GPS-Ortung von Firmenwagen: was DSGVO und Betriebsrat erlauben, und wie es ohne Standortdaten geht

Die GPS-Ortung von Firmenwagen ist in Deutschland erlaubt, aber nur für einen klar festgelegten Zweck, nur im erforderlichen Umfang und nach Information der Beschäftigten. Eine dauerhafte Echtzeitüberwachung oder das Anlegen von Bewegungsprofilen ist nach der Rechtsprechung in aller Regel unzulässig, und wo ein Betriebsrat besteht, muss er vor der Einführung zustimmen.

Dieser Leitfaden erklärt Schritt für Schritt die Rechtsgrundlagen nach DSGVO, die Mitbestimmung nach dem Betriebsverfassungsgesetz, die wichtigsten Entscheidungen von Gerichten und Aufsichtsbehörden und die Inhalte einer Betriebsvereinbarung. Er zeigt außerdem, dass viele Ziele der Ortung ohne Standortdaten erreichbar sind. Voltaback verfolgt genau diesen Ansatz: Kilometerstand und Verbrauch kommen aus den Herstellerdaten, der Arbeitgeber erhält nie die Standorte seiner Fahrer.

Begriffe: Ortung, Telematik, Bewegungsprofil

Bevor es um die Rechtslage geht, lohnt sich eine saubere Trennung der Begriffe, denn Datenschutzbehörden bewerten sie unterschiedlich.

• GPS-Ortung: die Bestimmung des Standorts eines Fahrzeugs über Satellitensignale, entweder punktuell (wo steht das Fahrzeug jetzt?) oder fortlaufend (welche Strecke ist es gefahren?).
• Telematik: die Übertragung von Fahrzeugdaten an ein Auswertungssystem. Dazu gehören Standort, aber auch Kilometerstand, Verbrauch, Batteriestand, Fehlermeldungen und Fahrstil. Telematik ist nicht automatisch Ortung.
• Bewegungsprofil: die Zusammenführung vieler Standortdaten über Zeit, aus der sich ablesen lässt, wann sich eine Person wo aufgehalten hat. Es ist der datenschutzrechtlich heikelste Fall.
• Personenbezug: Sobald ein Fahrzeug einer bestimmten Person zugeordnet ist, sind seine Daten personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Bei Dienstwagen mit festem Fahrer ist das praktisch immer der Fall.

Darf der Arbeitgeber Firmenwagen per GPS orten?

Ja, aber nur, wenn eine Rechtsgrundlage greift und die Ortung für den Zweck erforderlich ist. Die Rechtslage hat sich in den letzten Jahren verschoben, deshalb hier die Grundlagen im Einzelnen.

Art. 6 und Art. 88 DSGVO

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für die Ortung von Firmenwagen kommen vor allem in Betracht:

• Art. 6 Abs. 1 lit. b DSGVO: Erforderlichkeit für die Durchführung des Arbeitsvertrags, etwa bei der Einsatzsteuerung eines Außendienstes.
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse des Arbeitgebers, zum Beispiel Diebstahlschutz, abzuwägen gegen die Interessen der Beschäftigten.
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Verpflichtung, etwa bei Lenk- und Ruhezeiten im Güterverkehr.

Art. 88 DSGVO erlaubt den Mitgliedstaaten und den Betriebsparteien, für den Beschäftigtenkontext spezifischere Vorschriften zu erlassen. Eine Betriebsvereinbarung kann eine solche spezifischere Vorschrift sein. Quelle: Art. 88 DSGVO.

§ 26 BDSG nach dem EuGH-Urteil C-34/21

Lange stützten Arbeitgeber die Datenverarbeitung im Beschäftigungsverhältnis auf § 26 Abs. 1 Satz 1 BDSG. Am 30. März 2023 entschied der Europäische Gerichtshof in der Rechtssache C-34/21 zu einer fast wortgleichen hessischen Vorschrift, dass eine nationale Regel nur dann eine "spezifischere Vorschrift" nach Art. 88 DSGVO ist, wenn sie mehr regelt als die allgemeinen Grundsätze der DSGVO. Seitdem gilt § 26 Abs. 1 Satz 1 BDSG in der Literatur weitgehend nicht mehr als eigenständige Rechtsgrundlage. Quellen: EuGH, C-34/21, § 26 BDSG.

