Verwaltungsgericht Wiesbaden (Hessen, Verwaltungsgerichtsbarkeit)
Urteil vom 2022-01-17, Aktenzeichen 6 K 1164/21.WI
ECLI: ECLI:DE:VGWIESB:2022:0117.6K1164.21.WI.00

Tenor:
Die Klage wird abgewiesen.
Die Kosten des Verfahrens hat die Klägerin zu tragen.
Das Urteil ist hinsichtlich der Kosten vorläufig vollstreckbar. Die Klägerin darf die Zwangsvollstreckung durch Sicherheitsleistung in Höhe der festzusetzenden Kosten abwenden, falls nicht der Beklagte vor der Vollstreckung Sicherheit in entsprechender Höhe leistet.

Tatbestand:
Die Klägerin, ein Unternehmen der Logistikbranche mit 76 Beschäftigten, hat seit dem 01.04.2020 GPS-Systeme in die 55 Fahrzeuge der Firmenflotte eingebaut. Die Klägerin erhebt und speichert mit einem Software-Tool des Unternehmens A-Firma über eine SaaS-(Cloud-)Lösung Daten zum Tracking ihrer Firmenfahrzeuge. Die Software ermöglicht die Bestimmung des Live-Standorts von Fahrzeugen per GPS und die Speicherung der Standortdaten und misst den Benzinverbrauch. Außerdem wird bei den 12 Fahrzeugen der Klägerin mit mehr als 7,5 t der Fahrtenschreiber gemanagt, wobei eine Zuordnung zum jeweiligen Inhaber der Fahrerkarte erfolgt. Die Fahrerkarte wird vom TÜV ausgestellt, enthält den Namen und das Geburtsdatum des Inhabers sowie eine individuelle Nummer. Die Daten der Fahrerkarte werden alle 28 Tage aus der Software gelöscht; die Daten der Lenk- und Ruhezeiten werden nach einem Jahr gelöscht. Im Übrigen erfolgt die Speicherung der Daten bei der Klägerin für 400 Tage.
Die Daten werden per GPS an den Server der B-Firma gesendet, dort aufbereitet und können von der Klägerin auf der Website mit verschlüsseltem Zugang abgerufen werden. Der Standort des Servers ist unbekannt.
Gemäß dem Verzeichnis von Verarbeitungstätigkeiten vom 15.03.2021 dient das Geo-Tracking der Ortung einzelner Fahrzeuge, um bei Missbrauch und Diebstahl eingreifen zu können. Zudem sollen der Benzinverbrauch und der jeweilige Kraftstoffbestand in den Tanks überwacht werden, um Kraftstoffdiebstahl erkennen zu können. Für organisatorische Zwecke soll die Ortung der Fahrzeuge der Koordination von Sonderabholungen dienen.
Darüber hinaus wird im Rahmen der gesetzlichen Bestimmungen der sogenannte Massenspeicher monatlich ausgelesen und der Fahrtenschreiber gemanagt. Als Rechtsgrundlage werden in dem Verarbeitungsverzeichnis Art. 6 UA 1 Abs. 1 lit. a), c) und f) DS-GVO angegeben. Es handele sich um Profiling im Sinne von Art. 4 Abs. 3 DS-GVO hinsichtlich des Aufenthaltsorts.
In der Datenschutzfolgeabschätzung vom 15.03.2021 heißt es, es handele sich um eine Optimierung des Workflows, in dem die personenbezogenen Daten keine Rolle spielten bzw. überwiegend nicht erfasst würden.
Eine Information der Mitarbeiter über die Einführung des GPS-Trackings erfolgte nicht, ebenso wenig liegen Einwilligungen der Mitarbeiter vor.
Nachdem der Beklagte Informationen über einen möglichen Datenschutzverstoß durch die Klägerin erhielt, hörte er die Klägerin mit Schreiben vom 15.12.2020 und Frist zur Stellungnahme bis zum 18.01.2021 an und richtete eine Reihe von Fragen an die Klägerin. Der Beklagte wies die Klägerin darauf hin, dass er beabsichtige, die Klägerin nach Art. 58 Abs. 2 DS-GVO anzuweisen, ihre Mitarbeiterinnen und Mitarbeiter nach Art. 13 DS-GVO über das GPS-Tracking entsprechend zu informieren.
Mit Schreiben vom 17.03.2021 legte der beauftragte externe Datenschutzbeauftragte der Klägerin den Auftragsverarbeitungsvertrag, das Verzeichnis der Verarbeitungstätigkeiten zum Geo-Tracking inkl. der Datenschutzfolgeabschätzung vor. Er führte aus: Bei den 43 Fahrzeugen ohne Fahrtenschreiber lasse sich durch die Software keine Zuordnung auf den jeweiligen Fahrer herstellen. Die Verarbeitung sei nach Art. 6 Abs. 1 lit. a), c) und f) DS-GVO zulässig.
Mit Schreiben vom 15.04.2021 hörte der Beklagte die Klägerin ergänzend an. Eine Einwilligung der betroffenen Beschäftigten nach Art. 6 Abs. 1 UA 1 lit. a) DS-GVO, § 26 Abs. 2 BDSG liege nicht vor, diese sei aber auch nicht ausreichend, da die Einwilligenden in einem Abhängigkeitsverhältnis zur Klägerin stünden und ein jederzeitiges Widerrufsrecht haben müssten, was vorliegend nicht gegeben sei. Die Rechtfertigungsgründe des Art. 6 Abs. 1 UA 1 lit. c) und f) DS-GVO seien nicht erfüllt. Der Beklagte kündigte an, anzuordnen, die Erhebung von Fahrverhaltensdaten und eine Speicherung der Livedaten zu unterbinden, bislang erhobene Daten zu löschen, die Betroffenen umfassend zu informieren und ein Ordnungswidrigkeitenverfahren einzuleiten. Ferner wurde der Klägerin aufgegeben, mitzuteilen, von welchem Rechenzentrum aus die Cloud der Tracking-Anbieterin betrieben werde.
