GPS-Tracking in Dienstfahrzeugen: DSB stoppt Einsatz von „GPS-Tracker“ mangels Erforderlichkeit

Behörde: Datenschutzbehörde (DSB)
Datum der Entscheidung: 1. März 2022
GZ: 2022-0.021.739 (Verfahrenszahl: DSB-D213.971)

Rechtssatz (kurz):
GPS-Tracking in Dienstfahrzeugen zur Arbeitszeitkontrolle, Fahrtenbuchführung und Diätenabrechnung ist unzulässig, wenn dieselben Zwecke mit gelinderen Mitteln erreicht werden können – ein bloßes Effizienz- oder Kontrollinteresse reicht für Art. 6 DSGVO nicht aus.

Sachverhalt

Eine österreichische GmbH (ohne Betriebsrat) setzt Servicetechniker mit Firmenfahrzeugen ein, die sowohl dienstlich als auch privat genutzt werden dürfen. Ende 2019 / Anfang 2020 wurden in insgesamt 15 Firmenfahrzeugen fest verbaute GPS/GSM-Geräte des Systems „L**Track“ installiert.

Das System übermittelt – bei aktivierter Funktion – insbesondere:

Kilometerstand
Fahrtausgangspunkt und Ziel
Standortdaten des Fahrzeugs
tatsächlich gefahrene Strecke
Datum und Uhrzeit

Telemetriedaten wie Bremsverhalten oder Geschwindigkeit werden nicht erfasst.

Die Daten werden auf einem Server (Rechenzentrum der D*** Rechnungszentrale) gespeichert und über eine Web-Applikation bereitgestellt. Zugriff haben:

intern: Lohnverrechnung, Finanzleitung, Koordinatoren
extern: die C***-IT GmbH als Auftragsverarbeiterin

Die Dienstfahrzeuge werden von Innendienstkoordinatoren disponiert; diese verteilen die täglichen Serviceeinsätze. Ein großer Teil (rund 70 %) der Aufträge sind Wartungen, die mit spezifischen Ersatzteilen abgewickelt werden. Frühzeitig beendete Einsätze sind telefonisch zu melden. Wertvolle Güter werden in den Fahrzeugen nicht in relevantem Umfang mitgeführt; es gab weder Diebstähle noch Beschädigungen von Fahrzeugen.

„Privatmodus“ und Deaktivierung

Im Fahrzeug befindet sich ein Schalter:

Arbeitsmodus: GPS aktiv, Daten werden an die Software übertragen (Licht erlischt)
Privatmodus: Schalter leuchtet, Daten werden zwar technisch gesammelt, aber nicht an die Arbeitgeberin übermittelt; nur der Fahrer kann – über einen eigenen Zugang – die Daten einsehen und Fahrten umklassifizieren (privat/dienstlich).

Die Verantwortliche argumentiert, dass:

das System durch Mitarbeiter jederzeit deaktiviert werden könne,
ursprünglich nur Fuhrparkmanagement und Auftragskoordination unterstützt werden sollten,
ab Juli 2021 die Funktionen Zeiterfassung, Diätenabrechnung und Fahrtenbuch genutzt wurden; davor wurden Zeiten händisch (Excel) erfasst.

Eine Datenschutz-Folgenabschätzung wurde nicht durchgeführt; man ging davon aus, dass die Verarbeitung der DSFA-Ausnahmeverordnung unterliege. Es gibt keinen Betriebsrat und keine Zustimmung der Mitarbeiter nach § 10 AVRAG, die Verantwortliche hielt eine solche Zustimmung auch nicht für erforderlich.

Wesentlich:

Es gab keinen konkreten Nachweis falscher Arbeitszeitangaben.
Es ist kein Fahrzeugdiebstahl oder -schaden bekannt.

Rechtliche Begründung der DSB

1. Anwendbare Normen

Die Verantwortliche berief sich auf:

Art. 6 Abs. 1 lit. f DSGVO

und Art. 6 Abs. 1 lit c DSGVO – rechtliche Verpflichtung (AZG)

Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO lag nicht vor – und sollte nach Ansicht der Verantwortlichen auch nicht erforderlich sein.

2. Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO

Die DSB verweist auf die ständige Rechtsprechung des EuGH: Für Art. 6 Abs. 1 lit. f DSGVO müssen drei Voraussetzungen kumulativ erfüllt sein:

Wahrnehmung eines berechtigten Interesses durch Verantwortlichen oder Dritte
Erforderlichkeit der Verarbeitung zur Verwirklichung dieses Interesses
Interessenabwägung zugunsten des Verantwortlichen (Grundrechte der Betroffenen dürfen nicht überwiegen)

a) Vorgetragene Interessen der Verantwortlichen

Die Verantwortliche nannte als Interessen:

Einhaltung arbeitsrechtlicher Verpflichtungen (Arbeitszeit, Arbeitnehmer*innenschutz)
Korrekte Führung von Arbeitszeit- und Reiseaufzeichnungen, Fahrtenbuch, Diäten, Sachbezug, Überstunden
Schutz des Eigentums (Fahrzeuglokalisation bei Diebstahl)
Effiziente Einsatzplanung (Vermeidung von Umwegen und Stehzeiten)
Schnelles Reagieren auf Kundenanfragen (Kundenbindung)

Demgegenüber steht das Interesse der Servicetechniker, nicht durch permanente GPS-Überwachung kontrolliert zu werden.

b) Erforderlichkeit – gibt es gelindere Mittel?

Hier setzt die DSB sehr deutlich an:

Die Innendienstkoordinatoren kennen die Einsatzorte ohnehin aufgrund ihrer Disposition.
Der hohe Anteil planbarer Wartungen, die spezifische Ersatzteile erfordern, spricht gegen spontane „Notfall-Umdispositionen“, die GPS unbedingt erforderlich machen würden.
Arbeitszeiten und Fahrten wurden vorher bereits händisch/Excel erfasst, ohne dass Probleme nachgewiesen wurden.
Es gibt keine konkreten Hinweise auf systematische Falschangaben bei Arbeitszeiten oder Reisekosten.
Aufzeichnungen für Lohnverrechnung, Diäten etc. waren auch ohne GPS möglich.

Die DSB kommt daher zum Schluss:

Das Ziel (korrekte Aufzeichnungen, effiziente Disposition) kann mit gelinderen Mitteln erreicht werden – insbesondere mit den bereits bestehenden organisatorischen Maßnahmen (Koordination durch den Innendienst, herkömmliches Fahrtenbuch).

Damit fehlt es an der Erforderlichkeit der GPS-Verarbeitung im Sinne des zweiten Prüfungsschritts des Art. 6 Abs. 1 lit. f DSGVO.

Das Argument „administrative Entlastung“ oder „praktische Erleichterung“ reicht nicht:
Eine Datenverarbeitung, die zwar bequemer ist, aber deutlich tiefer in die Privatsphäre der Mitarbeiter eingreift, ist nicht allein deshalb gerechtfertigt.

Ergebnis:
Art. 6 Abs. 1 lit. f DSGVO kann die GPS-Verarbeitung nicht tragen.

3. Rechtliche Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO (AZG)

Die Verantwortliche stützte sich zusätzlich auf das AZG, insbesondere:

§ 17b AZG – Pflicht zur Führung von Arbeitszeitaufzeichnungen für Lenker
Verweis auf digitale Kontrollgeräte (Fahrtenschreiber) nach § 13 Abs. 1 Z 5 AZG iVm Verordnung (EU) Nr. 165/2014

Die DSB präzisiert:

Eine „rechtliche Verpflichtung“ im Sinne von Art. 6 Abs. 1 lit. c DSGVO

Auch hier spielt der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) hinein:

Wenn das gesetzlich geforderte Ziel (Arbeitszeitnachweis) mit weniger eingriffsintensiven Methoden erreicht werden kann, darf man nicht „überschießend“ weitere personenbezogene Daten erheben.

Ergebnis:

Auch Art. 6 Abs. 1 lit. c DSGVO ann die GPS-Verarbeitung nicht rechtfertigen – das AZG verlangt kein permanent standortgenaues Tracking.

4. Konsequenz: Unzulässige Verarbeitung und Untersagung

Da keine tragfähige Rechtsgrundlage vorliegt und der Grundsatz der Datenminimierung verletzt ist, stellt die DSB fest, dass die Verantwortliche gegen die DSGVO verstößt.

Sie untersagt der Verantwortlichen mit sofortiger Wirkung, die mit dem GPS-System „L**Track“ ermittelbaren personenbezogenen Daten der Dienstnehmer zu verarbeiten – gestützt auf ihre Befugnisse nach Art. 58 Abs. 2 lit. f DSGVO

und § 18 Abs. 1 DSG.

