GPS und Mitarbeiterüberwachung in Italien: Was Sie für die Konformität brauchen

Was Sie brauchen

Für jede Pflicht sagen wir Ihnen, ob sie in diesem Land gilt: Ja bedeutet verpflichtend, Kommt darauf an nur in bestimmten Fällen, Nein nicht erforderlich.

• Gewerkschaftsvereinbarung (RSA/RSU) oder Genehmigung der Arbeitsaufsichtsbehörde, bevor das System installiert wird

  Javerpflichtend

  GPS ist ein Instrument, das zu einer Fernüberwachung der Beschäftigten führen kann. Artikel 4 des Arbeitnehmerstatuts erlaubt es nur nach einer Gewerkschaftsvereinbarung mit der RSA oder RSU oder einer Genehmigung der territorialen Arbeitsaufsichtsbehörde. Es vor diesem Schritt zu installieren oder anders als genehmigt zu nutzen, ist der schnellste Weg zur Sanktion.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

• Schriftliche Datenschutzinformation für die Beschäftigten, vollständig und wahrheitsgemäß (Artikel 13 DSGVO)

  Javerpflichtend

  Die beschäftigte Person muss klar und wahrheitsgemäß wissen, dass sie geolokalisiert wird, wie, wann und warum (Artikel 13 DSGVO). Im Fall des Güterkraftverkehrs gab es die Information zwar, sie war aber voller Widersprüche und Tippfehler: für die Garante ist das gleichbedeutend damit, keine zu haben.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Verbot der dauerhaften Ortung: Standort nur erhoben, wenn es erforderlich ist (Datenminimierung)

  Javerpflichtend

  Das Fahrzeug rund um die Uhr zu verfolgen, einschließlich der Pausen, verstößt gegen den Grundsatz der Datenminimierung (Artikel 5 DSGVO). Der Standort wird erhoben, wenn er einem legitimen Zweck dient, nicht um stets zu wissen, wo sich die Person befindet. Die dauerhafte Ortung ist einer der Gründe für die Sanktion von 50.000 EUR gegen das Güterkraftverkehrsunternehmen.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Nutzung der Daten ausschließlich für den erklärten Zweck, ohne Weiterverwendung für Disziplinarmaßnahmen

  Javerpflichtend

  Standortdaten dürfen nur für den Zweck genutzt werden, für den sie erhoben wurden. Sie für einen anderen Zweck weiterzuverwenden (etwa zur Überprüfung des Arbeitsorts erhobene Daten, die dann für die Einleitung eines Disziplinarverfahrens genutzt werden) ist eine Zweckentfremdung, und die Garante ahndet das stets. Es ist der Fehler, der die öffentliche Einrichtung im Fall ARSAC teuer zu stehen kam.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Datenschutz-Folgenabschätzung (DSFA)

  Es kommt darauf annur in bestimmten Fällen

  Für eine Verarbeitung dieser Art ist bei hohem Risiko eine DSFA (Artikel 35 DSGVO) erforderlich. Sie wegzulassen, wie im Fall der öffentlichen Einrichtung, stellt für sich genommen einen Verstoß dar.

  Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005

• Speicherung der Daten beschränkt auf die unbedingt erforderliche Zeit

  Javerpflichtend

  Die Daten werden für die für den Zweck erforderliche Zeit aufbewahrt, nicht "zur Sicherheit" unbegrenzt. Im Fall des Güterkraftverkehrs trug die Speicherung über 180 Tage zur Sanktion bei.

  Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287

• Legitimer und erklärter Zweck (organisatorisch, Sicherheit, Schutz des Betriebsvermögens)

  Javerpflichtend

  Organisatorische Erfordernisse, Sicherheit oder der Schutz des Betriebsvermögens sind legitime Zwecke. Niemals "kontrollieren, was die beschäftigte Person tut": genau das verbietet Artikel 4.

  Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4

Das Verfahren, Schritt für Schritt

1. 1

   Schließen Sie das Verfahren nach Artikel 4 vorher ab, nicht danach: eine Vereinbarung mit den Gewerkschaftsvertretungen (RSA oder RSU) oder eine Genehmigung der territorialen Arbeitsaufsichtsbehörde. Ohne sie sind Sie schon ab der ersten Minute außen vor.

2. 2

   Legen Sie einen legitimen und erklärten Zweck fest: organisatorische Erfordernisse, Sicherheit oder Schutz des Betriebsvermögens. Niemals "kontrollieren, was die beschäftigte Person tut".

3. 3

   Erstellen Sie eine vollständige und wahrheitsgemäße Datenschutzinformation nach Artikel 13 DSGVO: ohne Tippfehler, ohne Grauzonen.

4. 4

   Wenden Sie die Datenminimierung an: erheben Sie nur die Daten, die Sie benötigen, und nur dann, wenn Sie sie benötigen. Keine Ortung während der Pausen, sehen Sie eine Abschaltmöglichkeit vor.

5. 5

   Begrenzen Sie die Speicherung: die Daten werden für die für den Zweck erforderliche Zeit aufbewahrt, nicht unbegrenzt.

6. 6

   Führen Sie die Folgenabschätzung (DSFA) durch, wenn das Risiko hoch ist (Artikel 35 DSGVO).

7. 7

   Bleiben Sie bei einem einzigen Zweck: für einen Zweck erhobene Daten werden nicht zur Sanktionierung weiterverwendet. Niemals.

8. 8

   Bei Systemwechsel: Wenn Sie Ihr Überwachungssystem oder Ihre Software wechseln, aktualisieren Sie die Datenschutzinformation und händigen Sie sie erneut aus und prüfen Sie, ob die Gewerkschaftsvereinbarung (Art. 4) oder die Genehmigung der Arbeitsaufsichtsbehörde erneuert werden muss. Anbieter (Auftragsverarbeiter), erhobene Daten und Modalitäten ändern sich oft: die zuvor ausgehändigte genügt nicht.

An wen Sie sich wenden

Die Vorlage zum Download

Was Sie riskieren

Quellen

• Garante Privacy, Provvedimento del 16 gennaio 2025, n. 10112287
• Garante Privacy, Provvedimento del 13 marzo 2025, n. 10128005
• Garante Privacy, newsletter del 29 gennaio 2026 (sanzione settore sementi)
• Legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori), art. 4
• Regolamento UE 2016/679 (GDPR), artt. 5, 13, 25, 35, 88