GPS – Überwachung | GPS – Tracking | Erlaubt oder verboten?
Die Interessensabwägung
Betrachten wir hier zunächst das Urteil des Bundesgerichtshofes (BGH) in seiner Entscheidung 1 StR 32/13. Kernaussage des Urteilsspruches ist: Die GPS – Überwachung / das GPS – Tracking von Personen ist grundsätzlich verboten. Grundsätzlich heißt hier: Nicht immer. Vielmehr verweist der BGH in seinem Urteil auf eine Abwägung der widerstreitenden Interessen, die in dem dem Urteil zugrunde liegenden Fall nicht vorgenommen wurde. Widerstreitende Interessen sind z. B. in einem Ermittlungsfall das Interesse des Unternehmers an der Aufklärung eines Diebstahles im Unternehmen (Art. 14 Abs. 1 GG) und auf der anderen Seite das Interesse zur Wahrung der Persönlichkeitsrechte bzw. der informationellen Selbstbestimmung des von den Ermittlungen Betroffenen (Art 1 f). Wann nun die Gewichtung der Interessensabwägung zu Gunsten des Unternehmers ausfällt und einzelne, die Persönlichkeitsrechte des Betroffenen einschränkende Ermittlungsmaßnahmen erlaubt, unterliegt einer Betrachtung des Einzelfalls.
Einen Anhalt gibt dazu das Bundesarbeitsgericht (BAG) in seinen Entscheidungen. Im Urteil des Bundesarbeitsgerichtes vom 21.6.2012, 2 AZR 153/11 heißt es dazu unter Rn 29:
- a) Bei der Abwägung zwischen dem Interesse an einer funktionstüchtigen Rechtspflege und dem Schutz des informationellen Selbstbestimmungsrechts als Ausfluss des allgemeinen Persönlichkeitsrechts hat das Interesse an der Verwertung der einschlägigen Daten und Erkenntnisse nur dann höheres Gewicht, wenn weitere, über das schlichte Beweisinteresse hinausgehende Aspekte hinzukommen, die ergeben, dass das Verwertungsinteresse trotz der Persönlichkeitsbeeinträchtigung überwiegt. Allein das Interesse, sich ein Beweismittel zu sichern, reicht nicht aus (BVerfG 13. Februar 2007 - 1 BvR 421/05 - BVerfGE 117, 202). Die weiteren Aspekte müssen gerade eine bestimmte Informationsbeschaffung und Beweiserhebung als schutzbedürftig qualifizieren (BVerfG 9. Oktober 2002 - 1 BvR 1611/96, 1 BvR 805/98 - zu C II 4 a der Gründe, BVerfGE 106, 28; BAG 13. Dezember 2007 - 2 AZR 537/06 - Rn. 36, AP BGB § 626 Nr. 210 = EzA BGB 2002 § 626 Nr. 20; vgl. zur Problematik auch BAG 23. April 2009 - 6 AZR 189/08 - BAGE 130, 347).
- h., das bloße Interesse an der Aufklärung des Diebstahls reicht nicht aus. Zudem wurde im vorgenannten Urteil nicht über die Rechtmäßigkeit der Maßnahme entschieden sondern über die Verwertungsfähigkeit im Verfahren vor dem Arbeitsgericht. Es müssen also weitere Umstände hinzukommen, um solche schwerwiegenden Eingriffe in das Persönlichkeitsrecht bzw. der informationellen Selbstbestimmung des Betroffenen zu rechtfertigen. Aufschluss darüber, was solche zusätzlichen Umstände sein können, gibt das Bundesarbeitsgericht in seiner Entscheidung vom 16.12.2010, 2 AZR 485/08. Dort heißt es unter Rn 39:
- bb) Das Persönlichkeitsrecht des Arbeitnehmers im Arbeitsverhältnis wird allerdings nicht schrankenlos gewährleistet. Eingriffe in das Persönlichkeitsrecht des Arbeitnehmers können durch Wahrnehmung überwiegend schutzwürdiger Interessen des Arbeitgebers gerechtfertigt sein.
...
Vielmehr müssen weitere Aspekte hinzutreten, die trotz der Persönlichkeitsbeeinträchtigung eine bestimmte Informationsbeschaffung und Beweiserhebung als schutzbedürftig qualifizieren. Im Zivilprozess kann es insbesondere Situationen geben, in denen sich der Beweisführer in einer Notwehrsituation oder einer notwehrähnlichen Lage befindet (BVerfG 9. Oktober 2002 - 1 BvR 1611/96 - und - 1 BvR 805/98 - aaO; siehe auch Stein/Jonas//Leipold aaO § 284 Rn. 62 f.).
