DSGVO & RTLS – die Frage zur Mitarbeiterverfolgung.
RTLS-Systeme, die einen einzelnen Mitarbeiter – auch indirekt – identifizieren können, fallen unter die DSGVO.
Die Bereitstellung ist nicht illegal, aber sie ist reguliert, und die Architekturentscheidungen bestimmen, ob sie legal bleibt. Dies ist die Zusammenfassung auf Operatorebene, was benötigt wird.
Wo die DSGVO gilt und wo nicht
Die DSGVO gilt immer dann, wenn Standortdaten einer identifizierbaren Person zugeordnet werden können, direkt oder in Kombination mit anderen Daten. Anonyme Personenzählung und aggregierte Belegung stellen keine DSGVO. Tag-on-Badge-Tracking schon.
Die Fahrzeugverfolgung wird aktiviert, wenn der Fahrer identifizierbar ist. Aggregierte Zonen-Heatmaps tun das in der Regel nicht, es sei denn, das Team ist so klein, dass ein Individuum abgeleitet werden kann.
Die richtige Schwellenfrage lautet: 'Könnte eine vernünftige Person ein Stellenereignis mit einem benannten Mitarbeiter verknüpfen?'
Die sechs rechtmäßigen Grundlagen und die hier gelten
In Artikel 6 bestehen sechs rechtmäßige Stützpunkte – für die Standortverfolgung von Mitarbeitern sind nur drei realistisch: legitime Interessen (mit einem dokumentierten Abwägungstest, der gebräuchlichsten Grundlage für Sicherheit RTLS),
rechtliche Verpflichtung (spezifische Compliance-Regimes) und ausdrückliche Zustimmung (selten die richtige Grundlage im Arbeitskontext, da die Zustimmung nicht frei gegeben wird).
Die meisten sicherheitsorientierten RTLS-Einsätze stützen sich auf legitime Interessen mit einer dokumentierten DPIA. Wir helfen Ihnen, beide zu entwerfen.
Betriebsräte, Gewerkschaften und die Konsultationsfrage
In Deutschland, Frankreich, den Niederlanden, Österreich und vielen anderen EU-Rechtsordnungen erfordert die Mitarbeiterüberwachung eine formelle Betriebsratskonsultation (Betriebsrat / Comité Social et Économique / Ondernemingsraad) und oft eine schriftliche Vereinbarung.
Das Überspringen dieses Schritts ist der häufigste Grund, warum RTLS-Deployments in DACH ins Stocken kommen.
Wir entwerfen die Einsatzspezifikation mit den eingebauten Fragen des Betriebsrats – was wird gesammelt, was nicht, Bindung, Zugang, Transparenz – sodass die Konsultation konstruktiv statt konfrontativ ist.
Designentscheidungen, die das Bild der DSGVO verändern
Mehrere Architekturoptionen verringern die DSGVO-Exposition erheblich: Trennung der Tag-Identität von der Mitarbeiteridentität auf der Plattformebene; konfigurierbare Aufbewahrung mit automatischer Löschung (typischerweise 7-30 Tage für rohe Positionsereignisse);
rollenbasierter Zugang, bei dem die Vorgesetzten aggregiert, nicht individuell sehen; und 'nur Alarm'-Modi, bei denen der Standort bis zum Auslösen eines Zwangsereignisses unsichtbar ist.
Keines davon ist herstellerspezifisch – es sind Deployment-Design-Entscheidungen, die wir in Phase 1 (Design) der TRACIO-Programmmethode.
Lawful basis, DPIA and purpose limitation for location data
Identifiable location of staff or patients is personal data under the GDPR. Legitimate interests (safety, mustering, lone-worker) can work, but only after a documented balancing test; consent is fragile in employment and usually the wrong basis. Special-category data may engage if location reveals health status (e.g. ward assignment patterns).
A DPIA is effectively mandatory for systematic workplace monitoring. It should cover necessity, less-intrusive alternatives (zone events vs continuous trails), retention, access roles, and works-council or staff-representation input. Privacy by design means defaulting to pseudonymous tag IDs, work-hours only, and exclusion of break rooms / toilets by geofence policy — not by pinky promise.
Challenge vendors who ship continuous heatmaps for 'productivity' as a free add-on. That feature often expands purpose beyond the DPIA and becomes the works-council killer. Separate safety alerting from managerial analytics in the product configuration, with different retention clocks.
