BayLDA zu GPS-Tracking in Firmenfahrzeugen

GPS-Tracking in Firmenfahrzeugen ist für viele Unternehmen ein attraktives Instrument zur Steuerung von Fuhrparks, birgt aber zugleich erhebliche Risiken für die Rechte der Beschäftigten. Dieser Beitrag erklärt die wichtigsten datenschutzrechtlichen Pflichten, die sich aus der DSGVO und dem BDSG ergeben. Er stützt sich auf die Ausführungen des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) in seinem 15. Tätigkeitsbericht 2025 und beleuchtet, in welchen Konstellationen der Einsatz von GPS-Trackern überhaupt zulässig ist.

Ziele und Funktionsweise des GPS-Trackings in Fahrzeugen

Unternehmen nutzen GPS-Tracker in Firmenfahrzeugen vor allem aus zwei Gründen: zum Schutz von Fahrzeugen und Ladung sowie zur Optimierung betrieblicher Abläufe. Im Diebstahlsfall oder bei unbefugter Nutzung soll ein Fahrzeug schnell lokalisiert werden können, insbesondere wenn hochwertige oder gefährliche Güter transportiert werden. Daneben ermöglichen Standortdaten eine effizientere Disposition: Routen lassen sich anpassen, Leerfahrten reduzieren und Ankunftszeiten genauer prognostizieren.

Technisch basiert ein solches System auf einem im Fahrzeug verbauten Ortungsgerät, das über Satellitensysteme die Position ermittelt und üblicherweise weitere Informationen wie Zeit, Geschwindigkeit und Strecke erfasst. Diese Daten werden in kurzen Intervallen über Mobilfunk oder Satellitenverbindungen an einen Server übermittelt und in Weboberflächen oder Apps visualisiert. Auf diese Weise lassen sich Fahrzeuge in nahezu Echtzeit verfolgen und Bewegungsprofile auswerten. Genau dieses Überwachungspotenzial ist datenschutzrechtlich problematisch: Aus den Fahrzeugdaten können regelmäßig Rückschlüsse auf Verhalten und Leistung der jeweiligen Fahrerin oder des Fahrers gezogen werden – ein Punkt, dem das BayLDA in seinem Tätigkeitsbericht breiten Raum widmet.

Rechtsgrundlagen nach DSGVO und BDSG

Das BayLDA stellt in seinem 15. Tätigkeitsbericht 2025 klar, dass die von GPS-Trackern in Firmenfahrzeugen erhobenen Daten personenbezogen im Sinne von Art. 4 Nr. 1 DSGVO sind, sobald sie einem bestimmten Fahrer oder einer bestimmten Fahrerin zugeordnet werden können. Über das zugeteilte Fahrzeug wird die jeweilige Person identifizierbar; damit greifen die Vorgaben der DSGVO.

Nach dem Verbotsprinzip mit Erlaubnisvorbehalt erfordert jede Datenverarbeitung eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Im Beschäftigungskontext kommen insbesondere folgende Rechtsgrundlagen in Betracht:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
  Diese Grundlage ist nach Auffassung der Aufsicht nur selten einschlägig. Die Ortung von Beschäftigten ist im Regelfall nicht objektiv unerlässlich, um den Arbeitsvertrag zu erfüllen. Eine generelle Überwachung von Arbeitszeit, Aufenthaltsort oder privaten Umwegen, um die Einhaltung arbeitsrechtlicher Pflichten zu kontrollieren, lässt sich hierauf regelmäßig nicht stützen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
  Eine Verarbeitung kann zulässig sein, wenn der Arbeitgeber gesetzlich verpflichtet ist, bestimmte Nachweise zu führen, etwa zu Fahr- oder Ruhezeiten. Selbst dann ist jedoch zu prüfen, ob wirklich eine umfassende GPS-Ortung erforderlich ist oder ob vorhandene Aufzeichnungssysteme – etwa Fahrtenschreiber – ausreichen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)
  In vielen Konstellationen ist dies der zentrale Ansatzpunkt. Voraussetzung ist ein tatsächliches, aktuelles Interesse des Arbeitgebers oder eines Dritten (z.B. Diebstahlschutz bei gefährlichen Gütern), die Erforderlichkeit der Verarbeitung zur Wahrung dieses Interesses und eine sorgfältige Interessenabwägung. Abstrakte Gefährdungsannahmen oder das bloße Interesse an Vorratsdaten genügen nicht.

 Auf Einwilligungen der Beschäftigten sollte – wie üblich im Arbeitsverhältnis – nicht abgestellt werden. Aufgrund des Abhängigkeitsverhältnisses fehlt es regelmäßig an der erforderlichen Freiwilligkeit, sodass eine Einwilligung keine tragfähige Grundlage für eine GPS-Ortung darstellt.

