DSGVO & RTLS: die Frage zur Mitarbeiterverfolgung.

Die DSGVO gilt immer dann, wenn Standortdaten einer identifizierbaren Person zugeordnet werden können, direkt oder in Kombination mit anderen Daten. Anonyme Personenzählung und aggregierte Belegung stellen keine DSGVO. Tag-on-Badge-Tracking schon.

Die Fahrzeugverfolgung wird aktiviert, wenn der Fahrer identifizierbar ist. Aggregierte Zonen-Heatmaps tun das in der Regel nicht, es sei denn, das Team ist so klein, dass ein Individuum abgeleitet werden kann.

Die richtige Schwellenfrage lautet: 'Könnte eine vernünftige Person ein Stellenereignis mit einem benannten Mitarbeiter verknüpfen?'

In Artikel 6 bestehen sechs rechtmäßige Stützpunkte, für die Standortverfolgung von Mitarbeitern sind nur drei realistisch: legitime Interessen (mit einem dokumentierten Abwägungstest, der gebräuchlichsten Grundlage für Sicherheit RTLS),

rechtliche Verpflichtung (spezifische Compliance-Regimes) und ausdrückliche Zustimmung (selten die richtige Grundlage im Arbeitskontext, da die Zustimmung nicht frei gegeben wird).

Die meisten sicherheitsorientierten RTLS-Einsätze stützen sich auf legitime Interessen mit einer dokumentierten DPIA. Wir helfen Ihnen, beide zu entwerfen.

In Deutschland, Frankreich, den Niederlanden, Österreich und vielen anderen EU-Rechtsordnungen erfordert die Mitarbeiterüberwachung eine formelle Betriebsratskonsultation (Betriebsrat / Comité Social et Économique / Ondernemingsraad) und oft eine schriftliche Vereinbarung.

Das Überspringen dieses Schritts ist der häufigste Grund, warum RTLS-Deployments in DACH ins Stocken kommen.

Wir entwerfen die Einsatzspezifikation mit den eingebauten Fragen des Betriebsrats (was wird gesammelt, was nicht, Bindung, Zugang, Transparenz), sodass die Konsultation konstruktiv statt konfrontativ ist.

Mehrere Architekturoptionen verringern die DSGVO-Exposition erheblich: Trennung der Tag-Identität von der Mitarbeiteridentität auf der Plattformebene; konfigurierbare Aufbewahrung mit automatischer Löschung (typischerweise 7-30 Tage für rohe Positionsereignisse);

rollenbasierter Zugang, bei dem die Vorgesetzten aggregiert, nicht individuell sehen; und 'nur Alarm'-Modi, bei denen der Standort bis zum Auslösen eines Zwangsereignisses unsichtbar ist.

Keines davon ist herstellerspezifisch. Es sind Deployment-Design-Entscheidungen, die wir in Phase 1 (Design) der TRACIO-Programmmethode.

Die identifizierbare Ortung von Beschäftigten oder Patienten ist nach der DSGVO eine Verarbeitung personenbezogener Daten. Berechtigte Interessen (Sicherheit, Sammeln im Notfall, Alleinarbeit) können tragen, aber nur nach einer dokumentierten Interessenabwägung. Eine Einwilligung ist im Arbeitsverhältnis wackelig und meist die falsche Grundlage. Besondere Kategorien von Daten können betroffen sein, wenn die Ortung Rückschlüsse auf die Gesundheit zulässt (z. B. Muster der Stationszuordnung).

A DPIA is effectively mandatory for systematic workplace monitoring. It should cover necessity, less-intrusive alternatives (zone events vs continuous trails), retention, access roles, and works-council or staff-representation input. Privacy by design means defaulting to pseudonymous tag IDs, work-hours only, and exclusion of break rooms / toilets by geofence policy, not by pinky promise.

Challenge suppliers who ship continuous heatmaps for 'productivity' as a free add-on. That feature often expands purpose beyond the DPIA and becomes the works-council killer. Separate safety alerting from managerial analytics in the product configuration, with different retention clocks.

In Germany, BetrVG §87(1)(6) co-determination routinely gates any system capable of monitoring behaviour or performance; Betriebsrat consultation is on the critical path. Comparable consultation or information duties appear in the Netherlands, France, Italy and Nordic markets. Build 8-16 weeks of social dialogue into the plan when staff tags are in scope.

Cross-border groups need a single architecture with country-specific purpose statements and retention. Hosting in the EU helps, but transfers to US support desks still need SCCs or equivalent. Prefer on-prem or EU-region SaaS with EU-only support for high-sensitivity sites.

Document what supervisors can see (alarms and zone breaches vs full trails), how long raw coordinates survive, and how a data-subject access request is answered from the locating store plus MES/WMS joins.

Ask whether the platform can run alarm-only mode (store events, not continuous tracks), support automatic purge, export DSAR packages, and disable productivity modules per site. Demand written confirmation that training/demo tenants do not reuse production location data.

'GDPR compliant' badges are not a control. Require a completed DPIA template, residual-risk register, and configuration baseline that your DPO can attach to the record of processing activities.

Hochfrequente Rohkoordinaten braucht man selten über kurze Betriebszeiträume hinaus. Bewahren Sie langfristig nur auf, was die Zweckbeschreibung rechtfertigt (Sammelereignisse, Unterlagen zu Vorfällen, Zutrittsverstöße), und automatisieren Sie die Löschung. Auskunftsersuchen müssen sich über RTLS und die Verknüpfungen mit MES, WMS und HR beantworten lassen, ohne wochenlange Spurensuche.

Wenn der Support eines Anbieters aus den USA oder APAC auf Produktionsmandanten zugreifen kann, ist das eine Übermittlung. Vertragsklauseln, Protokollierung der Zugriffe und Support nur aus der EU sind Vorgaben für das Design, keine juristischen Fußnoten nach der Unterschrift.

Parallel zum RF-Design entwerfen wir Zweckbeschreibungen, Beiträge zur DSFA, Rollenmatrizen und Unterlagen zur Information des Betriebsrats. Sicherheitsfunktionen gehen vor jeder Produktivitätsanalyse in Betrieb. Einführungen in mehreren Ländern erhalten eine gemeinsame Plattform mit lokalen Aufbewahrungsfristen und Hinweistexten statt acht auseinanderlaufender Varianten.

Patient flow engages health-related inferences more readily. Staff tracking engages labour law. Separate purpose statements, retentions and role access. Never reuse a staff heatmap product for patient pathway work without a fresh DPIA.

Veröffentlichen Sie gestufte Hinweise: was erfasst wird, zu welchem Zweck, wer es sieht, wie lange und wie man Bedenken äußert. Versteckte Funktionen, die nach einem Firmware-Update standardmäßig aktiv sind, sind ein wiederkehrendes Muster bei Vorfällen. Frieren Sie die Basiskonfiguration ein.