Die französische Datenschutz-Aufsichtsbehörde Commission Nationale de l’Informatique et des Libertés (CNIL) hat, wie nun bekannt wurde, bereits im Dezember 2023 gegen das Unternehmen Amazon France Logistique ein Bußgeld in Höhe von 32 Millionen Euro verhängt. Hintergrund sei die exzessive und teilweise sekundengenaue Überwachung beschäftigter Personen. Nach Angaben des französischen Amazon-Unternehmens sei diese Praxis „branchenüblich“ und „notwendig, um die Sicherheit, Qualität und Effizienz der Abläufe zu gewährleisten.“ (F.A.Z.) Vielen dürfte diese Diskussion bereits aus einem Urteil des Verwaltungsgerichtes Hannover von Februar 2023 bekannt vorkommen.
Hintergrund
Die Beschäftigten des französischen Amazon-Logistikunternehmens dokumentieren mithilfe von Handscannern in Echtzeit die Erfüllung der ihnen übertragenen Aufgaben. Dies umfasst beispielsweise die Einlagerung, die Entnahme sowie das Verpacken und Versenden von Artikeln. Hierbei erfasst das Unternehmen verschiedenste Kennzahlen, die Rückschlüsse auf die Arbeitsweise der einzelnen Beschäftigten ermöglichen. Neben den Faktoren Qualität und Produktivität, prüft das Amazon-Unternehmen ebenfalls die Inaktivitätszeiten. In diesem Zusammenhang geben die Handscanner beispielsweise Warnungen aus, wenn Artikel in zu großer Geschwindigkeit gescannt oder zu häufig und zu lange Unterbrechungen registriert werden. Aufgrund einiger Beschwerden von Beschäftigten sowie einschlägiger Presseartikel führte die CNIL Kontrollen durch.
Nach Ansicht der Aufsichtsbehörde ist das System unverhältnismäßig und mithin rechtswidrig. Die Art und Weise der Beschäftigtenüberwachung setze die Personen einem ständigen Druck aus, insbesondere wenn die Beschäftigten in die Lage gerieten, jede Arbeitsunterbrechung rechtfertigen zu müssen.
Prüfung durch die Aufsichtsbehörde
Im Rahmen der Prüfung durch die französische Datenschutz-Aufsichtsbehörde wurden eine Reihe verschiedener Verstöße gegen die Datenschutz-Grundverordnung festgestellt:
- Verstoß gegen den Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c) DS-GVO: Für die Organisation und Koordinierung von Arbeitsaufgaben sowie für die Schulung der Beschäftigten sei eine derartig umfangreiche Verarbeitung der Qualitäts- und Produktivitätsindikatoren auf Basis des Arbeitsverhaltens des jeweils letzten Monats nicht erforderlich. Die Aufsichtsbehörde ist der Ansicht, eine Auswahl aggregierter Informationen auf wöchentlicher Basis seien hierfür ausreichend.
- Verstoß gegen die Rechtmäßigkeit der Datenverarbeitung, Art. 6 Abs. 1 DS-GVO: Von den verwendeten Qualitäts- und Produktivitätsindikatoren seien insbesondere drei Indikatoren unrechtmäßig verarbeitet worden. Dies betrifft die Indikatoren bezüglich zu schnelles Scannen (Zeitspanne von weniger als 1,25 Sekunden zwischen zwei Artikeln), die Leerlaufzeit (keine Nutzung des Scanners innerhalb von zehn Minuten) sowie die Erfassung sonstiger Unterbrechungen (Unterbrechungszeiten zwischen einer und zehn Minuten).
