GPS-Tracking in Firmenfahrzeugen kann Routen transparenter machen, die Einsatzplanung im Außendienst verbessern und Fahrzeuge oder sensible Ladung schützen. Sobald sich Standortdaten jedoch einer Fahrerin oder einem Fahrer zuordnen lassen, geht es nicht mehr nur um Fahrzeugdaten. Dann verarbeitet Dein Unternehmen personenbezogene Daten von Beschäftigten – mit entsprechenden Anforderungen an Datenschutz, Transparenz und Verhältnismäßigkeit.
Der entscheidende Punkt ist deshalb nicht, ob ein Telematiksystem technisch alles erfassen kann. Entscheidend ist, welche Daten für einen klar definierten betrieblichen Zweck tatsächlich erforderlich sind. Wer GPS-Ortung als Instrument zur dauerhaften Verhaltens- oder Leistungskontrolle einsetzt, schafft erhebliche Datenschutzrisiken und belastet unnötig das Vertrauen im Team.
Warum GPS-Daten im Firmenfahrzeug besonders sensibel sind
Ein GPS-System kann weit mehr verraten als den aktuellen Standort eines Transporters. Je nach Konfiguration entstehen Informationen über gefahrene Routen, Standzeiten, Arbeitsbeginn und -ende, Besuchsorte oder individuelle Fahrgewohnheiten. In Verbindung mit Fahrzeugzuordnung, Tourenplan oder Zeiterfassung können daraus detaillierte Bewegungsprofile von Beschäftigten entstehen.
Für mittelständische Unternehmen ist das besonders relevant, weil Fuhrpark-, Auftrags- und Personaldaten in der Praxis häufig in wenigen Systemen zusammenlaufen. Aus einer zunächst sinnvoll gedachten Tourenplanung kann so schnell eine lückenlose Kontrolle einzelner Mitarbeitender werden. Genau diese Zweckverschiebung solltest du von Anfang an verhindern.
Ein guter Grundsatz lautet: Das Fahrzeug darf steuerbar sein – die Person dahinter darf nicht pauschal überwacht werden.
Wann GPS-Tracking in Firmenfahrzeugen zulässig sein kann
GPS-Ortung ist nicht grundsätzlich verboten. Sie kann zulässig sein, wenn Dein Unternehmen einen konkreten, legitimen Zweck verfolgt und die Verarbeitung dafür erforderlich ist. Für die Verarbeitung von Beschäftigtendaten kommt insbesondere § 26 BDSG in Betracht, soweit die Verarbeitung für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Ob dies bei GPS-Daten der Fall ist, hängt jedoch immer vom konkreten Zweck, dem Umfang der Ortung, möglichen milderen Mitteln und den Schutzinteressen der Beschäftigten ab.. Bei Verdacht auf Straftaten gelten zusätzlich besonders strenge Voraussetzungen.
Plausible betriebliche Zwecke können beispielsweise sein:
- hochwertige Fahrzeuge, Werkzeuge oder sensible Ladung im Diebstahlsfall schützen,
- einen akuten Serviceeinsatz koordinieren,
- Lieferzeiten realistisch einschätzen und Kunden informieren,
- bei Störungen oder Notfällen Fahrzeuge gezielt disponieren,
- Touren im Außendienst oder in der Logistik bedarfsgerecht planen.
Nicht ausreichend ist hingegen das pauschale Interesse, jederzeit nachvollziehen zu können, wo sich Beschäftigte aufhalten oder wie produktiv sie vermeintlich arbeiten. Eine dauerhafte Ortung, die Beschäftigte unter permanenten Kontrolldruck setzt, ist datenschutzrechtlich besonders problematisch.
Erforderlichkeit konkret statt pauschal prüfen
Frage bei jedem vorgesehenen Anwendungsfall: Brauchen wir diese Information wirklich – und brauchen wir sie genau jetzt?
Ein Beispiel: Ein technischer Kundendienst möchte kurzfristig den nächsten verfügbaren Monteur zu einem dringenden Einsatz schicken. Eine zeitlich begrenzte Ortung während der Arbeitszeit kann dafür nachvollziehbar sein. Für denselben Zweck ist es aber meist nicht erforderlich, alle Bewegungen über Wochen zu speichern und nachträglich auszuwerten.
Dokumentiere diese Abwägung schriftlich:
- Welchen Zweck verfolgt die Ortung?
- Welche weniger eingriffsintensiven Alternativen wurden geprüft?
- Warum sind die konkreten Daten erforderlich?
- Welche Speicherfristen und Zugriffsrechte gelten?
