Datenschutz im Fuhrparkmanagement

Mittlerweile ist Datenschutz eine gängige Praxis, die alle Bereiche des Lebens und der Arbeitswelt einbezieht. Die Grundlage hierfür ist die EU-DSGVO. Sie ist allgemein gültig und daher auch für den Fuhrpark relevant. Aber welche Vorgaben müssen Sie beim Datenschutz im Fuhrpark einhalten? Wir geben einen Überblick.

Inhaltsverzeichnis:

• Was regelt die EU-DSGVO?
• Datenerhebung und Einwilligungen
• DSGVO im Fuhrparkmanagement
  • Wo fallen im Fuhrpark personenbezogene Daten an?
  • Datenschutzregelung Dienstawagenüberlassungsvertrag
  • Datenschutz und und externe Hilfsmittel rund um den Dienstwagen
  • Datenschutz bei der manuellen Führerscheinkontrolle
  • Datenschutz bei der automatisierten Führerscheinkontrolle
• Wie kann man bei der Wahl eines Anbieters auf Nummer sicher gehen?
• Wie ist Datenschutz bei LapID geregelt?

Auf einen Blick

Ist die DSGVO verpflichtend?

Ja, die DSGVO muss eingehalten werden sobald personenbezogene Daten für einen Prozess benötigt werden oder dabei entstehen. Dies kann in vielen Bereichen der Fall sein und muss immer kenntlich gemacht werden.

Welche Daten fallen im Fuhrpark unter den Datenschutz?

Im Sinne des Artikel 4 der DSGVO fallen alle personenebezogenen Daten unter den Datenschutz, die es ermöglichen eine natürliche Person durch besondere Merkmale zu indentifizieren. Im Fuhrpark sind dies z.B. in erster Linie Fahrerdaten, mögliche Standortinformationen bei der privaten Nutzung eines Firmenwagens oder Strafen durch Verkehrsverstöße während der Arbeitszeit. 

Wann dürfen Daten nach DSGVO verarbeitet werden?

Personenbezogene Daten dürfen abgefragt werden, sobald diese für einen Prozess unabdingbar sind. Allerdings gilt hier: So viele Daten wie nötig und so wenig wie möglich. Die Person, deren Daten genutzt werden, muss darüber informiert werden und schriftlich ihr Einverständnis erteilen. Auch ein Widerspruch ist möglich. Allerdings kann dies zu Einschränkungen beim Ausüben einer Tätigkeit führen.

Datenerhebung und Einwilligungen

Grundsätzlich sollte bei der Datenerhebung darauf geachtet werden, dass nur so viele personenbezogene Daten verarbeitet werden, wie für den Prozess notwendig sind. Daten, die darüber hinausgehen und für keinen internen Prozess notwendig sind, sind grundsätzlich nicht zu erfassen.

Dies ist bei allen Prozessen, in denen personenbezogene Daten erhoben werden, sicherzustellen.

Erhobene Daten von Arbeitnehmern dürfen somit für folgende Zwecke verarbeitet werden:

• Einstellung eines Bewerbers
• Durchführung, Ausübung oder Beendigung des Arbeitsverhältnisses
• Erfüllung gesetzlicher Rechte und Pflichten (Inhalte von Tarifverträgen, Betriebsvereinbarungen)
• zur Strafverfolgung

Um die Verarbeitung personenbezogener Daten rechtssicher zu dokumentieren, sind Einwilligungen des Mitarbeiters notwendig. In diesen Einwilligungen muss klar dargestellt werden, für welche Prozesse Daten verarbeitet werden. Ebenso muss auf das Widerrufsrecht zu dieser Einwilligung hingewiesen werden. Einwilligungen sollten darüber hinaus immer schriftlich eingeholt werden. Elektronische Einwilligungen sind je nach Geschäftsvorfall auch möglich.

DSGVO im Fuhrparkmanagement

Wo fallen im Fuhrpark personenbeogene Daten an?

