Arbeitgeber haben unter Umständen die Pflicht, eine Führerscheinkontrolle bei ihren Bediensteten durchzuführen. Da Führerscheine personenbezogene Daten enthalten, gibt es einige Spielregeln zu beachten. Aber wann muss kontrolliert werden? Und wer muss sich kontrollieren lassen? Wir beleuchten einige Fragen in diesem Beitrag.
Der Inhalt im Überblick
- Wann ist der Arbeitgeber zur Führerscheinkontrolle verpflichtet?
- Gesetzliche Grundlage für die Führerscheinkontrolle
- Wie oft darf der Arbeitgeber den Führerschein kontrollieren?
- Darf der Arbeitgeber den Führerschein kopieren?
- Müssen Angestellte bei der Führerscheinkontrolle mitmachen?
- Elektronische Führerscheinkontrolle: Wie funktioniert es hier?
- Weitere Datenschutzregeln, die beachtet werden müssen
- Folgen einer Verweigerung der Führerscheinkontrolle
Wann ist der Arbeitgeber zur Führerscheinkontrolle verpflichtet?
Im Berufsleben kann es zu Situationen kommen, in denen sich ein Arbeitgeber vergewissern will, dass seine Angestellten über die erforderliche Fahrerlaubnis verfügen. Eine ausdrückliche Kontrollpflicht schreibt das Gesetz nicht vor. Allerdings kann man bestraft werden, wenn man als Halter eines Kraftfahrzeugs zulässt, dass jemand das Fahrzeug führt, der die dazu erforderliche Fahrerlaubnis nicht hat, § 21 StVG Abs. 1 Nr. 2 StVG. Der Arbeitgeber muss also Halter sein. Und er muss sicherstellen, dass nur solche Personen „seine“ Fahrzeuge führen, die über die hierfür erforderliche Fahrerlaubnis verfügen. Die Erfüllung dieser strafbewehrten Pflicht erfordert es in der Regel, die Führerscheine derjenigen Beschäftigten zu kontrollieren, die Dienstkraftfahrzeuge nutzen.
Gesetzliche Grundlage für die Führerscheinkontrolle
Das Problem dabei ist, dass auf dem Führerschein teils sensible personenbezogene Daten angegeben sind. So könnten bestimmte Schlüsselzahlen auf dem Führerschein einen Rückschluss auf körperliche Einschränkungen der Inhaberin oder des Inhabers zulassen (vgl. Anlage 9 zu § 25 Abs. 3 Verordnung über die Zulassung von Personen zum Straßenverkehr). Diese Daten stellen damit Gesundheitsdaten dar, also personenbezogene Daten einer besonderen Kategorie im Sinn von Art. 9 Abs. 1 DSGVO. Bei der Führerscheinkontrolle werden diese Daten verarbeitet, Art. 4 Nr. 2 DSGVO. Man braucht für diese Verarbeitung eine Rechtsgrundlage. Gemäß Art. 26 Abs. 1 S. 1 BDSG dürfen Beschäftigtendaten verarbeitet werden,
„wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.“
Problematisch in diesem Kontext: Die Europarechtskonformität der Vorschrift. Denn Art. 26 Abs. 1 S. 1 BDSG ist wohl europarechtswidrig.
Man muss also anderweitig auf die Suche nach der Rechtfertigenden Vorschrift gehen. Und siehe da, man wird fündig. Neben Art. 9 DSGVO ist auch Art. 6 DSGVO anwendbar. Gemäß Art. 6 Abs. 1 S. 1 lit. b) DSGVO ist die Verarbeitung rechtmäßig, wenn sie erforderlich ist
„für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist“
Da dem Arbeitsverhältnis ein Arbeitsvertrag zugrunde liegt (der nicht zwangsläufig schriftlich erfolgen muss), wäre diese Vorschrift einschlägig, soweit die Verarbeitung „erforderlich“ ist. Die Kontrolle an sich ist daher datenschutzrechtlich in Ordnung, da sich der Arbeitgeber ansonsten ggf. sogar strafbar macht.
