[12] Abbiegemanöver nach Links im rechten Winkel gekreuzt und wurde dabei von Radar- und Kamerasystemen des Tesla nicht erkannt. Der Tesla fuhr unter dem hoch liegenden Auflieger durch, wodurch eine Kollision erst auf Höhe der Windschutzscheibe stattfand. Aktive lnsassenschutzsysteme wie Airbags konnten den Fahrer damit ebenfalls nicht wirksam schützen . Nach verschiedenen öffentlich bekanntgegebenen (jedoch derzeit noch unbestätigten) Aussagen des Herstellers soll die helle, weißlackierte Seite des Aufliegers von der Kamera im Gegenlicht des hellen Himmels nicht erkannt worden sein, während das Radarsystem unter dem hoch liegenden Auflieger „durchgeschau t" habe. (Um über der Straße montierte Verkehrsschilder nicht fälschlicherweise als mögliche Hindernisse zu bewerten, ist der Erfassungsbereich des Radars vor dem Fahrzeug verhältnismäßig flach.) Anhand der bekannten Informationen zu dem Unfall ist zunächst jedoch festzustellen, dass die Bedingungen für eine Kollision durch ein Aufeinandertre ffen der Fahrwege der beiden beteiligten Fahrzeuge offenbar erst durch menschliches Versagen , nämlich durch die Missachtung der Vorfahrt des Tesla Model S durch den Fahrer des LKW, geschaffen wurden . Der abbiegende LKW war zusätzlich offensichtlich auch vom Fahrer des Tesla nicht rechtzeitig erkannt worden, was aufgrund der sehr übersichtlichen Unfallstelle (s . Foto) die Vermutung nahelegt, dass der Fahrer seine Aufmerksamke it entgegen der Anweisungen der Bedienungsanleitung nicht auf das aktuelle Verkehrsgeschehen gerichtet hatte und der Unfall bei Beachtung dieser Hinweise hätte möglicherweise verhindert werden können.

[13] ~. ~ ,. '     9: C-9• -  -~ IJ Unfallstelle in Fahrtrichtung Tesla Model S                      Quelle: Google Maps 1.4. Fahrversuche Zum Zwecke der Durchführung von Fahrversuchen stand dem KBA ein Fahrzeug des Typ Model S mit dem Fahrerassistenzsystem „ Autopilot" zu r Verfügung. Es wurden Fahrten von verschiedenen Mitarbeitern des KBA aus dem Bereich der Produktsicherheit durchgeführt. Dabei ging es zunächst einmal darum, sich mit dem Fahrzeug und den vorhandenen Assistenzsystemen vertraut zu machen . Nach einer grundsätzlichen Einstellung des Fahrzeugs auf die jeweiligen Fahrerbedingungen kann dem Fahrzeug hinsichtlich der Bedienung grundsätzlich ein hohes Maß an lntu itivität attestiert we rden . Gewöhnungsbedürftig sind zunächst nur die allgemein bei Elektrofahrzeugen fehlende Rückmeldung der Fahrbereitschaft durch fehlende Motorengeräusche und Aufbauvibrationen . Das gleiche gilt auch für das Abstellen des Fahrzeugs. Das Fahrzeug wird nach dem Einlegen der Getriebestufe „ P" verlassen und in einem Zustand zurückgelassen, der rein subjektiv den Eindruck eines aktiven Fahrzeugs hinterlässt. Die Türen verriegeln automatisch wenn sich die Person mit dem Schlüssel vom Fahrzeug entfernt. Bildschirm und Displays sowie die äußere Fahrzeugbeleuchtung sind zunächst weiter aktiv und schalten sich erst nach einiger Zeit ab. Im Fahrbetrieb genügt eine relativ kurze Fahrstrecke, um ein grundsätzliches Gefühl der Sicherheit bei der Steuerung des Fahrzeugs im Verkehr zu erlangen . Nach der Aktivierung des Lenkassistenten - und damit der „Autopilot" - aktiviert, ist das Fahren zunächst deutlich anstrengender, da sämtliche Lenkbewegungen des Fahrzeugs mit sehr hoher Aufmerksamkeit überwacht werden . Die Fahrer saßen

