ZD-Aktuell 2024, 01560 Am 27.12.2023 verhängte die französische Datenschutzaufsichtsbehörde (Commission nationale de l'informatique et des libertés – CNIL) ein Bußgeld iHv 32 Mio. EUR gegen den Online-Händler Amazon wegen unverhältnismäßiger Überwachung am Arbeitsplatz in dessen französischen Logistikzentren. Dem Unternehmen wird vorgeworfen, bei der Erfassung und Analyse von Mitarbeiteraktivitäten gegen den Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DS-GVO) verstoßen zu haben, sich bei der Messung von Arbeitsleistung unrechtmäßig auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DS-GVO) berufen zu haben, gegen das Transparenzgebot verstoßen zu haben (Art. 13 DS-GVO) sowie, beschränkt auf eine Videoüberwachungsanlage, unzureichende Sicherheitsmaßnahmen ergriffen zu haben (Art. 32 DS-GVO).
Beschäftigte in den Logistikzentren von Amazon arbeiten mit Barcode-Scannern zum Erfassen von Waren und Standorten. Jede Scanner-Aktivität wird einzelnen Beschäftigten zugeordnet und zu individuellen Qualitäts-, Produktivitäts- und Inaktivitätsindikatoren zusammengefasst. Die so erhobenen Daten werden für die Zwecke der Lagerbestands- und Auftragsverwaltung in Echtzeit, der Arbeitsplanung, der Weiterbildung und der Leistungsbeurteilung verarbeitet. Die CNIL erkennt dabei an, dass die Gegebenheiten des E-Commerce und die Verfolgung unternehmerischer Ziele grundsätzlich eine umfangreiche Verarbeitung von Beschäftigtendaten rechtfertigen könnten. Die CNIL bemängelt jedoch drei von 43 Qualitätsindikatoren wegen ihrer sekundengenauen Erfassung der Arbeitszeit und -leistung zur Ermittlung möglicher Bearbeitungsfehler sowie der Messung zeitweiliger Scanner-Inaktivität, was auf verringerte Arbeitsleistung hindeuten könne. Während die Verarbeitung von Beschäftigtendaten für die Organisation von Logistikzentren einschließlich einer dynamischen Arbeitsplanung und die Weiterbildung von Beschäftigten ein berechtigtes Interesse darstelle, sei dies bei den kritisierten Qualitätsindikatoren nicht mehr der Fall. Die engmaschige Überwachung der Arbeitszeit greife zu tief in die Privatsphäre der Betroffenen ein. Darüber hinaus könnten Vorgesetzte mit zahlreichen weiteren bereits vorhandenen aggregierten Daten die gewünschten Zwecke erreichen. Die Verarbeitung der drei Indikatoren verstoße daher gegen den Grundsatz der Datenminimierung. Außerdem würde Amazon detaillierte Leistungsdaten für 31 Tage aufbewahren und verarbeiten, um insbesondere wöchentliche Leistungsbeurteilungen vornehmen zu können. Auch hier sieht die CNIL einen Verstoß gegen den Grundsatz der Datenminimierung, weil für wöchentliche Beurteilungen keine hochaufgelösten Aktivitätsdaten des letzten Monats erforderlich seien.
In zwei Logistikzentren stellte die CNIL darüber hinaus Verstöße hinsichtlich der örtlichen Videoüberwachung fest. Zum einen fehlten auf dem vor Ort ausgehängten Datenschutzhinweis die Kontaktdaten des Datenschutzbeauftragten, ein Hinweis auf das Beschwerderecht bei der Aufsichtsbehörde sowie Angaben zur Speicherdauer der Videoaufnahmen. Die fehlenden Angaben seien auch nicht auf anderem Wege zur Verfügung gestellt worden. Zum anderen wurde die IT-Sicherheit des lokalen Videoüberwachungssystems bemängelt. Hier teilten sich 22 berechtigte Nutzer lediglich einen Systemzugang. So könnten Aktivitäten wie das Löschen von Aufnahmen im Bedarfsfall nicht eindeutig nachvollzogen werden. Auch sei das verwendete geteilte Passwort mit zwölf Kleinbuchstaben und Ziffern nicht sicher genug, auch weil Amazon keine zusätzlichen Sicherheitsmaßnahmen, wie eine Zeitverzögerung für den Zugriff auf das System nach mehreren fehlgeschlagenen Anmeldeversuchen, ergriffen hatte.
Wegen des Ausmaßes der präzisen sowie kontinuierlichen Mitarbeiterüberwachung, der Verstöße gegen die Grundsätze der Rechtmäßigkeit und der Transparenz der Verarbeitung und weil die beanstandeten Verarbeitungen Amazon unmittelbare wirtschaftliche und wettbewerbliche Vorteile verschafft hätten, verhängte die CNIL eine Geldbuße iHv 32 Mio. EUR. Dies entspricht 3 % des Jahresumsatzes des französischen Logistikzweigs von Amazon im Jahr 2021.
Der Fall weist Gemeinsamkeiten mit dem derzeit am OVG Lüneburg (Az. 11 LC 105/23) anhängigen Verfahren des Landesbeauftragten für den Datenschutz Niedersachsen gegen ein Amazon Logistikzentrum in Deutschland auf. Hier hatte die Behörde eine Untersagungsverfügung wegen der ununterbrochenen Verarbeitung von Leistungsdaten von Mitarbeitenden erlassen. Dagegen wehrte sich Amazon erfolgreich vor dem erstinstanzlichen VG Hannover (ZD 2023, 360 mAnm Kranig). Ob und welchen Einfluss die Argumentation der CNIL auf das zweitinstanzliche Verfahren nehmen wird, bleibt abzuwarten.
Weiterführende Links
Vgl. auch Braun ZD-Aktuell 2018, 06008; VG Wiesbaden ZD 2022, 406 mAnm Leibold und Schemmel ZD 2022, 541.