Kfz-Gutachter: Datenschutz nach Fahrzeugdiebstahl

Ein gestohlenes Fahrzeug aus dem Fuhrpark ist ärgerlich. Weit folgenreicher kann jedoch sein, was die Diebe dabei an digitalen Spuren hinterlassen oder mitnehmen. Wer als Kfz-Gutachter regelmäßig mit sensiblen Fahrzeugdaten, Unfalldokumentationen und Kundendaten arbeitet, trägt nach einem Einbruch oder Diebstahl eine rechtliche Verantwortung, die viele unterschätzen.

Was bei einem Fahrzeugdiebstahl wirklich gestohlen wird

Moderne Fahrzeuge sind fahrende Datencontainer. Das Infotainment-System eines Mittelklassewagens speichert durchschnittlich 64 Gigabyte an Nutzerdaten: gespeicherte Kontakte, Navigationsrouten, gekoppelte Smartphone-IDs, WLAN-Zugangsdaten, Kalendereinträge. Wer als Gutachter regelmäßig Testfahrten mit Kundenfahrzeugen durchführt oder das eigene Firmenfahrzeug für Ortstermine nutzt, hat dort häufig auch dienstliche Daten hinterlassen.

Hinzu kommen physische Einbrüche in Büroräume oder Fahrzeuge, bei denen Laptops, Tablets oder externe Datenträger mit Gutachtensoftware entwendet werden. Nach Angaben des Bundeskriminalamts wurden 2023 bundesweit rund 65.000 Einbrüche in Firmenräume registriert. Für Kfz-Gutachterbüros mit ihrer vergleichsweise kleinen Betriebsgröße ist der Verlust eines einzigen Arbeitsgeräts oft gleichbedeutend mit dem Verlust aller laufenden Aufträge.

Meldepflicht nach DSGVO: 72 Stunden sind keine Empfehlung

Wer als Gutachter personenbezogene Daten verarbeitet, unterliegt der Datenschutz-Grundverordnung. Das gilt für die Kontaktdaten von Auftraggebern ebenso wie für Fotos von Unfallfahrzeugen, auf denen Kennzeichen oder Insassen erkennbar sind. Kommt es zu einem Datenverlust durch Diebstahl, beginnt die Uhr zu laufen.

Artikel 33 DSGVO verpflichtet dazu, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden bei der zuständigen Aufsichtsbehörde zu melden, sofern die Verletzung voraussichtlich zu einem Risiko für die betroffenen Personen führt. Diese Frist beginnt mit dem Zeitpunkt, zu dem der Verantwortliche Kenntnis erlangt. Wer den Einbruch erst am Montag bemerkt, obwohl er am Freitagabend stattfand, startet die Frist trotzdem erst ab Montag. Wer hingegen beweisbar fahrlässig weggeschaut hat, riskiert, dass Aufsichtsbehörden den Zeitpunkt der Kenntnisnahme früher ansetzen.

Parallel dazu greift Artikel 34 DSGVO: Betroffene Personen sind zu informieren, wenn der Vorfall voraussichtlich ein hohes Risiko für sie bedeutet. Bei gestohlenen Laptops mit unverschlüsselten Kundendaten ist diese Schwelle regelmäßig erreicht.

Digitale Spurensicherung vor der Polizei

Viele Gutachter rufen nach einem Einbruch zuerst die Polizei, dann die Versicherung. Dabei geht wertvolle digitale Beweissicherung verloren. Server-Logs, Zugriffsprotokolle der Gutachtensoftware und Cloud-Synchronisationsdaten lassen sich im Nachhinein oft nicht mehr vollständig rekonstruieren. Wer hingegen frühzeitig professionelle Hilfe hinzuzieht, kann die genaue Schadenslage dokumentieren.

Spezialisierte Dienstleister im Bereich IT-Forensik sichern digitale Spuren gerichtsverwertbar, bevor reguläre Ermittlungen beginnen oder IT-Systeme aus operativen Gründen wiederhergestellt werden. Das ist besonders relevant, wenn der Verdacht auf einen gezielten Angriff besteht, bei dem Daten nicht nur gestohlen, sondern auch manipuliert wurden.