Auch im Fuhrparkmanagement werden personenbezogene Daten der Dienstwagenfahrer verarbeitet. Diese müssen von den Mitarbeitern angegeben werden oder sie fallen in der Zeit der Beschäftigung an. Betroffen sind hiervon unter anderem folgende Bereiche des Fuhrparkmanagements:

• Fahrzeugübergaben
• Führerscheinkontrollen
• Strafzettelmanagement
• Tankkartenverwaltung
• Schadenmanagement
• Schulungen und Unterweisungen
• Fahrtenbuchmanagement
• Externe Hilfsmittel (wie z. B. das Notrufsystem eCall, Telematiksysteme)

Um die sichere Verarbeitung der personenbezogenen Daten zu dokumentieren, empfiehlt sich die Erstellung eines Verzeichnisses über Verarbeitungstätigkeiten nach Art. 30 EU-DSGVO. In diesem Verzeichnis werden der Zweck der Verarbeitung, die Art der verarbeiteten Daten und die verarbeitenden Stellen der Daten benannt.

Datenschutzregelungen im Dienstwagenüberlassungsvertrag

Im Rahmen der Dienstwagenüberlassungsvereinbarung ist der Dienstwagenfahrer zusätzlich über die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Führen eines Dienstwagens zu informieren. Der Mitarbeiter hat in diesem Rahmen auch ein Recht auf Auskunft über die erfassten Daten, das Recht auf Löschung der Daten sowie das Recht auf Einschränkung der Verarbeitung. Werden bspw. über das Fahrtenbuch private Fahrten erfasst, kann der Mitarbeiter darauf bestehen, dass Daten, die über die Fahrteckdaten hinausgehen, nicht weiterverarbeitet werden dürfen. Dies ist insbesondere dann möglich, wenn das Fahrzeug mit Tracking-Funktionalitäten ausgestattet ist, die für den Betrieb des Dienstwagens notwendig sind, für private Fahrten allerdings keine Relevanz haben. Diese Auskunftsrechte sind in Art. 5 DSGVO geregelt.

Datenschutz und externe Hilfsmittel rund um den Dienstwagen

Werden externe Hilfsmittel in Dienstfahrzeugen wie z. B. das Notrufsystem eCall, Telematiksysteme oder andere fahrtunterstützende Systeme eingesetzt, kann auch eine Datenschutz-Folgeabschätzung sinnvoll sein, wenn es sich hierbei um eine risikoreiche Datenverarbeitung handelt. Die Datenschutzfolgeabschätzung wird in Art. 35 DSGVO geregelt. Hierbei handelt es sich um eine umfassende Risikobewertung von Datenverarbeitungsvorgängen. Diese Risikobewertung kann allerdings nur durchgeführt werden, wenn vom Hersteller der Hilfsmittel alle Prozesse offengelegt werden, in denen Daten im Zusammenhang mit dem Hilfsmittel verarbeitet werden.

Wie genau sieht es nun aber speziell beim Datenschutz im Rahmen der erforderlichen Führerscheinkontrolle aus? Im Nachfolgenden stellen wir die manuelle und elektronische Führerscheinkontrolle gegenüber:

Datenschutz bei der manuellen Führerscheinkontrolle

Wird die Führerscheinkontrolle manuell umgesetzt, liegt die Verantwortung für die Erfassung und Verarbeitung der personenbezogenen Daten der Mitarbeiter beim Fuhrparkmanagement. Daher müssen auch bei einer internen Umsetzung der Führerscheinkontrolle datenschutzrechtliche Regeln berücksichtigt werden, die für Behörden auf Anfrage zu belegen sind. Eine Frage, die vorab geklärt werden muss:

• Wie werden die personenbezogenen Daten verarbeitet?

Beispiel Führerscheinkontrolle: Viele Unternehmen archivieren hierzu Fotokopien der Original-Führerscheine. Unabhängig von der Frage, ob dieses Vorgehen in Zeiten elektronischer Möglichkeiten überhaupt noch sinnvoll und rechtlich zulässig ist, muss dieser Vorgang dokumentiert werden.

Sind diese Daten erfasst, müssen nach Art. 32 EU-DSGVO geeignete organisatorische und technische Maßnahmen zum Schutz dieser Daten vor dem Zugriff Unbefugter umgesetzt und dokumentiert werden. Hiermit ist IT-technischer und organisatorischer Aufwand verbunden.

Damit liefert die DSGVO Argumente für eine externe und digitale Umsetzung der Führerscheinkontrolle.

