DSGVO: Das Wichtigste auf einem Blick
- Was bedeutet DSGVO?
- Für welche Unternehmen gilt die DSGVO?
- Wann tritt die DSGVO in Kraft?
- Warum sollten Sie sich mit der DSGVO befassen?
- Was sind Datenschutzgrundsätze?
- Was sind Betroffenenrechte?
- Welche Pflichten trifft das Unternehmen?
- Begriffsbestimmungen
- Inwieweit wird die satellitengestütze GPS-Fahrzeugortung betroffen?
Was bedeutet DSGVO?
Die Datenschutz-Grundverordnung (DSGVO), ist eine Verordnung der Europäischen Union zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten.
Das Regelwerk soll einerseits den Schutz personenbezogener Daten innerhalb der Europäischen Union sicherstellen, andererseits den freien Datenverkehr innerhalb des Europäischen Binnenmarktes gewährleisteten.
Die Verordnung vom 27. April 2016 ersetzt die aus dem Jahre 1995 stammende Richtlinie 95/46/EG außer Kraft und war die Grundlage, das Bundesdatenschutzgesetz (BDSG) ebenfalls zu ändern. Das BDSG-neu wird am 25. Mai 2018 zeitgleich mit der Datenschutz-Grundverordnung (DSGVO)wirksam und enthält ergänzende Regelungen zur DSGVO.
DSGVO Artikel 1 – Gegenstand und Ziele
(1) Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten.
(2) Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.
(3) Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.
Für welche Unternehmen gilt die DSGVO?
Man sollte nicht meinen, die DSGVO würde nur große Unternehmen bzw. Konzerne wie Google und Facebook betreffen, deren Geschäftsmodel auf Werbung und u.a. auf dem Datenhandel basiert. Jedes Unternehmen und jede Organisation muss die Vorschriften der DSGVO beachten.
Ganz gleich ob Einzelunternehmer oder juristische Person, wie z.B. eine GmbH.
Sie haben Kunden und/oder Mitarbeiter? Dann erfassen und verarbeiten Sie personenbezogene Daten. Eine Ausnahme sind Privatpersonen. Ansonsten müssen alle, die personenbezogene Daten von EU-Bürgern verarbeiten, die Datenschutzgrundverordnung anwenden.
Wann tritt die DSGVO in Kraft?
Die Datenschutzgrundverordnung ist aus dem Jahr 2016 und tritt am 25. Mai 2018 in Kraft.
Ab diesem Zeitpunkt sind die Vorschriften verbindlich.
Warum sollten Sie sich mit der DSGVO befassen?
Die Frage ist zunächst ganz einfach zu beantworten. Es sind gesetzliche Vorschriften.
Die Verordnung verleiht dem einen besonderen Nachdruck, indem erhebliche Sanktionen und Bußgelder angedroht werden.
Der Gesetzgeber hat hierfür einen empfindlichen Bußgeldrahmen festgelegt, bis zu 20 Millionen Euro oder bis zu 4% des gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr; je nachdem, welcher Wert der höhere ist.
Besser ist, Sie handeln sofort.
DSGVO Artikel 83 – Allgemeine Bedingungen für die Verhängung von Geldbußen
(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.
(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:
a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;
b) Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;
…
… Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
…
… Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:
…
… Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.
Was sind Datenschutzgrundsätze?
Die DSGVO ist in mehrere Kapitel aufgeteilt, die wiederum die Regelungen in einzelne Artikel unterteilen. Die Umsetzung der Vorschriften sollte sich an den festgeschriebenen Grundsätzen orientieren, die im Kapitel II zusammengefasst und hier vollständig wiedergegeben werden.
DSGVO Artikel 5 – Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Was sind Betroffenenrechte?
Das dritte Kapitel der DSGVO widmet sich den „Rechten der betroffenen Person“.
Betroffen sind diejenigen natürlichen Personen, deren personenbezogene Daten verarbeitet werden, also auf jeden Fall die Kunden und die Mitarbeiter.
Hier lohnt sich ein Blick in das umfängliche Regelwerk. Danach müssen alle Informationen, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt werden.
Zu den Rechten gehören gemäß Art. 12 bis 22 der DSGVO unter anderem:
Auskunftsrecht
Die betroffenen Personen haben das Recht, Auskunft über die Verarbeitung zu verlangen. Es muss kostenlos Auskunft darüber erteilt werden, ob und welche Daten verarbeitet wurden, zu welchem Zweck und, falls möglich, die geplante Speicherdauer. Dafür steht eine Frist von einem Monat zur Verfügung.
Berichtigung der Daten
Die betroffene Person hat das Recht, von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung hat die betroffene Person das Recht, die Vervollständigung unvollständiger personenbezogener Daten — auch mittels einer ergänzenden Erklärung — zu verlangen.
Recht auf Löschung („Recht auf Vergessenwerden“)
Der Betroffene hat grundsätzlich das Recht, die Löschung seiner Daten zu verlangen, sofern sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
Hier wird sich in der Praxis die Frage stellen, was „notwendig“ ist.
