Datenschutzerklärung (Privacy Policy) für den SaaS-Dienst zur Mitarbeiterortung

Stand dieser Datenschutzerklärung: 29. November 2025.

1. Verantwortlicher und Geltungsbereich

Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (**DSGVO**) und anderer datenschutzrechtlicher Bestimmungen ist **[Name des Unternehmens]**, **[Adresse des Unternehmens]**. Dieses Unternehmen betreibt den hier beschriebenen Dienst zur **Mitarbeiterortung und -zeiterfassung** (nachfolgend **„Dienst“**).

Geltungsbereich

Diese Datenschutzerklärung klärt Sie (als betroffene Person – z.B. als Arbeitnehmer eines Kundenunternehmens oder als Administrator/Nutzer des Dienstes) über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten im Rahmen unseres Dienstes auf. Sie gilt sowohl für die **Mitarbeiter (Beschäftigten) der Kundenunternehmen**, deren Daten über den Dienst erfasst werden, als auch für autorisierte Nutzer (z.B. Vorgesetzte oder Administratoren), die auf die Plattform zugreifen.

Bitte beachten Sie: Hinsichtlich der **Mitarbeiter-Daten** ist in der Regel das jeweilige Kundenunternehmen als **Arbeitgeber** der datenschutzrechtlich **Verantwortliche** im Sinne der DSGVO, während wir als **Auftragsverarbeiter** im Auftrag dieses Unternehmens handeln. In diesen Fällen unterstützen wir den Verantwortlichen bei der Einhaltung der Datenschutzpflichten gemäß Art. 28 DSGVO (siehe dazu auch den **Vertrag zur Auftragsverarbeitung** in der Anlage dieser Datenschutzerklärung).

Kontakt Datenschutz

Für Anfragen zum Datenschutz erreichen Sie uns unter: **[Datenschutzbeauftragter oder zuständige Abteilung, Kontakt-E-Mail]**. Ferner steht es Ihnen frei, sich bei Datenschutzfragen an die zuständige Aufsichtsbehörde zu wenden.

2. Gegenstand des Dienstes und Zweck der Datenverarbeitung

Unser Dienst ermöglicht es Unternehmen, die **Arbeitszeiten, Einsatzorte und Tätigkeiten von Mitarbeitern** in Echtzeit zu verfolgen und zu dokumentieren. Die Datenerhebung erfolgt zu dem primären Zweck, **betriebliche Abläufe zu koordinieren**, die Erbringung von Dienstleistungen zu dokumentieren und die **Sicherheit der Mitarbeiter** zu gewährleisten.

Konkrete Verarbeitungszwecke und Mechanismen:

3. Kategorien personenbezogener Daten

Folgende **Kategorien personenbezogener Daten** werden verarbeitet:

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z.B. Gesundheitsdaten) werden **nicht aktiv erhoben**, insbesondere **keine GPS-Daten in Pausen oder außerhalb der Arbeitszeit**, um Rückschlüsse auf das Privatleben zu vermeiden.

4. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung erfolgt im Einklang mit DSGVO und BDSG. Da es sich meist um **Daten von Beschäftigten** handelt, ist insbesondere **§ 26 BDSG** (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses) einschlägig:

  1. Erforderlichkeit für das Beschäftigungsverhältnis (§ 26 Abs. 1 BDSG):

    Die Verarbeitung ist **erforderlich** zur Koordinierung von Arbeitseinsätzen, zur korrekten Arbeitszeiterfassung im Außendienst und zur Dokumentation von auftragsbezogenen Fahrstrecken (z.B. für die Abrechnung). Wir stellen durch technische Vorgaben (z.B. Ortung nur in definierten Intervallen und nicht permanent) sicher, dass stets das **geringstmögliche Maß an Überwachung** eingesetzt wird. Eine **anlasslose Dauerüberwachung** ist unzulässig und findet nicht statt.

