Die europäische Daten­schut­z-Grund­ver­ordnung und Webfleet

Die DSGVO räumt Einzel­per­sonen ein hohes Maß an Kontrolle über ihre perso­nen­be­zo­genen Daten ein. Daten von einer bzw. über eine Einzel­person geben Aufschluss über deren Identität, Verhalten und Vorlieben. Kurz: Diese Daten zeigen, wer wir sind. Die DSGVO schreibt daher vor, dass Einzel­per­sonen bereits vorab umfassend darüber informiert werden müssen, was mit ihren Daten geschieht: Welche Daten werden warum, wie lange und von wem verwendet? Einzel­per­sonen müssen diese Vorgänge beein­flussen können, z.B. indem sie ihre Einwil­ligung erteilen oder einen Vertrag eingehen. Darüber hinaus müssen sie innerhalb bestimmter Rahmen­be­din­gungen die Möglichkeit erhalten, zum Beenden der Verwendung ihrer Daten aufzu­fordern.

Wenn Sie als Unternehmen entscheiden, wie Sie mit perso­nen­be­zo­genen Daten verfahren, müssen Sie sich der damit einher­ge­henden Verant­wortung bewusst sein und nachweisen können, dass Sie ordnungs­gemäß und unter Beachtung sowohl der Rechte des Einzelnen als auch der Bestim­mungen der DSGVO vorgehen. Beim Umgang mit Daten müssen Sie daher stets die Risiken für die betref­fenden Personen beachten. Das bedeutet unserer Auffassung nach, dass Sie jede Handhabung von Daten sowie Ihre Gründe für die Verar­beitung dieser Daten dokumen­tieren müssen. Die DSGVO sieht die Ernennung eines Daten­schutz­be­auf­tragten (in Teilzeit) vor, wenn Sie die dafür in der DSGVO festge­legten Bedingungen erfüllen (d. h., wenn das Monitoring von Personen im großen Maßstab zu Ihren zentralen geschäft­lichen Aktivitäten zählt).

Unserer Auffassung nach wurde die DSGVO zur Harmo­ni­sierung des bisherigen unein­heit­lichen Daten­schutz­rechts in der gesamten EU aufgesetzt. Dies könnte sich als Vorteil für multi­na­tionale Unternehmen erweisen, die unsere Dienst­an­gebote nutzen, insbe­sondere im grenz­über­schrei­tenden Verkehr. Es könnte auch bedeuten, dass multi­na­tionale Unternehmen innerhalb der EU alle Vorgänge über eine einzige Aufsichts­be­hörde abwickeln: die des Landes, in dem das Unternehmen seinen Hauptsitz hat. Auch Einzel­per­sonen können sich an die Aufsichts­be­hörde in ihrem eigenen Land wenden.

Das Konzept der perso­nen­be­zo­genen Daten ist ein wesent­licher Aspekt der DSGVO. Dabei handelt es sich um alle Arten von Daten, anhand derer eine Einzel­person kenntlich ist oder gemacht werden könnte. Hierzu zählen Daten, die anhand spezi­fi­scher Kennungen zu ermitteln sind, z.B. Kfz-Kenn­zeichen, FIN (Fahrzeu­g-I­den­ti­fi­ka­ti­ons­nummer) und/oder andere Geräte­ken­nungen. Unserer Auffassung nach ist zu beachten, dass es im Rahmen der DSGVO keine Rolle spielt, wer die Identi­fi­kation vornehmen könnte. Wenn die Identi­fi­kation einer Einzel­person anhand der Daten möglich ist, sind die Daten als perso­nen­be­zogene Daten zu behandeln, selbst wenn keine derartige Identi­fi­kation vorgenommen wird. Nach unserer Auffassung gelten Daten über eine Person auch dann als perso­nen­be­zogene Daten, wenn der Name der betref­fenden Einzel­person nicht bekannt ist. Zu beachten ist, dass die Einstufung von Daten als „perso­nen­be­zogen“ nicht bedeutet, dass diese Daten nicht verwendet werden dürfen, sondern lediglich, dass die DSGVO greift und daher bestimmte Bedingungen einzuhalten sind.

Die DSGVO gestattet die Verwendung perso­nen­be­zo­gener Daten zu einem oder mehreren vorab definierten Zwecken. Diese Zwecke müssen spezifisch und klar beschrieben sein. Die Einzel­person muss die Bedeutung eines Zweckes verstehen können. Die Einzel­person muss die folgende Frage beantworten können: Entspricht diese Nutzung dem Zweck?

Die DSGVO erfordert eine genaue Abstimmung von Art, Umfang und Aufbe­wah­rungs­dauer perso­nen­be­zo­gener Daten auf den definierten Zweck. Diese Abstimmung bedeutet eine Beschränkung der Verar­beitung allein auf das zwingend erfor­der­liche Maß und weder sachlich noch zeitlich darüber hinaus.

Nach unserer Auffassung erfordert die Verar­beitung perso­nen­be­zo­gener Daten eine klar formulierte und benut­zer­freund­liche Erläuterung. Sie sollte sich wie eine Bedie­nungs­an­leitung lesen, nicht wie ein Vertrag. Selbst­ver­ständlich muss diese Erläuterung für die Einzel­per­sonen verfügbar sein, bevor Sie mit der Verwendung ihrer Daten beginnen, und für sie verfügbar bleiben.

Webfleet geht stets den Weisungen des Webfleet-Kunden entspre­chend vor. Die Daten beziehen sich allein auf den Kunden, und der Kunde hat die Kontrolle. Dies bedeutet, dass wir unseren Kunden eine hochgradig konfi­gu­rierbare Lösung anbieten. Wir schlagen verschiedene Verwen­dungs­zwecke vor, doch der Webfleet-Kunde trifft die endgültigen Entschei­dungen über die Verwen­dungs­zwecke sowie die Konfi­gu­ration und Nutzung des Systems im Detail.

Unser System kann für viele verschiedene Akteure mit unter­schied­lichen situa­ti­ons­be­zo­genen Rollen, Zustän­dig­keiten und Funktionen konfi­gu­riert werden. Webfleet-Kunden können Fahrern beispiels­weise die Unter­scheidung zwischen geschäft­lichen und privaten Fahrten ermöglichen und festlegen, was Vorgesetzte der Fahrer sehen und tun können. Wir unter­stützen Webfleet-Kunden auch dabei, den Rechten von Einzel­per­sonen nachzu­kommen, was den Zugang zu ihren Daten und deren Löschung angeht.

Webfleet-Kunden können auf vielfältige Weise konfi­gu­rieren, welche Daten erfasst und wie lange sie gespeichert werden. Das erleichtern wir Webfleet-Kunden, indem wir angemessene Standard­ein­stel­lungen für die verschie­denen typischen Anwen­dungs­fälle unserer Flotten­kunden bereit­stellen. Webfleet-Kunden können diese Standard­ein­stel­lungen jedoch auch mühelos an ihre spezi­fi­schen Anfor­de­rungen anpassen.