GPS-Ortungssystems des eigenen Fuhrparks datenschutzrechtlich unzulässig

Die Entscheidung des VG Lüneburg (Urteil v. 19.03.2019 – Az.: 4 A 12/19) geht zwar auf einen Fall aus der „BDSG-Zeit“ zurück, aufgrund der Dauer des Verfahrens und der Besonderheiten im Verwaltungsverfahren hat das VG Lüneburg aber auch nach der Rechtslage nach Einführung der DSGVO entschieden. Danach ist der Einsatz von GPS-Ortungssystemen grundsätzlich prolematisch.

Die Klägerin in dem Verfahren hat ein Gebäudereinigungsunternehmen betrieben. Die Firmenfahrzeuge, die die Objektbetreuer, Reinigungskräfte und der Hausmeister nutzen, sind mit GPS-Systemen ausgestattet. Das verwendete GPS-System war vom Hersteller so ausgelegt, dass es für einen Zeitraum von 150 Tagen ständig jegliche gefahrene Strecke mit Start- und Zielpunkten einschließlich der gefahrenen Zeit und zumindest des Status der Zündung (Ein/Aus) speichert. Eine Taste zum Ein- und Ausschalten des Ortungssystems ist nicht vorhanden. Zwischen dem Ende eines Arbeitstages und dem Beginn der Arbeitszeit des Folgetages war eine Deaktivierung nur unter erheblichem Aufwand möglich. Das Ortungssystem erfasste die Kennzeichen der betroffenen Fahrzeuge. Die Fahrzeuge waren den jeweiligen betrieblichen Nutzern zugeordnet.

Aufgrund der Eingabe einer ehemaligen Mitarbeiterin der Klägerin wurde von der Beklagten im Jahr 2016 ein Kontrollverfahren nach § 38 Bundesdatenschutzgesetz (i.d. bis zum 24.05.2018 geltenden Fassung) eingeleitet.

Die Klägerin teilte gegenüber der Beklagten im weiteren Verfahren zunächst mit, dass eine private Nutzung der Firmenfahrzeuge nicht vereinbart sei, räumte später aber ein, dass eine private Nutzung durch die Objektleiter geduldet würde.

Die Klägerin hält die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten durch die Ortungssysteme während der ordnungsgemäßen betrieblichen Nutzung für erforderlich und ist der Ansicht dies sei durch entsprechende Einwilligungserklärungen der jeweiligen Beschäftigten gedeckt.

Die Beklagte (Aufsichtsbehörde) hielt die Einwilligungserklärungen für unwirksam, da eine Einwilligung im Arbeitgeber-/Arbeitnehmerverhältnis, sofern die Daten das Arbeitsverhältnis als solches betreffen, grundsätzlich nicht auf einer freien Entscheidung des Arbeitnehmers beruhten.

Das Verwaltungsgericht Lüneburg hat entschieden, dass der Bescheid rechtmäßig ist, soweit er angefochten wurde.

Für die Beurteilung der Sach- und Rechtslage ist der Zeitpunkt der gerichtlichen Entscheidung maßgeblich. Bei der datenschutzrechtlichen Anordnung der Beklagten, mit der der Klägerin aufgegeben wird, die Erhebung, Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt, handelt es sich (zukunftsorientiert) um einen Verwaltungsakt mit Dauerwirkung. Da bzgl. der Anordnung zu Ziff. II.3. auch kein Sofortvollzug angeordnet worden ist, kommt es für die Beurteilung, ob die getroffene Anordnung künftig rechtlich Bestand haben kann, allein auf die aktuelle Rechtslage an. Maßgeblich sind daher die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung: DSGVO) und das Bundesdatenschutzgesetz (BDSG), beide in der ab dem 25.05.2018 geltenden Fassung, sowie das aktuelle NDSG.

Die Verarbeitung von Positionsdaten der Beschäftigten im Rahmen der ordnungsgemäßen betrieblichen Nutzung der Firmenfahrzeuge durch das von der Klägerin eingerichtete Ortungssystem steht nicht im Einklang mit dem nach § 26 BDSG zu gewährleistenden Beschäftigtendatenschutz, der über die Öffnungsklausel nach Art. 88 Abs. 1 DSGVO zu beachten ist.

