Der französische Europaabgeordnete François Kalfon fordert eine Prüfung möglicher Sicherheitsrisiken vernetzter BYD-Fahrzeuge durch die Europäische Kommission. In einer Mitteilung vom 4. November 2026 verlangt er unter anderem Zugangsbeschränkungen für sensible Anlagen und einen Ausschluss des Herstellers von öffentlichen Aufträgen. Die Initiative ist eine politische Forderung. Sie verkündet kein beschlossenes EU-Verkaufsverbot und keine allgemeine Einschränkung für private Fahrzeughalter.
Kalfon verweist auf Kameras, Mikrofone, GPS und Lasersensoren, die in der Nähe militärischer Einrichtungen oder strategischer Infrastruktur sensible Informationen erfassen könnten. Das ist die vom Abgeordneten vorgetragene Risikobewertung. Seine Mitteilung enthält keinen technischen Prüfbericht zu einem bestimmten BYD-Modell und benennt auch keinen getesteten Softwarestand. Aus der Forderung nach einer Untersuchung lässt sich deren Ergebnis deshalb nicht vorwegnehmen.
Welche Einschränkungen zur Diskussion stehen
Nach eigenen Angaben hat Kalfon die Kommission gemeinsam mit acht weiteren Europaabgeordneten angesprochen und dem französischen Premierminister Sébastien Lecornu geschrieben. Sein Maßnahmenkatalog umfasst den eingeschränkten Zugang zu militärischen und sensiblen Einrichtungen, den Ausschluss von öffentlichen Beschaffungen, eine Einstufung von BYD als Risikolieferant und eine Begrenzung europäischer Importe.
Diese Vorschläge hätten unterschiedliche Adressaten. Eine Regel für die Einfahrt auf ein Militärgelände betrifft einen abgegrenzten Ort. Ein Ausschluss bei staatlichen Ausschreibungen betrifft öffentliche Käufer. Eine Importbeschränkung hätte wiederum einen eigenen handelsrechtlichen Anwendungsbereich. Keine dieser Forderungen wird allein durch die Veröffentlichung der Mitteilung zu einer unionsweit geltenden Vorschrift für sämtliche Autofahrer.
Kalfon nennt außerdem Bestimmungen aus Gesetzgebungsvorhaben, darunter einen von ihm als Cybersecurity Act 2 bezeichneten Text, der sich noch in Verhandlungen befindet. Die Nennung belegt keine bereits beschlossene EU-Einstufung von BYD nach dem geforderten Muster. Öffentliche Käufer müssten für neue Pflichten einen anwendbaren Rechtsakt mit konkretem Geltungsbereich und definierten Voraussetzungen heranziehen. Die politische Initiative ändert für sich genommen keine Teilnahmebedingungen einer Ausschreibung.
Was BYD über Fahrzeugdaten offenlegt
Einen konkreteren Einblick in die beschriebenen Dienste liefert BYDs europäische Mitteilung zum Data Act. Als Dateninhaber nennt sie BYD Europe B.V. mit statutarischem Sitz im niederländischen Schiedam. Aufgeführt werden beispielsweise Türverriegelung, Fensterzustand, Reifendruck, Kilometerstand, Geschwindigkeit, Gangwahl, Batterietemperatur und Ladezustand. Welche Daten tatsächlich anfallen, hängt laut Unternehmen von den Funktionen und der Konfiguration des Fahrzeugs sowie der zugehörigen Dienste ab.
Die Mitteilung unterscheidet mehrere technische Zwecke. Bei Softwareaktualisierungen nennt sie grundlegende Fahrzeuginformationen, Systemversionen, Ablaufprotokolle und das Ergebnis der Installation. Diagnosedaten können Fahrzeugkonfiguration, Firmware, Energieverbrauch und Zustände elektronischer Systeme umfassen. Sie dienen nach der Darstellung des Unternehmens der Fehlersuche und technischen Bewertung. Diese Beschreibung ist keine Feststellung eines unbefugten Zugriffs.
Für die von dieser Mitteilung erfassten Produktdaten und Daten verbundener Dienste nennt BYD eine Speicherung in Google Cloud mit einem Rechenzentrum in Paris. Die Aussage hat einen bestimmten Umfang. Sie ist kein unabhängiger Nachweis, dass sämtliche Komponenten, Anwendungen und Kameras aller BYD-Ausführungen dieselbe Datenarchitektur besitzen oder dass alle Zugriffsrechte extern überprüft worden sind.
