Auf rechtmäßige Art und informiert
Die betroffene Person hat ein Recht darauf, dass die Daten nur „auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise“ verarbeitet werden. Mitarbeiter wie auch Dritte (betriebsfremde Personen), die beispielsweise ein Firmenfahrzeug nutzen, müssen von der Führerscheinkontrolle bis hin zum Abschluss eines Leasingvertrages durch den Arbeitgeber über den Umgang mit ihren personenbezogenen Daten transparent und umfassend informiert sowie über ihre Rechte aufgeklärt werden. Eine Unterschrift über die Kenntnisnahme, den Erhalt oder gar eine Zustimmung ist dabei nicht erforderlich. Es ist ausreichend, wenn bei der Führerscheinkontrolle beispielsweise das Informationsschreiben zum Zeitpunkt der Schlüsselübergabe am Tresen bereit liegt und einsehbar ist.

Das Verzeichnis der Verarbeitungstätigkeiten
Damit personenbezogene Daten nach den Maßgaben der DS-GVO durch den Verantwortlichen geschützt werden können, muss das Unternehmen ermitteln, in welchen Fällen personenbezogene Daten ver­arbeitet und genutzt werden. Zu dokumentieren und nachzuweisen (Rechenschaftspflicht gemäß Art. 5 Abs. 2 DS-GVO) sind unter anderem: Welcher Zweck wird mit der Verarbeitung verfolgt? Welche personen­bezogenen Daten werden von den Betroffenen ver­arbeitet? Welchen Empfängern werden die personenbezogenen Daten übermittelt? Welche Rechtsgrundlage berechtigt zur Verarbeitung der personenbezogenen Daten? Wie lange werden die personenbezogenen Daten gespeichert? Im Verzeichnis der Verarbeitungstätigkeiten (VVT) sind die entsprechenden Prozesse, wie zum Beispiel Führung des Fahrtenbuches, Führerscheinkontrolle, Unfallmeldung, zu dokumentieren. Es geht dabei nicht nur um Daten, die auf elektronischem Wege erhoben und verarbeitet werden, sondern auch um Papierformate wie zum Beispiel Stammblätter, Verträge oder Dokumentation der Führerscheinkontrolle.

Auftragsverarbeitung
Sobald personenbezogene Daten im Rahmen des Fuhrparkmanagements an einen Dritten zur Ver­arbeitung im Auftrag weitergegeben werden, ist eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DS-GVO mit dem Dienstleister abzuschließen. In diesem Vertrag sind Rechte und Pflichten ­beider Vertragsparteien zu definieren, wie die Informationspflicht bei Datenschutzverletzungen, Vorgehens­weisen bei Auskunftsersuchen, Löschungen während der Vertragslaufzeit sowie nach Beendigung des Vertrages.