Aber es gibt weitere Gründe. Wenn die Daten unrechtmäßig verarbeitet wurden oder eine Einwilligung widerrufen wurde.
Dies gilt aber z.B. dann nicht, wenn die Verarbeitung erforderlich ist, u.a. zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Welche Pflichten trifft das Unternehmen?
Dazu zählt ein umfassender Katalog von Maßnahmen. Im Kapitel IV der DSGVO wird auf den Verantwortlichen und den Auftragsverarbeiter Bezug genommen.
Es gibt zunächst die „Allgemeinen Pflichten“, wie die Verantwortung für die Verarbeitung, den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen, die Klärung der Kompetenzen, wenn mehrere Personen gemeinsam verantwortlich sind, die Verpflichtung des sogenannten Auftragsverarbeiters, also desjenigen dem die Daten zur Verarbeitung überlassen wurden.
Was die Auftragsverarbeitung angeht, ist es ganz wichtig, dass darüber ein Vertrag abgeschlossen wird, in dem die Einzelheiten geregelt werden.
Dann ist ein Verzeichnis der Verarbeitungstätigkeiten zu erstellen. Es wird ferner die Zusammenarbeit mit der Aufsichtsbehörde geregelt und in einem weiteren Abschnitt folgen die Anforderungen an die Sicherheit der Verarbeitung. Verletzungen des Schutzes personenbezogener Daten sind der Aufsichtsbehörde zu melden und es ist eine Datenschutz-Folgenabschätzung vorzunehmen.
Unter bestimmten Voraussetzungen ist ein Datenschutzbeauftragter zu benennen. Der Datenschutzbeauftragte hat u.a. die folgenden Aufgaben. Er unterrichtet und berät den Verantwortlichen, den Auftragsverarbeiter und die Beschäftigten hinsichtlich ihrer Pflichten nach der DSGVO sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedstaaten. Er überwacht die Einhaltung der Vorschriften und er ist der Ansprechpartner für die Aufsichtsbehörde.
DSGVO Art. 4 – Begriffsbestimmungen
Die DSGVO lebt, wie andere gesetzliche Regelungen, von denin ihr definierten Begriffe. Dazu wird ein ganzer Katalog vorangestellt, um die Bestimmungen zu konkretisieren.
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
3. „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;
4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
5. „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;
6.„Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;
7.„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
8. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;
9. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;
10. „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;
11. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist;
12. „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;
13. „genetische Daten“ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden;
14. „biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;
15. „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;
16. „Hauptniederlassung“
a) im Falle eines Verantwortlichen mit Niederlassungen in mehr als einem Mitgliedstaat den Ort seiner Hauptverwaltung in der Union, es sei denn, die Entscheidungen hinsichtlich der Zwecke und Mittel der Verarbeitung personenbezogener Daten werden in einer anderen Niederlassung des Verantwortlichen in der Union getroffen und diese Niederlassung ist befugt, diese Entscheidungen umsetzen zu lassen; in diesem Fall gilt die Niederlassung, die derartige Entscheidungen trifft, als Hauptniederlassung;
b) im Falle eines Auftragsverarbeiters mit Niederlassungen in mehr als einem Mitgliedstaat den Ort seiner Hauptverwaltung in der Union oder, sofern der Auftragsverarbeiter keine Hauptverwaltung in der Union hat, die Niederlassung des Auftragsverarbeiters in der Union, in der die Verarbeitungstätigkeiten im Rahmen der Tätigkeiten einer Niederlassung eines Auftragsverarbeiters hauptsächlich stattfinden, soweit der Auftragsverarbeiter spezifischen Pflichten aus dieser Verordnung unterliegt;.
17. „Vertreter“ eine in der Union niedergelassene natürliche oder juristische Person, die von dem Verantwortlichen oder Auftragsverarbeiter schriftlich gemäß Artikel 27 bestellt wurde und den Verantwortlichen oder Auftragsverarbeiter in Bezug auf die ihnen jeweils nach dieser Verordnung obliegenden Pflichten vertritt;
18. „Unternehmen“ eine natürliche und juristische Person, die eine wirtschaftliche Tätigkeit ausübt, unabhängig von ihrer Rechtsform, einschließlich Personengesellschaften oder Vereinigungen, die regelmäßig einer wirtschaftlichen Tätigkeit nachgehen;
19. „Unternehmensgruppe“ eine Gruppe, die aus einem herrschenden Unternehmen und den von diesem abhängigen Unternehmen besteht;
20. „verbindliche interne Datenschutzvorschriften“ Maßnahmen zum Schutz personenbezogener Daten, zu deren Einhaltung sich ein im Hoheitsgebiet eines Mitgliedstaats niedergelassener Verantwortlicher oder Auftragsverarbeiter verpflichtet im Hinblick auf Datenübermittlungen oder eine Kategorie von Datenübermittlungen personenbezogener Daten an einen Verantwortlichen oder Auftragsverarbeiter derselben Unternehmensgruppe oder derselben Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, in einem oder mehreren Drittländern;
21. „Aufsichtsbehörde“ eine von einem Mitgliedstaat gemäß Artikel 51 eingerichtete unabhängige staatliche Stelle;
22. „betroffene Aufsichtsbehörde“ eine Aufsichtsbehörde, die von der Verarbeitung personenbezogener Daten betroffen ist, weil
a) der Verantwortliche oder der Auftragsverarbeiter im Hoheitsgebiet des Mitgliedstaats dieser Aufsichtsbehörde niedergelassen ist,
b) diese Verarbeitung erhebliche Auswirkungen auf betroffene Personen mit Wohnsitz im Mitgliedstaat dieser Aufsichtsbehörde hat oder haben kann oder
c) eine Beschwerde bei dieser Aufsichtsbehörde eingereicht wurde;
23. „grenzüberschreitende Verarbeitung“ entweder
a) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten von Niederlassungen eines Verantwortlichen oder eines Auftragsverarbeiters in der Union in mehr als einem Mitgliedstaat erfolgt, wenn der Verantwortliche oder Auftragsverarbeiter in mehr als einem Mitgliedstaat niedergelassen ist, oder
b) eine Verarbeitung personenbezogener Daten, die im Rahmen der Tätigkeiten einer einzelnen Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der Union erfolgt, die jedoch erhebliche Auswirkungen auf betroffene Personen in mehr als einem Mitgliedstaat hat oder haben kann;
24.„maßgeblicher und begründeter Einspruch“ einen Einspruch gegen einen Beschlussentwurf im Hinblick darauf, ob ein Verstoß gegen diese Verordnung vorliegt oder ob beabsichtigte Maßnahmen gegen den Verantwortlichen oder den Auftragsverarbeiter im Einklang mit dieser Verordnung steht, wobei aus diesem Einspruch die Tragweite der Risiken klar hervorgeht, die von dem Beschlussentwurf in Bezug auf die Grundrechte und Grundfreiheiten der betroffenen Personen und gegebenenfalls den freien Verkehr personenbezogener Daten in der Union ausgehen;
25. „Dienst der Informationsgesellschaft“ eine Dienstleistung im Sinne des Artikels 1 Nummer 1 Buchstabe b der Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates;
26. „internationale Organisation“ eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde.
Inwieweit wird die satellitengestütze GPS-Fahrzeugortung betroffen?
Wie ist nun die Fahrzeugortung mit den Vorschriften der DSGVO in Einklang zu bringen?
Dazu zeichnen sich die ersten Standpunkte ab. Aber es gab auch schon Festlegungen nach dem Bundesdatenschutzgesetz.
Die DSGVO ist ausführlicher und lässt Raum für unterschiedliche Interpretationen. Es werden zunächst nur die Daten der Fahrzeuge erfasst. Aber in dem Fahrzeug befindet sich ein Fahrer, so dass gesagt wird, es werde ein sogenanntes Bewegungsprofil erstellt.
Wie dieser Umstand datenschutzrechtlich zu beurteilen ist, wird auch vom Einzelfall abhängen. Sollten die Daten des Geldtransporters nicht erfasst und verarbeitet werden dürfen? Und wie steht es mit der Erfassung der Arbeitszeit?
Auf jeden Fall ist ein Praxisbezug herzustellen und wie nicht zuletzt gerichtliche Entscheidungen zeigen, stellt sich nicht nur die Frage nach der Aufzeichnung und der Verarbeitung der Daten, sondern auch die nach der Verwertung.
Fahrzeuge wurden und werden gestohlen. Dank der GPS-Ortung konnten sie aufgefunden werden. Das Bundesarbeitsgericht spricht davon das Arbeitszeitdiebstahl kein „Kavaliersdelikt“ sei und hält eine fristlose Kündigung ohne Abmahnung für rechtens. In Ausnahmefällen wurde auch die Nutzung der GPS-Ortung ohne Kenntnis des Fahrers unter bestimmten Umständen für zulässig erachtet.
Wir leben im Zeitalter der Digitalisierung. Der Datenschutz muss sein. Aber im Rahmen der Fuhrparkoptimierung geht es auch um die Effizienzsteigerung, um wettbewerbsfähig zu bleiben. Staatliche Förderprogramme sehen Telematiksysteme, die mit der GPS-Ortung Daten erfassen, als sinnvolle Unterstützung der Abläufe eines Unternehmens an. Die Disposition muss die Fahrzeugeinsätze verbessern, um auch im Notfall schnell beim Kunden zu sein.
Datenschutz und Notwendigkeiten des betrieblichen Ablaufs sind in Einklang zu bringen.
DSGVO KONFORME GPS-FAHRZEUGORTUNG
Auch wenn wir keine rechtlichen Beratungen übernehmen können, so sind wir doch gerne bereit, unsere Kunden bei der Umsetzung der DSGVO zu unterstützen. Seit über zehn Jahren haben wir praktische Erfahrungen mit der GPS-Fahrzeugortung gesammelt und unseren Kunden zugehört.
