Datenschutz: Immer ganz genau hinsehen
Den Datenschutz auf die leichte Schulter nehmen? Keine gute Idee! Im Zweifel drohen herbe Niederlagen vor Gericht.
--1x1--v1nqyndv.png?f=webp)
Anzeige
Den Datenschutz auf die leichte Schulter nehmen? Keine gute Idee! Im Zweifel drohen herbe Niederlagen vor Gericht.
Von Dr. Katja Löhr-Müller
Schon immer wurde der Schutz personenbezogener Daten in Deutschland besonders hochgehalten. Doch seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) befassen sich immer mehr Menschen mit der Frage, wer welche Daten rechtmäßig oder eben auch ohne Rechtsgrund erhebt. So sind die Anfragen bei den Landesdatenschutzbeauftragten sprunghaft angestiegen, es werden mehr Bußgelder wegen Datenschutzverstößen verhängt und auch die Gerichte befassen sich nun regelmäßig mit Fragen des Datenschutzes.
Arbeitgeber, die ihren Mitarbeitern Firmenfahrzeuge zur Verfügung stellen, sehen sich nun vor erhebliche Herausforderungen gestellt. Konkret geht es um folgende Frage: Welche personenbezogenen Daten darf das Unternehmen abfragen und speichern, ohne sich strafbar zu machen? Die Antwort ist mitunter nicht ganz einfach, wie die folgenden Fälle zeigen.
Als erstes Beispiel dient an dieser Stelle der Betreiber von öffentlichem Nahverkehr, der seine Omnibusse auf Grundlage einer – mit dem Betriebsrat getroffenen – Betriebsvereinbarung mit einem System ausrüstete, welches das Fahrverhalten des Fahrers aufzeichnet und ihn bei falschem Fahrverhalten warnt. Da die Software auch das Fahrzeug selbst identifizieren konnte, war es anhand der Einsatzpläne möglich, die Daten einem bestimmten Fahrer zuzuordnen. Der Knackpunkt: So wurden an sich fahrzeugbezogene zu personenbezogenen Daten. Für Mitarbeiter, die damit nicht einverstanden waren, hielt der Arbeitgeber eine Lösung parat: Sie erhielten einen anonymisierten Systemschlüssel, der den Personenbezug verhinderte. Ein Mitarbeiter verweigerte sich jedoch auch dieser Lösung. Ihm kündigte der Arbeitgeber wegen Arbeitsverweigerung fristlos. Zu Recht, wie das Bundesarbeitsgericht entschied (BAG, Urt. v. 17.11.2016, Az. 2 AZR 730/15).
Das bedeutet aber nicht, dass es Arbeitgebern generell gestattet ist, Telematik-Anwendungen in Firmenfahrzeugen einzusetzen. Das zeigt unser zweites Beispiel. So sah zum Beispiel das Arbeitsgericht Heilbronn einen erheblichen Eingriff in das allgemeine Persönlichkeitsrecht für gegeben an, nachdem der Arbeitgeber versucht hatte, eine Telematik-Box im Fahrzeug eines Außendienstmitarbeiters zu installieren, mit der im Fahrzeug Echtzeit-Daten erfasst werden sollten. Die Erhebung der Daten sei erforderlich, so der Arbeitgeber, um das Nutzungsverhalten zu überprüfen – konkret ging es um gefahrene Kilometer, den Kraftstoffverbrauch oder die Abrechnung von Reisezeiten.
So ist zwar eine Datenverarbeitung, zu dem auch das Erfassen und Speichern von Daten zählt, im Arbeitsverhältnis zulässig, wenn dies erforderlich ist im Sinne des § 26 Abs.1 Bundesdatenschutzgesetz. Eine aktivierte Telematik-Box war nach der arbeitsgerichtlichen Entscheidung für die Durchführung des Arbeitsverhältnisses aber nicht erforderlich, da die gewünschten Zwecke auch anders hätten erreicht werden können. Da bei der Datenaufzeichnung zudem das Fahrverhalten des Fahrers verarbeitet würde, stelle diese einen tiefgreifenden Eingriff in das Persönlichkeitsrecht des Beschäftigten dar, so dass die Nutzung unzulässig wäre (ArbG Heilbronn, Urt. v. 30.01.2019, Az. 2 Ca 360/18).
Ähnlich argumentierte das Verwaltungsgericht Lüneburg in einer aktuellen Entscheidung. In diesem Fall hatte die niedersächsische Datenschutzaufsichtsbehörde gegen einen Arbeitgeber ein nicht unerhebliches Bußgeld verhängt, nachdem sich ein Mitarbeiter bei der Behörde wegen der im Firmenfahrzeug verbauten GPS-Ortung beschwerte. Auch hier verneinte das Gericht die Erforderlichkeit einer solchen Echtzeit-Ortung, da der Arbeitgeber, ein Gebäudereinigungsunternehmen, solche Daten für den Personaleinsatz nicht benötige.
