GPS-Tracking von Mitarbeitern: Was ist unter der DSGVO erlaubt?

GPS-Daten sind personenbezogene Daten

Sobald Standortdaten einer identifizierbaren Person zugeordnet werden koennen, sind sie personenbezogene Daten unter der DSGVO. Bei Firmenfahrzeugen ist das fast immer der Fall: Das Fahrzeug ist einem bestimmten Mitarbeiter zugewiesen, also entspricht der Standort des Fahrzeugs dem Standort dieser Person.

Das betrifft:

• GPS-Tracker in Firmenwagen
• Standortdaten von Diensthandys
• Routenerfassung ueber Bordcomputer
• Apps, die den Standort von Aussendienstmitarbeitern erfassen

Weil Standortdaten detaillierte Einblicke in das Verhalten und die Bewegungen einer Person geben, behandelt die DSGVO sie als besonders sensibel.

Zwei belgische Warnbeispiele

Arbeitsgericht Leuven: 24/7-Tracking ist rechtswidrig

Ein Arbeitgeber installierte GPS-Tracker in Firmenfahrzeugen und verfolgte Mitarbeiter lueckenlos, auch ausserhalb der Arbeitszeit. Das Fahrzeug wurde sowohl beruflich als auch privat genutzt. Das Gericht urteilte:

• 24/7-Tracking ist ein unverhaeltnismaessiger Eingriff in das Privatleben
• Der Arbeitgeber hatte keinen klaren, berechtigten Zweck fuer die kontinuierliche Ueberwachung
• Die Mitarbeiter waren unzureichend informiert ueber die Datenverarbeitung

Ergebnis: Die Verarbeitung war rechtswidrig. Der Arbeitgeber verlor den Fall.

Geldbusse der belgischen Datenschutzbehoerde: Transportunternehmen (2022)

Ein Transportunternehmen erfasste GPS-Daten von Fahrern ueber Bordcomputer. Die Datenschutzbehoerde (GBA) stellte fest:

• Keine klare Rechtsgrundlage (berechtigtes Interesse nicht ausreichend begruendet, keine gueltige Einwilligung)
• Kein internes Datenschutzkonzept zur Nutzung der GPS-Daten
• Unzureichende Information an die Fahrer darueber, was mit ihren Daten geschah

Ergebnis: Geldbusse wegen mangelnder Transparenz.

Wann IST GPS-Tracking erlaubt?

GPS-Tracking ist nicht verboten, aber Sie muessen strenge Voraussetzungen erfuellen:

1. Sie haben einen klaren, spezifischen Zweck Beispiele fuer gueltige Zwecke:

• Routenoptimierung und -planung
• Diebstahlschutz von Fahrzeugen
• Abrechnung auf Basis gefahrener Kilometer
• Sicherheit von Mitarbeitern in Risikogebieten

“Pruefen, ob Mitarbeiter wirklich arbeiten” ist selten ein gueltiger Zweck.

2. Sie waehlen die richtige Rechtsgrundlage

• Berechtigtes Interesse ist die gaengigste Grundlage fuer GPS-Tracking, aber Sie muessen eine Interessenabwaegung durchfuehren und dokumentieren
• Einwilligung ist im Arbeitsverhaeltnis wegen des Machtgefaelles problematisch; ein Mitarbeiter kann kaum “freiwillig” einwilligen

3. Sie beschraenken das Tracking auf das Notwendige

• Nur waehrend der Arbeitszeit, nicht 24/7
• Nur die Daten, die Sie tatsaechlich benoetigen (z.B. Start- und Endpunkt, nicht jede Sekunde die Position)
• Kein Tracking von Privatfahrten

4. Sie informieren Ihre Mitarbeiter

• Nehmen Sie GPS-Tracking in Ihr Mitarbeiter-Datenschutzkonzept auf
• Erklaeren Sie: welche Daten, wofuer, wie lange aufbewahrt, wer Zugriff hat
• Informieren Sie Mitarbeiter bevor Sie das Tracking aktivieren, nicht danach

5. Sie fuehren eine DSFA durch Bei systematischem, grossflaechigem Tracking ist eine Datenschutz-Folgenabschaetzung (DSFA) Pflicht. Dokumentieren Sie die Risiken und die getroffenen Massnahmen.

Dos und Don’ts

Was Sie tun SOLLTEN

• Dokumentieren Sie die GPS-Nutzung in Ihrem Verarbeitungsverzeichnis und Mitarbeiter-Datenschutzkonzept
• Beschraenken Sie das Tracking auf Arbeitszeiten, sofern keine spezifische Rechtfertigung vorliegt
• Beschraenken Sie den Zugriff auf GPS-Daten auf Fuehrungskraefte, die ihn tatsaechlich benoetigen
• Fuehren Sie eine DSFA bei grossflaechigem Tracking durch
• Wenden Sie Pseudonymisierung an, wo moeglich (z.B. Fahrzeug-ID statt Mitarbeitername)
• Legen Sie Aufbewahrungsfristen fest und loeschen Sie alte GPS-Daten automatisch

Was Sie NICHT tun sollten

• 24/7-Tracking ohne zwingende Notwendigkeit
• Tracking auf eine pauschale Einwilligung stuetzen (“Sie haben den Arbeitsvertrag unterschrieben, also stimmen Sie zu”)
• GPS-Daten fuer andere Zwecke verwenden als die, fuer die Sie sie erhoben haben (z.B. erhoben fuer Routenplanung, genutzt fuer Leistungsbeurteilung)
• GPS-Daten laenger aufbewahren als noetig
• Die Meldepflicht bei Datenschutzverletzungen ignorieren, wenn GPS-Daten geleakt werden

Was sollten Sie jetzt tun?

1. Ermitteln Sie, ob Sie GPS-Daten verarbeiten (Firmenfahrzeuge, Telefone, Apps)
2. Dokumentieren Sie den Zweck, die Rechtsgrundlage und die Aufbewahrungsfrist in Ihrem Verarbeitungsverzeichnis
3. Pruefen Sie, ob Mitarbeiter ueber das Mitarbeiter-Datenschutzkonzept informiert sind
4. Beschraenken Sie das Tracking auf Arbeitszeiten und notwendige Daten
5. Fuehren Sie eine DSFA durch, wenn Sie systematisch Standortdaten verarbeiten
6. Legen Sie Aufbewahrungsfristen fest und loeschen Sie alte GPS-Daten automatisch