Ein eigenes Beschäftigtendatengesetz des Bundes wurde 2024 als Entwurf vorgelegt, ist aber nicht verabschiedet worden. Praktisch heißt das: Sie stützen die Ortung auf Art. 6 DSGVO oder auf eine Betriebsvereinbarung und dokumentieren die Abwägung sorgfältig.

Einwilligung: selten die richtige Grundlage

Eine Einwilligung nach Art. 7 DSGVO ist im Arbeitsverhältnis nur wirksam, wenn sie wirklich freiwillig ist und die Beschäftigten über ihr Widerrufsrecht informiert werden. Wegen des Abhängigkeitsverhältnisses ist das schwer nachzuweisen. Im Fall des VG Lüneburg (siehe unten) genügten die meisten Einwilligungserklärungen den Anforderungen nicht.

Die Erforderlichkeitsprüfung in vier Schritten

Ob eine Ortung zulässig ist, entscheidet sich an der Verhältnismäßigkeit. Aufsichtsbehörden und Gerichte prüfen sie in dieser Reihenfolge:

1. Legitimer Zweck: Was genau soll erreicht werden? "Effizienz" reicht nicht; "Disposition der Servicetechniker zum nächstgelegenen Notfall" ist ein konkreter Zweck.
2. Eignung: Ist die Ortung überhaupt geeignet, den Zweck zu erreichen?
3. Erforderlichkeit: Gibt es ein milderes, gleich wirksames Mittel? Wenn ein Kilometerstand genügt, ist eine Streckenaufzeichnung nicht erforderlich.
4. Angemessenheit: Überwiegt das Interesse des Arbeitgebers den Eingriff in die Privatsphäre, gemessen an Dauer, Tiefe und Zeitraum der Erfassung?

Die folgende Tabelle zeigt typische Zwecke und das jeweils mildere Mittel:

Was ist verboten? Rechtsprechung und Bußgelder

VG Lüneburg: dauerhafte Ortung unverhältnismäßig

Das Verwaltungsgericht Lüneburg hat am 19. März 2019 (Az. 4 A 12/19) die Anordnung der niedersächsischen Datenschutzaufsicht gegen ein Gebäudereinigungsunternehmen bestätigt. Das Unternehmen hatte 18 Firmenfahrzeuge mit GPS ausgestattet und jede gefahrene Strecke samt Zündstatus 150 Tage lang gespeichert. Die Privatnutzung wurde geduldet, die Ortung ließ sich aber nicht abschalten.

Das Gericht hielt die Überwachung nicht für erforderlich, unter anderem weil:

• die Ortung außerhalb der Arbeitszeit und am Wochenende keinem Zweck diente;
• GPS zur Diebstahlverhinderung ungeeignet war;
• die Tourenplanung in die Zukunft blickt und vergangene Standorte dafür nicht braucht;
• eine Bestätigung vor Ort als Leistungsnachweis gegenüber Kunden milder und sicherer gewesen wäre.

Quelle: Dr. Datenschutz, Besprechung VG Lüneburg 4 A 12/19.

Bußgeld in Bremen

Die Landesbeauftragte für Datenschutz Bremen hat laut ihrem 5. Jahresbericht ein Bußgeld im unteren fünfstelligen Bereich gegen ein Unternehmen verhängt, das alle Fahrzeuge seines Fuhrparks drei Jahre lang ortete. Erfasst wurden Start- und Stoppzeiten, vollständige Fahrtstrecken mit Geschwindigkeit und Parkorte, gespeichert für sechs Monate. Die Behörde sah die Dauerortung weder für die Disposition noch für die Planung als erforderlich an und wertete die lange Speicherdauer als zusätzlichen Verstoß. Quelle: WEKA, Bußgeld für GPS-Tracking.

Die Fälle zeigen: Aufsichtsbehörden greifen nicht immer zuerst zum Bußgeld, sondern ordnen häufig die Abschaltung oder Änderung an. Der Schaden entsteht dann trotzdem: Investition verloren, Vertrauen beschädigt.

Und im Arbeitsgerichtsprozess?

Ob rechtswidrig erhobene Ortungsdaten in einem Kündigungsschutzverfahren verwertet werden dürfen, entscheiden die Arbeitsgerichte im Einzelfall. Verlassen Sie sich nicht darauf. Wer Daten nur für den Fall eines Streits sammelt, hat in aller Regel keinen tragfähigen Zweck.

Zwei Fragen sollten Sie auseinanderhalten. Die erste ist die Verwertung im Prozess: Ein Datenschutzverstoß führt nach der neueren Rechtsprechung des Bundesarbeitsgerichts nicht automatisch zu einem Verwertungsverbot (BAG, 29.06.2023, 2 AZR 296/22, zu Videoaufnahmen); entscheidend ist eine Abwägung im Einzelfall, und die Übertragbarkeit auf GPS-Daten ist nicht abschließend geklärt. Die zweite Frage ist das Risiko trotz Verwertung: Selbst wenn ein Gericht die Daten zulässt, bleibt der Verstoß gegen die DSGVO bestehen und kann ein Bußgeld oder Schadensersatzansprüche der Betroffenen auslösen.

Praktisch heißt das für Abmahnung und Kündigung: Wer Daten sammelt, um später Verhalten zu sanktionieren, hat keinen Zweck, der die Erhebung trägt. Sinnvoller ist es, Daten gar nicht erst zu erheben, die man für diesen Zweck nicht verwenden darf. Die Betriebsvereinbarung sollte deshalb ausdrücklich festhalten, dass Telematikdaten nicht zur Leistungs- oder Verhaltenskontrolle verwendet werden dürfen (siehe Checkliste unten).

Bußgeldrahmen und Schadensersatz

Die DSGVO kennt zwei Bußgeldstufen. Verstöße gegen die Grundsätze der Verarbeitung (Art. 5), gegen die Rechtsgrundlagen (Art. 6) und gegen Betroffenenrechte können nach Art. 83 Abs. 5 DSGVO mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Verstöße gegen Organisationspflichten wie die Datenschutz-Folgenabschätzung (Art. 35) oder den Auftragsverarbeitungsvertrag (Art. 28) fallen unter Art. 83 Abs. 4 mit bis zu 10 Millionen Euro oder 2 %. Das sind Höchstrahmen; die Behörden bemessen die Summe nach Schwere, Dauer und Größe des Unternehmens, und der Bremer Fall oben zeigt, dass die tatsächlichen Beträge deutlich darunter liegen können.

Daneben steht der Anspruch der Betroffenen auf Schadensersatz nach Art. 82 DSGVO. Der Europäische Gerichtshof hat entschieden, dass auch ein immaterieller Schaden ersetzbar ist, ohne dass eine Erheblichkeitsschwelle gilt (EuGH, 04.05.2023, C-300/21). Das macht jede unzulässige Dauerortung zu einem Risiko mit vielen möglichen Anspruchstellern. Quellen: Art. 83 DSGVO, Art. 82 DSGVO.

Drei typische Fälle aus der Praxis

Die abstrakten Prüfschritte werden greifbarer an Beispielen, wie sie Fuhrparkleiter und Datenschutzbeauftragte regelmäßig vorlegen.

Fall 1: Servicetechniker mit Notdiensteinsätzen. Ein Unternehmen will bei einem Störfall den nächstgelegenen Techniker schicken. Hier kann eine punktuelle Ortung während der Bereitschafts- und Arbeitszeit erforderlich sein. Nicht erforderlich ist es, die gefahrenen Strecken der letzten Wochen zu speichern: Für die Disposition zählt nur der aktuelle Standort. Eine kurze Speicherdauer und ein klarer Zugriffskreis (nur die Disposition, nicht die Vorgesetzten) sind hier der Schlüssel.

Fall 2: Dienstwagen für Führungskräfte mit Privatnutzung. Das Unternehmen möchte Kilometer für den Leasingvertrag, Wartungstermine und die Erstattung des Ladestroms. Für keinen dieser Zwecke ist ein Standort nötig. Eine Ortung wäre hier schwer zu rechtfertigen; Kilometerstand und Ladedaten aus dem Fahrzeug genügen.

