GPS-Tracking von Firmenfahrzeugen – Datenschutzrechtliche Anforderungen in der Praxis

Gleichzeitig greift die Ortung von Fahrzeugen jedoch tief in die Rechte der betroffenen Beschäftigten ein. Aus datenschutzrechtlicher Sicht handelt es sich dabei regelmäßig um eine Form der systematischen Überwachung, die nur unter strengen datenschutzrechtlichen Voraussetzungen zulässig ist.

Ausgangspunkt der rechtlichen Bewertung ist die Frage nach einer tragfähigen Rechtsgrundlage. In der Praxis wird GPS-Tracking häufig auf Art. 6 Abs. 1 lit. f DSGVO gestützt, also auf ein berechtigtes Interesse des Unternehmens. Solche Interessen können etwa in der Optimierung von Routen, einer effizienteren Einsatzplanung oder im Schutz vor Fahrzeugdiebstahl liegen.

Das bloße Bestehen eines Interesses genügt jedoch nicht. Die Datenverarbeitung muss zudem erforderlich sein und einer sorgfältigen Interessenabwägung standhalten. Dabei dürfen die Rechte und Freiheiten der betroffenen Personen nicht gegenüber den Unternehmensinteressen überwiegen. Insbesondere im Beschäftigungskontext ist ein strenger Prüfungsmaßstab anzulegen. Unternehmen sind daher verpflichtet zu prüfen, ob weniger eingriffsintensive Maßnahmen zur Verfügung stehen, etwa eine anlassbezogene Ortung oder organisatorische Alternativen wie Fahrtenbücher. Eine dauerhafte und lückenlose Überwachung wird in der Regel als unverhältnismäßig angesehen, vor allem dann, wenn sie geeignet ist, Verhalten oder Leistung der Mitarbeitenden zu kontrollieren.

Eng mit der Rechtsgrundlage verknüpft ist der Grundsatz der Zweckbindung. Standortdaten dürfen nur für klar definierte und legitime Zwecke verarbeitet werden. Wird das Tracking beispielsweise zur Routenoptimierung eingeführt, ist eine spätere Nutzung zur Leistungsbewertung der Beschäftigten grundsätzlich unzulässig. Eine solche Zweckänderung wäre nur unter engen gesetzlichen Voraussetzungen möglich und in der Praxis meist nicht zu rechtfertigen.

Ein weiterer wesentlicher Aspekt ist die Transparenz. Die betroffenen Mitarbeitenden müssen umfassend darüber informiert werden, dass und in welchem Umfang ein GPS-Tracking stattfindet. Dabei genügt es nicht, lediglich allgemeine Datenschutzhinweise bereitzustellen. Vielmehr ist konkret darzulegen, ob eine Echtzeit-Ortung erfolgt, ob Bewegungsprofile erstellt werden, wer Zugriff auf die Daten hat und wie lange diese gespeichert werden. Nur wenn Beschäftigte die Datenverarbeitung nachvollziehen können, ist eine informierte Bewertung ihrer Rechte überhaupt möglich.

Von besonderer Bedeutung ist zudem die Bewertung der mit dem GPS-Tracking verbundenen Risiken. Standortdaten gelten als sensibel, da sie detaillierte Rückschlüsse auf das Verhalten von Personen ermöglichen. Aus ihnen lassen sich nicht nur Arbeitsabläufe rekonstruieren, sondern unter Umständen auch sensible Informationen ableiten, etwa durch regelmäßige Aufenthalte an Orten wie Arztpraxen oder religiösen Einrichtungen. Vor diesem Hintergrund ist bei GPS-Ortung in der Regel eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Im Rahmen dieser Prüfung müssen Unternehmen systematisch analysieren, welche konkreten Risiken mit der Verarbeitung verbunden sind, und geeignete Maßnahmen zu deren Minimierung festlegen. Dazu zählen insbesondere technische und organisatorische Maßnahmen wie klare Zugriffsbeschränkungen, durchdachte Löschkonzepte sowie die konsequente Beschränkung der Datenerhebung auf das notwendige Maß.

Ein besonders sensibler Punkt ist die Abgrenzung zwischen dienstlicher und privater Nutzung. Die Aufzeichnung privater Fahrten ist datenschutzrechtlich grundsätzlich unzulässig, da sie den höchstpersönlichen Lebensbereich betrifft. Unternehmen sind daher verpflichtet, entweder die private Nutzung von vornherein auszuschließen oder technische Lösungen zu implementieren, die eine Deaktivierung des Trackings während privater Fahrten ermöglichen. Ohne eine solche Trennung ist der Einsatz von GPS-Systemen in der Regel nicht rechtmäßig.

Auch die Frage, welche Auswertungen zulässig sind, ist klar zu begrenzen. Erlaubt sind in der Regel nur solche Analysen, die unmittelbar dem festgelegten Zweck dienen, etwa der Einsatzplanung oder der Nachvollziehbarkeit von Touren im Reklamationsfall. Eine permanente Überwachung des Verhaltens oder eine detaillierte Leistungsanalyse der Beschäftigten ist hingegen datenschutzrechtlich äußerst kritisch und regelmäßig unzulässig. In diesem Zusammenhang sind auch arbeitsrechtliche Vorgaben zu beachten, insbesondere Mitbestimmungsrechte eines vorhandenen Betriebsrats.

Setzt ein Unternehmen externe Dienstleister für das Tracking oder die Auswertung der Daten ein, liegt regelmäßig eine Auftragsverarbeitung vor. In diesem Fall ist ein Vertrag nach Art. 28 DSGVO abzuschließen. Darüber hinaus sind die Anbieter sorgfältig zu prüfen, insbesondere im Hinblick auf ihre technischen und organisatorischen Maßnahmen sowie mögliche Datenübermittlungen in Drittländer. Gerade bei Cloud-basierten Trackinglösungen ist dies ein häufig unterschätzter Risikofaktor.

Schließlich sind auch die Grundsätze der Speicherbegrenzung und Rechenschaftspflicht zu beachten. Standortdaten dürfen nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist. Lange oder unbegrenzte Speicherfristen sind regelmäßig nicht zu rechtfertigen. Gleichzeitig müssen Unternehmen jederzeit nachweisen können, dass sie die datenschutzrechtlichen Anforderungen einhalten. Dazu gehört insbesondere die Dokumentation der Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten, die Durchführung und Dokumentation der Datenschutz-Folgenabschätzung sowie die nachvollziehbare Begründung der Interessenabwägung.

Zusammenfassend lässt sich sagen, dass GPS-Tracking von Firmenfahrzeugen zwar legitime betriebliche Zwecke erfüllen kann, jedoch nur unter engen rechtlichen Voraussetzungen zulässig ist. Entscheidend ist stets eine sorgfältige Abwägung zwischen den Interessen des Unternehmens und den Grundrechten der Beschäftigten. Ohne klare Zweckdefinition, transparente Information, technische Schutzmaßnahmen und eine fundierte rechtliche Bewertung ist der Einsatz solcher Systeme mit erheblichen datenschutzrechtlichen Risiken verbunden.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.