Wird diese Nachricht nicht richtig dargestellt, klicken Sie bitte hier.
  Heuking Kühn Lüer Wojtek  
  Update Compliance / Update Datenschutz

Nr. 9 | Nr. 64 | 12.08.2019
 

Die Zulässigkeit der GPS-Ortung aus Compliance-Sicht

Anna-Lena Glander und Alexa Finke, LL.M.



Für den Einsatz von Ortungssystemen sowohl im Beschäftigungskontext als auch bei der Zusammenarbeit mit anderen Unternehmen gelten strenge datenschutzrechtliche Anforderungen. Kürzlich entschied das VG Lüneburg mit Teilurteil vom 19. März 2019 unter Anwendung der Vorschriften der Datenschutz-Grundverordnung und des neuen Bundesdatenschutzgesetzes, dass eine uneingeschränkte Ortung von Mitarbeiterfahrzeugen unzulässig sei. Dieses Urteil gibt Anlass, die Zulässigkeit des Einsatzes solcher Systeme unter Compliance-Gesichtspunkten zu beleuchten: Unternehmen müssen darauf achten, dass beim Einsatz von Ortungssystemen für die Verarbeitung der Daten ihrer Mitarbeiter oder Dritten ein datenschutzrechtlicher Erlaubnistatbestand für die Verarbeitung der Ortungsdaten besteht. Andernfalls droht die Gefahr der Verfolgung des Unternehmens wegen datenschutzrechtlicher Pflichtverletzungen.

Im dem Urteil zugrunde liegenden Sachverhalt hatte die Klägerin, die ein Gebäudereinigungsunternehmen betreibt, ihre Firmenfahrzeuge, die die bei ihr beschäftigten Objektbetreuer, Reinigungskräfte und der Hausmeister sowohl dienstlich als auch privat nutzten, mit GPS-Systemen ausgestattet. Erfasst wurden die Kennzeichen der Fahrzeuge, welche den jeweiligen betrieblichen Nutzern zugeordnet werden konnten. Mit den Ortungssystemen wurde über einen längeren Zeitraum jede gefahrene Strecke der jeweiligen Mitarbeiter mit Start- und Zielpunkten einschließlich der gefahrenen Zeit und dem Status der Zündung gespeichert. Aus- oder eingeschaltet werden konnte das Ortungssystem durch die Mitarbeiter nicht; eine Deaktivierung des Systems nach Feierabend und vor Arbeitsbeginn war nur unter erheblichem Aufwand möglich.

Das VG Lüneburg urteilte, dass die ständige Erfassung der Positionsdaten der Beschäftigten auch außerhalb der Arbeitszeiten nicht in Einklang mit geltendem Datenschutzrecht stehe. Eine derart umfangreiche Verarbeitung der Ortungsdaten könne in diesem Fall nicht auf den Erlaubnistatbestand des § 26 Abs. 1 BDSG gestützt werden, da die Datenverarbeitung nicht für die Zwecke des Beschäftigungsverhältnisses erforderlich gewesen sei. Die Verpflichtung zur Führung eines Fahrtenbuchs sei in solchen Fällen ausreichend. Die Verarbeitung der Ortungsdaten könne auch nicht auf den Erlaubnistatbestand der Einwilligung nach § 26 Abs. 2 BDSG gestützt werden, da keine ausreichende Freiwilligkeit der Einwilligungen vorlag. Daran fehlte es schon, da der Verantwortliche versäumte, seine Beschäftigten über die umfassende Ortung zu informieren.

Konsequenzen auch für Nachunternehmerverhältnisse

Diese Rechtsprechung ist auch auf Verantwortliche übertragbar, die Ortungsdaten von natürlichen Personen außerhalb des Beschäftigtendatenschutzes verarbeiten. Das betrifft insbesondere Unternehmen, die Ortungsdaten von den Beschäftigten ihrer Subunternehmer erheben. Mangels Beschäftigungskontextes muss der Verantwortliche die Rechtmäßigkeit der Verarbeitung der Ortungsdaten in diesen Fällen nicht anhand der Erlaubnistatbestände des § 26 BDSG messen. Vielmehr muss er die Datenverarbeitung auf eine Rechtsgrundlage des Art. 6 Abs. 1 DSGVO stützen:

Sofern – was in der Regel der Fall sein wird – keine gesetzliche Verpflichtung für die Ortung besteht und diese auch nicht für die Durchführung eines Vertragsverhältnisses zwischen dem Verantwortlichen und der georteten Personen erforderlich ist, kommen als Erlaubnistatbestände nur ein berechtigtes Interesse gem. Art. 6 Abs. 1 lit. f) DSGVO oder eine Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO in Betracht. Da die Einwilligung wegen ihrer Widerrufsmöglichkeit generell keine sichere Rechtsgrundlage darstellt und nur als Notlösung dienen sollte, müssen Unternehmen in der Regel ein berechtigtes Interesse an der Ortung nachweisen, das nicht von den Interessen und Grundrechten der Betroffenen überwogen wird. Im Rahmen einer solchen Interessenabwägung fließen vergleichbare Argumente ein wie bei der Erforderlichkeitsabwägung unter § 26 BDSG. So argumentierte auch das VG Lüneburg, dass bei einer geduldeten Privatnutzung der Fahrzeuge kein pauschales Überwachungsbedürfnis des Unternehmens bestehe und daher dem Eingriff in das Recht auf Selbstbestimmung seitens der Betroffenen schon kein berechtigtes unternehmerisches Interesse gegenüberstehe. Somit kann der Verantwortliche auch unter Art. 6 Abs. 1 lit. f) DSGVO keine unbeschränkte Ortung vornehmen.

Praxishinweis: Die DSGVO sieht für Fälle wie den geschilderten Bußgelder für Verantwortliche in Höhe von bis zu EUR 20.000.000 oder im Fall eines Unternehmens von bis zu 4% des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor. Um diesem Risiko zu entgehen, ist Unternehmen, die Ortungsdaten ihrer Mitarbeiter oder von Dritten, wie Mitarbeitern ihrer Subunternehmer, verarbeiten, dringend zu raten, vor der Nutzung etwaiger Ortungssysteme in jedem Fall zu prüfen, auf welcher Rechtsgrundlage und in welchem Umfang sie die Ortung durchführen dürfen. Zudem muss der Verantwortliche aufgrund der umfangreichen Überwachung bei einer Ortung eine Datenschutzfolgeabschätzung gemäß Art. 35 DSGVO durchführen.
 
Autoren


Anna-Lena Glander 
ist Rechtsanwältin in der
Praxisgruppe Wirtschafts- und Steuerstrafrecht
T +49 211 600 55-317
E l.glander@heuking.de



Alexa Finke, LL.M. ist Rechtsanwältin in der
Task-Force Datenschutz
T +49 211 600 55-166
a.finke@heuking.de 
Kontakt

T +49 211 600 55-215 oder -168
F +49 211 600 55-210
E compliance@heuking.de
   datenschutz@heuking.de

Weiterführende Hinweise

Rechtsprechung der niedersächsischen: Justiz Datenschutzrechtliche Zulässigkeit eines Ortungssystems im Beschäftigungskontext

Ihre Ansprechpartner sind in diesem Zusammenhang neben unseren Experten im Bereich Wirtschafts-/Steuerstrafrecht und Compliance auch die Experten der Task-Force Datenschutz.




Ich möchte den Newsletter
> abbestellen

> bestellen


 
 




Heuking Kühn Lüer Wojtek
© 2019 Heuking Kühn Lüer Wojtek

PartGmbB von Rechtsanwälten und Steuerberatern*
Georg-Glock-Str. 4, 40474  Düsseldorf

* Datenschutzinformationen / Registerangaben / Liste der Partner: www.heuking.de

Informationen darüber, wie Heuking Kühn Lüer Wojtek mit Ihren personenbezogenen Daten umgeht,
zu welchen Zwecken Ihre Daten verarbeitet werden, die Rechtsgrundlagen der Verarbeitung und
welche Rechte Sie haben, können Sie unter www.heuking.de nachlesen.

compliance@heuking.de