Datenschutz in der Spedition: Telematik, Tachograph und Fahrerdaten

Speditionen verarbeiten personenbezogene Daten in einem Umfang und einer Sensibilität, die im Betriebsalltag selten bewusst ist: Telematik erzeugt Bewegungsprofile von Beschäftigten, der digitale Tachograph liefert Leistungsdaten mit gesetzlichen Löschfristen, arbeitsmedizinische Untersuchungen berühren Gesundheitsdaten nach Art. 9 DSGVO. Dieser Beitrag ordnet die wichtigsten Pflichten ein – mit Rechtsgrundlage und, wo die Rechtslage offen ist, mit ausdrücklichem Hinweis darauf.

Telematik und GPS-Ortung

Sobald sich ein Fahrzeug einem Fahrer zuordnen lässt – in der Spedition regelmäßig über die Fahrerkarte –, liegt ein Personenbezug nach Art. 4 Nr. 1 DSGVO vor. Damit ist die Ortung eine Verarbeitung von Beschäftigtendaten.

Als Rechtsgrundlage kommt in der Praxis vor allem Art. 6 Abs. 1 lit. f DSGVO in Betracht. Das Bayerische Landesamt für Datenschutzaufsicht hat in seinem 15. Tätigkeitsbericht klargestellt, dass lit. b (Vertragserfüllung) nur selten trägt und lit. c (rechtliche Verpflichtung) nur, soweit eine echte Nachweispflicht besteht – und auch dann erst, wenn der ohnehin vorhandene Fahrtenschreiber nicht bereits ausreicht. Eine Einwilligung des Fahrers ist wegen des strukturellen Ungleichgewichts im Arbeitsverhältnis regelmäßig untauglich.

Die Interessenabwägung nach lit. f verlangt ein tatsächliches, aktuelles Interesse – nicht die abstrakte Annahme, es könnte etwas passieren. Geprüft werden insbesondere:

• kontinuierliche Aufzeichnung gegenüber punktuellem Echtzeitzugriff
• Reduktion der Ortungsgenauigkeit
• kurze Speicherfristen
• Beschränkung des Zugriffs auf wenige Personen
• Deaktivierbarkeit bei erlaubter Privatnutzung – während Privatfahrten ist eine Ortung grundsätzlich ausgeschlossen

Datenschutz-Folgenabschätzung: Die Muss-Liste der Datenschutzkonferenz (Version 1.1) nennt unter Nummer 8 ausdrücklich Bewegungsprofile von Beschäftigten per GPS zum Schutz wertvollen Eigentums und führt „LKW mit Ladung“ als Beispiel an. Für Speditionen mit Fahrerortung ist eine DSFA nach Art. 35 DSGVO damit im Regelfall Pflicht.

Wie konkret Aufsichtsbehörden und Gerichte prüfen, zeigt eine Entscheidung des VG Wiesbaden (Urteil vom 17.01.2022 – 6 K 1164/21.WI). Ein Logistikunternehmen ortete 55 Fahrzeuge in Echtzeit und speicherte Fahrerkartendaten 28 Tage, Lenk- und Ruhezeiten ein Jahr – alle übrigen Daten aber 400 Tage. Das Gericht hielt das für unverhältnismäßig; hinzu kam, dass die Beschäftigten nie informiert worden waren. Bemerkenswert ist auch die Feststellung, dass Ortung zur Diebstahlsprävention ungeeignet ist: Sie hilft beim Wiederfinden, nicht beim Verhindern.

Digitaler Tachograph: Fristen, die viele falsch kennen

Hier hält sich ein verbreiteter Irrtum: Die Ausleseintervalle stehen nicht in der EU-Verordnung, sondern im nationalen Recht. § 2 Abs. 5 der Fahrpersonalverordnung schreibt vor, den Massenspeicher des Fahrzeugs mindestens alle 90 Tage und die Fahrerkarte mindestens alle 28 Kalendertage auszulesen.

Für die Aufbewahrung gilt § 4 Abs. 3 des Fahrpersonalgesetzes: ein Jahr ab dem Kopieren beziehungsweise ein Jahr ab Ablauf der Mitführpflicht.

Zu beachten ist außerdem eine Änderung, die seit dem 31. Dezember 2024 gilt: Die Mitführpflicht wurde von 28 auf 56 Tage verdoppelt (Art. 36 VO (EU) Nr. 165/2014 in der Fassung der VO (EU) 2020/1054). Damit verschiebt sich auch der Beginn der Jahresfrist entsprechend nach hinten.

Der Smart Tachograph der zweiten Generation zeichnet zusätzlich Grenzübertritte per Satellitenortung auf. Die Aufzeichnung selbst beruht auf einer gesetzlichen Pflicht. Wer diese Daten jedoch betrieblich weiterverwendet – etwa zur Leistungsbewertung –, verfolgt einen eigenen Zweck. Dafür braucht es eine Zweckvereinbarkeitsprüfung nach Art. 6 Abs. 4 DSGVO und die Beteiligung des Betriebsrats.

