility wünschenswert.