GPS-Tracking in Firmenfahrzeugen: Datenschutzrechtliche Grenzen im Beschäftigungsverhältnis

GPS-Tracking in Firmenfahrzeugen kann für Unternehmen ein nützliches Instrument sein. Fahrzeuge lassen sich besser koordinieren, Routen können effizienter geplant und gestohlene Fahrzeuge schneller lokalisiert werden. Besonders bei wertvoller oder gefährlicher Ladung kann eine Ortung aus betrieblicher Sicht nachvollziehbar erscheinen.

Datenschutzrechtlich ist der Einsatz solcher Systeme jedoch sensibel. Denn sobald ein Firmenfahrzeug einem bestimmten Beschäftigten zugeordnet werden kann, werden aus Fahrzeugdaten personenbezogene Daten. Standortdaten können dann Rückschlüsse auf Verhalten, Arbeitsweise, Aufenthaltsorte, Pausen, Routenabweichungen und gegebenenfalls auch private Lebensbereiche ermöglichen.

GPS-Tracking ist deshalb kein gewöhnliches Fuhrpark-Feature, das ohne Weiteres aktiviert werden darf. Unternehmen müssen vor dem Einsatz sorgfältig prüfen, ob die Ortung rechtlich zulässig, technisch erforderlich und verhältnismäßig ausgestaltet ist.

1. Warum GPS-Tracking datenschutzrechtlich relevant ist

GPS-Tracker erfassen in der Regel den Standort eines Fahrzeugs. Häufig werden zusätzlich Zeitpunkte, gefahrene Strecken, Geschwindigkeiten, Standzeiten oder Routenverläufe gespeichert. Werden diese Daten mit einem bestimmten Fahrzeug und damit mit einem bestimmten Fahrer oder einer bestimmten Fahrerin verbunden, liegt eine Verarbeitung personenbezogener Daten vor.

Das gilt auch dann, wenn das System zunächst nur das Fahrzeug anzeigt. Entscheidend ist, ob eine Zuordnung zu einer Person möglich ist (Art. 4 Nr. 1 DSGVO). Bei Firmenfahrzeugen ist dies häufig der Fall, etwa durch feste Fahrzeugzuteilung, Tourenplanung, Einsatzpläne, Fahrtenbücher oder interne Dokumentationen.

Damit unterliegt das GPS-Tracking den Vorgaben der DSGVO. Unternehmen müssen insbesondere die Grundsätze der Rechtmäßigkeit, Zweckbindung, Transparenz, Datenminimierung und Speicherbegrenzung nach Art. 5 Abs. 1 DSGVO beachten.

2. Zulässige Zwecke des GPS-Trackings

Ein GPS-System darf nicht ohne konkreten Zweck eingesetzt werden. Unternehmen müssen vorab genau festlegen, warum Standortdaten erhoben werden sollen.

Mögliche Zwecke können sein:

• Schutz des Fahrzeugs vor Diebstahl,
• Schutz wertvoller oder gefährlicher Ladung,
• Koordination von Einsatzfahrzeugen,
• Optimierung der Disposition,
• Nachvollziehbarkeit bestimmter sicherheitsrelevanter Transporte,
• anlassbezogene Aufklärung konkreter Pflichtverletzungen oder Sicherheitsvorfälle.

Nicht ausreichend ist dagegen ein bloß allgemeines Kontrollinteresse. Ein Unternehmen darf GPS-Tracking nicht pauschal einsetzen, um Beschäftigte dauerhaft zu überwachen oder Bewegungsprofile auf Vorrat zu erstellen.

3. Welche Rechtsgrundlage kommt in Betracht?

Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Im Beschäftigungskontext ist dabei zunächst die Rechtslage zu § 26 BDSG zu beachten. Der EuGH hat mit Urteil vom 30. März 2023 (C-34/21) entschieden, dass nationale Vorschriften zum Beschäftigtendatenschutz nur dann als spezifischere Vorschriften im Sinne von Art. 88 DSGVO gelten, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllen; eine Regelung, die lediglich die allgemeinen Voraussetzungen der DSGVO wiederholt, ist nicht anzuwenden. Die damals geprüfte hessische Vorschrift entspricht inhaltlich § 26 Abs. 1 Satz 1 BDSG. Deshalb ist zweifelhaft, ob § 26 Abs. 1 Satz 1 BDSG noch als eigenständige Rechtsgrundlage herangezogen werden kann. In der Praxis wird die Verarbeitung daher vorsorglich unmittelbar an Art. 6 Abs. 1 DSGVO gemessen. Ein eigenständiges Beschäftigtendatengesetz ist angekündigt, aber noch nicht in Kraft.

