Stellungnahme zum „Regelungsvorhaben autonomes Fahren"

1.2.2021

Vorbemerkungen zum Verfahren
Der DVR bedankt sich für die Einladung zur Verbändeanhörung vom 27.01.2021, 19:40 Uhr, zur Einleitung der Beteiligung von kommunalen Spitzenverbänden, Fachkreisen und Verbänden zum Regelungsvorhaben zum autonomen Fahren. Allerdings ist eine fachlich belastbare Stellungnahme zu einem so komplexen Regelungsvorhaben in der gegebenen Frist (01.02.2021) nicht möglich. Die Einführung des hochautomatisierten Fahrens in den Straßenverkehr kann nur unter Berücksichtigung der Schutzpflicht des Staates für Leib und Leben der Verkehrsteilnehmenden erfolgen. Vor diesem Hintergrund ist diese übereilte Vorgehensweise bei dermaßen sicherheitsrelevanten Fragestellungen deutlich zu kritisieren.

Aufgrund der eng bemessenen Rückmeldefrist konnte die folgende Stellungnahme nicht abschließend mit allen Mitgliedern des DVR abgestimmt werden.

Inhaltliche Vorbemerkungen
Der DVR erwartet, dass die Einführung und Nutzung von teil-, hoch- und vollautomatisierten Fahrfunktionen in der Zukunft einen wesentlichen Beitrag zur Erhöhung der Verkehrssicherheit leisten wird. Der DVR schließt sich damit der Bewertung der Ethik-Kommission Automatisiertes und Vernetztes Fahren an, dass die Vorteile für die Sicherheit die Risiken der Systeme überwiegen (S. 15 des Berichts der Ethik-Kommission von Juni 2017, https://www.bmvi.de/SharedDocs/DE/Publikationen/DG/bericht-der-ethik-kommission.pdf?__blob=publicationFile).

Es wird beim heutigen Stand der Technik Situationen geben, in denen hoch- und vollautomatisierte Systeme das menschliche Leistungsvermögen noch nicht erreichen.

Es ist ebenfalls davon auszugehen, dass den automatisiert fahrenden Fahrzeugen, wie allen hochkomplexen technischen Systemen, auch Risiken innewohnen.

Dennoch muss sichergestellt sein, dass Fahrzeuge mit hoch- und vollautomatisierten Fahrfunktionen im Vergleich zu heutigen Fahrzeugen insgesamt ein höheres Sicherheitsniveau für alle Verkehrsteilnehmenden dauerhaft erreichen. Bei diesem Vergleich sind auch die typischen menschlichen Fehlerquellen der Nutzenden von automatisierten sowie nicht automatisierten Fahrzeugen, wie z.B. Unaufmerksamkeit, Fehleinschätzungen oder auch bewusstes Fehlverhalten, zu berücksichtigen. Dies betrifft auch die Aufsicht über den Betrieb hochautomatisierter Fahrzeuge.

Bei den Anforderungen an die technologischen Systeme ist ein höchstmögliches Maß an Sicherheit zu gewährleisten.

Gesamtbewertung
Das Bundesverkehrsministerium legt mit dem vorliegenden Referentenentwurf einen nationalen Rechtsrahmen für eine Zulassung des hochautomatisierten Fahrens (Stufe 4) im Regelbetrieb vor. Eine Verabschiedung dieses Gesetzes würde aus Sicht des DVR eine technische Entwicklung des hochautomatisierten Fahrens in Deutschland fördern und damit einen späteren europäischen bzw. internationalen Regulierungsrahmen vorbereiten. Dies gibt die Möglichkeit, regulatorisch und technologisch einen Entwicklungspfad einzuschlagen, welcher ein höchstmögliches Sicherheitsniveau auf allen Entwicklungsstufen gewährleistet. Die Bundesregierung sollte sich dafür einsetzen, dass die entsprechenden Erfahrungen aus Deutschland zur Grundlage einer Überführung dieses Regulierungsansatzes ins europäische Typgenehmigungs-/Zulassungsrecht bzw. in entsprechende UN/ECE-Regulierungen werden, um auch auf diesen Ebenen ein höchstmögliches Sicherheitsniveau anzustreben.

Der vorliegende Entwurf wird diesem Anspruch in weiten Teilen schon gerecht, weist aber im Einzelnen noch erhebliche Lücken auf, das für die angelegte technologische Entwicklung höchstmögliche Sicherheitsniveau hinreichend vorzudefinieren. Hierzu ist aus Sicht des DVR insbesondere ein stufenweises Vorgehen bei der Genehmigung hinsichtlich der Fahrzeugklassen und der zulässigen Höchstgeschwindigkeiten im jeweiligen Betriebsbereich zu erörtern.

Der DVR schlägt außerdem vor, die passive Sicherheit als weiteres Kriterium zu berücksichtigen. Gerade bei den sogenannten “People Movern” ist die Insassensicherheit eingeschränkt (Crashverhalten, Rückhaltesysteme, etc.).

Zu begrüßen ist die Erprobungsmöglichkeit in § 1i StVG, da ab einem gewissen Entwicklungsstand automatisierter Fahrfunktionen deren Erprobung im realen Verkehrsgeschehen erforderlich sein wird, dann aber permanent und vor Ort eine Überwachung aller Funktionen gewährleistet werden muss. Letzteres ist allerdings noch präziser zu definieren.

Der DVR gibt im Folgenden Hinweise auf fachlich weiter zu erörternde Punkte und fordert das Bundesverkehrsministerium auf, diese vor Einbringung in den Deutschen Bundestag zu prüfen und mit Expertinnen und Experten zu klären. Das Fehlen von Erfahrungswerten sollte dabei mit größtmöglicher Sorgfalt bei der Definition der technischen und prozeduralen Anforderungen aufgefangen werden. Ein dafür nötiger Zeitverzug ist aufgrund der staatlichen Schutzpflicht für Leben und Gesundheit der Verkehrsteilnehmenden hinzunehmen. Auch würden Unfälle mit hochautomatisierten Fahrzeugen das Vertrauen der Bevölkerung in diese letztlich die Verkehrssicherheit steigernde Technologie erschüttern.

Offen bleibt zudem weitgehend der Aspekt solcher Fahrzeuge, die sich in Privatbesitz befinden oder Infrastruktur-Sensorik verwenden – insbesondere in Bezug auf Automated Valet Parking, was einen rechtssicheren Betrieb erschwert. Auf diesen Punkt gehen wir in der Anlage zu unserer Stellungnahme näher ein.

In einer weiteren Anlage unserer Stellungnahme gehen wir auf die Reparatur von hochautomatisierten bzw. autonomen Fahrzeugen ein. Die Funktionsfähigkeit von hochautomatisierten Systemen nimmt eine bedeutende Stellung ein und ist daher durch Sachverständige zu überprüfen.

Nachbesserungsbedarf sieht der DVR beispielsweise hinsichtlich folgender Aspekte:

• Stufenweise Erhöhung der Höchstgeschwindigkeit

• Unfalldaten für die Unfallaufklärung und -forschung

• Anforderungen an die Überwachungstätigkeit durch eine Technische Aufsicht

• Nachweis der Funktion und Zuverlässigkeit der technischen Einrichtungen der Fahrzeuge inklusive Künstlicher Intelligenz/Maschinellem Lernen

• Verhalten im Pannenfall

Es wird darauf hingewiesen, dass es ein Teil der Fachleute innerhalb der Mitgliedschaft des DVR als verfrüht betrachtet, das hochautomatisierte Fahren der Stufe 4 zu ermöglichen und eine Umsetzbarkeit des vorgeschlagenen § 1e Abs. 2 StVG zum gegenwärtigen Zeitpunkt anzweifelt. § 1e Art. 2 Abs. 5 schränkt zwar ein, dass ein Fahrzeug mit autonomer Fahrfunktion die Technische Aufsicht mit einer ausreichenden Zeitreserve über das Erfordernis der Freischaltung oder Deaktivierung informieren muss. Dennoch wurden die Möglichkeit der Überwachung mehrerer Fahrzeuge gleichzeitig durch eine natürliche Person und das damit zugrundeliegende Geschäftsmodell in den innerverbandlichen Diskussionen z.T. angezweifelt. Bei bestimmten Konstellationen ist nicht auszuschließen, dass mehrere Fahrzeuge gleichzeitig die Freigabe eines Fahrmanövers anfordern, welches zuvor noch von der Technischen Aufsicht zu bewerten ist.

Künstliche Intelligenz (KI) und Maschinelles Lernen werden einen zentralen Beitrag zur Funktion hoch- bzw. vollautomatisierter Fahrfunktionen leisten. Die Prüfung, Zulassung und Überwachung solcher im Voraus nicht beschreibbarer Algorithmen, welchen die Sicherheit von Menschen überantwortet wird, gehört zu den großen Herausforderungen unserer Zeit und wird unter Expertinnen und Experten intensiv diskutiert. Die Entscheidung über die Genehmigung solcher Systeme einfach dem Kraftfahrt-Bundesamt aufzuerlegen und dabei die Einbeziehung von Sachverständigen oder anderen Stellen nur als „Kann-Bestimmung “vorzusehen, ist nicht nachvollziehbar (§ 1e Abs. 5 des vorliegenden Entwurfs).

