GPS-Ortung von Mitarbeitern und Ehrenamtlichen nach DSGVO: ein Praxisleitfaden für Einsätze im Feld

Die DSGVO nennt Standortdaten ausdrücklich als eine der Kennungen, die Informationen zu personenbezogenen Daten machen (Art. 4 Nr. 1). Eine Live-Position, die einem namentlich bekannten Teammitglied zugeordnet ist, und die Spur, wo diese Person während einer Schicht war, sind personenbezogene Daten. Mit der Zeit können sie weit mehr als die Arbeit verraten: wo jemand wohnt, wann er Pause macht, welche Ärztin er aufsucht.

Die Organisation, die entscheidet, warum und wie Positionen erhoben werden, ist der Verantwortliche: der Arbeitgeber, die Kommune als Trägerin der Feuerwehr, die Hilfsorganisation oder die NGO, die den Einsatz führt. Ein Unternehmen, das die Software für Sie hostet, ist in der Regel Auftragsverarbeiter und braucht einen Vertrag nach Art. 28. Arbeiten mehrere Organisationen in einem Einsatz zusammen, vereinbaren Sie, wer wofür zuständig ist; gemeinsam Verantwortliche müssen das nach Art. 26 festlegen.

Eine Einwilligung nach der DSGVO muss freiwillig erteilt werden. Die Leitlinien des EDSA (Europäischer Datenschutzausschuss) zur Einwilligung halten fest, dass Beschäftigte wegen des Machtungleichgewichts zwischen Arbeitgeber und Beschäftigten nur selten freiwillig einwilligen können und Arbeitgeber sich in der Regel auf eine andere Grundlage stützen sollten. Drohen jemandem Nachteile, wenn er nein sagt, ist die Einwilligung nicht wirksam. § 26 Abs. 2 BDSG verlangt zusätzlich, dass die Einwilligung von Beschäftigten schriftlich oder elektronisch erteilt wird und der Arbeitgeber in Textform über Zweck und Widerrufsrecht aufklärt. Freiwilligkeit kann danach vor allem vorliegen, wenn die beschäftigte Person einen rechtlichen oder wirtschaftlichen Vorteil hat oder beide Seiten gleichgelagerte Interessen verfolgen.

Ehrenamtliche sind keine Beschäftigten, aber ähnlicher Druck entsteht, wenn die Ortung Bedingung für die Mitwirkung in einer Einheit oder einem Einsatz ist. Für wirklich freiwillige Funktionen kann eine Einwilligung funktionieren, etwa um die Position während einer langen Veranstaltung mit der Familie zu teilen. Für den Kern eines Einsatzes sind berechtigte Interessen oder eine öffentliche Aufgabe, gestützt auf eine sorgfältige Bewertung, meist ehrlicher und beständiger.

Art. 35 verlangt eine Datenschutz-Folgenabschätzung (DSFA), wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen zur Folge hat. Die vom EDSA bestätigten DSFA-Leitlinien (WP248 rev.01) nennen Kriterien, die auf ein hohes Risiko hindeuten. Die deutschen Aufsichtsbehörden sind deutlicher: Die DSK-Liste der Verarbeitungen, für die eine DSFA durchzuführen ist, nennt als Beispiel ausdrücklich die Geolokalisierung von Beschäftigten per Handy-Ortung oder GPS, etwa zur Sicherung von Wachpersonal und Feuerwehrleuten oder zur Koordination im Außendienst. Die Standortverfolgung eines Teams erfüllt zudem oft mehrere der WP248-Kriterien:

• Systematische Überwachung der Positionen von Personen.
• Schutzbedürftige betroffene Personen: Die Leitlinien nennen Beschäftigte, wegen des Machtungleichgewichts.
• Innovative Nutzung von Technologie, etwa die Verknüpfung von Spuren mit Sensoren, Kameras oder automatischen Alarmen.
• Abgleichen oder Zusammenführen von Datensätzen, zum Beispiel Spuren mit Dienstplänen und Vorfallsdatensätzen.
• Großer Umfang, wenn viele Personen über lange Zeiträume verfolgt werden.

Art. 12 und 13 verlangen klare Informationen zu dem Zeitpunkt, an dem die Erhebung von Positionen beginnt. Bei Einsätzen im Feld heißt das, den Menschen in einfacher Sprache und bevor sie die App einschalten mindestens zu sagen: wer der Verantwortliche ist, warum Positionen erhoben werden und auf welcher Rechtsgrundlage, wer sie sehen kann, wann die Ortung läuft und wann sie endet, wie lange Spuren aufbewahrt werden und wie sie ihre Rechte ausüben, einschließlich des Widerspruchsrechts, wenn die Grundlage berechtigte Interessen oder eine öffentliche Aufgabe ist.

Die Stellungnahme der Artikel-29-Datenschutzgruppe zur Datenverarbeitung am Arbeitsplatz ergänzt einen praktischen Punkt: Wo Geräte oder Fahrzeuge auch privat genutzt werden können, sollten Menschen die Ortung außerhalb der Arbeitszeit abschalten können. Eine sichtbare Anzeige, dass die Freigabe aktiv ist, und ein klares Ende tun mehr für das Vertrauen als eine lange Richtlinie, die niemand liest.

Erheben Sie nur, was der Zweck erfordert (Art. 5 Abs. 1 lit. c), und bewahren Sie es nicht länger als nötig auf (Art. 5 Abs. 1 lit. e). Die DSGVO legt keine feste Zahl von Tagen fest; Sie entscheiden und begründen sie. Praktische Entscheidungen, die sich bewähren:

• Live-Positionen nur teilen, solange ein Einsatz aktiv ist, und nur mit den Rollen, die sie brauchen.
• Detaillierte Spuren so lange aufbewahren, wie es die Nachbesprechung erfordert, dann löschen oder aggregieren.
• Länger nur aufbewahren, wofür es einen konkreten Grund gibt, etwa einen Vorfall, der untersucht wird, oder eine rechtliche Aufbewahrungspflicht.
• Spuren nicht zur Leistungskontrolle weiterverwenden, es sei denn, dieser Zweck wurde vorher bewertet und angekündigt.
• Standortangaben aus Fotos entfernen, bevor sie den Einsatz verlassen, sofern sie nicht benötigt werden.

In Sinkaos sieht ein Mitglied immer, wann seine Position geteilt wird und mit wem. Die Freigabe lässt sich auf die Dauer des Einsatzes oder auf bestimmte Rollen begrenzen, die Aufbewahrung wird je Datenart festgelegt, Foto-Metadaten werden nach Richtlinie entfernt oder behalten, und Exporte und Administratoraktionen landen in einem Audit-Protokoll. Diese Einstellungen unterstützen Ihre DSGVO-Arbeit; die Entscheidungen oben bleiben Ihre. Siehe die Sicherheitsseite und Standortfreigabe im Team.