Eine Verarbeitung zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) ist nur in engen Ausnahmefällen denkbar. Im Regelfall ist die dauerhafte Ortung von Beschäftigten nicht erforderlich, um den Arbeitsvertrag durchzuführen. Die bloße Kontrolle, ob Beschäftigte ihre Arbeitszeit einhalten oder keine Umwege fahren, rechtfertigt eine umfassende GPS-Ortung regelmäßig nicht.

Eine Verarbeitung aufgrund einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) kann in Betracht kommen, wenn gesetzliche Dokumentationspflichten bestehen. Auch dann ist aber zu prüfen, ob wirklich Standortdaten erforderlich sind oder ob mildere Mittel ausreichen.

In der Praxis wird häufig auf berechtigte Interessen des Arbeitgebers abgestellt (Art. 6 Abs. 1 lit. f DSGVO). Ein solches Interesse kann etwa beim Schutz hochwertiger Fahrzeuge oder gefährlicher Güter bestehen. Allerdings reicht ein wirtschaftliches oder organisatorisches Interesse allein nicht aus. Es muss zusätzlich geprüft werden, ob die Ortung erforderlich ist und ob die Interessen der Beschäftigten nicht überwiegen.

Daneben kann eine Betriebsvereinbarung Rechtsgrundlage sein (Art. 88 DSGVO in Verbindung mit § 26 Abs. 4 BDSG). Sie muss allerdings die Anforderungen des Art. 88 Abs. 2 DSGVO und die allgemeinen Vorgaben der DSGVO einhalten (dazu unten unter 8.).

4. Einwilligung der Beschäftigten ist meist keine sichere Lösung

Eine Einwilligung ist im Arbeitsverhältnis nur eingeschränkt geeignet. Beschäftigte befinden sich regelmäßig in einem Abhängigkeitsverhältnis zum Arbeitgeber. Deshalb bestehen häufig Zweifel, ob eine Einwilligung tatsächlich freiwillig erteilt wird. § 26 Abs. 2 BDSG greift diese Frage auf: Für die Beurteilung der Freiwilligkeit sind die Abhängigkeit im Beschäftigungsverhältnis und die Umstände der Erteilung zu berücksichtigen; die Einwilligung hat grundsätzlich schriftlich oder elektronisch zu erfolgen.

Gerade bei Überwachungsmaßnahmen wie GPS-Tracking sollte ein Unternehmen daher nicht vorschnell auf Einwilligungserklärungen setzen. Eine Einwilligung kann nur dann tragfähig sein, wenn Beschäftigte wirklich frei entscheiden können und ihnen bei Ablehnung keine Nachteile entstehen. Das ist in der Praxis selten eindeutig nachweisbar. Hinzu kommt, dass eine Einwilligung jederzeit widerrufen werden kann (Art. 7 Abs. 3 DSGVO).

Sicherer ist deshalb eine klare Prüfung, ob eine gesetzliche Rechtsgrundlage für den konkreten Einsatz besteht.

5. Erforderlichkeit und Verhältnismäßigkeit

Selbst wenn ein legitimer Zweck besteht, darf das GPS-Tracking nur so weit gehen, wie es für diesen Zweck erforderlich ist. Unternehmen müssen prüfen, ob mildere Mittel ausreichen.

Dabei stellen sich insbesondere folgende Fragen:

• Ist eine dauerhafte Ortung wirklich notwendig?
• Reicht ein Zugriff nur im Diebstahlsfall?
• Müssen Bewegungsdaten gespeichert werden?
• Genügt eine kurzfristige Echtzeitanzeige?
• Kann die Genauigkeit der Standortdaten reduziert werden?
• Wer benötigt tatsächlich Zugriff auf die Daten?
• Wie lange müssen die Daten gespeichert werden?
• Gibt es weniger eingriffsintensive Alternativen?

