GPS-Tracking von Dienstfahrzeugen

Unternehmen stellen regelmäßig einem Teil ihrer Belegschaft, beispielsweise Führungskräften oder Beschäftigten im Außendienst, Dienstfahrzeuge zur Verfügung. Dies kann als besondere Wertschätzung, als geldwerter Vorteil oder für bestimmte Zwecke wie Geschäftsreisen oder den Transport von Arbeitsgeräten geschehen. Daraus können sich datenschutzrechtliche Fallstricke ergeben, wenn diese Fahrzeuge mit Global-Positioning-System-Sendern (im Folgenden „GPS-Sendern“) ausgestattet sind, wie es bei neueren Fahrzeugmodellen ab Werk üblich ist, sodass ihr Standort per App oder auf andere Weise verfolgt werden kann. Nicht selten wird hierbei übersehen, dass der sachliche Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) greift, wenn personenbezogene Daten in einem Dateisystem gespeichert sind oder ganz oder teilweise automatisiert verarbeitet werden sollen (Art. 2 Abs. 1 DSGVO). Nach Art. 4 Nr. 1 DSGVO sind Daten personenbezogen, wenn sie sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; es reicht aus, wenn die betroffene Person direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einem Identifikator wie Standortdaten. GPS-Tracking erfasst zunächst nur Daten zum Standort des GPS-Senders. Sobald jedoch ein Dienstfahrzeug bestimmten Beschäftigten oder einer begrenzten Gruppe von Personen zugewiesen wird, werden die Standortdaten personenbezogen. Diese Standortdaten lassen sich somit nutzen, um Rückschlüsse auf den Aufenthaltsort und das Fahrverhalten des jeweiligen Beschäftigten zu ziehen. So kann ein umfassendes Bewegungsprofil des Beschäftigten entstehen. Sind Dienstfahrzeuge mit GPS-Sendern ausgestattet und haben Unternehmen Zugriff auf diese (personenbezogenen) Daten, sind sie daher verpflichtet, eine tragfähige Rechtsgrundlage für die Verarbeitung dieser Daten zu finden und die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 Abs. 1 DSGVO einzuhalten.  

Rechtsgrundlage 

Die Verarbeitung personenbezogener Daten unterliegt einem präventiven Verbot mit Erlaubnisvorbehalt und muss daher auf eine Rechtsgrundlage gestützt werden können. Der Katalog des Art. 6 Abs. 1 DSGVO bietet zwei Rechtsgrundlagen, die zur Rechtfertigung des GPS-Trackings herangezogen werden können. Aufgrund des Über-/Unterordnungsverhältnisses im Beschäftigungskontext er­geben sich bisweilen jedoch besondere Herausforderungen.

Einwilligung

Eine mögliche Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO. Eine wirksame Einwilligung erfordert ein Einverständnis des Beschäftigten in informierter Weise, freiwillig und auf einen bestimmten Fall bezogen. Sind Dienstfahrzeuge mit GPS-Sendern ausgestattet, müssen Arbeitgeber ihren Beschäftigten daher bereits vor der Schlüsselübergabe umfassend darüber informieren, ob und wenn ja, unter welchen Bedingungen und zu welchem Zweck Standortdaten erhoben werden (oder werden können), wann der GPS-Sender aktiviert ist und Standortdaten erhebt, wer Zugriff auf die Daten hat und welche Löschfristen gelten. Ferner ist eine Einverständniserklärung in Form einer ausdrücklichen Erklärung oder einer eindeutig bestätigenden Handlung notwendig. Ein bloßer Diensthinweis, das ein GPS-Tracking stattfindet, dokumentiert lediglich die Einhaltung der Informationspflichten und reicht selbst dann nicht aus, wenn Beschäftigte diesen Hinweis unterzeichnen müssen. Vielmehr muss dem Dokument unmissverständlich zu entnehmen sein, dass der Beschäftigte mit dem GPS-Tracking einverstanden ist. Bei einigen Fahrzeugmodellen lassen sich GPS-Sender manuell ein- und ausschalten, etwa über eine App. In diesem Fall könnte die Aktivierung des GPS-Senders durch den Beschäftigten als eindeutige Einwilligungserklärung gewertet werden. Hat der Beschäftigte sein Einverständnis wirksam erklärt, muss durch den Arbeitgeber gewährleistet werden, dass dieser seine Einwilligung jederzeit widerrufen kann. Über dieses Widerrufsrecht muss ebenfalls im Vorfeld informiert werden.

