Die vernetzte Mitarbeiterortung kann Notfallreaktionszeiten verkürzen, Personen vor dem Betreten gefährlicher Bereiche warnen und Rettungsteams helfen, Personen nach einem Sturz zu finden. Sie kann auch detailliert protokollieren, wo sich jeder Mitarbeiter aufgehalten hat und wie lange – und genau hier beginnen die Probleme.

Wir haben erlebt, wie Tracking-Projekte bei Sicherheits- und Betriebsteams zunächst Begeisterung auslösten, diese jedoch schnell wieder abflaute, sobald Personalabteilung, Rechtsabteilung oder Arbeitnehmervertreter eingeschaltet wurden. Ihre Sorge gilt selten der Tracking-Technologie selbst, sondern vielmehr der Möglichkeit, dass ein Sicherheitssystem unbemerkt zu einem Überwachungssystem werden könnte.

Datenschutz sollte daher von Anfang an eine Grundvoraussetzung sein und nicht erst nach der Pilotphase als Compliance-Aufgabe hinzugefügt werden. Das Ziel ist klar: Genügend Informationen sammeln, um die Mitarbeiter zu schützen, ohne dabei unnötigerweise Aufzeichnungen über ihren Arbeitstag zu erstellen.

Mitarbeiter-Tracking vs. Mitarbeiterüberwachung: Worin besteht der Unterschied?

Ein Arbeiter drückt in einer Chemieanlage einen Panikknopf. Das Einsatzteam benötigt umgehend die genaue Positionsangabe. Das ist ein klarer Sicherheitsgrund.

Später öffnet ein Manager dasselbe System, um zu vergleichen, wie lange einzelne Mitarbeiter in verschiedenen Arbeitsbereichen verbracht haben. Die Daten selbst haben sich nicht verändert, der Zweck jedoch schon. Was ursprünglich als Notfall-Tracking diente, wird nun zur Leistungsüberwachung eingesetzt. Genau hier scheitern viele Projekte.

Gemäß der EU-Datenschutz-Grundverordnung (DSGVO) müssen Organisationen den Zweck der Verarbeitung personenbezogener Daten festlegen, nur die für diesen Zweck erforderlichen Daten erheben und diese nicht länger als nötig speichern. Artikel 25 DSGVO fordert zudem Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Artikel 35 hingegen kann eine Datenschutz-Folgenabschätzung vorschreiben, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen darstellt. ⁽¹⁾

Eine Geräte-ID kann auch dann als personenbezogenes Datum gelten, wenn die Datenbank den Namen des Mitarbeiters nicht anzeigt. Wenn eine andere Tabelle die Helm-ID A0372 mit einem namentlich genannten Mitarbeiter verknüpft, bleibt der Standortdatensatz identifizierbar.

Datenschutz durch Technikgestaltung muss daher das gesamte System umfassen:

• Das Wearable und seine Konfiguration
• Gateways, Netzwerkserver und Positionierungs-Engines
• Karten, Dashboards, Datenbanken und Exporte
• Die Personen und Prozesse, die auf die Informationen zugreifen können

Verschlüsselung ist wichtig, aber nur eine Ebene. Zum Beispiel die Lansitec-Verschlüsselung. LoRaWAN-Helmsensor verwendet AES128 für seine LoRaWAN Die Kommunikation schützt die Datenübertragung, legt aber nicht fest, ob ein Vorgesetzter die Bewegungshistorie der letzten sechs Monate einsehen soll. Diese Entscheidung muss der Verantwortliche für die Bereitstellung in der Anwendung und ihren Betriebsrichtlinien treffen.

Wie man einen klaren Zweck für die Mitarbeiterverfolgung definiert

“Mitarbeiter-Tracking” ist ein zu allgemeiner Begriff, um eine datenschutzkonforme Implementierung zu gewährleisten. Definieren Sie stattdessen die konkreten Sicherheitsziele. Eine geeignete Zweckbestimmung könnte lauten:

Das System erkennt von Mitarbeitern ausgelöste Alarme, Stürze, das Betreten definierter Gefahrenzonen und das Überschreiten der zulässigen Aufenthaltsdauer in Kontrollbereichen. Es übermittelt autorisierten Einsatzkräften während eines akuten Sicherheitsereignisses oder einer Evakuierung Standortinformationen.

