Fuhrparkmanager behalten verständlicherweise gerne den Überblick. Deshalb wird in der Fuhrparkpraxis auch des Öfteren von Telematik-Systemen Gebrauch gemacht, die zugleich eine Ortung des Firmenfahrzeugs per GPS ermöglichen. Welcher Fuhrparkmanager möchte schon lange nach einem Poolfahrzeug suchen, wenn der letzte Nutzer es „irgendwo“ auf dem Firmengelände oder anderswo abgestellt hat? Mit diesen Telematik-Systemen kann dann mitunter neben dem Standort des Fahrzeugs auch festgestellt werden, ob das Fahrzeug verschlossen ist und wie es um die Tankfüllung und/oder den Batterieladezustand bestellt ist. Andere Systeme bieten neben der GPS-Ortung auch eine Überwachung des Fahrverhaltens an. Aber nicht alles, was praktisch anmutet oder – frei nach Wilhelm Busch- „beliebt“, ist auch erlaubt. In mancherlei Hinsicht macht der Datenschutz dem Fuhrparkmanagement einen dicken Strich durch die Rechnung.
Auf einen Blick:
Beim Einsatz von Telematik-Systemen mit der Möglichkeit zur GPS-Ortung oder dem „Auslesen des Fahrverhaltens“ müssen datenschutzrechtliche Aspekte im Fuhrparkmanagement – insbesondere die Vorgaben der DSGVO und dem Bundesdatenschutzgesetz (BDSG) - bedacht werden. Bei der Nutzung solcher Telematik-Systeme hat der Betriebsrat im Rahmen der Mitbestimmung nach Betriebsverfassungsgesetz ein Mitsprachrecht.
Für den Einsatz von Telematik-Technologien zur Fahrzeugdatenverarbeitung, aber auch zur Geolokalisation beispielsweise via RFID, GPS oder Handy-Ortung, muss eine Datenschutzfolgeabschätzung (DSFA) verpflichtend erstellt werden. Andernfalls drohen Beschwerden von Mitarbeitern oder Probleme mit der Datenschutzaufsicht.
Eine Möglichkeit, um „Datenschutzprobleme“ im Fuhrparkmanagement entgegenzuwirken, ist eine wirksame Einwilligung. Dazu müssen betroffene Mitarbeiter im Rahmen der Einwilligung vollständig über den Zweck der Datenverarbeitung aufgeklärt werden.
Ortung von Beschäftigten versus Datenschutz
Nicht jedem Mitarbeiter gefällt die Möglichkeit des Fuhrparkmanagements, seinen Aufenthaltsort, die Wegstrecke, das Bewegungsprofil und das Fahrverhalten dauernd zu „tracken“. Und dann kann es sein, dass neben dem Betriebsrat des Unternehmens (im Rahmen der Mitbestimmung nach Betriebsverfassungsgesetz) auch eine Beschwerde an die Datenschutzaufsicht gerichtet wird. So wie in dem Fall eines Gebäudereinigungsunternehmens, gegen das die Datenschutzbehörde bereits 2016 aufgrund der Eingabe einer ehemaligen Mitarbeiterin ein Kontrollverfahren nach dem („alten“) Bundesdatenschutzgesetz (BDSG a.F.) eingeleitet hatte. Unter der Geltung von DSGVO und neuem BDSG (2018) sind die Anforderungen strenger.
Das Unternehmen nutzte für seine Objektbetreuer, Reinigungskräfte und Hausmeister mit GPS-Systemen ausgestattete Firmenfahrzeuge, die einzelnen betrieblichen Nutzern zugeordnet waren. Das GPS-System speicherte ständig, neben den Kennzeichen der Fahrzeuge, jede gefahrene Strecke mit Ausgangs- und Endpunkten, die dabei gefahrene Zeit und den Zündungsstatus (Ein/Aus). Einen Schalter zum Ein- und Ausschalten des Ortungssystems gab es nicht. Die Daten wurden systemseitig für 150 Tage gespeichert. Obwohl dies nicht vereinbart war – aber durch die Objektleiter geduldet wurde – wurden einige Fahrzeuge auch privat genutzt; der geldwerte Vorteil wurde dabei nach der 1-Prozent-Regelung versteuert.
Verfügung der Datenschutzaufsicht gegen GPS-Ortung?