Erforderlichkeit, Verhältnismäßigkeit und Privatnutzung

Über die Wahl der Rechtsgrundlage hinaus müssen Arbeitgeber die Grundsätze der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und der Verhältnismäßigkeit beachten. Das BayLDA verlangt, dass Unternehmen im konkreten Anwendungsfall nachweisen können, warum die gewählte Ausgestaltung der Ortung geeignet, erforderlich und angemessen ist.

 Dabei reicht es nicht, grob den Zweck zu beschreiben. Vielmehr ist zu prüfen, ob:

• wirklich eine kontinuierliche Aufzeichnung notwendig ist oder ein punktueller Echtzeitzugriff ausreicht,
• die Genauigkeit der Daten reduziert werden kann,
• kürzere Speicherfristen oder eingeschränkte Zugriffsrechte ausreichen,
• alternative, weniger eingriffsintensive Maßnahmen denselben Zweck erfüllen könnten.

 Besonders sensibel ist die Privatnutzung von Firmenfahrzeugen. Ist eine private Nutzung zugelassen, ist eine Standortbestimmung während der privaten Fahrten grundsätzlich ausgeschlossen. Bei Mischnutzung muss es den Beschäftigten möglich sein, die Ortung für den privaten Bereich zu deaktivieren. Wird ein Fahrzeug aus dem Betriebsvermögen in das Privatvermögen des Beschäftigten überführt, sind sämtliche Ortungsmaßnahmen zu beenden.

Der Tätigkeitsbericht zeigt zugleich, dass es begründete Ausnahmefälle geben kann. In einem geschilderten Fall transportierte ein Arbeitnehmer Sprengstoffe und entsprechendes Zubehör. Die GPS-Daten wurden anlassbezogen ausgewertet, nachdem sich konkrete Anhaltspunkte für erhebliche Abweichungen von den geplanten Routen ergaben. Angesichts der Gefährdungslage und des dokumentierten Verdachts bewertete das BayLDA die Erhebung, Speicherung und punktuelle Auswertung der GPS-Daten im Ergebnis als zulässig.

Transparenz, Mitbestimmung und Datenschutzfolgenabschätzung

Zwingend zu beachten sind schließlich die Informationspflichten nach Art. 13 DSGVO. Beschäftigte müssen spätestens zum Zeitpunkt der Erhebung über den Einsatz von GPS-Trackern informiert werden. Die Information hat insbesondere zu umfassen:

• Zwecke der Datenverarbeitung,
• Rechtsgrundlage und gegebenenfalls berechtigte Interessen,
• Kategorien der verarbeiteten Daten und Empfänger,
• Speicherdauer oder Kriterien für deren Festlegung,
• die ihnen zustehenden Rechte, einschließlich des Widerspruchsrechts nach Art. 21 DSGVO, wenn auf Art. 6 Abs. 1 lit. f gestützt wird.

Nach Erfahrung des BayLDA gehen viele Beschwerden auf fehlende oder unzureichende Transparenz zurück. Unzulässig ist insbesondere der „testweise“ Betrieb von Ortungssoftware mit Echtdaten, ohne die betroffenen Beschäftigten zu informieren.

Besteht ein Betriebsrat, ist dieser nach § 87 Abs. 1 Nr. 6 BetrVG bei der Einführung und Ausgestaltung von GPS-Tracking-Systemen mitbestimmungsberechtigt. Eine Betriebsvereinbarung ersetzt allerdings keine Rechtsgrundlage nach Art. 6 DSGVO, sondern konkretisiert lediglich die zulässige Verarbeitung.

Schließlich weist das BayLDA darauf hin, dass die Geolokalisierung von Beschäftigten auf der Liste der Verarbeitungstätigkeiten steht, für die eine Datenschutzfolgenabschätzung nach Art. 35 DSGVO verpflichtend ist. Vor der Einführung von GPS-Trackern ist daher systematisch zu prüfen, welche Risiken die geplante Verarbeitung für die Rechte und Freiheiten der Beschäftigten mit sich bringt und mit welchen technischen und organisatorischen Maßnahmen diese Risiken reduziert werden können.

Im Ergebnis zeigt der Tätigkeitsbericht 2025: GPS-Tracking in Firmenfahrzeugen ist datenschutzrechtlich kein Routineinstrument, sondern ein Ausnahmefall, der einer gründlichen rechtlichen Begründung, einer datensparsamen Ausgestaltung und einer hohen Transparenz gegenüber den Beschäftigten bedarf.