Datenschutz bei der automatisierten Führerscheinkontrolle

Erfolgt die Führerscheinkontrolle durch eine automatisierte Lösung, sollte der Datenschutz gewährleistet sein. Denn nicht alle Anbieter erfüllen die nötigen datenschutzrechtlichen Anforderungen.

Bei der Suche nach dem passenden Anbieter für die automatisierte Führerscheinkontrolle ist dies ein wichtiger Punkt, da hier eine Auftragsverarbeitung stattfindet. 

Bedeutet: Auf den Servern eines Dienstleisters werden regelmäßig oder dauerhaft Daten Ihrer Mitarbeiter gespeichert.

Gemäß Paragraf 11 Bundesdatenschutzgesetz bzw. Art. 28 EU-DSGVO muss der Auftraggeber bei der Auswahl des Anbieters darauf achten, dass:

• die technischen und
• organisatorischen Maßnahmen

des Anbieters die Anforderungen an eine datensichere Auftragsverarbeitung erfüllen.

So muss bspw. sichergestellt werden, dass die aktuellen Verschlüsselungsverfahren verwendet werden und Unbefugten der Zugang zu den Datenverarbeitungsanlagen verwehrt wird (siehe Anlage zu § 9 Satz 1 BDSG bzw. Art. 28 und 32 EU-DSGVO). Die Kontrolle dieser Anforderungen obliegt dabei dem Auftraggeber.

Info: Bei den Methoden zur elektronischen Führerscheinkontrolle von LapID findet keine Archivierung von Führerschein-Fotos statt und die erfassten personenbezogenen Daten sind im Sinne des Art. 5 c) DSGVO auf ein Minimum reduziert. Es werden lediglich die Daten erfasst, die für die vollumfängliche Kontrolle des Führerscheins, inkl. Fahrerlaubnisklassen und Schlüsselzahlen, erforderlich sind. Aufnahmen, die im Rahmen der Kontrolle mit der LapID Driver App aufgenommen wurden, werden im Rahmen der Kontrolle auf gesicherten Servern in Deutschland und der EU gespeichert und nach der erfolgreich durchgeführten Kontrolle rechtssicher gelöscht.

Wie kann man bei der Wahl eines Dienstleisters auf Nummer sicher gehen?

Wird die Auftragsverarbeitung eines Anbieters von offizieller Stelle regelmäßig geprüft, kann der Auftraggeber sicher sein, dass die datenschutzrechtlichen Anforderungen an die Auftragsdatenverarbeitung erfüllt sind. Eine solche Prüfung sollte sinnvollerweise auf Dokumentenprüfungen, Audits vor Ort und Schwachstellen-Scans basieren.

Wie ist Datenschutz bei LapID geregelt?

Bei LapID hat die sichere Verarbeitung der Daten Ihrer Mitarbeiter höchste Priorität. Das bestätigt auch die jährliche Prüfung durch die TÜV SÜD Sec-IT GmbH. Alle Anforderungen an den Datenschutz werden bei LapID erfüllt. Dazu gehören bspw.:

Organisatorisch:

• Zugriffs- und Zugangskontrollen
• gelebter Datenschutz
• Stichproben bei Partnern
• Datenschutzschulungen für unser Team und unsere Partner

Produktbezogen / technisch:

• Wir verwenden Verschlüsselungsverfahren, die dem aktuellen Stand der Technik entsprechen.
• Bei unseren App-Lösungen erfolgen eine verschlüsselte Erfassung und Übertragung von Daten.
• Auf unserem Siegel werden keine personenbezogenen Daten gespeichert. Ein Tracking ist ausgeschlossen.
• Nach einer erfolgreichen Kontrolle via Driver App werden die Aufnahmen des Führerscheins von unseren Servern gelöscht.

Datenschutz liegt uns am Herzen: Gerne stellen wir Ihnen auf Nachfrage unser ausführliches Datenschutz- und Datensicherheitskonzept von LapID zur Verfügung sowie weitere Informationen, die den Datenschutz in unseren Produkten betreffen. Der Abschluss eines Auftragsverarbeitungsvertrags bei Nutzung unserer Produkte ist für uns selbstverständlich und unumgänglich.

Hinweis:

Dieser Artikel stellt keine Rechtsberatung dar. Die Besonderheiten des jeweiligen Fuhrparks sind daher mit einem entsprechenden Fachanwalt im Detail zu besprechen und umzusetzen.