Mit (in der Behördenakte nur unvollständig aufgenommener) Stellungnahme vom 25.05.2021 äußerte sich die Klägerin, wobei sie die - zuvor bereits angekündigten - Einverständniserklärungen ihrer Mitarbeiter nicht vorlegte. Die Daten würden benötigt, um Routen zu planen und Aufträge effizient zu vergeben, spontane Aufträge zu koordinieren und Aufwände zu reduzieren. Kundenbeschwerden könne so entgegengetreten werden und der Nachweis für Lieferungen erbracht werden, insoweit stelle die Speicherung über 400 Tage angesichts längerer Verjährungsfristen die Untergrenze dar. Die Daten würden so auch zum Schutz der Mitarbeiter gespeichert.
Mit Bescheid vom 27.07.2021 forderte der Beklagte die Klägerin auf,
1. gemäß Art. 58 Abs. 2 Buchst. d DS-GVO das GPS-Tracking innerhalb von zwei Wochen ab Bestandskraft des Bescheides in Einklang mit der DS-GVO zu bringen, indem auf die Speicherung der GPS-Trackingdaten verzichtet wird und nur ein Live-Tracking der Daten erfolgt,
2. gemäß Art. 58 Abs. 2 Buchst. g) DS-GVO die bislang für Zwecke des GPS-Tracking erhobenen Daten innerhalb von zwei Wochen ab Bestandskraft des Bescheides zu löschen und die Löschung zu bestätigen,
3. gemäß Art. 58 Abs. 2 Buchst. c) DS-GVO die Fahrer der eingesetzten 55 Fahrzeuge gemäß der Vorgaben aus dem Bescheid und des Art. 13 DS-GVO innerhalb von zwei Wochen ab Bestandskraft des Bescheides über das seit 01.04.2020 angewandte Verfahren des GPS Tracking umfassend zu informieren und ein Exemplar der Information dem Beklagten zur Verfügung zu stellen,
4. gemäß Art. 58 Abs. 1 Buchst. a) DS-GVO dem hessischen Beauftragten für ein aktualisiertes Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DS-GVO und eine aktualisierte Datenschutz-Folgeabschätzung gemäß Art. 35 DS-GVO innerhalb von zwei Wochen ab Bestandskraft des Bescheides vorzulegen.
Zu Ziff. 1 führte der Beklagte aus, das genutzte Tracking-System verstoße gegen Art. 5, 6 DS-GVO und § 26 BDSG, da es unverhältnismäßig sei.
Zwar sei der erstgenannte Zweck – Effizienzsteigerung – anzuerkennen und das GPS-Tracking auch geeignet für die Zweckerreichung. Es stelle aber nicht das mildeste Mittel dar, denn es genüge insoweit die Erhebung der Livedaten, wenn auf kurzfristige Aufträge reagiert werden oder eine Route optimiert werden müsse.
Der Zweck „Schutz vor Diebstählen“ könne mit der Speicherung der Daten bereits nicht erreicht werden, weil durch die Software ein Diebstahl nicht verhindert werde und Gegenmaßnahmen zu einem Diebstahl (Einschalten der Polizei, Deaktivierung des Fahrzeugs) nur den (anlassbezogenen) Zugriff auf den Live-Standort benötigten.
Hinsichtlich der Vermeidung und Ahndung von Kraftstoffdiebstahl durch die Fahrer sei die Datenspeicherung unverhältnismäßig. Eine verdeckte, präventive, anlasslose und allgemeine Überwachung ohne Anfangsverdacht widerspreche der Rechtsprechung des BAG. Eine anlassbezogene, auf einen dokumentierten Anfangsverdacht gestützte Überwachung sei zwar möglich; einen solchen Verdacht habe die Klägerin aber nicht dargelegt. Die erstmals im Verwaltungsverfahren als Zweck benannte Sicherung von Beweisen bei Kundenbeschwerden zum Nachweis der Leistungserbringung könne mit der Speicherung der Standortdaten nicht erreicht werden (VG Lüneburg, Teilurteil vom 19. März 2019 – 4 A 12/19 –, juris).
Eine Einwilligung komme im Übrigen nicht als Rechtfertigungsgrund in Betracht, da die Beschäftigten der Klägerin zu dieser in einem Abhängigkeitsverhältnis stünden und daher nicht von der Freiwilligkeit der Einwilligung auszugehen sei.
Zu Ziff. 2 führt der Beklagte aus, die Speicherung der Daten stelle sich mangels Vereinbarkeit mit DS-GVO und BDSG als rechtswidrig dar, sodass die Löschung geboten sei.
Die Klägerin hat mit Schriftsatz vom 3. September 2021, am selben Tag bei Gericht eingegangen, Klage erhoben.
Zur Begründung macht sie im Wesentlichen geltend, dass die Speicherung der Daten insbesondere zu Beweissicherungszwecken erforderlich sei, was auch im Interesse der Mitarbeiter sei. Ferner habe sie für die Behörde eine Einverständniserklärung mit Widerrufsmöglichkeit entworfen, zu der die Behörde keine Stellung bezogen habe. Eine Speicherung der Daten erfolge schließlich lediglich hinsichtlich des Fahrzeuges und die Daten dienten nicht zur Überwachung der Mitarbeiter.
Die Klägerin beantragt,
den Bescheid des hessischen Beauftragten für vom 02.08.2021, zugegangen am 04.08.2021, aufzuheben.
Der Beklagte beantragt,
die Klage abzuweisen.