Diese Erklärung setzt sinnvolle Grenzen. Sie berechtigt nicht zu Produktivitätsbewertungen, kontinuierlicher Anwesenheitsanalyse, individueller Routenoptimierung oder disziplinarischer Überwachung.

Die Zweckbindung verhindert zudem eine unbemerkte Erweiterung nach der Implementierung. Möchte das Management die Standortdaten später aus einem anderen Grund nutzen, muss die Organisation eine separate Prüfung auf Notwendigkeit, Verhältnismäßigkeit und Rechtsgrundlage durchführen. Sicherheitsdaten sollten nicht automatisch zu Leistungsdaten werden, nur weil das Dashboard dies ermöglicht.

Wie ereignisbasierte Mitarbeiterverfolgung die Privatsphäre schützt

Nicht jeder benötigt eine Live-Übersicht aller Mitarbeiter. Ein datenschutzfreundliches System kann die routinemäßige Übersicht grob halten und bei definierten Ereignissen detailliertere Informationen anzeigen. Unter normalen Bedingungen könnte das Dashboard beispielsweise Folgendes anzeigen:

• Die Anzahl der Personen in jeder Sicherheitszone
• Ob die zugewiesenen Wearables online sind
• Ungeklärte Stürze, Panikattacken, Überschreitungen der Aufenthaltsdauer oder Zonenalarme
• Der Evakuierungsstatus eines Arbeitsbereichs

Wenn ein Mitarbeiter den Panikknopf drückt, kann das System den aktuellen oder zuletzt bekannten Standort dieser Person an das autorisierte Einsatzteam übermitteln. Dieselbe Regel gilt nach einem Sturzalarm, während einer Evakuierung oder wenn sich jemand zu lange in einem geschlossenen Raum aufhält.

Dies ist eine reine Notfall-Sichtbarkeit. Sie bietet Einsatzkräften die benötigten Informationen, ohne Routineeinsätze in eine kontinuierliche Überwachung zu verwandeln.

Der Lansitec Helmsensor bietet eine praktische Grundlage für diesen Ansatz. Er unterstützt GNSS-Positionierung im Freien, Bluetooth-Positionierung in Innenräumen, konfigurierbare Meldeintervalle, Erkennung von Abnutzung und Stürzen, Panikalarme, Zonenalarme und Alarme bei Überschreitung der Aufenthaltsdauer. Die vom Kunden gewählte Plattform muss jedoch festlegen, wer die generierten Daten unter welchen Bedingungen einsehen kann.

Rollenbasierter Zugriff auf Mitarbeiterstandortdaten

Ein häufiger Implementierungsfehler besteht darin, Managern dieselben Zugriffsrechte wie Einsatzkräften zu gewähren. Dies lässt sich zwar leicht konfigurieren, ist aber schwer zu rechtfertigen.

Berechtigungen entsprechend dem betrieblichen Bedarf zuweisen:

Rolle	Angemessener Zugang	Standardmäßig zu vermeidender Zugriff
Rettungskraft	Genaue Standortbestimmung während eines aktiven Alarms, einer Evakuierung oder einer Rettung	Routinemäßige historische Bewegung
EHS-Manager	Sicherheitswarnungen, Vorfallberichte, Zonenrisikotrends	Unabhängige, ereignisbezogene Nachverfolgung
Linienvorgesetzter	Mitarbeiterzahl, Gerätestatus, ungelöste Warnmeldungen	Kontinuierlicher individueller Standortverlauf
Personalwesen	Richtlinien, Beschwerden und genehmigte Vorfallsdokumentation	Live-Arbeiterkarten
IT-Administrator	Gerätestatus, Konfiguration, pseudonyme Geräte-IDs	Mitarbeiteridentitätszuordnung, wo nicht erforderlich

Trennen Sie Identitäts- und Standortdaten nach Möglichkeit. Ein IT-Administrator muss möglicherweise einen Helmsensor reparieren, ohne zu wissen, wer ihn trägt. Ein Rettungsdienstmitarbeiter benötigt im Notfall möglicherweise die Verbindung zwischen Identität und Standort. Keine dieser Anforderungen rechtfertigt jedoch, jedem Administrator uneingeschränkten Zugriff auf beide Datensätze zu gewähren.

