Inhalt10 Abschnitte
Wer einen Fuhrpark betreibt, verarbeitet personenbezogene Daten: Namen, Fahrzeuge, GPS-Positionen, Tankvorgänge, Aufenthaltsorte zu bestimmten Zeitpunkten. Damit fallen Flottenbetreiber immer unter die DSGVO, auch dann, wenn nur eine Handvoll Fahrzeuge betroffen sind. Die Frage ist nicht ob, sondern wie streng: Welche Vorschriften gelten konkret, welche TOMs (Technische und organisatorische Maßnahmen) sind nötig, welche Verträge müssen unterzeichnet werden? Dieser Leitfaden gibt die zentralen Antworten, mit Verweisen auf die maßgeblichen Paragraphen und die wichtigsten Detail-Artikel.
Wer ist Verantwortlicher, wer Auftragsverarbeiter?
Die wichtigste DSGVO-Frage zuerst: Wer trägt die Datenschutz-Verantwortung?
Nach Art. 4 Nr. 7 DSGVO ist der Verantwortliche derjenige, der "über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet". Im Fuhrpark-Kontext heißt das: Sie als Flottenbetreiber sind der Verantwortliche. Sie entscheiden, welche Daten Ihrer Fahrer erfasst werden, zu welchem Zweck und wie lange.
Wenn Sie einen Cloud-Dienst einsetzen, der Daten Ihrer Fahrer in Ihrem Auftrag verarbeitet (z. B. eine Tank-App für Tankvorgänge, ein Telematik-System für GPS, ein Fuhrparkmanagement-Tool für die Stammdaten), dann ist dieser Dienstleister Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. Er verarbeitet Daten in Ihrem Auftrag, hat aber keine eigene Entscheidungsbefugnis über Zwecke und Mittel.
Diese Trennung ist kein bürokratischer Formalismus, sondern praktisch entscheidend:
- Sie haften gegenüber Ihren Fahrern für Datenschutzverstöße.
- Sie müssen die Erlaubnis für jede Datenerfassung dokumentieren.
- Der Dienstleister muss vertraglich (= AVV) zusichern, dass er nur in Ihrem Auftrag tätig wird.
Welche Daten Sie überhaupt erfassen dürfen
Die DSGVO kennt fünf zentrale Grundsätze (Art. 5 Abs. 1 DSGVO), die bei jeder Datenerfassung gelten:
- Rechtmäßigkeit: es muss eine Rechtsgrundlage geben (Art. 6 DSGVO).
- Zweckbindung: Daten dürfen nur für den erfassten Zweck verwendet werden.
- Datenminimierung: nur so viele Daten wie nötig.
- Richtigkeit: Daten müssen aktuell und korrekt sein.
- Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden wie nötig.
Für den Fuhrpark heißt das konkret: Erfassen Sie nicht "alles, was geht", sondern nur was Sie für einen klar benannten Zweck brauchen. Ein paar Beispiele:
| Datenkategorie | Erlaubt | Rechtsgrundlage |
|---|---|---|
| Fahrer-Name, Personalnummer | Ja | Arbeitsvertrag, Art. 6 Abs. 1 lit. b DSGVO |
| Führerschein-Klassen | Ja | Halterpflicht aus § 21 StVG, Verarbeitung auf Basis von Art. 6 Abs. 1 lit. c/f DSGVO |
| Tankvorgänge mit Zeit + Ort | Ja | Buchhaltung, AO |
| Vollständiges Bewegungsprofil (Sekunden-GPS) | Nein, außer bei zwingendem Anlass | Restriktiv |
| Privatfahrten-Daten | Nur bei Lohnsteuer-Pflicht | § 8 Abs. 2 EStG (Bewertung nach § 6 Abs. 1 Nr. 4 EStG), restriktive Auslegung |
| Tankvorgänge in der Freizeit | Nur wenn Privatnutzung erlaubt | Restriktiv |
Wichtig: Wenn das Fahrzeug auch privat genutzt werden darf (z. B. Dienstwagen-1%-Regelung), gelten für die Privatfahrten strengere DSGVO-Maßstäbe. Sie als Arbeitgeber dürfen private Bewegungsprofile in der Regel nicht einsehen, selbst dann nicht, wenn das technische System sie erfassen würde.
Geo-Tracking und Telematik: Wo § 87 BetrVG ins Spiel kommt
Geo-Tracking ist der DSGVO-Hot-Spot in jedem Fuhrpark. Hier wirken zwei Rechtsbereiche gleichzeitig:
1. DSGVO (Art. 6 Abs. 1 lit. b, Art. 88 DSGVO): Beschäftigtendaten dürfen verarbeitet werden, wenn das für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. (Die deutsche Spezialnorm § 26 BDSG ist seit dem EuGH-Urteil C-34/21 von 2023 als Generalklausel nicht mehr tragfähig, die Maßstäbe bleiben aber dieselben.) Die Latte ist hoch: Es reicht nicht, dass die Daten "praktisch sind". Es muss eine konkrete betriebliche Erforderlichkeit vorliegen.