Konkret bedeutet das: Keine Neuinstallation des Betriebssystems, keine überschriebenen Backups, keine Veränderung der betroffenen Geräte, bis eine forensische Kopie erstellt wurde. Diese Kopie ist später Grundlage für Strafanzeigen, Versicherungsansprüche und DSGVO-Dokumentation.

Technische Mindestanforderungen für Gutachterbüros 2026

Die folgenden Maßnahmen gelten nicht als Best Practice, sondern als Mindeststandard für Betriebe, die mit personenbezogenen Daten arbeiten:

• Festplattenverschlüsselung: Alle mobilen Geräte müssen vollverschlüsselt sein. BitLocker unter Windows und FileVault unter macOS sind ohne Zusatzkosten verfügbar.
• Fernlöschfunktion: Dienstliche Smartphones und Tablets benötigen MDM-Lösungen (Mobile Device Management), die eine Fernlöschung innerhalb von Minuten ermöglichen.
• Getrennte Netzwerksegmente: Gutachtensoftware und Kundendaten gehören in ein eigenes Netzwerksegment, das nicht mit dem allgemeinen WLAN des Büros verbunden ist.
• Protokollierung von Zugriffen: Logdateien müssen mindestens 90 Tage aufbewahrt werden, um im Schadensfall eine Auswertung zu ermöglichen.
• Keine Kundendaten im Fahrzeug: Checklisten, Auftragsbögen und Drucke mit personenbezogenen Daten dürfen nicht dauerhaft im Fahrzeug verbleiben.

Vertragsrechtliche Folgen gegenüber Auftraggebern

Versicherungen, Rechtsanwaltskanzleien und Autohäuser beauftragen Kfz-Gutachter auf Basis von Rahmenverträgen, die häufig Datenschutzklauseln enthalten. Ein Datenverlust durch mangelnde Sicherung kann zur Kündigung des Rahmenvertrags führen, ohne dass der Auftraggeber Schadensersatz schuldet.

Schwieriger wird es, wenn der Auftraggeber selbst DSGVO-Bußgelder erhält, weil der Gutachter als Auftragsverarbeiter unzureichend gesichert hat. In solchen Konstellationen ist ein Regress gegen den Gutachter möglich. Dieser Regress setzt voraus, dass der Auftraggeber nachweisen kann, dass die technischen und organisatorischen Maßnahmen des Gutachters nicht dem Stand der Technik entsprachen.

Ein konkretes Beispiel: Ein Gutachterbüro in Nordrhein-Westfalen verlor 2024 einen Rahmenvertrag mit einem überregionalen Kfz-Händlernetz, nachdem bei einem Einbruch ein unverschlüsselter Laptop mit rund 1.200 Kundendatensätzen gestohlen wurde. Der Händler hatte in seinem Auftragsverarbeitungsvertrag explizit Verschlüsselung als Pflicht definiert. Das Büro hatte diese Klausel unterschrieben, aber nicht umgesetzt.

Checkliste für den Ernstfall

Wer nach einem Einbruch strukturiert vorgeht, begrenzt den Schaden erheblich. Die folgende Reihenfolge hat sich in der Praxis bewährt:

• Tatzeit und betroffene Geräte sofort dokumentieren (Fotos, schriftliche Notizen mit Uhrzeit)
• Betroffene Systeme nicht neu starten oder überschreiben
• Datenschutzbeauftragten oder externen Berater noch vor Polizeiaufnahme informieren
• Forensische Sicherung durch Fachbetrieb veranlassen
• Meldung an Aufsichtsbehörde binnen 72 Stunden vorbereiten
• Auftraggeber und betroffene Kunden informieren, sofern hohes Risiko vorliegt
• Versicherungsmeldung mit forensischem Bericht kombinieren

Kfz-Gutachter arbeiten 2026 in einem digitalen Umfeld, das sich von der klassischen Aktenwirtschaft grundlegend unterscheidet. Wer diese Realität in seinen Betriebsabläufen abbildet, ist nach einem Einbruch handlungsfähig. Wer es nicht tut, zahlt doppelt: einmal für den Sachschaden, einmal für die Folgen.

Über die Autorin: Julia Brandt ist freie Fachjournalistin mit Schwerpunkt Datenschutz und Unternehmensrecht. Sie schreibt regelmäßig für branchennahe Fachmedien.