Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Beginn Inhaltsbereich
Erläuterungen zu Pay as you drive (PAYD) und dem Einsatz von Black Boxes in Motorfahrzeugen
Moderne Versicherungstarife für Motorfahrzeuge setzen sich aus mehreren Kriterien zusammen, mit welchen Versicherer versuchen, eine risikogerechte Prämie anzubieten. Bisher haben sie zur Risikoeinschätzung vorwiegend Informationen basierend auf bestimmten Zustandsdaten (Fahrzeugtyp, PS, etc.) und ereignisbezogene Verhaltensdaten (wie Schadensfälle oder Administrativmassnahmen) erhoben. Unter dem Namen «Pay as you drive» (PAYD) evaluieren in letzter Zeit allerdings immer mehr Versicherungen die zusätzliche Nutzung von ereignisunabhängigen Verhaltensdaten (wie das tägliche Fahrverhalten), um den einzelnen Kundinnen und Kunden individualisierte Motorfahrzeugsversicherungen anzubieten.
Die technischen Lösungen zur Erhebung der gewünschten Verhaltensdaten reichen von einer einfachen Erfassung der gefahrenen Kilometer über eine Tankkarte an der jeweiligen Tankstelle bis hin zu einem vollautomatischen und kommunikationsfähigen Datenaufzeichnungsgerät (Black Box), welches sämtliche Fahrzeugbewegungen und Reaktionen des Lenkers aufzeichnet und an das Versicherungsunternehmen weiterleitet. Nachfolgend werden die datenschutzrechtlichen Herausforderungen der vier wichtigsten PAYD-Lösungen kurz vorgestellt:
- Milage Monitoring: Der Versicherungsnehmer verfügt über eine Servicekarte, mit welcher er (z.B. beim Tanken) regelmässig den Kilometerstand seines Fahrzeuges an den Versicherer übermittelt, der den Tarif entsprechend anpasst.
- Journey Monitoring: Neben den gefahrenen Kilometern werden, entweder per GPS oder auf Autobahnen via Mautsystem, zusätzlich Route und Tageszeit erfasst. Entsprechend der Risikoeinschätzung der gewählten Route und Tageszeit wird dann der Versicherungstarif angepasst.
- Passive Black Box: Es handelt sich um ein im Fahrzeug installiertes Aufzeichnungsgerät, welches zusätzlich das Fahrverhalten (abruptes Bremsen, Beschleunigen, etc.) aufzeichnet und speichert. Nach dem Auslesen der Daten kann ein individueller Versicherungstarif berechnet werden.
- Aktive Black Box: Dieses Gerät verfügt zusätzlich über eine Kommunikationseinheit und übermittelt der Versicherung laufend Daten.
Da durch diese neuen technischen Möglichkeiten nahezu beliebig viele Daten über das Bewegungsverhalten der betroffenen Personen erhoben werden können, stellen sich besondere datenschutzrechtliche Fragen. Der EDÖB macht auf denkbare Risiken beim Einsatz von PAYD-Tarifen aufmerksam und zeigt Möglichkeiten auf, wie aus datenschutzrechtlicher Perspektive mit diesen Risiken umgegangen werden sollte.
Mit der Einführung von PAYD-Lösungen könnte es zu tief greifenden Veränderungen im Versicherungsmarkt für Motorfahrzeuge kommen. Es stellt sich die Frage, in wieweit sich ein Kunde einer PAYD-Lösung überhaupt entziehen könnte. Der in der ökonomischen Theorie bekannte Effekt der «adverse selection» könnte Versicherungsnehmer mit geringem Risiko dazu veranlassen, aufgrund der Preisvorteile einen PAYD-Tarif zu wählen. Bei den herkömmlichen Tarifen verblieben lediglich die risikoreichen teuren Versicherten und solche, denen die PAYD-Datenbearbeitungen zu weit gehen, was zu einem signifikanten Anstieg der Prämien führen könnte. Je nachdem wie stark ein solcher Preisanstieg wäre, könnten sich Versicherte gezwungen fühlen, in den PAYD-Tarif zu wechseln, um keine übermässigen finanziellen Nachteile zu erleiden. Das würde bedeuten, dass sich Versicherte faktisch nicht mehr gegen die Erstellung eines auf ihrer Fahrweise beruhenden Persönlichkeitsprofils wehren könnten.
