Zum Inhalt springen Zur Navigation springen
GPS-Überwachung am Arbeitsplatz und der Datenschutz

GPS-Überwachung am Arbeitsplatz und der Datenschutz

Das Handy orten, AirTag an den Laptop, nie wieder ein Gerät verlieren durch Livetracking mittels GPS. Die Route des Dienstwagens wird direkt vom Navi an den Arbeitgeber übermittelt, jeder Aufenthaltsort von Handy und Laptop mitgeschnitten. Big Brother is watching you – durch GPS-Überwachung. Was darf der Arbeitgeber? Wie sind Beschäftigte am Arbeitsplatz vom Datenschutz geschützt?

Sind GPS-Koordinaten personenbezogene Daten?

GPS-Koordinaten geben zunächst nur die Position des Geräts an, das die GPS-Verbindung hat. Wo dieses Gerät einer Person zugeordnet ist, weil es das Smartphone, der Laptop oder der Dienstwagen eines einzigen Menschen ist, wird die GPS-Koordinate zum personenbezogenen Datum. Durch die Zuordnung zu einem einzelnen Menschen lässt sich auf dessen Aufenthaltsort und damit sein Verhalten rückschließen.

Datenschutz-Folgenabschätzung (DSFA) bei Geolokalisierung von Beschäftigten

Wann immer die GPS-Daten einer einzelnen Person zugeordnet werden können, ist der Anwendungsbereich der DSGVO eröffnet. Auch wenn ein Gerät oder Fahrzeug nur zeitweilig einer Person zugeordnet ist (z.B. Poolfahrzeuge), ist die Geolokalisation dann ein personenbezogenes Datum.

Wird in einem Arbeitsverhältnis eine Aufzeichnung, Überwachung oder Profilbildung mithilfe von GPS-Daten vorgenommen, so sind besondere Regelungen zu beachten. Hier sind in besonderem Ausmaß Profilbildungen und Verhaltenskontrollen der Mitarbeitenden zu befürchten. Die Datenschutzkonferenz sieht daher in diesen Überwachungen einen Pflichtfall für eine Datenschutz-Folgenabschätzung. Diese ist immer dann erforderlich, wenn besonders sensible Daten oder besonders viele Daten betroffen sind. Oder wenn eine (unzulässige) Leistungs- und Verhaltenskontrolle von Mitarbeitenden droht.

Eine wichtige Besonderheit ergibt sich zudem aus dem deutschen Recht: Aus § 38 Abs. 1 S. 2 BDSG ergibt sich bei Datenverarbeitungen, die eine DSFA erfordern, eine Pflicht zur Bestellung eines Datenschutzbeauftragten unabhängig von der Unternehmensgröße. Dieser ist dann nach Art. 35 Abs. 2 DSGVO bei der Datenschutz-Folgenabschätzung (kurz: DSFA) einzubinden. Dies ist in diesem Fall eine Pflicht, keine freiwillige Entscheidung der verantwortlichen Stelle.

Welche Rechtsgrundlagen kommen für ein GPS-Tracking infrage?

Wie für alle Datenverarbeitungen braucht es auch für das GPS-Tracking eine Rechtsgrundlage. Hierbei kommen mehrere der DSGVO-Rechtsgrundlagen in Betracht:

Einwilligung

Die Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO kann prinzipiell so ziemlich jede Datenverarbeitung legitimieren. Allerdings bestehen hier hohe Anforderungen im Beschäftigungsverhältnis. Durch die Weisungsbefugnis des Arbeitgebers ist die Freiwilligkeit der Einwilligung schwierig.

Eine Einwilligung in Dauerüberwachung (also durchgehende Aufzeichnung von GPS-Daten eines Geräts, das der Mitarbeitenden bei sich trägt wie Smartphone o.ä.) ist nicht möglich. Hierbei ist die Reichweite der Einwilligung überschritten. Es fehlt auch am zulässigen Zweck. Eine durchgehende 24/7-Überwachung ist für einen spezifischen Zweck nicht denkbar, zumindest nicht, ohne dass es ein milderes Mittel gäbe, das vorrangig anzuwenden wäre.