Vor einer serienmäßigen Nutzung sind zudem herausfordernde und sicherheitsrelevante Absicherungsfragen zu klären. Nach heutigem Stand der Technik können Klassifikationsergebnisse beispielsweise mittels „Adversarial Attacks“ manipuliert werden, was eine verkehrsgefährdende Reaktion des Fahrzeugsystems zur Folge haben könnte. Weiterhin ist zu berücksichtigen, dass das Verhalten mittels maschinellem Lernen angelernter Modelle in neuartigen bzw. noch nicht erlernten Situationen nicht immer vorhersehbar sein kann. Diese Schwachstellen müssen in der Entwicklung und der Zulassung vollautomatisierter Fahrzeuge entsprechend berücksichtigt werden, bevor KI-Anwendungen für den Straßenverkehr zugelassen werden können.

Zu beachten ist außerdem, dass sich die Komplexität aller möglichen Verkehrsszenarien trotz umfangreicher Tests und Analysen in der Entwicklung nicht vollständig abbilden lässt. Besonders das für Fahranfänger selbstverständliche lebenslange Lernen sowie die Anpassung an neue Situationen und Verkehrsteilnahmearten (z.B. E-Scooter) oder neue Rechtsvorschriften und nationale Besonderheiten stellt für das hoch- und vollautomatisierte Fahren eine Herausforderung dar. So können z.B. zukünftige Änderungen der StVO oder die Adaption des Systems an sich zukünftig verändernde Verkehrsverhältnisse bei der Genehmigung nicht beurteilt werden. Darüber hinaus können Verschlechterungen der Sensorik aufgrund von Degradation, Verschleiß, Manipulation oder Beschädigung zum Zeitpunkt der Genehmigung nicht umfänglich festgestellt werden. Aus diesem Grund muss eine kontinuierliche Validierung der Leistungsfähigkeit von im Feld befindlichen Fahrzeugen durch eine neutrale, hoheitliche Stelle erfolgen. Sollte im Rahmen dieser kontinuierlichen Überwachung eine sicherheitsrelevante Gefährdung festgestellt werden, könnte das KBA die Deaktivierung entsprechender Fahrfunktionen oder den Widerruf der Betriebserlaubnis veranlassen, bis der Mangel durch Updates, Nachrüstungen oder Ähnliches behoben wurde.

Weiterhin ist es aus unserer Sicht notwendig, dass auch die Schadenfeststellung an und Reparatur von Fahrzeugen, vor allem nach Unfallereignissen adressiert wird. Gerade im Rahmen der Markteinführung von Fahrzeugen mit hochautomatisierten Fahrfunktionen ist damit zu rechnen, dass es zu Unfallereignissen mit Fahrzeugen kommen wird, bei denen Schäden entstehen, welche die Funktionsfähigkeit der Systeme beeinflussen. Es ist wichtig, dass der Zustand und die Funktionsfähigkeit von hochautomatisierten Systemen im Rahmen einer Schadensbegutachtung durch Sachverständige überprüfbar sind. Eine Beschränkung auf die hoheitlichen Prüfungen allein greift hier zu kurz. Es muss sichergestellt werden, dass die hierfür notwendigen Informationen und Hilfsmittel qualifizierten Sachverständigen zugänglich gemacht werden. Es wird auch darüber zu diskutieren sein, wie mit Fahrzeugen zu verfahren ist, die nach Unfällen nur teilweise oder gar nicht vom Halter instand gesetzt werden. Zudem wird es zur Durchführung von nicht sach- und fachgerechten Reparaturen kommen. Bereits heute ergeben sich z.B. beim Austausch von Frontscheiben in vielen Fällen erhebliche Mängel bei der Reparaturdurchführung in Bezug auf die Kalibrierung von Fahrerassistenzsystemen nach Abschluss der Reparatur. Durch die Teilnahme von Fahrzeugen mit fehlerhaft kalibrierten Fahrerassistenzsystemen am Straßenverkehr können erhebliche Risiken entstehen. Die Behandlung solcher Fälle erfordert ein koordiniertes Vorgehen zwischen Fahrzeugherstellern, Reparaturwerkstätten und Sachverständigen. Wir regen an, hierzu zeitnah eine Diskussion zu starten, damit bei Eintritt der ersten Schadenereignisse eine abgestimmte Vorgehensweise vorliegt (siehe Anhang).

Artikel 1: Änderung des Straßenverkehrsgesetzes − StVG

zu: Diskussionsvorschlag des BMJV zur Regelung von Mobilitätsdaten
Der DVR begrüßt den Diskussionsvorschlag des BMJV zur Regelung von Mobilitätsdaten grundsätzlich. Diese Vorschläge sollten im Gesetzentwurf berücksichtigt werden.

Der Vorschlag scheint jedoch aktuelle internationale und nationale Regelungen außer Acht zu lassen. An dieser Stelle besteht dringender Anpassungsbedarf, um abweichende Sonderregelungen zu vermeiden.

Halter bzw. Fahrzeugnutzer werden als Souverän der anfallenden Daten benannt und diesen wird die Möglichkeit eingeräumt, über standardisierte Formate und Schnittstellen auf die eigenen Daten zuzugreifen. Der Vorschlag des BMJV gewährleistet den Austausch anonymisierter Daten zu Forschungszwecken. Begrüßenswert ist außerdem, dass zur Wahrung der Verkehrssicherheit sowie der Erfüllung hoheitlicher Aufgaben eine zentrale Stelle vorgesehen ist, welche als vertrauenswürdiger, unabhängiger Datentreuhänder den Zugriff auf Fahrzeugdaten verwaltet.

Zentrale Anforderung der Verkehrssicherheit ist, dass für die Unfallaufklärung sämtliche erforderliche Daten umfassend und zeitnah in für die Behörden und Sachverständigen les- und interpretierbarer Form ohne zusätzliche Kosten bereitgestellt werden.

Für die Unfallforschung ist ein umfassender Datenzugang nach Pseudonymisierung zu gewährleisten. Eine Übermittlung der Fahrzeug-Identifikationsnummer ist für die Unfallforschung dann verzichtbar, wenn dennoch die grundlegenden Fahrzeugmerkmale inklusive der verbauten Version der Fahrerassistenzsysteme der unfallbeteiligten Fahrzeuge zugeordnet werden können.

zu: § 1d Kraftfahrzeuge mit autonomer Fahrfunktion in festgelegten Betriebsbereichen

• Stufenweise Genehmigung von Fahrzeugklassen und Geschwindigkeiten prüfen.

Der Begriff der „autonomen Fahrfunktion“ bezieht sich hier auf ein Level-4-System nach SAE-Klassifizierung. Da man unter autonomem Fahren in der Regel Systeme der Stufe 5 versteht, sollte der Begriff ggf. angepasst werden.

Der Gesetzentwurf umfasst alle Kraftfahrzeuge, vom Elektro-Kleinstfahrzeug über Geländewagen bis zum Schwerlasttransport. Hier ist zu erwägen, eine Genehmigung im Regelbetrieb zunächst für Fahrzeugklassen vorzusehen, bei denen der technische Entwicklungsstand einen Betrieb auf höchstmöglichem Sicherheitsniveau erlaubt. Zu berücksichtigen ist auch die passive Sicherheit der Insassen und vulnerabler Verkehrsteilnehmender. Dabei sollte die zulässige Gesamtmasse in die Betrachtung einbezogen werden, da die Masse als zweiter Faktor neben der Geschwindigkeit die Schwere eines möglichen Unfalls mitbestimmt. Dementsprechend regt der DVR hier ein inkrementelles Vorgehen an, das einen Regelbetrieb schwerer Fahrzeuge (M3/N3) erst nach erfolgreichem Betrieb leichterer Fahrzeuge (M1/N1, M2/N2) zulässt. Für eine entsprechende Regelung bietet sich eine Rechtsverordnung auf Grundlage von § 1j des vorliegenden Entwurfs an.

Gleichermaßen sollte in Abwägung des Zusammenspiels von Fahrzeug und Betriebsbereich eine stufenweise Genehmigung des Betriebs mit begrenzten zulässigen Höchstgeschwindigkeiten geprüft werden. Durch eine Begrenzung der Geschwindigkeit, wie sie auch derzeit bei durch Sicherheitsfahrer/-innen begleiteten „People Movern“ praktiziert wird, lässt sich durch die physikalischen Gesetzmäßigkeiten das Sicherheitsniveau noch wirkmächtiger steigern als durch die Masse des Fahrzeugs. Dabei ist selbstverständlich die Differenzgeschwindigkeit zu anderen Fahrzeugen im Betriebsbereich zu beachten, weshalb die Anordnung einer niedrigeren zulässigen Höchstgeschwindigkeit durch die Verkehrsbehörde für den betreffenden Teil des Straßennetzes geboten sein könnte.  Ob dafür die Rechtsgrundlage des „Verkehrsversuchs“ aus § 45 Abs. 1 S. 2 Nr. 6 StVO genutzt werden oder ein eigener Anordnungsgrund geschaffen werden sollte, wäre zu prüfen.

