General Motors zahlt 220 Millionen Dollar, um Vorwürfe einer Koalition aus 36 Bundesstaaten beizulegen, der Autobauer habe private Fahr- und Standortdaten ohne Erlaubnis an Datenhändler verkauft. Die belastendsten Feststellungen des Verfahrens betreffen dabei nicht den Verkauf. Sie betreffen die Frage, wie die Fahrer überhaupt in das Programm geraten sind.
Es geht um Smart Driver, eine GM-Funktion, die zwischen 2016 und 2024 Beschleunigung, starkes Bremsen, Geschwindigkeitsüberschreitungen sowie Zeitpunkt und Häufigkeit von Fahrten für Millionen Fahrzeughalter erfasste. GM bewarb das Programm als Sicherheitswerkzeug und versprach, Daten nicht ohne ausdrückliche Zustimmung an Versicherer weiterzugeben, so die Ermittler der Bundesstaaten. Die Daten gingen trotzdem an Händler, die sie an Versicherer weitergaben, die damit Beiträge anpassten.
Im Autohaus angemeldet, mit fremder Unterschrift
Die meisten Kunden wurden bei Händlern über einen einheitlichen OnStar-Anmeldeablauf registriert. Die Ermittler fanden heraus, dass Unternehmensziele für die Anmeldequote Verkaufsprämien an Connected-Car-Registrierungen knüpften und dass Mitarbeiter der Händler häufig die Allgemeinen Geschäftsbedingungen im Namen der Käufer akzeptierten, ohne dass diese davon wussten.
Dann ist da die App. Die OnStar-App von GM teilte mehr als 370.000 Fahrern mit, sie seien nicht bei Smart Driver angemeldet, während das Unternehmen ihre Daten weiterhin erfasste und verkaufte. Später meldete GM diese Fahrer stillschweigend ab, ohne sie über den Fehler zu informieren – und ließ die bereits erhobenen Daten bei Händlern und Versicherern.
Der Generalstaatsanwalt von Oregon, Dan Rayfield, der die Koalition gemeinsam mit Washingtons Nick Brown anführte, brachte den Fall auf einen Satz: „Die Leute haben ein Auto gekauft, kein Tracking-Gerät.“ GM habe den Fahrern gesagt, das Programm helfe ihnen, sicherer zu fahren, und versprochen, die Daten nicht ohne Erlaubnis an Versicherer weiterzugeben. „Unsere Ermittlung ergab, dass GM die Daten trotzdem verkauft hat, und manche Fahrer zahlten dafür mit höheren Beiträgen.“
Die Auflagen
Über das Geld hinaus muss GM vor der Erhebung oder Weitergabe von Fahrdaten eine ausdrückliche, bestätigende Zustimmung einholen, die erhobenen Daten begrenzen, ein umfassendes Datenschutzprogramm aufbauen, sich internen und externen Datenschutzprüfungen unterziehen und Aufsicht sowie Schulungen im Händlernetz einrichten, um unbefugte Anmeldungen zu verhindern.
Oregon erhält mehr als 10,4 Millionen Dollar. Dem Lenkungsausschuss der Ermittlungen gehörten Colorado, Connecticut, Delaware, Illinois, Kentucky, Maryland, Minnesota, New Jersey, Utah und Vermont an, dazu 24 weitere Bundesstaaten und der District of Columbia.
Ein prozedurales Detail lohnt sich zu behalten: Oregon klagte auf Grundlage des staatlichen Gesetzes gegen unlautere Handelspraktiken und nicht auf Grundlage des Verbraucherdatenschutzgesetzes, weil ein Großteil des Verhaltens vor dem Oregon Consumer Privacy Act liegt, der im Juli 2024 in Kraft trat. Nur das ältere Gesetz reichte bis zu dem Verhalten zurück.
Nicht die erste Rechnung
Die Einigung folgt auf einen Vergleich über 12,75 Millionen Dollar in Kalifornien in diesem Jahr und auf das Vorgehen der FTC von 2025, das GM für fünf Jahre untersagte, Fahrdaten an Verbrauchermeldeagenturen weiterzugeben. GM beendete Smart Driver, nachdem die New York Times berichtet hatte, wie Versicherer die Daten nutzten.
Interessant ist das Muster über diese Verfahren hinweg. Die FTC nahm sich des Erhebungsmechanismus an. Kalifornien nahm eine Zahl. 36 Bundesstaaten nahmen sich der Anmeldemaschinerie an – der Quoten, der Unterschriften, die jemand anderes leistete, der App, die „Sie sind nicht angemeldet“ sagte, während der Zähler lief – und machten Zustimmung zu etwas, das GM beweisen muss statt behaupten zu dürfen.
Worauf zu achten ist
Ob die Aufsichtspflichten im Händlernetz Zähne haben: Die Einigung verlangt Schulung und Überwachung, doch die Anreizstruktur, die die Anmeldungen erzeugte – Prämien, an die Registrierung gekoppelt –, ist ein Managementproblem, kein Compliance-Formular. Und ob andere Autobauer, von denen mehrere ähnliche Connected-Car-Datenprogramme betreiben, das als Preis für dasselbe Verhalten lesen.