Eine lückenlose Dauerüberwachung ist besonders kritisch. Je genauer, länger und umfassender Standortdaten gespeichert werden, desto stärker ist der Eingriff in die Rechte der Beschäftigten.

Datenschutzfreundlicher ist regelmäßig eine anlassbezogene oder technisch begrenzte Lösung. Beispielsweise kann es ausreichen, Standortdaten nur bei Diebstahl, konkretem Verdacht oder sicherheitsrelevanten Transporten auszuwerten.

6. Privatnutzung von Firmenfahrzeugen

Besonders problematisch ist GPS-Tracking bei Fahrzeugen, die auch privat genutzt werden dürfen. Während privater Fahrten ist eine Ortung nach unserer Einschätzung grundsätzlich unzulässig, weil kein betrieblicher Zweck sie trägt. Der Arbeitgeber darf nicht nachvollziehen können, wohin Beschäftigte in ihrer Freizeit fahren, welche privaten Orte sie aufsuchen oder welche privaten Gewohnheiten sich aus den Fahrten ergeben.

Bei erlaubter Privatnutzung muss daher eine wirksame Möglichkeit bestehen, die Ortung für private Fahrten zu deaktivieren. Diese Funktion muss praktisch nutzbar sein und darf nicht nur theoretisch vorgesehen werden.

Wird ein Firmenfahrzeug vollständig in den privaten Bereich überführt, muss die Ortung durch den Arbeitgeber beendet werden.

7. Transparenz gegenüber den Beschäftigten

Beschäftigte müssen klar und rechtzeitig über den Einsatz von GPS-Tracking informiert werden (Art. 13 DSGVO). Eine verdeckte oder testweise Ortung mit Echtdaten ist datenschutzrechtlich besonders riskant.

Die Information sollte insbesondere enthalten:

• welche Daten erhoben werden,
• zu welchen Zwecken die Daten verarbeitet werden,
• auf welche Rechtsgrundlage die Verarbeitung gestützt wird,
• wer Zugriff auf die Daten erhält,
• wie lange die Daten gespeichert werden,
• ob und wann eine Auswertung erfolgt,
• welche Rechte die Beschäftigten haben,
• ob ein Widerspruchsrecht nach Art. 21 DSGVO besteht.

Transparenz ist nicht nur eine formale Pflicht. Sie ist auch wesentlich, um Misstrauen und Beschwerden zu vermeiden. Beschäftigte müssen nachvollziehen können, wann, warum und in welchem Umfang ihre Standortdaten verarbeitet werden.

8. Beteiligung des Betriebsrats

Besteht ein Betriebsrat, hat er bei der Einführung und Anwendung eines GPS-Tracking-Systems nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen. Das Mitbestimmungsrecht betrifft technische Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt dafür, dass die Einrichtung objektiv zur Überwachung geeignet ist; auf eine Überwachungsabsicht des Arbeitgebers kommt es nicht an. Ohne Zustimmung des Betriebsrats oder einen Spruch der Einigungsstelle darf das System nicht eingeführt werden.

Eine Betriebsvereinbarung kann wichtige Einzelheiten regeln, etwa Zwecke, Zugriffsrechte, Speicherdauer, Auswertungsmöglichkeiten, Privatnutzung und Kontrollmechanismen. Sie ersetzt aber nicht automatisch die datenschutzrechtliche Prüfung. Der EuGH hat mit Urteil vom 19. Dezember 2024 (C-65/23) klargestellt, dass auch eine Betriebsvereinbarung als Rechtsgrundlage die Vorgaben der DSGVO, insbesondere Art. 5, Art. 6 Abs. 1 und Art. 9 DSGVO, einhalten muss und dass Gerichte dies in vollem Umfang überprüfen können.

9. Datenschutz-Folgenabschätzung

GPS-Tracking von Beschäftigten kann erhebliche Risiken für deren Rechte und Freiheiten mit sich bringen. Es können Bewegungsprofile entstehen, die eine intensive Kontrolle des Arbeitsverhaltens ermöglichen. Nach Art. 35 Abs. 1 DSGVO ist eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat.