Nach vorliegendem Entwurf wäre ein Einsatz der „autonomen“ Fahrfunktion auf Autobahnabschnitten ohne Geschwindigkeitsbeschränkung möglich, was aus unserer Sicht als nicht verantwortbar abzulehnen ist.Ein solch inkrementelles Vorgehen ist prinzipiell mit den Nebenbestimmungen bzw. dem befristeten Verbot eines Personen- oder Gütertransports in § 9 Abs.5 bereits im vorliegenden Verordnungsentwurf (AFGBV) angelegt.

zu: § 1e Betrieb von Kraftfahrzeugen mit autonomer Fahrfunktion

• Veränderungen, die den festgelegten Betriebsbereich einschränken, müssen von der zuständigen Behörde zeitnah an das Fahrzeug kommuniziert werden.

• Eine genauere Definition der Systemgrenzen, auch in Wechselwirkung mit dem Betriebsbereich, ist sinnvoll.

• Passagiere müssen das Fahrzeug im Notfall deaktivieren können.

• Für den Fernzugriff auf das Fahrzeug müssen hohe Anforderungen an Cyber- und Manipulationssicherheit gelten. Die Möglichkeit von Hackerangriffen ist bei Erteilung der Betriebserlaubnis zu berücksichtigen.

• Anforderungen an technische Ausrüstung des Fahrzeugs müssen unabhängig geprüft werden, eine Herstellererklärung ist unzureichend.

Bei Veränderungen im laufenden Betrieb (z.B. kurzfristige Baustellen) stellt sich die Frage, wie sichergestellt werden kann, dass das System seine Systemgrenzen jederzeit zuverlässig erkennt und wie damit umzugehen ist, wenn sich die Voraussetzungen im festgelegten Betriebsbereich unerwartet verändern, sodass beispielsweise eine Interaktion mit anderen Verkehrsteilnehmenden erforderlich wäre. In diesen Fällen müsste die zuständige kommunale Behörde sicherstellen, dass Veränderungen im Verkehrsablauf rechtzeitig an das Fahrzeug mit hochautomatisierter Fahrfunktion (z.B. Over-the-Air oder über ein Update der virtuellen Karte) oder den Halter kommuniziert werden, um eine Gefährdung anderer Verkehrsteilnehmender auszuschließen. Es sollte zudem eine regelmäßige Prüfung der Umweltbedingungen (z.B. Schnee, Starkregen, Hochwasser) durch die Technische Aufsicht erfolgen.

Offen bleibt zudem, wie Systemgrenzen zu definieren sind und wie nach einem Unfall festzustellen ist, ob Systemgrenzen überschritten wurden. Bei der Gestaltung hochautomatisierter Fahrzeuge kann im Voraus kaum vollumfänglich abgeschätzt werden, welche Anforderungen an die Betriebsbereiche gestellt werden. Umgekehrt müssen die zuständigen Behörden bei der Festlegung des Betriebsbereichs die Leistungsfähigkeit des hochautomatisierten Fahrsystems bereits genau kennen. Sinnvoll wäre es daher, bereits vorab sowohl die Fahrzeug-Fähigkeiten als auch die Anforderungen an die Betriebsbereiche zu definieren oder mindestens prozesshaft sicherzustellen, dass Fahrzeug und Umgebung in jeder Hinsicht verlässlich zusammenwirken.

Die Deaktivierung des Fahrzeugs sollte in Notfallsituationen jederzeit auch den Passagieren durch einen im Fahrzeug angebrachten Not-Aus-Schalter oder eine Notbremse möglich sein. Um eine missbräuchliche Verwendung zu verhindern, könnten die Notbremseinrichtungen in Anlehnung an die Eisenbahn-Bau- und Betriebsordnung § 23 Abs. 3 so gestaltet werden, dass eine eingeleitete Notbremsung entweder durch die Technische Aufsicht aufgehoben werden kann oder die Betätigung des Notbremsgriffs bzw. Not-Aus-Schalters nur eine Warnanzeige in der Leitstelle der Technischen Aufsicht auslöst, welche nach Bewertung der Situation dann umgehend eine Notbremsung oder Überführung in den risikominimalen Zustand einleiten müsste (auch hier können sich kritische Situationen ergeben, wenn die Technische Aufsicht parallel mehrere Fahrzeuge betreut).

Offengelassen wurde hier auch, in welcher Frist ein risikominimaler Zustand nach Deaktivierung oder Abbruch der Funkverbindung eingeleitet beziehungsweise erreicht werden muss. Ebenso wird in Art. 2 Abs. 5 offen gelassen, wie groß die „ausreichende Zeitreserve“ maximal sein sollte, um der Technischen Aufsicht einerseits die Möglichkeit zur Reaktion und Überprüfung des vorgeschlagenen Fahrmanövers zu geben und andererseits sicherzustellen, dass das auf Befehle (bzw. Freigabe/ Deaktivierung) wartende Fahrzeug in diesem Zeitraum nicht zu einem gefährlichen Verkehrshindernis wird.

Die Möglichkeit der Technischen Aufsicht, nach Art. 3 auch selbst alternative Fahrmanöver einzuleiten, ist sinnvoll, um für das System nicht zu bewältigende Situationen aufzulösen, stellt aber hohe Anforderungen an die Cyber-/Manipulationssicherheit. Potenzielle Hackerangriffe auf Fahrzeuge mit hochautomatisierter Fahrfunktion stellen ein hohes Risiko für die Verkehrssicherheit dar und sollten bei der Erteilung der Betriebserlaubnis berücksichtigt werden.

Hinsichtlich der Anforderungen aus Absatz 2, welcher die Funktionsweise der Fahrzeuge im Kern beschreibt und damit zentral für die Sicherheit des Fahrbetriebs ist, wird auf eine Herstellererklärung abgestellt. Dies ist trotz der detaillierten Anforderungen in der betreffenden Rechtsverordnung unzureichend. Hier ist dringend schon auf gesetzlicher Ebene ein Verfahren vorzusehen, die Herstellererklärung durch unabhängige Dritte zu prüfen und einer Risikobeurteilung zu unterziehen. Das gilt auch und gerade bezüglich Anforderungen, die noch nicht durch UN/ECE-Vorschriften beschrieben sind.

zu: § 1f Pflichten der Beteiligten beim Betrieb von Kraftfahrzeugen mit autonomer Fahrfunktion

• Anforderung an Überwachungsaufgabe benötigt Präzisierung, beispielsweise durch stufenweise Überwachungsintensität und -dichte.

• Verhalten im Not- und Pannenfall ist genauer zu definieren.

Die Vorgaben, wie der Halter die Pflichten in § 1f inklusive einer Sicherstellung der Voraussetzungen nach § 1e Abs. 1 erfüllen soll, sind nicht hinreichend definiert. Es sollten analog zur Regulierung im Bereich der Cybersecurity beispielsweise Risikomanagement-Anforderungen an den Halter formuliert werden.

Hier wird ein Kernproblem des hochautomatisierten Fahrens berührt: die Überwachung komplexer Fahrfunktionen durch den Menschen, verbunden mit der Herausforderung, unmittelbar das Verkehrsgeschehen zu erfassen und angemessen zu reagieren. Nun kann man einwenden, dass es absolute Sicherheit im Zusammenspiel von Technik und Mensch nicht geben kann. Es liegt aber gerade in der Verantwortung des Gesetzgebers, hier unter Berücksichtigung des fachlichen und wissenschaftlichen Diskurses zu Übernahmeszenarien ein höchstmögliches Sicherheitsniveau zu schaffen. Das erscheint dem DVR mit dem vorliegenden Entwurf noch nicht abschließend gelungen zu sein. Im Einzelnen:

Damit die Technische Aufsicht die vom Fahrzeugsystem vorgeschlagenen Fahrmanöver freischalten kann, benötigt diese permanenten Zugriff auf die Sensor- und Kameradaten des Fahrzeugs, um die Manöver vor der Freigabe überprüfen zu können.

Die Technische Aufsicht ist einerseits nicht zur ständigen Überwachung des führerlosen Betriebs verpflichtet, muss andererseits aber unverzüglich reagieren, sobald das Fahrzeugsystem diese zur Handlung (z.B. Deaktivierung) auffordert. Das Fahrzeug soll sich im Notfall sowie nach Deaktivierung durch die Technische Aufsicht selbstständig in einen risikominimalen Zustand versetzen – diese Forderung könnte unter Umständen aber problematisch sein, wenn die Technische Aufsicht gleichzeitig mehrere Fahrzeuge betreut. Schließlich könnte deren Eingreifen zeitgleich bei mehreren Fahrzeugen notwendig werden – eine Deaktivierung wäre dann unter Umständen nicht, wie vorgeschrieben, unverzüglich möglich. Bislang liegen nur wenige Erfahrungswerte und Forschungsberichte über solche Modelle vor. Es sollten daher zunächst sehr weitreichende Anforderungen an die Überwachungsintensität und -dichte gestellt werden, welche später auf Basis gewonnener Erfahrungen schrittweise gelockert werden können. Hierzu wäre es möglich, per Verordnung zunächst eine permanente 1:1-Aufsicht zu verlangen, die erst bei längerem Betrieb ohne sicherheitsrelevante Ereignisse auf mehrere Fahrzeuge ausgedehnt werden kann. In diesem Fall ist jedoch die Anwesenheit mehrerer Aufsichtspersonen erforderlich, um bei gleichzeitigen Anforderungen zeitnahe Reaktionen zu ermöglichen. Der DVR schlägt vor, hierbei auf Erfahrungen bei der Überwachung des Luftverkehrsraums oder von Bahnanlagen zurückzugreifen. Wirtschaftliche Erwägungen zum Personaleinsatz müssen in der Frühphase des hochautomatisierten Fahrens hinter ein höchstmögliches Sicherheitsniveau zurücktreten.