Exkurs: Beschäftigungsverhältnis im öffentlichen Dienst
Die Verarbeitung von Beschäftigtendaten durch den Dienstherrn im Rahmen von öffentlichen Stellen ist in bereichsspezifischen Vorschriften geregelt (Beamtenstatusgesetz, Landes-Beamtengesetz). In diesen findet sich oft auch eine Regelung, die die Verarbeitung personenbezogener Daten zu Zwecken der Personalverwaltung oder Personalwirtschaft erlaubt (z.B. Art. 103 Satz 1 BayBG). Letzteres umfasst auch Führerscheinkontrollen durch den Dienstherrn zur Erfüllung seiner Halterpflichten.
Diese Vorschriften sind grundsätzlich auch auf die nichtbeamteten Beschäftigten des öffentlichen Dienstes, insbesondere die Tarifbeschäftigten, entsprechend anzuwenden.
Wie oft darf der Arbeitgeber den Führerschein kontrollieren?
Überwiegend wird eine zweimalige Kontrolle pro Jahr als angemessen angesehen, es sei denn, besondere Umstände (wie z.B. Alkoholprobleme eines Fahrers) erfordern eine engmaschigere Überprüfung. Häufigere Kontrollen stellen sicher, dass auch kurzzeitige Fahrverbote erkannt werden können.
Besonderheiten können sich aber bei Pool- und Servicefahrzeugen ergeben. Denn wenn der Nutzerkreis nicht exakt feststeht, ist es vertretbar, bei jeder Fahrzeugausgabe die Fahrerlaubnis zu kontrollieren.
Im Ergebnis sollte also jedenfalls ein geeignetes Wiedervorlagesystem eingerichtet und die Führerscheinkontrolle dokumentiert werden.
Darf der Arbeitgeber den Führerschein kopieren?
Arbeitgeber dürfen personenbezogene Daten der Arbeitnehmer nur verarbeiten, wenn dies im Rahmen des Arbeitsverhältnisses angemessen und auf das notwendige Maß beschränkt ist. Das besagt der Grundsatz der Datenminimierung. Darf zu Dokumentationszwecken eine Kopie angefertigt werden?
Der Arbeitgeber darf also nur die Angaben „aus“ dem Führerschein erheben und speichern. Und nur diese Daten, die er für die Erfüllung seiner Halterpflichten benötigt.
Es ist demnach zulässig, sich im Rahmen einer regelmäßigen Kontrolle den Führerschein vorzeigen zu lassen und dies entsprechend zu dokumentieren. Für die Dokumentation darf auch ein Formblatt herangezogen werden.
Eine Anfertigung von Fotokopien, vor allem wenn dabei nicht benötigte Angaben verarbeitet werden, ist in aller Regel nicht erforderlich und damit datenschutzrechtlich unzulässig.
Müssen Angestellte bei der Führerscheinkontrolle mitmachen?
Im Rahmen der Treuepflicht gegenüber dem Arbeitgeber bzw. dem Dienstherrn müssen Angestellte die Kontrolle grundsätzlich über sich ergehen lassen. Dem Arbeitgeber steht das Direktionsrecht gemäß § 106 GewO zu. Diesem Recht setzt Grenzen. Natürlich bleiben den Angestellten daneben die Betroffenenrechte erhalten.
Elektronische Führerscheinkontrolle: Wie funktioniert es hier?
Diverse Dienstleister bieten inzwischen (webbasierte) Dienste zur Durchführung des Fuhrparkmanagements an, in welches zugleich ein Tool zur Führerscheinkontrolle implementiert ist.
Technisch gesehen gibt es drei Ansätze zur elektronischen Führerscheinkontrolle:
- Prüfung mittels Barcodes oder RFID-Chips an Prüfstationen
- Prüfung mittels App
- Prüfung per Abfrage einer behördlichen Datenbank
Führerscheinkontrolle mittels RFID-Chip
Im Ergebnis bleibt die Stoßrichtung jeweils gleich, nur die technischen Einzelheiten ändern sich.
