Datenschutz im Fuhrpark: Ein Überblick

Die europäische Datenschutz-Grundverordnung (DSGVO) wurde am 27. April 2016 verabschiedet und gilt seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten. Mit der DSGVO hat die EU die Rechte und Freiheiten bei der Verarbeitung von personenbezogenen Daten vereinheitlicht. Solche Daten dürfen seitdem nur verarbeitet werden, wenn dafür eine Rechtsgrundlage wie die Erfüllung eines Vertrags besteht.

Für Unternehmen, die ihren Sitz in der EU haben oder Waren und Dienstleistungen innerhalb der EU verkaufen, gelten daher besondere Grundsätze zum Umgang mit personenbezogenen Daten. 

Der datenschutzrechtliche Rahmen gilt auch für den Datenschutz bei Führerscheinkontrollen. Die konkreten Halterpflichten und Anforderungen an die Kontrolle selbst ergeben sich dagegen aus nationalem Recht. 

Verstoßen Unternehmen oder öffentliche Stellen gegen die Anforderungen der DSGVO, können Betroffene Schadensersatz fordern. Zusätzlich drohen dem Unternehmen bei schwerwiegenden Verstößen Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – je nachdem, welcher Betrag höher liegt.

Grundsätzlich geht es in der DSGVO immer um personenbezogene Daten. Dazu zählen alle Informationen, die an eine identifizierbare Person gekoppelt sind. 

Im Fuhrpark gehören dazu beispielsweise:

• Name, Anschrift und Kontaktdaten
• Führerscheindaten
• Fahrtrouten und Standortdaten
• Daten aus Tankkarten
• Lenk-, Pausen- und Ruhezeiten
• Daten aus Leasing- und Fahrzeugüberlassungsverträgen
• Daten aus Telematik- und Fahrzeugsystemen
• generell Daten aus Privatfahrten

Damit bergen selbst Telematiksysteme im Fuhrpark ein Risiko: Dadurch erfasste Daten können personenbezogen sein, wenn sie einem bestimmten Fahrer zugeordnet werden können.

Für den Datenschutz im Fuhrpark heißt das konkret: Es werden nur erforderliche Daten erhoben – nicht automatisch ein Führerscheinfoto oder Geburtsdatum. Die Daten müssen sicher verarbeitet werden und dürfen nur so lange gespeichert werden, wie es der jeweilige Zweck – etwa die Durchführung und Dokumentation der Führerscheinkontrolle – erfordert.

Bei der Führerscheinüberprüfung gelten die Vorgaben der DSGVO, sobald personenbezogene Daten verarbeitet werden. Gerade im Fuhrpark ist eine solche Erhebung von Daten unvermeidbar. Denn dort, wo Fahrzeuge des Unternehmens den Mitarbeitenden überlassen werden, sind rechtliche Dokumentationen zwingend notwendig. 

Eine der Dokumentationen ist die Führerscheinkontrolle im Fuhrpark. Vor der ersten Fahrt mit dem Dienstwagen muss das Unternehmen sichergehen, dass der Fahrer oder die Fahrerin im Besitz der entsprechenden Fahrerlaubnis ist. 

Die Pflicht zur Kontrolle der Führerscheine delegiert die Unternehmensleitung meist mit der Halterhaftung an die Fuhrparkverantwortlichen. Diese müssen auch nach der Erstüberprüfung und Erhebung der Führerscheindaten regelmäßig die Führerscheine der FahrerInnen überprüfen. Ein konkretes Kontrollintervall schreibt § 21 Straßenverkehrsgesetz (StVG) nicht vor. In der Fuhrparkpraxis werden jedoch zwei Kontrollen pro Jahr empfohlen. Je nach Fahrzeugnutzung und konkreten Risikohinweisen können jedoch zusätzliche Kontrollen sinnvoll oder erforderlich sein. 

Wichtig: Sowohl die Erstkontrolle als auch die halbjährliche Führerscheinkontrolle vom Arbeitgeber sollte genau dokumentiert werden, damit die Fuhrparkleitung im Falle eines unerlaubten Fahrens seitens der FahrerInnen abgesichert ist. Die Dokumentation und somit die Verarbeitung personenbezogener Daten ist daher eng mit den Halterpflichten verbunden.

Für die Verarbeitung personenbezogener Daten gelten verschiedene Grundsätze. Dazu gehören unter anderem Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Wann immer Datenerhebungen notwendig sind, müssen die Verantwortlichen sicherstellen, dass die strengen Gesetze zum Datenschutz eingehalten werden. 

Werden personenbezogene Daten verarbeitet, braucht es dafür eine entsprechende Rechtsgrundlage. 

Art. 6 Abs. 1 DSGVO nennt unter anderem:

• Einwilligung der betroffenen Person
• Erfüllung eines Vertrags oder vorvertragliche Maßnahmen
• Rechtliche Verpflichtung des oder der Verantwortlichen
• Wahrung berechtigter Interessen (bei Wahrung der Grundrechte)

Zudem dürfen personenbezogene Daten grundsätzlich nur für festgelegte und legitime Zwecke verarbeitet werden. Die Datenverarbeitung aufgrund rechtlicher Verpflichtungen wie der Führerscheinkontrolle im Unternehmen berechtigt laut Art. 6 Abs.1 lit.c DSGVO zur Erhebung von Daten. 

Ein Beispiel für die Zweckbindung: Werden Führerscheindaten ausschließlich für die Kontrolle erhoben, dürfen sie nicht genutzt werden, um die Geburtstage der Mitarbeitenden zu ermitteln.

So viele Daten wie nötig, so wenige wie möglich: Dieser Grundsatz ist gerade in puncto Datenschutz bei der Führerscheinkontrolle relevant. Schließlich dürfen laut DSGVO nur die für den Zweck nötigen Daten erhoben werden. Führerscheinfoto und Ausstellungsort gehören nicht zwingend dazu.

Dementsprechend kann die elektronische Führerscheinkontrolle die DSGVO-Anforderungen an die Datenminimierung unterstützen: Eine gute Kontrollsoftware erkennt den Führerschein der Mitarbeitenden direkt auf dem Endgerät, ohne unnötige Daten zu speichern. 

Wie lange Daten gespeichert werden dürfen, hängt vom jeweiligen Fall ab. Grundsätzlich gilt: Sobald personenbezogene Daten für den Erhebungszweck nicht mehr gebraucht werden, gehören sie gelöscht. Allerdings sollten Verantwortliche vor allem im Fuhrpark immer im Hinterkopf behalten, dass dies nicht gleich mit der Kündigung oder der Rente der Mitarbeitenden der Fall ist.

Bußgeldbescheide, Versicherungsangelegenheiten oder strafrechtlich relevante Anfragen im Zusammenhang mit der Fahrzeugnutzung können mit Verspätung im Unternehmen eintreffen. Dementsprechend gilt es, die Daten so lang wie nötig, aber so kurz wie möglich zu speichern. Außerdem wird den Betroffenen auch ein Recht auf Löschung der Daten zugesprochen.

Alle Bemühungen des Datenschutzes sind nur so effektiv wie der Schutz der Daten vor fremdem Zugriff, Verlust und Manipulation. Dementsprechend müssen Papierunterlagen physisch so aufbewahrt werden, dass nur befugte Personen darauf zugreifen können. Für digitale Prozesse sind technische und organisatorische Maßnahmen erforderlich.

Bei einer elektronischen Überprüfung der Fahrerlaubnis sollte Datenschutz deshalb bereits bei der Auswahl des Systems eine Rolle spielen. Relevant sind beispielsweise die Zugriffsrechte und die Verschlüsselung bei der Datenübertragung zu sicheren Servern. Unternehmen können die Führerscheinkontrolle direkt in die bestehende Software integrieren oder per Anbieter-App erledigen.

Unternehmen müssen prüfen, ob für ihre Datenverarbeitung ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO erforderlich ist. Auch Unternehmen mit weniger als 250 Mitarbeitenden können dazu verpflichtet sein, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder bestimmte weitere Voraussetzungen erfüllt sind.

Das Verzeichnis dokumentiert relevante Tätigkeiten rund um die Datenverarbeitung, unter anderem betroffene Personengruppen, Verarbeitungszweck und Löschfristen. Dieses Verfahren soll Transparenz darüber schaffen, wo und wie personenbezogene Daten erhoben und gespeichert werden. Die zuständige Aufsichtsbehörde muss auf Anfrage Einsicht erhalten.

Datenschutzrechtlich verantwortlich ist grundsätzlich das Unternehmen als Verantwortlicher im Sinne der DSGVO. Die Fuhrparkleitung muss die Datenschutzvorgaben jedoch in ihrem Arbeitsbereich berücksichtigen. Das bedeutet insbesondere: nur erforderliche Daten verarbeiten, Zugriffe begrenzen, Daten angemessen schützen und klare Regeln für Speicherung und Löschung festlegen.

Lösungen wie die digitale Führerscheinkontrolle führen DSGVO und Halterpflichten zusammen. Schon die Wahl der Kontrollmethode entscheidet darüber, welche Daten überhaupt entstehen. Neben dem Datenschutz sollten Fuhrparkverantwortliche auch Ablauf und rechtliche Anforderungen an die elektronische Führerscheinkontrolle im Blick behalten.

Im kommenden Beitrag unserer Datenschutzreihe betrachten wir deshalb die Maßnahmen zum Datenschutz bei der elektronischen Führerscheinkontrolle und Software und Methoden im Vergleich.