Chinesische E-Autos und Datenschutz: Was wirklich dahintersteckt

Von Jörg Schock
Erster Hauptkommissar a. D. · über 35 Jahre Hamburger Polizei

Ein Auto, das ständig weiß, wo man ist, wie man fährt und manchmal sogar, was im Innenraum gesprochen wird – das ist inzwischen keine Zukunftsvision, sondern der Serienzustand fast jedes neuen Fahrzeugs, unabhängig vom Hersteller. Anfang 2026 hat diese Diskussion eine politische Note bekommen: Vertreter des deutschen Verfassungsschutzes warnten öffentlich vor Datensammlung und möglichem Fernzugriff bei chinesischen E-Autos. Für Käufer, die gerade zwischen einem BYD, MG oder einem europäischen Modell entscheiden, bleibt danach vor allem eine Frage übrig, die in der Aufregung oft untergeht: Was genau sammelt so ein Auto eigentlich – und ist das bei chinesischen Marken wirklich anders als bei allen anderen?

Die Warnung des Verfassungsschutzes – was genau wurde gesagt

Der Thüringer Verfassungsschutz-Chef Stephan Kramer äußerte sich Anfang 2026 gegenüber dem Handelsblatt: Die Spionagegefahr durch chinesische E-Autos sei real. Er stufte das Risiko dabei differenziert ein – für sicherheitsrelevante Bereiche wie Bundeswehr, Polizei, kritische Infrastruktur und den Regierungsumfeld sei die Gefahr „hoch", für Privatpersonen graduell niedriger, aber nicht null. Das Bundesamt für Verfassungsschutz (BfV) warnte ergänzend vor Sicherheitsrisiken durch vernetzte chinesische E-Autos: Angreifer könnten sich möglicherweise unautorisierten Zugriff auf die Internetschnittstellen der Fahrzeuge (WLAN, Mobilfunkverbindung) verschaffen und Informationen abgreifen. Betroffen sein könnten Fahrdaten, technische Betriebsdaten (Telemetrie) und möglicherweise auch Innenraumaufnahmen; im ungünstigsten Fall sei theoretisch auch eine Kontrolle über Fahrzeugfunktionen denkbar.

Wichtig für die Einordnung: Es geht in dieser Warnung nicht primär um klassische Spionage im Sinne gezielter Aktionen gegen Einzelpersonen, sondern – so die Formulierung – um „großflächiges Daten-Sammeln". Der Unterschied ist relevant, weil er die Risikoeinschätzung für Privatpersonen von der für sicherheitsrelevante Berufsgruppen trennt.

BYDs Gegendarstellung: EU-lokale Datenverarbeitung

BYD reagiert auf solche Vorwürfe seit Längerem mit dem Verweis auf europäische Datenverarbeitung. Nach eigenen Angaben verarbeitet BYD Europe – eine nach niederländischem Recht gegründete Gesellschaft mit Sitz in Schiedam, Niederlande – die Fahrzeug- und Servicedaten europäischer Kunden innerhalb der EU. Konkret nennt BYD in seiner Mitteilung zum EU Data Act ein Rechenzentrum bei Google Cloud mit Serverstandort in Paris als Ort der Datenverarbeitung für Produkt- und Servicedaten.

Diese Aussage lässt sich in einem Punkt unabhängig verifizieren: Der EU Data Act (Verordnung (EU) 2023/2854), der seit dem 12. September 2025 gilt, verpflichtet Hersteller vernetzter Produkte, Nutzer darüber zu informieren, welche Daten anfallen und wie darauf zugegriffen werden kann. BYD hat dazu auf seiner deutschen Website eine entsprechende Mitteilung veröffentlicht. Das beantwortet aber nicht automatisch die Frage, ob und in welchem Umfang Daten zusätzlich an Konzernstrukturen in China übermittelt werden – etwa für Produktentwicklung, Qualitätssicherung oder App-Backend-Dienste, die außerhalb der reinen EU-Kundendatenverarbeitung laufen können. Wer das verbindlich wissen will, muss die vollständige Datenschutzerklärung des jeweiligen Herstellers und – bei Bedarf – eine eigene Auskunftsanfrage nach Art. 15 DSGVO heranziehen.

Was moderne vernetzte Autos wirklich an Daten erheben

Unabhängig vom Hersteller gilt: Ein Auto von 2026 ist ein rollender Sensorpark. Nach Angaben mehrerer Fachquellen – darunter der ADAC und die Mozilla Foundation – gehören dazu typischerweise:

• Standort- und Bewegungsdaten. GPS-Position, gefahrene Routen, häufig besuchte Orte – erhoben über das eingebaute Navigationssystem und die Mobilfunkverbindung des Fahrzeugs.
• Fahrverhalten und Fahrprofile. Brems- und Beschleunigungsverhalten, Lenkbewegungen, Anschnallstatus, teils auch Lenkradkontakt zur Müdigkeitserkennung.
• Kameradaten. Viele Fahrzeuge verfügen über mehrere in die Karosserie integrierte Kameras für Umgebungserkennung, Parkassistenten und Diebstahlschutz-Funktionen wie Tesla Sentry Mode.
• Mikrofon- und Spracherfassung. Sprachassistenten in Infotainment-Systemen benötigen technisch eine Mikrofonverbindung; wie lange Sprachdaten gespeichert und ob sie zur Verbesserung der Spracherkennung an Server übertragen werden, unterscheidet sich je nach Hersteller und Einstellung.
• Smartphone-gekoppelte Daten. Über Bluetooth- oder Kabelverbindung können Kontaktlisten, Anrufprotokolle und teils Nachrichteninhalte ausgelesen werden, wenn ein Smartphone mit dem Infotainmentsystem gekoppelt wird.
• Technische Telemetrie. Batteriezustand, Ladeverhalten, Softwareversionen, Fehlercodes – primär für Wartung und Ferndiagnose gedacht, aber ebenfalls personenbeziehbar, sobald sie einem Fahrzeug und damit einem Halter zugeordnet werden.

Diese Aufzählung gilt herstellerübergreifend. Welche dieser Kategorien ein konkretes Modell tatsächlich erhebt, in welchem Umfang und mit welcher Speicherdauer, steht – zumindest in Grundzügen – in der Datenschutzerklärung des jeweiligen Herstellers, die beim Kauf oder bei Erstinbetriebnahme des Fahrzeugs zur Verfügung gestellt werden muss.

Was die DSGVO Käufern in der EU konkret erlaubt

Die Datenschutz-Grundverordnung gilt für jeden Hersteller, der personenbezogene Daten von Personen in der EU verarbeitet – unabhängig davon, wo das Unternehmen seinen Hauptsitz hat. Für Käufer eines vernetzten Fahrzeugs sind vor allem drei Rechte praktisch relevant:

Die praktische Grenze dieser Rechte: Sie verpflichten den Hersteller zur Auskunft und im Zweifel zur Löschung – sie verhindern aber nicht, dass Daten überhaupt erst erhoben werden, solange dafür eine Rechtsgrundlage besteht (etwa Vertragserfüllung oder berechtigtes Interesse an Fahrzeugsicherheit). Wer wissen will, was ein konkretes Fahrzeug über einen speichert, muss aktiv eine Auskunftsanfrage stellen – das geschieht nicht automatisch.

Rechtslage: Datenübermittlung in die Volksrepublik China

Für die Frage, ob Daten aus der EU nach China übermittelt werden dürfen, ist die zentrale Vorschrift Kapitel V der DSGVO zu Drittlandtransfers. Entscheidend ist: Für China existiert kein Angemessenheitsbeschluss der EU-Kommission – anders als etwa für Japan, Großbritannien oder (mit Einschränkungen) die USA über das Data Privacy Framework. Die EU erkennt das chinesische Datenschutzniveau also nicht als gleichwertig an.

Ohne Angemessenheitsbeschluss bleibt Unternehmen im Regelfall der Weg über die EU-Standardvertragsklauseln (SCC) – vertragliche Garantien, mit denen ein Unternehmen zusagt, europäisches Datenschutzniveau auch bei der Verarbeitung außerhalb der EU einzuhalten. Zusätzlich verlangt das chinesische Gesetz zum Schutz personenbezogener Daten (PIPL) seit 2021 eigene Mechanismen für den Datenexport aus China – darunter seit Juni 2023 chinesische Standardvertragsklauseln (CN-SCC). In der Praxis kann ein Unternehmen, das Daten in beide Richtungen zwischen EU und China bewegt, damit sowohl EU-SCC als auch CN-SCC gleichzeitig erfüllen müssen – ein komplexes, doppelt abgesichertes Konstrukt.

Ob ein bestimmter Hersteller diese Mechanismen tatsächlich nutzt, weil er Daten an eine chinesische Konzernmutter überträgt, oder ob er – wie von BYD für Europa behauptet – konsequent nur innerhalb der EU verarbeitet, lässt sich von außen nicht pauschal beantworten. Es gibt hierzu bereits aufsichtsrechtliche Kritik: Die österreichische NGO noyb (None of Your Business) hat 2025 Beschwerde wegen eines Datenexports nach China eingelegt – ein Hinweis darauf, dass die Behauptung reiner EU-Verarbeitung im Einzelfall geprüft und nicht unbesehen übernommen werden sollte.

Die Fairness-Frage: Sind chinesische Hersteller wirklich schlimmer?

Wer das Thema nur an der Herkunft eines Herstellers festmacht, macht es sich zu einfach. Die gemeinnützige Mozilla Foundation hat in ihrer „Privacy Not Included"-Untersuchung 2023 alle 25 untersuchten Automarken – darunter Tesla, BMW, Ford, Toyota, Volkswagen, Kia und Subaru – wegen mangelhaften Datenschutzes durchfallen lassen. Es war das erste Mal in der siebenjährigen Geschichte dieses Verbraucherschutz-Berichts, dass eine komplette Produktkategorie vollständig durchfiel. Mozilla dokumentierte dabei teils drastische Datenkategorien: sensible Informationen bis hin zu sexueller Aktivität, Einwanderungsstatus, Herkunft, Gewicht und Gesundheitsdaten – erhoben über Sensoren, Mikrofone, Kameras, gekoppelte Smartphones, Hersteller-Apps und Vertragshändler. Nach Mozillas Recherche bejahten über drei Viertel der untersuchten Unternehmen, Nutzerdaten zu verkaufen.