Das hilft nicht nur bei Rückfragen durch Beschäftigte oder Aufsichtsbehörden, sondern zwingt auch intern zu einer sauberen Entscheidung über Zweck, Umfang und Grenzen des Systems.
Datensparsame Technik: So begrenzt du die Ortung sinnvoll
Datenschutz entsteht nicht allein durch eine Datenschutzerklärung. Die technische Konfiguration des Systems entscheidet darüber, ob Dein Konzept im Alltag tatsächlich funktioniert.
Prüfe deshalb, ob eine mildere Variante den gleichen Zweck erfüllt. Statt einer lückenlosen Echtzeitortung kommen – abhängig vom Einsatzfall – etwa diese Maßnahmen infrage:
- Anlassbezogene Ortung: Aktivierung nur bei Diebstahl, Panne, Notfall oder einer konkreten Dispositionsaufgabe.
- Zeitliche Begrenzung: Ortung nur innerhalb definierter Arbeits- oder Einsatzzeiten.
- Grobe statt sekundengenaue Daten: Für manche Planungsaufgaben genügt ein Status wie „im Einsatz“, „verfügbar“ oder „am Zielort“.
- Kurze Speicherfristen: Daten nach Ablauf einer klar festgelegten Frist automatisch löschen.
- Getrennte Auswertungen: Keine automatische Verknüpfung von Standortdaten mit Leistungskennzahlen, sofern dies nicht begründet und geregelt ist.
Auch Zugriffsrechte gehören auf den Prüfstand. Die Disposition benötigt unter Umständen aktuelle Fahrzeugpositionen. Die Personalabteilung oder Geschäftsführung braucht deshalb nicht automatisch Zugriff auf vollständige Bewegungsdaten. Lege Rollen fest, protokolliere Abrufe und überprüfe Berechtigungen regelmäßig.
Privatfahrten: Ein echter Privatmodus ist Pflicht
Dürfen Beschäftigte ihren Firmenwagen privat nutzen, muss die Ortung während dieser Fahrten zuverlässig ausgeschlossen sein. Es reicht nicht, Privatfahrten zwar aufzuzeichnen, aber intern zu versprechen, die Daten nicht anzusehen: Die datenschutzrechtlich relevante Verarbeitung beginnt bereits mit Erhebung und Speicherung der Standortdaten.
In der Praxis braucht es daher einen technisch wirksamen Privatmodus. Dieser kann beispielsweise über eine klar erkennbare Umschaltfunktion, eine automatische Deaktivierung außerhalb festgelegter Dienstzeiten oder eine andere belastbare technische Lösung umgesetzt werden. Entscheidend ist, dass private Standortdaten gar nicht erst im System landen.
Berücksichtige dabei auch Sonderfälle: Rufbereitschaft, wechselnde Arbeitszeiten, Wochenenddienste oder Fahrzeuge mit gemischter Nutzung. Eine Lösung, die nur auf dem Papier funktioniert, wird im Betriebsalltag schnell zum Risiko.
Transparenz, Betriebsrat und verbindliche Regeln
Beschäftigte müssen vor dem Start verständlich und proaktiv informiert werden. Sie sollten nicht erst dann erfahren, dass ein Ortungssystem aktiv ist, wenn sie einen Hinweis in einer App oder im Fahrzeug entdecken. Zu den zentralen Informationen gehören insbesondere Zweck der Verarbeitung, erfasste Daten, Empfänger beziehungsweise Zugriffsberechtigte, Speicherfristen sowie die Rechte der betroffenen Personen.
Eine gute interne Regelung beantwortet außerdem praktische Fragen:
- Wann ist die Ortung aktiv?
- Für welche Zwecke dürfen Daten verwendet werden?
- Wer darf Daten einsehen und unter welchen Bedingungen?
- Welche Daten werden wie lange gespeichert?
- Wie werden Privatfahrten technisch ausgeschlossen?
- Was passiert bei Missbrauch, Diebstahl oder einem Supportfall?
- Dürfen Daten für arbeitsrechtliche Maßnahmen verwendet werden – und wenn ja, unter welchen eng begrenzten Voraussetzungen?
Gibt es einen Betriebsrat, ist dessen Beteiligung frühzeitig einzuplanen. Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen, besteht ein Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 6 BetrVG. Bei GPS-Systemen ist das regelmäßig ein zentraler Prüfpunkt, weil sie zumindest zur Verhaltens- oder Leistungskontrolle geeignet sein können.
Eine Betriebsvereinbarung kann dabei helfen, die zulässigen Zwecke, Datenkategorien, Speicherfristen, Auswertungsregeln und Kontrollrechte verbindlich zu regeln. Sie ersetzt aber nicht die Pflicht, die Datenverarbeitung selbst datensparsam und verhältnismäßig auszugestalten.