Die Datenschutzkonferenz (DSK) führt in ihrer Liste der Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung durchzuführen ist (Art. 35 Abs. 4 DSGVO, Version 1.1), unter Nr. 8 die umfangreiche Verarbeitung von Daten über das Verhalten von Beschäftigten auf, die zur Bewertung ihrer Arbeitstätigkeit eingesetzt werden können. Als Beispiel nennt sie ausdrücklich die Geolokalisierung von Beschäftigten, etwa Bewegungsprofile per GPS zum Schutz wertvollen Eigentums (Lkw mit Ladung, Geldtransport) oder zur Koordination von Außendiensteinsätzen. Nach dieser behördlichen Auslegung ist bei GPS-Tracking von Beschäftigten in größerem Umfang regelmäßig eine Datenschutz-Folgenabschätzung durchzuführen.

In einer solchen Prüfung müssen Unternehmen insbesondere bewerten:

• welche Risiken für Beschäftigte entstehen,
• wie intensiv die Überwachung ist,
• ob Bewegungsprofile erstellt werden,
• ob private Lebensbereiche betroffen sein können,
• welche technischen und organisatorischen Schutzmaßnahmen vorgesehen sind,
• wie Datenminimierung und Zugriffsbeschränkungen umgesetzt werden.

Eine Datenschutz-Folgenabschätzung ist nicht bloße Formalität. Sie dient dazu, Risiken frühzeitig zu erkennen und die geplante Verarbeitung datenschutzfreundlich auszugestalten.

10. Praxishinweise für Unternehmen

Unternehmen sollten GPS-Tracking nur nach sorgfältiger Vorprüfung einsetzen. Empfehlenswert ist insbesondere folgende Vorgehensweise:

1. Zweck genau festlegen: Der Zweck muss konkret beschrieben werden. Allgemeine Begriffe wie „Kontrolle“ oder „Optimierung“ reichen nicht aus.
2. Rechtsgrundlage prüfen: Es muss nachvollziehbar dokumentiert werden, auf welche Rechtsgrundlage die Verarbeitung gestützt wird.
3. Interessenabwägung durchführen: Bei berechtigten Interessen ist zu prüfen, ob die Interessen der Beschäftigten die Interessen des Unternehmens überwiegen.
4. Technik datensparsam einstellen: Dauertracking, lange Speicherung und umfassende Auswertung sollten vermieden werden.
5. Privatfahrten schützen: Bei erlaubter Privatnutzung muss die Ortung deaktivierbar sein.
6. Zugriffe begrenzen: Nur ein enger, festgelegter Personenkreis sollte Zugriff auf GPS-Daten erhalten.
7. Speicherfristen definieren: Standortdaten dürfen nicht länger gespeichert werden, als es für den jeweiligen Zweck erforderlich ist.
8. Beschäftigte informieren: Die Information muss klar, vollständig und rechtzeitig erfolgen.
9. Betriebsrat einbinden: Soweit ein Betriebsrat besteht, ist sein Mitbestimmungsrecht vor der Einführung zu wahren.
10. Datenschutz-Folgenabschätzung durchführen: Wegen des hohen Überwachungspotenzials und der DSK-Liste ist eine Datenschutz-Folgenabschätzung regelmäßig erforderlich; das Ergebnis der Prüfung ist zu dokumentieren.

Fazit

GPS-Tracking in Firmenfahrzeugen ist datenschutzrechtlich nur unter engen Voraussetzungen zulässig. Sobald Beschäftigte über das Fahrzeug identifizierbar sind, handelt es sich um personenbezogene Datenverarbeitung mit erheblichem Überwachungspotenzial.

Unternehmen benötigen daher einen konkreten Zweck, eine tragfähige Rechtsgrundlage und eine verhältnismäßige technische Ausgestaltung. Besonders kritisch sind dauerhafte Ortung, verdeckte Tests, lange Speicherfristen, unbeschränkte Zugriffsmöglichkeiten und die Ortung während privater Fahrten.

Für Datenschutzbeauftragte ist GPS-Tracking deshalb ein klassischer Prüffall. Vor der Einführung sollten Zweck, Rechtsgrundlage, Interessenabwägung, Informationspflichten, Betriebsratsbeteiligung, Speicherfristen, Zugriffskonzept und Datenschutz-Folgenabschätzung sauber dokumentiert werden. Nur so lässt sich vermeiden, dass ein praktisches Fuhrparktool zu einem datenschutzrechtlichen Risiko wird.