Auch ein konkretes deutsches Beispiel zeigt, dass das Problem nicht auf chinesische Hersteller beschränkt ist: Teslas Sentry-Modus zeichnet dauerhaft die Fahrzeugumgebung über eingebaute Kameras auf – inklusive unbeteiligter Passanten – und speichert diese Videodaten nach Kritik von Datenschützern auf Servern in den USA. Die USA verfügen mit Gesetzen wie dem Patriot Act über Zugriffsmöglichkeiten von Behörden, die aus EU-Sicht ebenfalls nicht ohne Weiteres DSGVO-konform sind. Der Verbraucherzentrale Bundesverband hat deswegen Klage gegen Tesla beim Landgericht Berlin eingereicht.

Das relativiert die Verfassungsschutz-Warnung nicht, ordnet sie aber ein: Die konkrete Sorge um staatlichen Fernzugriff durch chinesische Behörden ist ein zusätzlicher, geopolitisch begründeter Risikofaktor, der bei europäischen oder US-amerikanischen Herstellern in dieser Form nicht besteht. Das grundsätzliche Problem exzessiver Datensammlung im vernetzten Auto ist dagegen ein Branchenproblem, kein Länderproblem.

Was Fahrer praktisch tun können

• Konnektivität bewusst einschränken. Viele Fahrzeuge lassen sich auch mit reduzierter oder deaktivierter Mobilfunkverbindung fahren – zulasten von Komfortfunktionen wie Fernzugriff per App, aber mit weniger Datenabfluss.
• Smartphone-Kopplung sparsam einsetzen. Wer sein Handy nur per Kabel zum Laden verbindet statt per Bluetooth vollständig zu koppeln, verhindert, dass Kontakte, Anruflisten und Nachrichtenverläufe automatisch ausgelesen werden.
• App-Berechtigungen prüfen. Hersteller-Apps fürs Smartphone fragen oft weitreichende Berechtigungen ab (Standort im Hintergrund, Kontakte, Mikrofon). Diese lassen sich in den Android- oder iOS-Systemeinstellungen einzeln einschränken, ohne die App komplett zu deinstallieren.
• Diagnose- und Nutzungsdaten-Freigaben abschalten. Viele Infotainmentsysteme bieten in den Einstellungen einen Menüpunkt zum Teilen von Nutzungs- und Diagnosedaten mit dem Hersteller – diese Freigabe lässt sich in der Regel deaktivieren, ohne die Kernfunktionen des Fahrzeugs einzuschränken.
• Auskunftsrecht aktiv nutzen. Eine formlose Anfrage nach Art. 15 DSGVO an den Datenschutzbeauftragten des Herstellers zeigt schwarz auf weiß, welche Daten tatsächlich vorliegen – das ist oft aufschlussreicher als jede Marketingaussage.
• Vor dem Kauf die Datenschutzerklärung querlesen. Der Abschnitt zu „Datenübermittlung an Dritte" oder „internationale Datenübermittlung" verrät meist direkt, ob und wohin außerhalb der EU übertragen wird.

Häufige Fragen

Fazit: Zwei wahre Dinge gleichzeitig

Die Verfassungsschutz-Warnung und BYDs Widerspruch schließen sich nicht gegenseitig aus – sie beschreiben zwei unterschiedliche Ebenen desselben Themas. Die politisch-sicherheitsbehördliche Sorge um staatlichen Zugriff durch ein autoritäres System ist ein Faktor, der bei chinesischen Herstellern spezifisch besteht und bei europäischen oder US-amerikanischen nicht in derselben Form. Gleichzeitig ist die grundsätzliche Datensammelwut moderner Fahrzeuge ein branchenweites Problem, das die Mozilla Foundation 2023 lückenlos bei allen 25 großen Marken dokumentiert hat – inklusive Tesla, dessen Kameradaten auf US-Servern liegen und ebenfalls beklagt werden. Wer sich vor dem Kauf eines vernetzten Autos wirklich schützen will, kommt an zwei Dingen nicht vorbei: der konkreten Datenschutzerklärung des jeweiligen Modells und der aktiven Nutzung der eigenen DSGVO-Rechte. Die Herkunft des Herstellers ist dabei ein Faktor unter mehreren – nicht der einzige und nicht automatisch der wichtigste.

Quellen: Handelsblatt – Verfassungsschutz warnt vor Fernzugriff auf chinesische E-Autos · ecomento.de, 21.01.2026 – Datensammlung durch China-Elektroautos · BYD Deutschland – Mitteilung zum Data Act · Mozilla Foundation – Privacy Not Included: Cars, 2023 · ADAC – Diese Fahrzeugdaten sammelt ein modernes Auto · Verordnung (EU) 2023/2854 (Data Act) · Art. 15, 17, Kapitel V DSGVO.