09.10.2026

Auskunftsrecht bei GPS-Ortung

39.000 Euro Bußgeld: Arbeitgeber verweigert Auskunftsrecht über GPS-Daten des Dienstwagens

Die italienische Datenschutzbehörde Garante per la protezione dei dati personali hat gegen das Sicherheitsunternehmen La Patria S.p.A. aus Bologna ein Bußgeld von 39.000 Euro verhängt. Die Entscheidung stammt vom 6. August 2026. Ein früherer Mitarbeiter hatte im Disziplinarverfahren Einsicht in die Unterlagen und in die GPS-Daten seines Dienstwagens verlangt. Das Unternehmen antwortete nicht. Der Fall zeigt, dass ein Auskunftsantrag kein Etikett braucht. Er gilt auch dann, wenn darin kein Wort von der DSGVO steht.

Der Fall: Wachmann, Dienstwagen, Detektei

Der Beschwerdeführer arbeitete als Wachmann bei La Patria. Im Juni 2022 leitete das Unternehmen ein Disziplinarverfahren gegen ihn ein und kündigte ihm am 4. Juli 2022 fristlos. Grundlage war allein der Bericht einer Detektei. Das Unternehmen hatte sie beauftragt, den Mitarbeiter zu beobachten. Ein italienisches Arbeitsgericht erklärte die Kündigung im Januar 2024 für unwirksam. Das Unternehmen legte dagegen Rechtsmittel ein.

Im Disziplinarverfahren reichten die Anwälte des Mitarbeiters am 14. und am 25. Juni 2022 zwei Stellungnahmen ein. Darin verlangten sie, alle Unterlagen zum Disziplinarvorwurf einzusehen und Kopien zu bekommen. In der ersten Stellungnahme forderten sie ausdrücklich auch die Aufzeichnungen des GPS-Geräts im Dienstwagen. Eine Antwort kam nicht. Im Kündigungsschreiben stand nur, der Arbeitgeber müsse die Beweismittel vor der Disziplinarmaßnahme nicht offenlegen.

Im späteren Gerichtsverfahren legte das Unternehmen dann eine Auswertung der GPS-Daten für April und Mai 2022 vor. Den Detektivbericht bekam der Mitarbeiter erst vor dem Arbeitsgericht zu sehen. Im Juli 2023 reichte er beim Garante Beschwerde nach Art. 77 DS-GVO ein.

So hat sich das Unternehmen verteidigt

La Patria hielt die Anträge für arbeitsrechtliche Akteneinsicht und nicht für Auskunftsanträge nach der DSGVO. Die Anwälte hätten die DSGVO mit keinem Wort erwähnt. Als Fachleute hätten sie das getan, wenn sie Auskunft gewollt hätten. Das GPS-System erfasse nur technische Fahrzeugdaten und keine Angaben zum Fahrer. Zugriff habe nur eine einzige Person in der Logistik, und das nur offline und außerhalb der Nachtschichten.

Um die GPS-Daten dem Mitarbeiter zuzuordnen, hätte das Unternehmen sie nach eigener Darstellung erst mit Personaldaten verknüpfen müssen. Das wäre eine zusätzliche Verarbeitung gewesen. Die Auswertung für das Gericht sei nur entstanden, weil die Gegenseite sie dort verlangt habe. Dem Mitarbeiter sei außerdem kein Schaden entstanden.

Ein Auskunftsantrag braucht keine bestimmte Form

Der Garante folgte dieser Argumentation nicht. Aus dem Inhalt der Anträge war klar, was der Mitarbeiter wollte. Das reicht. Die Behörde stützt sich auf die Leitlinien 01/2022 des Europäischen Datenschutzausschusses zum Auskunftsrecht. Danach stellt die DSGVO keine Formanforderungen an einen Auskunftsantrag. Die betroffene Person muss ihren Antrag nicht begründen. Der Verantwortliche darf auch nicht prüfen, ob die Auskunft der Person tatsächlich nützt. Nur wenn offensichtlich ist, dass ein Antrag auf ganz anderen Vorschriften beruht, muss er nicht als Auskunftsantrag behandelt werden.

