Die Grundregel: Verhältnismäßigkeit
Die GPS-Ortung von Mitarbeitern ist nach der DSGVO zulässig — aber nur, wenn sie zu einem legitimen geschäftlichen Zweck verhältnismäßig ist. Lieferungen koordinieren, Serviceeinsätze bestätigen, die Sicherheit der Mitarbeitenden gewährleisten: alles gültig. Jeden Schritt einer Person „nur für den Fall“ verfolgen: nicht gültig.
Vier Dinge, die Sie tun müssen
- Definieren Sie den Zweck: Routenoptimierung, Sicherheit, Servicebestätigung — und halten Sie ihn schriftlich fest
- Beschränken Sie die Ortung ausschließlich auf die Arbeitszeit: Mitarbeitende müssen GPS in der Freizeit abschalten können
- Informieren Sie Ihr Team klar: was erfasst wird, warum, wer es sehen kann, wie lange es aufbewahrt wird
- Dokumentieren Sie es: nehmen Sie die GPS-Nutzung in Ihre Arbeitsordnung auf und führen Sie eine Datenschutz-Folgenabschätzung durch, wenn die Ortung großflächig oder strukturell ist
Was Sie nicht tun dürfen
- Rund um die Uhr orten — eine Ortung außerhalb der Arbeitszeit verletzt die Verhältnismäßigkeit der DSGVO
- GPS-Daten für automatische Sanktionen nutzen (z. B. Geschwindigkeitswarnungen, die Disziplinarmaßnahmen auslösen) ohne vorherige Offenlegung
- Standortdaten länger als nötig speichern — die CNIL empfiehlt maximal zwei Monate
- Das Informieren der Mitarbeitenden auslassen — eine nicht offengelegte Ortung kann Beweise in jeder späteren Streitigkeit unwirksam machen
Branchenspezifische Hinweise
Für Außendienst und Logistik wird GPS erwartet und ist leicht zu rechtfertigen. Für Reinigung und Wartung ist die Routenplanung durch Vorgesetzte in Ordnung — eine ständige Ortung pro Mitarbeitendem ist schwerer zu rechtfertigen. Im Baugewerbe ist GPS zum Schutz von Fahrzeugen und Maschinen üblich; es sollte kein bereits genutztes Anwesenheitserfassungssystem duplizieren.
Wie Done-it das handhabt
Done-it aktiviert GPS nur beim Check-in, Check-out und während aktiver dienstlicher Fahrten. Es gibt keine Ortung rund um die Uhr, keine Überwachung während Pausen oder in der Freizeit. Die Daten werden in der EU gehostet, mit Verschlüsselung und einem eigenen Datenschutzbeauftragten — bereit für jede Datenschutzprüfung.