[14] dabei mit höchster Konzentration hinter dem Steuer, immer in der Erwartung jederzeit und unverzüglich in das Geschehen eingreifen zu können. Diese Anspannung lässt auch hier nach einer verhältnismäßig kurzen Fahrstrecke und mit jedem zuverlässig ausgeführten Lenk- oder Bremseingriff des Fahrzeugs nach, so dass bereits nach 15-20 Kilometern damit begonnen werden konnte, gezielte Versuche hinsichtlich der Funktion des Systems vorzunehmen . Nachfolgend werden objektive und subjektive Ergebnisse und Eindrücke der durchgeführte n Untersuchungen dargestellt. Grundsätzlich erfolgten die Untersuchungen hierbei unter besonderer Betrachtung der für eine sichere Funktion der einzelnen Systeme folgenden relevanten Aspekte : - Spurerkennung (Spurassistent) - Spurhaltung (Spurassistent) - Objekterkennu ng (Abstandsgeschwindigkeitsregler und Kollisionsvermeidungsassistent) - Hands-Off-Detection (Lenkassistent) Spurerkennung Die Erkennung der Fahrspuren funktionierte bei den durchgeführte n Untersuchungen zufriedenstellend und wurde auf dem Display vor dem Fahrer entsprechend dargestellt. Dabei ist festzustellen, dass die Erkennung der Spur erwartungsgem äß direkt abhängig von der Qualität der Straßenverhältnisse und der Fahrbahnmarkierung ist. Auch Nässe und eingeschränkte Sichtbedingungen reduzieren hier die Erkennung der Fahrspur durch die Kamera . Entsprechend steht das Assistenzsystem nicht zur Verfügung, wenn die Fahrspur nicht ausreichend zuverlässig erkannt wird, bzw. fordert das System den Fahrer auf die Steuerung zu übernehmen, wenn bei aktiviertem „Autopilot" die Spurerkennung verloren geht. Bei Verlust der Spurerkennung ertönt ein Warnton verbunden mit der Aufforderung an den Fahrer die Steuerung des Fahrzeugs zu übernehmen. Spurhaltung Die Erkennung der Fahrspuren funktionierte bei den durchgeführte n Untersuchungen zufriedenstelle nd . Bei gut ausgebauter und markierter Fahrbahn orientiert sich das Fahrzeug im Bereich der Mitte der Fahrspur und hält diese Position, ohne dass dabei starke Pendelbewegungen innerhalb der Spur festzustellen wären.

[15] Bei Fahrten auf Straßen mit Fahrspuren in beide Richtungen aber ohne Mittelmarkieru ng (Innerstädtisch, ländliche Straßen) orientierte sich das Fahrzeug in die Mitte der gesamten Straße und bewegte sich damit zum Teil im Gegenverkehr. Bei enger und schlecht markierter Fahrbahn (jedoch nur eine Fahrtrichtung, z.B. Baustelle) orientierte sich das Fahrzeug aus der Fahrbahnmitte heraus mehr zu einem Fahrbahnrand hin. Insbesondere in Baustellen erscheint der dabei eingehaltene seitliche Abstand zu Leitplanken und Barken subjektiv sehr klein . Im Rahmen der vom KBA durchgeführten Fahrversuchen auf öffentlichen Straßen konnten einzelne subjektiv kritisch erscheinende Situationen aus Gründen der Verkehrssicherheit nicht in letzter Konsequenz fortgeführt werden, so dass hier kein Nachweis erbracht werden konnte inwiefern zum Beispiel eine Kollisionsgefahr mit Schutzplanke und Baustelleneingrenzungen tatsächlich vorlag . Objekterkennung Vorausfahrende Fahrzeuge wurden im Rahmen der durchgeführte n Versuchsfahrten sicher und frühzeitig erkannt. Auch direkt neben dem Fahrzeug auf anderen Fahrspuren befindliche Fahrzeuge werden erkannt und zusätzlich auf dem Fahrerdisplay angezeigt. Das Abbremsen erfolgt bei groß eingestelltem Abstand zum vorausfahrenden Fahrzeug früher und stärker als bei klein eingestelltem Abstand . Stehende Fahrzeuge (beispielsweise an Ampeln) werden subjektiv spät erkannt. Auch andere stehenden Objekte, wie Schilder am Ende einer abknickenden Fahrspur, während die links vom Fahrzeug gelegene Fahrspur geradeaus weiterführt (z.B. Autobahnausfa hrt) werden zum Teil spät bis überhaupt nicht erkannt. Zur Erkennung von stehenden Objekten ist das System nach Angaben des Herstellers in der Bedienungsanleitung auch nicht vorgesehen. ,,Ha nds-Off-Detection" Je nach Verkehrsaufko mmen und Streckenführung (auftretende Querbeschleunigungen durch Kurvenfahrten setzen die Zeit herab) duldet das System eine längere oder kürzere Dauer,in der das System einen Kontakt der Hände mit dem Lenkrad nicht erkennt. Seitens des Herstellers sind unter idealen Bedingungen (gerade Strecke, wenig Eingriffsbedarf durch das System) maximal etwa 6 Minuten möglich, bevor das System den „Autopiloten" deaktiviert.

[16] Für eine Erkennung der Hände am Lenkrad durch das System muss der Fahrer ein geringes (jedoch spürbares) Lenkmoment auf das Lenkrad aufbringen. Im Rahmen eines Fahrversuchs auf der Autobahn A7 konnte die Fahrt bei aktiviertem „ Autopiloten " über einen Zeitraum von knapp 5:20 Minuten ohne Fahrereingriff und Lenkradkontakt fortgesetzt werden . Nach der ersten akustischen und optischen Warnung und dem Hinweis, die Hände an das Lenkrad zu nehmen, folgte etwa 15 Sekunden später eine zweite Warnung und eine Wiederholung des Hinweises. Nachdem auch dieser Hinweis zu Überprüfungszwecken missachtet worden war, schaltete sich der „Autopi lot" aus und der Fahrer wurde aufgefordert die Steuerung des Fahrzeugs zu übernehmen . Bei einer späteren Wiederholung dieses Versuchs wurde auf die Übernahme des Steuers durch den Fahrer solange verzichtet, bis sich das Fahrzeug mit eingeschalteter Warnblinkanlage - wie in der Fahrzeugbedienungsanleitung beschrieben - selber abgestellt hatte. Hierzu bremst das Fahrzeug langsam aktiv ab und bleibt dabei in der Fahrspur. Ergänzende Hinweise zu den Versuchen: Zu den hier dargestellten ersten Versuchsergebnissen ist ergänzend darauf hinzuweisen, dass zur Durchführung der Untersuchungen neben der anleitungsgemäßen Benutzung in einzelnen Situationen eine bewusste Missachtung der für die Verwendung der Fahrerassistenzsysteme einzuhaltenden Vorgaben der Bedienungsanleitung vorausgesetzt werden musste um die Fahrerassistenzsysteme auch in vom Hersteller nicht vorgesehenen Situationen beurteilen zu können . ,,Auto-La ne-Change" Herausgelöst zu den oben dargestellten Versuchen erfolgte die Betrachtung des Fahrerassistenzsystem „Auto-La ne-Ch ange ". Hierbei handelt es sich um ein System das nach Auffassung des KBA mit den aktuellen Vorschriften der UN Regelung Nr.79 nicht in Einklang zu bringen ist, da hier aktive Lenkbewegungen über einer Fahrgeschwindigkeit von 12km/h durch das Fahrzeug initiiert werden, die im Gegensatz zu Lenkbewegungen zur Spurhaltung durch den Spurassistent dazu dienen, die Spur zu verlassen und einer neuen Zielspur zu folgen . Bei Auto-Lane-Change handelt es sich um die einzige Funktion im Gesamtsystem „Autopilot" die eine explizite Erkennung der Hände am Lenkrad erfordert um aktiv werden zu können.

[17] Um einen Spurwechsel über Auto-Lane-Change einleiten zu können ist zunächst der Fahrtrichtungsanzeiger in die Richtung der Zielspur zu betätigen . Darauffolgt eine Aufforderung die Hände an das Lenkrad zu nehmen . Erkennt das System die Hände innerhalb der nächsten Sekunden len kt das Fahrzeug selbsttätig in Richtung der Zielspur. Das Fahrzeug überwacht dabei maximal den Bereich dire kt neben dem Fahrzeug und im toten Winkel. Von hinten herannahende Fahrzeuge können die fahrzeugseitigen Sensoren nicht erkennen . Es obliegt dem Fahrer den Spurwechsel erst zu starten, wenn die Verkehrsbedingungen dies entsprechend zulassen! Ein Abbruch eines durch Auto-Lane-Change durchgeführten Spurwechsel ist durch Gegensteuern problemlos möglich . Grundsätzlich funktioniert da s System hinreichend zuverl ässig. Der Fahrer erhält jedoch keine ausreichende Rückmeldun g darüber, ob das System nun die Hände am Lenkrad erkannt hat und den Spurwechsel einleitet oder nicht. Da s führt dazu, dass der Fahrer zunächst auf eine Reaktion des Fahrzeugs wartet und ggf. nochmals das Lenkrad fester anfasst/betätigt. Dadurch ist ein automatische Spurwechsel durch Auto-Lane-Change im Gegensatz zu einem manuell durchgeführten Spurwechsel mit einer spü rbaren Laten z behaftet, die dazu führen kann, dass sich die Verkehrssituation zwische nzeitlich geändert hat und ein sicherer Spurwechsel ggf. nicht mehr möglich ist. 1.5. ,,Beta" Softwareversion 1.5.1. Definition „Beta" für Software Eine verbindliche Definition bzw . Abgrenzung des Begriffes „ Beta" in Bezug auf Softwareversionen existiert nicht. Im Allgemeinen wird damit jedoch ein Entwicklungsstadium bezeichnet, indem zwar alle Funktion en der Software enthalten sind, diese jedoch noch nicht vollständig getestet wurden . 1.5.2. Stellungnahme RDW zum Begriff „Beta" Software Von der zuständigen Typgenehmigungsbehörde wurde auf die Frage nach der Genehmigung einer „ Beta " Softwareversion folgende Antwort geliefert (Auszug) : „ With regard to Betaversion of software: Tesla describes some features as Beta version software, but that doesn 't mean it won't meet any of the Type Approval

[18] requirements; the software enrolled to customers in vehicles, new and on the road, meets all the Type Approval requirements and has been verified to ECE R79.01 Annex 6 and/or ECE R13-H Annex 8." 1.6.       App-Funktionen Über eine entsprechende App lassen sich einzelne Funktionen des Fahrzeugs über ein Smartphone steuern, sowie einzelne Statusabfragen durchführen . Dazu ist zunächst die Einrichtung eines Accounts unter „ myTesla " mit Benutzername und Passwort erforderlich . Mögliche zu steuernde Funktionen sind dabei : Entriegeln, Verriegeln, Hupen, Lichthupe, Dach kippen, Temperaturregelung, Ladeanschlus~ öffnen, Starten und „ Herbeirufen ". Darüber hinaus können der aktuelle Ladestatus und der Standort des Fahrzeugs abgefragt werden . Die genannten Funktionen erklären sich größtenteils selbst und funktionierten im Rahmen der Fahrversuche entsprechend . Ein besonderes Augenmerk galt bei der Untersuchung des Fahrzeugs jedoch den Funktionen „ Starten " und „ Herbeirufen ". Starten Nach Antippen des Buttons „Starten" wird der Prozess „Schlüsselloses Starten " gestartet. Hierzu ist dann zunächst die erneute Eingabe des Passworts des „ myTesla "- Accounts erforderlich . Sobald hier die Eingabe erfolgt ist, besteht für einen Zeitraum von zwei Minuten die Möglichkeit das Fahrzeug ohne Fahrzeugschlüssel zu starten . Hierzu ist wie bei normalem Start des Fahrzeugs die Betätigung des Bremspedals erforderlich . Auch nach dem Start des Fahrzeugs läuft die Zeit von zwei Minuten weiterhin sichtbar im Fahrerdisplay herunter. Das Fahrzeug lässt sich danach weiterhin fahren , jedoch ist ein erneuter Fahrzeugstart nach dem Abstellen nach Ablauf der zwei Minuten nicht mehr möglich .

