Datenschutz in Flottenmanagementsystemen: Was jetzt gilt

Das Problem: Ihr Flottenmanagement-System sammelt Daten über Ihre Mitarbeiter

Jedes moderne Flottenmanagementsystem erfasst GPS-Positionen, Fahrzeiten, Fahrstil-Kennzahlen und Kraftstoffverbrauch. Das klingt nach Betriebsoptimierung, ist aber aus Datenschutzsicht etwas anderes: Es handelt sich um personenbezogene Daten Ihrer Fahrer, die unter die DSGVO und das Bundesdatenschutzgesetz (BDSG) fallen.

Ab Juni 2026 verschärfen sich die Anforderungen an den Umgang mit diesen Daten spürbar. Wer jetzt nicht handelt, riskiert Bußgelder, Abmahnungen und im schlimmsten Fall den Betriebsausfall des Systems durch behördliche Anordnung.

Dieser Beitrag erklärt, was konkret auf Sie zukommt, welche Pflichten Sie bereits heute haben und was ein datenschutzkonformes Flottenmanagement in der Praxis bedeutet.

---

Was ist das eigentlich: Datenschutz im Flottenkontext?

Flottenmanagement-Software verarbeitet kontinuierlich Standortdaten, Bewegungsprofile und Verhaltensdaten von Fahrern. Sobald diese Daten einer identifizierbaren Person zugeordnet werden können, also in aller Regel sobald ein Fahrzeug einem Fahrer zugewiesen ist, gelten sie als personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO.

Das hat drei praktische Konsequenzen:

1. Rechtsgrundlage erforderlich: Ohne eine gültige Rechtsgrundlage (Art. 6 DSGVO) dürfen Sie diese Daten nicht verarbeiten. Im Arbeitsverhältnis ist das häufig § 26 BDSG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses), nicht die Einwilligung des Mitarbeiters.
2. Zweckbindung gilt streng: Daten, die zur Routenoptimierung erhoben wurden, dürfen nicht ohne Weiteres zur Leistungsbeurteilung herangezogen werden.
3. Betriebsrat hat Mitbestimmungsrecht: Nach § 87 Abs. 1 Nr. 6 BetrVG bedarf die Einführung von technischen Einrichtungen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen können, der Zustimmung des Betriebsrats.

Laut einem aktuellen Bericht von Fleet World (Quelle) stehen ab Juni 2026 konkrete Änderungen an, die Flottenbetreiber in ganz Europa, und damit auch in Deutschland, direkt betreffen. Anbieter von Telematiksystemen und Flottensoftware müssen überarbeitete Datenschutzstandards erfüllen, und das wirkt sich auf die Konfiguration und Nutzung der Systeme durch die Betreiber aus.

---

Welche Pflichten habe ich als Flottenbetreiber?

1. Verarbeitungsverzeichnis führen (Art. 30 DSGVO)

Jedes Unternehmen mit mehr als 250 Mitarbeitern ist verpflichtet, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen. Für kleinere Betriebe gilt dies, sobald die Verarbeitung ein Risiko für die Rechte der Betroffenen darstellt, was bei Standortüberwachung regelmäßig der Fall ist. Im Verzeichnis müssen unter anderem stehen:

• Zweck der Verarbeitung (z. B. Einsatzplanung, Nachweis von Lenk- und Ruhezeiten)
• Kategorien betroffener Personen (Fahrer, Disponenten)
• Speicherdauer
• Empfänger der Daten (Fuhrparkleiter, externe Dienstleister, Softwareanbieter)

2. Auftragsverarbeitungsvertrag mit dem Softwareanbieter abschließen (Art. 28 DSGVO)

Ihr Flottenmanagement-Softwareanbieter ist ein Auftragsverarbeiter. Ohne einen schriftlichen Auftragsverarbeitungsvertrag (AVV) verstoßen Sie gegen Art. 28 DSGVO. Prüfen Sie: Haben Sie einen aktuellen AVV mit Ihrem Anbieter? Deckt er die Verarbeitung von Standortdaten explizit ab?

3. Informationspflichten gegenüber Fahrern erfüllen (Art. 13 DSGVO)

Ihre Fahrer müssen spätestens zum Zeitpunkt der Erhebung ihrer Daten informiert werden. Das umfasst:

• Welche Daten erhoben werden
• Zu welchem Zweck
• Wie lange die Daten gespeichert werden
• An wen sie weitergegeben werden
• Welche Rechte die Fahrer haben (Auskunft, Löschung, Widerspruch)

Eine kurze Klausel im Arbeitsvertrag reicht in der Regel nicht. Eine eigene Datenschutzinformation für Fahrer ist der sichere Weg.

4. Datenschutz-Folgenabschätzung prüfen (Art. 35 DSGVO)

Systematische Überwachung des Standorts und Verhaltens von Beschäftigten gilt als Verarbeitung mit hohem Risiko. In solchen Fällen schreibt Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) vor. Die Aufsichtsbehörden haben entsprechende Musterlisten veröffentlicht. Wenn Ihr System Echtzeittracking mit Verhaltensanalyse kombiniert, sind Sie sehr wahrscheinlich DSFA-pflichtig.

5. Ab Juni 2026: Neue technische Anforderungen beachten

Fleet World berichtet (Quelle), dass ab Juni 2026 überarbeitete Datenschutzstandards für Telematik und Flottensysteme in Kraft treten. Konkret geht es um verschärfte Anforderungen an:

• Datenverschlüsselung bei Übertragung und Speicherung
• Granularere Einstellungen zur Datenminimierung
• Nachweisbarkeit der Datenlöschung nach definierten Fristen

Sprechen Sie Ihren Softwareanbieter jetzt an: Welche Updates plant er bis Juni 2026, und wie können Sie sicherstellen, dass Ihre Konfiguration die neuen Anforderungen erfüllt?