Aufgrund der Beschwerde erließ die Datenschutzaufsicht eine datenschutzrechtliche Anordnung und gab dem Arbeitgeber auf, die Erhebung, Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt. Ausgenommen war dabei die Positionsbestimmung für den Fall eines Fahrzeugdiebstahls. Hiergegen klagte das Unternehmen. Das Verwaltungsgericht Lüneburg hatte sich dazu durch ein Teilurteil vom 19.03.2019 (Az. 4 A 12/19) geäußert. Dabei hat es grundlegende Aspekte der Datenverarbeitung im Beschäftigtenverhältnis nach DSGVO und Paragraf 26 BDSG behandelt. Letztendlich bekam die Datenschutzaufsicht vor Gericht Recht. Deswegen sollten Fuhrparkmanager diese Entscheidung und ihren Inhalt in Grundzügen kennen, wenn sie ihre Fuhrparkfahrzeuge per GPS orten wollen.
Beschäftigtendatenschutz nach § 26 BDSG
Das Verwaltungsgericht urteilte, dass die Verarbeitung von Positionsdaten der Beschäftigten im Rahmen der ordnungsgemäßen betrieblichen Nutzung der Firmenfahrzeuge durch das vom Arbeitgeber eingerichtete Ortungssystem nicht im Einklang mit dem nach Paragraf 26 BDSG zu gewährleistenden Beschäftigtendatenschutz steht.
Personenbezogene Daten von Beschäftigten dürfen nach dieser Vorschrift für den Zweck des Beschäftigungsverhältnisses verarbeitet werden, soweit dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Da der jeweilige Fahrzeugnutzer über die Zuordnung der erfassten Fahrzeugkennzeichen zu dem ihm zugeteilten Fahrzeug identifizierbar war, betraf die Verarbeitung personenbezogene Daten von Arbeitnehmern. Die Erhebung und Speicherung von Standort-, Bewegungs- und Zeitdaten der von Beschäftigten betrieblich genutzten Firmenfahrzeuge, die über ein Ortungssystem anfallen, sowie deren Auswertung sind danach typischerweise „Datenverarbeitung“ im Sinne von Art. 4 Nr. 2 DSGVO. Im Ergebnis mangelte es nach Ansicht des Gerichts an der Erforderlichkeit der Datenverarbeitung:
- Tourenplanung und Einsatzsteuerung während der Arbeitszeiten
Soweit während der Arbeitszeiten über das Ortungssystem Daten zu dem Zweck erhoben und gespeichert wurden, um Touren zu planen, Mitarbeiter- und Fahrzeugeinsatz zu koordinieren, sei dies nicht erforderlich, so das Gericht. Da Tourenplanung zukunftsorientiert sei, seien Informationen über aktuelle und vergangene Standorte der Firmenfahrzeuge für die Planung unerheblich. Selbst für eine außerplanmäßige zentrale Koordination von Mitarbeitern und Fahrzeugen (z. B. infolge von Krankheitsausfällen, Staus, Unfällen) genüge – jedenfalls im Reinigungsgewerbe – anders als etwa im Transport- und Beförderungsgewerbe die Erreichbarkeit von Mitarbeitern per Mobiltelefon.
Abhilfe:
Im Transport- und Beförderungsgewerbe kann es gerade bei zeitkritischen Fahrten, dem Transport verderblicher Waren oder aus Sicherheitsgründen, durchaus darauf ankommen, ohne telefonische Nachfrage beim Fahrer dessen aktuellen Standort bestimmen zu können. Weitere Gründe: Sicherung des Personals, Schutz von wertvollem Eigentum wie LKW mit Ladung oder Werttransport.
- Nachweis für geleistete Tätigkeiten gegenüber Auftraggebern während der Arbeitszeit
Soweit während der Arbeitszeiten anfallende Daten über das Ortungssystem erhoben und gespeichert wurden, zum Nachweis für geleistete Tätigkeiten gegenüber Auftraggebern des Unternehmens, sei dies ungeeignet und nicht erforderlich. Denn mittels Ortungsdaten könne kein Nachweis über die ordnungsgemäße Ausführung werkvertraglicher Tätigkeiten am/im Objekt eines Kunden geführt werden.
Abhilfe:
Nicht möglich. Der Werkerfolg („sauber“ geputzt, Glühbirne eingeschraubt usw.) ist entscheidend für die Vergütung, nicht der Standort des Fahrzeugs.
