Die Europcar Autovermietung GmbH hat jahrelang einen Teil seiner Flotte heimlich mittels GPS-Ortung überwachen lassen und so ohne Wissen und Einverständnis der Kunden personenbezogene Ortungsdaten erfasst. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit ahndete diesen Verstoß gegen den Datenschutz nun mit einem Bußgeld in Höhe von € 54.000,00.
Wie durch einen Zufall bekannt wurde, ließ Europcar seit mindestens acht Jahren die Fahrzeuge seiner Luxusklasse mittels Satellitenortung verfolgen. In 1.300 Wagen dieser Kategorie, darunter Mercedes E-Klassen, 5er BMWs oder Audi Q7, waren GPS-Systeme installiert, mit Hilfe derer von einem externen Dienstleister die jeweiligen Standorte der Autos verfolgt wurden.
Aufgedeckt wurde dieses Vorgehen von Europcar im Zuge eines Gerichtsverfahrens Anfang des Jahres, als das Unternehmen Auszüge aus den Ortungsdaten in den Prozess einführte, worauf diesbezüglich Beschwerde bei der Hamburgischen Aufsichtsbehörde eingereicht wurde. Mit dem Vorwurf der rechtswidrigen Erhebung und Verarbeitung von Daten konfrontiert, gab Europcar an, die Übermittlung der Ortungsdaten diene dazu, Diebstähle aufzuklären. Zudem werde anhand der Daten überprüft, ob die Mieter der Autos sich im zulässigen Gebiet aufhielten und die Mietwagen nicht in vertraglich ausgeschlossene Länder überführten. Übertragen und aufgezeichnet wurden dabei neben dem Standort des Wagens auch Datum, Zeit und Geschwindigkeit.
Bei weiteren Ermittlungen der Aufsichtsbehörde stellte sich das Bild indes als unvollständig dar: So hat eine Vor-Ort-Kontrolle durch die Behörde ergeben, dass auch ohne Anlass zusätzlich alle 48 Stunden eine Ortung der Fahrzeuge vorgenommen wurde. Zudem erfolgte eine sofortige automatische Datenübermittlung im Falle, dass ein Mietwagen in ein Hafengebiet gelenkt wurde.
Da die Erhebung und Verarbeitung der Daten ohne Einwilligung der betroffenen Mieter erfolgte, war sie rechtswidrig. Zudem existierte zwischen Europcar und dem die Ortung durchführenden externen Dienstleister kein Vertrag zur Auftragsdatenverarbeitung, der den Anforderungen des Bundesdatenschutzgesetzes genügen würde. Die datenschutzrechtlichen Verstöße ahndete die Aufsichtsbehörde mit einem im bisherigen deutschen Vergleich recht hohen Bußgeld. Zwar sei nach der Behörde die Motivation des Unternehmens durchaus nachvollziehbar, doch stellt die heimliche Kontrolle der Mieter einen schwerwiegenden Eingriff in deren Persönlichkeitsrecht dar. Mittels der erhobenen Daten war Europcar in der Lage, Bewegungsprofile zu erstellen, die umfassend über das Verhalten der Mieter Aufschluss gaben. Nach Stellungnahme des Hamburgischen Datenschutzbeauftragten Johannes Casper werden die Mieter eines Wagens durch die anlassbezogene Ortung regelmäßig unter einen Generalverdacht gestellt. Maßgeblich für die Höhe des Bußgeldes war im vorliegenden Fall zudem, dass das Unternehmen der Aufsichtsbehörde zunächst keine vollständigen Auskünfte erteilt und trotz Aufforderung das unzulässige Verhalten zunächst nicht eingestellt hatte.
In der Zwischenzeit hat Europcar die automatische Ortung alle 48 Stunden abgestellt. Mieter werden über die mögliche Erhebung und Übermittlung von Ortungsdaten aus bestimmten Ländern informiert und im Rahmen des Mietvertrages um ihre Einwilligung gebeten. Eine weitere heimliche Überwachung ist damit ausgeschlossen.
Damit erfüllt Europcar nach Ansicht des Hamburgischen Datenschutzbeauftragten die Anforderungen an den datenschutzkonformen Einsatz von Ortungssystemen. Dieser setze zumindest eine vollständige Information über Art und Weise der Ortung sowie die ausdrücklich Einwilligung der Betroffenen in das Tracking voraus.
(Veröffentlichung auf der Seite des Hamburger Datenschutzbeauftragten am 17. Juli 2012)