---

Was passiert, wenn ich es falsch mache?

Die Folgen eines Datenschutzverstoßes im Flottenbereich sind konkret und teuer:

Bußgelder nach DSGVO: Art. 83 DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für KMU bedeutet das: Auch ein Verstoß gegen die Informationspflicht (Art. 13 DSGVO) kann mehrere tausend Euro kosten.

Bußgelder nach BDSG: § 43 BDSG ergänzt dies um nationale Bußgeldtatbestände mit Beträgen bis zu 300.000 Euro für bestimmte Verstöße.

Arbeitsrechtliche Konsequenzen: Daten, die rechtswidrig erhoben wurden, können in arbeitsrechtlichen Auseinandersetzungen nicht als Beweismittel verwendet werden. Wenn Sie also Fahrerverhalten dokumentieren, um eine Kündigung zu begründen, und die Datenerhebung war nicht rechtmäßig, haben Sie im Streitfall ein ernstes Problem.

Behördliche Anordnungen: Die Landesdatenschutzbehörden können den Betrieb eines Systems untersagen, bis die Konformität hergestellt ist. Eine solche Anordnung legt im schlimmsten Fall Ihre Dispositions- und Nachweisprozesse lahm.

Bußgelder sind das Worst-Case-Szenario. Das eigentliche Risiko für viele Betriebe ist der operative Ausfall, wenn ein System abgeschaltet werden muss oder Fahrer ihre Auskunftsrechte massenhaft geltend machen.

---

Wie sieht datenschutzkonformes Flottenmanagement konkret aus?

Datenschutz im Flottenmanagement ist kein einmaliges Projekt, sondern eine laufende Aufgabe. Hier sind die konkreten Schritte:

Schritt 1: Bestandsaufnahme (jetzt, nicht nach der nächsten Prüfung)

Erfassen Sie, welche Daten Ihr System erhebt, wo sie gespeichert werden (Cloud-Region beachten: Ist der Server in der EU?) und wer Zugriff hat. Viele Betriebe wissen nicht, dass ihre Telematikdaten auf US-amerikanischen Servern liegen, was zusätzliche Anforderungen nach Art. 44 ff. DSGVO auslöst.

Schritt 2: Rechtsgrundlage und Zweck dokumentieren

Legen Sie für jeden Datentyp (GPS, Fahrzeugdiagnose, Fahrzeit) den Verarbeitungszweck und die Rechtsgrundlage fest. Nutzen Sie § 26 BDSG für beschäftigungsbezogene Zwecke. Wenn Sie zusätzlich Einwilligungen einholen wollen: Diese müssen freiwillig, informiert und widerrufbar sein. Im Arbeitsverhältnis ist echte Freiwilligkeit oft schwer zu begründen; § 26 BDSG ist in der Regel der sicherere Weg.

Schritt 3: Fahrer informieren und Betriebsrat einbeziehen

Erstellen Sie eine verständliche Datenschutzinformation für Fahrer. Klären Sie mit Ihrem Betriebsrat, welche Betriebsvereinbarung zur technischen Überwachung besteht oder geschlossen werden muss.

Schritt 4: AVV mit Softwareanbieter aktualisieren

Lassen Sie sich den aktuellen AVV von Ihrem Anbieter geben und prüfen Sie, ob er die neuen Anforderungen ab Juni 2026 bereits abdeckt. Wenn nicht: Fragen Sie schriftlich nach dem Zeitplan für die Anpassung.

Schritt 5: Löschkonzept einrichten

Definieren Sie, wie lange welche Daten gespeichert werden. Standortdaten sollten nicht länger gespeichert werden, als es der Verarbeitungszweck erfordert. Für Nachweis von Lenk- und Ruhezeiten gelten gesetzliche Aufbewahrungsfristen nach der Fahrpersonalverordnung (FPersV); außerhalb dieser Fristen gilt das Prinzip der Datensparsamkeit (Art. 5 Abs. 1 lit. e DSGVO).

Schritt 6: Datenschutz-Folgenabschätzung durchführen (falls erforderlich)

Wenn Ihr System Echtzeit-Tracking mit Verhaltensanalyse kombiniert, führen Sie eine DSFA durch. Die Datenschutzkonferenz (DSK) stellt eine Liste von Verarbeitungstypen bereit, für die eine DSFA verpflichtend ist.

---

Auf einen Blick: Ihre Checkliste

• Verarbeitungsverzeichnis für alle Flottendaten angelegt und aktuell gehalten (Art. 30 DSGVO)
• Auftragsverarbeitungsvertrag mit Flottenmanagement-Anbieter abgeschlossen und auf Stand (Art. 28 DSGVO)
• Datenschutzinformation für Fahrer erstellt und ausgehändigt (Art. 13 DSGVO)
• Rechtsgrundlage je Datentyp dokumentiert (§ 26 BDSG oder Art. 6 DSGVO)
• Betriebsrat zu technischen Überwachungsmaßnahmen konsultiert (§ 87 Abs. 1 Nr. 6 BetrVG)
• DSFA geprüft und ggf. durchgeführt (Art. 35 DSGVO)
• Löschkonzept mit definierten Fristen vorhanden
• Serverstandort des Anbieters geprüft (EU-Anforderung nach Art. 44 ff. DSGVO)
• Anbieter zu geplanten Updates bis Juni 2026 befragt (Quelle: Fleet World)
• Interne Zugriffsbeschränkungen auf Flottendaten geregelt

Dieser Beitrag stellt keine Rechtsberatung dar. Für Ihre konkrete Situation empfehlen wir die Beratung durch einen Datenschutzbeauftragten oder Fachanwalt.