[19] ,,Herbeirufen" Nach Antippen des Buttons „Herbeirufen" wird eine Internetverbindung zu dem Fahrzeug aufgebaut und zusätzlich geprüft, ob sich der Fahrzeugschlüssel in der Nähe des Fahrzeugs befindet. Zusätzlich muss die Ortungsfunktion des Smartphones aktiviert werden, damit mit der Programmausführung fortgesetzt werden kann. Steht die Verbindung zwischen Smartphone und Fahrzeug kann das Fahrzeug von außen über Halten der Buttons „vorwärts" oder „Rückwärts" bewegt werden . Zum Anhalten des Fahrzeugs ist der entsprechende Button loszulassen . Das Fahrzeug kann nur eindimensional vorwärts oder rückwärts gesteuert werden. Das Fahrzeug versucht dabei jedoch in eingeschränktem Maße durch Lenkbewegungen etwaigen Hindernissen (z.B. Pfosten) auszuweichen. Der Vorgang kann auch über einen Button „Stoppen" abgebrochen werden . Hierzu ist festzustellen, dass eine zuverlässige Funktion in höchstem Maße von der Zuverlässigkeit der vorhandenen Internetverbindung von Fahrzeug und Smartphone abhängig ist. Unter anderem erschien im Rahmen der durchgeführten Versuche auch unten abgebildete Fehlermeldung. Das Fahrzeug hatte zum Zeitpunkt der Fehlermeldung jedoch bereits selbsttätig gestoppt und war nicht mehr in Bewegung. Fehler Herbeirufen konnte nicht gestoppt werden . Bitte steigen Sie sofort ein, und übernehmen Sie die Kontrolle. Schließen Nach Angaben des Herstellers aus einer früheren Untersuchung des KBA in diesem Zusammenhang ist die Funktion „ Herbeirufen" (Summon) ausschließlich für USA, Mexiko und China verfügbar und in Fahrzeugen für den europäischen Markt nicht aktiv.

[20] Daher ist derzeit noch nicht klar, weshalb die Funktion „ Herbeirufen " nicht nur in der Oberfläche der App auftaucht, sondern auch ohne weiteres dafür benutzt werden kann , das Fahrzeug von außen zu bewegen . Der Hersteller wurde hierzu bereits zur Abgabe einer Stellungnahme aufgefordert. Diese lag zum Zeitpunkt der Fertigstellung dieses Berichts jedoch noch nicht vor. 1.7.         Schlussfolgerungen und Empfehlung 1.7.1. Produktsicherheitsrecht Bei bestimmungsgemäßer Benutzung sowie vorhersehbarer Verwendung i.S. des ProdSG haben sich bisher keine Anhaltspunkt dafür ergeben, dass die Sicherheit und Gesundheit von Personen durch das Produkt gefährdet werden . Eine potentielle Gefährdung entsteht bei dem betrachteten Produkt erst dann, wenn der Fahrzeugführer, entgegen der deutlichen Warnhinweise, die sowohl in der Bedienungsanleitung aufgeführt sind, als auch bei jeder Benutzung des Systems dargestellt werden, die Fahrerassistenzsysteme nicht mehr überwacht. Das korrekte Befolgen der Bedienungsanleitung durch den Fahrzeugführer ist jedoch bei komplexen Systemen (Kraftfahrzeuge im Allgemeinen und Kraftfahrzeuge mit Fahrerassistenzsystemen im Besonderen) für den sicheren Betrieb unerlässlich und muss vom Fahrzeugführer erwartet werden . Die Zentralstelle der Länder für Sicherheitstechnik (ZLS) führt hierzu aus, dass das Lesen von Bedienungsanleitungen vernünftigerweise erwartet werden könne . Das Ignorieren von Gebrauchsanleitungen falle i.d.R. nicht unter die Definition der vorhersehbaren Fehlanwendung, da es sich um ein u.U. fahrlässiges Verhalten des Verwenders handele, welches nicht in den Verantwortungsbereich des lnverkehrbringers falle (siehe Klindt, ProdSG, 2.A. § 2, Rn . 