Fall 3: Diebstahlschutz für hochwertige Fahrzeuge. Ein Unternehmen mit teuren Transportern möchte gestohlene Fahrzeuge wiederfinden. Zulässig ist meist eine Lösung, bei der die Ortung erst nach einer Diebstahlmeldung aktiviert wird, nicht eine permanente Aufzeichnung "für den Fall der Fälle". Das VG Lüneburg hat eine Dauerortung als für den Diebstahlschutz ungeeignet angesehen.

Fall 4: Elektro-Dienstwagen mit Erstattung des Heimladestroms. Das Unternehmen will wissen, wie viel Strom ein Fahrer zuhause lädt, um ihn steuerfrei zu erstatten. Dafür braucht es Ladedatum, kWh und Fahrzeug, aber keinen Ort: Zuhause ist keine Adresse in den Daten, sondern ein Ladetyp. Die Erfassung ist damit auf das beschränkt, was die Abrechnung braucht, und die Rechtsgrundlage (Erfüllung der Erstattungspflicht und steuerliche Nachweispflicht) ist klar benennbar. Wie das im Detail aussieht, zeigt unser Leitfaden zur Abrechnung des Heimladens.

Entscheidungsregel für alle Fälle: Fragen Sie nicht, ob Ortung erlaubt ist, sondern welche Frage Sie beantworten wollen. Kommt die Antwort ohne Standort aus, erheben Sie keinen.

Mitbestimmung: die Rolle des Betriebsrats

§ 87 Abs. 1 Nr. 6 BetrVG

Der Betriebsrat hat ein zwingendes Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt es, dass die Einrichtung dazu objektiv geeignet ist; die Absicht des Arbeitgebers spielt keine Rolle (zum Beispiel BAG, 13.12.2016, 1 ABR 7/15). Quelle: § 87 BetrVG.

Für Fuhrparks bedeutet das: GPS-Boxen, Telematik-Apps, Software, die Fahrzeugdaten ausliest, und Ladedaten-Software fallen darunter. Führt der Arbeitgeber ein solches System ohne Zustimmung ein, kann der Betriebsrat die Nutzung im Wege der einstweiligen Verfügung untersagen lassen. Weitere Hinweise: WEKA, Mitbestimmung bei GPS.

Und ohne Betriebsrat?

Ohne Betriebsrat entfällt die Mitbestimmung, die DSGVO gilt aber vollständig. Die Erforderlichkeitsprüfung, die Information der Beschäftigten und die Dokumentation bleiben Pflicht.

Privatnutzung: was gilt nach Feierabend?

Viele Dienstwagen dürfen privat genutzt werden. Für diese Zeit gibt es in der Regel keinen betrieblichen Zweck, der eine Ortung rechtfertigt. Bewährt haben sich drei Maßnahmen:

• Privat-Schalter: Der Fahrer kann die Ortung für private Fahrten selbst deaktivieren. Erfasst werden dann nur Kilometer, nicht Strecken.
• Zeitliche Begrenzung: Ortung nur innerhalb der vereinbarten Arbeitszeit, automatisch abgeschaltet am Abend, am Wochenende und im Urlaub.
• Getrennte Datenwege: Kilometerstände für die Abrechnung, aber keine Standorte.

Der Fall aus Lüneburg zeigt, wohin es führt, wenn Privatnutzung geduldet wird, die Ortung aber durchläuft.

Regeln Sie die Privatnutzung außerdem schriftlich in der Dienstwagenrichtlinie und nicht nur in der Technik: Wer darf das Fahrzeug privat nutzen, gilt das auch für Familienangehörige, und was passiert, wenn der Privat-Schalter nicht genutzt wird? Eine klare Regel verhindert, dass Daten aus privaten Fahrten ungewollt beim Arbeitgeber landen, und erspart späteren Streit über die Verwertbarkeit.

Checkliste: Was gehört in eine Betriebsvereinbarung zur Telematik?

Eine Betriebsvereinbarung schafft Rechtssicherheit für beide Seiten. Diese Punkte sollte sie mindestens regeln:

1. Gegenstand und Geltungsbereich: welche Fahrzeuge, welche Systeme, welche Beschäftigten.
2. Zwecke, abschließend aufgezählt: zum Beispiel Abrechnung des Ladestroms, Wartungsplanung, Kilometererfassung für Leasingverträge.
3. Datenkategorien: welche Daten erhoben werden und, ebenso wichtig, welche nicht (zum Beispiel "keine Standortdaten").
4. Zugriffsrechte: wer welche Daten sieht, getrennt nach Fuhrpark, Personalabteilung und Vorgesetzten.
5. Auswertungsverbot: keine Verwendung zur Leistungs- oder Verhaltenskontrolle einzelner Beschäftigter.
6. Löschfristen: konkrete Fristen je Datenkategorie.
7. Privatnutzung: Privat-Schalter oder Abschaltung außerhalb der Arbeitszeit.
8. Information der Beschäftigten: Inhalt und Form der Information nach Art. 13 DSGVO.
9. Kontrollrechte des Betriebsrats: Einsicht in Konfiguration und Protokolle.
10. Änderungen: Neue Funktionen nur nach erneuter Zustimmung.

Je weniger Daten das System erhebt, desto kürzer und schneller ist die Vereinbarung verhandelt. Ein System ohne Standortdaten nimmt dem Kernkonflikt die Grundlage.

Datenschutz-Folgenabschätzung, AV-Vertrag und Löschfristen

Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Eine systematische Ortung von Beschäftigten ist ein typischer Fall, in dem eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist: Die Verarbeitung ist umfangreich, betrifft abhängig Beschäftigte und kann ein Bewegungsprofil erzeugen. Die DSFA beschreibt die Verarbeitung, prüft Notwendigkeit und Verhältnismäßigkeit, bewertet die Risiken und legt Gegenmaßnahmen fest. Binden Sie Ihren betrieblichen Datenschutzbeauftragten früh ein. Quelle: Art. 35 DSGVO.

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Verarbeitet ein externer Anbieter die Fahrzeugdaten in Ihrem Auftrag, brauchen Sie einen Vertrag zur Auftragsverarbeitung. Er regelt Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragnehmer und Löschung. Achten Sie auf nachprüfbare Sicherheitsstandards wie eine Zertifizierung nach ISO 27001. Quelle: Art. 28 DSGVO.

Wie lange dürfen Ortungsdaten gespeichert werden?

Eine feste gesetzliche Frist gibt es nicht. Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verlangt, Daten zu löschen, sobald der Zweck erfüllt ist. Für die Disposition reichen meist Stunden oder wenige Tage. Sowohl die 150 Tage in Lüneburg als auch die sechs Monate in Bremen wurden beanstandet.

Einführung eines Telematiksystems: der Ablauf in sechs Schritten

Ob Sie ein Ortungssystem oder eine Telematik ohne Standortdaten einführen: Der Ablauf ist ähnlich, nur der Aufwand unterscheidet sich. So gehen Sie vor.

1. Zweck festlegen und dokumentieren. Schreiben Sie auf, welche Fragen das System beantworten soll und welche Daten dafür nötig sind. Streichen Sie jede Datenkategorie, die keinem Zweck dient.
2. Verzeichnis der Verarbeitungstätigkeiten ergänzen. Nach Art. 30 DSGVO gehört die neue Verarbeitung mit Zweck, Datenkategorien, Empfängern und Löschfristen in Ihr Verzeichnis.
3. Risiko bewerten. Prüfen Sie mit Ihrem Datenschutzbeauftragten, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und führen Sie sie gegebenenfalls durch.
4. Betriebsrat beteiligen. Legen Sie dem Betriebsrat das System, die Konfiguration und den Entwurf der Betriebsvereinbarung vor, bevor Sie es in Betrieb nehmen. Ein Pilot ohne Zustimmung ist bereits eine Einführung.
5. Beschäftigte informieren. Jeder Fahrer erhält vor dem Start eine Information nach Art. 13 DSGVO.
6. Betrieb überprüfen. Kontrollieren Sie regelmäßig, ob Zugriffsrechte und Löschfristen eingehalten werden und ob neue Funktionen des Anbieters ungewollt zusätzliche Daten erheben.

Was muss die Information der Fahrer enthalten?

Die Information nach Art. 13 DSGVO ist kein Formalakt. Sie sollte in verständlicher Sprache mindestens enthalten:

• Name und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten;
• die Zwecke der Verarbeitung und die Rechtsgrundlage;
• die erhobenen Datenkategorien, und ausdrücklich, ob Standortdaten erhoben werden;
• die Empfänger, einschließlich des Telematikanbieters als Auftragsverarbeiter;
• die Speicherdauer je Datenkategorie;
• die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch sowie das Beschwerderecht bei der Landesdatenschutzbehörde.

Was bedeutet das für Ihr Unternehmen? Mit einem System, das Standorte erfasst, durchlaufen Sie alle sechs Schritte mit hohem Aufwand und offenem Ausgang. Mit einem System, das keine Standortdaten an den Arbeitgeber übermittelt, bleiben die Schritte dieselben, aber jeder einzelne wird einfacher: weniger Risiken in der Folgenabschätzung, weniger Konfliktstoff mit dem Betriebsrat, eine kürzere Information an die Fahrer.

Rechte der Fahrer und wie Sie darauf reagieren

Beschäftigte haben gegenüber dem Arbeitgeber die Rechte aus Kapitel III der DSGVO. Für die Praxis sind fünf wichtig:

Ein System, das keine Standortdaten an den Arbeitgeber liefert, macht diese Pflichten leichter erfüllbar: Eine Auskunft umfasst Kilometerstände und Ladedaten, aber keine Bewegungsprofile, und die Löschfristen lassen sich einfach einhalten. Wo Standortdaten gespeichert werden, sollten Sie einen internen Ablauf für Auskunftsersuchen festlegen, bevor das erste eingeht.

Technische und organisatorische Maßnahmen: Zugriff und Sicherheit

Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter ein dem Risiko angemessenes Schutzniveau sicherstellen. Für Telematikdaten bedeutet das konkret:

1. Rollen und Rechte: Fuhrpark, Personalabteilung und Vorgesetzte sehen unterschiedliche Daten. Standortdaten, falls sie erhoben werden, sind nur einem kleinen, benannten Kreis zugänglich.
2. Protokollierung: Zugriffe auf personenbezogene Auswertungen werden protokolliert und stichprobenartig geprüft.
3. Verschlüsselung: Übertragung und Speicherung sind verschlüsselt; Schlüssel und Zugangsdaten werden getrennt verwaltet.
4. Löschkonzept: Automatische Löschung nach Fristablauf, nicht manuelle Pflege.
5. Nachweis: Ein anerkannter Standard wie ISO 27001 und ein geprüfter Auftragsverarbeitungsvertrag erleichtern den Nachweis gegenüber Behörden und Betriebsrat.

Der Grundsatz Datenschutz durch Technikgestaltung (Art. 25 DSGVO) geht noch einen Schritt weiter: Die beste Schutzmaßnahme ist, Daten gar nicht erst zu erheben. Ein System, das nur Kilometerstand und Ladedaten verarbeitet, muss Standortdaten weder verschlüsseln noch löschen noch gegen Missbrauch absichern, weil es sie nicht gibt.

Praxisfragen aus dem Fuhrparkalltag

Fahrzeugrückgabe und Fahrerwechsel. Wird ein Fahrzeug zurückgegeben, verkauft oder einem anderen Fahrer übergeben, müssen die personenbezogenen Daten des Vorfahrers gelöscht oder vom Fahrzeug getrennt werden. Das gilt für Boxen im Fahrzeug ebenso wie für die Verknüpfung eines vernetzten Fahrzeugs mit einem Konto. Nehmen Sie diesen Schritt in die Übergabe-Checkliste für Fahrzeuge auf.

Bußgeldbescheide und Fahrerermittlung. Kommt ein Anhörungsbogen für einen Verkehrsverstoß, ist der Halter zur Fahrerermittlung gefragt. Das ist ein einzelner, konkreter Anlass, der nicht den Zugriff auf Bewegungsprofile aller Fahrer rechtfertigt. Üblich ist die Auskunft aus der Fahrzeugnutzung (zum Beispiel Fahrtenbuch oder Fahrzeugzuordnung), nicht eine Auswertung historischer Standortdaten.