- Ortungsdaten außerhalb der Arbeitszeiten
Soweit Daten über das Ortungssystem auch außerhalb der Arbeitszeiten gespeichert wurden, um ein eventuell bestehendes arbeitsvertragliches Wochenendfahrverbot oder ein Verbot von Privatfahrten festzustellen, war dies nicht „erforderlich“. Denn bei zumindest geduldeten Privatfahrten bestehe kein pauschales Überwachungsbedürfnis des Arbeitgebers.
Abhilfe:
Sofern die private Nutzung/Wochenendnutzung von Firmenfahrzeugen nicht toleriert wird, genügt die Anweisung, die Fahrzeugschlüssel am Firmensitz abzugeben und/oder die Auflage zum Führen von Fahrtenbüchern.
- Diebstahlschutz
Die Erhebung und Speicherung von Daten über das Ortungssystem mit dem Zweck Diebstähle zu verhindern beziehungsweise entwendete Firmenfahrzeuge wieder aufzufinden, war nach Ansicht des Gerichts nicht erforderlich. Für das Wiederauffinden womöglich entwendeter Firmenfahrzeuge reiche die anlassbezogene Erhebung im Falle eines festgestellten Fahrzeugverlustes aus.
Abhilfe:
Wird ein Fuhrparkfahrzeug (oder ein zugehöriger Anhänger) „vermisst“, ist es völlig ausreichend, erst dann die GPS-Ortung zu aktivieren und den aktuellen Standort des Fahrzeugs festzustellen.
Damit waren die Erlaubnistatbestände aus Art. 6 DSGVO und Paragraf 26 BDSG grundsätzlich nicht erfüllt, denn beide setzten die „Erforderlichkeit“ der Datenverarbeitung voraus.
Rettungsanker „Einwilligung“?
Eine wirksame Einwilligung kann über so manches „Datenschutzproblem“ im Arbeitsverhältnis hinweghelfen. Das funktioniert aber nur, wenn alle (und nicht nur einige) der betroffenen Beschäftigten eine Einwilligung unmissverständlich zum Ausdruck bringen. Das setzt voraus, dass die Fahrzeugnutzer vollständig über den mit der Datenverarbeitung verfolgten Zweck aufgeklärt wurden. Die vorgelegten Vereinbarungen über die Einwilligung erweckten nach Ansicht des Gerichts den Eindruck, den Beschäftigten „lediglich“ ähnlich wie eine Betriebsanleitung über die technische Ausrüstung der Fahrzeuge mit Ortungstechnik an sich und über teilweise damit verfolgte Zwecke zu informieren. Das Gericht bemängelte ferner, dass dabei keine eindeutige Einverständniserklärung des Beschäftigten formuliert war und der vorgeschriebene Hinweis auf das Widerrufsrecht gänzlich fehlte.
Datenschutzfolgeabschätzung bei GPS-Ortung zwingend
Die Datenschutzbeauftragten der Länder, des Bundes sowie der Datenschutzkonferenz (DSK) haben eine sogenannte Blacklist nach Art. 35 Abs. 4 DSGVO erstellt zu Technologien, für die eine Datenschutzfolgeabschätzung (DSFA) zwingend zu erstellen ist. Zu derartigen Technologien gehört die Fahrzeugdatenverarbeitung bei Carsharing und Mobilitätsdiensten, bei denen umfangreiche Positions- und Abrechnungsdaten verarbeitet werden.
Auch für die vom Verwaltungsgericht Lüneburg entschiedene Konstellation der Geolokalisation durch GPS ist eine DSFA zwingend erforderlich, wenn ein Unternehmen Bewegungsprofile von Beschäftigen erstellen lässt, z. B. per RFID, Handy-Ortung oder GPS. Die Geolokalisierung von Beschäftigten gilt insoweit als Verarbeitung von umfangreichen Angaben über das Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeitstätigkeit derart eingesetzt werden können, dass sich Rechtsfolgen für die betroffenen Personen ergeben oder diese in andere Weise erheblich beeinträchtigen.
Das bedeutet mit anderen Worten, dass kein Fuhrparkmanager mehr am Datenschutz vorbeikommt. Wer Fahrzeuge mit GPS orten will, braucht dafür sehr gute Gründe. Und wer die DSFA nicht erstellt, bekommt insbesondere bei Beschwerden von Mitarbeitern früher oder später Probleme mit der Datenschutzaufsicht.
Auf Aktualität geprüft am 01.07.2024
