GPS-Tracking bei Mitarbeitern: Datenschutz, DSGVO und rechtliche Grenzen
Inhaltsverzeichnis
Die GPS-basierte Zeiterfassung hat sich in vielen Dienstleistungsbranchen als Standardwerkzeug etabliert. Gebäudereiniger, Pflegedienste, Sicherheitsunternehmen und Handwerksbetriebe nutzen die Standortdaten ihrer Mitarbeiter, um Einsatzzeiten an verschiedenen Objekten zu dokumentieren, Fahrtrouten zu optimieren und gegenüber Auftraggebern nachzuweisen, dass vereinbarte Leistungen tatsächlich vor Ort erbracht wurden. Laut einer Studie des Digitalverbands Bitkom von 2024 setzen bereits 34 Prozent der deutschen Unternehmen mit mobilen Mitarbeitern GPS-gestützte Zeiterfassung ein – Tendenz steigend. Doch so praktisch die Technologie ist, so sensibel sind die damit verbundenen Datenschutzfragen. Die Ortung von Beschäftigten berührt deren Persönlichkeitsrechte und unterliegt strengen Anforderungen der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und der arbeitsrechtlichen Rechtsprechung. Verstöße können empfindliche Bußgelder nach sich ziehen: Die Datenschutzkonferenz (DSK) der Aufsichtsbehörden hat klargestellt, dass die unzulässige Überwachung von Beschäftigten als schwerwiegender DSGVO-Verstoß gewertet werden kann, der gemäß Art. 83 Abs. 5 DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden kann. Dieser Ratgeber erklärt die rechtlichen Rahmenbedingungen und gibt konkrete Handlungsempfehlungen für Dienstleistungsunternehmen.
Rechtsgrundlage: Wann dürfen Arbeitgeber GPS-Daten erheben?
Die zentrale Frage lautet: Auf welcher Rechtsgrundlage darf ein Arbeitgeber GPS-Standortdaten seiner Mitarbeiter erheben und verarbeiten? Die DSGVO bietet mehrere mögliche Rechtsgrundlagen, von denen für den Beschäftigungskontext primär drei relevant sind. Erstens die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO: Der Mitarbeiter stimmt der GPS-Erfassung freiwillig zu. Allerdings hat das Bundesarbeitsgericht wiederholt darauf hingewiesen, dass die Freiwilligkeit einer Einwilligung im Arbeitsverhältnis aufgrund der strukturellen Ungleichgewichtslage zwischen Arbeitgeber und Arbeitnehmer kritisch zu bewerten ist (BAG, Beschluss vom 17. November 2016, 2 AZR 730/15). Die Einwilligung allein ist daher als Rechtsgrundlage fragil. Zweitens die Erforderlichkeit zur Durchführung des Arbeitsverhältnisses gemäß § 26 Abs. 1 BDSG (beziehungsweise die entsprechende Nachfolgeregelung im Beschäftigtendatenschutzgesetz): Wenn die GPS-Erfassung für die Durchführung des Arbeitsverhältnisses erforderlich ist – etwa weil der Arbeitgeber die Arbeitszeit an verschiedenen Einsatzorten dokumentieren muss, um gesetzliche Pflichten zu erfüllen oder vertragliche Leistungen gegenüber Kunden nachzuweisen – kann dies eine tragfähige Rechtsgrundlage sein. Drittens das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO: Der Arbeitgeber hat ein berechtigtes Interesse an der Erfassung, das die Interessen des Arbeitnehmers am Schutz seiner Privatsphäre überwiegt. Hier ist stets eine sorgfältige Interessenabwägung erforderlich, die dokumentiert werden muss.
Grundsatz der Datenminimierung: Nur so viel GPS wie nötig
Unabhängig von der gewählten Rechtsgrundlage gilt der Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO: Es dürfen nur so viele personenbezogene Daten erhoben werden, wie für den jeweiligen Zweck erforderlich sind. Für die GPS-basierte Zeiterfassung bedeutet dies konkret: Die Standorterfassung darf nur zum Zeitpunkt des Ein- und Ausstempelns erfolgen – eine kontinuierliche GPS-Überwachung während der gesamten Arbeitszeit ist in der Regel unverhältnismäßig und damit unzulässig. Die Standortdaten sollten auf einen angemessenen Radius gerundet werden – eine metergenauere Erfassung als für den Zweck erforderlich verstößt gegen das Minimierungsprinzip. Die GPS-Erfassung darf grundsätzlich nicht außerhalb der Arbeitszeit erfolgen – insbesondere, wenn der Mitarbeiter sein privates Smartphone für die dienstliche Zeiterfassung nutzt, muss technisch sichergestellt sein, dass nach dem Ausstempeln keine Standortdaten mehr übermittelt werden. Die Speicherdauer der GPS-Daten muss begrenzt und vorab festgelegt sein – nach Erfüllung des Verarbeitungszwecks sind die Daten zu löschen oder zu anonymisieren. In der Praxis empfehlen Datenschutzexperten eine Speicherdauer von maximal drei Monaten für die GPS-Koordinaten, während die daraus abgeleiteten Arbeitszeitdaten (ohne exakte Koordinaten) entsprechend den gesetzlichen Aufbewahrungsfristen länger gespeichert werden können.