Interessant ist in dieser Entscheidung zudem, dass das Gericht nicht dem Einwand des Arbeitgebers folgte, man wolle damit auch nachweisen können, dass die Fahrzeuge nicht abredewidrig privat genutzt würden. Für diesen Nachweis reiche ein schriftlich ausgesprochenes Privatnutzungsverbot aus (VG Lüneburg, Teilurteil vom 19.0.2019, Az. 4 A 12/19).
Nach Auffassung des Landesdatenschutzbeauftragten in Nordrhein-Westfalen dürfen moderne Ortungssysteme nur eingesetzt werden, wenn es zur Durchführung des Arbeitsverhältnisses oder der Steuerung betrieblicher Belange erforderlich ist. Einwilligungen Beschäftigter hierzu werden regelmäßig als unwirksam angesehen.
Allgemein anerkannt ist hingegen der Einsatz von Telematik-Boxen im Transport- oder Speditionsgewerbe, wenn es darum geht, eine optimale Tourenplanung zu gewährleisten. Eine Erforderlichkeit im Sinne der Datenschutzvorschriften kann auch vorliegen, wenn die Daten als Nachweis gegenüber einem Auftraggeber für eine Abrechnung dienen, also etwa Wegestrecken oder Fahrzeiten abzurechnen sind. Auch der Einsatz eines elektronischen Fahrtenbuchs zur Abrechnung der privaten Nutzung eines Dienstwagens erfüllt in der Regel die Voraussetzung der Erforderlichkeit im Beschäftigtendatenschutz. Das gilt aber nur dann, wenn die Software so ausgestaltet ist, dass bei Privatfahrten nur die gefahrenen Kilometer aufgezeichnet werden und keine Standortbestimmung erfolgt.
Die Vorgaben der DSGVO betreffen aber nicht nur Telematik-Lösungen: Auch die vom Arbeitgeber durchgeführte Führerscheinkontrolle ist zunächst ein erheblicher Eingriff in die Persönlichkeitsrechte eines Arbeitnehmers. Solche Eingriffe sind aber zulässig, wenn dies erforderlich ist, um gesetzliche Vorgaben zu erfüllen (Art. 6 Abs. 1 lit. c DGSVO). So macht sich ein Arbeitgeber strafbar, wenn er als Fahrzeughalter dem Mitarbeiter einen Firmenwagen zur Nutzung überlässt, ohne kontrolliert zu haben, ob dieser auch eine gültige Fahrerlaubnis besitzt. Zum Nachweis muss die Kontrolle dokumentiert werden. Erfolgreich dürften sich hingegen Arbeitnehmer gegen den Wunsch des Arbeitgebers wehren können, eine App zur elektronischen Führerscheinkontrolle auf das private Smartphone zu laden. Stellt hingegen der Arbeitgeber das Smartphone, sieht die Sachlage schon wieder anders aus.
Arbeitgebern ist anzuraten, über das zwingend von ihnen abzufassende Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO zunächst zu klären, welche Daten für welchen Zweck und durch wen im Unternehmen erfasst und verarbeitet werden. Daraus ergibt sich dann, ob eine Datenschutzfolgenabschätzung nach Art 35 DSGVO erforderlich ist.
Wer als Arbeitgeber glaubt, sich diesen Zeitaufwand durch die Einholung von Einwilligungserklärungen seiner Mitarbeiter sparen zu können, irrt. Nicht nur die Landesdatenschutzbeauftragten der Länder, auch die Gerichte geben keinen Freifahrtschein für vom Arbeitnehmer schriftlich abgegebene Einwilligungserklärungen. Zum einen werden an das Erfordernis der Freiwilligkeit hohe Anforderungen gestellt, zum anderen muss in solchen Erklärungen der Arbeitnehmer darauf hingewiesen werden, dass die Einwilligung jederzeit widerrufbar ist. Schließlich ist auch darauf zu achten, dass Einwilligungserklärungen nicht so allgemein formuliert sind, dass quasi für alles personenbezogene Daten erhoben und verarbeitet werden dürfen. Denn Einwilligungserklärungen dürfen nach der DSGVO immer nur für einen bestimmten Zweck abgegeben werden. Dieser muss klar formuliert und aus der Einwilligungserklärung hervorgehen.
Genau an diesem Punkt werden zukünftig auch Fahrzeugwerkstätten ein Problem bekommen. Nach einer gemeinsamen Untersuchung verschiedener Landesdatenschutzbehörden in Deutschland stellte sich heraus, dass Werkstätten eine Vielzahl von personenbezogenen Daten im Rahmen von Wartungs- und Reparaturdiensten erheben und verarbeiten. Dabei werden die Daten zum Teil an die Fahrzeughersteller weitergeleitet. Die dabei eingesetzten Einwilligungserklärungen, die der Auftraggeber bei Überlassung des Fahrzeugs an die Werkstatt unterzeichnen muss, werden oftmals als viel zu weit gefasst und damit als unwirksam angesehen.