Er führt zur Begründung aus, nach Art. 5 Abs. 1 lit. a) DS-GVO müssten personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben sowie in einer für die betroffenen Personen nachvollziehbaren Weise verarbeitet werden. Weiter sei nach Art. 6 Abs. 1 DS-GVO die Verarbeitung rechtmäßig, wenn mindestens eine der in den lit. a) bis f) genannten Bedingungen erfüllt sei. Hinsichtlich des GPS-Tracking sowie der damit einhergehenden Speicherung personenbezogener Daten der Fahrer kämen als mögliche Rechtsgrundlagen insbesondere § 26 Abs. 1 Satz 1 BDSG (Durchführung des Beschäftigungsverhältnisses) sowie Art. 6 Abs. 1 UA 1 lit. f) DS-GVO (berechtigtes Interesse des Verantwortlichen oder eines Dritten) in Betracht.
Nach Maßgabe beider Vorschriften sei erforderlich, dass die Datenverarbeitung zur Erreichung des hiermit verfolgten Zwecks erforderlich ist, wobei eine Prüfung am Maßstab des Verhältnismäßigkeitsgrundsatzes erforderlich sei. Im Rahmen dieser Prüfung seien insbesondere die widerstreitenden Interessen, hier zum einen der durch die Klägerin verfolgte Zweck sowie die Interessen der Beschäftigten zur Herstellung praktischer Konkordanz abzuwägen und zu einem Ausgleich zu bringen. Der von der Klägerin verfolgte Zweck, das GPS-Tracking zur Effizienzsteigerung einzusetzen, könne zwar als legitimer Zweck gelten und der Einsatz des GPS-Tracking könne auch zur Verwirklichung dieses Zweckes geeignet sein. Es handele sich hierbei jedoch nicht um das mildeste aller gleich effektiv zur Verfügung stehenden Mittel. Zur Erreichung des Zwecks „Effizienzsteigerung“ sei eine flüchtige Momentaufnahme, d.h. Live-Daten, ausreichend. Eine Speicherung der Daten sei für den beabsichtigten Zweck, namentlich die Routenoptimierung bzw. die Reaktion auf kurzfristige Aufträge aus Sicht der Beklagten nicht erforderlich und damit unzulässig.
Auch der von der Klägerin verfolgte Zweck des Schutzes vor Missbrauch und Diebstahl durch den Einsatz des GPS-Tracking sei anerkennenswert, wobei als gesetzliche Grundlage hierbei Art. 6 Abs. 1 UA 1 lit. f) DS-GVO in Betracht komme. Allerdings verhindere die Installation der Tracking-Unit den Diebstahl nicht. Sie ermögliche das Wiederauffinden des Fahrzeugs, ohne dass eine Speicherung der Standortdaten erforderlich sei. Die Datenspeicherung sei damit unverhältnismäßig. Der Beklagte verweist zur Begründung auf das Teilurteil des VG Lüneburg, 4. Kammer, vom 19.03.2019 – Az. 4 A 12/19.
Hinsichtlich des von der Klägerin verfolgten Zweckes, durch den Einsatz des Tracking-Systems die Einhaltung arbeitsrechtlicher Vorgaben bzgl. Ahndung möglichen Kraftstoffdiebstahls sicherzustellen, sei mit Blick auf die datenschutzrechtliche Bewertung zwischen anlasslosen präventiven Kontrollmaßnahmen zur Überprüfung der Einhaltung von bestehenden arbeitsrechtlichen Pflichten und anlassbezogenen Mitarbeiterkontrollen bei Bestehen eines konkreten zu dokumentierenden Anfangsverdachts zu unterscheiden. Die Klägerin habe eingeräumt, dass sie anlasslos und nicht auf einen konkreten Fall bezogen Kraftstoffdiebstahl verhindern wolle. Eine ständige Überwachung sämtlicher Mitarbeiter, um sicherzustellen, dass es zu keinen Missbräuchen komme, sei unverhältnismäßig und daher nicht gerechtfertigt.
Auch der von der Klägerin genannte Zweck der Beweissicherung, welche auch im Interesse der Mitarbeiter liege, erlaube keine ständige Ortung der Fahrzeuge. Unter Bezugnahme auf die bereits genannte Rechtsprechung des VG Lüneburg sei der Einsatz des GPS-Tracking wohl schon nicht zur Erreichung des Zwecks der Beweissicherung geeignet. Als Rechtsgrundlage für eine Datenerhebung zu diesem Zwecke komme Art. 6 Abs. 1 UA 1 lit. f) DS-GVO in Betracht, wobei jedoch das Persönlichkeitsschutzinteresse der betroffenen Beschäftigten im Verhältnis zu den erhobenen Daten überwiege.
Soweit die Klägerin beabsichtige, den Einsatz des GPS-Tracking auf eine etwaige Einwilligung ihrer Mitarbeiter zu stützen, könne dies keine Rechtsgrundlage für die Datenverarbeitung für Zwecke des GPS-Tracking sein. Insoweit normiere § 26 Abs. 2 BDSG die Voraussetzungen einer wirksamen Einwilligung im Beschäftigungsverhältnis. Diese seien nicht erfüllt. Nach der Rechtsprechung des Bundesarbeitsgerichts handele es sich beim Einsatz von GPS-Tracking-Systemen um eine Maßnahme, die zur Überwachung des Verhaltens und der Leistung der Beschäftigten objektiv geeignet sei. Eine Einwilligung auf freiwilliger Basis durch den jeweiligen Mitarbeiter sei hierzu ausgeschlossen.
Da die Klägerin ihrem Verstoß nicht abgeholfen habe, seien entgegen ihrer Auffassung die auf Grundlage von Art. 58 Abs. 1 lit. a), Art. 58 Abs. 2 lit. c), d) und g) DS-GVO getroffenen Maßnahmen geeignet, erforderlich und angemessen, einen datenschutzkonformen Zustand herzustellen.
Die Anweisung des Beklagten an die Klägerin, das GPS-Tracking innerhalb von zwei Wochen ab Bestandskraft des Bescheides vom 27.7.2021 in Einklang mit der DS-GVO zu bringen, könne erfüllt werden, indem die Klägerin auf die Speicherung der GPS-Tracking Daten verzichte und nur Live-Tracking durchführe.
Hierbei erachte der Beklagte die Ortung der Beschäftigten mittels GPS-Tracking zur Effizienzsteigerung aus datenschutzrechtlicher Hinsicht für zulässig, sofern sie auf das erforderliche Maß beschränkt werde und auf Basis flüchtig erhobener Daten erfolge, d.h. ohne Speicherung der Tracking-Daten.
Außerdem spiegelten die von der Klägerin bereits vorgelegten Unterlagen über ein Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 DS-GVO und einer Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO die Rechtsauffassung des Beklagten noch nicht wider, weshalb die Klägerin anzuweisen gewesen sei, dem Beklagten innerhalb von zwei Wochen ab Bestandskraft des Bescheides diese Unterlagen aktualisiert vorzulegen.
Im Übrigen sei die Klage auch nicht zulässig, weil sie sich nur gegen das Informationsschreiben an den Klägerbevollmächtigten richte und nicht gegen den Bescheid.
Wegen der Einzelheiten des Sach- und Streitstands wird auf die zu den Akten gereichten Schriftsätze und Anlagen sowie die Behördenakte Bezug genommen. Diese waren Gegenstand der mündlichen Verhandlung und Beratung.

Entscheidungsgründe:
Die Klage ist zulässig, aber unbegründet, und hat daher keinen Erfolg.
Der Verwaltungsrechtsweg ist eröffnet.
Die vom Gesetzgeber selbst als deklaratorisch bezeichnete aufdrängende Sonderzuweisung in § 19 Abs. 1 HDSIG i.V.m. § 56 HDSIG dürfte mangels Gesetzgebungskompetenz des Landes für aufdrängende Sonderzuweisungen verfassungswidrig sein (vgl. hierzu bereits den Wortlaut des § 40 Abs. 1 S. 2 VwGO, der Regelungen im Landesrecht nur bei abdrängenden Sonderzuweisungen vorsieht, sowie Art. 72 Abs. 1, 74 Abs. 1 Nr. 1 GG, siehe nur BeckOK VwGO/Reimer, 59. Ed. 1.4.2021, VwGO § 40 Rn. 223). Hierauf kommt es im Ergebnis jedoch nicht an, da die Voraussetzungen des § 40 Abs. 1 S. 1 VwGO gegeben sind. Die Anfechtung einer behördlichen Entscheidung unter Rückgriff auf Aufsichtsbefugnisse nach der DS-GVO stellt nämlich ohne Weiteres eine öffentlich-rechtliche Streitigkeit nicht-verfassungsrechtlicher Art dar.
Die Klage ist als Anfechtungsklage gegen den streitgegenständlichen Bescheid nach § 42 Abs. 1 VwGO statthaft. Sie richtet sich offensichtlich gegen den Bescheid vom 27.07.2021 und nicht nur, wie die Beklagte vorgetragen hat, gegen das Informationsschreiben vom 02.08.2021. Insoweit legt das Gericht das Klagebegehren im wohlverstandenen Interesse der Klägerin, an dem aufgrund ihres Vorbringens kein Zweifel besteht, nach § 88 VwGO aus.
Die Klagebefugnis resultiert aus der Betroffenheit als Adressatin, § 42 Abs. 2 VwGO.
Ein Vorverfahren ist nicht durchzuführen, § 68 Abs. 1 S. 2 Nr. 1 VwGO, weil der Hessische Datenschutzbeauftragte eine oberste Landesbehörde ist (§ 8 Abs. 1 HDSIG), vgl. hierzu auch § 20 Abs. 6 BDSG.
Die Klagefrist nach § 74 Abs. 1 VwGO ist eingehalten. Der angefochtene Bescheid vom 27.07.2021 wurde dem Klägerbevollmächtigten am 04.08.2021 per EB zugestellt. Die Klageerhebung am 03.09.2021 erfolgte damit innerhalb der Monatsfrist.
Die Klage ist unbegründet.
Der Bescheid des Beklagten vom 27.07.2021 ist nicht rechtswidrig und verletzt die Klägerin nicht in ihren Rechten, § 113 Abs. 1 S. 1 VwGO.
Der Bescheid ist formell rechtmäßig.
Die Zuständigkeit des Hessischen Datenschutzbeauftragten ergibt sich aus § 13 HDSIG. Zudem ist die Klägerin zuvor nach § 14 Abs. 1 S. 2 HDSIG angehört worden.
Zwar hat die Beklagte den Bescheid hinsichtlich Ziff. 2 und 3 entgegen § 39 HVwVfG nicht vertieft begründet. Durch ihr Vorbringen in der Klageerwiderung (S. 9 des Schriftsatzes vom 18. Oktober 2021, Bl. 58 Gerichtsakte) hat sie sich inhaltlich zur Notwendigkeit der Regelung geäußert und damit die Begründung im Sinne von § 45 Abs. 1 Nr. 2 HVwVfG nachgeholt.
Der Bescheid ist auch materiell rechtmäßig.
Ermächtigungsgrundlage für Ziff. 1 (Verzicht auf Speicherung) ist Art. 58 Abs. 2 lit. d) DS-GVO. Danach hat die Aufsichtsbehörde die Befugnis, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen. Demnach muss der Adressat des Bescheids Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO sein, ein Verarbeitungsvorgang vorliegen, der gegen die DS-GVO verstößt und die Aufsichtsbehörde bei der Anweisung ermessensfehlerfrei gehandelt haben.