Zur Durchführung der Kontrolle wird beispielsweise auf dem Führerschein ein Siegel mit RFID-Chip aufgebracht. An öffentlichen Prüfstationen kann dann die Kontrolle dergestalt erfolgen, dass der Mitarbeiter den Führerschein mit aufgebrachtem Chip an ein Lesegerät hält. Übertragen wird dann die im Siegel enthaltene Prüfsiegelnummer. Diese wird dann an den Dienst übermittelt, so dass über den dort gespeicherten Datensatz des Mitarbeiters eine Zuordnung zum Fahrer erfolgt.
Im Dienst selbst werden u.a. personenbezogene Daten wie Vor- und Nachname, E-Mailadresse oder Mobiltelefonnummer zur Information über eine anstehende Kontrolle, die letzten Zeichen der Führerscheinnummer, die Prüfsiegel-ID-Nummer und das nächste Führerscheinkontrolldatum entsprechend dem Kontrollintervall gespeichert.
Auftragsverarbeitungsvertrag (AVV) mit externem Dienstleister
Sofern ein externer Dienstleister einen webbasierten Dienst hostet, gelten die Vorschriften zur Auftragsverarbeitung entsprechend, wenn dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen ist.
Insbesondere bei der Datenverarbeitung mittels eines webbasierten Dienstes ist besonderes Augenmerk auf den Schutz der verarbeiteten personenbezogene Daten zu richten. Im Vordergrund stehen hier vor allem
- Einsatz von Authentifizierungs- und Verschlüsselungsverfahren
- Verschlüsselung während der Datenübertragung und -speicherung
- Beschränkung von Zugriffsberechtigungen
- Systemprotokollierung
- redundante Spiegelungen der Systeme und Backuplösungen
- Maßnahmen zur sicheren Löschung der Daten
Im Rahmen der Auftragsverarbeitung mit dem Dienstleister sollten daher Mindestsicherheitsstandards vereinbart und deren Einhaltung kontrolliert sowie dokumentiert werden.
Zu beachten ist bei Bilderkennungsverfahren die mögliche Fehlerquote, die sich gerne einmal bei 5 % einpendeln kann.
Weitere Datenschutzregeln, die beachtet werden müssen
Der Arbeitgeber hat neben diesen TOM (Technisch-Organisatorische Maßnahmen) weitere wichtige Punkte des Datenschutzes zur Führerscheinkontrolle zu beachten. Dazu gehört das „Need-to-know-prinzip“, die Beachtung einer gewissen Speicherdauer und eines damit verbundenen Löschkonzepts. Danach dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für die Verarbeitungszwecke erforderlich ist. Anschließend sind sie zu löschen. Dabei ist gleichzeitig zu berücksichtigen, dass der Dienstherr auch für bereits in der Vergangenheit liegende Zeiträume anhand der dokumentierten Kontrollen nachweisen können muss, dass er seinen Halterpflichten nachgekommen ist. Auch Informationspflichten dürfen nicht vernachlässigt werden.
Gut gemeint ist nicht immer gut gemacht. Arbeitgeber, die ihren Angestellten Kraftfahrzeuge überlassen, treffen Pflichten. Diese laufen parallel zu freilich ebenfalls bestehenden Pflichten der Fahrer selbst. Kontrolle ist aber besser als Vertrauen – und in diesem Falle auch eine Obliegenheit. Wenn die Angestellten nicht mitspielen wollen,
Wir benutzen ein Formular, in welchem neben der Unterschrift der Kontrollperson auch die Daten des Fahrers vermerkt werden, nämlich Vor- und Nachname sowie Führerscheinnummer, Ausstellungsort und -Datum. Was ich mich frage: Sind denn die o. g. Führerscheindetails jetzt ZWINGEND notwendig oder könnte es vielleicht bereits ausreichen, sinngemäß zu bestätigen, dass man sich davon überzeugt hat, dass eine gültige Fahrerlaubnis vorliegt. Und wäre im letzteren Fall die Nachweispflicht noch hinreichend gegeben?
