Die Planung eines mobilen Teams erfordert nicht automatisch eine ganztägige Live-Ortung. Nach der DSGVO müssen Sie die Kontrolle auf Ihren konkreten Bedarf abstimmen.
Warum fallen auch Live-Standortdaten unter die DSGVO?
Auch eine Live-Abfrage ohne Speicherung ist eine Verarbeitung personenbezogener Daten, wenn der Standort einer identifizierbaren beschäftigten Person zugeordnet werden kann. Wählen Sie bewusst zwischen einer Statusmeldung, einem einmaligen Standort und fortlaufenden Standortdaten.
Wann kann eine Standortkontrolle gerechtfertigt sein?
Für einen privaten Arbeitgeber können berechtigte Interessen nach Artikel 6 Absatz 1 Buchstabe f DSGVO eine Rechtsgrundlage bieten. Beantworten Sie vorab drei Fragen:
- Welches Interesse? Benennen Sie Ihren Bedarf: dringende Aufträge, ein nachweisbares Sicherheitsrisiko oder Leistungskontrolle. Bloße Neugier genügt nicht.
- Ist der Standort erforderlich? Vergleichen Sie mit Einsatzplanung, Telefonabsprachen oder auftragsbezogener Erfassung.
- Überwiegt Ihr Interesse die Auswirkungen? Bewerten Sie Häufigkeit, Genauigkeit, Dauer, Zugriff und Schutz privater Zeiten.
Dokumentieren Sie die Abwägung. Die Beschränkung auf Arbeitszeiten genügt nicht; eine allgemein zulässige Kontrollhäufigkeit gibt es nicht.
Warum ist eine Einwilligung meist keine Lösung?
Laut EDSA können Beschäftigte häufig nicht frei ablehnen. Eine Einwilligung ist daher meist ungeeignet für Kontrollen. Die Freigabe selbst zu starten belegt keine freie Wahl; eine unterschriebene Empfangsbestätigung Ihrer Richtlinie ist keine Einwilligung.
Warum sind Privathandys und Chat-Apps besonders sensibel?
Ein Privathandy begleitet seine Besitzer auch in privaten Momenten. Die belgische Datenschutzbehörde (GBA/APD) warnt deshalb vor der Geolokalisierung privater Geräte.
Eine Personalgruppe kann unnötigen Empfängern Zugriff geben. Laut WhatsApp-Hilfebereich bleibt außerdem der zuletzt aktualisierte Standort nach dem Abschalten über die Nachricht abrufbar. Das ist kein vollständiger Routenverlauf, doch das Abschalten löscht nicht alle Informationen.
Stellen Sie möglichst ein Arbeitsmittel oder eine Alternative ohne Privathandy bereit. Auch ein Diensthandy oder eine professionelle App macht übermäßige Kontrolle nicht rechtmäßig.
Was zeigen Entscheidungen der belgischen Datenschutzbehörde?
In der Entscheidung 61/2025 vom 25. März 2025 akzeptierte die Behörde berechtigte Interessen für bestimmte Verarbeitungen von Standortdaten bei Außendiensttechnikern. Die erforderlichen Daten und der begrenzte Zugriff während tatsächlicher Arbeitszeiten spielten dabei eine Rolle. Dennoch stellte sie Verstöße fest: Die tatsächliche Arbeitskontrolle war nicht ausreichend angekündigt worden, und die Informationen zur Verarbeitung waren unzureichend.
Die Behörde kritisierte auch die fortlaufende Erfassung durch den Anbieter. Mangels ausreichender Erkenntnisse zur tatsächlichen Erfassung stellte sie in diesem Punkt keinen Verstoß fest. Sie müssen daher sowohl die Erhebung als auch die Abfrage begrenzen. Nur zu versprechen, nicht ständig nachzusehen, reicht nicht.
In der Entscheidung 15/2023 vom 21. Februar 2023 betonte die Behörde unter anderem dienstliche Fahrten während der Arbeitszeit, erforderliche Daten, beschränkte Zugriffsrechte und Abfragen aus einem konkreten Anlass. Der Fall betraf kommunale Dienstfahrzeuge und eine mögliche Rechtsgrundlage im öffentlichen Interesse. Ein privater Arbeitgeber kann diese Grundlage nicht einfach übernehmen.
Beide Fälle betrafen Fahrzeuge. Sie erlauben keine pauschale Live-Ortung über Privathandys. Die allgemeinen Hinweise der Behörde bewerten eine dauerhafte Kontrolle mit systematischer Abfrage grundsätzlich als unverhältnismäßig.
Welche weniger eingreifenden Lösungen können Sie prüfen?
Gehen Sie von den Informationen aus, die Sie für Ihren tatsächlichen Zweck benötigen:
| Sie möchten wissen | Prüfen Sie zuerst |
|---|---|
| Hat ein Auftrag begonnen oder ist er abgeschlossen? | Eine Ankunfts- und Abschlussmeldung mit der Auftragsnummer. |
| Wie viel Zeit wurde für einen Auftrag benötigt? | Eine Erfassung von Beginn und Ende mit der Möglichkeit, Fehler zu erläutern. |
| Wer kann einen dringenden Auftrag übernehmen? | Verfügbarkeit, Einsatzplan und bei Bedarf einen einmaligen aktuellen Standort. |
| Wie schützen Sie eine allein arbeitende Person? | Einen vereinbarten Kontakt oder eine Alarmfunktion; Standortfreigabe nur, soweit das konkrete Risiko sie erfordert. |
Auch diese Alternativen müssen erforderlich sein. Verhindern Sie, dass eine Ankunftsmeldung unbemerkt eine dauerhafte Hintergrundaufzeichnung aktiviert.
Wie führen Sie ein verhältnismäßiges Verfahren ein?
1. Beschreiben Sie Zweck und Verwendung. Machen Sie deutlich, ob Daten für Planung, Abrechnung, Sicherheit oder Leistungskontrolle dienen. Bezeichnen Sie etwas nicht nur als “Planung”, wenn Sie damit auch Arbeitszeiten kontrollieren. Eine spätere andere Nutzung erfordert eine erneute Prüfung und vorherige Information.
2. Begrenzen Sie die Erfassung technisch. Wählen Sie die nötigen Zeitpunkte und die erforderliche Genauigkeit. Verhindern Sie die Erfassung von Pausen, privaten Wegen und Zeiten außerhalb der betreffenden Arbeit. Testen Sie auch die Datenerhebung des Anbieters im Hintergrund. Eine eigene Abschaltmöglichkeit für Beschäftigte hilft; machen Sie sie nicht allein für korrekte Einstellungen verantwortlich.
3. Beschränken und sichern Sie den Zugriff. Legen Sie fest, wer die Informationen für seine Aufgaben braucht. Verwenden Sie individuelle Konten, sichern Sie den Zugang und verhindern Sie unnötige Verbreitung in Gruppenchats. Prüfen Sie den Anbieter und schließen Sie erforderlichenfalls einen Auftragsverarbeitungsvertrag.
4. Legen Sie konkrete Speicherfristen fest. Bewahren Sie einen aktuellen Standort nicht automatisch so lange auf wie Arbeitszeitnachweise. Es gibt keine allgemeine Standardfrist für sämtliche Standortdaten. Legen Sie je Zweck die Löschung fest, berücksichtigen Sie Kopien und Backups und prüfen Sie die Umsetzung. Ein konkreter Streitfall kann die Aufbewahrung relevanter Daten rechtfertigen, aber kein unbegrenztes Archiv aller Wege.
5. Informieren und beteiligen Sie vorab. Erklären Sie verständlich, wer verantwortlich ist, welche Daten Sie erheben, warum, auf welcher Rechtsgrundlage, wer Zugriff erhält, wie lange Sie speichern und welche Rechte Beschäftigte haben. Nennen Sie etwaige Übermittlungen außerhalb des EWR und die entsprechenden Garantien. Beachten Sie die geltenden nationalen Regeln zur Arbeitnehmerbeteiligung und zu betrieblichen Arbeitsregelungen. Ein allgemeiner Satz wie “GPS-Kontrollen sind möglich” genügt nicht.
6. Regeln Sie Fragen und Widersprüche. Bei berechtigten Interessen können Beschäftigte aus Gründen ihrer besonderen Situation widersprechen. Prüfen Sie jeden Fall nach Artikel 21 DSGVO. Sie müssen die Verarbeitung einstellen, sofern Sie nicht die erforderlichen zwingenden schutzwürdigen Gründe oder die Notwendigkeit für Rechtsansprüche nachweisen können. Ermöglichen Sie auch die Berichtigung falscher Daten.
7. Dokumentieren und überprüfen Sie. Nehmen Sie die regelmäßige Verarbeitung in Ihr Verzeichnis von Verarbeitungstätigkeiten auf. Prüfen Sie vor Beginn, ob eine Datenschutz-Folgenabschätzung (DSFA) vorgeschrieben ist. Das gilt bei voraussichtlich hohem Risiko oder wenn die Verarbeitung auf einer verpflichtenden Liste steht. Die belgische Liste nennt unter anderem die systematische Verarbeitung von Standortdaten, die nicht unbedingt für eine von der betroffenen Person angeforderte Dienstleistung erforderlich ist. Fällt Ihr System darunter, führen Sie vorab eine DSFA durch, auch bei einem kleinen Team. Prüfen Sie nach der Einführung, ob die Daten noch nötig sind und ob Abschalten und Löschen funktionieren.
Was gilt bei einer gesetzlichen Pflicht zur Anwesenheitserfassung?
Prüfen Sie genau, welche Erfassung das Gesetz verlangt. In Belgien kann Check In and Out at Work für bestimmte Reinigungstätigkeiten einschließlich Fensterreinigung gelten, abhängig von den jeweiligen Voraussetzungen und Schwellenwerten. Erfasst werden Beginn, Ende und Ruhepausen. Diese Pflicht rechtfertigt für sich genommen keine fortlaufende Live-Überwachung durch den Arbeitgeber.
Was tun, wenn bereits alle den ganzen Tag ihren Live-Standort teilen?
Setzen Sie eine nicht zu rechtfertigende pauschale Anweisung aus. Erfassen Sie Empfänger und gespeicherte Daten und bestimmen Sie, was rechtmäßig aufzubewahren oder zu löschen ist. Vervollständigen Sie Prüfung, Einstellungen und Personalinformationen vor Einführung eines begrenzteren Verfahrens.
Was sollten Sie in Ihrem GDPRWise-Dossier festhalten?
Wenn Sie Standortdaten Beschäftigter nutzen, ergänzen Sie den Personalprozess Employee geolocation during working hours. In der englischen Oberfläche: My Staff Dossier → Processes, bei Bedarf über More processes…. Beachten Sie die Anleitung zur Prozessdokumentation.
- General: Richten Sie Beschreibung und Zweck an Ihrem eigenen Prozess und Zweck aus, etwa einem einmaligen Standort für einen dringenden Einsatz. Prüfen Sie die Rechtsgrundlage; dokumentieren Sie bei berechtigten Interessen Ihre Abwägung. Muss unser Standardprozess für Geolokalisierung zu stark angepasst werden, legen Sie über More processes… einen eigenen Prozess an.
- Data items: Wählen Sie nur notwendige Daten, etwa die Identifikation der beschäftigten Person, Standort und Zeitpunkt. Entfernen Sie überflüssige Vorschläge und klicken Sie auf Confirm Data items. Dokumentation und tatsächliche Verarbeitung müssen übereinstimmen.
- Regelungen: Bearbeiten Sie den Prozess und halten Sie mit der Funktion Add note die getroffenen Regelungen fest: Ihre Bewertung der Tools und Maßnahmen, die Häufigkeit, wer Zugriff hat und alle weiteren Regelungen zum Schutz der Privatsphäre Ihrer Beschäftigten, etwa Genauigkeit, Speicherfrist und Abschaltung während privater Zeiten. Stellen Sie auch die Standort-App entsprechend ein.
- Systeme und Dokumente: Tragen Sie die App unter Systems ein und prüfen Sie unter GDPR Documents das Personalverzeichnis und die Datenschutzerklärung für Beschäftigte. Das Hinzufügen ersetzt weder die Erforderlichkeitsprüfung noch eine vorgeschriebene DSFA.
Ermitteln Sie mit GDPRWise Ihre Datenschutzpflichten und erfahren Sie, welche Regelungen und Dokumente Ihre Organisation benötigt.