Der Dienstwagen weiß, mit wem Beschäftigte telefonieren

Fahrzeughersteller und mögliche Datenpannen im Dienstwagen

Über die Telefonanlage verarbeiten Autohersteller Personendaten. Als Unternehmen mit Fuhrpark lässt sich diese Datenverarbeitung kaum kontrollieren. Verletzen Sie die Rechte der Beschäftigten? Wie umgehen mit Firmenwagen, Pool-Fahrzeug & Co.? Der Datentipp verräts.

Heutige Technik in Dienstwagen

Per Freisprecheinrichtung im Auto telefonieren? Heute selbstverständlich. Vorausgesetzt, Auto und Smartphone verstehen sich richtig. Viele Autohersteller bieten eine Freisprecheinrichtung ab Werk an. Diese lässt sich komfortabel bedienen und etwa über das Funktionslenkrad ansteuern.

Ohne tief in die Details zu gehen: Viele moderne Fahrzeuge besitzen heute ein so genanntes SIM Access Profile. So können sie Verkehrsmeldungen empfangen und eine Notruf-Funktion anbieten. Funktionen wie diese sind mittlerweile in vielen Dienstfahrzeugen vorhanden.

Datenschutz im Geschäftswagen früher und heute

Noch vor ein paar Jahren war die schwerwiegendste datenschutzrechtliche Gefahr eines Dienstwagens, dass jemand bei offenem Fenster mit der Freisprecheinrichtung telefoniert hat und irgendwer an der Ampel mitgehört hat.
Das Telefonieren bei offenem Fenster erscheint als datenschutzrechtlich eher kleine Nummer verglichen mit den heutigen Möglichkeiten – wo Fahrzeughersteller jederzeit auf die Bordelektronik zugreifen können.

Praxis-Beispiel: Die Rückgabe des Leasingfahrzeugs

Ein ganz alltäglicher Vorgang: Das geschäftliche Leasingfahrzeug wird zurückgegeben. Nun stellt sich die Frage: Wer löscht die Einträge im Telefonbuch? Wer löscht die Anrufliste mit den Nummern der Gesprächspartner und der jeweiligen Gesprächsdauer? Ich habe mein jetziges Auto als Gebrauchtwagen gekauft. Im Speicher lagen die Kontaktdaten zahlreicher Nutzer ebenso wie der Gesprächsverlauf. Mit wem wurde wann wie lang telefoniert? All diese Infos waren ungeschützt gespeichert.

Rechtliche Stolpersteine mit der Telefonanlage im Geschäftswagen

Rechtliche Verstöße rund um die Telefonanlage betreffen übrigens nicht nur den Datenschutz, auch das Fernmeldegeheimnis kann zum Tragen kommen. Und: Dass im Geschäftswagen ein Profil zu Telefonaten geführt wird (und übrigens auch zum Fahrverhalten, aber das ist eine andere Geschichte), dürfte den Betriebsrat interessieren: Auf welcher Rechtsgrundlage passiert das? Wer trägt dafür die Verantwortung? Wer bedient die Betroffenenrechte, wenn Beschäftigte Anfragen nach Artikel 15 der Datenschutz-Grundverordnung (DSGVO) stellen – und der Verantwortliche keinen Zugriff auf die Daten beim Hersteller hat? Was bedeutet es für den datenschutzrechtlichen Anspruch auf Datenlöschung, wenn das Fahrzeug den Fuhrpark verlässt und die Daten nicht mehr greifbar sind?

Das sind ein paar von vielen nicht oder nur unzureichend geklärten Fragen, wie der ADAC in aktuellen Untersuchungen immer wieder bestätigt. Derzeit ist nicht bekannt, dass Aufsichtsbehörden gegen diese Praxis der Fahrzeughersteller vorgehen, das dürfte aber nur eine Frage der Zeit sein.

Als Halter des Fahrzeugs sollten Verantwortliche versuchen, sich Klarheit zu verschaffen über heimliche (oder gar nicht so heimliche) Verarbeitung eigentlich geschützter Daten. Im Zweifel können Sie damit zumindest den Versuch nachweisen, Licht ins Dunkel zu bringen – und das kann gegenüber der Datenschutz-Aufsichtsbehörde einiges wert sein.