Im Beschäftigungskontext gelten gemäß § 26 Abs. 2 BDSG aufgrund des Abhängigkeitsverhältnisses strengere Anforderungen an die Freiwilligkeit der Einwilligung. Indizien für die Freiwilligkeit sind das Erreichen eines rechtlichen oder wirtschaftlichen Vorteils des Beschäftigten oder gleichgelagerte Interessen mit dem Arbeitsgeber. Ist die Nutzung des Dienstfahrzeugs also beispielsweise mit einer Gehaltserhöhung oder der Erlaubnis zur Nutzung für Privatfahrten verbunden, kann durchaus eine freiwillige Einwilligung vorliegen. Sobald für den Beschäftigten eine Drucksituation entsteht oder bei einer Verweigerung der Einwilligung Nachteile zu befürchten sind, ist Freiwilligkeit ausgeschlossen. Bei einer flächendeckenden Überwachung könne jedenfalls nicht von einer Freiwilligkeit ausgegangen werden (vgl. 1. Tätigkeitsbericht 2018 des Thüringer LfD).

Folglich muss der Arbeitgeber bei der Abfrage einer Einwilligung gewährleisten, dass der Beschäftigte eine unmissverständliche und freiwillige Erklärung abgibt. 

Berechtigtes Interesse

Womöglich könnte der Arbeitsgeber ein berechtigtes Interesse an der Verwendung des GPS-Tracking haben, Art. 6 Abs. 1 lit. f) DSGVO. Es kommen verschiedene berechtigte Interessen in Betracht, die vom Arbeitgeber mit dem GPS-Tracking verfolgt werden. Denkbar ist etwa der Schutz vor Straftaten, die Sicherheit der Beschäftigten bei Gefahrguttransporten, eine optimale Streckenplanung, eine Auftragsvergabe nach Standortnähe oder der Nachweis von geleisteter Arbeit für die Abrechnung (gegenüber dem Kunden).