  2. Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO):

    Ein berechtigtes Interesse des Kundenunternehmens kann z.B. **Schutz vor Diebstahl** von Equipment, **Optimierung der Einsatzplanung** oder **Nachweis von erbrachten Leistungen** sein. Dabei erfolgt stets eine **Interessenabwägung** zwischen den Interessen des Arbeitgebers und den **schutzwürdigen Interessen und Grundrechten** der Mitarbeiter. Eine umfassende **Leistungs- und Verhaltenskontrolle** als Selbstzweck ist unzulässig.

  3. Einwilligung der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO, ggf. § 26 Abs. 2 BDSG):

    Aufgrund des Abhängigkeitsverhältnisses **fordern oder verwenden wir keine Einwilligung für die reguläre ortsbezogene Arbeitszeiterfassung**. Eine Einwilligung dient ggf. nur zur Nutzung **freiwilliger zusätzlicher Funktionen**. Eine erteilte Einwilligung ist **jederzeit widerruflich**, und die Verweigerung oder der Widerruf darf **keine negativen Konsequenzen** für das Arbeitsverhältnis haben.

  4. Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO):

    Dies betrifft die Aufbewahrung von Arbeitszeitnachweisen gemäß Arbeitszeitgesetz oder steuerliche Aufzeichnungspflichten für Dienstfahrten.

Zusätzlich werden die **Datenschutz-Grundsätze** gemäß Art. 5 DSGVO streng beachtet (Zweckbindung, Transparenz, Speicherbegrenzung).

5. Zugriffsberechtigte, Empfänger und Weitergabe der Daten

Interne Empfänger beim Arbeitgeber (Kundenunternehmen)

Primäre Empfänger sind das jeweilige **Arbeitgeber-/Kundenunternehmen** und darin autorisierte Personen: **Vorgesetzte** (sehen Live-Standorte aktiver Mitarbeiter und Tages-Roadmaps), **Administratoren**, **Disponenten** und die **Geschäftsleitung** (aggregierte Berichte). Jeder Zugriff ist an eine Rolle gebunden und wird protokolliert.

Auftragsverarbeiter (Dienstanbieter)

Wir als Anbieter des Dienstes treten als **Auftragsverarbeiter** auf. Unsere befugten Mitarbeiter (Support, Technik) greifen nur auf **Weisung des Kundenunternehmens** oder zur Fehlerbehebung/Wartung zu. Alle Mitarbeiter sind auf **Vertraulichkeit verpflichtet**.

Externe Dienstleister und Dritte (Unterauftragsverarbeiter)

Wir geben grundsätzlich **keine Daten an Dritte** weiter. Ausnahmen bilden notwendige Subunternehmer:

Daten werden **nicht zu Werbezwecken** an Dritte verkauft. Übermittlung an staatliche Stellen nur bei **gesetzlicher Verpflichtung**. Wir behalten uns vor, **anonymisierte Daten** für statistische Zwecke oder zur Verbesserung unseres Dienstes zu verwenden.

6. Datenschutz-Folgenabschätzung und betriebliches Mitbestimmungsrecht

Datenschutz-Folgenabschätzung (DSFA)

Die **GPS-Überwachung von Mitarbeitern** macht eine **Datenschutz-Folgenabschätzung (DSFA)** gemäß Art. 35 DSGVO oft erforderlich, da besondere Risiken (Profilbildung, Verhaltenskontrolle) bestehen. Das Kundenunternehmen muss prüfen, ob der konkrete Einsatz unseres Systems eine DSFA erfordert. Wir unterstützen unsere Kunden durch Bereitstellung aller erforderlichen Informationen.

Mitbestimmung des Betriebsrats

Sofern ein **Betriebsrat** existiert, unterliegt die Einführung und Anwendung des technischen Überwachungssystems der **Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG**. Der Arbeitgeber benötigt eine **Betriebsvereinbarung** oder Zustimmung des Betriebsrats. Unsere Kunden sind verantwortlich, vor Einsatz des Dienstes eine entsprechende Vereinbarung zu treffen.

7. Speicherdauer und Löschung von Daten

Wir wenden den Grundsatz der **Speicherbegrenzung** an. Daten werden nur so lange gespeichert, wie es für die Zweckerfüllung notwendig oder gesetzlich vorgeschrieben ist.