Es sollte sich wegen des Grundsatzes der Datenminimierung nach Art. 5 DSGVO nur um die wirklich benötigten Angaben zum Führerschein handeln. Diese können mittels Formblatts eingeholt werden. Sodann kann man sich im Rahmen einer regelmäßigen Kontrolle den Führerschein vorzeigen lassen und dies entsprechend dokumentieren.
Der Ausstellungsort beispielsweise ist wohl weniger von Belang. Es kommt dabei aber immer auf den konkreten Einzelfall an. Die Führerscheinnummer könnte z.B. wegen drohender Verwechslungsgefahr aufgenommen werden – als Beispiel.
Es würde daher wohl ausreichen, zuordbar zu dokumentieren, dass überprüft wurde, dass eine gültige und ausreichende Fahrerlaubnis im konkreten Fall vorliegt.
Wenn die Rechtsgrundlage der Verarbeitung „normaler“ pbD die Erfüllung des Arbeitsvertrags mit dem Betroffenen ist, auf was kann man dann die Verarbeitung von Daten nach Artikel 9 DSGVO stützen? Artikel 9 DSGVO kennt die Vertragserfüllung ja nur mit „Angehörigen von Gesundheitsberufen“ im Rahmen von Behandlungen usw.
Im Artikel wird zwar angerissen, dass Artikel 9 anwendbar ist, aber nicht weiter ausgeführt.
In aller Regel wird es in der Praxis nicht notwendig sein, personenbezogene Daten besonderer Kategorien zu verarbeiten, weshalb eine Verarbeitung schon daran scheitern dürfte.
Deshalb wurde diese Frage unserer Kenntnis nach bisher noch nicht abschließend geklärt. Insgesamt ist zur Anwendbarkeit verschiedener Normen im Zusammenhang mit Art. 9 DSGVO auf Bundes- bzw. Landesebene ohnehin sehr viel umstritten (vgl. nur Ehmann/Selmayr, Datenschutz-Grundverordnung, 3. Auflage 2024, Art. 9, Rn. 74 ff.)
Sofern es sich um öffentliche Stellen handelt, wäre eine Verarbeitung zulässig, „soweit es die Wahrnehmung der Rechte und Pflichten des Dienstherrn auf dem Gebiet des Dienst- und Arbeitsrechts erfordert (Art. 103 Satz 1 Nr. 2 Landes-BG in Verbindung mit Art. 8 Abs. 1 Satz 1 Nr. 2, Abs. 2 Landes-Datenschutzgesetz“.
Ob ein Fall „auf dem Gebiet des Dienst- und Arbeitsrechts“ vorliegt, müssten die Gerichte entscheiden.
Die Verarbeitung ist aber auch gemäß Art. 9 Abs. 2 lit. b) DSGVO zulässig, wenn die Verarbeitung erforderlich ist, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann […].
Biometrische Merkmale werden im Arbeitsleben in vielen Fällen erfasst und verarbeitet. Dies gilt z.B. für die Identitätsfeststellung bei der Zeiterfassung, beim Einsatz von Zahlungssystemen, bei der Zugangsberechtigung oder der Zugriffsauthentifizierung zu IT-Systemen (Kühling/Buchner, DSGVO, Art. 9 Rn. 54 ff. mit weiteren Nachweisen).
