Beschäftigten-Überwachung: Urteil zu Ortungssystemen
Ist es zulässig, Ortung in Firmenfahrzeugen einzusetzen? Wenn ja, unter welchen Voraussetzungen? Kann ein Beschäftigter darin einwilligen? Dies sind Fragen, mit denen sich das Verwaltungsgericht Lüneburg auseinandergesetzt hat.
Ausgangspunkt war die Beschwerde einer Frau bei der Datenschutz-Aufsicht. Sie war bei einem Gebäude-Reinigungsunternehmen beschäftigt.
Nachdem ihr Arbeitsverhältnis beendet war, hatte sie sich bei der Aufsicht darüber beschwert, dass ihr früherer Arbeitgeber in den Firmenfahrzeugen ein unzulässiges Ortungssystem einsetze.
Untersagungs-Verfügung der Datenschutz-Aufsicht
Die Beschwerde hat dazu geführt, dass die Datenschutz-Aufsicht Niedersachsen den Einsatz des Ortungssystems weitgehend untersagt hat.
Gegen diese Verfügung richtet sich die Klage des Unternehmens.
Einsatz des Ortungssystems
Im Einzelnen stellt sich der Sachverhalt wie folgt dar:
- Die Klägerin betreibt ein Gebäude-Reinigungsunternehmen.
- Die Firmenfahrzeuge, die die Objektbetreuer, Reinigungskräfte und der Hausmeister nutzen, sind mit GPS-Systemen ausgestattet.
- Das verwendete GPS-System hat der Hersteller so ausgelegt, dass es für einen Zeitraum von 150 Tagen ständig jegliche gefahrene Strecke mit Start- und Zielpunkten einschließlich der gefahrenen Zeit und zumindest den Status der Zündung (Ein/Aus) speichert.
- Es ist keine Taste zum Ein- und Ausschalten des Ortungssystems vorhanden.
- Zwischen dem Ende eines Arbeitstags und dem Beginn der Arbeitszeit des Folgetags ist es nur unter erheblichem Aufwand möglich, die Ortung zu deaktivieren.
- Die Ortung erfasst die Kennzeichen der betroffenen Fahrzeuge. Die Fahrzeuge sind den jeweiligen betrieblichen Nutzern zugeordnet.
Argumente des Unternehmens
Das Unternehmen hält es für datenschutzrechtlich zulässig, das Systems einzusetzen. Dabei stützte es sich auf folgende Argumente:
Die Ortung sei betrieblich notwendig, um
- Touren zu planen,
- Mitarbeiter und Fahrzeuge zu koordinieren,
- Nachweise gegenüber den Auftraggebern zu erbringen,
- Diebstahlsschutz zu gewährleisten sowie eventuell gestohlene Fahrzeuge aufzufinden und
- das Wochenend-Fahrverbot und das Verbot von Privatfahrten zu überprüfen.
Ergänzend führt die Klägerin an, dass alle Arbeitnehmer in den Einsatz des Ortungssystems eingewilligt hätten.
Inhalt der Untersagungs-Verfügung
Die Datenschutz-Aufsicht Niedersachsen ließ sich von diesen Argumenten nicht überzeugen. Mit Bescheid vom 30.3.2017 untersagte sie vielmehr nahezu völlig, das System einzusetzen.
Sie ordnete gegenüber der Klägerin an, „bis zum 05.05.2017 die Erhebung, Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt.“
Ergänzend ist festgelegt, dass im Fall eines Fahrzeugdiebstahls auch künftig eine Positionsbestimmung erfolgen darf.
Gericht bestätigt die Verfügung
Nach Auffassung des Gerichts ist die Anordnung der Datenschutz-Aufsicht rechtmäßig. Dies begründet das Gericht wie folgt:
Rechtsgrundlage der Verfügung
Rechtsgrundlage für die Anordnung der Datenschutz-Aufsicht ist Art. 58 Absatz 2 Buchstabe d Datenschutz-Grundverordnung (DSGVO).
Demnach steht der Aufsichtsbehörde die Befugnis zu, den Verantwortlichen anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit den Vorschriften der DSGVO zu bringen.