Privilegierter Zugriff sollte auch individuelle Konten erfordern. Gemeinsam genutzte Zugangsdaten für einen “Kontrollraum” machen es unmöglich festzustellen, wer den Verlauf eines Mitarbeiters eingesehen oder exportiert hat.

Wie lange sollten Standortdaten von Mitarbeitern gespeichert werden?

Die kontinuierliche Ortung kann eine enorme Menge an Standortdaten erzeugen. Diese Daten “nur für den Fall der Fälle” aufzubewahren, erhöht das Risiko in den Bereichen Recht, Cybersicherheit und Mitarbeiterbeziehungen, ohne die Sicherheit zwangsläufig zu verbessern.

Erstellen Sie für jede Datenkategorie einen eigenen Aufbewahrungsplan anstatt eines allgemeinen Zeitraums:

Datenkategorie	Praktischer Ansatz zur Kundenbindung
Live-Standort	Für den laufenden Betrieb verwenden; eine kontinuierliche Spurenspeicherung vermeiden, es sei denn, dies ist erforderlich.
Routine-Zonenpräsenz	Löschen oder zusammenfassen, nachdem der betriebliche Bedarf entfallen ist
Panik, Sturz oder Überschreitung der Aufenthaltsdauer	Gemäß der genehmigten Richtlinie zur Vorfallsuntersuchung aufbewahren.
Gerätediagnose	Wenn möglich, getrennt von der Identität des Mitarbeiters aufbewahren.
Zusammengefasste Sicherheitstrends	Längere Aufbewahrung nur nach erfolgreicher Anonymisierung
Zuteilung von Besucherausweisen	Sie erlöschen nach dem Besuch und einer kurzen Versöhnungszeit.

Es gibt keine allgemeingültige Aufbewahrungsfrist, die für jeden Einsatz geeignet ist. Arbeitsschutzbestimmungen, Anforderungen an die Untersuchung von Vorfällen, Versicherungspflichten und nationale Arbeitsgesetze variieren. Artikel 88 der DSGVO erlaubt es den EU-Mitgliedstaaten ausdrücklich, detailliertere Regelungen zur Verarbeitung von Beschäftigungsdaten einzuführen. ⁽¹⁾

Wichtig ist, jeden Erfassungszeitraum vor Beginn festzulegen und zu dokumentieren. Die Löschung sollte dann automatisch erfolgen. Eine Richtlinie wie “Löschen nach 30 Tagen” ist wenig wert, wenn die Datensätze nicht tatsächlich aus der Hauptdatenbank, den Exporten und den Backups entfernt werden.

Wie man Mitarbeiter-Tracking-Daten nutzt, ohne Mitarbeiter zu identifizieren

Systeme zur Vernetzung von Mitarbeitern können nützliche Muster aufzeigen, ohne Einzelpersonen namentlich zu nennen. Sicherheitsteams möchten möglicherweise Folgendes wissen:

• Welche Gefahrenzonen lösen die meisten Warnmeldungen aus?
• Wenn Überbelegung oder Überschreitung der Aufenthaltsdauer auftreten
• Wie lange dauert die Evakuierungszählung?
• Ob bestimmte Gebiete eine schwache Positionierungsabdeckung aufweisen

Diese Fragestellungen erfordern in der Regel Trendanalysen, nicht individuelle Bewegungsmuster. Die Aggregation von Daten reduziert das Datenschutzrisiko, beseitigt es aber nicht vollständig. Ein Bericht, der ausweist, dass sich “ein Mitarbeiter” 47 Minuten in einem abgesperrten Raum aufgehalten hat, kann diese Person dennoch identifizieren. Legen Sie Mindestgruppengrößen fest, unterdrücken Sie sehr kleine Gruppen, entfernen Sie unnötige Zeitstempel und prüfen Sie, ob Kombinationen aus Schicht, Funktion und Standort Rückschlüsse auf eine Person zulassen.