Die Technische Aufsicht ist nach einer Panne dazu verpflichtet, Maßnahmen zur Verkehrssicherung einzuleiten. Es ist jedoch fraglich, ob sie dies in jedem denkbaren Szenario aus der Leitstelle heraus gewährleisten kann, wenn etwa Sensoren ausfallen oder das Fahrzeug nicht mehr manövrierfähig ist. Auch könnte es für die Technische Aufsicht unter Umständen schwierig sein zu entscheiden, ob die Fahrgäste das Fahrzeug sicher verlassen können. Sofern die Technische Aufsicht diese Aufgabe nicht selbst übernehmen kann, sollte diese Pflicht auf entsprechend geschultes technisches Personal übertragen werden können, welches innerhalb einer festzulegenden Frist beim Fahrzeug eintreffen muss.  Ansonsten bliebe unklar, in welchen Fällen die Technische Aufsicht die Polizei hinzurufen müsste, welche im Übrigen wie auch die Feuerwehr über die Funktionsweise der Fahrzeuge sowie Risiken und Möglichkeiten zur Abhilfe zumindest grundlegendes Wissen haben sollte.

Die Technische Aufsicht muss das Fahrzeug auch dann deaktivieren, wenn es andere, nicht vom Fahrzeugsystem gemeldete, offensichtliche Gründe gibt (z.B. Fahrgast fällt in Ohnmacht, bei einem beobachteten Notfall außerhalb des Fahrzeugs muss Soforthilfe geleistet werden, etc.). Dies sollte als Pflicht an die Technische Aufsicht ergänzt werden. Darüber hinaus sind weitere Situationen denkbar, die eine Überwachung des Fahrgastraums durch die Technische Aufsicht erforderlich machen, etwa Vandalismus, Belästigung anderer Fahrgäste, o.ä. Die Technische Aufsicht sollte daher zusätzlich auch über (anonymisierte oder anlassbezogen erzeugte) Echtzeitbilder aus dem Fahrgastraum verfügen.

Darüber hinaus ist zu konkretisieren, wie die Kontaktaufnahme mit den Fahrgästen erfolgen kann. Die Fahrzeuge sollten über Wechsel- oder Gegensprechanlagen verfügen, damit im Notfall auch die Fahrgäste Kontakt zur Technischen Aufsicht herstellen können.

Deutlich zu kritisieren ist hier die unverantwortlich lapidare Anmerkung im Begründungstext zu § 1f: „Welche Vorkehrungen der Halter eines Kraftfahrzeugs mit autonomer Fahrfunktion zur Einhaltung der sonstigen Verkehrsvorschriften trifft, sei es durch Übertragung der Pflichten auf die Fahrgäste, die Technische Aufsicht, einen Dritten oder eigene Kontrolle, bleibt dem Halter überlassen.“ Um potentielle Haftungsrisiken für den Halter zu minimieren, sind hier mindestens präzise Angaben des Halters über sicherheitsrelevante Pflichten – was bei Verkehrsvorschriften regelmäßig der Fall ist – im Rahmen der Genehmigung des Betriebsbereiches vorzulegen.

zu: § 1g Datenverarbeitung

• Daten sollten nicht nur auf Verlangen der zuständigen Behörde, sondern regelmäßig an das KBA oder eine beliehene Stelle übertragen werden.

• Die Datenverarbeitung darf nicht auf die Erprobungs-/Verbotsphase beschränkt bleiben. Besonders im Regelbetrieb müssen Ereignisse ausgewertet werden können, um die Sicherheit der Passagiere und anderer Verkehrsteilnehmender zu gewährleisten. Zur Wahrung des Datenschutzes können die Daten in pseudonymisierter Form übermittelt werden.

• Die zu speichernden Daten sind für die genannten Zwecke unzureichend und sollten mindestens um Umfelddaten erweitert werden.

• Das KBA kann die erhobenen Daten zu Forschungszwecken bestimmten Stellen zugänglich machen. Da Unfallforschung von öffentlichen und nicht-öffentlichen Stellen betrieben wird, sollte dies in Artikel 5 allgemeiner als „Unfallforschung“ aufgenommen werden.

Zusätzlich zu den oben aufgeführten Ereignissen muss auch bei Unfällen eine entsprechende Datenerhebung mit Unfalldatenspeicher (EDR) erfolgen. Anonymisierte Daten aus dem Regelbetrieb werden für die Unfallforschung und -aufklärung benötigt, um Fehler der neuen Systeme zu erkennen und eine Weiterentwicklung der Systeme zur kontinuierlichen Erhöhung der Verkehrssicherheit zu ermöglichen.

Warum die Anforderungen hier hinter diejenigen aus § 63a StVG zurückfallen (Verkehrsverstöße, Unfallforschung), ist unverständlich.

Das BMVI oder das KBA sollten einen einheitlichen Standard bzw. ein standardisiertes Datenformat für die geforderte Datenübertragung an das KBA oder die zuständige Landesbehörde festlegen.

zu: § 1i Erprobung von automatisierten und autonomen Fahrfunktionen

• Konkretisierung der Überwachungsaufgabe erforderlich.

Richtigerweise wird für diesen Erprobungsfall eine „vor Ort anwesende, in Bezug auf technische Entwicklungen für den Kraftfahrzeugverkehr zuverlässige Technische Aufsicht“ verlangt. Wie zu § 1f Abs. 2 ausgeführt, ist hier ein Kernproblem des hochautomatisierten Fahrens betroffen: die Überwachung durch den Menschen. Aus Sicht der Verkehrssicherheit sollte sich die Begleitperson während der Erprobungsphase mindestens in unmittelbarer Nähe des Fahrzeugs befinden, direkten Sichtkontakt zum Fahrzeug haben und jederzeit fähig sein, einzugreifen oder sich als Sicherheitsfahrer/-in innerhalb des Fahrzeugs aufhalten. Hier ist entweder eine Konkretisierung der Anwesenheit „vor Ort“ erforderlich oder eine entsprechende Wirkvorschrift, welche Vorkehrungen verlangt, ständig die Verkehrssituation zu überblicken und sofort eingreifen zu können. Auch sollte für diesen Erprobungsfall im Realverkehr ausgeschlossen werden, dass eine Person mehrere Fahrzeuge überwacht und entsprechend nur zeitverzögert reagieren könnte.

zu: § 1j Verordnungsermächtigung

• Kontinuierliche Überwachung auch während des Betriebs erforderlich.

• Permanente Datenübertragung ans KBA zu erörtern.

• Stufenweise Genehmigung von Fahrzeugklassen und Höchstgeschwindigkeiten zu erörtern.

Wir begrüßen es, dass das BMVI einheitliche Verfahren zur Bewertung und Genehmigung von Betriebsbereichen erlassen können soll. So wird vermieden, dass sich die einzelnen Bundesländer im Standortwettbewerb um die Zukunftstechnologie hochautomatisiertes Fahren in ihren Anforderungen gegenseitig unterbieten.

Aufgrund der Komplexität hochautomatisierter Fahrzeugsysteme ist es unwahrscheinlich, dass zum Zeitpunkt der Zulassung alle Szenarien und alle möglichen technischen Herausforderungen, wie z.B. Sensor-Verschleiß berücksichtigt werden konnten. Aus diesem Grund ist es zur Gewährleistung der Verkehrssicherheit und der Akzeptanz gegenüber autonomen Fahrzeugsystemen notwendig, die Fahrzeuge auch im Betrieb kontinuierlich zu überwachen und zu validieren. Hierzu sollte der Halter verpflichtend permanent oder wenigstens nach jeder Fahrt Daten an das KBA oder eine hierfür beauftragte zuständige Stelle übermitteln, nicht nur, wenn er dazu aufgefordert wird. Dazu sollte genauer erörtert werden, welche Daten erforderlich sind, um Probleme im Betrieb frühzeitig erkennen zu können und deutschlandweit Rückschlüsse für eine Verbesserung des Sicherheitsniveaus aller Anwendungsfälle des vorliegenden Gesetzentwurfs ziehen zu können. Hier tritt neben das berechtigte Geschäftsinteresse an den Fahrzeugdaten das Allgemeininteresse an einer ausreichenden Datenlage für einen deutschlandweiten Betrieb auf höchstmöglichem Sicherheitsniveau.