Nach Beendigung des Vertrags mit dem Kundenunternehmen werden sämtliche personenbezogenen Daten **entweder an das Kundenunternehmen herausgegeben oder auf Wunsch vollständig gelöscht** (siehe AVV).

8. Technische und organisatorische Schutzmaßnahmen (TOM)

Wir setzen umfassende **technische und organisatorische Maßnahmen (TOM)** ein, um die **Vertraulichkeit, Integrität und Verfügbarkeit** der Daten sicherzustellen (Art. 32 DSGVO):

9. Rechte der betroffenen Personen (Mitarbeiter und Nutzer)

Ihre Rechte machen Sie grundsätzlich gegenüber Ihrem Arbeitgeber (dem Kundenunternehmen) als **Verantwortlichem** geltend. Wir unterstützen diesen dabei. Im Einzelnen bestehen folgende Rechte:

  1. **Recht auf Auskunft (Art. 15 DSGVO):** Recht auf Bestätigung und Auskunft über die verarbeiteten Daten und deren Zwecke.
  2. **Recht auf Berichtigung (Art. 16 DSGVO):** Recht auf Korrektur unzutreffender oder Vervollständigung unvollständiger Daten.
  3. **Recht auf Löschung (Art. 17 DSGVO):** Recht, Löschung der Daten zu verlangen, wenn die Speicherung nicht mehr notwendig ist oder unrechtmäßig erfolgte (Ausnahmen: gesetzliche Aufbewahrungsfristen).
  4. **Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO):** Recht, die weitere Nutzung der Daten einzuschränken (Sperrung), z.B. während der Überprüfung der Richtigkeit.
  5. **Recht auf Datenübertragbarkeit (Art. 20 DSGVO):** Recht, die bereitgestellten Daten in einem **strukturierten, gängigen, maschinenlesbaren Format** zu erhalten und ggf. einem anderen Verantwortlichen zu übermitteln.
  6. **Widerspruchsrecht (Art. 21 DSGVO):** Recht, jederzeit Widerspruch gegen die Verarbeitung auf Basis eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) einzulegen. Wir stellen die Verarbeitung ein, es sei denn, wir können **zwingende schutzwürdige Gründe** nachweisen.
  7. **Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO):** Recht, eine erteilte Einwilligung jederzeit zu widerrufen (sofern Verarbeitung auf Einwilligung beruht).
  8. **Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO):** Recht, sich bei einer **Datenschutzaufsichtsbehörde** zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt.

Wir bemühen uns, alle berechtigten Anfragen **spätestens binnen eines Monats** zu beantworten.

10. Keine automatisierten Entscheidungen im Einzelfall

Wir nutzen die erhobenen Mitarbeiterdaten **nicht für automatisierte Entscheidungen im Einzelfall** im Sinne des Art. 22 DSGVO. Das heißt, es gibt **keine vollautomatisierten Algorithmen**, die z.B. Leistungsbewertungen erstellen oder Sanktionen/Auswertungen generieren, ohne dass ein Mensch involviert ist.

11. Zukunftsvorhaben: Einsatz von KI-Funktionen

Derzeit verzichtet unser Dienst auf jegliche **KI-gestützte Funktionen**. Alle Auswertungen erfolgen regelbasiert und transparent. Zukünftige KI-Funktionen (z.B. **automatische Routenoptimierung** oder **Erkennung ungewöhnlicher Arbeitsmuster**) würden **datenschutzkonform** gestaltet. Wir werden Sie darüber vorab informieren und ggf. eine **zusätzliche Einwilligung** und eine **Datenschutz-Folgenabschätzung** prüfen. **Aktuell gilt: Es findet keine Profilbildung oder Auswertung mittels KI statt.**

12. Änderungen dieser Datenschutzerklärung

Wir werden diese Datenschutzerklärung bei Bedarf **aktualisieren**, um Änderungen an unserem Dienst, der Datenverarbeitung oder der Rechtslage abzubilden. Wesentliche Änderungen teilen wir den Kundenunternehmen rechtzeitig mit, damit auch die Mitarbeiter informiert werden können. Die jeweils aktuelle Fassung wird auf unserer Website unter **[URL]** bereitgestellt.