Datenschutzverstoß liegt vor
Eine derartige Anordnung setzt voraus, dass ein Datenschutzverstoß vorliegt. Dies ist hier der Fall.
Die Verarbeitung von Positionsdaten der Beschäftigten steht nicht im Einklang mit § 26 Bundesdatenschutzgesetz (BDSG; Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses).
§ 26 BDSG ist neben der DSGVO zu beachten. Denn er wurde auf der Basis der Öffnungsklausel des Art. 88 Abs. 1 DSGVO (Datenverarbeitung im Beschäftigungskontext) vom nationalen Gesetzgeber erlassen.
Datenschutzrecht ist anwendbar
Das Datenschutzrecht ist anwendbar:
- Daten in einem Ortungssystem zu erheben und zu speichern, stellt eine Verarbeitung gemäß Art. 4 Nr. 2 DSGVO dar.
- Diese Verarbeitung betrifft personenbezogene Daten gemäß Art. 4 Nr. 1 DSGVO. Zwar wird vorliegend nur das Fahrzeugkennzeichen erfasst. Wer jeweils der Nutzer des Fahrzeugs war, ist jedoch darüber zu ermitteln, welchem Mitarbeiter das Fahrzeug zugeteilt war.
- Bei den personenbezogenen Daten handelt es sich um Daten von Beschäftigten gemäß § 26 Abs. 8 Nr. 1 BDSG, da es um Daten von Mitarbeitern der Klägerin geht.
Erforderlichkeit für die Verarbeitung fehlt
Für den Zweck des Beschäftigungs-Verhältnisses ist es nicht erforderlich, die Daten zu verarbeiten (§ 26 Abs. 1 Satz 1 Halbsatz 1 BDSG).
Für die Frage, ob eine Verarbeitung erforderlich ist, kommt es auf die berechtigten Interessen und Zwecke des Arbeitgebers an.
Dabei ist zu berücksichtigen, dass es im Prinzip zur unternehmerischen Freiheit des Arbeitgebers gehört, selbst darüber zu entscheiden, wie er seinen Betrieb organisiert.
Auf der anderen Seite sind jedoch auch gegenläufige Interessen der Arbeitnehmer zu berücksichtigen.
Auf der Basis dieser Überlegungen ist die Verarbeitung der Daten nicht für die Durchführung des Beschäftigungs-Verhältnisses erforderlich.
Das ergibt sich aus folgenden Überlegungen:
Nutzungsverbote überwachen
Soweit die Klägerin argumentiert, sie müsse das Wochenend-Fahrverbot und das Verbot von Privatfahrten überprüfen können, ist ihre Darstellung widersprüchlich.
Sie hatte selbst eingeräumt, dass sie Privatfahrten duldet und dass der geldwerte Vorteil nach der sogenannten Ein-Prozent Regelung versteuert wird.
Duldet ein Arbeitgeber Privatfahrten zumindest, besteht kein Bedürfnis, die Fahren zu überwachen.
Sofern die Klägerin die private Nutzung und die Nutzung am Wochenende nur durch einen Teil ihrer Beschäftigten duldet (etwa durch Objektleiter), während sie anderen Beschäftigten (etwa Reinigungsarbeiten) dies nicht gestattet, ist die Erfassung der Daten ebenfalls nicht erforderlich.
Um dies zu überwachen, würden nämlich andere Anweisungen genügen. So könnte sie anordnen, dass die Mitarbeiter in diesen Fällen die Fahrzeugschlüssel am Firmensitz abgeben oder dass sie Fahrtenbücher führen müssen. Das wären weniger eingreifende Mittel.
Präventiver Diebstahlschutz
Als präventiver Diebstahlschutz ist ein Ortungssystem völlig ungeeignet.
Geht es darum, ein womöglich entwendetes Fahrzeug wiederaufzufinden, reicht es aus, den Standort anlassbezogen zu erheben. Das kann dann erfolgen, wenn ein möglicher Fahrzeugverlust festgestellt wurde.
Es ist dafür nicht erforderlich, die Fahrzeugposition ständig zu erfassen und die Daten über 150 Tage zu speichern.
Tourenplanung
Für die Tourenplanung sind keine Standortdaten erforderlich. Weder aktuelle noch vergangene Standortdaten helfen bei der Tourenplanung.