Datenschutz-Folgenabschätzung und Dienstleister frühzeitig prüfen
Bei systematischer oder umfangreicher Geolokalisierung von Beschäftigten solltest Du eine Datenschutz-Folgenabschätzung (DSFA) nicht erst angehen, wenn das System schon live ist. Prüfe die Pflicht zur Datenschutz-Folgenabschätzung vor Einführung des Systems – nicht erst nach dem Go-live. Die DSK führt die Geolokalisierung von Beschäftigten und die Erstellung von Bewegungsprofilen als besonders risikoreiche Verarbeitungsszenarien auf. Bei einer umfangreichen oder systematischen Ortung ist eine DSFA daher regelmäßig ernsthaft in Betracht zu ziehen und gegebenenfalls vorab durchzuführen.
Die DSFA hilft Dir, Risiken strukturiert zu bewerten und geeignete Schutzmaßnahmen festzulegen. Dazu gehören etwa die Einschränkung von Auswertungen, Löschkonzepte, Berechtigungssysteme, Verschlüsselung, Protokollierung und ein Verfahren für Datenschutzanfragen.
Beziehe auch den Anbieter des Telematiksystems ein. Kläre vor Vertragsabschluss unter anderem:
- Wo werden die Daten verarbeitet und gespeichert?
- Handelt der Anbieter als Auftragsverarbeiter?
- Liegt ein Vertrag zur Auftragsverarbeitung vor?
- Welche Unterauftragnehmer werden eingesetzt?
- Welche technischen und organisatorischen Maßnahmen sind dokumentiert?
- Lassen sich Löschfristen, Privatmodus und Rollenrechte im System wirklich umsetzen?
Ein System, das sich nicht datensparsam konfigurieren lässt, ist keine gute Grundlage für einen rechtskonformen Einsatz – auch wenn es funktional überzeugend wirkt.
GPS-Tracking rechtssicher einführen: 5 Schritte für die Praxis
Mit diesem Vorgehen bringst Du Datenschutz, betriebliche Anforderungen und Akzeptanz im Team zusammen:
- Zweck schriftlich festlegen: Beschreibe konkret, welches Problem Du lösen willst – etwa Diebstahlschutz, Notfalldisposition oder Kundeninformation.
- Erforderlichkeit prüfen: Vergleiche mögliche Alternativen. Wäre eine zeitlich begrenzte oder anlassbezogene Ortung ausreichend?
- System datensparsam konfigurieren: Begrenze Erfassungszeiten, Genauigkeit, Speicherfristen und Zugriffsrechte. Richte bei Privatnutzung einen echten Privatmodus ein.
- Datenschutz und Mitbestimmung sauber vorbereiten: Aktualisiere das Verzeichnis der Verarbeitungstätigkeiten, prüfe die DSFA-Pflicht, informiere Beschäftigte und binde den Betriebsrat ein.
- Betrieb regelmäßig kontrollieren: Prüfe, ob Zwecke, Zugriffe und Löschfristen tatsächlich eingehalten werden. Passe Einstellungen an, wenn sich Prozesse oder Risiken verändern.
Gerade im Mittelstand lohnt sich ein interdisziplinärer Blick: Fuhrparkverantwortliche kennen die operativen Anforderungen, IT bewertet die Systemkonfiguration, HR und Betriebsrat bringen die Beschäftigtenperspektive ein und der Datenschutz prüft Rechtsgrundlage, Transparenz und Risikominimierung. So entsteht kein isoliertes IT-Projekt, sondern ein tragfähiger Prozess.
Fazit: Steuerungsinstrument ja, Dauerüberwachung nein
GPS-Tracking in Firmenfahrzeugen kann einen konkreten Mehrwert schaffen: bessere Einsatzplanung, schnellere Reaktion im Störungsfall und wirksamer Schutz von Fahrzeugen oder Ladung. Zulässig und akzeptiert wird es aber nur, wenn Zweck, Umfang und Dauer der Ortung klar begrenzt sind.
Starte deshalb nicht mit der Frage „Was kann unser System alles?“, sondern mit der Frage „Welche Information brauchen wir für welchen legitimen Zweck?“. Mit einer datensparsamen Konfiguration, transparenten Regeln, einem verlässlichen Privatmodus und klaren Zuständigkeiten reduzierst Du Datenschutzrisiken und stärkst zugleich das Vertrauen deiner Beschäftigten.
Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Prüfung des konkreten Einzelfalls, insbesondere bei bestehenden Betriebsvereinbarungen, besonderen Einsatzszenarien oder umfangreichen Telematiksystemen.
