Auch zunächst anonyme Maschinendaten (z.B. Werte aus dem Reifendrucksensor) können dem Datenschutzrecht unterfallen. Das ist immer der Fall, wenn irgendjemand – z.B. Hersteller oder Versicherer – eine Beziehung zwischen solchen Daten und einer bestimmten oder bestimmbaren Person herstellt, z.B. dem Halter. Das ist jedoch bei allen im Kfz erhobenen Maschinendaten der Fall, die nicht sofort gelöscht, sondern gespeichert und damit einem Zugriff durch Dritte offenstehen.
Erfolgt ein solcher Zugriff, ist über das Kennzeichen oder die Fahrzeugidentifikationsnummer (FIN) und die in den Registern und bei Versicherern hinterlegten Angaben zum Halter stets der Bezug zu diesem gegeben. Die Beziehung zwischen Pkw und Fahrer kann aber auch durch Dritte hergestellt werden, etwa den Werkstattmitarbeiter, der beim Auslesen des Fehlerspeichers eine Überlastung an der Hinterachse im Kofferraum bei einem Achslastsensor feststellt und deshalb eine Reparatur als kostenfreie Mängelbeseitigung verweigert. So sehen dies mittlerweile auch die Aufsichtsbehörden im Datenschutz und der Verband der Automobilindustrie (VDA) in einer gemeinsamen Erklärung vom Januar 2016.
Damit sind alle im Kfz erhobenen Daten, auf die nach einer Speicherung von außen zugegriffen werden kann, personenbezogene Daten, gleich ob der Zugriff remote oder physisch am Fahrzeug und gleich zu welchem Zweck er geschieht. Anders ist dies nur, wenn die Daten vor oder beim Zugriff vollständig anonymisiert werden, also keinerlei Bezug zu einem konkreten Fahrzeug oder einer konkreten Person mehr vorhanden ist. Liegen personenbezogene Daten vor, ist der Umgang mit ihnen datenschutzrechtlich nur zulässig, wenn die Betroffenen –Halter, Fahrer oder Insassen – eingewilligt oder ein Gesetz wie das BDSG, das TMG, das Telekommunikationsgesetz (TKG) oder zukünftig die DS-GVO dies erlauben, sog. Verbot mit Erlaubnisvorbehalt.
Das Datenschutzrecht muss als sog. verantwortliche Stelle derjenige beachten, der über den Zweck des Umgangs mit personenbezogenen Daten entscheidet und die hierfür benötigten Mittel (konkret: das Kfz oder die mit dem Kfz von außen verbundenen Dienste) tatsächlich beherrscht. Auf eine rechtliche Befugnis oder die zwischen den Beteiligten bestehenden Vertragsbeziehungen kommt es nicht an.
Für den Arbeitgeber ergibt sich daraus ein Dilemma: Er überlässt seinen Beschäftigten zwar zur betrieblichen oder (auch) privaten Nutzung ein von ihm gehaltenes Kfz, hat aber keinen Überblick darüber, mit welchen personenbezogenen Daten Hersteller, Werkstätten und Dritte als Service-Provider im Zusammenhang mit der Nutzung dieser Kfz umgehen. Die Betriebsanleitungen der Kfz sind dabei wenig hilfreich, weisen sie doch – wenn überhaupt – nur sehr oberflächlich auf den Umgang mit personenbezogenen Daten hin und werfen mehr Fragen auf als sie beantworten.
In den meisten Fällen wird deshalb verantwortliche Stelle nicht der Arbeitgeber, sondern ein oder mehrere Dritte sein, allen voran Hersteller, Werkstatt, Versicherer oder Fuhrparkbetreiber. Aufgabe des Arbeitgebers ist es wegen der ihn für seine Beschäftigten treffenden Schutzpflichten dann, bei Auswahl und Beschaffung auch die Forderung nach Datensparsamkeit und Datenschutz durch Technik (Privacy by Design, Privacy by Default) zu beachten und seine Beschäftigten über den Umgang mit ihren personenbezogenen Daten bei Nutzung eines betrieblichen Kfz umfänglich zu informieren. Diese Pflichten werden durch die DS-GVO nicht nur verpflichtend festgeschrieben, sondern auch erheblich erweitert. Die Missachtung kann ab Mai 2018 mit Bußgeldern bis zu 20 Millionen Euro oder 4% des weltweiten Vorjahresumsatzes geahndet werden.
