GPS-Ortung von Firmenfahrzeugen: Was ist erlaubt?

Das VG Lüneburg hatte in seinem Teilurteil vom 19.3.2019 – Az. 4 A 12/19 -als erstes deutsches Gericht nach neuem Recht der DS-GVO- über die datenschutzrechtliche Zulässigkeit einer GPS-Ortung von Firmenfahrzeugen durch den Arbeitgeber zu entscheiden. Das Urteil bestätigt im Wesentlichen die zum alten Recht ergangenen Entscheidungen. Arbeitgeber, die ähnliche Systeme betreiben oder deren Einführung erwägen, sollten das Urteil dennoch kennen, da es die Anforderungen an die Erforderlichkeit solcher Maßnahmen für Zwecke des Beschäftigungsverhältnisses im Sinne des § 26 Abs. 1 DS-GVO weiter konkretisiert und hilfreiche Bewertungskriterien nennt.

Der Fall: Gebäudereinigungsunternehmen überwacht Firmenfahrzeuge mit GPS-Ortungssystemen

Die Klägerin, ein Gebäudereinigungsunternehmen, hatte 18 ihrer Firmenfahrzeuge, die Objektbetreuer, Reinigungskräfte und der Hausmeister nutzten, mit GPS-Systemen ausgestattet. Diese hatten für einen Zeitraum von 150 Tagen ständig jegliche gefahrene Strecke mit Start- und Zielpunkten einschließlich der gefahrenen Zeit und zumindest des Status der Zündung (Ein/Aus) gespeichert. Indem das System auch die Kennzeichen der Fahrzeuge gespeichert hatte, konnten die so ermittelten Daten eindeutig den jeweiligen betrieblichen Nutzern zugeordnet werden.

Aufgrund der Eingabe einer ehemaligen Beschäftigten wurde von der Beklagten, der nach § 20 I DSG Nds. zuständigen niedersächsischen Datenschutzaufsichtsbehörde, im Jahr 2016 ein Kontrollverfahren nach § 38 BDSG (noch in der bis zum 24.05.2018 geltenden Fassung) gegen die Klägerin eingeleitet. Nach erfolgter Anhörung, in der sich die Klägerin unter anderem damit verteidigte, dass die Ortung betrieblich notwendig sei und je Fahrzeug maximal 3-4 mal pro Jahr erfolge, ordnete die Beklagte gemäß § 58 II Buchst. d DS-GVO mit Bescheid vom 30.03.2017 gegenüber der Klägerin an,

 bis zum 05.05.2017 die Erhebung, Verarbeitung und Nutzung von Beschäftigungsdaten durch Ortungssysteme so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt.

Nach erfolglos durchgeführtem Widerspruchsverfahren setzt sich die Klägerin hiergegen gerichtlich zu Wehr. Sie beruft sich zum einen darauf, dass die Datenerhebung für Zwecke des Beschäftigungsverhältnisses, darunter die Planung von Touren und die Koordination der Fahrzeuge, zur Verhinderung von Diebstählen beziehungsweise zum Wiederauffinden gestohlener Fahrzeuge, zum Nachweis für geleistete Tätigkeiten gegenüber Auftraggebern und zur Überprüfung des Wochenendfahrverbots sowie des Verbots von Privatfahrten erforderlich ist. Zum anderen seien von einigen der betroffenen Beschäftigten schriftliche Einwilligungen eingeholt worden.

Die Entscheidung: GPS-Ortung ist unzulässige Verarbeitung personenbezogener Daten

Das VG Lüneburg weist die Klage als unbegründet ab. Bei der Erhebung, Speicherung und Auswertung der GPS-Positionsdaten handle es sich um eine Verarbeitung personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses nach Art. 4 Nr. 1, 2, 88 Abs. 1 DS-GVO, § 26 BDSG dar. Diese sei entgegen des Vortrags der Klägerin weder für Zwecke des Beschäftigungsverhältnisses gemäß § 26 Abs. 1 BDSG erforderlich, noch sei sie durch wirksame Einwilligungen der Beschäftigten nach § 26 Abs. 2 BDSG gedeckt. Das Gericht geht hinsichtlich des Bescheides vom 30.03.2017 zutreffend von einem Verwaltungsakt mit Dauerwirkung aus, sodass die Rechtslage zum Zeitpunkt der gerichtlichen Entscheidung Anwendung findet. Somit können die Regelungen der DS-GVO, die erst am 25.05.2018 Geltung erlangten, zum ersten Mal bei der Beurteilung eines solchen Falles zum Tragen kommen.

