Datenschutzverstoß=Bußgeld?

Nicht jeder Datenschutzverstoß führt zwangsläufig zu einem Bußgeld. Aufsichtsbehörden haben einen Spielraum, ob und wann sie ein Bußgeld verhängen. Dies durfte ein Aushilfsfahrer eines Kurierdienstes erfahren. Dieser Kurierdienst war Auftragnehmer eines Subunternehmens, welches wiederum Hauptauftraggeber hatte. Der Fahrer hatte zu Beginn seiner Tätigkeit beim Kurierdienst einen schwarzen Kasten im Fahrzeug gesehen und seinen Arbeitgeber gefragt, was dies denn sei. Dieser antwortete, es sei eine GPS-Ortung. Der Aushilfsfahrer und der Kurierdienst wurden nicht warm miteinander und so endete das Arbeitsverhältnis bereits in der Probezeit.

GPS-Ortung und Weitergabe von Telefonnummer als Datenschutzverstoß?

Der Aushilfsfahrer war mit der GPS-Ortung nicht einverstanden und informierte die Hauptauftraggeber des Subunternehmens schriftlich über diese Überwachung, von der er annahm, dass diese permanent die Beschäftigten überwache. Die Hauptauftraggeber forderten Aufklärung und fragten bei dem Subunternehmen nach. Dieses wiederum fragte den Kurierdienst nach der privaten Telefonnummer des Aushilfsfahrers. Der Kurierdienst teilte ihm diese mit. Das Subunternehmen beschwerte sich dann telefonisch bei dem Aushilfsfahrer über die Mitteilung an die Hauptauftraggeber.

Kurierfahrer fordert Konsequenzen – Datenschutzbehörde blieb gelassen

Der ehemalige Kurierfahrer wandte sich nun an die Datenschutzbehörde in Bayern und beschwerte sich über das GPS-Ortungssystem seines ehemaligen Arbeitgebers und über die Herausgabe seiner privaten Telefonnummer an das Subunternehmen. Die Aufsichtsbehörde sah keinen erwiesenen Datenschutzverstoß, da die GPS-Überwachung zu bestimmten Zwecken zulässig sei und die Weitergabe der Telefonnummer im Rahmen einer Interessenabwägung nach Art. 6 Abs. f DSGVO vertretbar sei. Bezüglich einer Informationspflicht über die GPS-Ortung wies die Behörde darauf hin, dass der Kurierdienst eine Information behauptete, der Kurierfahrer diese verneinte, letzterer aber die Beweislast für den behaupteten Datenschutzverstoß habe.

Gericht bremst den Kurierfahrer aus

Der Kurierfahrer gab sich damit nicht zufrieden und wollte ein Bußgeld verhängt sehen und verklagte die Aufsichtsbehörde auf die Verhängung. Das Verwaltungsgericht Ansbach stellte aber klar, dass solch ein Anspruch auf die Verhängung eines Bußgeldes nicht besteht.

Art. 58 Abs. 2 i DSGVO „gestattet“ den Aufsichtsbehörden unter verschiedenen Abhilfebefugnissen, wie bspw. eine Verwarnung, die Verhängung eines Bußgeldes zu wählen. Das Gericht sah in der Gestattung einen Ermessensspielraum für die Aufsichtsbehörden. Der Gesetzgeber zwinge die Behörden nicht dazu, sondern bietet ihr die Möglichkeit einer Verhängung.

Nur in Ausnahmefällen könne es dazu kommen, dass die Aufsichtsbehörde ein Bußgeld verhängen muss und man sie darauf auch verklagen könne, so das Gericht. Dann müsse aber eine sogenannte „Ermessensreduktion auf null“ vorliegen. Dies bedeutet, dass im Angesicht des Ermessensspielraums der Behörde nur noch das Bußgeld als Abhilfe infrage kommt, da alle anderen Abhilfebefugnisse nicht mehr die abschreckende Wirkung hätten, weitere Datenschutzverstöße zu begehen.

Davon ging das Gericht in diesem Fall aber gerade nicht aus. Das Gericht sah hier schon keinen Datenschutzverstoß. So sei die Weitergabe der Telefonnummer nicht rechtswidrig, da die Weitergabe aus Sicht des Kurierdienstes das berechtigte betriebliche und wirtschaftliche Interesse betraf. Vorwürfe vorliegender Art könnten für Vertragsbeziehungen zwischen Unternehmen relevant sein, ebenso das Interesse solche Vorwürfe aufzuklären. Außerdem stünde die Weitergabe im betrieblichen Zusammenhang, so dass gegenläufige Interessen des Kurierfahrers hier nicht überwiegen. Daher sei dies, wie die Aufsichtsbehörde angenommen hat, rechtlich vertretbar.

Auch den GPS-Einsatz sah das Gericht gemäß § 26 Abs. 1 S. 1 BDSG als gerechtfertigt an. Der Schutz von Betriebsmitteln könne einen GPS-Einsatz erforderlich machen. Wenn es um die Verpflichtung des Kurierdienstes ging, transparent nach Art. 13 DSGVO über die Datenverarbeitung mittels GPS zu informieren, mochte das Gericht einen Verstoß gegen den Datenschutz nicht vollständig ausschließen.

Im Ergebnis kommt das Gericht aber zu dem Schluss, dass die Aufsichtsbehörde nicht zwingend ein Bußgeld verhängen musste, um zukünftige Datenschutzverstöße zu verhindern. Eine Ermessenreduktion auf null lag nicht vor. Ein Verstoß gegen Transparenzpflichten aus Art. 13 DSGVO seien nicht so schwerwiegend, als dass nur ein Bußgeld in Frage käme.

Fazit

Die Verhängung eines Bußgeldes durch Aufsichtsbehörden ist kein Automatismus, wie es dieser Fall illustriert. Der Fall bestätigt, was die DSGVO selbst in Art. 83 Abs. 2 S. 1 benennt und ErwGr. 148 S. 2 konkretisiert: „je nach Umständen des Einzelfalls“. In den Erwägungsgründen wird darauf hingewiesen, dass im Falle eines geringfügigeren Verstoßes oder falls die voraussichtlich zu verhängende Geldbuße eine unverhältnismäßige Belastung für eine natürliche Person bewirken würde, anstelle einer Geldbuße eine Verwarnung erteilt werden kann.

Als Unternehmen sollte man sich daher bei Fragen von Aufsichtsbehörden kooperativ verhalten, aber auch bei verhängten Bußgeldbescheiden die Erfolgsaussichten von Rechtsmitteln prüfen.