Auch der Hinweis auf den fehlenden Schaden half dem Unternehmen nicht. Wer einen Antrag ablehnen will, muss das der Person mitteilen. Er muss die Gründe nennen und auf das Recht zur Beschwerde und zur Klage hinweisen. So steht es in Art. 12 DS-GVO Abs. 4. La Patria hat nichts davon getan. Die arbeitsrechtliche Rechtsprechung zur Akteneinsicht im Disziplinarverfahren ändert daran nichts. Das Auskunftsrecht nach Art. 15 DS-GVO ist ein eigenständiges Recht und betrifft die Daten der Person selbst. Der Garante stellte deshalb einen Verstoß gegen Art. 12 und Art. 15 DS-GVO fest.

GPS-Daten eines Dienstwagens sind personenbezogen

Der zweite Vorwurf betraf die Informationspflicht. La Patria hatte die Beschäftigten nie über die GPS-Ortung der Dienstwagen informiert. Das Unternehmen meinte, ohne Personenbezug sei das nicht nötig. Der Garante sah das anders. Der Standort des Fahrzeugs verrät indirekt, wo sich der Fahrer gerade aufhält. Damit verarbeitet der Arbeitgeber personenbezogene Daten und muss nach Art. 13 DS-GVO informieren. Das Unternehmen räumte selbst ein, dass es im Notfall feststellen kann, wer im Fahrzeug sitzt.

Pikant ist ein Detail. Für den Einsatz der GPS-Geräte hatte La Patria im Juni 2019 eine Vereinbarung mit den Gewerkschaftsvertretungen geschlossen, wie es das italienische Arbeitnehmerstatut verlangt. Darin verpflichtete sich das Unternehmen ausdrücklich, die Beschäftigten innerhalb von 30 Tagen zu informieren. Das ist nie passiert. Erst im laufenden Verfahren verschickte das Unternehmen nach eigenen Angaben eine Information an die Belegschaft.

Datenschutzhinweise müssen zur tatsächlichen Verarbeitung passen

Der dritte Punkt betraf die Datenschutzhinweise für Beschäftigte aus den Jahren 2019, 2021 und 2022. Darin stand, das Unternehmen könne auch Daten zu philosophischen Überzeugungen und zum Sexualleben verarbeiten. Beides gehört zu den besonderen Kategorien nach Art. 9 DS-GVO. Nach eigener Aussage hat La Patria solche Daten nie verarbeitet. Die Angaben stünden nur vorsichtshalber drin. Ausweisfotos ließen theoretisch Rückschlüsse zu und Schwangerschaftsbescheinigungen könnten eingehen.

Der Garante wertete das als Verstoß gegen Art. 12 und Art. 13 DS-GVO. Ein Datenschutzhinweis muss die Verarbeitungen beschreiben, die tatsächlich stattfinden. Wer mehr hineinschreibt, schafft keine Transparenz. Eine Verarbeitung wird auch nicht rechtmäßig, nur weil sie im Hinweis steht. Die Behörde erinnerte daran, dass für besondere Kategorien ein grundsätzliches Verarbeitungsverbot gilt. Die Ausnahmen regelt Art. 9 Abs. 2 DS-GVO. Für das Arbeitsverhältnis ist vor allem Buchstabe b wichtig.

Vorwurf zu Internet-Logs eingestellt

Geprüft hat der Garante auch eine mögliche Auswertung der Internetnutzung der Beschäftigten. Das Unternehmen hatte selbst von Logs der Internetnavigation gesprochen. Später stellte es klar, dass nur technische Systemlogs der Netzwerkgeräte gespeichert werden, ohne aufgerufene Adressen und ohne Bezug zu einzelnen Personen. Diesen Teil des Verfahrens stellte der Garante ein.