...
Maßnahmen wie die GPS – Überwachung oder das GPS - Tracking werden regelmäßig also nur dann rechtmäßig sein, wenn für den Unternehmer eine notwehrähnliche Situation oder eine Notwehrsituation vorliegt. Eine notwehrähnliche Situation liegt vor, wenn die zu beweisende Tat durch andere, weniger in das Persönlichkeitsrecht eingreifende Maßnahmen nicht oder nur mit unverhältnismäßigem Aufwand beweisbar ist.
Wie findet nun eine solche Interessensabwägung statt? Zunächst sehen wir uns an, welche Unterschiede an Fahrzeugen es gibt. Da sind
a, Privatfahrzeuge, deren Überwachung mit GPS – Sendern den größten Eingriff in die Persönlichkeitsrechte bzw. der informationellen Selbstbestimmung des Betroffenen darstellen dürfte (in Betracht kommt hier auch eine Besitzstörung nach §862 BGB, die zu einen Rechtsanspruch des Betroffenen führen kann),
b, Firmenfahrzeuge mit privater Nutzung, deren Überwachung mit GPS – Sendern zumindest während der Arbeitszeit nach einer Interessensabwägung erlaubt sein kann,
c, Firmenfahrzeuge ohne private Nutzung, deren Überwachung mit GPS – Sendern während der gesamten Zeit nach einer Interessensabwägung erlaubt sein kann.
Grundsätzlich ist immer der geringstmögliche Eingriff in das Persönlichkeitsrecht bzw. der informationellen Selbstbestimmung des Betroffenen als Ermittlungsmaßnahme zu wählen. Betrachten wir die im Arbeitsleben häufig vorkommende Situation des Firmenfahrzeuges mit privater Nutzung, so ist der GPS – Sender so zu programmieren, daß der von den Ermittlungen Betroffene ausschließlich während der Arbeitszeit überwacht wird. Die Überwachung Unbeteiligter, hier nach Feierabend die (mögliche) Ehefrau oder andere Familienmitglieder, muß unbedingt ausgeschlossen werden. Erwägenswert und vermutlich der geringstmögliche Eingriff in die Persönlichkeitsrechte wäre die Nutzung des GPS – Senders als Peilsender. Hier wird der Betroffene von einem Detektiv physisch observiert. Der GPS – Sender dient hier lediglich als Backup für den Fall, daß der Betroffene dem Blickfeld entschwindet. In diesem Fall wird ein Ping gesetzt und der gegenwärtige Aufenthalt des Betroffenen bestimmt. Der Einsatz des GPS – Senders ist zu dokumentieren.
GPS – Überwachung | GPS – Tracking | EU – DSGVO und BDSG konform
Die erste Frage, die sich stellt ist: Handelt es sich bei einer GPS Überwachung bzw. dem GPS Tracking überhaupt um eine Erhebung, Speicherung oder Verarbeitung von personenbezogenen Daten? Dies ist eindeutig zu bejahen, sofern Personen überwacht werden sollen. Bei einem Warentracking oder Containertracking ist die Frage zu verneinen. Die GPS Überwachung bzw. das GPS Tracking bei einer Observation dient ja gerade dazu eine Person zu überwachen. Die anfallenden Trackingdaten sind einer Person eindeutig zuzuordnen.
Einschlägig in de
r EU – DSGVO ist Art. 6 Abs. 1 lit. f) und Art. 6 Abs. 1 iVm § 26 Abs. 1 BDSG. Im Ergebnis steht am Anfang eine Erforderlichkeitsprüfung (die GPS Überwachung bzw. das GPS Tracking muß Zur Überführung des Täters bzw. zum Beweis der Straftat geeignet sein) sowie eine Interessensabwägung der widerstreitenden Interessen des Unternehmens und des Betroffenen. Nach herrschender Meinung müssen zwingend „... begründete und klar dokumentierte Anhaltspunkte dafür vorliegen, dass der Beschäftigte eine Straftat begangen hat, die mittels der Ortungstechnik beweisbar wird. ...“ (Quelle: LfD RLP).
Wie geht es weiter?
Kommt man nun zu dem Schluss, die GPS – Überwachung bzw. das GPS – Tracking ist erforderlich und verhältnismäßig, stellen sich beim Einsatz die nächsten rechtlichen Hürden, die eine Verwertung der Trackingdaten verhindern können.
Von Bedeutung sind hier die Grundsätze der Datenverarbeitung:
Zweckbindung, bedeutet
der Zweck (hier die Überführung eines Straftäters) der Datenerhebung muß eindeutig festgelegt sein.