Risikofaktor Fahrzeughersteller

Theoretisch kennen Fahrzeughersteller Fahrerdaten nicht oder nur unzulänglich. Da sich aber kaum jemand in die Telefonie im Fahrzeug mit einem Aliasnamen einträgt und dazu Telefonnummern übertragen werden, kann der Hersteller diese Profilierung selbstverständlich ohne großen Aufwand im Detail vornehmen. Wären diese Abläufe wirklich datenschutzkonform, warum sollten die Hersteller so ein Geheimnis darum machen?

Es besteht also mutmaßlich das Risiko, dass personenbezogene Daten von Beschäftigten, die Fahrzeuge aus dem Fuhrpark nutzen, dem Verantwortlichen gegenüber Rechte haben (siehe Artikel 12–21 der DSGVO), die der Verantwortliche nicht erfüllen kann.

Übrigens, in Elektroautos verschärft sich die Situation gegenüber klassischen Verbrennern. Neu konstruierte Fahrzeuge liefern umso mehr Daten an die Hersteller.

Wie umgehen mit Datenverarbeitung durch Fahrzeughersteller?

Was können Unternehmen in Bezug auf den Fuhrpark tun? Verantwortliche müssen sicherstellen, dass die Verarbeitung personenbezogener Daten in ihrem Verantwortungsbereich so erfolgt, wie das die DSGVO, das Bundesdatenschutzgesetz (BDSG) und weitere datenschutzrechtliche Vorgaben fordern. Das können sie aber nur, wenn sie von den Herstellern erfahren, was mit den Daten geschieht. Diese Informationen verweigern viele Hersteller.

Als Halter ist Ihre einzige Chance, den Vertrag nach Informationen zum Datenschutz zu durchforsten. Erkenntnisse daraus sollten Sie in die Datenschutz-Informationen nach Artikel 13 bzw. 14 DSGVO aufnehmen. Informieren Sie Beschäftigte, die geschäftliche Fahrzeuge nutzen, dass Sie trotz intensiver Bemühung keine weiteren Informationen liefern können und möglicherweise weitere Daten verarbeitet werden, worauf Sie als Verantwortlicher keinen Zugriff haben.

Tipps für den Fuhrpark

So minimieren Sie Datenschutz-Stolperfallen bei Firmenwagen, Dienstwagen & Co.

Tipp 1

Klären Sie, welche Telefonfreisprechanlage zum Einsatz kommt und welche Daten dabei erhoben werden

Tipp 2

Verweisen Sie schon bei der Ausgabe dienstlicher Mobiltelefone auf mögliche Zugriffe durch den Hersteller

Tipp 3

Versuchen Sie, vom Hersteller genauere Informationen zu bekommen, und schalten Sie gegebenenfalls die Datenschutz-Aufsichtsbehörden ein

Tipp 4

Stellen Sie sicher, dass bei Fahrzeugen, die aus dem Fuhrpark ausscheiden, möglichst alle erreichbaren personenbezogenen Daten nachhaltig gelöscht werden

Tipp 5

Nehmen Sie in die Datenschutz-Informationen auf, dass mit der Fahrzeugnutzung auch Daten verarbeitet werden und, soweit bekannt, welche das sind

Tipp 6

Lesen Sie bei neuen Fahrzeugen und bei Leasingfahrzeugen genau nach, welche Daten mit der Nutzung verarbeitet werden – soweit die Hersteller das mitteilen

Tipp 7

Beantworten Sie Betroffenenanfragen innerhalb der vorgegebenen 30 Tage, falls nötig unter Hinweis auf die Weigerung des Herstellers, genaue Auskünfte zu geben

Und die Kernfrage: Kann sichergestellt werden, dass innerhalb des Einflussbereichs des Verantwortlichen personenbezogene Daten zum Telefonieverhalten gemäß den Vorgaben zum Datenschutz verarbeitet werden?