Die Aufsichtsbehörde stellte hierbei fest, dass die Datenverarbeitungen nicht auf ein berechtigtes Interesse zu stützen seien, da die bemängelten Indikatoren zu einer übermäßigen Überwachung führten. Dies zeige bereits die zum Teil sekundengenaue Erfassung der Tätigkeiten. Weiterhin bestünden bereits zahlreiche weitere aggregierte Indikatoren, welche das Unternehmen zur Qualitätssicherung und zur Umsetzung von Sicherheitsaspekten nutze. - Verstoß gegen die Verpflichtung zur Bereitstellung transparenter Datenschutzinformationen, Art. 13 DS-GVO: Hinsichtlich des ebenfalls eingesetzten Videoüberwachungssystems wurden weder Beschäftigte noch Externe über die Datenverarbeitungen informiert.
- Verstoß gegen die Gewährleistung der Sicherheit der Verarbeitung, Art. 32 DS-GVO: Ebenfalls im Zusammenhang mit der Videoüberwachungsanlage stellte die Datenschutz-Aufsichtsbehörde fest, dass bestehende Zugriffsmöglichkeiten unzureichend abgesichert wurden. So seien ungeeignete Passwörter genutzt sowie Nutzungskonten durch mehrere Personen verwendet worden. Hierdurch sei es nicht möglich gewesen, etwaige (unrechtmäßige) Zugriffe auf die Videoüberwachungsanlage nachzuvollziehen.
Auch wenn ein Bußgeld in Höhe von 32 Millionen Euro zunächst vergleichsweise beträchtlich wirkt, kommt dieses bei einem Amazon-Konzernumsatz von 514 Milliarden US-Dollar im Jahr 2022 nicht einmal ansatzweise an die möglichen vier Prozent des Jahresumsatzes, die Art. 83 Absatz 5 DS-GVO als Höchstgrenze vorsieht. Das Amazon-Unternehmen kündigte bereits an, gegen den Bescheid der Aufsichtsbehörde vorzugehen, schließlich seien die bemängelten Datenverarbeitungen branchenüblich und notwendig.
Beschäftigtenüberwachung und das Verwaltungsgericht Hannover
Bereits im Februar 2023 befasste sich das Verwaltungsgericht Hannover mit einer vergleichbaren Datenverarbeitung durch die Amazon Logistik Winsen GmbH. Anders als die französische Datenschutz-Aufsichtsbehörde befand das Gericht die Datenverarbeitungen – auch zum Unverständnis Vieler – für zulässig (Urt. v. 9.2.2023, Az. 10 A 6199/20). Dem Urteil vorangegangen war eine Besichtigung am betroffenen Logistikstandort.
Ursprünglich hatte die niedersächsische Datenschutz-Aufsichtsbehörde dem betreffenden Unternehmen untersagt, eine zum französischen Sachverhalt vergleichbare Datenverarbeitung durchzuführen. Hiergegen wehrte sich das deutsche Amazon-Unternehmen und reichte beim Verwaltungsgericht Hannover Klage ein. Dieses stellte nach einem Vor-Ort-Termin sowie nach Gesprächen mit dem damaligen und einem ehemaligen Betriebsratsvorsitzenden fest, dass die Datenverarbeitung für die Erreichung der dargestellten Zwecke erforderlich sei. Zudem würden die Interessen des Unternehmens etwaig entgegenstehenden Rechten und Freiheiten der Beschäftigten überwiegen, insbesondere da die Datenverarbeitung nicht heimlich geschehe. Ferner konnte durch das Gericht keine Verhaltenskontrolle festgestellt werden. Vielmehr würden die Datenverarbeitungen der Steuerung der Logistikabläufe dienen. Die Beschäftigten würden sogar die Möglichkeit eines objektiven Feedbacks schätzen.
Die Rechtsauffassung des Gerichts steht damit scheinbar im Widerspruch zur bisherigen Rechtsprechung des Bundearbeitsgerichts, welches Maßnahmen, die Beschäftigte einem permanentem Überwachungsdruck aussetzen, als rechtswidrig einstuft (Urt. v. 27.7.2017, Az. 2 AZR 681/16). Spannend bleibt, wie ein mögliches Gerichtsverfahren im Fall der Amazon France Logistique ausgehen wird.
Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.