Diese Voraussetzungen liegen vor.
Die Klägerin ist Verantwortliche und damit richtige Adressatin der Verfügung.
Verantwortlicher im Sinne von Art. 4 Nr. 7 DS-GVO ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Die Klägerin entscheidet über die eingesetzten Mittel und Zwecke, sie setzt das GPS-Tracking der A-Firma ein, um den Standort ihrer Fahrzeuge live zu überwachen und den Standort über 400 Tage ab der Aufzeichnung zu speichern. Sie bestimmt mithin über das Ob des Einsatzes des GPS-Tracking und die hierfür eingesetzte Software.
Die Klägerin betreibt einen Verarbeitungsvorgang unter Verstoß gegen die DS-GVO.
Ein Verarbeitungsvorgang ist nach Art. 4 Nr. 2 DS-GVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.
Die Verarbeitung betrifft personenbezogene Daten nach Art. 4 Nr. 1 DS-GVO, wenn es sich um Informationen handelt, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann.
Vorliegend werden zwar nur die Fahrzeuge getrackt, jedoch ist der jeweilige Nutzer (Fahrer) über die Zuordnung zu dem ihm zugeteilten Fahrzeug identifizierbar (vgl. VG Lüneburg, Teilurteil vom 19. März 2019 – 4 A 12/19 –, juris Rn. 29). Es handelt sich mithin um personenbezogene Daten in diesem Sinn.
Eine Rechtsgrundlage für die Datenverarbeitung durch die Klägerin existiert nicht, sodass die Verarbeitung nicht rechtmäßig ist, Art. 5 Abs. 1 lit. a) DS-GVO.
Nach Art. 6 Abs. 1 DS-GVO bedarf die Datenverarbeitung einer Rechtsgrundlage. In Betracht kommen hier, wie die Klägerin anführt, Art. 6 Abs. 1 UA 1 lit. a), c) und f) DS-GVO.
Nach Art. 6 Abs. 1 UA 1 lit. a) DS-GVO ist die Verarbeitung rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat. Die Rechtmäßigkeit der Einwilligung beurteilt sich nach Art. 7 DS-GVO, den der deutsche Gesetzgeber in § 26 Abs. 2 BDSG weiter präzisiert hat.
Diese Voraussetzungen sind nicht erfüllt.
Eine Einwilligung hat die Klägerin nicht eingeholt. Das Gericht hat mit dem Beklagten auch Zweifel, ob eine Einwilligung, wie sie der Klägerin vorschwebt (Entwurf Bl. 20f der Gerichtsakte), zulässig wäre. Gleichgelagerte Interessen der Mitarbeiter der Klägerin mit der Klägerin sind insoweit nicht ohne Weiteres zu erkennen, einen wirtschaftlichen Vorteil - etwa in Form einer Gehaltserhöhung - beabsichtigt die Klägerin nicht ihren Mitarbeitern zukommen zu lassen.
Nach Art. 6 Abs. 1UA 1 lit. c) DS-GVO ist die Verarbeitung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt.
Auch dieses Kriterium ist nicht erfüllt.
Hinsichtlich der Mitarbeiter, die keine Lenk- und Ruhezeiten nach der Verordnung (EG) Nr. 561/2006 des Europäischen Parlaments und des Rates vom 15.03.2006 zur Harmonisierung bestimmter Sozialvorschriften im Straßenverkehr und zur Änderung der Verordnungen (EWG) Nr. 3821/85 und (EG) Nr. 2135/98 des Rates sowie zur Aufhebung der Verordnung (EWG) Nr. 3820/85 des Rates (ABl. EU Nr. L 102 S. 1) i.V.m. der Fahrpersonalverordnung vom 27.06.2005 (BGBl. I S. 1882, zuletzt geändert durch Art. 1 VO zur Änd. fahrpersonalrechtlicher und straßenverkehrsrechtlicher Vorschriften vom 08.08.2017 (BGBl. I S. 3158)) einzuhalten haben, besteht schon keine Verpflichtung der Klägerin, Aufzeichnungen über die Routen ihrer Mitarbeiter zu führen.
Hinsichtlich der Mitarbeiter, die unter o.g. Verordnungen fallen, und hinsichtlich derer die Klägerin nach §§ 2 Abs. 5 und 2a Fahrpersonalverordnung eine Aufbewahrungspflicht hinsichtlich der Daten aus dem Massenspeicher des Fahrtenschreibers und über stattgefundene Kontrollen hat, ist eine Datenerhebung zur Wegstrecke über die vom Fahrtenschreiber aufgezeichneten Daten hinaus nicht erforderlich, insbesondere nicht der genaue Standort.
Nach Art. 6 Abs. 1 UA 1 lit. f) DS-GVO ist die Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Die danach vorzunehmende Abwägung der Interessen der Klägerin einerseits und der betroffenen Mitarbeiter andererseits fällt zu Lasten der Klägerin aus, weil die Datenspeicherung des Standorts, zumal über 400 Tage lang, nicht verhältnismäßig ist.
Eine Datenspeicherung ist verhältnismäßig, wenn sie einen legitimen Zweck verfolgt, geeignet ist, diesen Zweck zu erreichen, keine gleich wirksamen, weniger einschneidenden Maßnahmen erkennbar sind (Erforderlichkeit) und sich im Ausgleich der widerstreitenden Interessen als verhältniswahrend im engeren Sinne erweist.
Hieran gemessen ist die Speicherung der Standortdaten durch die Klägerin offensichtlich unverhältnismäßig.
Die Zulässigkeit der Datenerhebung und erst recht der Speicherung scheitert nach Auffassung des Gerichts schon daran, dass sie geheim erfolgt, ohne dass erkennbar ist, warum die Mitarbeiter der Klägerin nicht wissen dürfen, dass ihr Arbeitgeber sie bei Fahrten konstant überwacht. Das Gericht versteht Art. 5 Abs. 1 lit. a) DS-GVO, der Treu und Glauben und die Nachvollziehbarkeit der Verarbeitung für die Betroffenen als Maßstab für eine rechtmäßige Datenverarbeitung ansieht, als grundsätzliches Transparenzgebot, das auch in Art. 7, 12ff DS-GVO seinen Niederschlag findet.
Die Klägerin hat auch in der mündlichen Verhandlung keine Argumente vorgebracht, die auch nur im Ansatz ein Interesse begründen, die Mitarbeiter verdeckt zu überwachen. Ein solches Interesse kann insbesondere bei Fällen der Aufklärung von Straftaten und insoweit zur Beweissicherung anzuerkennen sein (§ 26 Abs. 1 S. 2 BDSG; BAG, Urteil vom 28. März 2019 – 8 AZR 421/17 –, juris; BGH, Urteil vom 04. Juni 2013 – 1 StR 32/13 –, juris Rn. 62ff; Landesarbeitsgericht Mecklenburg-Vorpommern, Urteil vom 24. Mai 2019 – 2 Sa 214/18 –, juris).
Im Übrigen dringen die Argumente der Klägerin selbst im Fall einer offenen Überwachung nicht durch, soweit sie für die Speicherung der Standortdaten ein Interesse an einer effizienten Routengestaltung, der Verhinderung von Diebstahl und der Beweissicherung bei Zivilprozessen anmeldet.
Diese Zwecke mögen legitim sein, die Datenspeicherung ist aber schon nicht geeignet, sie auch nur zu fördern, sodass sich diese Zwecke als vorgeschoben erweisen.
Wie der Beklagte zur Recht ausführt, verhindert die Installation einer Tracking-Unit den Diebstahl als solchen nicht und kein Dieb ließe sich dadurch beeindrucken, dass Standortdaten gespeichert werden (VG Lüneburg, Teilurteil vom 19.03.2019 – 4 A 12/19 –, juris Rn. 40). Was einen Dieb aber von der Straftat abhalten könnte, wäre der Hinweis, dass der Fahrzeugstandort live beobachtet wird. Eben diese Information hält die Klägerin aber sogar vor ihren eigenen Mitarbeitern geheim.
Das Gericht erkennt ein betriebswirtschaftliches Interesse durch eine effizientere Organisation eines Unternehmens mit neuen Technologien grundsätzlich an; im Fall der Klägerin ist aber nicht dargelegt, wieso es für die Reaktion auf kurzfristige Lieferaufträge eines Rückgriffs auf veraltete Standortdaten bedarf (VG Lüneburg, Teilurteil vom 19. März 2019 – 4 A 12/19 –, juris Rn. 42f). Da die Mitarbeiter selbst nichts von den Standortdaten wissen, können sie sich auch nicht selbst über gegebenenfalls überflüssige Umwege klar werden und ihr Fahrverhalten verbessern.
Ob die Standortdaten als Beweismittel für die Erfüllung eines Frachtvertrags taugen oder nicht, kann dahinstehen; selbst im Fall eines Verstoßes gegen Datenschutzrecht hat der BGH Beweismittel zugelassen (BGH, Urteil vom 15.03.2018 – VI ZR 233/17 –, juris Dash Cam). Es sind jedenfalls weniger eingreifende Mittel ersichtlich, um die Erfüllung eines Frachtvertrags – die Ablieferung des Frachtguts – gegenüber dem Absender nachzuweisen, etwa eine Empfangsbestätigung durch den Empfänger, ein als Erinnerungsstütze dienender Ablieferungsvermerk des Fahrers oder eine punktuelle Aufzeichnung und Speicherung des Standorts, die nach Ablauf der Verjährungsfrist zu löschen ist. Die Klägerin hat zuletzt in der mündlichen Verhandlung keine nachvollziehbaren Gründe geliefert, warum ihr diese weniger einschneidenden Mittel nicht zur Verfügung stehen. Da sie nicht beabsichtigt, die Mitarbeiter ohne behördlichen Zwang über die das Livetracking zu informieren, ist auch nicht glaubhaft, dass sie den Mitarbeitern durch die Standortspeicherung eine Erinnerungsstütze für die Ablieferung einer bestimmten Fracht geben möchte.
Liegen die Voraussetzungen für die Wahrnehmung von Abhilfebefugnissen durch den Beklagten vor, steht diesem in der Rechtsfolge ein Ermessen zu, das gerichtlich nur eingeschränkt überprüfbar ist, § 114 VwGO. Das Gericht prüft, ob der Beklagte in den gesetzlichen Grenzen seines Ermessens gehalten und von seinem Ermessen in einer dem Zweck der Ermächtigung entsprechenden Weise Gebrauch gemacht hat (Ermessensfehler).
Zu prüfen ist insbesondere, ob der Beklagte sich überhaupt bewusst war, dass ihm ein Ermessen zusteht (sog. Ermessensnichtgebrauch). Eine Gesamtbetrachtung unter Berücksichtigung von Klageerwiderung und des Inhalts mündlichen Verhandlung ergibt jedoch, dass der Beklagte sich seiner Handlungsmöglichkeiten bewusst war und hier Anlass für ein Einschreiten gesehen hat. Mit Blick auf den anhaltenden und schwerwiegenden Verstoß der Klägerin gegen den Datenschutz und die dahinterstehenden Arbeitnehmerrechte, das Fehlen einer ordnungsgemäßen Dokumentation und die fehlende Kooperationsbereitschaft der Klägerin im Verwaltungsverfahren bestehen keine Bedenken gegen die Anordnung in Ziff. 1 des Bescheids und die knappen Ausführungen des Beklagten zu seinem Ermessen. Das Gericht geht davon aus, dass der Beklagte in Zukunft größeren Wert auf die Darlegung der Ermessenserwägungen legen wird.
Hinsichtlich sonstiger Ermessensfehler, die nicht erkennbar sind, fehlt es an substantiiertem Vortag der Klägerin zu Ermessensfehlern. Bedenken gegen die Fristsetzung (zwei Wochen ab Bestandskraft) bestehen seitens des Gerichts nicht.
Ziff. 2 des angegriffenen Bescheids ist ebenfalls materiell rechtmäßig.
Mit Art. 58 Abs. 2 lit. g) DS-GVO stützt sich der Beklagte auf die richtige Rechtsgrundlage. Danach hat die Aufsichtsbehörde die Befugnis, die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung anzuordnen (Art. 16, 17 und 18 DS-GVO) sowie anzuordnen, dass solche Maßnahmen den Empfängern, denen diese personenbezogenen Daten offengelegt wurden, mitgeteilt werden (Art. 17 Abs. 2 und Art. 19 DS-GVO).
Art. 58 Abs. 2 lit. g) DS-GVO setzt, soweit hier relevant, voraus, dass objektiv die Voraussetzungen für einen Löschungsanspruch nach Art. 17 DS-GVO bestehen. Das ist nach Art. 17 Abs. 1 lit. d) DS-GVO der Fall, wenn die personenbezogenen Daten unrechtmäßig verarbeitet worden sind und kein Ausschlussgrund nach Art. 17 Abs. 3 DS-GVO erfüllt ist.
Diese Voraussetzungen sind hier erfüllt.
Wie oben dargestellt, sind die personenbezogenen Standortdaten der Mitarbeiter der Klägerin von dieser unrechtmäßig gespeichert, mithin verarbeitet, worden. Ausschlussgründe nach Art. 17 Abs. 3 DS-GVO sind nicht erfüllt.
Auch insoweit besteht ein Ermessen der Aufsichtsbehörde, das gerichtlich nur eingeschränkt überprüfbar ist. Ermessensfehler sind wiederum nicht ersichtlich, wobei der Beklagte wiederum erst in der Klageerwiderung und in der mündlichen Verhandlung hinreichend zur erkennen gegeben hat, dass er sich seines Ermessensspielraums bewusst gewesen ist. Bedenken gegen die Fristsetzung (zwei Wochen ab Bestandskraft) bestehen seitens des Gerichts im Ergebnis nicht.
Der angegriffene Bescheid ist auch hinsichtlich Ziff. 3 materiell rechtmäßig.
Ermächtigungsgrundlage ist insoweit allerdings nicht Art. 58 Abs. 2 lit. c) DS-GVO, wonach die Aufsichtsbehörde die Befugnis hat, die es ihr gestattet, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen.
Die Regelung setzt einen Antrag etwa nach den Art. 15ff DS-GVO voraus, betrifft also regelmäßig Situationen, in denen sich ein Betroffener an die Aufsichtsbehörden wendet, weil der Verantwortliche sich weigert, gestellten Anträgen zu entsprechen.
Ein solcher Antrag liegt hier nicht vor.
Das Gericht ist allerdings befugt, eine fälschlich in Anspruch genommene Ermächtigungsgrundlage auszutauschen (BVerwG, Beschluss vom 29.07.2019 – 2 B 19/18 –, juris Rn. 24 m.w.N.). Das Handeln des Beklagten kann hier auf Art. 58 Abs. 2 lit. d) DS-GVO gestützt werden. Die Vorschrift sieht vor, dass die Aufsichtsbehörde den Verantwortlichen oder den Auftragsverarbeiter anweisen kann, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen.
Die Klägerin ist richtige Adressatin der Anweisung, weil sie Verantwortliche ist.
Es liegt mit der verdeckten Datenerhebung, wie ausgeführt, auch ein Verarbeitungsvorgang vor.
Die Anweisung hat auch einen zulässigen Inhalt, indem der Klägerin die Aufklärung der Betroffenen über die Verarbeitung nach Art. 13 DS-GVO binnen zwei Wochen ab Bestandskraft aufgegeben wird. Art. 13 DS-GVO sieht (mit Ausnahme bei bestehender Kenntnis, Art. 13 Abs. 4 DS-GVO) zwingend die Aufklärung des Betroffenen über bestimmte Aspekte der Datenverarbeitung und die Identität des Verantwortlichen als immanente Folge einer Datenverarbeitung zum Zeitpunkt der Verarbeitung vor und ist damit Teil des Verarbeitungsvorgangs.
Keine Bedenken bestehen, die Klägerin in diesem Zusammenhang dazu zu verpflichten, dem Beklagten ein Exemplar der Aufklärung zu übermitteln. Es handelt sich insoweit um eine unselbstständige Begleitverfügung, die von der Ermächtigungsgrundlage gedeckt ist.
Hinsichtlich der Ermessensausübung gilt das oben Gesagte.
Schließlich ist auch Ziff. 4 des Bescheids materiell rechtmäßig.
Mit Art. 58 Abs. 1 lit. a) DS-GVO stützt sich der Beklagte auch auf die richtige Ermächtigungsgrundlage. Insoweit besteht seine Befugnis, den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls deren Vertreter anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung der Aufgaben der Aufsichtsbehörde erforderlich sind. Nach Art. 30 Abs. 4 DS-GVO ist das Verarbeitungsverzeichnis der Aufsichtsbehörde auf Anfrage vorzulegen.
Gemessen hieran ist der Bescheid rechtmäßig.
