Ortung von Beschäftigten und Datenschutz

Einschreiten der Datenschutzaufsicht: Firmenfahrzeuge mit GPS-Ortungssystem
Aufgrund einer Eingabe einer ehemaligen Mitarbeiterin der Klägerin, einem Gebäudereinigungsunternehmen, hatte die Datenschutzbehörde bereits im Jahr 2016 ein Kontrollverfahren noch nach altem BDSG eingeleitet. Das Unternehmen nutzte für seine Objektbetreuer, Reinigungskräfte und Hausmeister Firmenfahrzeuge, die den jeweiligen betrieblichen Nutzern zugeordnet sowie mit GPS-Systemen ausgestattet waren. Das verwendete GPS-System speicherte herstellerseitig für einen Zeitraum von 150 Tagen ständig jegliche gefahrene Strecke mit Start- und Zielpunkten einschließlich der gefahrenen Zeit und zumindest des Zündungsstatus (Ein/Aus). Eine Taste zum Ein- und Ausschalten des Ortungssystems war nicht vorhanden. Das Ortungssystem erfasste die Kennzeichen der betroffenen Fahrzeuge. Einige dieser Fahrzeuge wurden auch privat genutzt, wobei dies zwar nicht vereinbart war, jedoch durch die Objektleiter geduldet wurde.

Klage gegen die datenschutzaufsichtliche Verfügung wegen GPS-Ortung
Die Behörde hatte eine datenschutzrechtliche Anordnung erlassen und dem Arbeitgeber aufgegeben, die Erhebung, Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt. Von dieser Anordnung war die Positionsbestimmung im Falle eines Fahrzeugdiebstahls ausdrücklich ausgenommen. Hiergegen klagte das Unternehmen.

Das Verwaltungsgericht gab im Urteil der Datenschutzaufsicht recht
Die Verarbeitung von Positionsdaten der Beschäftigten im Rahmen der ordnungsgemäßen betrieblichen Nutzung der Firmenfahrzeuge durch das vom Arbeitgeber eingerichtete Ortungssystem stehe nicht im Einklang mit dem nach § 26 BDSG zu gewährleistenden Beschäftigtendatenschutz, der über die Öffnungsklausel nach Art. 88 Abs. 1 DSGVO zu beachten ist. Nach § 26 BDSG dürfen personenbezogene Daten von Beschäftigten für den Zweck des Beschäftigungsverhältnisses verarbeitet werden, soweit dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Die Erhebung und Speicherung von Standort-, Bewegungs- und Zeitdaten der von Beschäftigten betrieblich genutzten Firmenfahrzeuge, die über ein Ortungssystem anfallen, sowie deren Auswertung werden danach typischerweise als „Verarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO angesehen.

Hier mangelte es nach Ansicht des Gerichts bereits an der Erforderlichkeit der Datenverarbeitung. Soweit außerhalb der Arbeitszeiten anfallende Daten über das Ortungssystem erhoben und gespeichert wurden, um ein womöglich bestehendes arbeitsvertragliches Wochenendfahrverbot oder ein Verbot von Privatfahrten festzustellen, war dies nicht erforderlich, weil bei wenigstens geduldeten Privatfahrten kein pauschales Überwachungsbedürfnis des Arbeitgebers bestehe. Sofern die private Nutzung/Wochenendnutzung von Firmenfahrzeugen nicht toleriert werde, genüge die Anweisung, die Fahrzeugschlüssel am Firmensitz abzugeben, und/oder die Auflage zum Führen von Fahrtenbüchern. Für das Wiederauffinden womöglich entwendeter Firmenfahrzeuge reiche die anlassbezogene Erhebung im Falle eines festgestellten Fahrzeugverlustes aus.

 Soweit während der Arbeitszeiten anfallende Daten über das Ortungssystem zu dem Zweck erhoben und gespeichert wurden, um Touren zu planen, Mitarbeiter- und Fahrzeugeinsatz zu koordinieren, sei dies ebenfalls nicht erforderlich. Denn die Tourenplanung sei zukunftsorientiert, wobei Informationen über aktuelle und vergangene Standorte der Firmenfahrzeuge für die Planung unerheblich seien. Auch würde es selbst für eine außerplanmäßige zentrale Koordination von Mitarbeitern und Fahrzeugen (wie infolge von Krankheitsausfällen, Staus, Unfällen) jedenfalls im Reinigungsgewerbe – anders als etwa im Transport- und Beförderungsgewerbe – genügen, die Erreichbarkeit von Mitarbeitern per Mobiltelefon zu gewährleisten.

Soweit während der Arbeitszeiten anfallende Daten über das Ortungssystem erhoben und gespeichert wurden zwecks Nachweis über geleistete Tätigkeiten gegenüber Auftraggebern des Unternehmens, sei dies ungeeignet und nicht erforderlich. Denn mittels Ortungsdaten könne kein Nachweis über Tätigkeiten am/im Objekt eines Kunden geführt werden.

Daher seien die Erlaubnistatbestände aus Art. 6 DSGVO und § 26 BDSG grundsätzlich nicht erfüllt, denn diese setzten die „Erforderlichkeit“ der Datenverarbeitung voraus.

Keine wirksame Einwilligung der Arbeitnehmer – nur teilweise Aufklärung
Überdies hatten auch nicht alle betroffenen Beschäftigten eine Einwilligung unmissverständlich zum Ausdruck gebracht. Das Gericht bemängelte die fehlende vollständige Aufklärung über den mit der Datenverarbeitung verfolgten Zweck. Die vorgelegten Vereinbarungen erweckten den Eindruck, den Beschäftigten lediglich über die technische Ausrüstung der Fahrzeuge mit Ortungstechnik an sich und über teilweise damit verfolgte Zwecke zu informieren, wobei keine eindeutige Einverständniserklärung des Beschäftigten formuliert war. Auch fehlte der Hinweis auf das Widerrufsrecht.

Datenschutzfolgeabschätzung bei Geolokalisation durch GPS zwingend erforderlich
Die Datenschutzbeauftragten der Länder, des Bundes sowie der Datenschutzkonferenz (DSK) haben eine sogenannte Blacklist nach Art. 35 Abs. 4 DSGVO erstellt zu Technologien, für die eine Datenschutzfolgeabschätzung (DSFA) zwingend zu erstellen ist. Zu derartigen Technologien gehört die Fahrzeugdatenverarbeitung bei Carsharing und Mobilitätsdiensten, bei denen umfangreiche Positions- und Abrechnungsdaten verarbeitet werden.

Auch für die vom VG Lüneburg entschiedene Konstellation der Geolokalisation durch GPS ist künftig eine DSFA zwingend erforderlich, wenn ein Unternehmen Bewegungsprofile von Beschäftigen erstellen lässt, zum Beispiel per RFID, Handy-Ortung oder GPS, selbst wenn dies zur Sicherung des Personals (Wachpersonal, Feuerwehrleute), zum Schutz von wertvollem Eigentum des Arbeitgebers oder eines Dritten (Lkw mit Ladung, Geldtransport) oder zur Koordination von Arbeitseinsätzen im Außendienst geschieht. Mit anderen Worten: Es kommt künftig kein Fuhrparkmanager mehr am Datenschutz vorbei. Wer Fahrzeuge mit GPS orten will, braucht gute Gründe. Und wer dafür die DSFA nicht macht, bekommt früher oder später Probleme mit der Datenschutzaufsicht.