Das Gericht hatte die Klägerin aufgefordert, hierzu nähere Angaben vorzulegen. Dies hat sie jedoch nicht getan.
Unvorhergesehene Ereignisse bewältigen
Soweit es darum geht, Ereignisse wie Unfällen und Staus zu bewältigen, würde als weniger stark eingreifende Maßnahme genügen, dass die Mitarbeiter per Mobiltelefon erreichbar sind.
Es ist für diesen Zweck nicht erforderlich, die Standortdaten zu erfassen.
Insgesamt gesehen ist die Erhebung der Daten somit nicht erforderlich. Damit sind die Voraussetzungen von § 26 Absatz 1 Satz 1 Halbsatz 1 BDSG nicht gegeben, und die Verarbeitung der Daten ist unzulässig.
Einwilligung der Beschäftigten ist irrelevant
An diesem Ergebnis ändert sich auch nichts dadurch, dass Einwilligungen von Beschäftigten vorliegen. Hierbei ist Folgendes zu beachten:
§ 26 Abs. 2 Satz 1 BDSG lässt eine Einwilligung dann als Rechtsgrundlage für eine Datenverarbeitung genügen, wenn die Beschäftigten freiwillig in die Datenverarbeitung eingewilligt haben.
Dabei ist es jedoch erforderlich, dass die Beschäftigten vollständig über den Zweck informiert sind, den die Datenverarbeitung verfolgt. Daran hat es vorliegend gefehlt.
Die Klägerin hat mehrere Varianten von Einwilligungserklärungen vorgelegt, die sie eingeholt hat. In keinem Fall war für die betroffenen Beschäftigten vollständig zu erkennen, welchen Zweck die Verarbeitung verfolgt.
Außerdem ist zu beanstanden, dass jeglicher Hinweis auf das Widerrufsrecht bezüglich der Einwilligung fehlt.
Die Klägerin kann sich nicht darauf berufen, dass ein solcher Hinweis nach den früher geltenden Regelungen des BDSG nicht erforderlich war. Sie hätte nach Geltung der DSGVO neue Einwilligungen einholen können, die den aktuellen Erfordernissen entsprechen.
Ergebnis: Anordnung ist rechtmäßig
Insgesamt gesehen ist die Anordnung der Datenschutz-Aufsichtsbehörde aus der Sicht des Gerichts daher rechtmäßig:
- Die Anordnung ist geeignet, um die Datenverarbeitung in Einklang mit den gesetzlichen Vorgaben zu bringen.
- Weniger belastende Anordnungen, die gleichermaßen geeignet wären, sind nicht ersichtlich.
- Auch das Übermaßverbot ist gewahrt. Der Klägerin bleibt es nämlich selbst überlassen, auf welche Art und Weise sie die Ortungs so gestaltet, dass sie die gesetzlichen Vorgaben beachten.
- Für den Fall, dass ein Fahrzeugdiebstahl zu vermuten ist, lässt die Anordnung der Datenschutzaufsicht die Positionsbestimmung für Firmenfahrzeuge ausdrücklich zu. Dies wahrt die Interessen der Klägerin ausreichend.
Statuierung eines Exempels?
Die Entscheidung erweckt den Eindruck, als habe das Gericht eine Art Exempel statuieren wollen.
Ganz offensichtlich hat die Klägerin mehrfach Gelegenheit erhalten, zusätzliche Aspekte des Sachverhalts vorzutragen und sich auf zusätzliche Argumente zu berufen.
Sie hielt es jedoch wohl nicht einmal für nötig, konkrete Einzel-Nachfragen zum Sachverhalt zu beantworten. Dies nahm das Gericht zum Anlass, jeweils Varianten des Sachverhalts zugrunde zu legen, die für die Klägerin ungünstig sind.
Es bleibt abzuwarten, ob die Entscheidung rechtskräftig wird oder ob eine Berufung stattfindet.
Das Teilurteil des Verwaltungsgerichts Lüneburg erging am 19.3.2019. Es trägt das Aktenzeichen 4A 12/19.
Die Entscheidung ist abrufbar unter https://voris.wolterskluwer-online.de/browse/document/42b87f48-7005-4d2e-900f-841d6853e8b0.
