GPS-Tracking im Fuhrpark: Recht und Praxis

GPS-Tracker kosten heute weniger als eine Tankfüllung und lassen sich in Minuten einbauen. Trotzdem landen Fuhrparkbetreiber regelmäßig vor dem Arbeitsgericht oder zahlen empfindliche Bußgelder, weil sie einen entscheidenden Schritt übersprungen haben: die rechtliche Absicherung, bevor das Gerät eingeschaltet wird.

Wer im deutschen Fuhrpark Fahrzeugverfolgung einsetzt, bewegt sich gleichzeitig im Arbeitsrecht (Betriebsverfassungsgesetz), im Datenschutzrecht (DSGVO und BDSG) und im Strafrecht. Dieser Beitrag zeigt, was konkret gilt, welche Konsequenzen Fehler haben und wie ein rechtskonformes Tracking-Konzept aufgebaut ist.

---

Was ist Fahrzeugverfolgung im Fuhrpark?

Fahrzeugverfolgung bezeichnet die kontinuierliche oder intervallbasierte Erfassung von Positionsdaten eines Fahrzeugs über ein GPS- oder GSM-Modul. Moderne Systeme liefern darüber hinaus:

• Fahrtdaten: Strecke, Geschwindigkeit, Beschleunigung, Bremsverhalten
• Standzeiten und Halteorte
• Motorlaufzeiten und Verbrauchswerte
• Fahreridentifikation per RFID-Chip oder PIN

Sobald ein System eine bestimmte Person einem Fahrzeug und einer Route zuordnen kann, handelt es sich um die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 1 DSGVO. Das gilt auch dann, wenn das Fahrzeug formal dem Unternehmen gehört und nicht dem Fahrer.

Merksatz: Jedes GPS-System, das Rückschlüsse auf das Verhalten einer identifizierbaren Person erlaubt, unterliegt der DSGVO. Kein Tracker ist „anonym genug", um das zu umgehen.

---

Was sind meine Pflichten?

1. Beteiligungsrecht des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG)

Gibt es in Ihrem Unternehmen einen Betriebsrat, hat dieser ein erzwingbares Mitbestimmungsrecht, bevor Sie technische Einrichtungen einführen, die das Verhalten oder die Leistung von Arbeitnehmern überwachen können (§ 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz). GPS-Tracker fallen eindeutig darunter.

Das bedeutet konkret:

• Ohne Betriebsvereinbarung darf der Tracker nicht aktiviert werden.
• Die Betriebsvereinbarung muss regeln: Zweck der Erhebung, erfasste Daten, Speicherdauer, Zugriffsberechtigte, Auswertungsregeln.
• Verstöße sind nicht heilbar durch nachträgliche Genehmigung; erhobene Daten können vor Gericht unverwertbar sein.

Kein Betriebsrat vorhanden? Dann entfällt § 87 BetrVG, aber die DSGVO-Pflichten bleiben vollständig bestehen.

2. Rechtsgrundlage nach DSGVO (Art. 6 DSGVO)

Für die Positionsverfolgung von Mitarbeitern kommen in der Praxis zwei Rechtsgrundlagen in Frage:

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
  • Voraussetzung: Freiwillig erteilt und jederzeit widerrufbar
  • Tauglichkeit für dauerhaftes Tracking: Gering. Im Arbeitsverhältnis ist Freiwilligkeit schwer nachweisbar.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse)
  • Voraussetzung: Interessenabwägung dokumentiert
  • Tauglichkeit für dauerhaftes Tracking: Möglich, wenn das Tracking auf Dienstzeiten und betriebliche Zwecke beschränkt ist.

Die Datenschutzkonferenz (DSK) hat klargestellt, dass eine pauschale Dauerüberwachung auch auf Basis berechtigter Interessen nicht zulässig ist. Das Tracking muss verhältnismäßig sein, d.h. auf Dienstzeiten beschränkt, mit abschaltbarer Funktion außerhalb der Arbeitszeit.

3. Informationspflicht gegenüber Fahrern (Art. 13 DSGVO)

Fahrer müssen vor dem ersten Tracking schriftlich informiert werden über:

• Zweck und Rechtsgrundlage der Verarbeitung
• Speicherdauer (Praxiswert: maximal 6 Monate für Fahrtdaten, sofern kein anderer Anlass besteht)
• Empfänger der Daten (z.B. Fuhrparkleiter, Versicherung)
• Ihre Betroffenenrechte (Auskunft, Löschung, Widerspruch)

Ein kurzer Aushang reicht nicht. Die Information muss dokumentiert und nachweisbar ausgehändigt worden sein.

4. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Jedes Unternehmen ab 250 Mitarbeitenden ist verpflichtet, ein solches Verzeichnis zu führen. Unter 250 Mitarbeitenden gilt die Pflicht ebenfalls, wenn die Verarbeitung ein Risiko für die Rechte der betroffenen Personen darstellt, was bei GPS-Tracking regelmäßig der Fall ist.

5. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Eine DSFA ist vorgeschrieben, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen birgt. Systematisches Tracking von Mitarbeiterbewegungen ist explizit in den Leitlinien der Datenschutzbehörden als Hochrisikoverarbeitung eingestuft. Die DSFA muss vor dem Start der Verarbeitung abgeschlossen sein, nicht danach.

---

Was passiert, wenn ich Fehler mache?