Mit einer Einwilligung denkbar ist aber z.B. die Nutzung von GPS-Tracking für ein Fahrtenbuch. Hier muss dem Mitarbeitenden die Möglichkeit gegeben werden, sich zwischen einem klassischen Fahrtenbuch und einem GPS-gestützten Fahrtenbuch frei zu entscheiden. Zudem muss das GPS-Tracking für private Fahrten (sofern diese mit dem Fahrzeug zulässig sind), ausgeschaltet werden können. Im Tätigkeitsbericht des LfDI Thüringen gibt es weitere Hinweise hierzu (ab S. 250).

Berechtigtes Interesse

Wo eine Einwilligung nicht freiwillig möglich ist, kann eine Verarbeitung oft auf ein berechtigtes Interesse gestützt werden. Das berechtigte Interesse ist in Art. 6 Abs. 1 S. 1 lit. f) DSGVO vorgesehen. Wichtig hierbei ist, dass das berechtigte Interesse eine Interessensabwägung erfordert. Dabei müssen die Schutzinteressen der Betroffenen mit den berechtigten Interessen des Arbeitgebers abgewogen werden. Nur wenn die Interessen der Betroffenen nicht überwiegen, ist die Verarbeitung rechtmäßig.

Zunächst muss der Arbeitgeber in dieser Konstellation also berechtigte Interessen verfolgen. Eine umfassende Leistungs- und Verhaltenskontrolle der Beschäftigten ist schon kein berechtigtes Interesse, da diese arbeitsrechtlich unzulässig ist. Berechtigte Interessen können aber z.B. Schutz vor Diebstahl oder Abrechnungs- und Nachweiszwecke sein. Die LDI NRW sieht es z.B. als möglich an, die Streckenverfolgung zum Nachweis bzw. zur Rückverfolgung einer Auftragsanfahrt auf ein berechtigtes Interesse zu stützen. Nicht zulässig hingegen war das Tracking der Fahrtroute von Kanalarbeitern, zumal diese Daten genutzt wurden, um die Beschäftigten auf „überlange“ Halte anzusprechen (S. 65/66).

Eine geheime Einführung von GPS-Tracking ist regelmäßig unzulässig, da hier Informationsinteressen der Beschäftigten missachtet werden. Im Fall eines hessischen Unternehmens hat das VG Wiesbaden seinerzeit zudem entschieden, dass zwar das Live-Tracking für mehrere legitime Zwecke erfolgen kann, eine Speicherung der Daten für viele Zwecke aber nicht mehr von einem ausreichenden berechtigten Interesse gedeckt ist. Gerade das letztlich anlasslose Ansammeln von GPS-Trackingdaten war hier ausschlaggebend für die Unzulässigkeit der Verarbeitung.

Für Zwecke des Beschäftigtenverhältnis

Ähnlich dem berechtigten Interesse kann man im Beschäftigungsverhältnis eine Datenverarbeitung auch auf § 26 BDSG stützen, wenn sie „für das Beschäftigungsverhältnis erforderlich ist“. Diese Erforderlichkeit ist noch etwas strenger als das berechtigte Interesse. Es ist zwingend, dass das mildeste, gleich erfolgversprechende Mittel verwendet wird.

Nach der LDI NRW (S. 65) fällt darunter z.B. die Vergabe von Aufträgen nach Standortnähe basierend auf GPS-Tracking oder auch die Erfassung der Arbeitszeit mittels eines Ortungssystems.

Der HBDI hat an einigen Beispielen (S. 134-140) dargelegt, wo er eine solche Erforderlichkeit sieht und wo nicht. Ein Transportunternehmen hatte ihm gegenüber mehrere Zwecke für sein GPS-Tracking und die Speicherung der Daten angegeben.

