Die GPS-Ortung ist eine datenschutzrechtlich sensible Thematik – das zeigt erneut das Urteil des VG Wiesbaden.
Das GPS ist längst keine Neuheit mehr. GPS-Systeme haben sich nicht nur im privaten Leben, sondern auch im beruflichen Leben zu unverzichtbaren Hilfsmitteln, etwa für das Fuhrparkmanagement, entwickelt. Nebenbei eröffnet es jedoch auch neue Kontrollmöglichkeiten. Ist ein Firmenfahrzeug mit einem GPS ausgestattet, können Kolleg:innen oder der/die Chef:in auf das GPS-Signal zugreifen und erfahren, wann und wo sich ein Fahrzeug befindet. Besonders problematisch wird es dann, wenn Dienstfahrzeuge auch privat genutzt werden und keine Funktion zum Ein- und Ausschalten des GPS-Systems vorhanden ist.
Der Fall des VG Wiesbaden
Die Klägerin hatte als mittelgroßes Logistikunternehmen GPS-Systeme in ihre 55 Firmenfahrzeuge der Firmenflotte eingebaut. Diese Systeme erhoben und speicherten Daten zum Tracking dieser Fahrzeuge. So war es unter anderem möglich, die Bestimmung des Live-Standorts der Fahrzeuge, die Speicherung der Standortdaten und die Messung des Benzinverbrauchs festzustellen. Teilweise fanden auch Zuordnungen zum Inhaber der Fahrerkarte statt. Die Daten der Fahrerkarten wurden für 28 Tage gespeichert, alle übrigen Daten für 400 Tage.
Das Unternehmen informierte die Mitarbeiter:innen weder über die Nutzung des GPS-Trackings noch über die Speicherung. Demzufolge lagen auch keine Einwilligungen der Mitarbeiter:innen vor.
Laut der Klägerin erfolgte die GPS-Ortung und Datenspeicherung lediglich zur „Optimierung des Workflows, in dem die personenbezogenen Daten keine Rolle spielten“. Ziel der Ortung der einzelnen Fahrzeuge sei gewesen, bei Missbrauch und Diebstahl eingreifen zu können. Zudem sollten der Benzinverbrauch und der jeweilige Kraftstoffbestand in den Tanks überwacht werden, um Kraftstoffdiebstahl erkennen zu können.
Der hessische Datenschutzbeauftragte forderte das Unternehmen auf, das GPS-Tracking zukünftig zu unterlassen und erhobene Daten zu löschen. Gegen diesen Bescheid klagte das Unternehmen.
Die Entscheidung
Das VG Wiesbaden wies die Klage ab, weil das Unternehmen die Daten nach Ansicht des Gerichts ohne Rechtsgrundlage verarbeitet hatte. Innerhalb der Entscheidungsgründe prüfte das Gericht die von der Klägerin vorgetragenen Erlaubnisnormen der DSGVO lehrbuchartig durch.
Keine Einwilligung
Eine Einwilligung der Beschäftigten gemäß Art. 6 Abs. 1 lit. a) DSGVO bzw. § 26 Abs. 2 BDSG wurde im Vorfeld unstreitig nicht eingeholt.
EXKURS
Wäre eine Einwilligung der Mitarbeiter:innen überhaupt eine wirksame Rechtsgrundlage?
Die Frage, ob eine etwaige vorherige Einwilligung im Beschäftigungskontext die Datenverarbeitung legitimiert hätte, lässt das Gericht offen. Das Gericht äußert jedoch Zweifel, ob eine solche Einwilligung wirksam wäre.
Nach § 26 Abs. 2 BDSG müsste die Einwilligung „freiwillig“ erfolgen. Für die Beurteilung der Freiwilligkeit sind insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Nach § 26 Abs. 2 Satz 2 BDSG kann Freiwilligkeit insbesondere dann vorliegen, wenn für die Beschäftigten ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird. Dasselbe gilt, wenn Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen.
Hierzu führte das VG Wiesbaden im vorliegenden Fall aus: „Gleichgelagerte Interessen der Mitarbeiter der Klägerin mit der Klägerin sind insoweit nicht ohne Weiteres zu erkennen, einen wirtschaftlichen Vorteil – etwa in Form einer Gehaltserhöhung – beabsichtigt die Klägerin nicht ihren Mitarbeitern zukommen zu lassen“ – und äußert damit Zweifel an der Wirksamkeit einer solchen Einwilligung. Ähnliche Zweifel an der Freiwilligkeit der Einwilligung im Beschäftigtenverhältnis äußerte auch das VG Lüneburg im Urteil vom 19.03.2019 (Az. 4 A 12/19).