Besonders das für Fahranfänger selbstverständliche lebenslange Lernen sowie die Anpassung an neue Situationen und Verkehrsteilnahmearten (z.B. E-Scooter) oder neue Rechtsvorschriften und nationale Besonderheiten stellt für das hoch- und vollautomatisierte Fahren eine Herausforderung dar. So können z.B. zukünftige Änderungen der StVO oder die Adaption des Systems an sich zukünftig verändernde Verkehrsverhältnisse bei der Genehmigung nicht beurteilt werden.

Hinsichtlich des Vorschlags einer stufenweisen Genehmigung von Fahrzeugklassen und Höchstgeschwindigkeiten vgl. Abschnitt zu § 1d.

Anmerkung zu einer Änderung der Straßenverkehrs-Ordnung (StVO)
In dem Vorentwurf des Regelungsvorhabens war auch eine umfangreiche Änderung der StVO vorgesehen. Diese fehlt nunmehr in dieser Verbändeanhörung. Der DVR hält jedoch eine Anpassung der StVO für dringend notwendig. Auf Basis des Entwurfs aus Oktober 2020 merken wir zur Änderung der StVO Folgendes an:

• Die StVO setzt das Vorhandensein eines menschlichen Fahrers bzw. einer menschlichen Fahrerin jederzeit voraus. Um den Einsatz fahrerloser Systeme zu ermöglichen, ist eine entsprechende Anpassung der StVO erforderlich.

• Damit Fahrzeuge mit hochautomatisierter Fahrfunktion auch dann sicher reagieren, wenn ihre Systemgrenzen durch unerwartete Situationen hoher Komplexität überschritten werden, sollten für ausgewählte Situationen Sonderlösungen erwogen werden - etwa Car2X beim Erkennen von Einsatzfahrzeugen.

• Maßnahmen zur Verkehrssicherung nach einem Unfall (§ 14 StVO) sowie die Reaktion auf Gefährdungen, welche eine akustische oder sonstige Warnung an andere Verkehrsteilnehmende erfordern (§ 16 StVO), müssen mit Blick auf die eingeschränkten Möglichkeiten hochautomatisierter Systeme angepasst werden.

Um hochautomatisiertes, fahrerloses Fahren zu ermöglichen, ist auch die StVO anzupassen, welche das Vorhandensein eines menschlichen Fahrers oder einer menschlichen Fahrerin aktuell noch jederzeit voraussetzt. Dabei ist zu berücksichtigen, dass hochautomatisierte Fahrzeugsysteme Schwierigkeiten haben könnten, sich mit menschlichen Verkehrsteilnehmenden zu verständigen, hilfsbedürftige oder ältere Menschen sowie Einsatzfahrzeuge oder die Weisungen von Polizisten zu erkennen und entsprechend zu reagieren. Die Festlegung von Betriebsbereichen und die Freigabe alternativer Fahrmanöver sollen helfen, solche Situationen zu vermeiden. Jedoch kann nicht ausgeschlossen werden, dass das System im Betrieb mit diesen Situationen konfrontiert wird. Unter Umständen könnten Ausnahmen oder Sonderlösungen, gerade im Hinblick auf Weisungen von Polizisten oder das Erkennen von Einsatzfahrzeugen, notwendig sein.

Bezüglich § 14 StVO ist zu konkretisieren, wer notwendige Maßnahmen zu treffen hat, wenn es der Technischen Aufsicht oder dem technischen Personal nicht möglich ist, rechtzeitig vor Ort zu sein. Hierbei ist auch die Frage zu beantworten, ob diese Pflicht auf die Fahrgäste übertragen werden kann.

Bezüglich § 16 Absatz 1 StVO ist zu konkretisieren, wie ein Fahrzeug mit hochautomatisierter Fahrfunktion eine Gefährdung erkennen kann, welche das Geben akustischer oder optischer Warnzeichen erforderlich macht. Sollte das Fahrzeug hierzu technisch nicht in der Lage sein, müsste erwogen werden, diese Pflicht auf die Technische Aufsicht zu übertragen.

Verordnung zur Genehmigung und zum Betrieb von Kraftfahrzeugen mit autonomer Fahrfunktion in festgelegten Betriebsbereichen (Autonome Fahrzeug-Genehmigungs- und Betriebsverordnung – AFGBV)

 zu: §§ 2-4 Betriebserlaubnis

• Die Begutachtung durch einen amtlich anerkannten Sachverständigen, einen Technischen Dienst oder eine andere geeignete, beliehene Stelle sollte verpflichtend vorgeschrieben werden.

• Fahrzeuge mit autonomer Fahrfunktion sollten kontinuierlich überwacht werden.

• Sicherheitsmängel an Systemen der hochautomatisierten Fahrfunktion sollten zeitnah (z.B. over-the-Air) zur Deaktivierung der mangelhaften Funktion durch das KBA führen und erst nach nachgewiesener Mängelbehebung wieder freigegeben werden.

Nach § 21 StVZO ist für Einzelgenehmigungen eine Begutachtung durch einen amtlich anerkannten Sachverständigen, einen nach § 30 der EG-Fahrzeuggenehmigungsverordnung zur Prüfung von Gesamtfahrzeugen der jeweiligen Fahrzeugklasse benannten Technischen Dienst oder eine andere geeignete, beliehene Stelle vorgeschrieben. Diese Anforderung sollte auch für die Erteilung einer Betriebserlaubnis für Fahrzeuge mit hochautomatisierter Fahrfunktion beibehalten und mit Blick auf die Verkehrssicherheit nicht reduziert oder als optionale Möglichkeit formuliert werden. Die Begutachtung von Fahrzeugen mit hochautomatisierter Fahrfunktion erfordert viel fachliches Wissen und Erfahrung, was durch einen amtlich anerkannten Sachverständigen oder Technischen Dienst gewährleistet wird. Es sollten ggf. auch besondere Qualifikationen der Sachverständigen/Prüfer sowie Anforderungen an die Prüfmittel und die Prüfschritte spezifiziert werden.

zu: § 5 Marktüberwachung
Die Einführung einer Rechtsgrundlage für die Marktüberwachung durch das KBA ist zu begrüßen:

Eine Verschlechterung der Sensorik infolge von Verschleiß, Alterung, Dejustage, Beschädigung, Montagefehler o.ä. ist bei Erteilung der Betriebserlaubnis möglicherweise nicht für alle Szenarien vorhersehbar. Es wäre daher sinnvoll, nicht nur regelmäßige Kontrollen im Rahmen der Marktüberwachung durchzuführen, sondern die Fahrzeuge kontinuierlich zu überwachen. Eine kontinuierliche Feldüberwachung erscheint auch mit Blick auf over-the-Air durchgeführte Software-Updates sinnvoll, um die Zuverlässigkeit und Sicherheit neu eingeführter Funktionen im Betrieb sicherzustellen. Sollten im Rahmen dieser Überwachung Sicherheitsmängel erkannt werden, könnten das KBA beziehungsweise die zuständigen Landesbehörden diese Funktion over-the-Air bis zu deren Behebung deaktivieren und später wieder freigeben.

zu: § 8 Antrag auf Genehmigung durch den Halter

• Die Begutachtung durch einen amtlich anerkannten Sachverständigen oder einen Technischen Dienst sollte verpflichtend vorgeschrieben werden.

Die Begutachtung der Infrastrukturen muss unter Berücksichtigung der erteilten Betriebserlaubnis nach § 4 AFGBV-E erfolgen. Hierfür ist ebenfalls die Begutachtung durch einen amtlich anerkannten Sachverständigen oder einen nach § 30 der EG-Fahrzeuggenehmigungsverordnung zur Prüfung von Gesamtfahrzeugen der jeweiligen Fahrzeugklasse benannten Technischen Dienst verpflichtend vorzuschreiben.

Das Fahrzeug und der genehmigte Betriebsbereich stehen in einem sensiblen Wechselspiel, welches einen verkehrssicheren Betrieb im Kern ausmacht. Daher sind an beide Aspekte vergleichbare, höchstmögliche Sicherheitsanforderungen zu stellen.

zu: § 13 Anforderungen an den Halter

• Der Halter sollte die Möglichkeit haben, einen amtlich anerkannten Sachverständigen oder Technischen Dienst mit der regelmäßigen Prüfung und der Gesamtprüfung alle 90 Tage zu beauftragen.

• Die Gesamtprüfung sollte durch eine kontinuierliche Überwachung der hochautomatisierten Fahrfunktion ergänzt werden.

• Für die Durchführung der Hauptuntersuchung sollten durch den Fahrzeughersteller die erforderlichen Informationen zur Verfügung gestellt werden, um die Funktionalität und Wirkung sicherheits- und umweltrelevanter Systeme und deren Softwareintegrität sowie des digitalen Datenspeichers zu verifizieren.

• Es sollten Methoden festgelegt werden, um die hochautomatisierte Fahrfunktion im Rahmen der Marktüberwachung/Hauptuntersuchung zu überprüfen. Dabei sollen auch externe Sachverständige einbezogen werden.

Es sollte dem Halter freigestellt sein, einen amtlich anerkannten Sachverständigen oder Technischen Dienst mit der Durchführung der regelmäßigen Prüfung sowie der alle 90 Tage geforderten Gesamtprüfung zu beauftragen.

