Der Essensliefergigant Lieferando wird wegen weitreichendem GPS-Tracking seiner Mitarbeiter überprüft. Der Datenschutzbeauftragte von Baden-Württemberg ging einer Beschwerde eines Fahrers nach und ordnete die Intensität des GPS-Tracking als rechtswidrig ein. Da Lieferando Teil eines niederländischen Mutterkonzerns ist, muss sich die niederländische Datenschutzbehörde mit einer möglichen Strafe beschäftigen. Gemessen am Jahresumsatz, ist ein Bußgeld von bis zu 96 Millionen Euro denkbar.
Das Konzept hinter Lieferando
Gaststätten in allen Formen, Cafés, Restaurants oder Imbisse, können ihr Angebot über Lieferando Online verfügbar machen: Kunden suchen auf der Seite nach Eingabe ihrer Adresse ein Restaurant aus und bestellen bei diesem Restaurant über die Webseite. Wenn die Gaststätte keine eigenen Fahrer einstellt, holen Fahrer von Lieferando (per Fahrrad oder Auto) die gewünschte Bestellung ab und bringen sie an die Haustür des Kunden.
Um Fahrten und Bestellungen organisieren zu können – und um die Mitarbeiter bei den Fahrten über GPS-Tracking mitverfolgen zu können – wird die vom Unternehmen entwickelte App „Scoober“ genutzt. Diese sammelt und speichert Standortdaten mit Zeitstempel. Pro Lieferung werden laut Bayerischen Rundfunk, der Recherchen zum Tracking durch Lieferando anstellte, um die 40 Datensätze gespeichert. Diese Datensätze sind personalisiert, sie können also individuell einem Fahrer zugeschrieben werden.
Die betroffenen personenbezogenen Daten
Nachdem sich ein Fahrer mit seinem/ihrem Namen und Anmeldedaten in die App loggt, werden unter anderem folgende Daten festgehalten und mitverfolgt: Zeitpunkte der Bestellungszuteilung, Abholung und Auslieferung, Standortdaten in Abständen von wenigen Sekunden, sowie Daten über die Einhaltung von Zeitangaben. Kommt ein Fahrer später als vorgegeben an einer Gaststätte zur Abholung an, kann diese Verspätung in der App aufgezeichnet werden. Diese Aufzeichnungen können über mehrere Jahre gespeichert werden.
Dass Fahrten grundsätzlich verfolgt werden können bzw. sollten, wird im Falle eines Lieferungsdienstes überwiegend nicht hinterfragt. Lieferando argumentiert, die Fahrer-App entspreche den datenschutzrechtlichen Vorgaben. Die Datensammlung sei in diesem Maße für die Betriebsorganisation notwendig. Die Daten werden laut des Unternehmens nicht zur Leistungskontrolle seiner Mitarbeiter genutzt.
Die Dauer und Mengen der gespeicherten personenbezogenen Daten werden allerdings scharf kritisiert.
Die Auseinandersetzung mit dem weitreichenden GPS-Tracking und der Organisation der Mitarbeiter begann damit, dass sich mehrere Fahrer direkt an Lieferando richteten und eine Auskunft nach Art. 15 DSGVO über die von der App gespeicherten Daten forderten.
Rechtlicher Rahmen
Eine solche Überwachung ist im Grundsatz möglich. Die Datensammlung in Bezug auf Überwachungen von Betroffenen (beispielsweise Arbeitnehmern) muss erforderlich und transparent sein. Nur die Daten, die für den rechtmäßigen Zweck – das begründete Interesse des Verantwortlichen (zum Beispiel des Arbeitgebers) an bestimmten Daten – wirklich nötig sind, dürfen für einen bestimmten Zeitraum aufgenommen werden.
Art. 15 DSGVO definiert das Auskunftsrecht betroffener Personen. Dieses Auskunftsrecht formuliert gleich zwei Rechte von Personen. Zunächst sagt Art. 15 DSGVO aus, dass ein Recht dazu besteht zu erfahren, ob Daten von der verantwortlichen Stelle verarbeitet werden. Wird eine Verarbeitung bejaht, kann die betroffene Person gewisse Informationen über diese Verarbeitung einfordern (zweites aus Art. 15 DSGVO ableitbares Recht). Unter anderem sind diese Informationen die Gründe (Verarbeitungszwecke), Arten (Kategorien personenbezogener Daten), wer diese Daten einsehen kann (Empfänger oder Kategorien von Empfängern) und die Speicherungsdauer. Diese Auskunft beinhaltet außerdem die Information über Berichtigungs-, Löschungs-, Verarbeitungseinschränkungs-, Widerspruchs- und Beschwerderechte der Betroffenen (Art. 15 Absatz 1 Buchstaben e,f DSGVO).
Einem Auskunftsrecht geht die verantwortliche Stelle nach, indem eine Übersicht der personenbezogenen Daten zusammengestellt und übermittelt wird. Zudem besteht ein Recht auf Kopie.
Bußgeld und Ausblick
Die DSGVO legt fest, dass eine Bußgeldhöhe von bis zu vier Prozent des vorjährigen Umsatzes angesetzt werden kann – für den Mutterkonzern könnte dies eine Strafe in Höhe von 96 Millionen Euro bedeuten (Art. 83 DSGVO).
Der Datenschutzbeauftragte von Baden-Württemberg überprüfte die Beschwerde eines Fahrers des Unternehmens und ordnete die Intensität des GPS-Tracking als rechtswidrig ein. Da Lieferando Teil eines niederländischen Mutterkonzerns ist, muss sich die niederländische Datenschutzbehörde mit einer möglichen Strafe durch weitere Prüfungen beschäftigen.
Verantwortliche Stellen sind dazu verpflichtet, einer Anfrage nach Auskunft nachzugehen. Hierfür empfiehlt es sich, ein internes Konzept zu entwickeln und zu dokumentieren, wo im Unternehmen welche Daten von wem aufgenommen und gespeichert werden. Wir können Ihnen dabei helfen und stehen jederzeit für weitere Fragen zur Verfügung.
Zögern Sie nicht, uns zu kontaktieren!
Ihre Datenschutzbeauftragten
Diese Fachbeiträge könnte Sie zu Tracking und Datenschutz am Arbeitsplatz interessieren:
- Kontaktverfolgungsapp „Luca“
- Checkliste: Datenschutz im Homeoffice
- Plötzlich Videokonferenzen – und nun?