GPS-Tracking von Fahrern: Was DSGVO, Betriebsrat und Löschfristen verlangen

Die Live-Position trägt im Fahrdienst mehrere Kernprozesse. Die Ankunftsauskunft an Schule oder Werkstatt. Die Umdisposition, wenn sich um 6:40 Uhr eine Fahrerin krankmeldet und zwölf Fahrgäste neu verteilt werden müssen. Den Nachweis gegenüber dem Kostenträger. Diese Zwecke tragen später die Erforderlichkeitsprüfung, vorausgesetzt, jemand hat sie vorher aufgeschrieben.

Ebenso früh gehören die Betroffenengruppen auseinandersortiert. Jede Gruppe hat eigene Rechtsgrundlagen und eigene Fristen.

• Fahrerinnen und Fahrer. Beschäftigtendatenschutz, Mitbestimmung, Schutz vor Leistungs- und Verhaltenskontrolle.
• Fahrgäste. Häufig Angaben zu Behinderung, Pflegebedarf oder Behandlung und damit besondere Kategorien nach Art. 9 DSGVO.
• Angehörige, Einrichtungen und Kostenträger. Empfänger von Auskünften über eine bestimmte Fahrt, keine Beobachter des Fahrpersonals.

Die scharfe Kante verläuft nicht zwischen Ortung und keiner Ortung, sondern zwischen der Fahrzeugortung zu Dispositionszwecken und der Auswertung derselben Daten zur Bewertung einzelner Personen. Sobald die Positionsspur eine Aussage über Pausenlänge, Fahrstil oder Pünktlichkeitsquote trägt, liegt eine zweite Verarbeitung vor. Sie braucht eine eigene Rechtsgrundlage.

Jahrelang war § 26 Abs. 1 Satz 1 BDSG der Standardanker für Beschäftigtendaten. Der EuGH hat mit Urteil vom 30. März 2023 in der Rechtssache C-34/21 entschieden, dass nationale Vorschriften zum Beschäftigtendatenschutz wegen des Anwendungsvorrangs des Unionsrechts unangewendet bleiben müssen, wenn sie die Voraussetzungen und Grenzen des Art. 88 Abs. 1 und 2 DSGVO nicht beachten. Gegenstand war eine hessische Regelung, die nach Einschätzung des Gerichts nur die Erforderlichkeit wiederholt, ohne eigene Schutzmaßnahmen hinzuzufügen.

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat daraus die praktische Konsequenz gezogen. Weil § 26 BDSG und die hessische Vorschrift weitgehend wortgleich formuliert sind, sei auch § 26 Abs. 1 Satz 1 BDSG voraussichtlich nicht mit Art. 88 DSGVO vereinbar. Für den nicht-öffentlichen Bereich fehlt eine ersetzende Öffnungsklausel, weshalb der Rückgriff auf die allgemeinen Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO nötig wird.

Für die Fahrzeugortung führt das in aller Regel zu Art. 6 Abs. 1 lit. f DSGVO, also zum berechtigten Interesse an Disposition, Erreichbarkeit und Nachweisführung. Die Abwägung gehört schriftlich in die Akte. Wer den Zweck mit dem Wort Effizienz beschreibt, verliert sie. Wer aufschreibt, dass die Disposition ohne Live-Position keine belastbare Ankunftszeit nennen kann und dass die Einrichtung dann Personal am Eingang bindet, hat ein prüfbares Argument.

Die Einwilligung trägt hier meist nicht. § 26 Abs. 2 BDSG verlangt, das Abhängigkeitsverhältnis im Beschäftigungsverhältnis zu berücksichtigen, und der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz hält eine Einwilligung bei flächendeckender Überwachung mangels Freiwilligkeit für unwirksam. Belastbarer ist die Kollektivvereinbarung, denn § 26 Abs. 4 BDSG lässt die Verarbeitung von Beschäftigtendaten auf dieser Grundlage ausdrücklich zu.

Die Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO wird genau dort konkret, wo geortet wird, obwohl kein dienstlicher Anlass besteht. In die Konfiguration und in die Betriebsvereinbarung gehört deshalb eine Liste der Fälle, in denen das System schweigt:

• während der gesetzlichen Pausen und nach dem letzten Halt einer Tour,
• bei erlaubter Privatnutzung des Fahrzeugs, die der Landesbeauftragte in Rheinland-Pfalz ausdrücklich von der Ortung ausnimmt und für die er das analoge Fahrtenbuch als Alternative nennt,
• beim abgestellten Fahrzeug außerhalb der Dienstzeit, sofern nicht ausnahmsweise ein Diebstahlschutzzweck greift,
• bei Leerfahrten, wenn der Dispositionszweck sie nicht erfordert.