Ferner sollte erwogen werden, die Gesamtprüfung durch eine kontinuierliche Überwachung der hochautomatisierten Fahrfunktion zu ergänzen. Dies würde einerseits den Halter entlasten und andererseits die Verkehrssicherheit erhöhen. Bei der Feststellung eines Fehlers sollten die sicherheitsrelevanten Fehlerspeichereinträge automatisch an das KBA oder eine für die Aufgabe beliehene Stelle übermittelt und nötigenfalls eine Deaktivierung der entsprechenden Fahrfunktion bis zur Behebung des Mangels durch das KBA ermöglicht werden.

Die Prüfung von Sicherheitssystemen während der Hauptuntersuchung trägt heute schon wesentlich zur Verkehrssicherheit bei. Bei Fahrzeugen mit hochautomatisierten Fahrfunktionen sollte daher bereits durch den Gesetzesentwurf sichergestellt sein, dass neben mechanischen Systemen auch die Funktionalität und Softwareintegrität sicherheits- und umweltrelevanter elektronischer Fahrzeugsysteme und des digitalen Datenspeichers im Rahmen der Hauptuntersuchung nach § 29 StVZO über die elektronische Fahrzeugschnittstelle, zumindest aber über die normierte 16-polige OBD-Schnittstelle, geprüft werden kann.

Gegenüber dem Vorentwurf von Oktober 2020 wurde die Haftungsaufteilung insbesondere zwischen Halter und Technischer Aufsicht verändert. Ob diese nun ausreichend klar ist, kann in der kurzen Frist nicht beurteilt werden.

zu: § 15 Datenspeicherung

• Es sollten nicht nur während des befristeten Verbots des Personen- oder Gütertransports, sondern auch im Regelbetrieb für den Personen- und Gütertransport kontinuierlich Daten erhoben und an das KBA oder eine verantwortliche Stelle übermittelt werden.

Eine Datenverarbeitung durch das KBA und die nach Landesrecht zuständigen Behörden ist positiv zu sehen. Es sollten jedoch nicht nur während der Erprobung bzw. Verbotsphase und nach den genannten Ereignissen, sondern auch im Regelbetrieb für den Personen- und Gütertransport kontinuierlich Daten erhoben und an das KBA oder eine verantwortliche, beliehene Stelle übermittelt werden. Für die Verkehrssicherheit ist es sinnvoll, nicht nur in der Anfangsphase des Betriebs eine Datenbasis zu schaffen, sondern die Sicherheit der Fahrfunktionen auch im Fahrbetrieb zu überwachen. Dementsprechend sollten die im Regelbetrieb anfallenden Daten dem KBA oder einer beliehenen Stelle nicht nur auf Verlangen, sondern verpflichtend kontinuierlich übermittelt werden. Sofern Umgebungsdaten verarbeitet werden, können diese anonymisiert erhoben werden.

Anhang 1: Funktionale Anforderungen an Fahrzeuge mit autonomer Fahrfunktion

1.3 Planung der Trajektorien und Geschwindigkeiten

• Bereiche, die eine erhöhte Vorsicht erfordern, müssen Fahrzeugen mit hochautomatisierter Fahrfunktion klar kenntlich gemacht werden.
• Straßenbaulastträger und Verkehrsbehörden müssen dafür Sorge tragen, dass Veränderungen, die sich auf den festgelegten Betriebsbereich auswirken können, den Fahrzeugen oder deren Haltern ohne Zeitverzug zur Verfügung gestellt werden.
• Es sollten einheitliche Standards für die Gestaltung der Interaktion von Fahrzeugen mit hochautomatisierter Fahrfunktion mit anderen Verkehrsteilnehmenden erarbeitet werden.
• Die Trajektorie des Fahrzeugs muss für Passagiere und andere Verkehrsteilnehmende erwartungsgemäß und vorhersehbar sein. Auf Fehler anderer Verkehrsteilnehmender muss das Fahrzeug angemessen reagieren können.

Bereiche, die eine erhöhte Vorsicht erfordern, wie beispielsweise vor Schulen, sind nicht in jedem Fall mit Schildern gekennzeichnet. Dennoch sollte das Fahrzeug im autonomen Fahrmodus in der Lage sein, in der Nähe von Schulen und vergleichbaren Einrichtungen nötigenfalls die Geschwindigkeit zu reduzieren. Entsprechende Bereiche, die eine erhöhte Vorsicht erfordern, könnten z.B. in virtuellen Karten gekennzeichnet werden. Hierzu sind Daten aus der Infrastruktur bereitzustellen. Aktuelle Änderungen, z.B. geänderte Verkehrsführungen, sind von den zuständigen Behörden ohne Zeitverzug zur Verfügung zu stellen. Diese Pflicht betrifft die Länderkompetenz, ist aber für einen sicheren Betrieb unabdingbar.

Es ist zu spezifizieren, wo beziehungsweise unter welchen Rahmenbedingungen Fahrgäste gefahrlos ein- und aussteigen können.

In Situationen, in welchen das Fahrzeug Vorfahrt gewähren oder aber auf seine Vorfahrt verzichten muss, könnte es hilfreich sein, dies beispielsweise visuell anzuzeigen. Um dafür eine Form zu wählen, die für alle Verkehrsteilnehmenden gleichermaßen verständlich ist und mögliche Missverständnisse ausschließt, sollte das BMVI, unabhängig von dieser Verordnung, einheitliche Standards für die Gestaltung der Interaktion hoch-/vollautomatisierter Systeme mit anderen Verkehrsteilnehmenden erarbeiten.

 1.4 Reaktion auf Umweltbedingungen

• Die Bundesregierung sollte sich für europaweit einheitliche Regelungen für Fahrzeuge mit hochautomatisierter Fahrfunktion einsetzen.

Eine grenzüberschreitende Nutzung kann durch z.T. abweichende Regelungen innerhalb Europas erschwert werden. Die Pflicht, diese Regelungen zu berücksichtigen, liegt zwar zunächst bei den Herstellern und dem Halter. Für den Erfolg hochautomatisierter Fahrzeuge sollte sich die Bundesregierung jedoch für europaweit einheitliche Regelungen für Fahrzeuge mit hoch-/vollautomatisierter Fahrfunktion einsetzen – dies auch unabhängig von dieser Verordnung.

 5.  Permanente Systemüberwachung

Die Technische Aufsicht benötigt Zugriff auf alle notwendigen Daten, die zur Überprüfung des sicheren Betriebs und zur Bewertung des vorgeschlagenen Fahrmanövers notwendig sind.

• Es ist zu konkretisieren, wo die Daten zu speichern sind.

Um diese Pflichten ordnungsgemäß erfüllen zu können, benötigt die Technische Aufsicht Zugriff auf alle notwendigen Daten, die zur Überprüfung des sicheren Betriebs der hochautomatisierten Fahrfunktion und zur Bewertung des vorgeschlagenen Fahrmanövers notwendig sind.

Zu konkretisieren ist außerdem die Frage, wo die „Speicherung der Daten der permanenten Systemüberwachung“ stattfindet.

 6.  Datenübertragung

• Fahrzeuge mit hochautomatisierten Fahrfunktionen sollten verpflichtend mit V2V-Kommunikation ausgestattet sein.
• Es bedarf eines einheitlichen Kommunikationsstandards für den Austausch verkehrssicherheitsrelevanter Daten und Informationen über die V2V- und V2I-Schnittstelle.

Es ist zu erwarten, dass die Kommunikation zwischen Fahrzeugen untereinander (V2V) und mit der Infrastruktur (V2I) bei entsprechender Abdeckung einen wichtigen Beitrag zur Erhöhung der Verkehrssicherheit, besonders im innerstädtischen Bereich, leisten kann. Aus diesem Grund sollten die Fahrzeuge mit hochautomatisierter Fahrfunktion nicht nur optional sondern verpflichtend mit entsprechenden V2V-Kommunikationsmitteln ausgestattet sein. Für die Übertragung und den Austausch verkehrssicherheitsrelevanter Informationen sollte die Kommunikation möglichst über einheitliche Kommunikationsstandards zwischen Fahrzeugen und Infrastruktur erfolgen.

7. Funktionale Sicherheit und Sicherheit der Funktion

• Sicherheitskonzept mit Gefährdungsanalyse zum Kernstück der Anforderungen ausbauen und durch unabhängige Dritte prüfen lassen.

Die Anforderungen an ein Sicherheitskonzept mit Gefährdungsanalyse sind enttäuschend. Hier handelt es sich bei einem komplexen, gefahrgeneigten System um eine Kernaufgabe, um höchstmögliche Sicherheitsstandards überhaupt erst konzipieren zu können.

Wie verhält sich das System bei Extremwetterlagen, bei Notfällen, bei Störungen der Datenverbindungen? Diese Fragen sind umfassend und präzise zu beantworten. Zwar sieht der vorliegende Entwurf eine Gefährdungsanalyse und ein entsprechendes Konzept verpflichtend vor, macht aber dann nur Vorschläge für eine Umsetzung („Mögliche Methoden sind…“, Abschnitt 7.2.1). Das kommt im Ergebnis einer freiwilligen Selbstzertifizierung gleich und ist nicht akzeptabel. Hier sollte der Verordnungsgeber dringend nachsteuern, ein Verfahren und Mindestinhalte sowie eine Prüfung durch unabhängige Dritte vorschreiben.