  • Die Störungsbehebung und Effizienzsteigerung der Routenplanung wurde als legitim angesehen, aber nur erforderlich im Wege einer Momentaufnahme.
  • Die Speicherung der GPS-Daten konnte damit nicht begründet werden.
  • Die Einhaltung steuerrechtlicher Pflichten erwies sich als nicht geeignet, da die Privatnutzung der Fahrzeuge verboten war und daher keine weiteren Nachweise von den Steuerbehörden angefordert wurden.
  • Die Gewährleistung von Sicherheit der Fahrer und Pannenhilfe war ebenfalls kein geeigneter Zweck, da in akuten Fällen andere Maßnahmen (Notruf, direkter Anruf bei Pannenhilfe) zielführender sind.
  • Hinsichtlich der Evaluierung der Fahrzeuge für eine Effizienzsteigerung der Beschaffung wurde zwar prinzipiell von einer Geeignetheit ausgegangen, aber hier ist nach Ansicht der hessischen Behörde das Schutzinteresse der Beschäftigten überwiegend, da eine sehr große Menge von Daten über längere Zeiträume aufgezeichnet würden.

Nur mit zusätzlichen Maßnahmen wie Pseudonymisierung und nur aggregierter Auswertung wurde das Verfahren als zulässig erachtet. Eine anlasslose Dauerüberwachung zur Prävention irgendwelcher unspezifizierter Straftaten wurde ebenfalls als nicht geeignet angesehen. Lediglich bei einem bereits begründeten Anfangsverdacht können umfassendere und ggf. sogar geheime Überwachungsmaßnahmen gerechtfertigt sein.

Zu ähnlichen Ergebnissen kam auch das VG Lüneburg in einem Fall von einer Reinigungsfirma, die die Fahrten der Mitarbeiter überwachte.

Ist eine heimliche GPS-Überwachung von Mitarbeitern erlaubt?

Die geheime Überwachung von GPS-Daten ist regelmäßig unzulässig. Enge Ausnahmen können sich wie angedeutet ergeben, allerdings nur als Ultima Ratio. Dieses letzte Mittel kann angewandt werden, wenn bereits konkrete Anhaltspunkte bestehen, dass ein Mitarbeitender Straftaten von erheblicher Bedeutung begeht. Ist anders als durch eine verdeckte Überwachung (ähnlich wie bei einer verdeckten Videoüberwachung) ein Nachweis nicht zu führen, kann dies in engen Ausnahmen (zeitlich begrenzt) zulässig sein.

Datenschutzgrundsätze und Informationspflicht bei der GPS-Ortung

Wie bei allen Datenverarbeitungen gelten auch hier die Grundsätze der Zweckbindung, Transparenz und Datenminimierung. Es sind daher datensparsame Voreinstellungen zu wählen, keine anlasslosen Datensammlungen anzulegen und auch und die Informations- und Löschpflichten zu beachten. Das ULD Schleswig-Holstein verlangt im Rahmen der Information „über den Erhebungszweck und -umfang sowie über die bestehenden Betroffenenrechte und die Speicherdauer in transparenter Weise zu informieren und in diesem Zusammenhang auch mitzuteilen, aufgrund welcher Anlässe durch wen ein Zugriff auf die erhobenen Daten erfolgt.“ (S. 103) ähnliche Anforderungen stellen auch andere Aufsichtsbehörden.

Mitbestimmung des Betriebsrats und Betriebsvereinbarungen

Ähnlich wie bei einer Videoüberwachung ist auch hier ein Thema berührt, bei dem der Betriebsrat ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG zusteht. Eine Betriebsvereinbarung kann daher auch genutzt werden, um eine Grundlage für GPS-Tracking im Unternehmen zu schaffen. Hier sind detailliertere und ggf. auch weitreichendere Regelungen möglich als nach anderen Rechtsgrundlagen. Um einen solchen Zustand auch ohne Betriebsrat zu erreichen, gibt die LDI NRW folgenden Ratschlag (S. 66):

„Ist der Abschluss einer Betriebsvereinbarung mangels Existenz eines Betriebsrates nicht möglich wäre an eine schriftliche Selbstbindungserklärung des Arbeitgebers oder aber an einen Annex zum individuellen Arbeitsvertrag zu denken.“

Was können Arbeitnehmer gegen unzulässige GPS-Überwachung tun?