Ein zweiter Punkt wird häufig übersehen. Die Taktung ist selbst ein Eingriffsmerkmal. Eine dichte Sekundenspur erlaubt Rückschlüsse auf Fahrstil und Standzeiten, die ein Statusereignis je Halt nicht hergibt. Prüfen Sie also, welche Taktung die Ankunftsauskunft tatsächlich braucht, und halten Sie das Ergebnis fest.

Ja. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Bestimmt heißt nach ständiger Rechtsprechung des Bundesarbeitsgerichts objektiv geeignet. Es genügt also, dass die Einrichtung Verhaltens- oder Leistungsinformationen erheben kann. Auf eine Überwachungsabsicht kommt es nicht an, und gespeichert werden muss auch nichts. Das Gericht hat diesen Maßstab im Beschluss vom 16. Juli 2024 (1 ABR 16/23) für ein System bestätigt, das Gespräche lediglich live überträgt.

Ein GPS-System, das laufend die Positionen einzelner Fahrzeuge erfasst, erfüllt diesen Maßstab ohne Weiteres.

Das Recht ist erzwingbar. Kommt keine Einigung zustande, wird nach § 76 Abs. 5 BetrVG die Einigungsstelle auf Antrag einer Seite tätig und ersetzt die Einigung durch ihren Spruch. Bei kommunalen Trägern und Eigenbetrieben tritt der Personalrat an die Stelle des Betriebsrats, auf Bundesebene über § 80 Abs. 1 Nr. 21 BPersVG, in den Ländern über die Landespersonalvertretungsgesetze, die im Detail voneinander abweichen.

Eine Betriebsvereinbarung, die nur den Einsatz eines Telematiksystems erlaubt, hilft niemandem weiter. Brauchbar wird sie erst, wenn sie die Verarbeitung so eng beschreibt, dass sie zugleich als Rechtsgrundlage nach § 26 Abs. 4 BDSG taugt.

• Zwecke der Ortung, abschließend aufgezählt, mit ausdrücklichem Ausschluss der Leistungskontrolle
• Erfassungsumfang: welche Datenfelder, in welcher Taktung, ab wann und bis wann je Schicht
• Zugriffsrollen: wer sieht die Live-Karte, wer die Historie, wer gar nichts
• Auswertungsverbot mit eng gefassten Ausnahmen, etwa der Unfallaufklärung
• Löschfristen je Datenart, technisch konfiguriert statt als Absichtserklärung
• Verfahren bei Verdachtsfällen, einschließlich Protokollierung jedes Zugriffs auf die Historie

Ein Punkt fehlt in vielen Entwürfen. Er regelt den Ausnahmefall, in dem die Positionsdaten doch zur Aufklärung eines Vorfalls herangezogen werden, etwa nach einem Rangierschaden auf dem Hof einer Einrichtung. Zu regeln ist, wer darüber entscheidet, wer die Auswertung protokolliert und zu welchem Zeitpunkt der Betriebsrat eingebunden wird.

Art. 35 Abs. 1 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Diese Prognose müssen Sie hier nicht selbst herleiten. Die Muss-Liste der deutschen Aufsichtsbehörden nach Art. 35 Abs. 4 DSGVO führt unter der Überschrift Geolokalisierung von Beschäftigten den Fall auf, dass ein Unternehmen Bewegungsprofile von Beschäftigten per RFID, Handy-Ortung oder GPS erstellen lässt. Ein Telematiksystem mit Fahrerbezug ist damit ein Regelfall.

1. 1SchwellwertanalyseVerarbeitung beschreiben, mit der Muss-Liste abgleichen und das Ergebnis schriftlich festhalten.
2. 2Notwendigkeit und VerhältnismäßigkeitZwecke, Erfassungstiefe und Taktung gegen mildere Mittel abwägen. Reicht ein Statusereignis je Halt statt einer Sekundenspur?
3. 3RisikobewertungSchwere und Eintrittswahrscheinlichkeit bewerten, insbesondere den Rückschluss von Bewegungsprofilen auf Wohn- und Behandlungsorte der Fahrgäste.
4. 4Maßnahmen und RollenkonzeptRollen, Zugriffsprotokollierung, automatische Löschung, Verschlüsselung und den Auftragsverarbeitungsvertrag mit dem Telematikanbieter festlegen.
5. 5Beteiligung und FortschreibungDen Datenschutzbeauftragten nach Art. 35 Abs. 2 DSGVO einbinden und die Folgenabschätzung bei jeder Funktionserweiterung fortschreiben.

Übersehen wird dabei oft, dass die Ortung in derselben Anwendung läuft wie die Fahrgastdaten. Wer Rollstuhlbedarf, Diagnosehinweise oder Dialysetermine verarbeitet, verarbeitet besondere Kategorien personenbezogener Daten. Dazu der Beitrag über Gesundheitsdaten nach Art. 9 DSGVO im Fahrdienst.

