Security Gateways sind rechtswidrig

Um Hackern den Zugang zu Autos und ihren Fahrzeugdaten zu erschweren, haben Hersteller in den vergangenen Jahren die Datenschnittstellen ihrer Autos zunehmend mit so genannten Security Gateways abgeriegelt. Wollen freie Werkstätten im Rahmen von Reparaturarbeiten auf die Daten zugreifen, ist das meist mit einer aufwendigen und kostenpflichtigen Registrierung verbunden. Weil es je nach Hersteller unterschiedliche Regelungen gibt, ist der Zugang gerade für Mehrmarkenbetriebe mit hohem Aufwand verbunden.

Einer der Vorreiter beim Thema Security Gateway ist der Stellantis-Konzern bzw. der Vorgänger Fiat Chrysler (FCA). Der Fahrzeugglas-Spezialist Carglass und die Werkstattkette ATU sahen im Security Gateway des Herstellers allerdings ein Wettbewerbshindernis und gingen 2020 in einem Musterverfahren vor dem Landgericht Köln gerichtlich gegen die FCA Italy Spa vor. Weil dem Fall eine EU-Verordnung zugrunde liegt, legten die Kölner Richter den Fall dem Europäischen Gerichtshof EuGH vor.

Dieser hat nun im Sinne von Carglass und ATU entschieden. In dem Urteil vom 5. Oktober heißt es wörtlich:

"Die unabhängigen Wirtschaftsakteure müssen somit uneingeschränkten Zugang zu den Informationen erhalten, die für die Erfüllung ihrer Aufgaben in der Lieferkette auf dem Markt der Fahrzeugreparatur und -wartung erforderlich sind. Würde der Zugang zu den in Art. 61 Abs. 1 der Verordnung 2018/858 genannten Informationen an Bedingungen geknüpft, die in der Verordnung nicht vorgesehen sind, bestünde die Gefahr, dass sich die Anzahl der unabhängigen Werkstätten, die Zugang zu diesen Informationen haben, verringert, was möglicherweise zu einem Rückgang des Wettbewerbs auf dem Markt für Fahrzeugreparatur- und Fahrzeugwartungsinformationsdienste und damit zu einem verringerten Angebot für Verbraucher führt."

Könnten die Hersteller den Zugang zu den Fahrzeugdaten nach Belieben beschränken, könnten diese den Zugang von Bedingungen abhängig machen, die ihn praktisch vereiteln, so die Richter weiter. Andere Voraussetzungen für den Zugang in Art. 61 Abs. 1 der Verordnung 2018/858 genannten Informationen als die in der Verordnung vorgesehenen Voraussetzungen, wie eine Verbindung des Diagnosegerätes über das Internet mit einem vom Hersteller bestimmten Server oder eine vorherige Anmeldung der unabhängigen Wirtschaftsakteure bei diesem Hersteller, seien nicht zulässig. Die Cybersicherheits-Erwägungen der Hersteller dürften nicht auf Kosten des Zugangs zu den für Reparatur und Wartung relevanten Daten gehen.

"Die Entscheidung des Gerichts stärkt faire und ausgeglichene Wettbewerbsbedingungen auf dem Kfz-Servicemarkt und den Mehrwert, den sie für Verbraucher bedeuten", kommentierte Carlos Brito, CEO der Carglass-Muttergesellschaft Belron Group. Carglass Deutschlandchef Jean-Pierre Filippini ergänzte: "Wir erwarten, dass die Fahrzeughersteller jetzt die Auslegung der Vorschriften durch den EuGH respektieren und alle Beschränkungen des Zugriffs auf den OBD-Port sofort beseitigen." Auch ATU-Geschäftsführer Lars Heyne sprach von einem Urteil, das EU-weit Rechtssicherheit schaffe und den freien Wettbewerb stärke.

Mit dieser Einschätzung sind ATU und Carglass nicht allein. Auch nach Ansicht des Zentralverbands Deutsches Kraftfahrzeuggewerbe (ZDK) ist das Urteil im Sinne der Verbraucher. Es schaffe die Grundlage für eine herstellerübergreifende Lösung, die der Verband nun einfordert. Der ZDK fordere nun eine "eine schnelle sektorspezifische Gesetzgebung für den Zugang zu Fahrzeugdaten", so ZDK-Hauptgeschäftsführer Kurt-Christian Scheel. "In einer solchen Regulierung können geeignete Maßnahmen geschaffen werden, die unter Einhaltung höchstmöglicher Schutzvorgaben einen fairen Wettbewerb im Reparaturmarkt ermöglichen."

Das Verfahren vor dem Landgericht Köln geht mit dem Urteil nun weiter.