Anhang 3: Digitaler Datenspeicher

• Sofern technisch möglich, sollten auch der Anprall von vulnerablen Verkehrsteilnehmenden sowie die zur Aufklärung von Verstößen gegen Verkehrsregeln erforderlichen Daten im digitalen Datenspeicher erfasst werden.
• Aufzeichnung von durch die Technische Aufsicht freigegebenen oder vorgeschlagenen Fahrmanövern.
• Um den erhöhten Sicherheitsanforderungen vollautomatisierter Fahrfunktionen gerecht zu werden, ist im Rahmen der Hauptuntersuchung sicherzustellen, dass der digitale Datenspeicher über den gesamten Fahrzeuglebenszyklus funktionsfähig bleibt.
• Berücksichtigung entsprechender Arbeitsergebnisse der UN/ECE EDR/DSSAD-Arbeitsgruppe.
• Berücksichtigung der Empfehlungen der „Stellungnahme des DVR zu EDR und DSSAD“ vom 28.10.2020.

Die Anforderungen an einen digitalen Datenspeicher sind unzureichend beschrieben. Hier sollte auf bereits vorhandene Arbeitsergebnisse, zum Beispiel im Rahmen der Gestaltung von UN/ECE-Regelungen, zurückgegriffen werden (vgl. GRVA-Arbeitsgruppen der UN/ECE).

Neben Ereignissen, die zum Stillstand des Fahrzeugs führen, sollte, soweit technisch möglich, auch der Anprall von vulnerablen Verkehrsteilnehmenden erkannt und im EDR bzw. Datenspeicher erfasst werden. Darüber hinaus sollten neben den in § 13 aufgeführten Ereignissen auch Daten aufgezeichnet werden, welche der Feststellung von Verstößen gegen Verkehrsregeln durch das Fahrzeug dienen, um die sich daraus ergebenden Erkenntnisse für die Weiterentwicklung der Fahrsysteme berücksichtigen zu können.

Im Fahrzeugdatenspeicher sind zudem alle Fahrmanöver aufzuzeichnen, welche entweder durch die Technische Aufsicht freigegeben oder von dieser vorgeschlagen wurden.

Neben den in § 13 aufgeführten Ereignissen sollten auch potentiell verkehrsgefährdende, aber „triggerlose“ Ereignisse, wie etwa Rotlichtverstöße, erfasst werden.

Der DVR fordert in seiner Stellungnahme zu EDR und DSSAD vom 28.10.2020 zudem:

1. Speicherung der Beschleunigungswerte in Längs- und Querrichtung über einen Zeitraum von fünf Sekunden vor und, sofern technisch möglich, fünf Sekunden nach einem Ereignis, das die Speicherung von Fahrdaten auslöst sowie die Speicherung der Daten des Lenkwinkelsensors über einen Zeitraum von fünf Sekunden vor dem Ereignis.
2. Speicherung von Eingriffen der ausgerüsteten Fahrerassistenzsysteme über einen Zeitraum von fünf Sekunden vor und, sofern technisch möglich, fünf Sekunden nach dem auslösenden Ereignis.
3. Auslösung eines überschreibbaren Datensatzes, zum Beispiel durch eine intelligente Beschleunigungsanalyse (Ruckerkennung), zur Erhöhung der Feststellungswahrscheinlichkeit relativ leichter Anstöße gegen vulnerable Verkehrsteilnehmende, sofern technisch möglich.
4. Speicherplatz für mindestens sechs Ereignisse, wovon ein Speicherbereich für das letzte „non-deployment Event“ reserviert ist. Unfälle mit vulnerablen Verkehrsteilnehmenden müssen möglichst zuverlässig erkannt werden.
5. Auslesbarkeit der gespeicherten Daten über eine standardisierte elektronische Fahrzeugschnittstelle. Informationen, wie die Daten abgerufen und interpretiert werden können, sind Berechtigten in einem standardisierten Format zur Verfügung zu stellen.
6. Die Funktion des Unfalldatenspeichers (im Gesetzesentwurf: der digitale Datenspeicher) muss nachhaltig gewährleistet werden und im Rahmen der Hauptuntersuchung überprüfbar sein. Entsprechende Prüfmethoden sind zu entwickeln.
7. Speicherung für die Fahraufgabe relevanter Datensätze, wie z.B. C-ITS-Signale sowie Bild- und Objektdaten. Hierfür sind regulatorische Rahmenbedingungen zu schaffen, beispielsweise auf Basis SAE J3197.
8. Die Auslösung eines überschreibbaren Datensatzes durch manuelle Anforderung (im Kontext des Gesetzesentwurfs: durch die Technische Aufsicht) sollte möglich sein.
9. Im Hinblick auf die Datenspeicherung müssen die nachfolgenden, offenen Fragen geklärt werden:
   • Zugang zu den Daten über eine standardisierte elektr. Fahrzeugschnittstelle und ein manipulationssicherer Speicherort.
   • Anforderungen an den Datenschutz und die Privatsphäre.
   • Verfügbarkeit der Daten, ihre gesetzliche Legitimität und der Ausleseprozess.
   • Überprüfung der Funktion des EDR/DSSAD-Systems (bzw. des digitalen Datenspeichers).
   • Datenschutzkonforme Weitergabe der Daten zu Forschungszwecken.

Anhang 4: Anforderungen an Mensch-Maschine-Schnittstellen

• Es sollten einheitliche Standards für die Gestaltung der Interaktion von Fahrzeugen mit hochautomatisierter Fahrfunktion mit anderen Verkehrsteilnehmenden erarbeitet werden.
• Sofern eine fahrzeugführende Person vorgesehen ist, muss die Gestaltung der Mensch-Maschine-Schnittstelle mindestens den Anforderungen der UN-Regelung für „Automated Lane Keeping System (ALKS)“ erfüllen. Diese Person muss über Status und Absichten des Systems informiert werden. Der Fahrmodus muss permanent optisch angezeigt werden.

Die Interaktion zwischen dem Fahrzeug mit hochautomatisierter Fahrfunktion und weiteren Verkehrsteilnehmenden in unmittelbarer Umgebung ist nicht näher definiert. Um sicherzustellen, dass die Interaktion möglichst unmissverständlich und eindeutig erfolgt, sollte sich das BMVI, auch unabhängig von dieser Verordnung, für einheitliche Standards für die Gestaltung der Interaktion voll-/hochautomatisierter Systeme mit anderen Verkehrsteilnehmenden einsetzen.

In einer früheren Vorabversion war eine Zuverlässigkeitsprüfung der Technischen Aufsicht sowie der für die Durchführung technischer und organisatorischer Anforderungen eingesetzter Personen in Analogie zum Luftfahrtsicherheitsgesetz vorgesehen. Diese ist in der Fassung vom 27.01.2021 entfallen. In Anbetracht der hohen Verantwortung für die Passagiere und andere Verkehrsteilnehmende sollte auf eine Zuverlässigkeitsprüfung – zumindest für die Technische Aufsicht – aber nicht verzichtet werden.

Dazu sollte möglichst detailliert dargestellt werden, welche Tätigkeitsanforderungen die Technische Aufsicht künftig zu erfüllen hat (Ist-Profil der körperlich-geistigen Leistungsvoraussetzungen). Darauf aufbauend müssen die geforderten Kernkompetenzen erfasst und das Tätigkeitsfeld präziser beschrieben werden. Dazu gehören Aufgabeninhalt und zeitliche Taktung, damit Fehlbeanspruchung sowie eine sicherheitskritische Fehlerhäufigkeit weitgehend vermieden bzw. das Leistungsvermögen dauerhaft erhalten werden können.

Einerseits führt eine zu wenig belastende Aufgabe zu einer Unterbeanspruchung mit Monotonie-Erleben, Müdigkeit,  Tagträumereien und Hinwendung zu unerwünschten Nebenaufgaben. Eine zu stark belastende Aufgabe übersteigt andererseits die geistigen Kapazitäten, erhöht den Arbeitsstress und mündet in einer seriellen Informationsverarbeitung mit suboptimalen Entscheidungsergebnissen. Überbeanspruchung wie Unterbeanspruchung erhöhen so die Fehleranfälligkeit bei der Aufgabenausführung.

Auf die Notwendigkeit einer Gefährdungsbeurteilung im Kontext des betrieblichen Arbeits- und Gesundheitsschutzes (vgl. § 5 ArbSchG) sei zusätzlich hingewiesen.

Die in der Tabelle aufgeführten Daten sind unzureichend, um den Zweck der Unfallforschung und -aufklärung sowie der Klärung der Haftungsfrage erfüllen zu können. Daher:

• müssen mindestens die Umfelddaten des Fahrzeugs kurz vor, während und nach einem Ereignis im digitalen Datenspeicher erfasst werden,
• darf die Datenverarbeitung beim Eintreten der aufgeführten Ereignisse nicht nur auf die Verbots- bzw. Erprobungsphase nach § 9 Abs. 5 S. 2 begrenzt werden.

