Blog, Datenschutz & Informationssicherheit, Sven Schüldink, , ,

Bei GPS-Ortungen von Firmenfahrzeugen ist Datenschutz vorab mitzudenken. Die GPS-Ortung ist eine datenschutzrechtlich sensibles Thematik – dies zeigt auch das neuste Urteil des VG Wiesbaden (Urteil vom 17.01.2022 – 6 K 1164/21.WI).
Das Unternehmen aus der Logistikbranche hat sich gegen eine Anordnung des Hessischen Beauftragten für Datenschutz und Informationsfreiheit gerichtlich gewehrt. Die Datenschutzaufsichtsbehörde hat dem Unternehmen die Speicherung von GPS-Trackingdaten untersagt. Das Unternehmen hat für 55 Firmenfahrzeuge eine GPS-Ortung als verschlüsselte Cloudlösung mit

  • Bestimmung des Live-Standortes
  • Speicherung der Standortdaten für 400 Tage
  • Messung von Kraftstoffverbrauch
  • Zuordnung zu den Fahrern mit Hilfe von Fahrerkarten für 28 Tage
  • Lenk- und Ruhezeiten für ein Jahr

im Einsatz. Der Serverstandort ist nicht bekannt. Das Unternehmen weist die Rechtmäßigkeiten der Datenverarbeitung (Rechtsgrundlagen) gem. Art. 6 Abs. 1 DSGVO als

  • Einwilligung,
  • rechtliche Verpflichtung und
  • berechtigtes Interesse

aus. Zur Zweckbindung gem. Art. 5 I b DSGVO dokumentiert das Unternehmen

  • Eingreifen können bei Missbrauch und Diebstahl
  • Erkennung von Kraftstoffdiebstahl
  • Koordinierung von Sonderabholungen als organisatorische Zwecke.

Erschwerend kam hinzu, dass die Beschäftigten nichts von der Datenverarbeitung wussten und keine Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person gem. Art. 13 DSGVO erhielten. Die Rechtsgrundlage Einwilligungen wurde zwar im Verzeichnis der Verarbeitungstätigkeiten festgehalten, allerdings nicht eingeholt. Nach Urteilspruch des Verwaltungsgerichtes liegt keine Rechtmäßigkeit / Rechtsgrundlage vor – dankenswerterweise ist das VG Wiesbaden auf jegliche vom Unternehmen genannte Rechtsgrundlage eingegangen. So das wir hier eine weitere Bewertung der möglichen Rechtsgrundlage für GPS-Ortung zur Verfügung haben.

Einwilligung

Eine Einwilligung wurde vom Unternehmen nicht eingeholt. Das Gericht zweifelt allerdings, ob eine Einwilligung theoretisch überhaupt statthaft gewesen wäre, da eine Freiwilligkeit im Beschäftigungsverhältnis an dieser Stelle datenschutzrechtlich aufgrund des Abhängigkeitsverhältnis schwierig zu bejahren ist. Vergleiche hierzu auch VG Lüneburg (ZD 2019, 331 Rn. 62) und Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (Tätigkeitsbericht 2019, S. 103) sowie Unabhängiges Datenschutzzentrum Saarland (27. Tätigkeitsbericht, S. 82). Nach abweichender Meinung wäre eine Einwilligung denkbar, wenn die Beschäftigten innerhalb der Fahrzeuge die GPS-Ortung eigenständig ausschalten können (Kiesche jurisPR-ArbR 51/2020 Anm. 8).

Rechtliche Verpflichtung

Eine rechtliche Verpflichtung besteht für das Unternehmen bei der Verarbeitung von Fahrerkartendaten zwar, allerdings ist hierfür das Verfahren mittels GPS-Ortung nicht notwendig.

Berechtigtes Interesse

Ein sogenanntes berechtigtes Interesse, also die Erforderlichkeit zur Wahrung des berechtigten Interesses des Unternehmens nach Interessenabwägung der Grundrechte und Grundfreiheiten der betroffenen Personen gem. Art. 6 I f DSGVO liegt – nach Auffassung des Gerichts – hier nicht vor. Insbesondere scheiterte die Zulässigkeit der Datenerhbung bereits am versteckten GPS-Tracking. Ebenso ist eine GPS-Ortung als berechtigte Interesse laut Gericht hier nicht erforderlich.

Verarbeitung im Beschäftigungskontext / für Zwecke des Beschäftigungsverhältnis

Eine Datenverarbeitung im Beschäftigtenverhältnis kann auch auf die Rechtsgrundlage Art. 88 DSGVO i.V.m. § 26 BDSG gestützt werden, sofern eine für dessen Durchführung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. In dem hier dargestellten Urteil hat allerdings das VG Wiesbaden dies nicht bewertet; im Urteil des VG Ansbach kamen die Richter allerdings zu der Ansicht, dass jedoch vieles dafürspreche, dass der GPS-Einsatz für die Durchführung des Beschäftigungsverhältnisses erforderlich sein kann. Insbesondere der Schutz von Betriebsmitteln vor Dritten, aber auch das Flottenmanagement könnten legitime Zwecke zum Einsatz von GPS-Ortung darstellen (vgl. VG Ansbach ZD 2020, 607 Rn. 23). Abweichend hiervon argumentiert wiederum das Unabhängiges Datenschutzzentrum Saarland (27. Tätigkeitsbericht, S. 82 f.)

Auch die Datenspeicherung von 400 Tagen ist laut VG Wiesbaden nicht verhältnismäßig. Vgl. hier auch dass bereits das VG Lüneburg eine Speicherdauer von 150 Tagen als zu lang bewertete. Ebenso ist auch die Speicherung zur Verhinderung von Diebstahl nicht geeignet.

Fazit und Zusammenfassung

Das neue Urteil zeigt einmal mehr, dass der Einsatz von GPS-Ortung datenschutzrechtlich genausten durchdacht werden muss – aber möglich ist. Zusammengefasst lassen sich folgende Punkte aufführen:

  • Implementierung einer statthaften Rechtsgrundlage
    • Bei der Implementierung von Einwilligungen sind auf jeden Fall die Anforderungen zu Einwilligungen zu erfüllen und das Verfahren zur Einholung umzusetzen.
  • Datenminimierung gem. Art. 5 I c DSGVO muss gewahrt werden
    • Keine Standortdaten speichern
    • Kein Kraftstoffverbrauch, wenn nicht unbedingt notwendig,
    • Keine Zuordnung zu den Fahrern mit Hilfe von Fahrerkarten, wenn nicht unbedingt notwendig,
  • Speicherbegrenzung gem. Art. 5 I e DSGVO muss bedacht werden
    • Wenn auch die Speicherung von Standortdaten nicht verzichtet werden kann, diese Daten auf keinen Fall 150 oder gar 400 Tage speichern.
  • Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person gem. Art. 13 DSGVO
    • Die Datenschutzinformationspflichten gem. Art. 12 ff. DSGVO müssen auf jeden Fall erfüllt werden.
    • Der Grundsatz der „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“ gem. Art. 5 I a DSGVO muss erfüllt sein
  • Korrekte Dokumentation im Datenschutzmanagementsystem ist unerlässlich
  • Zweckbindung und -bestimmung gem. Art. 5 I b DSGVO muss durchdacht werden

Unser Blogangebot stellt lediglich einen unverbindlichen Informationszweck und keine Rechtsberatung dar. Sie spiegelt stets nur die Meinung des Autors wider. Insofern verstehen sich alle angebotenen Informationen ohne Gewähr auf Richtigkeit und Vollständigkeit. Für eine Umsetzung ist stets im Einzelfall eine Bewertung notwendig.