Rechtsrahmen
Fahrzeugdaten werden zu Beschäftigtendaten, sobald Personen erkennbar sind.
DSGVO und § 26 BDSG verlangen Zweckbindung, Datenminimierung, Transparenz und eine tragfähige Rechtsgrundlage. Auch eine Fahrzeug-ID kann personenbezogen sein, wenn sie im Betrieb einer konkreten Person zugeordnet werden kann.
Eine Beschäftigteneinwilligung ist wegen des Abhängigkeitsverhältnisses nicht automatisch freiwillig. Eine flächendeckende Überwachung lässt sich deshalb regelmäßig nicht allein mit einer Unterschrift legitimieren.
Zweck und Umfang
Diebstahlschutz rechtfertigt nicht automatisch eine laufende Leistungsanalyse.
Jeder Zweck ist einzeln zu beschreiben: Welche konkrete Aufgabe wird gelöst? Welche Datenfelder sind dafür erforderlich? Gibt es eine weniger eingriffsintensive Alternative? Wer darf wann auswerten?
Eine spätere Zweckänderung darf nicht stillschweigend erfolgen. Aus einem System zur Fahrzeugdisposition wird nicht automatisch ein Instrument zur Bewertung von Pausen, Geschwindigkeit oder Arbeitsleistung.
- Nicht benötigte Datenfelder und Auswertungen technisch deaktivieren.
- Live-Ortung, Historie und Ereignisdaten getrennt beurteilen.
- Zugriffe rollenbasiert vergeben und protokollieren.
- Beschäftigte vor Beginn transparent nach Artikel 13 DSGVO informieren.
- Auftragsverarbeitung und mögliche Drittlandübermittlung prüfen.
Privatmodus & Löschung
Privatfahrten und Pausenzeiten brauchen einen wirksamen Schutz.
Die Datenschutzaufsicht Rheinland-Pfalz fordert bei erlaubter Privatnutzung, dass die Ortung deaktiviert werden kann. Der Privatmodus muss verständlich, praktisch erreichbar und regelmäßig getestet sein.
Eine allgemeine gesetzliche Speicherfrist für alle Telematikdaten gibt es nicht. Die Dauer folgt dem konkreten Zweck. Sobald Daten dafür nicht mehr benötigt werden, sind sie zu löschen oder belastbar zu anonymisieren.
Betriebliche Einführung
Datenschutz, Betriebsrat und Technik müssen vor dem Start zusammenkommen.
Vor Erhebung gehören Zweckpapier, Rechtsgrundlage, Datenschutzhinweis, Rollen- und Löschkonzept sowie die Prüfung einer Datenschutz-Folgenabschätzung auf den Tisch. Bei technischer Überwachungsmöglichkeit ist die Beteiligung des Betriebsrats zu klären.
Eine Betriebsvereinbarung kann Regeln transparent machen, ersetzt aber weder Datenminimierung noch die technische Umsetzung. Konfiguration, Privatmodus, Löschlauf und Berechtigungen müssen praktisch überprüft werden.
Für die betriebliche Praxis
Zehn Punkte vor dem Einschalten der Telematik
- Jeden Verarbeitungszweck konkret und getrennt beschreiben.
- Erforderlichkeit und weniger eingriffsintensive Alternativen prüfen.
- Datenfelder und Auswertungen auf das Notwendige begrenzen.
- Privatmodus technisch wirksam und verständlich einrichten.
- Beschäftigte transparent vor der Erhebung informieren.
- Betriebsrat und Datenschutzfachleute rechtzeitig beteiligen.
- Rollen, Zugriffe und Protokollierung festlegen.
- Speicher- und Löschfristen je Zweck definieren.
- Auftragsverarbeitung und Datenstandorte prüfen.
- Entscheidung zur Datenschutz-Folgenabschätzung dokumentieren.
Originalquellen
Selbst nachlesen und Änderungen prüfen.
Die Inhalte dienen ausschließlich der allgemeinen Information. Sie berücksichtigen weder die Umstände eines konkreten Unternehmens noch individuelle Verträge, Tarifregelungen, Betriebsvereinbarungen, Versicherungsbedingungen oder die beim jeweiligen Unfallversicherungsträger geltenden Vorschriften. Sie ersetzen keine Rechts- oder Steuerberatung. Individuelle Fragen sind durch entsprechend befugte Fachleute zu prüfen.