Allerdings ist festzustellen, dass auch im Beschäftigungskontext eine Einwilligung grundsätzlich rechtswirksam eingeholt werden kann, was bereits die Vorschrift des § 26 Abs. 2 BDSG zeigt. Die zum alten Recht vertretene Meinung, im Beschäftigtenverhältnis fehle generell die Möglichkeit einer „freien“ Einwilligung, ist damit überholt.
An die Freiwilligkeit dürfen auch keine überzogenen Anforderungen gestellt werden. Erforderlich ist eine aktive Einwilligung. Diese muss in schriftlicher Form erfolgen und außerdem jederzeit widerrufbar sein. Zudem müssen Unternehmen ihre Mitarbeiter:innen vorab über den Umfang und die Verwendungszwecke der erhobenen Daten sowie das Widerrufsrecht informieren.
Keine rechtliche Verpflichtung
In dem vom VG Wiesbaden zu entscheidenden Fall existierte auch keine Rechtsgrundlage auf Grundlage einer rechtlichen Verpflichtung nach Art. 6 Abs. 1 lit. c) DSGVO. Für die Klägerin bestand keine Verpflichtung weitere, über die vom Fahrtenschreiber aufgezeichneten Daten hinausgehende, Aufzeichnungen zu führen, insbesondere nicht den genauen Standort zu ermitteln.
Kein überwiegendes berechtigtes Interesse
Das GPS-Tracking ließ sich nach Ansicht des VG Wiesbaden auch nicht nach Art. 6 Abs. 1 lit. f) DSGVO rechtfertigen. Nach dieser Vorschrift kann eine Datenverarbeitung rechtmäßig sein, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist.
Zwar sei der von der Klägerin verfolgte Zweck, das GPS-Tracking zur Effizienzsteigerung einzusetzen, als legitim und geeignetes Mittel anzusehen. Allerdings sei die Datenspeicherung des Standorts, zumal über 400 Tage lang, nicht verhältnismäßig. Vor allem handele es sich nicht um das mildeste aller gleich effektiv zur Verfügung stehenden Mittel. Im Rahmen einer Interessenabwägung überwiegen daher die Interessen der betroffenen Mitarbeiter:innen.
Praxistipp
Das VG Lüneburg sah in seiner Entscheidung aus dem Jahr 2019 eine Speicherfrist von 150 Tagen als zu lang an. Es überrascht daher nicht, dass das VG Wiesbaden eine Speicherdauer von 400 Tagen als unverhältnismäßig erachtet. Die beiden Urteile zeigen jedoch, dass eine Interessenabwägung positiv zu Gunsten des Unternehmens durch ein entsprechendes Löschkonzept mit kurzen Speicherfristen beeinflusst werden kann.
Relevanz für Unternehmen
Das Urteil des VG Wiesbaden zeigt, dass der Einsatz von GPS-Systemen im Unternehmen nicht in allen Fällen von Vornherein ausgeschlossen ist. Führt die Überwachung eines Firmenfahrzeugs jedoch auch zu einer Überwachung der eigenen Mitarbeiter:innen, hat das Unternehmen die datenschutzrechtlichen Regelungen und Grenzen zu beachten.
Eine datenschutzkonforme GPS-Überwachung von Firmenfahrzeugen erfordert dabei stets eine Rechtsgrundlage oder eine Einwilligungserklärung der Beschäftigten. Die datenschutzrechtliche Rechtmäßigkeit lässt sich nicht pauschal beantworten. Vielmehr ist eine Einzelfallprüfung erforderlich.
Die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO können Unternehmen zu ihren Gunsten beeinflussen, indem beispielsweise folgende Punkte Berücksichtigung finden:
- Umfang der Überwachung, nur eine anlassbezogene Überwachung, keine Dauerüberwachung;
- kurze oder gar keine Speicherfrist;
- bei privater Nutzung Funktion, dass GPS-Ortung ausgeschaltet werden kann;
- Keine heimliche Überwachung, Mitarbeiter:innen müssen vollumfänglich informiert werden;
- Beteiligung des Betriebsrats.
Beabsichtigen Unternehmen den (datenschutzkonformen) Einsatz von GPS-Systemen, sollte der Rat eines Datenschutzexperten wie valvisio eingeholt werden. Denn die Unternehmen sind einer doppelten Gefahr ausgesetzt: Bei der rechtswidrigen Ausgestaltung besteht einerseits die Gefahr von Unterlassungsklagen durch Arbeitnehmer:innen und zum anderen die Gefahr von Bußgeldern durch die Datenschutzbehörde.
Quellen:
• VG Wiesbaden, Urteil vom 17.01.2022 – 6 K 1164/21.WI – openJur
• Kevin Leibold, Anmerkung zum Urteil, ZD 2022, 406