Zum neuen Entwurf des Datenschutzhinweises gab die Behörde einen Hinweis mit auf den Weg. Wenn das Unternehmen dort Verarbeitungen von Navigationsdaten, E-Mail-Metadaten oder Inhalten personalisierter Dienstpostfächer beschreibt, müssen diese Verarbeitungen selbst rechtmäßig sein.

So kam das Bußgeld zustande

Der Garante setzte zwei Bußgelder fest. 22.000 Euro entfallen auf die verweigerte Auskunft nach Art. 12 und Art. 15 DS-GVO. 17.000 Euro entfallen auf die fehlerhafte Information nach Art. 12 und Art. 13 DS-GVO. Die Behörde stufte beide Verstöße als fahrlässig und von mittlerer Schwere ein. Sie stützte sich dabei auf die Leitlinien 04/2022 des Europäischen Datenschutzausschusses zur Bußgeldberechnung nach Art. 83 DS-GVO. Einen geringfügigen Verstoß sah sie nicht, weil mehrere Pflichten verletzt waren.

Mildernd berücksichtigte der Garante, dass La Patria ein internes Verfahren für Anträge mit arbeitsrechtlichem und datenschutzrechtlichem Bezug beschlossen hat. Das Unternehmen hat auch einen neuen Datenschutzbeauftragten und einen neuen externen Berater bestellt. Frühere Verstöße gab es nicht. Die Zusammenarbeit mit der Behörde bewertete der Garante als durchschnittlich. Weitere Anordnungen nach Art. 58 DS-GVO erließ er nicht, weil die Verstöße inzwischen behoben sind. Nach italienischem Recht kann das Unternehmen das Verfahren durch Zahlung der Hälfte des Bußgelds beenden. Gegen die Entscheidung ist innerhalb von 30 Tagen eine Klage beim ordentlichen Gericht möglich.

Unsere Empfehlungen

Unternehmen/KMU

Die Entscheidung stammt aus Italien. Die DSGVO gilt in Deutschland genauso, und die Argumente des Garante lassen sich übertragen.

Jede Bitte um Unterlagen oder Daten prüfen, ob sie zugleich ein Auskunftsantrag nach Art. 15 DS-GVO ist. Das gilt auch im Abmahnungs- oder Kündigungsverfahren und auch dann, wenn der Antrag über einen Anwalt kommt.
Die Frist von einem Monat nach Art. 12 Abs. 3 DS-GVO im Blick behalten. Wer ablehnt, sagt das schriftlich, nennt die Gründe und weist auf Beschwerde und Klage hin.
Vor dem Einsatz von GPS-Ortung in Dienstwagen die Beschäftigten nach Art. 13 DS-GVO informieren. Den Betriebsrat einbinden, denn er hat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht.
Zusagen aus Betriebsvereinbarungen tatsächlich umsetzen und das dokumentieren.
Datenschutzhinweise mit dem Verzeichnis der Verarbeitungstätigkeiten abgleichen. Angaben, die nur vorsichtshalber drinstehen, gehören gestrichen.

Behörden/öffentliche Stellen

Für Dienstfahrzeuge mit Ortung, etwa im Bauhof, im Ordnungsdienst oder im Rettungsdienst, gelten dieselben Informationspflichten.
Akteneinsicht im Disziplinarverfahren und Auskunft nach Art. 15 DS-GVO getrennt prüfen. Beides kann nebeneinander bestehen.
Den behördlichen Datenschutzbeauftragten früh einbinden, wenn ein Antrag sowohl dienstrechtliche als auch datenschutzrechtliche Fragen berührt.

Kanzleien/Freiberufler

Wer Beschäftigte vertritt, sollte Auskunftsanträge trotzdem ausdrücklich auf Art. 15 DS-GVO stützen. Das spart Streit über die Auslegung.
Wer Arbeitgeber berät, sollte Akteneinsichtsgesuche im Disziplinarverfahren immer auch als möglichen Auskunftsantrag behandeln und die Frist notieren.

Quelle: Garante per la protezione dei dati personali (Italien), Provvedimento n. 585 vom 6. August 2026, doc. web n. 10297306

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks