DSGVO und nDSG Compliance für Logistiksoftware: Praxisleitfaden

Logistikbetriebe erzeugen erhebliche Mengen an personenbezogenen Daten: Fahrerstandorte, Namen und Adressen von Lieferempfängern, Fahrzeugtelemetrie und Kundenkontaktdaten. Unter der EU-DSGVO und dem revidierten Schweizer nDSG (revidiertes Bundesgesetz über den Datenschutz, in Kraft seit September 2023) müssen diese Daten rechtmäßig verarbeitet werden.

Dieser Leitfaden erklärt die Compliance-Anforderungen praxisnah — keine Rechtstheorie.

Welche Logistikdaten personenbezogene Daten sind

Mitarbeiter-/Fahrerdaten:

• GPS-Standortdaten (personenbezogene Daten, da sie zeigen, wo sich eine bestimmte Person befindet)
• Arbeitszeiten und Tourenprotokolle
• Leistungskennzahlen (Lieferungen pro Stunde, Geschwindigkeitsüberschreitungen, Bremsverhalten)
• Fahrzeuginspektionsprotokolle, die einem bestimmten Fahrer zugeordnet sind

Kundendaten:

• Name und Adresse des Lieferempfängers
• Telefonnummer (für Lieferbenachrichtigungen)
• E-Mail-Adresse (für POD-/Rechnungszustellung)
• Lieferhistorie und Präferenzen

Betriebsdaten (oft übersehen):

• Videoüberwachungsaufnahmen in Fahrzeugen oder Lagern (falls Personen identifizierbar sind)
• Unterschriftserfassung bei Lieferung (enthält biometrienahe Daten)
• Sprachaufzeichnungen aus Dispositionsfunk/-anrufen

Zentrale DSGVO-/nDSG-Compliance-Anforderungen

1. Rechtmäßige Grundlage der Verarbeitung

Jede Datenverarbeitung braucht eine Rechtsgrundlage. Für die Logistik:

GPS-Tracking von Fahrern: Rechtsgrundlage ist berechtigtes Interesse (betriebliche Notwendigkeit, Fahrzeugsicherheit) ODER der Arbeitsvertrag (wenn das Tracking ausdrücklich im Arbeitsvertrag vorgesehen ist). Das Schweizer nDSG stimmt hierin mit der DSGVO überein.

Kunden-Lieferdaten: Vertragliche Notwendigkeit (die Adresse wird für die Zustellung benötigt). Unkompliziert.

Leistungskennzahlen aus der Telematik: Hier haben Betreiber oft Probleme. Die Nutzung von Telematikdaten zur Bewertung der Fahrerleistung erfordert in der Schweiz eine ausdrückliche Mitarbeiterinformation und unter der DSGVO entweder Einwilligung oder dokumentiertes berechtigtes Interesse.

2. Datenminimierung

Nur das Notwendige erheben. Beispiele für übermäßige Datenerhebung in der Logistik:

• kontinuierliche GPS-Pings im 5-Sekunden-Takt über 3 Jahre speichern (monatliche Aggregate genügen für Abrechnung und Audit)
• durchgehende Aufzeichnung von Kabinenaudio (Vorfälle nur aufzeichnen, wenn von der Versicherung gefordert)
• vollständige Kunden-Lieferhistorien unbegrenzt aufbewahren (die meisten Verträge sehen 7 Jahre für die MWST-Konformität vor, danach Löschung)

3. Aufbewahrungsfristen

Sowohl das Schweizer nDSG als auch die DSGVO verlangen definierte Aufbewahrungsfristen:

Konfigurieren Sie Ihre Logistiksoftware so, dass Daten nach Ablauf der definierten Aufbewahrungsfrist automatisch gelöscht werden.

4. Rechte der betroffenen Personen

Sowohl unter DSGVO als auch nDSG können Personen verlangen:

• Auskunft: alle über sie gespeicherten Daten
• Berichtigung: Korrektur unrichtiger Daten
• Löschung: Löschung von Daten, wenn keine gesetzliche Aufbewahrungspflicht besteht
• Übertragbarkeit: Bereitstellung der Daten in maschinenlesbarem Format

Für Logistikbetreiber:

• Fahrer können ihre GPS-Historie, Leistungsprotokolle und daraus abgeleitete Disziplinareinträge anfordern
• Kunden können ihre Lieferhistorie und Kontaktdaten anfordern

Sie müssen innerhalb von 30 Tagen (nDSG) / einem Monat (DSGVO) antworten. Ihre Software muss personenbezogene Datensätze schnell exportieren können.

5. Auftragsverarbeitungsverträge (AVV)

Verarbeitet der Anbieter Ihrer Logistiksoftware personenbezogene Daten in Ihrem Auftrag (Cloud-Hosting, ML-Analytik), benötigen Sie einen unterzeichneten AVV. Dies ist sowohl nach Art. 28 DSGVO als auch nach nDSG verpflichtend.

Zentrale AVV-Anforderungen:

• Datenstandort: EU/EWR oder CH für Schweizer Betreiber
• Liste der Unterauftragsverarbeiter und Benachrichtigungsverfahren
• Spezifikation der Sicherheitsmaßnahmen
• Frist zur Meldung von Datenschutzverletzungen (72 Stunden an die Behörde)

6. Informationspflichten gegenüber Mitarbeitenden

Nach Schweizer nDSG und DSGVO müssen Mitarbeitende informiert werden über:

• welche Daten erhoben werden (GPS, Telematik, Leistungskennzahlen)
• den Zweck der Erhebung
• die Aufbewahrungsfrist
• ihre Rechte

Dies muss schriftlich erfolgen, idealerweise als eigene Datenschutzhinweis im Arbeitsvertrag oder als eigenständiges Dokument. Ein "Hinweis" in einer allgemeinen Datenschutzrichtlinie, den Mitarbeitende nicht ausdrücklich zur Kenntnis nehmen, genügt nicht.

7. Grenzüberschreitende Datenübermittlungen

Für Schweizer Betreiber, die mit EU- oder Nicht-EU-Softwareanbietern arbeiten:

• Datenübermittlungen von der Schweiz in die EU: gelten nach Schweizer Recht als angemessen (die EU hat einen Angemessenheitsbeschluss für die CH)
• Datenübermittlungen von der Schweiz in Nicht-EU-Länder (USA, Indien): erfordern Standardvertragsklauseln (SCC) oder andere Garantien
• Prüfen Sie die Dokumentation Ihres Softwareanbieters zur Datenübermittlung

Schweizspezifische nDSG-Anforderungen

Das revidierte Schweizer nDSG (in Kraft seit 1. September 2023) führte Anforderungen ein, die im alten DSG fehlten:

1. Privacy by Design und by Default: Softwarekonfigurationen müssen standardmäßig datenschutzfreundlich sein. Für die Datenerhebung über das zwingend Notwendige hinaus ist ein Opt-out- (nicht Opt-in-)Modell erforderlich.

1. Datenschutz-Folgenabschätzung (DSFA): erforderlich für risikoreiche Verarbeitung, einschließlich systematischer Mitarbeiterüberwachung. GPS-Tracking von Fahrern löst in der Regel die DSFA-Pflicht aus.

1. Meldung von Datenschutzverletzungen: Meldung an den EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) innerhalb von 72 Stunden, wenn die Verletzung voraussichtlich ein "hohes Risiko" für betroffene Personen darstellt.

1. Kein Profiling ohne klare Rechtsgrundlage: Automatisierte Fahrerbewertung auf Basis von Telematikdaten ist Profiling nach nDSG — erfordert entweder Einwilligung oder dokumentiertes berechtigtes Interesse.

Praktische Compliance-Checkliste für Logistikbetreiber

• [ ] Schriftlicher Datenschutzhinweis für alle Fahrer (GPS, Telematik, Leistungsdaten)
• [ ] Aufbewahrungsplan in der Logistiksoftware konfiguriert
• [ ] AVV mit dem Softwareanbieter unterzeichnet
• [ ] Prozess zur Bearbeitung von Auskunftsersuchen (Ziel: 30-Tage-Durchlaufzeit)
• [ ] Audit zur Datenminimierung: Erheben Sie mehr als notwendig?
• [ ] DSFA für die Fahrerüberwachung abgeschlossen
• [ ] Dokumentation grenzüberschreitender Übermittlungen (bei Nicht-EU-SaaS)
• [ ] Notfallplan für Datenschutzverletzungen

8Move und Datenkonformität

8Move Fleet Planner, 8Move Driver Pro und 8Move BackOffice sind auf Schweizer Datenkonformität ausgelegt:

• Daten gehostet in Schweizer/EU-Rechenzentren
• konfigurierbare Aufbewahrungsfristen je Datentyp
• Export personenbezogener Datensätze für Auskunftsersuchen
• AVV für alle Unternehmenskunden verfügbar
• Privacy-by-Default-Einstellungen in allen Modulen

FAQ

Ist GPS-Tracking von Fahrern in der Schweiz legal?

Ja, mit angemessener Information der Mitarbeitenden und dokumentierter Rechtsgrundlage (berechtigtes Interesse oder Arbeitsvertragsklausel). Kontinuierliches Tracking ohne Wissen der Mitarbeitenden ist nicht zulässig.

Was passiert bei einer Datenschutzverletzung in unserer Logistiksoftware?

Unter nDSG: Meldung an den EDÖB innerhalb von 72 Stunden, wenn die Verletzung ein hohes Risiko für betroffene Personen darstellt. Betroffene Personen bei Bedarf benachrichtigen. Die Verletzung in jedem Fall intern dokumentieren.

Benötigen wir einen Datenschutzbeauftragten (DSB)?

Unter der DSGVO: für bestimmte risikoreiche Verarbeiter verpflichtend. Unter dem Schweizer nDSG: nicht verpflichtend, aber für Unternehmen, die erhebliche Mengen personenbezogener Daten verarbeiten, wird eine benannte Datenschutz-Kontaktperson empfohlen.

Können wir US-basierte Cloud-Logistiksoftware nutzen?

Ja, aber Sie benötigen Standardvertragsklauseln (SCC) zwischen der EU-/CH-Einheit und dem US-Anbieter sowie eine Transfer Impact Assessment nach aktueller DSGVO-Leitlinie. Manche US-Anbieter haben EU-Tochtergesellschaften, die EU-/CH-Daten verarbeiten — prüfen Sie den Datenfluss.

Siehe auch

• KI-Logistiksoftware Europa 2025
• Datensicherheit in der Schweizer Spitex (FADP)
• Arabische RTL-Logistiksoftware für den GCC-Markt
• Ratgeber Logistiksoftware Schweiz 2025