In diesem Verfahren ging es um aufsichtsrechtliche Maßnahmen, nicht um die Verhängung einer Geldbuße.

Fazit

Die Entscheidung zeigt sehr klar:

GPS-Tracking von Dienstfahrzeugen mit Mitarbeitenden ist datenschutzrechtlich heikel und nur in engen Grenzen zulässig.

Besonders wichtig ist:

Erforderlichkeit: „praktisch“ oder „effizient“ genügt nicht – es braucht eine tatsächliche Notwendigkeit, die nicht mit weniger eingriffsintensiven Mitteln erreicht werden kann. Die kann die "Wirtschaftlichkeit" sein, ist aber dann gut zu begründen.
Keine Pauschalkontrolle: Eine dauerhafte Möglichkeit, Bewegungsprofile von Mitarbeitern zu erstellen – insbesondere bei Privatnutzung von Dienstfahrzeugen – ist ein erheblicher Eingriff. Das Tracking bei Privatnutzung der Fahrzeuge kann bei den meisten APPs oder GPS-Trackern auf Knopfdruck deaktiviert werden.
Rechtliche Verpflichtungen (z.B. AZG) rechtfertigen nur genau jene Datenverarbeitung, die wirklich notwendig ist; alles darüber scheitert am Grundsatz der Datenminimierung sowie der Rechtmäßigkeit (Art. 5 Abs. 1 lit. c DSGVO iVm Art 6 DSGVO)

Schlussfolgerungen für Verantwortliche

Was sollten Unternehmen aus dieser Entscheidung mitnehmen?

Vor Einsatz von GPS-Systemen sorgfältig prüfen:
- Welcher konkrete Zweck? (Diebstahlschutz, Tourenoptimierung, Arbeitszeitnachweis, etc.)
- Kann derselbe Zweck mit organisatorischen Maßnahmen (Disposition, Fahrtenbuch, Zeitwirtschaftssysteme ohne GPS) erreicht werden?
- Sind wirklich Echtzeit-Standortdaten nötig oder reichen z.B. Kilometer- oder Zeitdaten?
Rechtsgrundlage sauber wählen – und begründen:
- Wenn Sie sich auf berechtigtes Interesse stützen:
  - Interessen sauber definieren, dokumentieren und eine Interessenabwägung durchführen.
- Wenn Sie auf rechtliche Verpflichtung verweisen (z.B. AZG):
  - Prüfen, ob das Gesetz wirklich die konkrete Form der Datenverarbeitung verlangt – oder nur einen Erfolg (z.B. „Arbeitszeitaufzeichnungen“), den Sie datensparsam erreichen können.
Datenminimierung ernst nehmen:
- Standortdaten und Bewegungsprofile sind besonders eingriffsintensiv.
- Reduzieren Sie Umfang und Detailgrad der Daten (z.B. keine exakten Koordinaten, keine permanente Ortung, nur Ereignis- oder Kilometer-basierte Erfassung).
Betriebsverfassungs- und Arbeitsrecht mitdenken:
- Bei kontrollierenden Systemen (Mitarbeiterkontrolle) ist meist eine Betriebsvereinbarung oder Zustimmung nach AVRAG erforderlich.
- Auch wenn kein Betriebsrat existiert, bleiben die Schranken der „Menschenwürde“ und der arbeitsrechtlichen Kontrollregeln relevant.
Transparenz, DSFA & Dokumentation:
- Mitarbeiter umfassend informieren (Art. 13 DSGVO).
- Bei systematischer, umfangreicher Überwachung von Mitarbeitern kann eine Datenschutz-Folgenabschätzung notwendig sein – und sollte zumindest geprüft werden.
- Alle Überlegungen in Verarbeitungsverzeichnis, Interessenabwägung und DSFA dokumentieren.

Kurz gesagt:
Wer Dienstfahrzeuge mit GPS ausstattet, sollte nicht davon ausgehen, dass „alle anderen das auch machen“ – die DSB schaut sehr genau auf Erforderlichkeit, Datenminimierung und die Frage, ob das System tatsächlich „unverzichtbar“ ist oder nur bequem.

Das AZG verlangt zwar Arbeitszeitaufzeichnungen und erlaubt digitale Kontrollgeräte, es verlangt aber nicht zwingend den Einsatz eines bestimmten GPS-Flottenmanagementsystems.
Bis Juli 2021 war die Fahrtenschreiber-Funktion des Systems gar nicht aktiviert – dennoch wurde bereits GPS eingesetzt.