Nachdem in der Vergangenheit bereits Europcar einmal bzgl. der unzulässigen Aufzeichnung von Bewegungsdaten seiner Fahrzeugmieter in den Fokus der Aufsichtsbehörden geriet, schickt sich nun erneut ein Autovermieter an, diesbzgl. auf sich aufmerksam zu machen.

Im Rahmen eines Strafverfahrens aufgrund eines Tötungsdelikts im Straßenverkehr hat das Landgericht Köln von DriveNow Bewegungsdaten eines ihrer Fahrzeuge angefordert. Hintergrund war, dass das Fahrzeug unfallbeteiligt und der Fahrer und Entleiher der Hauptverdächtige als mutmaßlicher Unfallverursacher war. Nach Auswertung der Daten erhärtete sich der Tatverdacht, so dass der Angeklagte im Mai dieses Jahres wegen fahrlässiger Tötung zu 33 Monaten Haft verurteilt wurde. Anhand der Wegstrecke und der Geschwindigkeit konnte ein Bewegungsprofil erstellt werden.

DriveNow ist der von BMW und Sixt gemeinsam betriebene Car-Sharing-Dienst. Dass bei der Registrierung und Nutzung eines solchen Dienstes personenbezogene Daten der Kunden erhoben und verarbeitet werden müssen, ist grundsätzlich klar und in der Regel unproblematisch. Dies sind in der Regel bei der Registrierung zum Carsharing der Name, E-Mail-Adresse, Adresse, Wohnort, Mobilfunknummer, Geburtsdatum, Kontodaten sowie Ausstellungsland und –datum des Führerscheins. Daneben werden zum Teil auch gefahrene Kilometer und Standortdaten erhoben, um nachweisen zu können, wo der Wagen entliehen und wieder abgestellt worden ist. So weit, so gut.

Die Verknüpfung des Namens mit der gefahrenen Strecke, bzw. der Entleihdauer ist zur Abrechnung zulässig, denn diese Daten sind in der Regel gemäß § 28 Abs. 1 S. 1 Nr. 1 BDSG zur Durchführung des Mietverhältnisses erforderlich.

GPS Positionsdaten

Problematisch ist die Speicherung von Positionsdaten jedoch dort, wo diese nicht nur der Anzeige des nächsten verfügbaren Wagens oder Abrechnungszwecken dienen. Aus der Datenschutzerklärung von DriveNow ergibt sich nicht, dass die Positionsdaten für andere Zwecke verwendet werden.

Bewegungsprofile

Wie jedoch das manager-magazin in der August-Ausgabe berichtet, werden bei DriveNow-Kunden während der Fahrt die Wegstrecke, Geschwindigkeit und die Position des zur Buchung verwendeten Smartphones erhoben und gespeichert. Doch es stellt sich die Frage, ob DriveNow diese Daten überhaupt zulässigerweise hätte erheben dürfen? Die Rechtmäßigkeit des Erstellens des Bewegungsprofils richtet sich nach § 4 Abs. 1 BDSG. Erforderlich ist daher eine Rechtsvorschrift oder die Einwilligung des Fahrers, die das Anlegen eines Bewegungsprofiles erlaubt hätte.

In den AGB heißt es, dass DriveNow berechtigt ist, die angegebenen personenbezogenen Daten einschließlich der kundenbezogenen Nutzungs- und Fahrzeugdaten (einschließlich Daten zur Lokalisierung des Fahrzeugs) zu erheben, zu verarbeiten und zu nutzen, soweit dies zum Zweck der Durchführung des DriveNow Rahmenvertrages und der Einzelmietverhältnisse erforderlich ist.

Eine Einwilligung in das Erstellen von Bewegungsprofilen ist hierin nicht zu sehen, vielmehr nur eine Information über den Umfang und den Zweck der Datenverarbeitung, sowie über die Art der Daten.

Somit kommt hier nur § 28 BDSG in Betracht.

Es ist aber vorliegend nicht ersichtlich, woraus sich ein berechtigtes Interesse seitens DriveNow ergeben sollte, die vollständigen Fahrten zu tracken und hierrüber Bewegungsprofile zu erstellen.

Nach hier vertretender Ansicht, war das ständige Abrufen und Speichern der Positionsdaten und das Erstellen eines Bewegungsprofiles hieraus vorliegend unzulässig. Ob sich nun die Aufsichtsbehörde in Ansbach mit der Angelegenheit befasst, bleibt abzuwarten.

Gerichtliche Verwertbarkeit unzulässig erhobener personenbezogene Daten?

Ungeachtet des Totschlagarguments, dass Datenschutz Täterschutz sei, stellt sich die Frage, ob und in welchem Umfang unzulässig erhobene oder zweckentfremdet genutzte Daten zu Beweisverwertungsverboten führen. Diese Frage ist auch unter Juristen äußerst umstritten, wie man aus den jüngsten uneinheitlichen Rechtsprechung zur Dashcamproblematik sehen kann. Einige Gerichte betonten, dass das Interesse der Allgemeinheit an der Sicherheit des Straßenverkehrs gegenüber dem allgemeinen Persönlichkeitsrecht des Einzelnen überwiege.

Unsere Gesellschaft muss sich aber schon die Frage stellen, ob sie es gutheißen will, dass ohne ausreichende Information, geschweige denn einer wirksamen Einwilligung, Unternehmen Bewegungsprofile erstellen können und diese dann auch vom Rechtsstaat im Zweifel gegen den Angeklagten verwendet werden können. Dass im vorliegenden Fall ein Täter mit an Sicherheit grenzender Wahrscheinlichkeit zu Recht verurteilt worden ist, tut hier nichts zu Sache. Es handelt sich um eine gesamtgesellschaftliche Diskussion, die sich im Kern darum dreht, ob wir es in Ordnung finden, dass alles was wir in der analogen oder digitalen Welt tun, aufgezeichnet und verwendet wird, ohne dass uns die Verwendungszwecke bekannt sind.

Sofern vorliegend sogar eine, mit an Sicherheit grenzender Wahrscheinlichkeit unzulässige Datenerhebung keine Konsequenzen hat, stellt sich die Frage, welchen Sinn Datenschutzgesetzgebung dann noch erfüllen soll. Es mutet zumindest schlicht willkürlich an, dass es vom Einzelfall abhängig gemacht wird, ob eine massenhafte Datenspeicherung geduldet wird.

Fazit

Da es bei der Vielzahl der Nutzer von Carsharing-Diensten in der Regel nicht zu Unfällen oder gar Straftaten mit Todesopfern kommt, müssen deren personenbezogene Daten geschützt werden. Dies macht es, sehr milde formuliert, zumindest erforderlich in der Datenschutzerklärung auf das Anlegen eines Bewegungsprofils besonders hinzuweisen, bzw. eine Einwilligung für konkret angegebene Zwecke einzuholen. Ob dieser Ansatz auch nach Inkrafttreten der Datenschutzgrundverordnung und dem darin verankerten Kopplungsverbot helfen kann, kann aber bezweifelt werden.