Eine gesetzliche Höchstfrist für GPS-Daten von Beschäftigten gibt es nicht. Maßstab ist die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Daten dürfen nur so lange in identifizierbarer Form vorliegen, wie es die Zwecke erfordern. Die Frist folgt also dem Zweck, und der muss vorher benannt sein.

Das schärfste Ankerbeispiel liefert das VG Wiesbaden mit Urteil vom 17. Januar 2022 (Az. 6 K 1164/21.WI). Ein Logistikunternehmen hatte Fahrerkartendaten 28 Tage vorgehalten und die übrigen Telematikdaten rund 400 Tage. Das Gericht hielt die Speicherung der Standortdaten über 400 Tage für unverhältnismäßig, verwarf die Einwilligung mangels Freiwilligkeit und beanstandete die fehlende Information der Beschäftigten.

Die drei Zahlen stammen aus verschiedenen Rechtsgebieten und gelten für verschiedene Daten. Eine steuerliche Aufbewahrungsfrist rechtfertigt keine 400 Tage Rohpositionsspur, und ein Löschlauf für Standortdaten darf keine Buchungsbelege mitreißen.

Ein Löschraster je Datenart

Die meisten Löschkonzepte scheitern an einem einzigen Satz, der sinngemäß lautet, Standortdaten würden nach X Monaten gelöscht. Damit wird eine Frist über Daten gestülpt, die ganz unterschiedliche Zwecke haben. Sinnvoller ist ein Raster.

• Live-Position für Disposition, Ankunftsauskunft und Notfallreaktion. Nur während der laufenden Tour vorhalten.
• Rohe Positionsspur zur Klärung kurzfristiger Störungen und Beschwerden. Kurz halten und die gewählte Frist ausdrücklich begründen, orientiert am Zeitraum realistischer Rückfragen zu einer Fahrt.
• Verdichteter Tournachweis je Halt als Leistungsnachweis gegenüber dem Kostenträger. Bis Abrechnung und Prüfzeitraum abgeschlossen sind.
• Arbeitszeitnachweis für die über acht Stunden hinausgehende Arbeitszeit. Mindestens zwei Jahre nach § 16 Abs. 2 ArbZG.
• Rechnung und Buchungsbeleg für Buchführung und steuerliche Prüfung. Acht Jahre nach § 147 Abs. 3 AO.

Damit das Raster nicht nur auf dem Papier existiert, müssen die Fristen im System konfiguriert und automatisch ausgeführt werden. Manuelle Löschläufe scheitern an der ersten Urlaubswoche. In einer Dispositions- und Tourenplanungssoftware lassen sich Positionsspur, Tournachweis und Abrechnungsbeleg als getrennte Objekte mit eigenen Fristen führen. Wie belastbar der Tournachweis sein muss, zeigt der Beitrag zum Leistungsnachweis gegenüber Kostenträgern.

Bleibt die Nachweisführung. Art. 5 Abs. 2 DSGVO verlangt, die Einhaltung der Grundsätze belegen zu können, und ein Löschkonzept, das niemand protokolliert, gilt im Zweifel als nicht durchgeführt. Halten Sie fest, welcher Lauf wann welche Datenart erfasst hat, und prüfen Sie einmal im Jahr stichprobenartig nach.

Die Information nach Art. 13 DSGVO gehört vor die Inbetriebnahme und nicht in das nächste Personalgespräch. Im Wiesbadener Verfahren war die unterbliebene Information ein eigener Beanstandungspunkt. Der Landesbeauftragte in Rheinland-Pfalz verlangt, dass Beschäftigte etwa durch eine Benachrichtigung oder eine Anzeige im Fahrzeug erfahren, wenn eine Ortung erfolgt, weil sonst eine grundsätzlich verbotene heimliche Überwachung vorliegt. Eine brauchbare Fahrerinformation passt auf eine Seite:

1. Welche Daten erfasst werden, etwa Position, Zeitstempel, Zündungsstatus und Ereignisse je Halt.
2. Wann erfasst wird und wann nicht, also Schichtbeginn bis Tourende, keine Erfassung in Pausen und bei erlaubter Privatnutzung.
3. Wer zugreifen darf: Disposition live, Abrechnung nur verdichtet, Leitung nur anlassbezogen.
4. Wie lange gespeichert wird, getrennt nach Datenart.
5. Auf welcher Rechtsgrundlage und welcher Betriebsvereinbarung die Verarbeitung beruht.
6. Welche Rechte bestehen, mit Kontakt des Datenschutzbeauftragten.

Auf der anderen Seite stehen Eltern, Betreuungskräfte und Einrichtungen, die den Status einer Fahrt sehen. Für sie gilt dieselbe Zweckbindung. Angezeigt wird der Status der eigenen Fahrt. Eine offene Live-Karte, auf der ein Vater nachvollziehen kann, wo der namentlich bekannte Fahrer seines Sohnes zwischen zwei Touren steht, lässt sich mit dem Dispositionszweck nicht begründen.