Führerscheinkontrolle

Die Pflicht zur Führerscheinkontrolle folgt aus § 21 StVG und § 31 Abs. 2 StVZO. Praktisch relevant ist vor allem § 21 Abs. 2 Nr. 1 StVG: Wer als Halter fahrlässig zulässt, dass jemand ohne Fahrerlaubnis fährt, riskiert Freiheitsstrafe bis zu sechs Monaten oder Geldstrafe bis zu 180 Tagessätzen.

Datenschutzrechtlich gilt der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Der Bayerische Landesbeauftragte für den Datenschutz hält Fotokopien des Führerscheins „in aller Regel als nicht erforderlich und damit als datenschutzrechtlich unzulässig“. Zulässig ist stattdessen: das Original vorzeigen lassen, auf einem Formblatt Klassen, Nummer, ausstellende Behörde und Ablaufdatum vermerken, Datum und Ergebnis der Kontrolle dokumentieren.

Einordnung: Diese Aussage stammt aus einer Handreichung für bayerische öffentliche Stellen. Übertragbar ist die Erforderlichkeitsargumentation, nicht die Rechtsgrundlage – für Unternehmen gilt § 26 BDSG. Eine bundesweite Orientierungshilfe der Datenschutzkonferenz speziell zur Führerscheinkontrolle existiert nicht.

Für die Löschfrist der Kontrolldokumentation gibt es keine gesetzliche Vorgabe. In der Praxis werden Zeiträume zwischen sechs Monaten und drei Jahren vertreten; verbreitet ist eine Anlehnung an die Verjährungsfrist. Wer eine Frist festlegt, sollte die Begründung dokumentieren.

Arbeitsmedizinische Untersuchungen

Hier wird regelmäßig Grundlegendes vermischt. Arbeitsmedizinische Vorsorge und Eignungsuntersuchung sind zwei verschiedene Institute. § 2 Abs. 1 Nr. 5 ArbMedVV stellt ausdrücklich klar, dass die Vorsorge den Nachweis der gesundheitlichen Eignung nicht umfasst.

Der als „G25″ bekannte Grundsatz für Fahr-, Steuer- und Überwachungstätigkeiten ist keine Pflichtvorsorge – diese Tätigkeiten stehen nicht im Anhang der ArbMedVV. Die G-Grundsätze wurden zudem zurückgezogen und durch die unverbindlichen „DGUV Empfehlungen“ ersetzt; G25 heißt dort „E FSÜ“.

Für die Fahrerlaubnisklassen C, C1, CE, D und die Fahrgastbeförderung verlangt Anlage 5 zur FeV Untersuchungen bei Erteilung und Verlängerung. Adressat ist jedoch die Fahrerlaubnisbehörde – der Arbeitgeber hat keinen Anspruch auf das Gutachten. Es anzufordern ist regelmäßig unzulässig.

Offen: Ob und unter welchen Voraussetzungen Eignungsuntersuchungen ohne spezialgesetzliche Anordnung zulässig sind, ist nicht abschließend geklärt. Streitig ist auch, ob ein Eignungsurteil „unter Vorbehalt“ bereits ein Gesundheitsdatum offenbart.

Videoüberwachung auf Betriebshof und Lager

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. § 4 BDSG gilt für private Verantwortliche nach der Rechtsprechung des Bundesverwaltungsgerichts (Urteil vom 27.03.2019 – 6 C 2.18) nicht; die Aufsichtsbehörden wenden ihn entsprechend nicht an.

Zur Speicherdauer ist die Orientierungshilfe der Datenschutzkonferenz eindeutig: Eine Speicherdauer von 72 Stunden ist in der Regel zulässig. Der Europäische Datenschutzausschuss nennt für den Zweck der Vandalismusaufklärung sogar 24 Stunden als ausreichend. Längere Fristen brauchen eine kameraspezifische Begründung, etwa Betriebsruhe über Feiertage.

Für Speditionen besonders relevant sind zwei Aussagen der Orientierungshilfe: Eine Überwachung allein zu dem Zweck, einen ordnungsgemäßen Arbeitsablauf zu gewährleisten, ist nicht gerechtfertigt. Und eine Überwachung ist unzulässig, wenn Beschäftigte dauerhaft erfasst werden – was bei Torkameras und Kameras an Verladerampen schnell der Fall ist. Eine Vorratsspeicherung „für den Fall der Fälle“ ist ausdrücklich unzulässig.

Die Hinweisbeschilderung folgt einem zweistufigen Modell: ein Schild vor Betreten des Bereichs, etwa in Augenhöhe, mit Zweck, Verantwortlichem und Verweis auf die vollständigen Informationen. Überraschende Angaben – etwa eine Übermittlung an Dritte oder eine ungewöhnliche Speicherdauer – gehören bereits auf die erste Stufe.