Allerdings ist bereits fraglich, ob das GPS-Tracking zur Erreichung des jeweiligen Zwecks erforderlich ist und nicht auf mildere Mittel zurückgegriffen werden kann. Möchte sich der Arbeitgeber davor schützen, Opfer einer Straftat oder einer schwerwiegenden arbeitsrechtlichen Pflichtverletzung zu werden, so muss ein Verdacht hinsichtlich eines tätigkeitsbezogenen Deliktes – wie beispielsweise Diebstahl – bestehen. Darüber hinaus muss sich der Verdacht auf einen individualisierbaren Kreis von Beschäftigten begrenzen. Es müssen also konkrete Anhaltspunkte vorliegen, dass ein (begrenzter Kreis) Beschäftigter möglicherweise eine Straftat begehen wird. In der Rechtsprechung wird das GPS-Tracking für einen präventiven Diebstahlsschutz als „völlig ungeeignet“ beschrieben (vgl. LG Lüneburg, Teilurt. v. 19.03.2019 – 4 A 12/19, VG Wiesbaden, Urt. v. 17.01.2022 - 6 K 1164/21. WI). Lediglich eine Echtzeit-Beobachtung der Standortdaten entfalte eine Abschreckungswirkung und halte Täter von ihrer Tathandlung ab, nicht hingegen die Speicherung von Standortdaten. Sofern ein Dienstfahrzeug oder darin befindliche Arbeitsgeräte bereits entwendet wurden, sei repressiv eine punktuelle Erhebung der Standortdaten ausreichend. Eine Speicherung der Daten dürfe demgegenüber nicht erfolgen. Liegt das Interesse des Arbeitgebers darin, die Standortdaten für eine zukunftsorientierte und optimierte Streckenplanung zu nutzen, seien nach der Rechtsprechung aktuelle und vergangene Standortdaten veraltet und somit nutzlos. Für einen Nachweis geleisteter Arbeit gebe es mildere Mittel wie manuelle Fahrtenbücher, Abnahme- oder Empfangsbestätigungen durch den Kunden sowie Aktenvermerke. In bestimmten Arbeitsbereichen, etwa beim Winterdienst oder der motorisierten Straßenaufsicht, könne das GPS-Tracking hingegen erforderlich sein, um die abgefahrenen Räumungs- und Streutouren zu dokumentieren (vgl. 1. Tätigkeitsbericht 2018 des Thüringer LfD). Allerdings müsse die Dokumentation (zur Abwehr möglicher Ansprüche) ausschließlich nachweisen, dass irgendein Dienstfahrzeug die Tour zu einem bestimmten Zeitpunkt erledigt hat und die Herstellung eines Personenbezugs sei wiederum nicht erforderlich. Insoweit ist aber auch der Anwendungsbereich der DSGVO nicht eröffnet. Die Erforderlichkeit eines Personenbezugs besteht hingegen bei der Vergabe dringender Aufträge nach Standortnähe, wie etwa bei Notdiensten. Dabei sei nicht nur festzustellen, welches Rettungsfahrzeug sich in nächster Nähe zum Unfallort befindet; die Fahrzeuginsassen müssten auch kontaktiert und über die bevorstehende Aufgabe informiert werden. Sofern das GPS-Tracking für die Sicherheit des Beschäftigten bei Gefahrgut- oder Geldtransporten eingesetzt wird, ist die Erhebung der Standortdaten erforderlich. Immerhin unterliegt der Arbeitgeber Fürsorgepflichten und auch die Interessen des Beschäftigten selbst werden gewahrt.

Schließlich sollten bei der Abwägung der Interessen des Unternehmens mit denen der Beschäftigten die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen. Abhängig von der konkreten Ausgestaltung des GPS-Trackings entsteht ein umfassendes Bewegungsprofil des Beschäftigten. Insbesondere bei der Erlaubnis zur privaten Nutzung können mit den Standortdaten die Aufenthalts- und Übernachtungsorte, familiäre Besuche, Arztbesuche und persönliche Gewohnheiten ermittelt werden. Diese Informationen sind der Privatsphäre oder sogar der Intimsphäre zuzuordnen und die Schutzinteressen des Beschäftigten sind dementsprechend hoch.
Infolgedessen sollten Arbeitgeber die Erforderlichkeit des GPS-Trackings zur Wahrung ihres berechtigten Interesses konkret hinterfragen und die betroffene Privat- oder Intimsphäre des Beschäftigten schützen.

Die Einbeziehung des Betriebsrates 

In Unternehmen mit einem Betriebsrat besteht gem. § 88 Abs. 2 DSGVO i. V. m. § 26 Abs. 4 BDSG zudem die Möglichkeit, das GPS-Tracking durch eine Betriebsvereinbarung zu rechtfertigen. In jedem Fall ist das Mitbestimmungsrecht des Betriebsrats aus § 87 Abs. 1 Nr. 6 BetrVG i. V. m. § 26 Abs. 6 BDSG zu beachten. Sofern kein Betriebsrat besteht, sei alternativ eine schriftliche Selbstbindungserklärung des Arbeitsgebers oder aber ein Annex zum individuellen Arbeitsvertrag denkbar (vgl. 24. Tätigkeitsbericht 2019 des LfD NRW).

Vereinbarkeit mit den Grundsätzen des Datenschutzrechts

Kann das GPS-Tracking auf eine Rechtsgrundlage gestützt werden, muss die technische Ausgestaltung zusätzlich mit den allgemeinen Grundsätzen des Datenschutzrechts aus Art. 5 DSGVO vereinbar sein.