Über die Motorfahrzeugversicherung hinaus könnte ein solcherart erstelltes Risikoprofil auch für weitere Versicherungen verwendet werden. Es könnte insbesondere in die Risikoberechnung bei Lebens-, Invaliditäts- und Unfallversicherungen Eingang finden, was im schlimmsten Fall dazu führen könnte, dass der Versicherungsgeber es ablehnt, die betroffene Person aufzunehmen, und diese keine Möglichkeit mehr hat, sich gegen entsprechende Risiken zu versichern. Dies ist schwerwiegend, weil zur Erstellung eines Risikoprofils die Datenerhebung über eine gewisse Zeit hinweg notwendig ist. Je nach Planungshorizont des Versicherungsgebers könnte sich durch Verhaltensänderungen des Versicherungsnehmers sein tatsächliches Risikoprofil ändern. Je nachdem, wie lange die Versicherungsgesellschaft die Verhaltensdaten der betroffenen Person speichert und zur Auswertung heranzieht, könnten sich dadurch Verzerrungen im aufgezeichneten Persönlichkeitsprofil des Versicherten ergeben.
Die stärkere Segmentierung der Tarifmodelle könnte zudem dazu führen, dass sich die Schere zwischen hohen und niedrigen Beiträgen weiter öffnet.
Vor allem in der Transformationsphase zwischen den bisherigen Tarifen und den PAYD-Tarifen könnte es bei Versicherungen, welche sich entschliessen, PAYD nicht einzuführen, zu einer systematischen Abwanderung von Versicherungsnehmern kommen. Dies könnte sich für die Versicherungen negativ auf die Risikostrukturen auswirken, was dann letztendlich zu einer Erhöhung der Beitragssätze führen könnte. Hierdurch würden weitere Versicherungsnehmer animiert, zu anderen Anbietern mit PAYD-Tarifen zu wechseln. Das Resultat wäre eine ungleiche Risikoverteilung, da diejenigen Versicherungen, welche PAYD anbieten, sowohl einen Informationsvorsprung hätten als auch vermehrt Kunden mit geringerem Risiko anziehen würden. Kunden mit einem höheren Risikoprofil würden vermehrt bei Versicherungen mit lediglich traditionellen Tarifen verbleiben.
Auf der anderen Seite kann auch die Einführung einer PAYD-Lösung beim Versicherungsgeber zu höheren Kosten führen. Dies ist auf der einen Seite dann der Fall, wenn dieser die Kosten für den Einbau einer Black Box zu tragen hat. Auf der anderen Seite können je nach Art der gewählten Lösung zusätzliche Kosten für den Betrieb und die Verwaltung der gesammelten Daten entstehen - insbesondere, wenn das Versicherungsunternehmen sie zentral speichert.
In naher Zukunft ist davon auszugehen, dass das Angebot aufgrund noch fehlender Standards bei PAYD sehr heterogen ausfallen wird. Ausserdem erwarten wir, dass die herkömmlichen Tarifmodelle zumindest auf mittlere Frist erhalten bleiben werden und lediglich die bisher bereits bestehenden ereignisbezogenen Tarifelemente, welche Rückschlüsse auf das Fahrverhalten zulassen (wie gefahrene Kilometer, Führerausweisentzüge, Unfälle, etc.) in die Versicherungsprämie einfliessen werden. Daher wird eine weitergehende PAYD-Versicherungsprämie, welche unabhängig von bestimmten Ereignissen das Fahrverhalten analysiert, lediglich eine Option bleiben, welche ein Versicherungsnehmer wählen kann, wenn er davon finanziell profitieren möchte.