2. § 87 Abs. 1 Nr. 6 BetrVG: Wo ein Betriebsrat existiert, hat dieser ein Mitbestimmungsrecht bei "Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". GPS-Tracking-Systeme fallen darunter, auch wenn das nicht der Hauptzweck ist.
Praktische Konsequenz: Wenn Sie Geo-Tracking einführen wollen und einen Betriebsrat haben, brauchen Sie eine Betriebsvereinbarung. Ohne BV ist die Einführung formal rechtswidrig, auch wenn die DSGVO selbst die Verarbeitung zuließe.
Tankvorgänge sind in diesem Kontext weniger problematisch: Ein Tankvorgang ist ein einzelnes punktuelles Ereignis (Zeit + Ort + Betrag), kein durchgehendes Bewegungsprofil. Trotzdem: Datensparsamkeit gilt, transparente Information der Fahrer ist Pflicht. Wie ein durchgängig digitaler, datensparsamer Tank-Workflow aussieht, zeigt der Leitfaden Flottendigitalisierung 2026.
Der AVV: Wann er Pflicht ist und was drin stehen muss
Sobald Sie einen Dienstleister einsetzen, der personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) Pflicht, Art. 28 DSGVO.
Für den Fuhrpark betrifft das praktisch alle Cloud-Tools:
- Tank-Apps
- Fuhrparkmanagement-Systeme
- Telematik-Dienstleister
- Buchhaltungs-Dienstleister, wenn sie Fahrerdaten verarbeiten
Der AVV muss laut Art. 28 Abs. 3 DSGVO mindestens regeln:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Datenkategorien und betroffene Personen
- Rechte und Pflichten beider Parteien
- Weisungsgebundenheit des Auftragsverarbeiters
- Vertraulichkeit der Mitarbeiter:innen
- TOMs (Technische und organisatorische Maßnahmen)
- Subunternehmer (Zustimmungsvorbehalt, Liste)
- Unterstützung bei Betroffenenrechten und bei den Pflichten aus Art. 32–36 (Sicherheit, Datenpannen-Meldung, DSFA)
- Löschung/Rückgabe am Vertragsende
- Nachweispflichten und Auditrechte des Auftraggebers (Art. 28 Abs. 3 lit. h)
Ein AVV gehört bei einem Tank-App-Anbieter zum Standard. Das AVV-Dokument für DKV InstantFuel erhalten Sie im Rahmen des Vertragsabschlusses; den Kontakt für Datenschutz-Fragen finden Sie auf der Datenschutz-Seite. Bei anderen Anbietern: vor Vertragsabschluss prüfen, ob ein AVV-Entwurf bereitgestellt wird.
Vertiefend: AVV bei Cloud-Tankverwaltung: 6-Punkte-Checkliste DSGVO.
TOMs: Was Ihr Dienstleister technisch leisten muss
TOMs sind die "Technischen und organisatorischen Maßnahmen", mit denen ein Dienstleister die Sicherheit der Daten gewährleistet (Art. 32 DSGVO). Die wichtigsten Kategorien:
- Vertraulichkeit: Zutritts-, Zugangs-, Zugriffskontrolle
- Integrität: Schutz vor unberechtigter Veränderung
- Verfügbarkeit: Backups, Wiederherstellungsfähigkeit
- Belastbarkeit: Schutz vor Ausfällen
- Verfahren zur regelmäßigen Überprüfung der TOMs
Konkret: Ein Cloud-Anbieter sollte mindestens TLS 1.3 für Datenübertragung, Verschlüsselung at-rest (z. B. AES-256), Zwei-Faktor-Authentifizierung für Admin-Zugänge, ISO 27001 oder vergleichbare Zertifizierung, und einen klar dokumentierten Backup-Plan bieten.
Hosting-Standort ist ein eigenes TOM-Thema: EU-Hosting (z. B. AWS Frankfurt, Hetzner, OVHcloud) ist DSGVO-konform ohne weitere Maßnahmen. Hosting in den USA oder im Vereinigten Königreich ist ein Drittland-Transfer mit eigenen Regeln. Für die USA gilt seit Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF): Transfers an DPF-zertifizierte Anbieter sind zulässig, das hat das Gericht der EU 2025 bestätigt (Rechtssache T-553/23); ein Rechtsmittel dagegen ist beim EuGH anhängig (C-703/25 P), bis zur Entscheidung gilt der Beschluss fort. Für das Vereinigte Königreich gilt ein eigener, Ende 2025 bis 2031 verlängerter Angemessenheitsbeschluss. Bei US-Anbietern ohne DPF-Zertifizierung und in Drittländern ohne Angemessenheitsbeschluss braucht es weiterhin Standardvertragsklauseln (SCC) plus zusätzliche Schutzmaßnahmen.
Achten Sie auf EU-Hosting: Wo ein Anbieter Daten verarbeitet und welche Subunternehmer beteiligt sind, steht im AVV und in der Datenschutzerklärung, prüfen Sie das vor Vertragsabschluss.
Datenpannen: Wer meldet wann an wen?
Eine Datenpanne ist nach Art. 4 Nr. 12 DSGVO eine "Verletzung der Sicherheit, die... zu... unbefugter Offenlegung von oder unbefugtem Zugang zu personenbezogenen Daten führt". Beispiele aus dem Fuhrpark-Kontext:
- Smartphone mit Tank-App wird gestohlen, App nicht sofort gesperrt
- Cloud-Anbieter wird gehackt, Tankvorgänge sind exfiltriert
- Excel-Liste mit Fahrer-Daten landet versehentlich per E-Mail beim falschen Empfänger
- Mitarbeiter exportiert vollständige Fahrer-Liste und nimmt sie mit zur Konkurrenz
Meldepflicht nach Art. 33 DSGVO: Bei einer Datenpanne, die "voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt", müssen Sie die Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden informieren, mit den im Artikel vorgeschriebenen Mindestangaben; bei späterer Meldung ist die Verzögerung zu begründen.
Information der Betroffenen nach Art. 34 DSGVO: Bei "voraussichtlich hohem Risiko" sind zusätzlich die betroffenen Personen direkt zu informieren, und zwar unverzüglich. Anders als bei der Behörden-Meldung gibt es hier keine feste 72-Stunden-Frist.
Wer ist verantwortlich? Sie als Verantwortlicher müssen melden. Der Auftragsverarbeiter (z. B. Ihr Tank-App-Anbieter) muss Sie unverzüglich informieren, wenn die Panne bei ihm passiert. Das gehört in den AVV.
Betroffenenrechte: Auskunft, Löschung, Datenübertragbarkeit
Ihre Fahrer haben nach DSGVO eine Reihe von Rechten, die Sie als Verantwortlicher erfüllen müssen, in der Regel innerhalb eines Monats (Art. 12 Abs. 3 DSGVO):
- Auskunft (Art. 15): Welche Daten haben Sie über mich, zu welchem Zweck, an wen weitergegeben?
- Berichtigung (Art. 16): Falsche Daten korrigieren.
- Löschung (Art. 17): Daten löschen, wenn die Speicherzweck weggefallen ist (z. B. nach Beschäftigungsende und Ablauf gesetzlicher Aufbewahrungspflichten).
- Einschränkung (Art. 18): Verarbeitung stoppen, wenn z. B. die Richtigkeit der Daten bestritten wird.
- Datenübertragbarkeit (Art. 20): Daten in einem strukturierten Format herausgeben.
- Widerspruch (Art. 21): Verarbeitung beenden, wenn die Rechtsgrundlage Interessenabwägung war.
Praktisch heißt das: Ihr Anbieter muss Auskunfts- und Löschanfragen zuverlässig bedienen können. Bei DKV InstantFuel stehen die zuständigen Datenschutz-Kontakte auf der Datenschutz-Seite.
Compliance-Audit-Checkliste
Hier ist eine kompakte Selbst-Audit-Checkliste für Ihren Fuhrpark:
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) angelegt und aktuell?
- AVV mit allen Cloud-Dienstleistern (Tank-App, FMS, Telematik) abgeschlossen?
- TOMs der Dienstleister liegen schriftlich vor (Anlage zum AVV)?
- Datenschutz-Informationen für Fahrer schriftlich kommuniziert (Art. 13/14 DSGVO)?
- Bei Geo-Tracking: Betriebsvereinbarung (wenn BR existiert)?
- Bei Drittland-Transfer: Angemessenheitsbeschluss (z. B. EU-US DPF) geprüft bzw. SCC + zusätzliche Maßnahmen dokumentiert?
- Löschkonzept dokumentiert (welche Daten wann gelöscht werden)?
- Verfahren für Auskunftsersuchen festgelegt?
- Datenpannen-Meldeprozess definiert (intern + an Aufsichtsbehörde)?
- Datenschutz-Folgenabschätzung (DSFA) durchgeführt, falls erforderlich?
Wenn 8+ Häkchen gesetzt sind, sind Sie auf einem guten Stand. Bei weniger als 5: dringend nachholen.
Häufige Fragen zur Fuhrpark-DSGVO
Brauche ich einen Datenschutzbeauftragten?
