Unter Zugrundelegung der EU-Datenschutzgrundverordnung (DSGVO) ergangene gerichtliche Entscheidungen sind bislang eher selten. Zuletzt hat sich das Verwaltungsgericht (VG) Lüneburg in seinem Teilurteil vom 19.03.2019, Az. 4 A 12/19, mit der datenschutzrechtlichen Zulässigkeit eines Ortungssystems im Beschäftigungskontext auseinandergesetzt.
Es ging um folgenden Sachverhalt: Die im Gebäudereinigungssektor tätige Klägerin hatte ihre Firmenfahrzeuge, die die Objektbetreuer, Reinigungskräfte und der Hausmeister benutzten, mit GPS-Systemen ausgestattet. Dieses System war so ausgelegt, dass es für einen Zeitraum von 150 Tagen ständig jegliche gefahrene Strecke mit Start- und Zielpunkt, einschließlich der gefahrenen Zeit und des Status der Zündung (Ein/Aus), speicherte. Eine Taste zum Ein- und Ausschalten des Systems gab es nicht. Zwischen dem Ende eines Arbeitstages und dem Beginn der Arbeitszeit am folgenden Tag war eine Deaktivierung nur unter erheblichem Aufwand möglich. Das Ortungssystem erfasste die Kennzeichen der betroffenen Fahrzeuge, die den jeweiligen betrieblichen Nutzern zugeordnet waren. Eine private Nutzung der Firmenfahrzeuge durch die Objektleiter wurde durch die Klägerin geduldet. Es kam – noch unter Geltung des BDSG a.F. – zu einem Anhörungsverfahren, an dessen Ende die beklagte Behörde am 30.03.2017 einen Bescheid gegenüber der Klägerin erließ. Hiernach war die Erhebung und Verarbeitung von Positionsdaten der Beschäftigten der Klägerin durch Ortungssysteme nicht erforderlich. Der Klägerin wurde auferlegt, die Erhebung, Verarbeitung und Nutzung von Beschäftigtendaten durch Ortungssysteme so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolge. Gegen diesen Bescheid wendete sich das Unternehmen mit einer Klage, über das das VG Lüneburg mit dem eingangs genannten Teilurteil vom 19.03.2019 (auf Basis der DSGVO) entschied.
Das Gericht stellte zunächst fest, dass die Erhebung und Speicherung von Standort-, Bewegungs- und Zeitdaten der genutzten Fahrzeuge mittels des Ortungssystems sowie deren Auswertung eine Verarbeitung i.S.d. Art. 4 Nr. 2 DSGVO darstellten. Es handele sich ferner um personenbezogene Daten, da der jeweilige Nutzer über die Zuordnung zu dem ihm zugeteilten Fahrzeug, dessen Fahrzeug-Kennzeichen über das Ortungssystem erfasst werde, identifizierbar sei. Ferner handele es sich zudem um eine Verarbeitung personenbezogener Daten von Beschäftigten nach § 26 Abs. 8 Nr. 1 BDSG n.F., da die Objektbetreuer, Reinigungskräfte und Hausmeister Arbeitskräfte der Klägerin seien.
Für die Verarbeitung dieser Daten fehle es an einem Erlaubnistatbestand nach § 26 Abs. 1 S. 1 BDSG („Erforderlichkeit der Verarbeitung für Zwecke der Durchführung des Beschäftigungsverhältnisses“), auch eine Einwilligung der Beschäftigten nach § 26 Abs. 2 S. 1 BDSG sei nicht gegeben.
Im Rahmen der Erörterung der Erforderlichkeit der Datenverarbeitung für Zwecke der Durchführung des Beschäftigungsverhältnisses (§ 26 Abs. 1 S. 1 BDSG) prüfte das Gericht eine Erforderlichkeit, um Diebstähle zu verhindern bzw. womöglich entwendete Firmenfahrzeuge wieder aufzufinden. Ferner erörterte die Erforderlichkeit im Rahmen der Tourenplanung, um Mitarbeiter und Fahrzeugeinsätze zu koordinieren. Auch eine eventuelle Erforderlichkeit zwecks Erbringung von Nachweisen für geleistete Tätigkeiten gegenüber Auftraggebern wurde geprüft. Das VG Lüneburg lehnte jedoch jeweils eine Erforderlichkeit der Datenverarbeitung für diese Zwecke ab.
Zuletzt beschäftigte sich das VG Lüneburg damit, ob eine freiwillige Einwilligung der Beschäftigten in die Datenverarbeitung (§ 26 Abs. 2 S. 1 BDSG) vorliege. In diesem Zusammenhang analysierte das Gericht die von der Klägerin vorgelegten schriftlichen Vereinbarungen zwischen ihr und ihren Mitarbeitern. Hierbei wurde zunächst festgestellt, dass nicht alle Beschäftigten eine entsprechende Vereinbarung inkl. Einwilligung unterzeichnet hatten. Soweit Einwilligungen erteilt worden waren, sah das Gericht das Problem darin, dass die Beschäftigten zuvor nicht umfassend informiert worden waren. Sie hätten damit keine „informierte“ Einwilligung abgegeben.
Im Ergebnis bestätigte das VG Lüneburg damit den von der Behörde erlassenen Bescheid. Die Entscheidung ist komplex. Dennoch kann man ihr „Leitlinien“ für den DSGVO-konformen Einsatz von GPS-Systemen in Firmenfahrzeugen entnehmen. Unternehmen, die den Einsatz solcher Systeme daher derzeit planen oder solche Systeme bereits im Einsatz haben, sollten die Ausführungen des Gerichtes zumindest mitberücksichtigen.
