GPS Tracking von Firmenwagen - datenschutzkonform oder unerlaubte Datenverarbeitung?

Den eigenen Fuhrpark per GPS System überwachen - ein Präzedenzfall?

Die datenschutzrechtlichen Besonderheiten, Voraussetzungen und Probleme einer Ortung von Firmenwagen per GPS sollen anhand eines Fallbeispiels verdeutlicht werden.

Personenbezogene Ortung des Firmenwagens per GPS

Im vorliegenden Fall stellt ein Unternehmen seinen Mitarbeitern Dienstwagen zur Verfügung, die alle mit GPS Systemen ausgestattet sind. Die Mitarbeiter dürfen die Dienstfahrzeuge auch privat nutzen.

Das verwendete Ortungssystem ist so ausgelegt, dass es für einen Zeitraum von 150 Tagen jede einzelne gefahrene Strecke mit Start- und Zielpunkten, die gefahrene Zeit und zumindest auch den Status der Zündung (“ein” oder “aus”) speichert.

Zwischen dem Ende eines Arbeitstags und den Beginn der Arbeitszeit des Folgetages ist eine Deaktivierung nur unter erheblichem Aufwand möglich. Eine Taste zum Ein- und Ausschalten des GPS Systems ist nicht vorhanden, es lässt sich also nicht ohne weiteres die Ortung per GPS deaktivieren. Die Erfassung erfolgt somit durchgängig.

Außerdem lässt sie sich mithilfe der zentral erfassten Kennzeichen und der ihnen zugeordneten betrieblichen Nutzer eindeutig zuordnen, so dass für die einzelnen Mitarbeiter basierend auf den Trackingdaten personengebundene Bewegungsprofile erstellt werden (können).

Hinweis des Unternehmens auf die Datenerhebung ohne Verweis auf Widerrufsrecht

Das Unternehmen hat in mehreren Fällen die Mitarbeiter auch schriftlich über das eingesetzte GPS-System in den Fahrzeugen, darüber, welche Daten erhoben werden und zu welchem Zweck das Ortungssystem eingesetzt wird, unterrichtet.

In einer Variante war formuliert, dass der Mitarbeiter sein Einverständnis zu der Datenerhebung über GPS erklärt. Eine Information über das Widerrufsrecht fehlte in allen Variationen, eine Ortung ohne (explizite) Zustimmung war die Folge. 

Die Prüfung des Sachverhalts und Bescheid durch die Datenschutzbehörde

Aufgrund eines „für das Unternehmen unglücklichen“ Umstands (ein ehemaliger Arbeitnehmer hatte sich an die zuständige Datenschutz Aufsichtsbehörde gewandt), prüfte die Aufsichtsbehörde die Datenerfassung über GPS und erließ im Ergebnis dessen gegenüber dem Unternehmen einen Bescheid. Darin ordnete die Behörde gegenüber dem Unternehmen an, die Erhebung, Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so zu gestalten, dass keine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge erfolgt.

Das abschließende Urteil des Verwaltungsgerichts Lüneburg

Das Unternehmen erhob nach erfolglosem Widerspruch Klage gegen diesen Bescheid der Behörde. Das angerufene Verwaltungsgericht Lüneburg entschied in seinem Urteil vom 19.03.2019, dass die Anordnung der Behörde gegenüber dem Unternehmen, die Erhebung, die Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt, gemäß § 26 Bundesdatenschutzgesetz rechtmäßig ist.

Die Rechtslage für die GPS Überwachung von Firmenwagen

Das Verwaltungsgericht Lüneburg stellt fest, dass die Verarbeitung von Positionsdaten der Beschäftigten im Rahmen der ordnungsgemäßen betrieblichen Nutzung der Firmenfahrzeuge durch das von dem Unternehmen eingerichtete Ortungssystem nicht im Einklang mit dem nach § 26 BDSG zu gewährleistenden Beschäftigungsschutz steht, der über die Öffnungsklausel nach Artikel 88 (1) DSGVO zu beachten ist.

Die Erhebung und Speicherung personenbezogener Daten (in diesem Fall Standort-, Bewegungs- und Zeitdaten der genutzten Fahrzeuge), die über das Ortungssystem erfolgt, sowie deren Auswertung, stellt typischerweise eine Verarbeitung i.S.v. Artikel 4 Nr. 2 DSGVO dar. Diese Datenverarbeitung bedarf eines Erlaubnistatbestands. Das Gericht sah jedoch weder den Erlaubnistatbestand nach

• § 26 (1) Satz 1 Halbsatz 1 Bundesdatenschutzgesetz (Erforderlichkeit für Zwecke des Beschäftigungsverhältnisses) noch den nach
• § 26 (2) Satz 1 Bundesdatenschutzgesetz (Einwilligung) für gegeben. 

Die Urteilsgrundlage: § 26 Bundesdatenschutzgesetz (BDSG)

Nach § 26 (1) Satz 1 Halbsatz 1 Bundesdatenschutzgesetz dürfen personenbezogene Daten von Beschäftigten für den Zweck des Beschäftigungsverhältnisses verarbeitet werden, soweit dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Erforderlich ist die Datenverarbeitung insbesondere dann, wenn der Arbeitgeber diese zur Erfüllung seiner – gegenüber dem Beschäftigten oder Dritten - bestehenden gesetzlichen Pflichten, für die Erfüllung seiner vertraglichen Pflichten oder zur Wahrnehmung seiner gesetzlichen oder vertraglichen Rechte benötigt. 

Die Argumente des Unternehmens zugunsten der GPS Ortung des Fuhrparks

• Die während wie auch außerhalb der Arbeitszeiten anfallenden Daten über das Ortungssystem werden zu dem Zweck erhoben und gespeichert, Diebstähle zu verhindern bzw. entwendete Firmenfahrzeuge wieder aufzufinden.

Dieses Argument des Unternehmens wies das Gericht zurück. Nach Auffassung des Gerichts sind Ortungssysteme für präventiven Diebstahlschutz völlig ungeeignet.

• Die während der Arbeitszeiten anfallende Daten des Ortungssystems werden zu dem Zweck erhoben und gespeichert, um Touren zu planen, Mitarbeiter- und Fahrzeugeinsatz zu koordinieren. 

Das ist aus Sicht des Gerichts nicht erforderlich. Die Tourenplanung ist immer zukunftsorientiert. Informationen über aktuelle und vergangene Standort der Firmenfahrzeuge sind daher planungsunerheblich.

• Die während der Arbeitszeiten anfallenden Daten über das Ortungssystem werden zu dem Zweck erhoben und gespeichert, um den Nachweis für geleistete Tätigkeiten gegenüber Auftraggebern zu erbringen. 

Dieses Argument ließ das Gericht nicht gelten. Ein Nachweis über Tätigkeiten gegenüber Auftraggebern kann mittels Ortungsdaten nicht geführt werden. Über diese Daten könnte allenfalls nachgewiesen werden, dass ein bestimmtes Fahrzeug an einen bestimmten Ort zu einem bestimmten Zeitraum gewesen ist. Ob tatsächlich dabei die geschuldete Tätigkeit geleistet worden ist, kann damit nicht nachgewiesen werden. 

• Ob es zulässig sei, die außerhalb der Arbeitszeiten anfallenden Daten über das Ortungssystem zu dem Zweck zu erheben und zu speichern, um ein möglicherweise bestehendes arbeitsvertragliches Wochenendfahrverbot oder ein Verbot von Privatfahrten festzustellen, brauchte das Verwaltungsgericht Lüneburg nicht zu entscheiden, weil die Mitarbeiter des Unternehmens die Dienstfahrzeuge auch privat nutzen durften. 

GPS Überwachung von Firmenwagen datenschutzkonform umsetzen

Nach § 26 (2) Satz Bundesdatenschutzgesetz ist eine Verarbeitung personenbezogener Daten von Beschäftigten zulässig, wenn diese freiwillig in die Datenverarbeitung eingewilligt haben.

Aufklärungspflicht und Einverständniserklärung

Eine solche Einverständniserklärung der Mitarbeiter zur GPS Überwachung gemäß DSGVO und Bundesdatenschutzgesetz setzt aber voraus, dass die Beschäftigten vollständig über die Erhebung, Speicherung und Verarbeitung der durch das Ortungssystem ermittelten Standort-, Bewegungs- und Zeitdaten des von dem jeweiligen Beschäftigten genutzten Fahrzeugs aufgeklärt werden. Dazu muss der Beschäftigte umfassend und vollständig über sein Widerrufsrecht informiert werden.

Da das Unternehmen im geschilderten Fall seine Beschäftigten zwar in verschiedenen Varianten über den Einsatz der GPS-Tracker in Dienstfahrzeugen informiert und teilweise auch Angaben zum Zweck der Datenverarbeitung über das Ortungssystem gemacht hatte, aber durchweg die Information über das Widerrufsrecht fehlte, konnte das Gericht allein schon wegen der fehlenden Information über das Widerrufsrecht eine wirksame Einwilligung der Beschäftigten verneinen.

Daher gibt es in dem Urteil des Verwaltungsgerichts Lüneburg (leider) auch keine weitergehenden Ausführungen dazu, wie eine datenschutzrechtlich wirksame Information der Beschäftigten über die Erhebung, Speicherung, Verarbeitung der Daten durch ein Ortungssystem sowie die Unterrichtung über das Widerrufsrecht aussehen muss, um als wirksame freiwillige Einwilligung der Beschäftigten nach § 26 (2) Satz 1 BDSG zu gelten.

Rechtliche und technische Perspektiven für den Einsatz von GPS Systemen

Falls das Urteil des Verwaltungsgerichts Lüneburg rechtskräftig ist, bzw. durch höhere Instanzen bestätigt werden sollte, dürften Unternehmen vor praktischen wie rechtlichen Herausforderungen gestellt werden.

Technische und organisatorische Maßnahmen (TOM) zum Schutz des Datenschutzes

Wie also kann die Erhebung, Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so gestaltet wird, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt?

Falls dies durch Technische und Organisatorische Maßnahmen (TOM) machbar sein sollte, stellt sich die Frage nach dem - insbesondere wirtschaftlichen - Aufwand, der damit verbunden ist? 

Einwilligung in die GPS Ortung durch Betroffene und Mitarbeiter

Welchen konkreten Inhalt muss die Information der Mitarbeiter über die Erhebung, Speicherung und Verarbeitung der durch das Ortungssystem ermittelten Standort-, Bewegungs- und Zeitdaten haben, damit sie rechtlich wirksam ist?

In welchem Umfang und mit welchem Inhalt muss die Information über das Widerrufsrecht erfolgen, damit eine Einwilligung der Mitarbeiter in die Datenerhebung und -verarbeitung als wirksam angesehen werden kann?