Am 25. Mai 2018 ist das neue Bundesdatenschutzgesetz (BDSG) in Kraft getreten. Die Datenschutz-Grundverordnung (DSGVO) der EU, die zwei Jahre zuvor verabschiedet wurde, bildet die Basis des neuen BDSG. Ziel ist es, die Erhebung, Speicherung und Verarbeitung von personenbezogenen Daten noch schärfer zu regeln. Laut DSGVO sind mit „personenbezogenen Daten“ alle Informationen gemeint, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das ist dann der Fall, wenn sie direkt oder indirekt durch das Zuordnen von Kennungen wie Namen, Nummern oder auch Standortdaten identifiziert werden kann. Bei letzterem Punkt beginnen für Nutzer von Telematik-Systemen die Alarmglocken zu läuten. Denn da die meisten dieser Produkte über GPS laufen, kann mit der Technik jederzeit der geografische Standort des Fahrzeugs und in diesem Zuge dann auch der Aufenthaltsort des Fahrers exakt bestimmt werden. Mitunter geht die Informationsfülle sogar so weit, dass ein Arbeitgeber in der Lage ist den Fahrtweg seines Beschäftigten, dessen Pausen bis hin zum Fahrverhalten zu kontrollieren. Somit stellen sich beide Parteien gleichermaßen die Frage: Ändert sich mit dem erstmals EU-weiten Datenschutzrecht etwas an der bisherigen Rechtslage?
„Nach meinen Einschätzungen haben die jüngsten Gesetzesänderungen zum Datenschutz im Grundsatz nicht viel an der Rechtslage geändert“, gibt Prof. Dr. Thomas Petri, seit 2009 Landesbeauftragter für Datenschutz in Bayern, als Antwort. Bereits seit längerem beschäftigt er sich dabei auch mit der Erhebung personenbezogener Daten mittels Ortungssysteme, mit denen vermehrt kommunale Bauhoffahrzeuge ausgestattet werden, „zur optimalen Organisation des Betriebsablaufs – etwa bei der Planung und Steuerung der Straßenreinigungs-/-pflegearbeiten oder des Winterdienstes“. Werden hierbei personenbezogene Daten erhoben, verarbeitet und genutzt, dann sei das von Gesetzes wegen nicht ohne weiteres zulässig. Es gebe aber die Möglichkeit, sich die Einwilligung der oder des Betroffenen zu holen. Damit diese datenschutzgerecht ist, muss sie freiwillig und in schriftlicher Form erfolgen. Darüber hinaus wird verlangt, dass der Betroffene, also der Angestellte, darüber informiert wird, welche Daten erhoben und gespeichert werden und wer letztlich Zugriff auf diese Daten hat. Laut dem Bayerischen Datenschutzgesetz steht jedem Betroffenen aber auch frei, diese Einwilligung zu verweigern oder nachträglich zu widerrufen, ohne dass damit nachteilige Konsequenzen verbunden sind. Ob das in einem Abhängigkeitsverhältnis wie dem zwischen Vorgesetzten und Beschäftigten auch wirklich so funktioniert, daran hat der bayerische Datenschutzbeauftragte seine Zweifel: „Bei der Ortung gibt es keinen Gleichklang der Interessen von Dienstherr und Beschäftigten, sodass ich jedenfalls für den Regelfall die Einwilligung von Beschäftigten nicht als geeignete Rechtsgrundlage akzeptieren würde.“
Der Zweck der Datenerhebung ist von Bedeutung
Ebenfalls von großer Bedeutung für die datenschutzrechtliche Zulassung eines Telematik-Systems ist der Zweck, der dahintersteckt. Es ist somit entscheidend, ob und inwieweit die mit dem Einsatz von Ortungssystemen verbundenen Datenerhebungen, -nutzungen und -verarbeitungen erforderlich sind, um damit Betriebsabläufe, wie beispielsweise den Personaleinsatz, zu optimieren. Dies sei nur dann der Fall, so Petri, „wenn die mit dem Einsatz der Ortungssysteme tatsächlich verbundenen Datenumgänge nicht nur die Aufgabenerfüllung des Dienstherrn objektiv unterstützen, fördern und beschleunigen, sondern auch zu den schutzwürdigen Interessen der Beschäftigten in einem angemessenen Verhältnis stehen“. Petri räumt aber auch ein, dass eine solche Beurteilung nicht für alle öffentlichen Stellen einheitlich und von vornherein möglich ist. Jeder Fall sollte deshalb einzeln für sich und am besten vor Ort abgeschätzt werden. Dies ist Aufgabe der zuständigen öffentlichen Stelle bzw. der oder des behördlichen Datenschutzbeauftragten. Sie sind es nämlich auch, die letztlich die schriftliche datenschutzrechtliche Freigabe erteilt und diese dann in das sogenannte Verfahrensverzeichnis mit aufnehmen – die Grundvoraussetzung, um dienstliche Fahrzeuge mit Telematik-Systemen, mit denen personenbezogene Daten gewonnen werden, ausstatten zu dürfen.
Eine wichtige Rolle spielt in diesem Zusammenhang auch der Personalrat. Denn er hat hier ein zwingendes Mitbestimmungsrecht. Der Grund: Telematik-Systeme sind generell dazu geeignet, das Verhalten oder die Leistung der Beschäftigten zu überwachen – auch wenn es im konkreten Fall dafür gar nicht eingesetzt werden soll. Aus „Transparenzgründen“ empfiehlt der bayerische Datenschutzbeauftragte außerdem, eine Dienstvereinbarung abzuschließen. Darin sollte unter anderem genau geregelt sein, zu welchem Zweck welche Daten in welchem Umfang mithilfe des Ortungssystems erhoben, verarbeitet oder genutzt werden. Gleiches gilt für die Personen, die Zugriff auf die gespeicherten Daten haben. Genaue Angaben über den Löschvorgang sollte die Dienstvereinbarung ebenfalls enthalten, genauso wie die Zusage, dass die Daten nicht zur permanenten und allgemeinen Verhaltens- oder Leistungskontrolle verwendet werden. „Zulässig sind allenfalls Anlasskontrollen im Falle eines durch konkrete Tatsachen begründeten Verdachts auf einen dienst-, arbeits-, straf- oder ordnungswidrigkeitrechtlichen Verstoß sowie anlasslose Stichproben“, erklärt Petri und ergänzt: „In diesen Fällen darf die Auswertung des Datenmaterials allerdings nur unter Beteiligung der Personalvertretung und des behördlichen Datenschutzbeauftragten vorgenommen werden.“
Kein permanenter Kontrolldruck
Völlig unzulässig ist auch eine Dauerüberwachung oder das Sammeln von personenbezogenen Daten auf Vorrat, da diese Methoden zu einem permanenten Kontrolldruck bei den Beschäftigten führen. Werden Dienstfahrzeuge zudem für private Zwecke genutzt, muss es möglich sein, während dieser Zeit das Ortungssystem zu deaktivieren. Sollen Ortungssysteme nur dazu dienen, den Diebstahl von Fahrzeugen zu verhindern, sei dies kein Problem, wenn die GPS-Ortung erst dann aktiv wird, wenn das Dienstfahrzeug gestohlen wurde. Denn dann werden schon keine personenbezogenen Daten eines Beschäftigten mehr erhoben.