Um den in Anlage I: Anhang 3 genannten Zweck der Unfallforschung und -aufklärung erfüllen zu können, müssen zusätzlich mindestens noch kurz vor, während und nach einem Ereignis die Umfelddaten des Fahrzeugs (z.B. Kamerabilder, Sensordaten) erfasst werden. Besonders für die Auswertung von Beinahe-Unfällen oder nicht-planmäßigen Spurwechseln sind diese Daten unverzichtbar. Rückschlüsse auf den Unfallhergang und das Sicherheitsmanagement des Fahrzeugs sowie entsprechende Schlussfolgerungen für die kontinuierliche Verbesserung der Verkehrssicherheit sind bei hoch-/vollautomatisierten Fahrzeugen ohne umfassende Unfalldaten nur sehr eingeschränkt möglich.

Die in der Tabelle aufgeführten Daten sollten nicht nur während der Verbots- bzw. Erprobungsphase, sondern auch im Regelbetrieb erhoben werden.

Das Betriebshandbuch, das Sicherheitskonzept und weitere funktionale Beschreibungen werden allein dem KBA sowie dem Halter zur Verfügung gestellt und durch Updates aktualisiert. Die darin enthaltenen Informationen sind u.a. auch für die Entwicklung von Prüfvorgaben erforderlich. Es ist daher sicherzustellen, dass die aktualisierten Anpassungen der Dokumentationen regelmäßig den berechtigten Stellen zur Verfügung gestellt werden.

Anmerkungen des DVR-Mitgliedsunternehmens Bosch

Kommentierung des Gesetzes zum autonomen Fahren und der AFGBV (Use Case Automated Valet Parking (AVP)) (Bosch)

• Wir begrüßen den gesetzgeberischen Willen auch Dual-Mode Systeme, wie das Automated Valet Parking (AVP), im öffentlichen Verkehrsraum (z.B. Parkhäusern) ermöglichen zu wollen. In der aktuellen Fassung stoßen die Entwürfe hinsichtlich solcher Fahrzeuge, die sich in Privatbesitz befinden oder Infrastruktur-Sensorik verwenden – wie beispielsweise AVP – auf Bedenken.
• Das Gesetz fokussiert stark auf sog. „People-Mover“. Die hiermit einhergehenden neuen Rollen und deren Pflichten sind nur bedingt auf AVP übertragbar und kritisch zu hinterfragen. Darüber hinaus bleibt das Verhältnis der nachträglichen Aktivierung und der allgemeinen Betriebsvoraussetzungen fraglich. Zu begrüßen ist die geschaffene Möglichkeit für z.B. AVP ein eigenes Regelwerk in Hinblick auf die technischen und Rollenanforderungen zu schaffen und hierdurch von der AFGBV in notwendigen Bereichen abzuweichen. Hiervon sollte dringend Gebrauch gemacht werden. Im Übrigen sei auf die Einzelkommentierung unten verwiesen.

Anmerkungen des DVR-Mitgliedsverbands BVSK (Bundesverband der freiberuflichen und unabhängigen Sachverständigen für das Kraftfahrzeugwesen e.V.)

Datenhoheit

Aus Sicht des BVSK ist es sehr wichtig die Datenhoheit, die beim Halter bzw. beim regelmäßigen Nutzer des Fahrzeugs liegt, zu betonen. Aufgrund der technischen Gestaltung werden die Fahrzeughersteller wahrscheinlich Zugriff auf im Fahrzeug erzeugte Daten haben, bzw. sich einfach verschaffen können. Es muss sichergestellt sein, dass personenbezogene Daten nur gemäß den Regelungen der DSGVO und mit ausdrücklicher Einwilligung des Betroffenen weiterverarbeitet werden.

Im gleichen Zuge muss sichergestellt werden, dass der Inhaber der Datenhoheit sich auch einfach Zugriff auf die Daten verschaffen kann, ohne dass hierzu das Mitwirken des Fahrzeugherstellers erforderlich ist, denn sonst besteht die Gefahr, dass der Zugriff erschwert oder zeitlich verzögert werden könnte. Dazu gehört auch, dass Dritte im Auftrag bzw. mit Zustimmung des Halters Zugang zu den Daten erhalten.

Für den Zugriff bietet sich daher eine standardisierte Schnittstelle an, die von allen Fahrzeugherstellern zu implementieren ist.

Datenzugriff

In diesem Zusammenhang ist es auch erforderlich, dass alle Daten, die für eine objektive Nachvollziehbarkeit der Funktion von hochautomatisierten Systemen benötigt werden, lokal im Fahrzeug gespeichert werden. Eine Ausleitung aus dem Fahrzeug und Speicherung beim Hersteller ist hier problematisch, weil der Zugriff auf die Daten und die Sicherstellung der Datenintegrität dadurch erschwert wird.

Zur Erreichung einer breiten Akzeptanz von Fahrzeugen mit hochautomatisierten Fahrfunktionen in der Gesellschaft ist es wichtig, dass auftretende Unfallereignisse objektiv und nachhaltig aufklärbar sind. Sonst besteht die Gefahr einer Ablehnung gegenüber den neuen Systemen, da diese auf Basis von fehlenden Fakten als „gefährlich“ angesehen werden könnten.

In der Praxis der Unfallrekonstruktion zeigt sich, dass Daten, die unter Mitwirkung oder nur durch den Fahrzeughersteller zur Verfügung gestellt werden, oftmals in Zweifel gezogen werden. Dies insbesondere dann, wenn der Hersteller Betroffener oder Partei in einem Verfahren ist.

Dies kann nach unserer Ansicht nur dadurch überkommen werden, dass alle aufklärungsrelevanten Daten

- lokal im Fahrzeug gespeichert,

- über eine standardisierte Schnittstelle auslesbar,

- und bezüglich ihrer Integrität überprüfbar sind

Der letzte Punkt beinhaltet, dass die Speicherung im Fahrzeug so erfolgen muss, dass nach dem Abschluss des Speichervorgangs eine Veränderung der Daten auch für den Fahrzeughersteller nicht mehr möglich ist oder eine Veränderung der Daten durch eine Integritätsprüfung erkennbar wird.

Die dazu verwendeten Verfahren müssen öffentlich dokumentiert sein. Ein „Security through Obscurity“ Ansatz kommt nicht in Frage, da hier die Möglichkeit eines unzulässigen Datenzugriffs durch „Hintertüren“ in den Implementierungen nicht geprüft / ausgeräumt werden kann.

Reparatur

Weiterhin ist es aus unserer Sicht notwendig, dass auch die Schadenfeststellung an und Reparatur von Fahrzeugen, vor allem nach Unfallereignissen adressiert wird. Es ist wichtig, dass der Zustand und die Funktionsfähigkeit von hochautomatisierten Systemen im Rahmen einer Schadenbegutachtung durch Sachverständige überprüfbar sind. Eine Beschränkung auf die hoheitlichen Prüfungen allein greift hier zu kurz. Es muss sichergestellt werden, dass die hierfür notwendigen Informationen und Hilfsmittel qualifizierten Sachverständigen zugänglich gemacht werden.

Darüber hinaus ist es wichtig zu beachten, dass es im Rahmen der Markteinführung von Fahrzeugen mit hochautomatisierten Fahrfunktionen zu Unfallereignissen mit solchen Fahrzeugen kommen wird, bei denen Schäden entstehen, welche die Funktionsfähigkeit der Systeme beeinflussen. Bereits heute kommt es bei bereits leichten Kollisionen mit nur minimalen äußerlich erkennbaren Schäden zu Dejustierungen von z.B. Radarsensoren, wodurch die Funktionsfähigkeit von Fahrzeugsystemen stark negativ beeinflusst wird.

Man wird darüber diskutieren müssen, wie mit Fahrzeugen zu verfahren ist, die nach Unfällen nur teilweise oder gar nicht in Bezug auf solche Schäden instandgesetzt werden. Auch bei Fahrzeugen mit hochautomatisierten Fahrfunktionen wird es Fahrzeugbesitzer geben, die sich nach einem Unfall dazu entschließen einen Schaden fiktiv abzurechnen und das Fahrzeug nicht oder nur teilweise reparieren zu lassen.

Auch wird es zur Durchführung von nicht sach- und fachgerechten Reparaturen kommen. Bereits heute ergeben sich z.B. beim Austausch von Frontscheiben bereits in vielen Fällen erhebliche Mängel bei der Reparaturdurchführung in Bezug auf die Kalibrierung von Fahrerassistenzsystemen nach Abschluss der Reparatur. Dadurch kommt es dazu, dass Fahrzeuge mit fehlerhaft kalibrierten Fahrerassistenzsystemen am Straßenverkehr teilnehmen, wodurch erhebliche Risiken entstehen können.

Die Behandlung solcher Fälle erfordert ein koordiniertes Vorgehen zwischen Fahrzeugherstellern, Reparaturwerkstätten und Sachverständigen. Wir regen an, hierzu zeitnah eine Diskussion zu starten, damit bei Eintritt der ersten Schadenereignisse eine abgestimmte Vorgehensweise vorliegt.