Ein DSB ist nach § 38 BDSG verpflichtend, wenn Ihr Unternehmen mindestens 20 Personen "ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt". Für die meisten KMU-Flotten (Kleinflotten) ist das nicht zutreffend, wenn die Datenverarbeitung selbst weniger als 20 Mitarbeitende dauerhaft beschäftigt. Im Zweifel: einen externen DSB für ein paar 100 € pro Monat beauftragen.
Brauche ich für jeden Cloud-Dienstleister einen eigenen AVV?
Ja. Jeder Auftragsverarbeiter braucht einen eigenen AVV. Sie können die AVVs einheitlich aufbauen, aber jeder muss separat unterzeichnet werden.
Was passiert, wenn ich keine DSGVO-Compliance habe?
Bußgelder nach Art. 83 DSGVO können bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes reichen (je nachdem, welcher Betrag höher ist), das obere Ende gilt für die schwerwiegendsten Verstöße. Realistischer für KMU-Flotten: Bußgelder im niedrigen vierstelligen bis fünfstelligen Bereich bei Aufsichtsbehörden-Beanstandungen. Plus: Reputationsschaden, Auseinandersetzungen mit Beschäftigten.
Darf ich Privatfahrten meiner Dienstwagen-Nutzer einsehen?
Bei der 1%-Regelung: Sie brauchen für die Lohnsteuer-Berechnung nicht die Privatfahrten-Details, sondern nur den Bruttolistenpreis des Fahrzeugs. Beim Fahrtenbuch (Alternative zur 1%-Regelung): Hier sind Privatfahrten zu dokumentieren, aber nur mit dem Vermerk "privat", keine Detail-Information zu Routen, Zielen oder Personen. Das volle Bewegungsprofil dürfen Sie nicht einsehen.
Wie lange muss ich Tankbelege aufbewahren?
Steuerrechtlich: 8 Jahre. Die Aufbewahrungsfrist für Buchungsbelege (dazu zählen Tankbelege) wurde mit dem Vierten Bürokratieentlastungsgesetz zum 1. Januar 2025 von 10 auf 8 Jahre verkürzt (§ 147 Abs. 3 AO); für Handelsbücher, Inventare und Jahresabschlüsse bleiben es 10 Jahre. DSGVO-seitig ist die Aufbewahrung über diese Frist zulässig, weil die gesetzliche Pflicht als Rechtsgrundlage zählt (Art. 6 Abs. 1 lit. c DSGVO). Nach Ablauf: Löschpflicht.
Kurzfazit
DSGVO im Fuhrpark ist kein Hexenwerk, aber auch nichts, was man "nebenbei macht". Die drei wichtigsten Stellschrauben:
- AVV mit allen Cloud-Dienstleistern, vor Vertragsabschluss prüfen, ob der Anbieter einen AVV-Entwurf bereithält.
- Datenminimierung, nur erfassen, was Sie wirklich brauchen, und nur dort, wo eine klare Rechtsgrundlage existiert.
- Transparente Information an Ihre Fahrer (Art. 13/14 DSGVO), am besten als Standardformular beim Onboarding.
Wenn diese drei Punkte sitzen, ist der Großteil der DSGVO-Last gemanagt, der Rest sind Detail-Punkte, die im Einzelfall auftauchen.
Hinweis: Dieser Leitfaden ersetzt keine Rechtsberatung. Sprechen Sie bei konkreten Fragen mit Ihrer/Ihrem Datenschutzbeauftragten oder einer Fachanwältin/einem Fachanwalt für IT-Recht.
Vertiefend lesen im Hub DSGVO & Fuhrpark:
Anschluss-Themen:
- Flottendigitalisierung 2026: Der vollständige Leitfaden, der digitale Workflow hinter den Compliance-Fragen
Rechtliche Grundlagen:
- DSGVO (Verordnung 2016/679), eur-lex.europa.eu
- Art. 5 DSGVO (Grundsätze): dejure.org/gesetze/DSGVO/5.html
- Art. 28 DSGVO (Auftragsverarbeitung): dejure.org/gesetze/DSGVO/28.html
- Art. 33 DSGVO (Datenpanne): dejure.org/gesetze/DSGVO/33.html
- § 87 BetrVG (Mitbestimmung): gesetze-im-internet.de/betrvg/__87.html
- § 26 BDSG (Beschäftigtendatenschutz, siehe aber EuGH C-34/21): gesetze-im-internet.de/bdsg_2018/__26.html
- § 21 StVG (Halterverantwortung): gesetze-im-internet.de/stvg/__21.html
- § 147 AO (Aufbewahrungsfristen): gesetze-im-internet.de/ao_1977/__147.html
- Angemessenheitsbeschluss EU-US Data Privacy Framework, Beschluss (EU) 2023/1795: eur-lex.europa.eu