Telematik-Hersteller reagieren unterschiedlich
Und was sagen Hersteller solcher Telematik-Technik zum neuen BDSG? „Schon seit Einführung der Telematik-Systeme ist der Datenschutz für uns ein Thema“, weiß Jürgen Potocnik von der MOBIWORX Telematik GmbH. Ein Grund dafür, warum die Überarbeitung des Gesetzes im Unternehmen nicht zu Verunsicherungen geführt hat. Wurde bislang eines ihrer Systeme in einem Fuhrpark verbaut, dann stets unter Einbindung des Personalrates. „Am Anfang schwebt bei vielen Mitarbeitern die Sorge vor einer Überwachung mit“, sagt Potocnik. Doch genau die soll den Mitarbeitern, im Gespräch mit dem Personalrat und dem Telematik-Hersteller, genommen werden – auch dadurch, dass hier die positiven Auswirkungen von Telematik-Systemen, wie beispielsweise die rechtliche Absicherung im Streitfall, verdeutlicht werden. Zudem wird offengelegt, welche Daten für welchen Zweck erhoben und gespeichert werden und wer Einsicht erhält. „Hier kommt es bei unseren Produkten auch darauf an, welche Ausführung der Kunde haben möchte“, erklärt Potocnik. So sind alle Telematik-Geräte des Unternehmens – angefangen beim einfachen MOBIDAT kompakt bis hin zum komplexen MOBIDAT smart – über eine PIN authentifizierbar. „Dahinter kann eine Person stecken, muss aber nicht“, so Potocnik weiter. Genauso gut gebe es die Möglichkeit, nur das Fahrzeug mit seinen Anbaugeräten zu verlinken. Und dann stellt sich immer noch die Frage, wie die Daten erhoben werden: Ob als Echtzeit-Verfolgung oder erst nach Ablauf von ein paar Tagen. „Es gibt auch Kunden, da müssen die Fahrer erst die Daten freigeben, bevor sie der Vorgesetzte weiterverarbeitet, zum Beispiel für interne Abrechnungen“, erläutert Potocnik.
Einen anderen Weg geht die Public Solutions EDV-Vertrieb GmbH. Sie versucht ihre Produkte schon vorneweg so zu konstruieren, dass sämtliche personenbezogenen Daten erst gar nicht mehr benötigt werden, wie Geschäftsführer Thomas Waechter berichtet. So werden bei den mobilen Versionen der BIS-Office Tagesberichtserfassung und dem Winterdienstnachweis die Daten mit einem sogenannten NFC-System verschlüsselt. Dabei erhält jeder Mitarbeiter einen Chip, mit dem er sich am Handy oder Tablet anmeldet. Sein Name wird ihm dabei zwar angezeigt, doch will jemand Fremdes diese Kennung ebenfalls sehen, hindert ihn daran eine 64-stellige Schlüsselnummer. Auf dem NFC-Chip selbst sind keine personenbezogenen Daten gespeichert, genauso wenig wie irgendwelche GPS-Daten, die bei einer Übertragung sichtbar werden könnten. Kommt es dennoch einmal zu einem Rechtsstreit, bei dem die personenbezogenen Angaben von Bedeutung sind, dann können diese auf der Windows-Version abgerufen werden, allerdings nur mithilfe eines Passwortes, das alleine der Mitarbeiter kennt. Es muss also automatisch seine Zustimmung geben. „Wir haben unser System bereits zertifizieren lassen“, berichtet Waechter.
Fazit: Datenschutz nicht auf die leichte Schulter nehmen
Zusammengefasst lässt sich sagen: Im Hinblick auf den Datenschutz gibt es derzeit noch keine zu 100 Prozent zufriedenstellende Vorgehensweise beim Einsatz von Telematik-Systemen. Jeder Fall muss gesondert geprüft werden. Wichtig dabei ist allerdings, dass offen mit den Mitarbeitern gesprochen wird und sich nicht das Gefühl einer Dauerüberwachung einschleicht. Und noch etwas sei gesagt: Auf die leichte Schulter sollten Unternehmen, die derartige Ortungssysteme nutzen, den Datenschutz auf keinen Fall nehmen. Das bestätigt auch der bayerische Datenschutzbeauftragte Petri: „Halten sich Bauhöfe nicht an diese rechtlichen Vorgaben und sind sie als öffentlich-rechtliches Wettbewerbsunternehmen tätig (das sind kommunale Eigenbetriebe häufig), riskieren sie schmerzhafte Bußgelder.“
Text: Jessica Gsell – Redaktion Bauhof-online.de
Bilder: MOBIWORX Telematik GmbH/Public Solutions EDV-Vertrieb GmbH/Pixabay