Bei dem Verarbeitungsverzeichnis nach Art. 30 DS-GVO und der Datenschutz-Folgeabschätzung nach Art. 35 DS-GVO handelt es sich um Informationen, die wesentliche Aspekte der Datenverarbeitung durch den Verantwortlichen beschreiben und daher den Sachverhalt für die Aufsichtsbehörde erleuchten. Insoweit sind sie zur Erfüllung der Aufgabe der Aufsichtsbehörde erforderlich, Art. 30 Abs. 4, Art. 36 DS-GVO.
Die Klägerin ist als Verantwortliche wiederum richtige Adressatin der Verfügung und auch gemäß Art. 30 Abs. 1 DS-GVO zur Erstellung eines Verarbeitungsverzeichnisses verpflichtet.
Die Ausnahme des Art. 30 Abs. 5 DS-GVO greift nicht. Die Klägerin hat zwar weniger als 250 Mitarbeiter, allerdings birgt die verdeckte Datenerhebung offenkundig ein Risiko für die Rechte der Mitarbeiter (§ 26 BDSG, Art. 13 DS-GVO, Art. 6 DS-GVO) und die Verarbeitung erfolgt auch nicht nur gelegentlich.
Die Klägerin ist auch zur Erstellung einer Datenschutz-Folgeabschätzung verpflichtet, Art. 35 Abs. 1, 3 lit. a) DS-GVO. Danach ist eine Folgeabschätzung zu erstellen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, insbesondere (Art. 35 Abs. 3 lit. a) DS-GVO), wenn es sich um eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen handelt, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen. Profiling ist jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen, vgl. Art. 4 Nr. 4 DS-GVO.
Die Erfassung der Standortdaten von Fahrzeugen mit der Möglichkeit, diese ggf. über den Dienstplan mit der Fahrzeugbezeichnung mit den Namen der Berufskraftfahrer zu verknüpfen, mittels eines automatisierten IT-gestützten Systems wie dem von A-Firma stellt eine Verwendung von personenbezogenen (Standort-)Daten, die der Analyse des Aufenthaltsorts bzw. des Ortswechsels dienen, und fällt unter den Begriff des Profilings. Das erkennt auch die Klägerin in ihrem sog. „Verarbeitungsverzeichnis“ (Bl. 13R Behördenakte) selbst an. Die Standortüberwachung dient auch der Entscheidungsfindung durch den Arbeitgeber bei der Organisation von Arbeitsabläufen, konkreten Aufträgen und gegebenenfalls auch der Aufdeckung und Sanktionierung von Straftaten und Fehlverhalten.
Ermessensfehler sind jedenfalls im Zeitpunkt der mündlichen Verhandlung nicht ersichtlich. Bedenken gegen die knappe Fristsetzung (zwei Wochen ab Bestandskraft) hat die Klägerin nicht vorgetragen; insoweit besteht keine Veranlassung des Gerichts, die Fristlänge infrage zu stellen.
Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO.
Der Ausspruch zur vorläufigen Vollstreckbarkeit beruht auf § 167 Abs. 1 VwGO i.V.m. § 708 Nr. 11, 711 ZPO.
BeschlussDer Streitwert wird auf 5.000 EUR festgesetzt.
GründeDie Streitwertfestsetzung beruht auf § 52 Abs. 2 Gerichtskostengesetz. Konkrete Anhaltspunkte für das wirtschaftliche Interesse der Klägerin sind nicht erkennbar, sodass es beim Regelstreitwert bleibt.

Rechtsmittelbelehrung:

Zitierte Normen: § 26 BDSG
§ 56 HDSIG
§ 88 VwGO
§ 13 HDSIG
§ 39 HVwVfG
§ 114 VwGO
§ 26 Abs. 2 BDSG
§ 26 Abs. 1 Satz 1 BDSG
§ 19 Abs. 1 HDSIG
§ 40 Abs. 1 S. 2 VwGO
§ 40 Abs. 1 S. 1 VwGO
§ 42 Abs. 1 VwGO
§ 42 Abs. 2 VwGO
§ 68 Abs. 1 S. 2 Nr. 1 VwGO
§ 8 Abs. 1 HDSIG
§ 20 Abs. 6 BDSG
§ 74 Abs. 1 VwGO
§ 113 Abs. 1 S. 1 VwGO
§ 14 Abs. 1 S. 2 HDSIG
§ 45 Abs. 1 Nr. 2 HVwVfG
§ 26 Abs. 1 S. 2 BDSG
§ 154 Abs. 1 VwGO
§ 167 Abs. 1 VwGO
§ 708 Nr. 11, 711 ZPO
§ 52 Abs. 2 Gerichtskostengesetz
Art. 5, 6 DS-GVO
Art. 16, 17 und 18 DS-GVO
Art. 4 Abs. 3 DS-GVO
Art. 58 Abs. 2 DS-GVO
Art. 13 DS-GVO
Art. 30 DS-GVO
Art. 35 DS-GVO
Art. 6 Abs. 1 DS-GVO
Art. 72 Abs. 1, 74 Abs. 1 Nr. 1 GG
Art. 4 Nr. 7 DS-GVO
Art. 4 Nr. 2 DS-GVO
Art. 4 Nr. 1 DS-GVO
Art. 7 DS-GVO
Art. 1 VO
Art. 19 DS-GVO
Art. 17 DS-GVO
Art. 17 Abs. 3 DS-GVO
Art. 13 Abs. 4 DS-GVO
Art. 30 Abs. 4 DS-GVO
Art. 36 DS-GVO
Art. 30 Abs. 1 DS-GVO
Art. 30 Abs. 5 DS-GVO
Art. 6 DS-GVO
Art. 4 Nr. 4 DS-GVO

Zitierte Entscheidungen: 4 A 12/19
8 AZR 421/17
1 StR 32/13
2 Sa 214/18
VI ZR 233/17
2 B 19/18