Der Arbeitgeber hat als Halter von Kraftfahrzeugen durch zumutbare Maßnahmen sicherzustellen, dass nur Personen mit der hierfür erforderlichen Fahrerlaubnis dienstliche Fahrzeuge führen. Sollten dabei Datenkategorien gemäß Art. 9 DSGVO eine Rolle spielen, so ließe sich begründen, dass die Verarbeitung aufgrund des Arbeitsrechts erforderlich ist. Denn im Rahmen seiner Personalwirtschaft muss er insbesondere seine Personalplanung und den Personaleinsatz so ausgestalten, dass Beschäftigte ohne die erforderliche Fahrerlaubnis nicht für Tätigkeiten eingesetzt werden, welche die Führung eines (dienstlichen) Kraftfahrzeugs zwingend voraussetzen. Gerade Rechtsvorschriften mit einem hohen Schutzgut – wie z.B. die Sicherheit im Straßenverkehr – erfordern eine strikte Rechtseinhaltung. Insofern ist Datenschutz und Arbeitnehmerdatenschutz kontextbezogen anzuwenden (Weth/Herberger/Wächter/Sorge, Daten- und Persönlichkeitsschutz im Arbeitsverhältnis, 2. Auflage 2019, Rn. 145 f.).
Daher könnte es sein, dass im konkreten Einzelfall auch die Führerscheinkontrolle unter diesen Erlaubnistatbestand fällt. Pauschal lässt sich das aber nicht beurteilen.
Daneben ist die Verarbeitung zulässig, wenn sie zur Verteidigung von Rechtsansprüchen erforderlich ist. Der Begriff „Rechtsansprüche“ ist weit auszulegen und bezieht sich sowohl auf öffentlich-rechtliche wie auch privatrechtliche Rechtspositionen, auch wenn diese im Strafverfahren geltend gemacht werden. Allerdings darf das Rechtsverfolgungsinteresse zum Zeitpunkt der Verarbeitung entstanden und vorhanden sein. Es darf zu diesem Zeitpunkt nicht nur hypothetisch sein (EuGH 11.12.2019 – C-708/18, ECLI:EU:C:2019:1064 Rn. 44 = CR 2020, 95). Damit scheidet diese Rechtsgrundlage aus.
Zulässig wäre die Verarbeitung auch aufgrund einer Einwilligung, wobei insbesondere § 26 Abs. 3 u. Abs. 2 BDSG beachtet werden müssen.
Schließlich werden in § 22 BDSG Ausnahmen beschrieben, die sich aber im Wesentlichen nur in der Wiederholung der Vorgaben von Art. 9 Abs. 2 Buchst. b, h, i und Abs. 3 erschöpfen.
„Danach dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für die Verarbeitungszwecke erforderlich ist. Anschließend sind sie zu löschen.“
Wie verhält es sich denn mit Aufbewahrungspflichten? Konkrete Vorgaben gibt es ja nicht, wann fällt der Zweck der Dokumentation weg, d.h. nach welcher Zeit muss ich die Dokumentation einer Kontrolle löschen?
Diese Frage kann allenfalls mit einem „es kommt darauf an“ beantwortet werden. Wie Sie richtig schreiben, gibt es keine konkreten Vorgaben, also auch keine starren Fristen. Man könnte sich an die übliche Verfahrensdauer im Falle eines Unfalls halten. Oder an Verjährungsfristen (allgemein 3 Jahre).
§ 63a StVG regelt zwar nicht diesen Fall, könnte aber wertend hinzugezogen werden. Fazit: Zwischen 6 Monaten und 3 Jahren lässt sich wohl alles gut vertreten. Sollte sich eine Dokumentation durch eine erneute Kontrolle überholen, könnte man auch früher löschen. Eigentlich müsste die Dokumentation auch dann gelöscht werden, wenn das Fahrzeug wohlbehalten (ohne Polizeikontrolle/Unfall/Ordnungswidrigkeit/Straftat) zurückgegeben wurde. Aber das wird ja manchmal erst zeitverzögert bekannt, weshalb eine längere Aufbewahrung gut zu rechtfertigen sein dürfte.
Auftragsdatenverarbeitung?
Das ist ein Rechtsbegriff aus dem alten Datenschutzgesetz.
Der Link führt dann zu einer Seite, wo der aktuelle Begriff Auftragsverarbeitung verwendet wird.
Vielen Dank für den Hinweis. Wir haben das geändert.