Zugriff des Leasinggebers. Viele Leasinggeber bieten Zugriff auf Fahrzeugdaten an, etwa für Kilometerstände. Prüfen Sie im Leasingvertrag, welche Daten an wen gehen, und regeln Sie dies in der Information an die Fahrer. Eine zusätzliche Datenweitergabe ohne Rechtsgrundlage ist ein eigener Verstoß.

Notfälle und Diebstahl. Legen Sie vorab fest, wer im Diebstahlfall die Ortung aktivieren darf, wie der Vorgang dokumentiert wird und wann die Daten gelöscht werden. Ein Vier-Augen-Prinzip (Fuhrpark und Datenschutzbeauftragter) schafft Nachvollziehbarkeit.

Neue Funktionen des Anbieters. Telematikanbieter erweitern ihre Software laufend. Vereinbaren Sie im Vertrag, dass neue Datenkategorien nur nach Ihrer Freigabe aktiviert werden, und sprechen Sie sie mit dem Betriebsrat ab. Andernfalls kann eine Betriebsvereinbarung, die heute lückenlos ist, nach einem Software-Update nicht mehr zur Praxis passen.

Grenzüberschreitende Fahrten. Fahrzeuge, die im Ausland unterwegs sind, ändern an der DSGVO nichts: Sie gilt weiter, solange der Verantwortliche in der EU sitzt. Nationale Besonderheiten anderer Länder prüfen Sie nur, wenn Beschäftigte dort ihren Arbeitsort haben.

Welche Technik: Box, App oder Herstellerdaten?

Der dritte Weg ist für die meisten Fuhrparkzwecke der datensparsamste: Die Daten liegen ohnehin im Fahrzeug vor, und der Anbieter kann festlegen, welche davon überhaupt an den Arbeitgeber gehen.

Ortung und elektronisches Fahrtenbuch: was das Finanzamt verlangt

Ein häufiger Grund für den Wunsch nach GPS ist das Fahrtenbuch. Wer die Privatnutzung nach der Fahrtenbuchmethode versteuert, braucht ein ordnungsgemäßes Fahrtenbuch: zeitnah geführt, geschlossen und mit Angaben zu Datum, Kilometerständen am Anfang und Ende jeder Fahrt, Ziel, Zweck und aufgesuchten Geschäftspartnern. Elektronische Fahrtenbücher werden anerkannt, wenn nachträgliche Änderungen ausgeschlossen oder dokumentiert werden. Maßgeblich ist das BMF-Schreiben vom 18.11.2009 (IV C 6 - S 2177/07/10004).

Daraus folgt zweierlei. Erstens: Ein Fahrtenbuch braucht Ziele und Zwecke, aber keine lückenlose Streckenaufzeichnung; die Kilometerstände und der Fahrtzweck sind entscheidend. Zweitens: Wer ein elektronisches Fahrtenbuch einführt, das über GPS Strecken aufzeichnet, sollte die Datenschutzregeln aus diesem Beitrag einhalten: Zweck begrenzen, Privat-Schalter vorsehen, Betriebsrat beteiligen. Für viele Beschäftigte ist außerdem die 1-%-Regel die einfachere Wahl. Was ein Fahrtenbuch leisten muss und wann es sich lohnt, erklären wir im Beitrag zum Fahrtenbuch für den Firmenwagen.

Was kostet die Ortung wirklich?

Die Lizenzgebühr ist nur ein Teil der Kosten. Eine ehrliche Rechnung enthält diese Posten:

• Hardware und Einbau je Fahrzeug, bei jedem Fahrzeugwechsel erneut;
• Laufende Gebühren für Daten und Plattform;
• Interner Aufwand für Betriebsvereinbarung, Datenschutz-Folgenabschätzung, Information der Beschäftigten und Auskunftsersuchen;
• Risikokosten bei unzulässiger Nutzung (Bußgeld, Schadensersatz, Konflikt mit dem Betriebsrat).