Auch die Fristen sollten nicht pauschalisiert werden. BYD beschreibt in der Mitteilung eine Aufbewahrung, solange die Daten für die Bereitstellung der Produkte, rechtliche Pflichten oder den Schutz eigener beziehungsweise fremder Interessen benötigt werden. Daraus lässt sich keine einheitliche feste Löschfrist für jede Datenkategorie und jeden Dienst ableiten. Für Nutzer ist deshalb neben dem Speicherort auch die konkrete Information zum verwendeten Dienst relevant.
Lokale Kameraverarbeitung und Cloud-Dienste trennen
Auf seiner europäischen Datenschutz-Informationsseite erklärt BYD, Daten von Innen- und Außenkameras würden lokal im Fahrzeug verarbeitet. Bei der Panoramakamera würden erfasste Bilder nicht gespeichert; die Funktion nutze während ihres Einsatzes Straßeninformationen in Echtzeit. Die Seite verweist ausdrücklich auf die jeweilige Modellversion und die Bedienungsanleitung, wenn es um tatsächlich verfügbare Funktionen geht.
Eine solche lokale Bildverarbeitung bedeutet nicht, dass das Fahrzeug keinerlei andere Daten überträgt. Die gesondert beschriebenen Cloud-Dienste für Fahrzeugzustände, Diagnose und Aktualisierungen betreffen andere Vorgänge. Umgekehrt ist die bloße Existenz einer Datenverbindung kein Beleg für Spionage. Für eine Prüfung wären die erfassten Informationen, die Zwecke und die zum Zugriff berechtigten Stellen einzeln zu betrachten.
BYD beschreibt außerdem die Kontrolle und das Schließen von Fenstern über seine App mit Passwortbestätigung. Vernetzte Fahrzeugsicherheit umfasst somit nicht nur ausgehende Informationen, sondern auch eingehende Befehle. Der geografische Standort eines Servers beantwortet nicht allein, wie diese Befehle authentifiziert werden und welche Berechtigungen für den jeweiligen Dienst gelten. Diese Fragen bleiben von der politischen Bewertung eines Herstellers zu unterscheiden.
Was Halter anhand der Unterlagen prüfen können
Die am 9. März 2021 verabschiedeten Leitlinien des Europäischen Datenschutzausschusses zu vernetzten Fahrzeugen empfehlen lokale Verarbeitung, wo sie möglich ist, und eine Beschränkung der Erhebung auf notwendige Daten. Sie behandeln außerdem datenschutzfreundliche Voreinstellungen und das Löschen persönlicher Informationen vor einem Fahrzeugverkauf. Die Leitlinien gelten dem Sektor insgesamt und enthalten kein besonderes Urteil über BYD.
Für Halter ergibt sich daraus eine Prüfung anhand der passenden Bedienungsanleitung und der getrennten Informationen zu Fahrzeug, Konto und App. Eine lokale Rangierkamera, Sprachbedienung und Ferndiagnose sind nicht als identischer Dienst zu behandeln. BYD erklärt etwa, der Sprachassistent bleibe bis zur Aktivierung durch eine Taste oder ein Schlüsselwort inaktiv. Welche Ausführung dies konkret betrifft, ist am jeweiligen Modell zu prüfen.
Für Anfragen nach dem Data Act nennt BYD privacy.eu@byd.com. Das Unternehmen beschreibt einen kostenlosen Zugang zu den bei ihm vorhandenen Produkt- und Dienstdaten in einem strukturierten, maschinenlesbaren Format. Nutzer können laut Mitteilung auch die Übermittlung an einen Dritten und die Beendigung dieser Weitergabe verlangen. Diese Verfahren betreffen ihre eigenen Daten. Sie ersetzen nicht die separate Sicherheitsbewertung, die Kalfon von den europäischen Behörden fordert.
Archivbild: BYD Seal, 14. Juli 2024. Foto von Calreyn88, Wikimedia Commons. Verkleinert und in WebP umgewandelt; die bearbeitete Fassung bleibt unter CC BY-SA 4.0. Kein Bild eines nachgewiesenen Sicherheitsvorfalls.