Grundsätzlich dürfen personenbezogene Daten, welche mittels eines PAYD-Systems erhoben werden, immer nur mit dem Einverständnis des Versicherungsnehmers bearbeitet werden. Daher ist es zunächst zentral, dass er vor dem Entschluss für ein PAYD-Modell detailliert über die Art und den Umfang der über ihn zu bearbeitenden Personendaten informiert wird. Insbesondere muss die betroffene Person wissen, welche Daten wann, wie und in welcher Häufigkeit erhoben, gespeichert oder ausgewertet werden, sei es mittels einer Black Box oder auf andere Weise.
Die Erfahrung hat allerdings gezeigt, dass neue Möglichkeiten der Datenerhebung, sobald sie einmal eingeführt sind, schnell neue Begehrlichkeiten wecken können. Daher ist es notwendig, klare gesetzliche Regelungen zu schaffen, unter welchen Umständen beispielsweise Strafverfolgungsbehörden Zugriff auf die in einer solchen Black Box gespeicherten Daten haben sollen.
Grundsätzlich müssen bei der Sammlung von ereignisunabhängigen Nutzungsdaten, welche über das Fahrverhalten Aufschluss geben, insbesondere durch Installation von Black Boxen, die Datenschutzgrundsätze beachtet werden. Hierbei gilt es, von vorne herein festzulegen, zu welchem Zweck die Daten verwendet werden, und eine entsprechende Selektion der unbedingt notwendigen Daten vorzunehmen. Damit soll vermieden werden, dass alle möglichen Informationen auf Vorrat gesammelt werden.
Zudem darf die Sammlung ereignisunabhängiger Verhaltensdaten nicht zu einem «gläsernen Fahrer» führen, über dessen Fahrverhalten ein detailliertes Personenprofil erhoben wird. Genauso wenig darf ein komplettes Bewegungsprofil des Fahrers erstellt werden. Um exzessive personenbezogene Auswertungen zu vermeiden, sollte zudem auf die zentrale Datenspeicherung verzichtet werden. Denn damit könnten die Bewegungsprofile verschiedener Fahrer verglichen werden, was dann Rückschlüsse auf ganz andere Lebenssachbereiche zulassen würde.
Da es für Aussenstehende zudem oft nicht nachvollziehbar ist, was beispielsweise in einer Black Box aufgezeichnet wird, ist es sowohl für den Versicherer wie auch für den Versicherungsnehmer eine Vertrauensfrage, wie mit diesen sensiblen Personendaten umgegangen wird.
Beschränkung der Abrufbarkeit von Daten (Vorauswertung).
Da ereignisunabhängige Fahrverhaltensdaten meist über ein Aufzeichnungsgerät erhoben werden, welches über eine eigenständige Recheneinheit verfügt (wie z.B. eine Black Box), könnte bereits eine Vorauswertung innerhalb dieser Recheneinheit vorgenommen werden. Anstatt alle Primärdaten aufzuzeichnen, würden dann nur noch berechnete Sekundärdaten, welche der Versicherer zur Ausgestaltung seines PAYD-Tarifs benötigt, verwendet. Dies hätte den Vorteil, dass die Datenauswertung dezentral erfolgen würde und der Versicherer nur noch aggregierte Daten abrufen könnte. Aus solchen wäre es dem Versicherer dann kaum noch möglich, mit geänderten Auswertungsalgorithmen weitergehende und eventuell zweckfremde Auswertungen vorzunehmen, was bei der Auswertung von Primärdaten ohne weiteres möglich ist.
Beschränkter Zugriff auf die in der Black-Box gespeicherten Daten
Eine im Fahrzeug installierte «Black Box» muss grundsätzlich vor Missbrauch und vor externen Zugriffen geschützt sein. Da sie personenbezogene Daten speichert, sollte lediglich der Benutzer des Fahrzeugs über diese Daten verfügen können. So muss eine Black Box, welche über eine Kommunikationseinheit verfügt, dahingehend geschützt sein, dass kein unberechtigter Dritter über diese Kommunikationseinheit Daten abrufen kann.
Zuletzt aktualisiert am: 02.05.2008
Ende Inhaltsbereich