Betriebsvereinbarung: Das empfohlene Instrument
Datenschutzaufsichtsbehörden und Arbeitsrechtler empfehlen übereinstimmend, die GPS-basierte Zeiterfassung in einer Betriebsvereinbarung zu regeln. Gemäß § 26 Abs. 4 BDSG kann die Verarbeitung personenbezogener Beschäftigtendaten auf der Grundlage von Kollektivvereinbarungen – also Betriebsvereinbarungen oder Tarifverträgen – erfolgen. Eine Betriebsvereinbarung bietet gegenüber der individuellen Einwilligung mehrere Vorteile: Sie schafft eine kollektive Rechtsgrundlage, die nicht von der individuellen Freiwilligkeit jedes einzelnen Mitarbeiters abhängt; sie kann vom Betriebsrat mitgestaltet werden, was die Akzeptanz bei den Mitarbeitern erhöht; und sie bietet Rechtssicherheit für beide Seiten. Der Betriebsrat hat bei der Einführung von GPS-Zeiterfassung ohnehin ein zwingendes Mitbestimmungsrecht gemäß § 87 Abs. 1 Nr. 6 BetrVG, da es sich um eine technische Einrichtung handelt, die dazu geeignet ist, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Eine Betriebsvereinbarung zur GPS-Zeiterfassung sollte mindestens folgende Regelungen enthalten: den Zweck der GPS-Erfassung, den Umfang der erhobenen Daten (nur beim Stempeln, nicht kontinuierlich), die Speicherdauer, die Zugriffsrechte (welche Personen dürfen die GPS-Daten einsehen), ein ausdrückliches Verbot der Leistungs- und Verhaltenskontrolle anhand der GPS-Daten, die technischen Schutzmaßnahmen und die Rechte der betroffenen Mitarbeiter.
DSGVO-konforme Umsetzung: Technische und organisatorische Maßnahmen
Neben der rechtlichen Grundlage müssen Arbeitgeber auch technische und organisatorische Maßnahmen (TOMs) implementieren, die den Schutz der GPS-Daten gewährleisten. Zu den wichtigsten Maßnahmen gehören: die Verschlüsselung der GPS-Daten sowohl bei der Übertragung vom Smartphone zum Server (Transport-Verschlüsselung via TLS 1.3) als auch bei der Speicherung auf dem Server (Encryption at Rest). Ein Rollen- und Berechtigungskonzept stellt sicher, dass nur befugte Personen – typischerweise der direkte Vorgesetzte und die Personalabteilung – auf die GPS-Daten zugreifen können. Technische Maßnahmen zur Datenminimierung, wie die automatische Rundung von GPS-Koordinaten auf einen Radius von 50 bis 100 Metern, reduzieren die Eingriffsintensität. Die automatische Löschung von GPS-Koordinaten nach Ablauf der definierten Speicherfrist verhindert eine unbegrenzte Datenhaltung. Und ein Audit-Log protokolliert, wer wann auf GPS-Daten zugegriffen hat, um Missbrauch nachvollziehbar zu machen. Bei der Auswahl einer Softwarelösung sollten Dienstleister darauf achten, dass diese Maßnahmen bereits systemseitig implementiert sind. Achten Sie darauf, dass die gewählte Lösung GPS-Koordinaten ausschließlich zum Zeitpunkt des Ein- und Ausstempelns erfasst, die Daten auf europäischen Servern speichert und ein granulares Berechtigungskonzept bietet, das den Zugriff auf GPS-Daten rollenbasiert steuert.
Datenschutz-Folgenabschätzung: Wann ist sie Pflicht?
Gemäß Art. 35 DSGVO ist eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die systematische Überwachung von Beschäftigten durch GPS-Tracking erfüllt dieses Kriterium in der Regel, insbesondere wenn die Verarbeitung in großem Umfang erfolgt. Die deutschen Datenschutzaufsichtsbehörden haben in ihren Positivlisten zur DSFA-Pflicht (gemäß Art. 35 Abs. 4 DSGVO) die systematische Überwachung von Beschäftigten durch GPS ausdrücklich aufgeführt. Eine DSFA muss mindestens folgende Elemente enthalten: eine systematische Beschreibung der Verarbeitungsvorgänge und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung, eine Bewertung der Risiken für die betroffenen Personen und die vorgesehenen Abhilfemaßnahmen zur Risikominimierung. In der Praxis empfiehlt es sich, die DSFA gemeinsam mit dem betrieblichen Datenschutzbeauftragten und gegebenenfalls dem Betriebsrat durchzuführen und das Ergebnis schriftlich zu dokumentieren. Sofern die DSFA ergibt, dass die Risiken trotz der getroffenen Maßnahmen nicht auf ein akzeptables Niveau reduziert werden können, muss vor Beginn der Verarbeitung die zuständige Datenschutzaufsichtsbehörde konsultiert werden (Art. 36 DSGVO).
Privatgeräte und BYOD: Besondere Herausforderungen
Viele Dienstleistungsunternehmen – insbesondere kleine und mittelständische Betriebe – stellen ihren Mitarbeitern keine dienstlichen Smartphones zur Verfügung, sondern setzen auf das BYOD-Modell (Bring Your Own Device): Die Mitarbeiter installieren die Zeiterfassungs-App auf ihren privaten Geräten. Dieses Modell ist kostengünstig, wirft aber zusätzliche Datenschutzfragen auf. Grundsätzlich gilt: Ein Arbeitgeber kann nicht verlangen, dass ein Mitarbeiter sein privates Smartphone für dienstliche Zwecke nutzt und darauf eine GPS-fähige App installiert. Die Nutzung muss freiwillig erfolgen, und es muss eine gleichwertige Alternative angeboten werden – etwa NFC-Tags am Einsatzort oder ein vom Arbeitgeber bereitgestelltes Gerät. Bei der technischen Umsetzung muss sichergestellt sein, dass die App keinen Zugriff auf private Daten des Mitarbeiters hat (Kontakte, Fotos, Nachrichten) und dass GPS-Daten ausschließlich während des aktiven Stempelvorgangs erhoben werden – nicht im Hintergrund. Moderne Apps wie die von Clockodo oder Crewly arbeiten mit dem Prinzip der minimalen Berechtigungen: Die App fordert GPS-Zugriff nur während der Nutzung an (nicht im Hintergrund) und kommuniziert transparent, welche Daten erhoben werden. Dennoch empfiehlt es sich, die BYOD-Regelung schriftlich zu vereinbaren und den Mitarbeiter über die technischen Schutzmaßnahmen zu informieren.
Informationspflichten: Was Mitarbeiter wissen müssen
Gemäß Art. 13 DSGVO müssen Arbeitgeber ihre Mitarbeiter vor Beginn der GPS-Datenerfassung umfassend informieren. Die Informationspflicht umfasst: den Namen und die Kontaktdaten des Verantwortlichen (des Arbeitgebers), die Kontaktdaten des Datenschutzbeauftragten, die Zwecke der Verarbeitung und die Rechtsgrundlage, die Kategorien der erhobenen Daten (GPS-Koordinaten, Zeitstempel, Geräte-ID), die Empfänger der Daten (etwa der Auftraggeber, wenn Anwesenheitsnachweise weitergegeben werden), die Speicherdauer, die Rechte der betroffenen Person (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch) und das Recht auf Beschwerde bei der Aufsichtsbehörde. Diese Informationen sollten in einer separaten Datenschutzinformation zusammengefasst werden, die dem Mitarbeiter vor der ersten Nutzung der GPS-Zeiterfassung ausgehändigt wird – idealerweise mit Empfangsbestätigung. In der Praxis hat sich bewährt, die Datenschutzinformation direkt in die App zu integrieren: Beim ersten Start der App wird dem Mitarbeiter die Information angezeigt, und er muss deren Kenntnisnahme bestätigen, bevor er die GPS-Funktion nutzen kann. Diese Bestätigung wird mit Zeitstempel protokolliert und dient als Nachweis der Erfüllung der Informationspflicht.
