Unerlaubtes Tracking von Mitarbeitern mit GPS

Am 17.01.2022 hat das Verwaltungsgericht Wiesbaden, 6.Kammer folgenden Entscheid zum GPS Tracking gefällt.

GERICHT: VG Wiesbaden 6. Kammer
DATUM: 17.01.2022
AKTENZEICHEN: 6 K 1164/21.WI
NORMEN: Art 5 DSGVO, Art 6 DSGVO, Art 58 DSGVO, § 26 BDSG
QUELLE / URTEIL: Bürgerservice Hessenrecht / GPS Tracking

Unerlaubtes Tracking von Mitarbeitern mit GPS

Um das GPS-Tracking ging es auch in einem Fall vor dem Verwaltungsgericht Wiesbaden in Deutschland (Urteil vom 17.01.2022, Az. 6 K 1164/21). Ein Unternehmen der Logistikbranche hatte GPS-Systeme in ihre 55 Firmenfahrzeuge eingebaut, um die Live-Standorts der Fahrzeuge, die Speicherung der Standortdaten und die Messung des Benzinverbrauchs zu erheben. Dabei wurden die Daten in der Cloud gespeichert. Das Unternehmen begründet diese Massnahme damit, dass das Geo-Tracking der Ortung einzelner Fahrzeuge diene, um Missbrauch und Diebstahl von Kraftstoff zu verhindern.

Die Mitarbeiter wurden über die Einführung des GPS-Trackings nicht informiert. Das Unternehmen stützte die Datenverarbeitung auf die Rechtsgrundlage der Einwilligung, die jedoch von den Mitarbeitenden nicht eingeholt wurde.

Der Datenschutzbeauftragte erfuhr von diesen Vorgängen und forderte das Unternehmen nach einer Prüfung des Sachverhaltes auf, das GPS-Tracking zu unterlassen und die erhobenen Daten zu löschen. Gegen diesen Bescheid des Hessischen Datenschutzbeauftragten erhob das Unternehmen Klage

Tatbestand: “wiedergegeben aus dem Urteil”

«Die Klägerin, ein Unternehmen der Logistikbranche mit 76 Beschäftigten, hat seit dem 01.04.2020 GPS-Systeme in die 55 Fahrzeuge der Firmenflotte eingebaut. Die Klägerin erhebt und speichert mit einem Software-Tool des Unternehmens A-Firma über eine SaaS-(Cloud-)Lösung Daten zum Tracking ihrer Firmenfahrzeuge. Die Software ermöglicht die Bestimmung des Live-Standorts von Fahrzeugen per GPS und die Speicherung der Standortdaten und misst den Benzinverbrauch. Ausserdem wird bei den 12 Fahrzeugen der Klägerin mit mehr als 7,5 t der Fahrtenschreiber gemanagt, wobei eine Zuordnung zum jeweiligen Inhaber der Fahrerkarte erfolgt. Die Fahrerkarte wird vom TÜV ausgestellt, enthält den Namen und das Geburtsdatum des Inhabers sowie eine individuelle Nummer. Die Daten der Fahrerkarte werden alle 28 Tage aus der Software gelöscht; die Daten der Lenk- und Ruhezeiten werden nach einem Jahr gelöscht. Im Übrigen erfolgt die Speicherung der Daten bei der Klägerin für 400 Tage.»

Die Daten werden per GPS an den Server der B-Firma gesendet, dort aufbereitet und können von der Klägerin auf der Website mit verschlüsseltem Zugang abgerufen werden. Der Standort des Servers ist unbekannt.

Gemäß dem Verzeichnis von Verarbeitungstätigkeiten vom 15.03.2021 dient das Geo-Tracking der Ortung einzelner Fahrzeuge, um bei Missbrauch und Diebstahl eingreifen zu können. Zudem sollen der Benzinverbrauch und der jeweilige Kraftstoffbestand in den Tanks überwacht werden, um Kraftstoffdiebstahl erkennen zu können. Für organisatorische Zwecke soll die Ortung der Fahrzeuge der Koordination von Sonderabholungen dienen.

Darüber hinaus wird im Rahmen der gesetzlichen Bestimmungen der sogenannte Massenspeicher monatlich ausgelesen und der Fahrtenschreiber gemanagt. Als Rechtsgrundlage werden in dem Verarbeitungsverzeichnis Art. 6 UA 1 Abs. 1 lit. a), c) und f) DS-GVO angegeben. Es handele sich um Profiling im Sinne von Art. 4 Abs. 3 DS-GVO hinsichtlich des Aufenthaltsorts.

Entscheid

Das VG Wiesbaden wies die Klage ab, weil das Unternehmen die Daten ohne Rechtsgrundlage verarbeitet habe. Weder liege eine wirksame Einwilligung der Beschäftigten vor, noch habe das Unternehmen ein berechtigtes Interesse an der Datenverarbeitung i. S. d. Art. 6 Abs. 1 S. 1 lit. f DSGVO.

Der von GPS Tracking-Systeme durch die Klägerin verfolgte Zweck «Schutz vor Missbrauch und Diebstahl» sei nachvollziehbar und verständlich. Das Gericht wies jedoch darauf hin, dass die Installation von Tracking-Systemen den Diebstahl selbst nicht verhindern könne. Sie ermögliche nur das Wiederauffinden der Fahrzeugs, ohne dass dazu eine Speicherung der Standortdaten erforderlich sei. Die Datenspeicherung sei damit unverhältnismässig.

Augen auf bei Mitarbeiterdaten!

Dieses Urteil zeigt, worauf bei der Verarbeitung von Mitarbeiterdaten zu achten ist. Insbesondere die Standortdatenerfassung von Beschäftigten ist ein sensibles Thema. Die Betroffenen nicht zu informieren, zeugt von fahrlässigem Vorgehen beim Datenschutz. Möglicherweise ist dies auch ein Hinweis darauf, dass man die Mitarbeiter bewusst nicht informieren wollte. Auch die Speicherdauer könnte darauf hinweisen, dass das Unternehmen keine ordnungsgemässe datenschutzrechtliche Überprüfung des Vorgehens vorgenommen hatte.