Ein Rechenbeispiel mit angenommenen Werten, die Sie durch Ihre Angebote ersetzen: 100 Fahrzeuge, Einbau 120 € je Fahrzeug einmalig, Plattform 8 € je Fahrzeug und Monat, Laufzeit 4 Jahre. Das ergibt 100 × (120 € + 8 € × 48) = 50.400 €, ohne internen Aufwand. Ein Ansatz über Herstellerdaten ohne Box spart die Hardware- und Einbauposition und verschlankt den Aufwand für Datenschutz und Betriebsrat. Wenn sich die Ziele (Kilometer, Verbrauch, Wartung, Ladekosten) ohne Standort erreichen lassen, ist die günstigere Lösung zugleich die rechtlich einfachere.

Zugriff auf Fahrzeugdaten: Data Act und Herstellerschnittstellen

Seit dem 12. September 2025 gilt die EU-Verordnung 2023/2854 (Data Act). Sie räumt Nutzern vernetzter Produkte, auch Fahrzeugen, Zugang zu den Daten ein, die das Produkt erzeugt, und erlaubt die Weitergabe an Dritte nach Wahl des Nutzers. Für Fuhrparks heißt das: Daten aus dem Fahrzeug stehen nicht mehr allein dem Hersteller zur Verfügung. Das ändert aber nichts an den Anforderungen der DSGVO, sobald die Daten auf Personen beziehbar sind. Ein System, das auf Herstellerdaten beruht, braucht deshalb weiter einen Zweck, eine Rechtsgrundlage und die Beteiligung des Betriebsrats; es kann aber so konfiguriert werden, dass bestimmte Datenkategorien, vor allem der Standort, den Arbeitgeber nie erreichen. Quelle: Verordnung (EU) 2023/2854.

Kilometer und Verbrauch ohne Standortdaten

Die meisten Fragen, die ein Fuhrparkleiter an die Telematik hat, lassen sich ohne einen einzigen Standort beantworten: Wie viele Kilometer ist das Fahrzeug gefahren? Wie hoch ist der Verbrauch? Wann ist die nächste Inspektion fällig? Wie viel Strom wurde zu Hause geladen?

Die Telematik von Voltaback arbeitet genau so:

• Kilometerstand, Verbrauch, Fahrstil, Warnmeldungen und Wartungstermine kommen aus den Herstellerdaten, ohne Box, für mehr als 48 angebundene Automarken.
• Der Arbeitgeber erhält nie Standortdaten der Fahrer. Damit entfällt der Kern der Diskussion um Bewegungsprofile.
• Voltaback ist seit dem 2. Dezember 2025 nach ISO 27001 zertifiziert und verarbeitet die Daten DSGVO-konform.

Für die IT-Leitung und den Datenschutzbeauftragten haben wir die technischen Details auf der Seite für IT-Verantwortliche zusammengefasst. Wie die Kilometererfassung im Alltag funktioniert, zeigt unser Beitrag zur Kilometererfassung im Fuhrpark. Wie Sie Verbrauch und Fahrweise auswerten, ohne Einzelne zu kontrollieren, steht im Beitrag zur Fahrstil-Analyse, und wie Warnmeldungen die Werkstattplanung erleichtern, im Beitrag zu Wartungswarnungen im Fuhrpark.

Wenn Sie zusätzlich ein Fahrtenbuch für die Versteuerung führen, lesen Sie unseren Beitrag zum Fahrtenbuch und den Anforderungen des Finanzamts: Dort erklären wir, was Kilometerdaten belegen können und was nicht.

Fuhrparkdaten nutzen, ohne Ihre Fahrer zu orten

Die Frage ist selten, ob Sie Ortungsdaten haben dürfen, sondern ob Sie sie überhaupt brauchen. Für Kilometer, Verbrauch, Wartung und Ladekosten lautet die Antwort fast immer: nein. Ein System ohne Standortdaten spart Ihnen die schwierigste Verhandlung mit dem Betriebsrat und das größte Datenschutzrisiko.

Möchten Sie sehen, welche Daten Ihre Fahrzeuge liefern und welche bei Ihnen ankommen? Sprechen Sie mit unserem Telematik-Team.