Zur verantwortlichen Stelle wird der Arbeitgeber immer, wenn er selbst die Kfz mit technischen Einrichtungen ausstattet, die mit Beschäftigtendaten umgehen, z.B. Telematik-Boxen, Tracking-Tools oder elektronische Fahrtenbuchschreiber. In solchen von ihm angebrachten Systemen beherrscht der Arbeitgeber Art und Umfang der Datenverarbeitung und hat Zugang zu den dort gespeicherten personenbezogenen Daten. Deshalb ist er selbst stets für die Beachtung des Datenschutzes unmittelbar rechtlich verantwortlich. Ob der Arbeitgeber zum Einsatz dieser Systeme durch gesetzliche Vorgaben gezwungen wird, so wie dies etwa bei digitalen Tachographen der Fall ist, ist dafür bedeutungslos.
Bedient sich der Arbeitgeber bei der Nutzung solcher Systeme seinerseits Dritter, z.B. IT-Dienstleister, liegt eine sog. Auftragsdatenverarbeitung vor, die eines besonderen Vertrags zwischen Arbeitgeber und Dienstleister bedarf. Die DS-GVO schreibt dabei neue Mindestinhalte für solche Verträge fest, z.B. zur Verschwiegenheit von Mitarbeitern und zur Mitwirkung des Auftragsdatenverarbeiters bei der Umsetzung des Datenschutzes. Bestehende und zukünftige Verträge sollten deshalb schon jetzt am neuen Recht ausgerichtet werden.
Das intelligente und vernetzte Auto stellt Arbeitgeber vor neue Herausforderungen:
Gemeinsam mit den Herstellern der Kfz oder der Zusatzsysteme wie Telematik-Boxen muss aufgearbeitet werden, welche Beschäftigtendaten im Connected Car anfallen. Der Arbeitgeber muss, ggf. gemeinsam mit dem Betriebsrat, Personalrat oder der Mitarbeitervertretung, auf dieser Grundlage die Entscheidung treffen, zu welchen Zwecken er selbst oder durch Dritte diese Beschäftigtendaten nutzen will. Die sich daraus ergebenden Verfahren sind sodann durch technische und organisatorische Maßnahmen gegen Datenmissbrauch zu sichern.
Erhebt, verarbeitet oder nutzt der Arbeitgeber Beschäftigtendaten aus dem vernetzten Kfz oder dort von ihm bzw. für ihn verbauten IT-Systemen, muss er das Datenschutzrecht vollumfänglich beachten.
Zunächst benötigt der Arbeitgeber eine Erlaubnis für den Umgang mit den Beschäftigtendaten (siehe oben). Dabei gilt vereinfacht: Nur wenn die Beschäftigtendaten zwingend vom Arbeitgeber für betriebliche Zwecke benötigt werden, darf er diese verwenden. Das gilt z.B. für die Auswertung von Standortdaten bei Geldtransportern oder die Fahrstrecken bei Speditionsfahrzeugen. Umgekehrt sind Beschäftigtendaten, mittels deren Verhaltens- und Leistungskontrollen möglich sind oder die aus dem privaten Lebensbereich stammen, in der Regel nur nach vorheriger ausdrücklicher und schriftlicher Einwilligung des Betroffenen verwendbar. Hier wird die DS-GVO Erleichterung bringen: Zukünftig kann die Einwilligung auch elektronisch eingeholt werden.
Sodann hat der Arbeitgeber insbesondere die erforderlichen, ihm zumutbaren technischen und organisatorischen Maßnahmen (oft „TOM“ genannt) zur Gewährleistung des Datenschutzes nach § 9 BDSG zu treffen. Darunter fallen etwa Richtlinien, die für das Unternehmen verbindlich vorschreiben, welche Daten aus Kfz zu welchen Zwecken verwendet werden dürfen, aber auch das Festlegen von Berechtigungsstufen an solchen Daten oder die Vorgehensweise bei der Implementierung technischer Einrichtungen. So können etwa Telematik-Boxen mit einem Ein-/Ausschalter versehen sein, damit der Beschäftigte diese bei Privatfahrten deaktivieren kann.
Für personenbezogene Daten von Arbeitnehmern ist der Betriebsrat wegen der ihm vom Gesetzgeber übertragenen Kontrollpflichten „Ersatz-Datenschutzbeauftragter“. Der Arbeitgeber hat den Betriebsrat immer frühzeitig und umfänglich über alle relevanten Ereignisse bezogen auf Beschäftigtendaten zu informieren. Das gilt auch für das Connected Car. Will der Arbeitgeber technischen Einrichtungen anschaffen, die zur Kontrolle von Leistung oder Verhalten der Arbeitnehmer geeignet sind, hat der Betriebsrat ein Mitbestimmungsrecht. Ob der Arbeitgeber die Einrichtung hierfür tatsächlich einsetzt ist nach dem Bundesarbeitsgericht nicht entscheidend.
Hierin liegt zugleich eine Chance für den Arbeitgeber: Mit dem Betriebsrat getroffene Betriebsvereinbarungen wirken wie eine gesetzliche Erlaubnis für den Umgang mit Beschäftigtendaten. Solange ein angemessenes Datenschutzniveau gewahrt bleibt, kann sich jedes Unternehmen über Betriebsvereinbarungen sein eigenes Datenschutzrecht schaffen. Das gilt entsprechend für Dienstvereinbarungen mit Personalräten oder Abreden mit Mitarbeitervertretungen. Achtung: Unter der DS-GVO müssen solche Vereinbarungen zukünftig bestimmte Mindestinhalte haben, die bislang nicht üblich waren. Dazu gehört insbesondere die Beschreibung der zum Datenschutz getroffenen technischen und organisatorischen Maßnahmen. Bestehende Betriebsvereinbarungen sind deshalb zu aktualisieren, neue Abreden schon jetzt nach den zukünftigen Anforderungen zu gestalten.
Mit freundlicher Genehmigung durch http://www.lohnundgehalt-magazin.de/
Siehe die neueste Ausgabe von Lohn und Gehalt
http://www.lohnundgehalt-magazin.de/leseprobe/index.html
Kfz erheben fortlaufend über eine zwei- bis dreistellige Zahl integrierter Sensoren Informationen über Fahrzeugzustand, Fahrzeugumgebung und Fahrverhalten. Hinzu treten unmittelbar die Insassen kontrollierende Sensoren: So gibt es Systeme zur Überwachung der Fahrtauglichkeit (z.B. EKG im Fahrersitz oder Messung der Alkoholkonzentration in der Atemluft des Fahrers) oder der „Stimmung“ in der Fahrgastzelle (etwa über Kamera und Mikron).
Zweck der Informationserhebung ist dabei neben der Optimierung des Fahrens insbesondere die Reduzierung von Risiken für Insassen und andere Verkehrsteilnehmer. Unterscheiden lassen sich deshalb fahrzeug- oder technikbezogene Angaben (Maschinendaten) und fahrer- oder insassenbezogene Angaben (Personendaten). Maschinendaten weisen zunächst keinen Personenbezug auf, sondern sind als anonyme Daten i.S.v. § 3 Abs. 6 Bundesdatenschutzgesetz (BDSG) datenschutzrechtlich irrelevant. Demgegenüber unterfallen Personendaten offensichtlich dem Datenschutzrecht. Im Mai 2018 werden dabei das bisherige BDSG und das Telemediengesetz (TMG) vollständig durch die europäische Datenschutz-Grundverordnung (DS-GVO) abgelöst, mit der ein weitgehend einheitliches Datenschutzrecht für EU und EWR geschaffen worden ist.
Etablierte Hersteller erweitern per Software-Update die Möglichkeiten zur Selbststeuerung von Kfz und investieren gemeinsam Milliarden in deren Online-Vernetzung im Internet der Dinge (IoT). Daneben begeben sich Dinosaurier der Digitalisierung wie Apple, Google und Blackberry auf neues Terrain und loten aus, wie Kfz, Smartphone, Internet und Cloud-Services verschmelzen können – oder arbeiten gleich selbst an Fahrzeugen. Ganz egal, ob die Kommunikation C2C (Car to Car), C2I (Car to Infrastructure) oder C2P (Car to Pedestrian) stattfindet – das Kfz ist nicht länger „nur“ Fortbewegungs- und Transportmittel, sondern ein wesentlicher Baustein Intelligenter Verkehrssysteme (IVS).
