Das Verwaltungsgericht Lüneburg hat mit Teilurteil vom 19.03.2019, AZ 4 A 12/19, darüber entschieden, wann die GPS-Ortung von Beschäftigten zulässig ist.
Sachverhalt
Im Unternehmen der späteren Klägerin, waren mehrere Hundert Personen beschäftigt. Lediglich in einigen wenigen Fahrzeugen hatte die Klägerin GPS-Ortungssysteme eingebaut. Mittels dieser Systeme wurde jede gefahrene Fahrtstrecke einschließlich Fahrzeiten aufgezeichnet und für einen Zeitraum von 150 Tagen gespeichert. Über die Kennzeichen konnte die Klägerin die Fahrzeuge einzelnen Beschäftigten zuordnen. Die private Nutzung der Fahrzeuge duldete die Klägerin zumindest bei einzelnen Beschäftigten. Eine Deaktivierung der GPS-Ortung war den Beschäftigten nicht über einen einfachen Abschaltmechanismus, sondern nur mit erheblichem Aufwand möglich.
Eine der Beschäftigten der Klägerin beschwerte sich bei der zuständigen Landesdatenschutzbeauftragten. Die Datenschutzaufsichtsbehörde gab der Klägerin nach erfolgter Anhörung auf, das GPS-Ortungssystem künftig so zu gestalten, dass eine personenbezogene Ortung während der ordnungsgemäßen betrieblichen Nutzung der Fahrzeuge nicht erfolgt. Eine Ortung im Falle eines Diebstahls bleibe möglich.
Die Klägerin wehrte sich gegen den Bescheid: Die GPS-Ortung sei erforderlich, um Touren zu planen, Mitarbeiter und Fahrzeuge zu koordinieren, Nachweise gegenüber den Auftraggebern zu erbringen, Diebstahlsschutz zu gewährleisten und eventuell gestohlene Fahrzeuge aufzufinden und um schließlich das Wochenendfahrverbot und das Verbot von Privatfahrten zu überprüfen. Überdies hätten einzelne der betroffenen Beschäftigten in die Datenverarbeitung eingewilligt. Genauere Erläuterungen zu Art und Umfang der Datenverarbeitungen blieb die Klägerin indes sowohl im aufsichtsbehördlichen Verfahren als auch in dem von ihr angestrengten Verwaltungsgerichtsverfahren trotz mehrmaliger Aufforderung schuldig. Sie gab lediglich an, die gespeicherten Daten nicht regelmäßig, sondern allenfalls 3-4 Mal pro Jahr für die genannten Zwecke tatsächlich auszuwerten.
Die Entscheidung des Gerichts
Das VG Lüneburg hält die Verfügung der Datenschutzaufsichtsbehörde für rechtmäßig und weist die hiergegen gerichtete Klage ab. Die Erhebung und Speicherung von Standort-, Bewegungs- und Zeitdaten durch ein GPS-Ortungssystem stellt eine datenschutzrelevante Verarbeitung im Sinne des Art. 4 Nr. 2 Datenschutzgrundverordnung (DSGVO) dar. In diesem Zusammenhang können Kennzeichen der Fahrzeuge den einzelnen Beschäftigten für die Dauer ihrer Nutzung zugeordnet werden. Denn die im System hinterlegten Kennzeichen der Fahrzeuge seien einzelnen Beschäftigten für die Dauer der Nutzung des betreffenden Fahrzeugs zugeordnet.
Die Datenverarbeitung sei nicht erforderlich für Zwecke des Beschäftigungsverhältnisses, § 26 Abs. 1 S. 1 Hs. 1 BDSG. Entscheidend sei eine Abwägung der Interessen des Arbeitgebers mit denen der Beschäftigten. Eine Überprüfung des Wochenendfahrverbots und des Verbots von Privatfahrten könne, soweit nicht ohnehin die private Nutzung geduldet werde, durch eine Schlüsselabgabe und das Führen von Fahrtenbüchern sichergestellt werden. Zur Diebstahlprävention sei die GPS-Ortung bereits ungeeignet. Das Auffinden gestohlener Fahrzeuge erfordere nicht die ständige Speicherung von Ortungsdaten, zumal nicht für 150 Tage. Für die zukunftsorientierte Tourenplanung sei ein Rückgriff auf zurückliegende Fahrten unerheblich. Die Koordination von Beschäftigten sei im Reinigungsgewerbe nicht zeitkritisch und daher ggf. auch telefonisch zu erledigen. Für Nachweise gegenüber Auftraggebern sei die bloß örtliche Anwesenheit nicht aussagekräftig.
Das Gericht lässt ausdrücklich offen, ob im Beschäftigungskontext neben § 26 BDSG eine Anwendung allgemeiner Erlaubnistatbestände der DSGVO in Frage kommt, denn jedenfalls verlangten auch diese eine „Erforderlichkeit“ der Datenverarbeitung für den jeweils verfolgten Zweck.
Die Einwilligungen der Beschäftigten seien unwirksam, weil keine hinreichenden Informationen erteilt worden wären und es an einem Hinweis auf die Widerruflichkeit gefehlt hätte. Auf die Frage, ob eine Einwilligung überhaupt freiwillig hätte erteilt werden können (§ 26 Abs. 2 BDSG), komme es daher für die Entscheidung nicht mehr an.
Fazit
Das Gericht führt aus, dass nicht jede Nutzung zulässig ist, im zu entscheidenden Fall war sie es nicht. Der Bescheid sei geeignet die Datenverarbeitung künftig in den Einklang mit den geltenden Datenschutzgesetzen zu bringen und es sind auch keine milderen Mittel ersichtlich. Außerdem zeigt es insoweit auf, wie die Einwilligung gestaltet sein müsste. Ob der Einsatz von personenbezogener GPS-Ortung von Fahrzeugen gegen das Datenschutzrecht verstößt, ist vom konkreten Einzelfall und von einer zweckorientierten Interessenabwägung abhängig. Es wird außerdem gut veranschaulicht, dass es nicht nur auf die Verarbeitung an sich ankommt, sondern ganz entscheidend auch auf den Zweck und die Umstände der Verarbeitung.
Wer personenbezogene GPS-Ortungssysteme in seinem Unternehmen einsetzen möchte, sollte sich dementsprechend rechtlich beraten lassen um DSGVO-Verstöße zu vermeiden