225; siehe auch Vermerk an BMVI vom 04.07 .2016 im Anhang). 1.7.2. Technik Gemäß Bedienungsanleitung ist die Voraussetzung für die Nutzung der betrachteten Fahrerassistenzsysteme, dass der Fahrzeugführer zu jeder Zeit die Kontrolle über das Fahrzeug behält. Dies wird sowohl in der Bedienungsanleitung, als auch bei jedem

[21] Start der Fahrerassistenzsysteme deutlich dargestellt. Die Voraussetzung, dass der Fahrer jederzeit die Kontrolle über das Fahrzeug behalten muss, entspricht dem derzeitigen Stand der Technik für das „Teilautomatisierte Fahren" [siehe BMVI Website, Automatisiertes Fahren) . Unter diesen Voraussetzungen und innerhalb der Systemgrenzen erfüllt das System die vom Hersteller beschriebenen Leistungen . Das Fahrzeug lässt dann bis zu 6 Minuten Fahrzeit zu, bis eine „hands-on " Detektion durchgeführt wird . Dafür reicht das kurze Aufbringen eines geringen Drehmomentes auf das Lenkrad. Sofern kein „hands-on" vom Fahrzeug festgestellt wird, erfolgen mehrere optische und akustische Warnungen; wird auf diese nicht reagiert, verringert das Fahrzeug selbständig die Geschwindigkeit und bleibt schließlich mit eingeschalteter Warnblinkanlage stehen. Festgestellte Grenzen des Systems (z.B. sehr schlechte Sichtbedingungen durch Regen/Gischt, schlechte Fahrbahnmarkierungen, etc.) sind in der Bedienungsanleitung aufgeführt. Sofern die Fahrerassistenzsysteme durch den Fahrzeugführer überwacht werden, kann auf eine ggf. im Betrieb auftretende Überschreitung der Systemgrenze korrekt und angemesse n reagiert werden . Sämtliche Fahrerassistenzsysteme lassen sich dann augenblicklich durch den Fahrzeugführer übersteuern . Bei der Überschreitung von Systemgrenzen sind generell zwei Fälle zu unterscheiden: a) Das System überschreitet eine Systemgrenze und erkennt dieses Sofern eine Systemgrenze während des Betriebes überschritten wird (z.B. nicht-mehr Erkennung der Fahrspur) schaltet sich das System mit dem entsprechenden optischen und akustischen Hinweis ab. Der Fahrer muss unmittelbar die Fahraufgabe übernehmen . b) Das System überschreitet eine Systemgrenze und erkennt dieses nicht Sofern eine Systemgrenze während des Betriebes überschritten wird (z.B. falsche Erkennung der Fahrspur, Erkennung der falschen Fahrspur) schaltet sich das System nicht ab. Der Fahrzeugführer erhält folglich auch keinen Hinweis und muss die Steuerung manuell übernehmen. Sobald ein solcher Eingriff des Fahrers erfolgt deaktivieren sich die entsprechenden Fahrerassistenzsysteme. Dies entspricht dem derzeitigen Stand der Technik.