Gerichtsentscheidungen: Aktuelle Urteile zur GPS-Überwachung
Die Rechtsprechung zur GPS-Überwachung von Arbeitnehmern hat sich in den letzten Jahren weiterentwickelt und liefert wichtige Orientierungspunkte. Das Bundesarbeitsgericht hat in seinem Urteil vom 19. Februar 2015 (8 AZR 1007/13) entschieden, dass die verdeckte GPS-Überwachung eines Arbeitnehmers durch einen Detektiv grundsätzlich das allgemeine Persönlichkeitsrecht verletzt und nur bei einem auf konkreten Tatsachen beruhenden Verdacht einer schwerwiegenden Pflichtverletzung gerechtfertigt sein kann. Das Landesarbeitsgericht Baden-Württemberg hat in einem Urteil vom 25. Oktober 2002 (5 Sa 59/00) die permanente GPS-Überwachung von Außendienstmitarbeitern als unverhältnismäßig verworfen. Demgegenüber hat das Verwaltungsgericht Lüneburg die GPS-Erfassung zum Zeitpunkt des Stempelns bei einem kommunalen Entsorgungsbetrieb als verhältnismäßig eingestuft, da sie der Kontrolle der Arbeitszeiterfassung diene und keine kontinuierliche Überwachung darstelle. Die Tendenz der Rechtsprechung ist klar: Eine punktuelle GPS-Erfassung zum Zweck der Arbeitszeitdokumentation kann zulässig sein, eine kontinuierliche Überwachung der Bewegungen ist es in der Regel nicht. Arbeitgeber sollten ihre GPS-Zeiterfassung daher stets als Zeiterfassungsinstrument und nicht als Überwachungstool positionieren – sowohl rechtlich als auch kommunikativ gegenüber den Mitarbeitern.
Alternativen zur GPS-Erfassung: NFC, Geofencing und QR-Codes
Für Unternehmen, die die datenschutzrechtlichen Risiken der GPS-Erfassung minimieren möchten, bieten sich alternative Technologien an, die eine Anwesenheitsverifizierung ohne kontinuierliche Standorterfassung ermöglichen. NFC-Tags (Near Field Communication) am Einsatzort sind die datenschutzfreundlichste Lösung: Ein kleiner NFC-Aufkleber wird am Objekteingang angebracht, und der Mitarbeiter hält sein Smartphone daran, um sich ein- oder auszustempeln. Die NFC-Technologie bestätigt lediglich, dass das Smartphone physisch am Tag war – es werden keine GPS-Koordinaten erhoben. Geofencing definiert einen virtuellen Radius um einen Einsatzort (typischerweise 100 bis 500 Meter) und erlaubt das Stempeln nur innerhalb dieses Bereichs. Es wird dabei nur geprüft, ob der Mitarbeiter sich innerhalb oder außerhalb des Geofence befindet – die exakten Koordinaten werden nicht gespeichert. QR-Codes, die am Einsatzort angebracht und vom Mitarbeiter gescannt werden, bieten eine ähnlich datenschutzfreundliche Lösung wie NFC-Tags. Viele moderne Plattformen bieten alle drei Alternativen neben der GPS-Erfassung an, sodass Unternehmen je nach datenschutzrechtlicher Bewertung die am wenigsten eingriffsintensive Methode wählen können. Diese Flexibilität ist auch aus arbeitsrechtlicher Sicht wertvoll: Der Grundsatz der Verhältnismäßigkeit verlangt, dass der Arbeitgeber das mildeste gleich geeignete Mittel wählt.
Praktische Checkliste für die datenschutzkonforme GPS-Zeiterfassung
Zum Abschluss fassen wir die wichtigsten Maßnahmen für eine datenschutzkonforme GPS-Zeiterfassung in einer Checkliste zusammen. Prüfen Sie erstens die Rechtsgrundlage: Bevorzugen Sie eine Betriebsvereinbarung gegenüber individuellen Einwilligungen. Führen Sie zweitens eine Datenschutz-Folgenabschätzung durch und dokumentieren Sie das Ergebnis. Minimieren Sie drittens die Datenerhebung: GPS nur beim Stempeln, nicht kontinuierlich. Informieren Sie viertens alle betroffenen Mitarbeiter gemäß Art. 13 DSGVO vor dem ersten Einsatz der GPS-Funktion. Implementieren Sie fünftens technische Schutzmaßnahmen: Verschlüsselung, Zugriffskontrollen, automatische Löschung. Bieten Sie sechstens Alternativen zur GPS-Erfassung an: NFC oder QR-Codes für datenschutzsensible Einsatzgebiete. Regeln Sie siebtens die BYOD-Nutzung schriftlich, wenn Mitarbeiter private Smartphones verwenden. Schulen Sie achtens Vorgesetzte im datenschutzkonformen Umgang mit GPS-Daten – insbesondere im Verbot der Leistungs- und Verhaltenskontrolle. Überprüfen Sie neuntens die gewählte Software auf DSGVO-Konformität: europäische Server, AV-Vertrag, TOMs-Dokumentation. Und dokumentieren Sie zehntens alle getroffenen Maßnahmen im Verarbeitungsverzeichnis gemäß Art. 30 DSGVO. Mit diesen Maßnahmen schaffen Sie die Grundlage für eine GPS-Zeiterfassung, die sowohl den operativen Anforderungen Ihres Dienstleistungsunternehmens als auch den Datenschutzanforderungen gerecht wird.