200.000 Euro Bußgeld für Mitarbeiterüberwachung: Wenn Pflicht-Apps auf dem Privathandy zur Datenschutzfalle werden
Die spanische Datenschutzbehörde AEPD (Agencia Española de Protección de Datos) hat im Juni 2025 ein Bußgeld von insgesamt 200.000 Euro gegen das Unternehmen ARES CAPITAL, S.A. verhängt. Das Unternehmen betreibt einen Fahrdienst mit lizenzierten Mietfahrzeugen (VTC) und verpflichtete seine Fahrer, mehrere Apps auf privaten Smartphones zu installieren. Die AEPD stellte dabei drei Verstöße gegen die DSGVO fest: fehlende Datenminimierung, keine gültige Rechtsgrundlage und unzureichende Information der Beschäftigten. Die Entscheidung ist derzeit noch anfechtbar und noch nicht rechtskräftig.
Ein Fahrer hatte im Juli 2024 Beschwerde bei der AEPD eingereicht. Er gab an, sein Arbeitgeber verlange die Installation von vier Apps auf seinem privaten Telefon. Diese Apps sollen Standort, Nachrichten, Anrufe und weitere Parameter rund um die Uhr überwachen. Außerdem habe er keine ausreichenden Informationen darüber erhalten, welche Daten das Unternehmen tatsächlich erhebt.
ARES CAPITAL bestätigte in seiner Stellungnahme, dass Beschäftigte zwischen einem Firmengerät und dem eigenen Smartphone wählen könnten. Firmengeräte seien jedoch nur nach Verfügbarkeit vorhanden. Wer auf ein Firmengerät warte oder keines erhalte, müsse das private Smartphone nutzen und die vorgeschriebenen Apps installieren. Das Unternehmen begründete dies mit der Notwendigkeit, den Fahrbetrieb zu koordinieren, Fahrzeuge zu öffnen und Anrufe über VoIP abzuwickeln.
Drei Verstöße, drei Bußgelder
Die AEPD identifizierte drei voneinander unabhängige Verstöße gegen die DSGVO.
Der erste Verstoß betrifft den Grundsatz der Datensparsamkeit nach Art. 5 Abs. 1 lit. c DS-GVO. Die betroffenen Apps riefen deutlich mehr Daten ab, als für die Fahrtätigkeit notwendig wäre. Laut den Screenshots aus dem Verfahren sammelte eine der Apps unter anderem Standortdaten, Gesundheits- und Fitnessinformationen, Kontaktdaten, Audioaufnahmen sowie Fotos und Videos. Eine andere App griff auf genaue und ungefähre Standortdaten, Fotos und Videos sowie persönliche Informationen zu. Die AEPD sah darin eine klare Verletzung des Minimierungsgrundsatzes und setzte für diesen Verstoß ein Bußgeld von 100.000 Euro fest.
Der zweite Verstoß betrifft die Rechtmäßigkeit der Datenverarbeitung nach Art. 6 Abs. 1 DS-GVO. Die AEPD stellte fest, dass keine gültige Rechtsgrundlage für den Zugriff auf die Daten der privaten Smartphones vorlag. Eine Einwilligung kann im Arbeitsverhältnis grundsätzlich nicht frei erteilt werden, weil zwischen Arbeitgeber und Arbeitnehmer ein strukturelles Machtgefälle besteht. Das gilt besonders, wenn Beschäftigte ihr Privatgerät nutzen müssen, weil kein Firmengerät verfügbar ist. Die Behörde berücksichtigte dabei auch Erwägungsgrund 43 der DSGVO, der klarstellt, dass eine erzwungene Einwilligung im Beschäftigungskontext in der Regel nicht als freiwillig gilt. Hierfür setzte die AEPD ein Bußgeld von 80.000 Euro fest.
Der dritte Verstoß betrifft die Informationspflicht nach Art. 13 DS-GVO. ARES CAPITAL hatte die Beschäftigten nicht ausreichend darüber informiert, welche Daten die Apps erheben, wie lange diese Daten gespeichert werden und wie eine Abmeldung nach Dienstschluss konkret funktioniert. Reicht das bloße Schließen einer App, oder laufen die Apps im Hintergrund weiter? Ist ein vollständiges Ausschalten des Geräts nötig? Diese Fragen blieben offen. Für diesen Verstoß setzte die AEPD ein Bußgeld von 20.000 Euro fest.
Die AEPD ordnete außerdem an, dass ARES CAPITAL innerhalb von zwei Monaten nach Bestandskraft der Entscheidung nachweisen muss, dass nur noch die tatsächlich notwendigen Daten erhoben werden, eine valide Rechtsgrundlage besteht und die Beschäftigten vollständig informiert wurden.
Bei der Bemessung der Bußgelder berücksichtigte die AEPD den Jahresumsatz von rund 256 Millionen Euro sowie die Tatsache, dass ARES CAPITAL rund 5.787 Beschäftigte hat und routinemäßig Standort- und Personaldaten verarbeitet. Beides wurde als erschwerender Faktor gewertet.
Unsere Empfehlungen
Unternehmen und KMU
Wer Beschäftigte mit Apps ausstattet, muss prüfen, welche Berechtigungen diese Apps tatsächlich benötigen. Standortdaten für den Fahrbetrieb sind nachvollziehbar. Zugriff auf Gesundheitsdaten, Fotos oder Kontakte ist es nicht. Vor der App-Einführung gehört eine Überprüfung der Datenschutzerklärungen und App-Berechtigungen auf die Checkliste. Wenn Beschäftigte private Geräte nutzen, braucht es eine ausdrückliche und informierte Einwilligung, eine klare BYOD-Richtlinie und eine verlässliche technische Trennung zwischen privaten und beruflichen Daten. Ist eine solche Trennung nicht möglich, sollte das Unternehmen Firmengeräte bereitstellen. Das Urteil zeigt: „Gerät nicht verfügbar“ schützt nicht vor Bußgeldern.
Behörden und öffentliche Stellen
Öffentliche Arbeitgeber, die Außendienstmitarbeiter mit mobilen Geräten ausstatten, stehen vor denselben Anforderungen. Apps, die für dienstliche Zwecke installiert werden, dürfen nur die Daten erheben, die für die jeweilige Aufgabe notwendig sind. Beschäftigte müssen vor der Nutzung vollständig informiert werden, inklusive konkreter Hinweise zur Abmeldung nach Dienstschluss. Eine Dienstvereinbarung mit dem Personalrat schafft Rechtssicherheit.
Gesundheitseinrichtungen
In Krankenhäusern, Pflegeeinrichtungen und Praxen werden oft mobile Apps für Schichtplanung, Dokumentation oder Kommunikation eingesetzt. Diese Apps haben häufig weitreichende Berechtigungen. Verantwortliche sollten prüfen, ob die erhobenen Daten tatsächlich erforderlich sind, und klare Betriebsvereinbarungen abschließen. Besonders bei der Nutzung privater Geräte im Dienst gilt: Ohne rechtliche Grundlage und ohne Information der Beschäftigten ist jede App-Pflicht ein Datenschutzrisiko.
Kanzleien und Freiberufler
Für Kanzleien und Freiberufler mit Mitarbeitern gilt: Wer Pflicht-Apps vorschreibt, trägt die volle Verantwortung als Auftragsverantwortlicher im Sinne der DSGVO. Vor der Einführung jeder App empfiehlt sich eine datenschutzrechtliche Prüfung der Berechtigungen und eine schriftliche Information der Beschäftigten. [INTERNER LINK: BYOD-Datenschutz für Arbeitgeber]
Quelle: Agencia Española de Protección de Datos (AEPD), Beschluss vom Expediente N.º EXP202411411
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks