GPS-Tracking in Firmenfahrzeugen: Datenschutzrechtliche Grenzen im Beschäftigungsverhältnis

GPS-Tracking in Firmenfahrzeugen kann für Unternehmen ein nützliches Instrument sein. Fahrzeuge lassen sich besser koordinieren, Routen können effizienter geplant und gestohlene Fahrzeuge schneller lokalisiert werden. Besonders bei wertvoller oder gefährlicher Ladung kann eine Ortung aus betrieblicher Sicht nachvollziehbar erscheinen.
Datenschutzrechtlich ist der Einsatz solcher Systeme jedoch sensibel. Denn sobald ein Firmenfahrzeug einem bestimmten Beschäftigten zugeordnet werden kann, werden aus Fahrzeugdaten personenbezogene Daten. Standortdaten können dann Rückschlüsse auf Verhalten, Arbeitsweise, Aufenthaltsorte, Pausen, Routenabweichungen und gegebenenfalls auch private Lebensbereiche ermöglichen.
GPS-Tracking ist deshalb kein gewöhnliches Fuhrpark-Feature, das ohne Weiteres aktiviert werden darf. Unternehmen müssen vor dem Einsatz sorgfältig prüfen, ob die Ortung rechtlich zulässig, technisch erforderlich und verhältnismäßig ausgestaltet ist.

1. Warum GPS-Tracking datenschutzrechtlich relevant ist
GPS-Tracker erfassen in der Regel den Standort eines Fahrzeugs. Häufig werden zusätzlich Zeitpunkte, gefahrene Strecken, Geschwindigkeiten, Standzeiten oder Routenverläufe gespeichert. Werden diese Daten mit einem bestimmten Fahrzeug und damit mit einem bestimmten Fahrer oder einer bestimmten Fahrerin verbunden, liegt eine Verarbeitung personenbezogener Daten vor.
Das gilt auch dann, wenn das System zunächst nur das Fahrzeug anzeigt. Entscheidend ist, ob eine Zuordnung zu einer Person möglich ist. Bei Firmenfahrzeugen ist dies häufig der Fall, etwa durch feste Fahrzeugzuteilung, Tourenplanung, Einsatzpläne, Fahrtenbücher oder interne Dokumentationen.
Damit unterliegt das GPS-Tracking den Vorgaben der DSGVO. Unternehmen müssen insbesondere die Grundsätze der Rechtmäßigkeit, Zweckbindung, Transparenz, Datenminimierung und Speicherbegrenzung beachten.

2. Zulässige Zwecke des GPS-Trackings
Ein GPS-System darf nicht ohne konkreten Zweck eingesetzt werden. Unternehmen müssen vorab genau festlegen, warum Standortdaten erhoben werden sollen.
Mögliche Zwecke können sein:

• Schutz des Fahrzeugs vor Diebstahl,
• Schutz wertvoller oder gefährlicher Ladung,
• Koordination von Einsatzfahrzeugen,
• Optimierung der Disposition,
• Nachvollziehbarkeit bestimmter sicherheitsrelevanter Transporte,
• anlassbezogene Aufklärung konkreter Pflichtverletzungen oder Sicherheitsvorfälle.

Nicht ausreichend ist dagegen ein bloß allgemeines Kontrollinteresse. Ein Unternehmen darf GPS-Tracking nicht pauschal einsetzen, um Beschäftigte dauerhaft zu überwachen oder Bewegungsprofile auf Vorrat zu erstellen.

3. Welche Rechtsgrundlage kommt in Betracht?
Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Im Beschäftigungskontext kommen für GPS-Tracking vor allem mehrere Ansätze in Betracht.
Eine Verarbeitung zur Vertragserfüllung ist nur in engen Ausnahmefällen denkbar. Im Regelfall ist die dauerhafte Ortung von Beschäftigten nicht erforderlich, um den Arbeitsvertrag durchzuführen. Die bloße Kontrolle, ob Beschäftigte ihre Arbeitszeit einhalten oder keine Umwege fahren, rechtfertigt eine umfassende GPS-Ortung regelmäßig nicht.
Eine Verarbeitung aufgrund einer rechtlichen Verpflichtung kann in Betracht kommen, wenn gesetzliche Dokumentationspflichten bestehen. Auch dann ist aber zu prüfen, ob wirklich Standortdaten erforderlich sind oder ob mildere Mittel ausreichen.
In der Praxis wird häufig auf berechtigte Interessen des Arbeitgebers abgestellt. Ein solches Interesse kann etwa beim Schutz hochwertiger Fahrzeuge oder gefährlicher Güter bestehen. Allerdings reicht ein wirtschaftliches oder organisatorisches Interesse allein nicht aus. Es muss zusätzlich geprüft werden, ob die Ortung erforderlich ist und ob die Interessen der Beschäftigten nicht überwiegen.

4. Einwilligung der Beschäftigten ist meist keine sichere Lösung
Eine Einwilligung ist im Arbeitsverhältnis nur eingeschränkt geeignet. Beschäftigte befinden sich regelmäßig in einem Abhängigkeitsverhältnis zum Arbeitgeber. Deshalb bestehen häufig Zweifel, ob eine Einwilligung tatsächlich freiwillig erteilt wird.
Gerade bei Überwachungsmaßnahmen wie GPS-Tracking sollte ein Unternehmen daher nicht vorschnell auf Einwilligungserklärungen setzen. Eine Einwilligung kann nur dann tragfähig sein, wenn Beschäftigte wirklich frei entscheiden können und ihnen bei Ablehnung keine Nachteile entstehen. Das ist in der Praxis selten eindeutig nachweisbar.
Sicherer ist deshalb eine klare Prüfung, ob eine gesetzliche Rechtsgrundlage für den konkreten Einsatz besteht.

5. Erforderlichkeit und Verhältnismäßigkeit
Selbst wenn ein legitimer Zweck besteht, darf das GPS-Tracking nur so weit gehen, wie es für diesen Zweck erforderlich ist. Unternehmen müssen prüfen, ob mildere Mittel ausreichen.
Dabei stellen sich insbesondere folgende Fragen:

• Ist eine dauerhafte Ortung wirklich notwendig?
• Reicht ein Zugriff nur im Diebstahlsfall?
• Müssen Bewegungsdaten gespeichert werden?
• Genügt eine kurzfristige Echtzeitanzeige?
• Kann die Genauigkeit der Standortdaten reduziert werden?
• Wer benötigt tatsächlich Zugriff auf die Daten?
• Wie lange müssen die Daten gespeichert werden?
• Gibt es weniger eingriffsintensive Alternativen?

Eine lückenlose Dauerüberwachung ist besonders kritisch. Je genauer, länger und umfassender Standortdaten gespeichert werden, desto stärker ist der Eingriff in die Rechte der Beschäftigten.
Datenschutzfreundlicher ist regelmäßig eine anlassbezogene oder technisch begrenzte Lösung. Beispielsweise kann es ausreichen, Standortdaten nur bei Diebstahl, konkretem Verdacht oder sicherheitsrelevanten Transporten auszuwerten.

6. Privatnutzung von Firmenfahrzeugen
Besonders problematisch ist GPS-Tracking bei Fahrzeugen, die auch privat genutzt werden dürfen. Während privater Fahrten ist eine Ortung grundsätzlich unzulässig. Der Arbeitgeber darf nicht nachvollziehen können, wohin Beschäftigte in ihrer Freizeit fahren, welche privaten Orte sie aufsuchen oder welche privaten Gewohnheiten sich aus den Fahrten ergeben.
Bei erlaubter Privatnutzung muss daher eine wirksame Möglichkeit bestehen, die Ortung für private Fahrten zu deaktivieren. Diese Funktion muss praktisch nutzbar sein und darf nicht nur theoretisch vorgesehen werden.
Wird ein Firmenfahrzeug vollständig in den privaten Bereich überführt, muss die Ortung durch den Arbeitgeber beendet werden.

7. Transparenz gegenüber den Beschäftigten
Beschäftigte müssen klar und rechtzeitig über den Einsatz von GPS-Tracking informiert werden. Eine verdeckte oder testweise Ortung mit Echtdaten ist datenschutzrechtlich besonders riskant.
Die Information sollte insbesondere enthalten:

• welche Daten erhoben werden,
• zu welchen Zwecken die Daten verarbeitet werden,
• auf welche Rechtsgrundlage die Verarbeitung gestützt wird,
• wer Zugriff auf die Daten erhält,
• wie lange die Daten gespeichert werden,
• ob und wann eine Auswertung erfolgt,
• welche Rechte die Beschäftigten haben,
• ob ein Widerspruchsrecht besteht.

Transparenz ist nicht nur eine formale Pflicht. Sie ist auch wesentlich, um Misstrauen und Beschwerden zu vermeiden. Beschäftigte müssen nachvollziehen können, wann, warum und in welchem Umfang ihre Standortdaten verarbeitet werden.

8. Beteiligung des Betriebsrats
Besteht ein Betriebsrat, ist dieser bei der Einführung und Anwendung eines GPS-Tracking-Systems regelmäßig zu beteiligen. Denn ein solches System ist technisch geeignet, Verhalten oder Leistung von Beschäftigten zu überwachen.
Eine Betriebsvereinbarung kann wichtige Einzelheiten regeln, etwa Zwecke, Zugriffsrechte, Speicherdauer, Auswertungsmöglichkeiten, Privatnutzung und Kontrollmechanismen. Sie ersetzt aber nicht automatisch die datenschutzrechtliche Prüfung. Auch eine Betriebsvereinbarung muss mit den Vorgaben der DSGVO vereinbar sein.

9. Datenschutz-Folgenabschätzung
GPS-Tracking von Beschäftigten kann erhebliche Risiken für deren Rechte und Freiheiten mit sich bringen. Es können Bewegungsprofile entstehen, die eine intensive Kontrolle des Arbeitsverhaltens ermöglichen. Deshalb ist vor Einführung regelmäßig zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
In einer solchen Prüfung müssen Unternehmen insbesondere bewerten:

• welche Risiken für Beschäftigte entstehen,
• wie intensiv die Überwachung ist,
• ob Bewegungsprofile erstellt werden,
• ob private Lebensbereiche betroffen sein können,
• welche technischen und organisatorischen Schutzmaßnahmen vorgesehen sind,
• wie Datenminimierung und Zugriffsbeschränkungen umgesetzt werden.

Eine Datenschutz-Folgenabschätzung ist nicht bloße Formalität. Sie dient dazu, Risiken frühzeitig zu erkennen und die geplante Verarbeitung datenschutzfreundlich auszugestalten.

10. Praxishinweise für Unternehmen
Unternehmen sollten GPS-Tracking nur nach sorgfältiger Vorprüfung einsetzen. Empfehlenswert ist insbesondere folgende Vorgehensweise:
1. Zweck genau festlegen
Der Zweck muss konkret beschrieben werden. Allgemeine Begriffe wie „Kontrolle“ oder „Optimierung“ reichen nicht aus.
2. Rechtsgrundlage prüfen
Es muss nachvollziehbar dokumentiert werden, auf welche Rechtsgrundlage die Verarbeitung gestützt wird.
3. Interessenabwägung durchführen
Bei berechtigten Interessen ist zu prüfen, ob die Interessen des Unternehmens die Rechte der Beschäftigten überwiegen.
4. Technik datensparsam einstellen
Dauertracking, lange Speicherung und umfassende Auswertung sollten vermieden werden.
5. Privatfahrten schützen
Bei erlaubter Privatnutzung muss die Ortung deaktivierbar sein.
6. Zugriffe begrenzen
Nur ein enger, festgelegter Personenkreis sollte Zugriff auf GPS-Daten erhalten.
7. Speicherfristen definieren
Standortdaten dürfen nicht länger gespeichert werden, als es für den jeweiligen Zweck erforderlich ist.
8. Beschäftigte informieren
Die Information muss klar, vollständig und rechtzeitig erfolgen.
9. Betriebsrat einbinden
Soweit ein Betriebsrat besteht, ist dessen Beteiligung frühzeitig sicherzustellen.
10. Datenschutz-Folgenabschätzung prüfen
Wegen des hohen Überwachungspotenzials sollte die Pflicht zur Datenschutz-Folgenabschätzung besonders sorgfältig geprüft und dokumentiert werden.
Fazit
GPS-Tracking in Firmenfahrzeugen ist datenschutzrechtlich nur unter engen Voraussetzungen zulässig. Sobald Beschäftigte über das Fahrzeug identifizierbar sind, handelt es sich um personenbezogene Datenverarbeitung mit erheblichem Überwachungspotenzial.
Unternehmen benötigen daher einen konkreten Zweck, eine tragfähige Rechtsgrundlage und eine verhältnismäßige technische Ausgestaltung. Besonders kritisch sind dauerhafte Ortung, verdeckte Tests, lange Speicherfristen, unbeschränkte Zugriffsmöglichkeiten und die Ortung während privater Fahrten.
Für Datenschutzbeauftragte ist GPS-Tracking deshalb ein klassischer Prüffall. Vor der Einführung sollten Zweck, Rechtsgrundlage, Interessenabwägung, Informationspflichten, Betriebsratsbeteiligung, Speicherfristen, Zugriffskonzept und Datenschutz-Folgenabschätzung sauber dokumentiert werden. Nur so lässt sich vermeiden, dass ein praktisches Fuhrparktool zu einem datenschutzrechtlichen Risiko wird.