Works councils, national labour overlays and multi-country rollouts
In Germany, BetrVG §87(1)(6) co-determination routinely gates any system capable of monitoring behaviour or performance; Betriebsrat consultation is on the critical path. Comparable consultation or information duties appear in the Netherlands, France, Italy and Nordic markets. Build 8–16 weeks of social dialogue into the plan when staff tags are in scope.
Cross-border groups need a single architecture with country-specific purpose statements and retention. Hosting in the EU helps, but transfers to US support desks still need SCCs or equivalent. Prefer on-prem or EU-region SaaS with EU-only support for high-sensitivity sites.
Document what supervisors can see (alarms and zone breaches vs full trails), how long raw coordinates survive, and how a data-subject access request is answered from the locating store plus MES/WMS joins.
Vendor claims to pressure-test
Ask whether the platform can run alarm-only mode (store events, not continuous tracks), support automatic purge, export DSAR packages, and disable productivity modules per site. Demand written confirmation that training/demo tenants do not reuse production location data.
'GDPR compliant' badges are not a control. Require a completed DPIA template, residual-risk register, and configuration baseline that your DPO can attach to the record of processing activities.
Retention, DSAR and cross-border support desks
Raw high-frequency coordinates are rarely necessary beyond short operational windows. Keep long-term only what the purpose statement justifies — muster events, incident packages, access breaches — and automate deletion. DSARs must be answerable across RTLS plus MES/WMS/HR joins without a six-week archaeology project.
If US or APAC vendor support can open production tenants, treat that as a transfer. Contractual clauses, access logging and EU-only support tiers are design inputs, not legal footnotes after signature.
How we run GDPR-ready locating programmes
We draft purpose statements, DPIA inputs, role matrices and works-council briefing packs alongside the RF design. Safety-first configurations ship before any productivity analytics. Multi-country rollouts get a core platform with localised retention and notice text rather than eight divergent forks.
Patient vs staff location — different risk profiles
Patient flow engages health-related inferences more readily; staff tracking engages labour law. Separate purpose statements, retentions and role access. Never reuse a staff heatmap product for patient pathway work without a fresh DPIA.
Publish layered notices: what is collected, for which purpose, who sees it, how long, and how to raise concerns. Hidden features enabled by default after a firmware update are a recurring incident pattern — lock configuration baselines.
Häufig gestellte Fragen
Brauchen wir eine DPIA für RTLS?
Fast immer, ja, wo Mitarbeiter identifiziert werden können. Eine DPIA (Datenschutz-Impact Assessment) dokumentiert die rechtliche Grundlage, den Abwägungstest, Risiken, Minderungen und den Überprüfungsplan.
Wir erstellen eine DPIA-Vorlage, die auf RTLS während Phase 1 zugeschnitten ist und gemeinsam mit Ihrem DPO genehmigt wird.
Können wir das legitime Interesse als rechtmäßige Grundlage heranziehen?
Bei sicherheitsgetriebenen Einsätzen gilt das in der Regel ja, wobei ein dokumentierter Balancetest zeigt, dass Sicherheitsvorteile Datenschutzverletzungen überwiegen und weniger invasive Alternativen nicht praktikabel sind.
Bei der Produktivitätsüberwachung ist legitimes Interesse schwerer zu verteidigen; Konsultieren Sie frühzeitig Ihren DPO.
Welche Aufbewahrungsdauer ist vertretbar?
Die Rohpositionstelemetrie wird typischerweise 7–30 Tage aufbewahrt; aggregierte Analysen länger. Alarmereignisse (Zwang, Zusammenstellung) werden noch länger aufgenommen, wenn es die Sicherheitsvorschriften vorschreiben.
Das Prinzip ist Datenminimierung: Sammeln für den genannten Zweck und nur so lange speichern, wie es nötig ist.
Wie handhaben wir die Konsultation der Betriebsräte in Deutschland / Frankreich?
Behandle es als Stufe-1-Ergebnis, nicht als Nachgedanke. Wir haben betriebsratsfertige Spezifikationen für DACH- und französische Einsätze erstellt, die Umfang, Zugang, Aufbewahrung und Überprüfungsrhythmus umfassen.
Kontaktiere den Rat vor der Unterzeichnung des SOW, nicht danach.
Zuletzt aktualisiert: