---
title: "Datenschutz in der Automobilbranche: TISAX und Zulieferer"
description: "In der Automobilbranche kommt die Anforderung meist vom Kunden, nicht von der Behörde. Was TISAX verlangt und wo Fahrzeugdaten hinzukommen."
canonical: "https://www.dsb-datenschutz.de/datenschutz/branchen-automobilbranche/"
---

# Datenschutz in der Automobilbranche

In den meisten Branchen kommt der Anstoß von der Aufsichtsbehörde oder von einem Vorfall. Beim **Datenschutz** in der **Automobilbranche** kommt er vom Kunden: Ein Hersteller verlangt ein TISAX-Label, und ohne dieses Label gibt es keinen Auftrag. Datenschutz und Informationssicherheit werden damit zur Zugangsvoraussetzung.

## TISAX ist der Auslöser, aber nicht der ganze Auftrag

TISAX prüft nicht den Datenschutz, sondern die **Informationssicherheit** nach dem VDA-Prüfkatalog. Er enthält einen Abschnitt zum Datenschutz und – je nach verlangtem Prüfziel – Module zum Schutz von Prototypen.

Daraus folgt eine Arbeitsteilung, die viele Zulieferer unterschätzt: Das Assessment prüft, ob ein Managementsystem existiert und wirkt. Ob Ihre Verarbeitungen datenschutzrechtlich zulässig sind, prüft es nicht. Beides muss vorliegen.

Wer vor dem Assessment steht, findet den Ablauf unter [TISAX](https://www.dsb-datenschutz.de/frameworks/tisax/) und die Kostenseite unter [Vorbereitung auf TISAX](https://www.dsb-datenschutz.de/informationssicherheit/kosten-vorbereitung-auf-tisax/). Der Unterbau ist ein [Informationssicherheitsmanagementsystem](https://www.dsb-datenschutz.de/informationssicherheit/aufbau-isms/); die Wahl zwischen den Standards steht unter [ISMS-Beratung](https://www.dsb-datenschutz.de/informationssicherheit/isms-beratung/).

## Prototypenschutz ist kein Datenschutz

Die Prototypen-Module betreffen Betriebsgeheimnisse, nicht personenbezogene Daten – Zutritt zu Erprobungsflächen, Umgang mit Bildmaterial, Geheimhaltungsvereinbarungen, Transport.

Die Berührungspunkte entstehen an den Rändern: Zutrittskontrollen erzeugen Bewegungsdaten von Beschäftigten, Kameras auf dem Gelände erfassen Personen, Besucherlisten sind personenbezogen. Für die Videoüberwachung gelten die Anforderungen aus der [Beratung zur Videoüberwachung](https://www.dsb-datenschutz.de/datenschutz/beratung-videoueberwachung-dsgvo/), für die räumliche Seite die [physische Sicherheit](https://www.dsb-datenschutz.de/informationssicherheit/wissen-physische-sicherheit/).

## Die Lieferkette reicht Anforderungen weiter

Der Hersteller verlangt TISAX vom Ersten-Reihe-Zulieferer, dieser gibt die Anforderung an seine Zulieferer weiter. Mit [NIS-2](https://www.dsb-datenschutz.de/frameworks/nis-2/) kommt dasselbe Muster aus einer zweiten Richtung: Erfasste Unternehmen müssen die Sicherheit ihrer Lieferkette adressieren.

Für Sie heißt das zweierlei. Nach oben: Sie beantworten Fragebögen – dazu die vorbereitete Mappe aus dem [Lieferantenaudit](https://www.dsb-datenschutz.de/informationssicherheit/wissen-lieferanten-audit/). Nach unten: Sie müssen Ihre eigenen Dienstleister prüfen, vom Konstruktionsbüro bis zum Entsorger.

## Wo personenbezogene Daten tatsächlich anfallen

**Beschäftigtendaten in der Fertigung.** Schichtplanung, Zeiterfassung, Zutritt, Qualitätsdaten mit Bearbeiterkennung. Das ist der Bereich mit dem größten Volumen und der höchsten Mitbestimmungsdichte – siehe [Beschäftigtendatenschutz](https://www.dsb-datenschutz.de/datenschutz/wissen-beschaeftigtendatenschutz/).

**Fahrzeug- und Telematikdaten.** Wer Steuergeräte, Diagnosewerkzeuge oder vernetzte Funktionen entwickelt, verarbeitet Daten, die sich über Fahrzeug-Identifizierungsnummer und Halterbezug einer Person zuordnen lassen. Die Frage nach dem Personenbezug ist hier keine akademische: Sie entscheidet, ob die DSGVO überhaupt greift – und die Antwort lautet häufiger ja als erhofft.

**Entwicklungs- und Erprobungsdaten.** Aufzeichnungen aus Testfahrten enthalten Standort- und Fahrverhaltensdaten der Fahrerinnen und Fahrer.

**Händler- und Kundendaten.** Probefahrten, Serviceaufträge, Leasingunterlagen.

## Der übliche Ablauf

Erst die Bestandsaufnahme, dann die Lücke gegen den Prüfkatalog, dann der Aufbau – und parallel die datenschutzrechtliche Dokumentation, weil beide auf dieselbe Erhebung zurückgreifen. Wer beides getrennt aufsetzt, macht die Arbeit zweimal.

Die Rolle des [externen Informationssicherheitsbeauftragten](https://www.dsb-datenschutz.de/informationssicherheit/externer-isb/) gibt es **ab 257 € im Monat**, die des [Datenschutzbeauftragten](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/kosten/) **ab 137 €**.

## Kontakt

Ein Kunde verlangt TISAX, und Sie wissen nicht, welches Prüfziel gemeint ist? Das klären wir zuerst – es entscheidet über den gesamten Aufwand.

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Alle Branchen im Überblick](https://www.dsb-datenschutz.de/datenschutz/branchen/)