Nach dem Grundsatz der Transparenz gem. Art. 5 Abs. 1 lit. a) DSGVO müssen die Standortdaten in einer für den Beschäftigten nachvollziehbaren Weise verarbeitet werden. Der Arbeitgeber muss unabhängig von der Rechtsgrundlage – nicht nur bei der Abfrage einer Einwilligung – umfassende Informationspflichten erfüllen. Ein heimliches GPS-Tracking ist somit grundsätzlich unrechtmäßig; Ausnahmen können bei der Aufdeckung von Straftaten bestehen. Ein zentraler Grundsatz des Datenschutzrechts ist die Zweckbindung. Die Standortdaten müssen für festgelegte, eindeutige und legitime Zwecke verarbeitet werden. Jedenfalls bei einer Dauerüberwachung fehlt es regelmäßig an einem eindeutigen Zweck für das GPS-Tracking. Erlaubt der Arbeitgeber die Nutzung des Dienstfahrzeuges auch für private Fahrten, ist deren Überwachung in der Regel nicht von einem unternehmerischen Zweck umfasst, sodass eine technische Möglichkeit zum Ausschalten des GPS-Senders vorhanden sein sollte. Besteht keine solche Möglichkeit, sollte geprüft werden, ob dem Arbeitnehmer der alleinige Zugriff auf die Tracking-App oder die sonstige Ortungsmöglichkeit gewährt werden kann. Andernfalls könnte auch das familiäre Umfeld des Beschäftigten von der Überwachung betroffen sein. Eng hiermit verbunden steht der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c) DSGVO, wonach die Datenverarbeitung dem Zweck angemessen und erforderlich und auf das für die Zwecke notwendige Maß beschränkt sein muss. Oftmals können die angestrebten Zwecke auch durch mildere Mittel erreicht werden. In Betracht kommt die Führung eines manuellen Fahrtenbuchs oder die Erhebung der Standortdaten bei dem Beschäftigten selbst, beispielsweise durch einen Anruf. Des Weiteren ist der Grundsatz der Speicherbegrenzung zu wahren. Demnach dürfen die Standortdaten nur so lange gespeichert werden, wie es für die Verarbeitungszwecke erforderlich ist. In den meisten Fällen ist eine Speicherung der Daten nicht oder nur für einen kurzen Zeitraum erforderlich und ein Live-Tracking ausreichend. Wie bereits zuvor ausgeführt, ist nach der Ansicht der Rechtsprechung eine Speicherung zu Zwecken des Diebstahlsschutzes ungeeignet. Gleiches kann für die Auftragsvergabe nach Standortnähe angenommen werden. Bei Winterdiensten dürfte eine kurze Speicherdauer von 24 Stunden ausreichend sein. Schließlich muss der Arbeitsgeber den Einsatz von GPS-Tracking hinreichend dokumentieren und in das Verzeichnis der Verarbeitungstätigkeiten aufnehmen. Angesichts des erstellbaren Be­we-
­gungs­profils und der möglichen Entscheidungsfindung des Arbeitsgebers auf Grundlage der Standortdaten ist von diesem eine Datenschutz-Folgenabschätzung gem. Art. 35 DSGVO durchzuführen.

Betroffenenrechte

Wird das GPS-Tracking vom Arbeitgeber möglicherweise unrechtmäßig verwendet, so stehen dem Beschäftigten verschiedene Rechte zu. Wurde eine Einwilligung erhoben, kann diese jederzeit widerrufen werden. Empfehlenswert ist zunächst, sich an den Betriebsrat zu wenden und dadurch ein rechtmäßiges GPS-Tracking zu erwirken. Führt dies zu keinem zufriedenstellenden Ergebnis oder besteht kein Betriebsrat, kann eine Auskunftsanfrage an den Arbeitgeber gestellt werden. Selbstverständlich ist darüber hinaus auch eine Beschwerde bei der zuständigen Aufsichtsbehörde oder als letztes Mittel eine Klageerhebung möglich.