Pseudonymisierung und Anonymisierung sind nicht dasselbe. Die Ersetzung des Namens eines Mitarbeiters durch eine Gerätenummer ist Pseudonymisierung, wenn das Unternehmen die Nummer wieder der Person zuordnen kann. Die Daten unterliegen weiterhin den Datenschutzbestimmungen.

Umgang mit Besuchertracking und temporären Ausweisen

Besucherausweise bergen ein kleineres, aber leicht zu übersehendes Datenschutzproblem. Gäste nehmen möglicherweise nicht an der Mitarbeiterbesprechung teil, verstehen die Fachbegriffe vor Ort nicht oder erwarten nicht, dass ihre Bewegungen aufgezeichnet werden.

Verwenden Sie einen temporären Besucherausweis und pflegen Sie die Zuordnung der Ausweise im Empfangs- oder Zutrittskontrollsystem. Erklären Sie bei der Ausgabe die Funktion des Ausweises, insbesondere wenn dieser Warnmeldungen für den Zoneneintritt auslöst. Der Zutritt sollte am Ende des Besuchs automatisch ablaufen.

Verwenden Sie die Zuweisungsdaten des vorherigen Besuchers nicht wieder, wenn Sie den Ausweis an eine neue Person aushändigen. Das physische Gerät kann wiederverwendet werden, die Identitätszuordnung und die Sitzungsdaten müssen jedoch vorher gelöscht werden.

Bei vielen Standorten kann die Besuchererfassung weiterhin ausschließlich ereignisbasiert erfolgen: Zutritt bestätigt, Warnung vor gesperrter Zone, Notfall-Zusammentreiben, und die Rückgabe des Abzeichens. Eine detaillierte historische Route bietet in der Regel wenig Mehrwert.

Was Arbeitnehmer über Standortverfolgung wissen sollten

Eine vage Aussage wie “Die Ortung dient Sicherheits- und Betriebszwecken” schafft kein Vertrauen. Sie lässt zudem zu viel Interpretationsspielraum.

Die Arbeitnehmer sollten auf vier Fragen Antworten in einfacher Sprache erhalten:

1. Welche Ereignisse und Standortdaten erfasst das Gerät?
2. Wer kann Live- und historische Informationen einsehen?
3. Wie lange werden die einzelnen Datensatztypen aufbewahrt?
4. Können die Daten für Leistungs- oder Disziplinarmaßnahmen verwendet werden?

Die Kommunikation sollte vor dem Pilotprojekt erfolgen, nicht erst nachdem die Arbeiter neue Erkenntnisse bemerkt haben. Sensoren auf ihren Helmen.

Auch die Einbeziehung anderer Beteiligter ist wichtig. Sicherheitsbeauftragte, Gewerkschaften, Betriebsräte, die Personalabteilung, die IT-Sicherheit und der Datenschutzbeauftragte können Probleme aufdecken, die dem technischen Team verborgen bleiben. Beispielsweise kann die kontinuierliche GNSS-Berichterstattung während einer Mittagspause außerhalb des Betriebsgeländes fortgesetzt werden. Eine Lösung wäre beispielsweise, die identitätsbezogene Ortung außerhalb der Arbeitszeit zu pausieren, einen Docking-Prozess am Schichtende durchzuführen oder die Berichterstattung auf den Arbeitsplatz zu beschränken.

Gehen Sie nicht davon aus, dass die Zustimmung der Beschäftigten das Problem löst. Die EU-Leitlinien erkennen das Ungleichgewicht zwischen Arbeitgebern und Arbeitnehmern an, weshalb die Zustimmung am Arbeitsplatz häufig als primäre Rechtsgrundlage ungeeignet ist. (3)(4) Die Organisation muss eine geeignete Rechtsgrundlage finden und nachweisen, dass die Erfassung weiterhin notwendig und verhältnismäßig ist.