Ist man im eigenen Unternehmen von GPS-Überwachung betroffen, das einem übergriffig erscheint, so gibt es mehrere Möglichkeiten und Eskalationsstufen, um dagegen vorzugehen.

Gibt es einen Betriebsrat, so ist dieser als erstes Anlaufstelle immer eine gute Wahl. Der betriebliche Datenschutzbeauftragte (egal, ob intern oder extern), ist immer der richtige Ansprechpartner für datenschutzrechtliche Belange der Beschäftigten. Ergeben sich über diese Routen keine befriedigenden Informationen und Ergebnisse, so kann ein offizielles Auskunftsersuchen an den Arbeitgeber gerichtet werden. Ist der Abreitgeber nicht kompromissbereit oder verweigert die relevanten Informationen, so kann eine Beschwerde an die Aufsichtsbehörde Bewegung in die Sache bringen. Ist auch auf diesem Weg noch keine gute Lösung zu erreichen, so kann das Einschalten eines eigenen Rechtsanwalts zur Wahrung der Interessen nötig sein.

Genaueres zur Auseinandersetzung mit dem Arbeitgeber in diesen Fällen finden Sie auch in unserem Beitrag „Was tun bei GPS-Überwachung am Arbeitsplatz?

On Track zu rechtskonformer GPS-Nutzung

Ob mit Betriebsvereinbarung, Einwilligung in ein GPS-gestütztes Fahrtenbuch oder gestützt auf die betriebliche Erforderlichkeit, die Nutzung von GPS-Daten ist möglich. Solange Maß gehalten wird und nur berechtigte, geeignete Zwecke verfolgt werden, können die Vorteile einer GPS-Ortung genutzt werden. Die Rechte der Beschäftigten sind aber umfassend zu beachten. Wer als Arbeitgeber hier nicht sorgfältig die Datenschutz-Folgeabschätzung durchführt oder sich zu weitreichende Befugnisse zugestehen möchte, droht in einem Konflikt den Kürzeren zu ziehen. Die Aufsichtsbehörden sind hier streng, ihre Vorgaben aber stringent. Wie so oft im Datenschutz: Ein fairer Ausgleich ist möglich.

Informieren Sie sich über unsere praxisnahen Webinare
  • »Microsoft 365 sicher gestalten«
  • »Informationspflichten nach DSGVO«
  • »Auftragsverarbeitung in der Praxis«
  • »DSGVO-konformes Löschen«
  • »IT-Notfall Ransomware«
  • »Bewerber- und Beschäftigtendatenschutz«
Webinare entdecken
Mit dem Code „Webinar2024B“ erhalten Sie 10% Rabatt, gültig bis zum 31.12.2024.
Beitrag kommentieren
Fehler entdeckt oder Themenvorschlag? Kontaktieren Sie uns anonym hier.
  • Sofern Sie schreiben „Wo eine Einwilligung nicht freiwillig möglich ist, kann eine Verarbeitung oft auf ein berechtigtes Interesse gestützt werden.“, wäre m. E. aber doch zumindest ein vom Arbeitnehmer geäußerter Widerspruch zu berücksichtigen, denn anders bei der Einwilligung ist ja nicht davon auszugehen, dass der Arbeitnehmer unfreiwillig widerspricht. Insofern wäre es vor einem Rückgriff auf „berechtigte Interessen“ zunächst doch zumindest erforderlich, die Arbeitnehmer zu befragen?