Die Erhebung und Speicherung von Standort-, Bewegungs- und Zeitdaten der genutzten Fahrzeuge, die über das Ortungssystem anfallen, sowie deren Auswertung, stellt typischerweise eine „Verarbeitung“ nach Art. 4 Nr. 2 DSGVO dar.

Die Verarbeitung betrifft auch „personenbezogene Daten“, denn nach Art. 4 Nr. 1 DSGVO fallen darunter alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann. Vorliegend werden zwar nur die Fahrzeugkennzeichen erfasst, jedoch ist der jeweilige Nutzer über die Zuordnung zu dem ihm zugeteilten Fahrzeug identifizierbar.

Bei wenigstens geduldeten Privatfahrten besteht aber kein pauschales Überwachungsbedürfnis des Arbeitgebers. Dem Eingriff in das Recht auf informationelle Selbstbestimmung steht in diesem Fall schon kein berechtigtes unternehmerisches Interesse des Arbeitgebers gegenüber.

Selbst wenn man hier aber auf die allgemeinen Erlaubnistatbestände aus Art. 6 UAbs. 1 c) oder f) DSGVO zurückgriffe, falls nach entsprechender Lesart § 26 Abs. 1 S.1 BDSG für diesen Fall nicht als bereichsspezifische Spezialregelung angesehen würde, mangelt es aus den zuvor ausgeführten Gründen an der Erforderlichkeit der Datenverarbeitung. Ach die genannten Erlaubnistatbestände aus Art. 6 UAbsch. 1 c) und f) DSGVO setzten nämlich eine „Erforderlichkeit“ der Datenverarbeitung voraus.

Nach § 26 Abs. 2 S.1 BDSG ist eine Verarbeitung personenbezogener Daten von Beschäftigten zulässig, wenn diese freiwillig in die Datenverarbeitung eingewilligt haben.

Für die Beurteilung der Freiwilligkeit sind insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Nach § 26 Abs. 2 S.2 BDSG kann Freiwilligkeit insbesondere dann vorliegen, wenn für die Beschäftigten ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird. Dasselbe gilt, wenn Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen. Ferner setzt die Einwilligung nach § 26 Abs. 2 S.4 BDSG eine informierte Willensbekundung voraus, was erfordert, dass der Arbeitgeber die beschäftigte Person über den Zweck der Datenverarbeitung und über das Widerrufsrecht nach Art. 7 Abs. 3 DGSVO zuvor aufgeklärt hat. § 26 Abs. 2 BDSG knüpft insgesamt an Art. 4 Nr. 11 DSGVO an. Nach dieser Vorschrift ist als „Einwilligung” der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Vorliegend mangelt es schon daran, dass nicht alle betroffenen Beschäftigten eine solche Einwilligung unmissverständlich zum Ausdruck gebracht haben.

Einer wirksamen Einwilligung stünde bei den vorliegenden Vereinbarungen in allen Varianten entgegen, dass es auch an der informierten Willensbekundung fehlt, die nach aktueller Rechtslage erforderlich ist: Zum einen hat die Klägerin über den mit der Datenverarbeitung verfolgten Zweck die Beschäftigten nur partiell informiert. Zum anderen fehlte der Hinweis auf das Widerrufsrecht vollständig.

Dem könne nicht entgegengehalten werden, dass zum Zeitpunkt des Erlasses des angegriffenen Bescheides die nunmehr maßgebliche Regelung des § 26 Abs. 2 BDSG sowie die DSGVO noch nicht existent waren. Der Klägerin hätte es frei gestanden im laufenden Verfahren von allen betroffenen Beschäftigten neue Einwilligungserklärungen einzuholen, die den aktuellen gesetzlichen Erfordernissen zur Informationspflicht entsprechen.

Aus der Entscheidung des VG Lüneburg lässt sich im Umkehrschluss aber auch entnehmen, dass eine GPS-Ortung für rein geschäftlich genutzte Fahrzeuge bei entsprechendem Nachweis der Erforderlichkeit der Datenerhebeung, z.B. wegen Kühlkettennachweises oder Sicherheitsanforderungen zulässig sein könnte…

Verwaltungsgericht Lüneburg

Urteil v. 19.03.2019 – Az.: 4 A 12/19

Das könnte Dich auch interessieren …