Subunternehmer: Auftragsverarbeiter oder nicht?

Diese Frage stellt sich in jeder Transportkette – und sie ist nicht abschließend geklärt. Weder gibt es dazu eine Stellungnahme der Aufsichtsbehörden noch einschlägige Rechtsprechung.

Klar ist zunächst, was nicht mehr gilt: Die früher gebräuchliche Figur der „Funktionsübertragung“ existiert unter der DSGVO nicht mehr. Das Argument „die Datenverarbeitung ist nicht Schwerpunkt der Leistung, also keine Auftragsverarbeitung“ trägt nicht. Maßstab ist allein Art. 4 Nr. 7 DSGVO – wer entscheidet über Zwecke und Mittel?

Für eine eigene Verantwortlichkeit des Transport-Subunternehmers sprechen gewichtige Argumente: Er trägt eine eigene Obhutshaftung nach § 425 HGB, haftet als ausführender Frachtführer nach § 437 HGB und unterliegt eigenen handels- und steuerrechtlichen Aufbewahrungspflichten. Entscheidend ist ein oft übersehener Punkt: Das frachtrechtliche Weisungsrecht nach § 418 HGB ist kein datenschutzrechtliches Weisungsrecht im Sinne der Art. 28, 29 DSGVO.

Eine vertretbare Differenzierung – ausdrücklich als Wertung, nicht als gesicherte Rechtslage:

Wichtig ist die Herangehensweise: Die Rolle bestimmt sich verarbeitungsbezogen, nicht unternehmensbezogen. Derselbe Partner kann in einer Konstellation Auftragsverarbeiter und in einer anderen eigener Verantwortlicher sein. Wer die Rolle falsch einordnet und deshalb keinen Vertrag nach Art. 28 DSGVO schließt, riskiert ein Bußgeld nach Art. 83 Abs. 4 DSGVO.

Empfängerdaten und Zustellnachweise

Bei der Zustellung an Privatempfänger scheidet Art. 6 Abs. 1 lit. b DSGVO aus – der Empfänger ist beim Versendungskauf nicht Vertragspartner des Frachtführers. Tragfähig ist lit. f: die Ablieferung an den Richtigen nach § 421 HGB und die Haftungsdokumentation.

Der Bundesbeauftragte für den Datenschutz hat für Postdienstleister konkretisiert: Eine Unterschrift ist zulässig, auch elektronisch. Ein Zustellfoto nur bei erteilter Abstellgenehmigung und streng datenminimiert – Personen oder ganze Gärten dürfen nicht fotografiert werden. Bei persönlicher Übergabe ist kein Foto zulässig. Von einem Ausweis dürfen nur Art, Nummer, Behörde und Ausstellungsdatum notiert werden, keine Kopie. Ein Fingerabdruck ist unzulässig.

Einordnung: Diese Aussagen ergehen in der Sonderzuständigkeit für Postdienstleister. Reine Stückgut- und Ladungsspediteure können sich nicht unmittelbar darauf berufen; für sie gilt § 419 HGB.

Assistenzsysteme und KI-Verordnung

Zwei Punkte gelten bereits heute und werden häufig übersehen.

Emotionserkennung am Arbeitsplatz ist verboten. Art. 5 Abs. 1 lit. f der KI-Verordnung untersagt seit dem 2. Februar 2025 KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen. Für Fahrerkamerasysteme ist das relevant: Müdigkeitserkennung fällt nach den Leitlinien der Kommission unter die Sicherheitsausnahme. Systeme, die darüber hinaus Stress, Ärger oder Frustration ableiten, tun das nicht. Der Bußgeldrahmen liegt bei bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes. Rein physiologisch-geometrische Systeme – Lidschlussdauer, Kopfneigung, Lenkverhalten – leiten keine Emotionen ab; hier lohnt der Blick ins Produktdatenblatt.

KI-Kompetenz ist Pflicht. Art. 4 der KI-Verordnung verlangt seit dem 2. Februar 2025, dass Beschäftigte, die KI-Systeme einsetzen, über ausreichende Kompetenz verfügen. Das betrifft auch Disponenten, die mit KI-gestützter Tourenplanung arbeiten.

Das Hochrisiko-Regime für Beschäftigungskontexte nach Anhang III wurde dagegen verschoben und gilt nun ab dem 2. Dezember 2027. Ob und wie KI-gestützte Disposition darunter fällt, ist bislang weder durch Leitlinien noch durch Rechtsprechung geklärt – hier besteht derzeit die größte Unsicherheit.

Unabhängig davon gilt Art. 22 DSGVO: Werden Touren oder Schichten automatisiert zugewiesen und hat das erhebliche Auswirkungen auf die Beschäftigten, ist die Vorschrift zu prüfen.

Was Aufsichtsbehörden tatsächlich sanktioniert haben

Der einschlägigste Fall für deutsche Speditionen stammt aus Italien: Die Garante sanktionierte 2025 ein Transportunternehmen mit rund 50 Fahrern, das GPS-Daten durchgängig erhob – auch in Pausen und außerhalb der Arbeitszeit – und über fünf Monate speicherte. Beanstandet wurden Verstöße gegen Art. 5 und Art. 13 DSGVO.

Aus Spanien stammt ein Fall mit unmittelbarer Praxisrelevanz: Die AEPD verhängte 200.000 Euro gegen ein Unternehmen, das Fahrer verpflichtete, private Mobiltelefone für dienstliche Kontroll-Apps zu nutzen. Eine freiwillige Einwilligung sei wegen des strukturellen Ungleichgewichts nicht anzunehmen. Wer im Fuhrpark auf „Bring your own device“ setzt, sollte das prüfen.

Häufige Fragen

Braucht eine Spedition einen Datenschutzbeauftragten?

In aller Regel ja. Ab 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind, folgt die Pflicht aus § 38 Abs. 1 BDSG. Unabhängig davon greift sie bei Telematik-Ortung häufig bereits über Art. 37 Abs. 1 lit. b DSGVO.

Wie lange dürfen Tachographendaten gespeichert werden?

Grundsätzlich ein Jahr nach § 4 Abs. 3 FPersG, mit gesetzlicher Löschpflicht bis zum 31. März des Folgejahres. Längere Fristen gelten nur zweckgebunden, etwa zwei Jahre nach § 21a Abs. 7 ArbZG.

Wie oft muss die Fahrerkarte ausgelesen werden?

Mindestens alle 28 Kalendertage, der Massenspeicher mindestens alle 90 Tage – § 2 Abs. 5 FPersV.

Ist GPS-Ortung von Fahrern zulässig?

Sie kann zulässig sein, gestützt auf Art. 6 Abs. 1 lit. f DSGVO, wenn ein aktuelles Interesse besteht, die Speicherfristen kurz sind und der Zugriff beschränkt ist. Eine Datenschutz-Folgenabschätzung ist im Regelfall erforderlich, der Betriebsrat ist zu beteiligen.

Wie lange dürfen Videoaufnahmen gespeichert werden?

Nach der Orientierungshilfe der Datenschutzkonferenz in der Regel 72 Stunden. Längere Fristen brauchen eine kameraspezifische Begründung.

Darf ich den Führerschein meiner Fahrer kopieren?

In aller Regel nicht. Angemessen ist, das Original vorzeigen zu lassen und Klassen, Nummer, Behörde und Ablaufdatum auf einem Formblatt zu dokumentieren.

Bekomme ich als Arbeitgeber das Ergebnis der arbeitsmedizinischen Untersuchung?

Nein. Nach § 6 Abs. 3 ArbMedVV erhalten Sie nur die Vorsorgebescheinigung – dass, wann und aus welchem Anlass eine Vorsorge stattfand. Befunde und Diagnosen unterliegen der ärztlichen Schweigepflicht.

Ist mein Transport-Subunternehmer Auftragsverarbeiter?

Das ist rechtlich nicht abschließend geklärt. Vieles spricht dafür, dass ein Frachtführer mit eigenem Frachtbrief und eigener Obhutshaftung eigener Verantwortlicher ist. Bei enger Einbindung in die eigene IT kann eine Auftragsverarbeitung vorliegen. Die Rolle ist je Verarbeitung zu bestimmen.

Gesetzesgrundlagen und Quellen

• § 2 und § 1 Fahrpersonalverordnung: gesetze-im-internet.de
• § 4 Fahrpersonalgesetz: gesetze-im-internet.de
• § 21a und § 16 Arbeitszeitgesetz: gesetze-im-internet.de
• § 21 Straßenverkehrsgesetz: gesetze-im-internet.de
• § 6 Arbeitsmedizinische Vorsorgeverordnung: gesetze-im-internet.de
• § 257 HGB und § 439 HGB: dejure.org
• Art. 28 DSGVO – Auftragsverarbeiter: dsgvo-gesetz.de
• Orientierungshilfe Videoüberwachung der Datenschutzkonferenz: datenschutzkonferenz-online.de
• DSFA-Muss-Liste der Datenschutzkonferenz: datenschutzkonferenz-online.de
• 15. Tätigkeitsbericht des Bayerischen Landesamts für Datenschutzaufsicht: lda.bayern.de
• VG Wiesbaden, Urteil vom 17.01.2022 – 6 K 1164/21.WI: openjur.de
• BVerwG, Urteil vom 27.03.2019 – 6 C 2.18: bverwg.de