Datenminimierung (auch Datensparsamkeit), bedeutet
es dürfen nicht mehr Daten erhoben werden, als für die Überführung des Straftäters unbedingt nötig.
Richtigkeit der Datenverarbeitung, bedeutet
die Daten müssen „sachlich richtig“ sein und es müssen Maßnahmen getroffen werden, daß mögliche unrichtige Daten unverzüglich gelöscht oder berichtigt werden.
Speicherbegrenzung, bedeutet
die Identifizierung der betroffenen Person darf nur solange möglich sein, wie es für die Beweisführung bzw. Beweisverwertung (ist hier der Zweck der Verarbeitung) unbedingt nötig ist.
Integrität und Vertraulichkeit, bedeutet
die Daten müssen so verarbeitet werden, daß mit geeigneten technischen und organisatorischen Maßnahmen eine angemessene Sicherheit der personenbezogenen Daten gewährleistet werden kann. Einbezogen ist hier auch der Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung.
Unter Betrachtung der Grundsätze der Datenverarbeitung ergeben sich Erfordernisse für die technische Beschaffenheit des Trackers, die technische Beschaffenheit und geografische Lage der Server, auf denen die Daten gespeichert oder verarbeitet werden sowie der organisatorischen Maßnahmen im Umgang mit den personenbezogenen Daten, die ja die Trackingdaten darstellen. Häufige Fehler sind
- der Einsatz falscher Tracker. GPS – Tracker mit integrierter Audioüberwachung sind in letzter Zeit vielfach im Handel. Der Einsatz der Audioüberwachung wird kaum unbedingt nötig sein und verstößt gegen den Grundsatz der Datensparsamkeit.
- die falsche Programmierung der Tracker. Tracker, die ein 24 Stunden Bewegungsprofil aufzeichnen, verstoßen z. B. bei Kfz. mit privater Nutzung gegen den Grundsatz der Datenminimierung (Datensparsamkeit) und ggfls. auch gegen den Grundsatz der Richtigkeit der Datenverarbeitung, da hier auch ein Familienmitglied im Fokus der Aufzeichnungen stehen kann. Weiter müssen unbedingt die Standardpasswörter im Tracker geändert werden. Bei der internen Speicherung des Bewegungsprofils könnte praktisch jeder, der den Tracker zufällig findet, darauf zugreifen. Letzteres stellt einen Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit dar.
- die falsche Wahl der Ortungsplattform. Viele der Ortungsplattformen werden auf Servern in China oder Russland gehostet. Die dort herrschenden rechtlichen Rahmenbedingungen (auch die anderer Drittländer) entsprechen nicht den Anforderungen der EU – DSGVO und stellen einen Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit dar. Sichere Drittstaaten waren Stand 25. Mai 2018: Andorra, Argentinien, Kanada (nur kommerzielle Organisationen), Färöer, Guernsey, Israel, Isle of Man, Jersey, Neuseeland, Schweiz, Uruguay, Japan und die USA (USA nur dann, wenn der Empfänger dem Privacy Shield angehört). In diese ist die Datenübermittlung daher ausdrücklich gestattet. Neu, Stand 01.08.2021: Mit Urteil vom 16.07.2020 (Rechtssache C-311/18, Schrems II) hat der Europäische Gerichtshof (EuGH) den Angemessenheitsbeschluss der EU-Kommission zur Datenübermittlung in die USA (sog. „Privacy Shield Abkommen“) für ungültig erklärt. Zwingend müssen nun sog. Standardvertragsklauseln abgeschlossen werden. Und weiter hat am 28. Juni 2021 die EU-Kommission einen Angemessenheitsbeschluss gem. Art. 45 DSGVO erlassen, wonach Großbritannien (nach dem Brexit) dauerhaft als sicherer Drittstaat eingestuft wird.
- fehlende Auftragsverarbeitungverträge (AV) mit den Auftragsverarbeitern. Auftragsverarbeiter sind hier die Unternehmen, auf deren Servern die Daten gehostet werden.
- fehlende Aufnahme der Datenverarbeitung, hier die Ortungsdaten, in das Verarbeitungsverzeichnis.
- fehlende Datenschutzfolgeabschätzung, die vom Verantwortlichen (der, der hier die Daten erhebt) bei einer umfassenden GPS – Überwachung bzw. der Erhebung von umfassenden Trackingdaten durchzuführen ist.
Diese Fehler können, müssen aber nicht, zu einem Beweisverwertungsverbot vor Gericht führen. Neben den Rechtsfolgen mit drohenden hohen Bußgeldern für den Verantwortlichen ist ein Beweisverwertungsverbot sicher der Worstcase in einem Gerichtsverfahren.