Fazit

Unternehmen möchten einigen ihrer Beschäftigten in der Regel eine besondere Anerkennung zukommen lassen oder ihnen einen Vorteil bieten, indem sie ihnen einen Dienstwagen zur Verfügung stellen. Sind in diesen Fahrzeugen jedoch GPS-Sender installiert, lassen die Standortdaten Rückschlüsse auf den Aufenthaltsort des jeweiligen Beschäftigten zu und stellen somit personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO dar. Arbeitgeber unterliegen dann grundsätzlich dem Anwendungsbereich der DSGVO gemäß Art. 2 Abs. 1 DSGVO. Bei werkseitig eingebauten GPS-Sendern erkennen Arbeitgeber dies oftmals nicht. Hier ist besondere Vorsicht geboten. In solchen Fällen können Arbeitgeber ihren Beschäftigten nicht ohne Weiteres Dienstwagen überlassen, sondern müssen ein Konzept entwickeln, wie mit diesen (teilweise automatisch) erhobenen Standortdaten datenschutzkonform umgegangen werden kann. Insbesondere ist es wichtig, im Voraus zu prüfen oder, wenn eine GPS-Ortung beabsichtigt ist, festzulegen, wann und zu welchen Zwecken Standortdaten abgerufen werden dürfen, und zu überlegen, wie dies den Arbeitnehmern mitgeteilt wird. Damit stellt sich die Frage nach der datenschutzrechtlichen Grundlage für die GPS-Ortung von Fahrzeugen. Eine mögliche Rechtsgrundlage kann die Einwilligung der Beschäftigten bieten, wobei der Arbeitgeber bei der Abfrage gewährleisten muss, dass der jeweilige Beschäftigte eine unmissverständliche und freiwillige Erklärung abgibt. Ist das GPS-Tracking mit einem Vorteil – beispielsweise mit einer Gehaltserhöhung oder der Erlaubnis zur privaten Nutzung – verbunden, ist von einer freiwilligen Erklärung auszugehen. Alternativ könnte der Arbeitgeber das GPS-Tracking auf ein berechtigtes Interesse stützen. Dabei ist häufig entweder das (dauerhafte) GPS-Tracking oder der Personenbezug nicht erforderlich, sodass der Arbeitgeber die Erforderlichkeit des GPS-Trackings konkret hinterfragen sollte. Zudem ist das Schutzbedürfnis des Beschäftigten zu berücksichtigen, dass aufgrund der umfassenden Bewegungsprofile, die beim GPS-Tracking entstehen können, hoch angesiedelt ist.

Das GPS-Tracking muss darüber hinaus den Grundsätzen des Datenschutzrechts entsprechen. Insbesondere sollte keine anlasslose oder dauerhafte Überwachung stattfinden. Ist die Nutzung des Dienstfahrzeugs für private Fahrten gestattet, sollte es dem Beschäftigten technisch möglich sein, den GPS-Sender zu deaktivieren. Bei Fahrzeugen ohne eine solche Abschaltvorrichtung sollte geprüft werden, ob die Standortverfolgung auf andere Weise deaktiviert werden kann, etwa indem die Ortungs-App mit einem Passwort geschützt wird, das nur dem Beschäftigten bekannt ist. Hat der Arbeitgeber hingegen ein Interesse an den Standortdaten der Fahrzeuge, sollte er prüfen, ob er seine Interessen mit alternativen Mitteln – zum Beispiel mit einem manuellen Fahrtenbuch oder persönlichen Standortabfragen beim Beschäftigten – verfolgen kann. Schließlich sollten die Erhebung der Standortdaten und die Speicherung dieser als selbstständige Verarbeitungsvorgänge einzeln bewertet werden; meist ist ein Live-Tracking ausreichend und die Speicherung alter Standortdaten überflüssig.