    • Ein Widerspruch eines Betroffenen gegen eine im „berechtigten Interesse“ erfolgende Verarbeitungstätigkeit heißt ja nicht zwangsläufig, dass diese Verarbeitung nicht mehr erfolgen darf. Der Widerspruch bewirkt lediglich eine Einzelfallprüfung, sprich eine erneute Interessensabwägung nach Vortrag der speziell für diesen Betroffenen geltenden Gegenargumente. –> Anders als bei der Direktwerbung oder beim Widerruf einer Einwilligung.
      Daher müsste hier keine Befragung der Mitarbeiter sondern eine rechtzeitige Information der Mitarbeiter vor der Einführung des GPS-Überwachung erfolgen und dem Betroffenen muss ein einfacher Weg eingeräumt werden, seinen Widerspruch zu äußern. Bei Widerspruch muss eine erneute Interessensabwägung für diese Person erfolgen und diese dann natürlich auch unterrichtet werden, was ohnehin aufgrund der Informationspflichten erfolgen muss.
      Bei tatsächlich anderem Ergebnis der Interessensabwägung für diesen Betroffenen sind natürlich hier andere Maßnahmen zu ergreifen: dieser Betroffene kann dann nicht aufgrund des „berechtigten Interesses“ mittels GPS überwacht werden. Hier wären vermutlich Prozesse umzustellen, um diese Person dennoch uneingeschränkt in die Arbeitsprozesse einzubinden.

    • Eine proaktive Befragung ist für die Rechtsgrundlage des berechtigten Interesses nicht erforderlich, gerade darin unterscheidet sie sich von der Einwilligung. Eine umfassende Abwägung der betroffeneninteressen mit den Interessen des Verantwortlichen muss aber erfolgen. Wenn Konflikte mit einzelnen oder vielen Arbeitnehmern zu befürchten sind, ist aber die Einführung von problematischen Tools und Maßnahmen aber immer ein Problem. Ein Betriebsrat kann hier Abhilfe schaffen: ist eine Betriebsvereinbarung ausgehandelt, so wurden die Interessen der betroffenen Arbeitnehmer darin berücksichtigt. Insofern sind über Betriebsvereinbarungen gerade konfliktträchtige Prozesse besser abzusichern.

  • Vielen Dank für diesen Beitrag. Ich bin allerdings etwas irritiert: In Ihrem Beitrag „GPS-Überwachung im Arbeitsverhältnis bei Lieferdiensten“ vom 20.10.2022 (https://www.dr-datenschutz.de/gps-ueberwachung-im-arbeitsverhaeltnis-bei-lieferdiensten/) schreiben Sie, dass die Anwendbarkeit der Rechtsgrundlage des berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO im Rahmen der Verarbeitung von Beschäftigtendaten durch den spezielleren § 26 BDSG blockiert wird. In dem vorliegenden Artikel führen Sie allerdings das berechtigte Interesse als mögliche Rechtsgrundlage wieder an, obwohl es sogar um das gleiche Thema geht. Was gilt denn nun?

    • Der § 26 BDSG blockiert den Art. 6 Abs. 1 lit. f) DSGVO nur, wenn er einschlägig ist, also die Verarbeitung zur Durchführung des Beschäftigungsverhältnisses erforderlich ist. Oder andersherum, das berechtigte Interesse kann nur dann einschlägig sein, wenn das verfolgte Ziel nicht im engen Zusammenhang zum Arbeitsverhältnis und der Kerntätigkeit des Unternehmens steht, wie z.B. beim Schutz von Unternehmenseigentum vor Diebstahl.

      Das Missverständnis stammt vielleicht daher, dass in diesem Beitrag ein Beispiel aus dem Tätigkeitsbericht der LDI NRW unter dem berechtigten Interesse gelistet war, welches unter die Durchführung des Arbeitsverhältnisses fällt. Das haben wir nun korrigiert.

  • Kann mich mein Arbeitgeber dazu zwingen die Einwilligung für ein gps über Smartphone zu leisten, da Arbeitszeiten(stundezettel) über ein pogramm des Smartphones weitergeleitet werden?

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.