Wie man den Zugriff auf Mitarbeiterstandortdaten prüft

Wenn die Plattform die Mitarbeiter erfasst, sollte sie auch aufzeichnen, wie Administratoren die Plattform nutzen.

Audit-Protokolle sollten Folgendes erfassen:

• Wer hat die genauen Standortdaten eingesehen?
• Welchen Mitarbeiter- oder Gerätedatensatz haben sie geöffnet?
• Als sie Informationen exportierten, änderten oder löschten
• Ob der Zugriff mit einem Alarm, einer Untersuchung oder einer genehmigten Unterstützungsaufgabe zusammenhängt

Prüfen Sie diese Protokolle. Sammeln Sie sie nicht nur, um eine Checkliste abzuarbeiten.

Für sensible Aktionen können ein Grundcode, eine Ticketnummer oder eine Vorfall-ID erforderlich sein. Bei manchen Bereitstellungen kann zudem eine Zwei-Personen-Genehmigung vor dem Export eines umfangreichen Bewegungsverlaufs sinnvoll sein.

Beachten Sie, dass Audit-Logs personenbezogene Daten von Administratoren enthalten. Beschränken Sie deren Verwendung und Aufbewahrung auf den dokumentierten Zweck.

Wie man die Privatsphäre bei der Mitarbeiterverfolgung vor der Bereitstellung testet

Ein technischer Pilot fragt, ob das System einen Mitarbeiter orten kann. Ein Datenschutztest prüft, ob es sich ordnungsgemäß verhält, wenn niemand in Gefahr ist.

Vor der Live-Schaltung sollten Szenarien wie die folgenden getestet werden:

• Ein Vorgesetzter versucht, einen Mitarbeiter ohne aktiven Alarm zu beobachten.
• Ein Administrator exportiert mehr Verlaufsdaten, als seine Rolle zulässt.
• Ein Besucherausweis bleibt mit seinem vorherigen Träger verbunden.
• Ein Arbeiter verlässt die Baustelle, während er das Gerät noch trägt.

Eine Datenschutz-Folgenabschätzung bietet eine strukturierte Methode zur Untersuchung dieser Risiken. Der Europäische Datenschutzausschuss empfiehlt, Datenschutz durch Technikgestaltung während des gesamten Verarbeitungszyklus anzuwenden – von der Auswahl der Technologie und der Standardeinstellungen bis hin zur Löschung und Stilllegung. ⁽²⁾

Führen Sie diese Arbeiten durch, solange die Konfigurationsmöglichkeiten noch offen sind. Datenschutz wird deutlich teurer, sobald sich Dashboards, Integrationen und Managementerwartungen bereits um uneingeschränkte Daten herum entwickelt haben.

Kann die Erfassung von Mitarbeitern die Sicherheit ohne kontinuierliche Überwachung verbessern?

Die vernetzte Mitarbeiterortung kann Menschen schützen, ohne jede Bewegung auf unbestimmte Zeit zu dokumentieren.

Beginnen Sie mit einem klar definierten Sicherheitszweck. Halten Sie die routinemäßige Sichtbarkeit grob. Geben Sie den genauen Standort nur in definierten Notfällen preis. Trennen Sie die operativen Rollen, beschränken Sie die Aufbewahrung, aggregieren Sie die Analysen, erklären Sie das System verständlich und protokollieren Sie die Zugriffsrechte.

Die Technologie kann sowohl Sicherheit als auch Überwachung unterstützen. Datenschutz durch Design bestimmt, welches System letztendlich eingesetzt wird.

Verweise

1. Verordnung (EU) 2016/679, einschließlich der Artikel 5, 25, 35 und 88
2. Europäischer Datenschutzausschuss: Leitlinien 4/2019 zum Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
3. Artikel-29-Datenschutzgruppe: Stellungnahme 2/2017 zur Datenverarbeitung am Arbeitsplatz
4. Europäische Kommission: Wann ist eine Einwilligung gültig?