Ist eine umfassende GPS-Ortung von Firmenfahrzeugen datenschutzrechtlich zulässig, wenn alle gefahrenen Strecken mit Start- und Zielpunkten, der gefahrenen Zeit sowie den Status der Zündung gespeichert werden? Das Verwaltungsgericht (VG) Lüneburg hatte darüber zu entscheiden, ob ein entsprechender Bescheid der Aufsichtsbehörde wirksam ist (VG Lüneburg, Urt. v. 19.03.2019 – Az.: 4 A 12/19).
Zum Sachverhalt
Zunächst hatte die niedersächsische Datenschutzaufsichtsbehörde per Bescheid entschieden, dass die GPS-Überwachung von Firmenfahrzeugen einer Reinigungsfirma eine nicht erforderliche Verarbeitung von Beschäftigtendaten darstelle.
Dagegen klagte die Reinigungsfirma, die mittels eingebautem GPS-System in der Flotte den Standort, die gefahrene Strecke und den Zündungsstatus für 150 Tage nachverfolgen konnte. Die Nutzung der Firmenfahrzeuge für private Zwecke wurde den Mitarbeitern zwar nicht ausdrücklich gestattet, jedoch von der Reinigungsfirma geduldet. Eine Deaktivierung des GPS-Systems war nur mit sehr hohem Aufwand möglich. Eine Erfassung der Daten erfolgte dementsprechend durchgehend.
In unseren regelmäßigen Besprechungen von Urteilen zum Datenschutzrecht erklären wir Ihnen die Konsequenzen für den Unternehmensalltag.
Der Urteilsspruch
Die Fahrzeuge konnten den Beschäftigten eindeutig zugeordnet werden, womit ein Personenbezug der verarbeiteten Daten gegeben ist und eine Verarbeitung im Beschäftigtenkontext vorliegt. Gemäß. § 26 BDSG dürfen personenbezogene Daten von Beschäftigten verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist.
Erforderlich ist die Verarbeitung, wenn der Arbeitgeber sie zur Erfüllung seiner vertraglichen oder gesetzlichen Pflichten sowie zur Wahrnehmung seiner vertraglichen oder gesetzlichen Rechte benötigt.
Das Reinigungsunternehmen brachte vor, die GPS-Ortung sei erforderlich, um Diebstähle zu verhindern und um die Touren besser koordinieren zu können. Das Gericht hingegen hielt Ortungssysteme als Diebstahlprävention für völlig ungeeignet und betrachtete Fahrzeugdaten aus der Vergangenheit zur Koordination von zukünftigen Touren als unerheblich.
Die ebenfalls vorgebrachte Argumentation, die Fahrzeugdaten dienten als Nachweis der geleisteten Tätigkeit gegenüber den Auftraggebern des Reinigungsunternehmens, wies das Gericht dahingehend zurück, dass die Ortungsdaten nicht als Nachweis dienen können, ob die geschuldete Leistung (hier: die Reinigung) auch tatsächlich erbracht wurde.
Auch das Argument, das GPS-System diene zur Kontrolle der Einhaltung des Verbotes von Privatfahrten überzeugte das Gericht nicht, schließlich sei die private Nutzung der Flotte von der Klägerin geduldet worden.
Das Reinigungsunternehmen konnte außerdem eine Einwilligung der Beschäftigten vorlegen. Das Gericht hatte deswegen zusätzlich die Voraussetzungen der Einwilligung gem. Art 7 DSGVO i.V.m. § 26 Abs. 2 BDSG zu prüfen. Die Klägerin hatte ihren Beschäftigten im Rahmen der Einwilligung über verschiedene Einsatzmöglichkeiten des GPS-Trackers und auch partiell über die Zwecke der Verarbeitung informiert, jedoch nicht auf die Widerrufsmöglichkeit der Einwilligung hingewiesen. Das Gericht bejahte bereits aus diesem Grunde die Unwirksamkeit der Einwilligungserklärung.
Die Klage wurde abgewiesen, der Bescheid der Aufsichtsbehörde hat damit Bestand.
Datenschutzrechtliche Beurteilung
Das Urteil des VG Lüneburg zeigt wieder einmal, dass gerade beim Beschäftigtendatenschutz besondere Vorsicht geboten ist. Dabei kann eine GPS-Überwachung von Firmenwagen durchaus datenschutzkonform erfolgen, wie unser Ratgeber zeigt. Mit entsprechender Beratung durch einen erfahrenen Datenschutzbeauftragten hätte hier wahrscheinlich viel Geld gespart werden können.
