GPS-Ortung von Firmenfahrzeugen: Datenschutzaufsicht in Bayern zählt 9.746 Eingaben und hält Tracker in Firmenwagen nur ausnahmsweise für zulässig

Warum Standortdaten als personenbezogene Daten gelten

Laut dem Bayerischen Landesamt für Datenschutzaufsicht werden Standortdaten aus einem Fahrzeug zu personenbezogenen Daten im Sinne von Artikel 4 Nummer 1 DSGVO, sobald sie einem bestimmten Fahrer zugeordnet werden können. Über das zugeteilte Fahrzeug ist der Fahrer nach Darstellung der Behörde identifizierbar. Der Bericht nennt bei einer GPS-Ortung (Ortung über Satellitensignale) zwei Gruppen, die zweite nur beispielhaft:

• standortbezogene Daten, also die Position
• Zusatzinformationen wie Datum, Uhrzeit, Geschwindigkeit und gefahrene Strecke

Die Erforderlichkeit entscheidet über den Einsatz

Für die Ortung durch den Arbeitgeber greift die Ausnahme für natürliche Personen bei ausschließlich persönlichen oder familiären Tätigkeiten nach Artikel 2 Absatz 2 Buchstabe c DSGVO nicht. Die Aufsicht verlangt vom Verantwortlichen — im Beschäftigtenkontext in der Regel dem Arbeitgeber — einen Nachweis der Erforderlichkeit.

Nach Artikel 5 Absatz 2 DSGVO muss der Verantwortliche seit Geltungsbeginn im Mai 2018 die Einhaltung der Grundsätze nachweisen können. Das Alternativenverbot leitet die Aufsicht aus der Erforderlichkeit ab: Nach dem Grundsatz der Datenminimierung in Artikel 5 Absatz 1 Buchstabe c DSGVO darf es keine ebenso wirksame, gleich gut geeignete Alternative geben. In Betracht kommen laut Bericht insbesondere Artikel 6 Absatz 1 Buchstabe b, c und f DSGVO, also Vertragserfüllung, rechtliche Verpflichtung und berechtigtes Interesse. § 26 BDSG zieht die Behörde nur für die Einwilligung und für Verdachtsfälle heran. Das Bundesarbeitsgericht ließ § 26 Absatz 1 BDSG 2025 im entschiedenen Fall unangewendet, weil Schutzmaßnahmen nach Artikel 88 Absatz 2 DSGVO fehlen; eine Rechtsgrundlage nach Artikel 6 Absatz 3 DSGVO prüfte es fallbezogen. Der Tätigkeitsbericht zieht § 26 BDSG dennoch weiter heran. Eine Einwilligung der Beschäftigten trägt nach Einschätzung der Behörde in der Regel nicht, weil es an der Freiwilligkeit fehlt.

Vor dem Einsatz verlangt die Behörde eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO. Besteht ein Betriebsrat, hat er nach § 87 Absatz 1 Nummer 6 BetrVG mitzubestimmen, soweit keine gesetzliche oder tarifliche Regelung besteht. Mitbestimmungspflichtig sind Einführung und Anwendung technischer Einrichtungen, die zur Verhaltens- oder Leistungsüberwachung bestimmt sind; das Bundesarbeitsgericht lässt die Eignung genügen, verlangt aber, dass sich die Daten einzelnen Arbeitnehmern zuordnen lassen. Eine Betriebsvereinbarung ist nach dem Tätigkeitsbericht keine alleinstehende Befugnis; sie muss sich auf eine Rechtsgrundlage nach Artikel 6 Absatz 1 DSGVO stützen. Der Bericht verweist dazu auf das EuGH-Urteil C-65/23.

Woran es bei der Transparenz gegenüber Beschäftigten hakt

Viele Eingaben und Anfragen zur GPS-Ortung gehen laut Behörde auf fehlende Transparenz zurück. Beschäftigte sind nach Artikel 13 DSGVO spätestens zum Zeitpunkt der Erhebung zu informieren, insbesondere über Zwecke und Rechtsgrundlage. Beim berechtigten Interesse kommen die verfolgten Interessen und der Hinweis auf das Widerspruchsrecht hinzu. Ein Testbetrieb mit echten Daten nicht informierter Beschäftigter ist nach Darstellung der Behörde unzulässig.

Eine Übersicht app-gesteuerter Ortungsgeräte mit Benachrichtigungsfunktion zeigt, welche Geräte den gezielten Abruf erlauben. Ist die Privatnutzung erlaubt, ist eine Ortung während der privaten Nutzung nach Auffassung der Behörde grundsätzlich ausgeschlossen. Bei Mischnutzung muss der Beschäftigte die Ortung in der Freizeit deaktivieren können, soweit sie während der Arbeit überhaupt zulässig ist.

Was die Eingabezahlen der Aufsicht zeigen

Nach Angaben des Bayerischen Landesamts für Datenschutzaufsicht gingen dort 2025 insgesamt 9.746 Beschwerden und Kontrollanregungen ein, nach 6.046 im Jahr davor. Das entspricht einem Zuwachs von 61 Prozent und dem höchsten Stand seit Geltungsbeginn der DSGVO. Auf förmliche Beschwerden entfielen 67 Prozent der Eingaben, auf Kontrollanregungen 21 Prozent.

Laut Tätigkeitsbericht entfielen die meisten Beschwerden mit 21 Prozent auf Internet und digitale Dienste, 20 Prozent auf Videoüberwachung. Beschäftigtendatenschutz und Gesundheit legten laut Bericht als einzige Bereiche stärker zu, um jeweils 2 Prozent gegenüber dem Vorjahr. Von den abgeschlossenen förmlichen Beschwerden erledigte die Behörde 62 Prozent innerhalb von drei Monaten.

„Wer Fahrzeuge ortet, sollte vorher aufschreiben, wozu die Daten gebraucht werden und wie lange sie bleiben“, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.

Welche Ausgestaltung die Aufsicht für vertretbar hält

Die Datenminimierung begrenzt auch, wie genau geortet wird: Die Behörde nennt als mildere Varianten einen punktuellen Abruf statt laufender Aufzeichnung und eine bewusst unscharfe Positionsangabe.

In einem Einzelfall, dem Transport von Sprengstoffen, hielt die Behörde Erhebung, Speicherung und den anlassbezogenen Zugriff auf die GPS-Daten nach Artikel 6 Absatz 1 Buchstabe f DSGVO für zulässig. Zweck des Einsatzes war nach Angaben des Unternehmens die Diebstahlschutzpflicht nach Abschnitt 1.10.3.3 ADR, nicht die Überwachung der Beschäftigten. Die Kontrolle von Arbeitszeit oder Fahrtroute rechtfertigt eine Ortung nach Artikel 6 Absatz 1 Buchstabe b DSGVO regelmäßig nicht. Ausnahmen kommen allenfalls bei dokumentiertem konkretem Verdacht auf Straftaten oder schwere Pflichtverletzungen in Betracht, und auch dann nur, soweit die Datenverarbeitung erforderlich und verhältnismäßig ist. Die Einordnung ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.