Bußgelder nach DSGVO

Die zuständigen Landesdatenschutzbehörden können bei Verstößen gegen die DSGVO Bußgelder verhängen:

• Bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für Verstöße gegen technisch-organisatorische Pflichten (Art. 83 Abs. 4 DSGVO)
• Bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes für Verstöße gegen Grundsätze der Verarbeitung, fehlende Rechtsgrundlage oder Verletzung von Betroffenenrechten (Art. 83 Abs. 5 DSGVO)

Für kleine und mittlere Fuhrparkbetreiber sind bisher Bußgelder im fünf- bis sechsstelligen Bereich die Regel bei GPS-Tracking-Verstößen, abhängig von Schwere und Dauer.

Arbeitsrechtliche Konsequenzen

Daten, die ohne wirksame Betriebsvereinbarung oder ohne gültige Rechtsgrundlage erhoben wurden, können vor Arbeitsgerichten einem Beweisverwertungsverbot unterliegen. Das bedeutet: Ein Tracker-Nachweis über Arbeitszeitbetrug oder Fahrzeugmissbrauch ist vor Gericht wertlos, wenn der Tracker nicht rechtskonform eingerichtet war.

Schadensersatzansprüche (Art. 82 DSGVO)

Betroffene Mitarbeiter können individuellen Schadensersatz verlangen, wenn ihnen durch die rechtswidrige Verarbeitung ein materieller oder immaterieller Schaden entstanden ist. Arbeitsgerichte sprechen in solchen Fällen erfahrungsgemäß Beträge zwischen 500 und 5.000 Euro je Fall zu.

---

Wie sieht rechtskonforme Fahrzeugverfolgung konkret aus?

Ein praxistaugliches Konzept folgt diesen Schritten:

Schritt 1: Zweck klar definieren

Formulieren Sie schriftlich, warum Sie tracken: Routenoptimierung, Nachweis gegenüber Auftraggebern, Diebstahlschutz, Einhaltung Lenk- und Ruhezeiten. Je enger der Zweck, desto stärker Ihre Rechtsposition. Sammelzwecke wie "zur Verbesserung der Flottenprozesse" sind zu unspezifisch.

Schritt 2: Betriebsvereinbarung abschließen (falls Betriebsrat vorhanden)

Die Betriebsvereinbarung sollte mindestens regeln:

• Welche Fahrzeuge und Fahrer betroffen sind
• Welche Daten erhoben werden (Position, Geschwindigkeit, weitere Telematikdaten)
• Speicherdauer je Datenkategorie
• Wer Zugriff hat und zu welchem Zweck
• Verbot der Nutzung für Leistungskontrollen außerhalb vereinbarter Zwecke
• Abschaltmechanismus außerhalb der Dienstzeit (z.B. Privatfahrtmodus)

Schritt 3: Privatfahrtmodus technisch umsetzen

Mitarbeiter, die Dienstfahrzeuge auch privat nutzen, müssen die Möglichkeit haben, das Tracking während privater Fahrten zu deaktivieren. Viele GPS-Systeme bieten einen Hardware-Knopf oder eine App-Funktion dafür. Dieser Modus muss protokolliert werden (Zeitstempel ein/aus), aber die Positionsdaten in diesem Zeitraum dürfen nicht gespeichert werden.

Schritt 4: Datenschutz-Folgenabschätzung dokumentieren

Eine einseitige interne Risikoabschätzung genügt nicht. Die DSFA muss folgende Elemente enthalten:

1. Systematische Beschreibung der Verarbeitung
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit
3. Bewertung der Risiken für die Rechte der Betroffenen
4. Geplante Abhilfemaßnahmen (Verschlüsselung, Zugriffsbeschränkung, Löschkonzept)

Schritt 5: Fahrer informieren und Dokumentation ablegen

Übergeben Sie jedem betroffenen Fahrer ein Datenschutzinformationsblatt nach Art. 13 DSGVO, lassen Sie den Empfang quittieren und legen Sie die quittierte Version in die Personalakte.

Schritt 6: Lösch- und Zugriffskonzept einrichten

Definieren Sie konkrete Löschfristen:

• Routendaten: 30 bis 90 Tage, sofern kein Vorfall vorliegt
• Daten im Zusammenhang mit einem Unfall oder einer Reklamation: bis zur Klärung, maximal 3 Jahre (Verjährungsfrist § 195 BGB)
• Protokolle über Systemzugriffe: 6 Monate

Richten Sie rollenbasierte Zugriffsrechte ein: Fuhrparkleiter sieht Fahrtdaten, HR-Abteilung nur aggregierte Auswertungen ohne Einzelfahrtzuordnung.

---

Auf einen Blick: Checkliste rechtskonforme Fahrzeugverfolgung

• Zweck der Datenerhebung schriftlich dokumentiert und auf das Notwendige begrenzt
• Betriebsvereinbarung abgeschlossen (falls Betriebsrat vorhanden), Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG erfüllt
• Rechtsgrundlage nach Art. 6 DSGVO bestimmt und dokumentiert (Interessenabwägung für Art. 6 Abs. 1 lit. f verschriftlicht)
• Datenschutz-Folgenabschätzung nach Art. 35 DSGVO abgeschlossen und aktuell
• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO aktualisiert
• Fahrer informiert nach Art. 13 DSGVO, Empfangsbestätigung in der Akte
• Privatfahrtmodus technisch umgesetzt und dokumentiert
• Löschfristen je Datenkategorie definiert und automatisiert
• Rollenbasierte Zugriffsrechte im System konfiguriert
• Prozess für Betroffenenanfragen (Auskunft, Löschung) definiert

Ein GPS-Tracker ist kein rechtliches Problem, solange dieser Rahmen steht, bevor das Gerät aktiviert wird. Rüsten Sie nach dem Einbau nach, verlieren Sie möglicherweise genau die Beweismittel, für die Sie das System angeschafft haben.