Nicht für Zwecke des Beschäftigungsverhältnisses erforderlich

Keiner der von der Klägerin vorgebrachten Datenverarbeitungszwecke könne nach Ansicht des Gerichts die Erforderlichkeit der Verarbeitung der GPS-Positionsdaten begründen, denn

• Informationen über aktuelle oder vergangene Standorte der Fahrzeuge seien unerheblich für die zukunftsorientierte Planung von Touren und die Koordination der Fahrzeuge im Gebäudereinigungsgewerbe; anders als zum Beispiel im Transport- oder Beförderungsgewerbe sei die Koordination von Fahrzeugen und Personal nicht zeitkritisch, kurzfristige Änderungen seien durch die weniger stark eingreifende Maßnahme der Gewährleistung der Erreichbarkeit per Mobiltelefon zu bewältigen
• zur Verhinderung von Diebstählen sei die dauerhafte Ortung der Fahrzeuge bereits vollkommen ungeeignet, zum Wiederauffinden gestohlener Fahrzeuge hingegen reiche deren anlassbezogene Ortung vollkommen aus
• als Nachweis für geleistete Tätigkeiten gegenüber Auftraggebern der Klägerin könnten die Fahrzeugstandorte ebenfalls bereits gänzlich ungeeignet, denn diese gäben keinen Nachweis über die Tätigkeit des Beschäftigten am Objekt des Kunden sondern maximal über den Aufenthalt eines Firmenfahrzeugs in dessen Nähe
• die Überprüfung des Wochenendfahrverbots und des Verbots von Privatfahrten könne auch durch mildere Mittel wie die Abgabe der Fahrzeugschlüssel und das Führen von Fahrtenbüchern sichergestellt werden

Auch die Tatsache, dass das Unternehmen lediglich 3-4 mal pro Jahr zum Zwecke der Ortung von Fahrzeugen auf die gespeicherten Positionsdaten zurückgegriffen hatte, wertete das Gericht entgegen der Auffassung der Klägerin als Argument gegen die Erforderlichkeit der dauerhaften GPS-Ortung. Gerade dieser Umstand zeige, dass ein System, das die Fahrzeuge der Klägerin lediglich anlassbezogen ortet, für die Zwecke der Klägerin vollkommen ausreichend wäre. Ausdrücklich offen ließ das Gericht, ob neben dem § 26 Abs. 1 S. 1 BDSG noch Raum für die Anwendbarkeit der Erlaubnistatbestände der Art. 6 UAbs. 1 Buchst. c) oder Buchst. f) DSGVO bleibe. Schließlich setzten diese ebenfalls eine „Erforderlichkeit“ der Datenverarbeitung voraus. Das Gericht vermeidet damit eine Stellungnahme zu der viel diskutierten Frage, in welchem Verhältnis die „Erforderlichkeit“ für Zwecke des Beschäftigungsverhältnisses nach § 26 Abs. 1 S. 1 BDSG zu der „Erforderlichkeit“ „zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten“ nach Art. 6 UAbs. 1 Buchst. f) DSGVO steht.

Einwilligungen unwirksam

Die von einigen betroffenen Beschäftigten eingeholten Einwilligungen in die Datenverarbeitung nach § 26 Abs. 2 DS-GVO seien im vorliegenden Fall unwirksam, da der nach Art. 7 Abs. 3 S. 3 DS-GVO erforderliche Hinweis auf die Widerruflichkeit der Einwilligung unterblieben ist und die Beschäftigten über den mit der Datenverarbeitung verfolgten Zweck nur partiell informiert wurden.

Fazit

Das Urteil des VG Lüneburg zeigt, dass die Prüfung der Erforderlichkeit einer dauerhaften und personenbezogenen GPS-Ortung von Firmenfahrzeugen eng mit den organisatorischen Anforderungen in der jeweiligen Branche zusammenhängt. In Betrieben, in denen die Koordination der Firmenfahrzeuge keiner besonders engen Taktung unterliegt, sollte die Einführung von GPS-Ortung wohl durchdacht sein und Ortungen im Zweifel nur anlassbezogen erfolgen.

Existiert ein solches System bereits im Betrieb oder wird dessen Einführung diskutiert, so kann die Durchführung einer Datenschutzfolgeabschätzung klären, welchen Zwecken die Überwachung dienen soll und ob diese den strengen Maßstäben der Rechtsprechung gerecht werden. Falls schriftliche Einwilligungen der betroffenen Beschäftigten eingeholt werden sollen, oder bereits eingeholt wurden, ist darauf zu achten, dass die Einwilligungserklärung den Anforderungen des Art. 7 DS-GVO genügt. Besteht ein Betriebsrat, so muss nach § 87 Abs. 1 Nr. 6 BetrVG vor der Einführung eines GPS-Ortungssystems zwingend dessen Zustimmung eingeholt werden.