Stundenzettel, Stechuhr, Chip – es gibt viele Möglichkeiten, um die Arbeitszeit von Arbeitnehmer:innen festzuhalten. Mit dem Gesetzesvorschlag zur Arbeitszeiterfassung und der Etablierung digitaler Methoden rückt nun die Frage nach der Sicherheit der Daten von Beschäftigten in den Fokus. Die wichtigsten Fakten zum Thema Zeiterfassung und Datenschutz fassen wir in diesem Artikel für Sie zusammen.
Unser Team aus erfahrenen Expert:innen im Bereich Datenschutz weiß, welche Compliance-Fragen KMU bewegen. Unsere Beiträge machen das Thema Datenschutz verständlich und zeigen, wie Sie sicher mit Daten umgehen.
Seit Erfindung der Stechuhr hat sich bei der Erfassung der Arbeitszeit viel getan. Die Digitalisierung sorgt für mehr Transparenz und Zeitersparnis. Gleichzeitig entstehen daraus jedoch auch Gefahren für den Datenschutz und die Privatsphäre von Beschäftigten im Unternehmen.
Wie Sie damit umgehen können und inwieweit der Datenschutz bei der Arbeitszeiterfassung eine Rolle spielt, sind Fragen, mit denen sich nahezu alle Unternehmen in Europa seit 2019 auseinandersetzen müssen. Denn 2019 hat der Europäische Gerichtshof (EuGH) entschieden, dass die EU-Mitgliedstaaten die Arbeitgeber dazu verpflichten müssen, die Arbeitszeit ihrer Beschäftigten systematisch zu erfassen (C-55/18). 2022 stellte dann das Bundesarbeitsgericht (BAG) für deutsche Arbeitgeber die Pflicht fest, die Arbeitszeiten ihrer Angestellten zu erfassen (BAG Beschluss v. 13.09.2022 - 1 ABR 22/21). Erfahren Sie hier, wie Sie Zeiterfassung und Datenschutz in Ihrem Unternehmen sicher umsetzen.
Arbeitszeiterfassung & Datenschutz: Die größten Herausforderungen für Unternehmen
Die Vorteile von digitalen Zeiterfassungssystemen sind einleuchtend: Durch Chipkarten oder Transponder wird die geleistete Arbeitszeit bis auf die Minute genau für alle Beteiligten nachvollziehbar registriert. Unternehmen sparen dadurch viel Geld und Aufwand. Gleichzeitig stehen die Verantwortlichen in Betrieben aber vor der Herausforderung, auch bei der elektronischen Arbeitszeiterfassung den Datenschutz ihrer Mitarbeiter:innen sicherzustellen.
Datenschutz-Grundverordnung & Zeiterfassung: Sind Arbeitszeiten personenbezogene Daten?
Gemäß Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Der Europäische Gerichtshof (EuGH) hat 2013 festgestellt, dass aufgezeichnete Arbeitszeiten mit Angabe der Uhrzeit, zu der ein Arbeitnehmer seine Arbeit aufnimmt oder beendet, und Pausen unter diesen Begriff fallen.
Somit betrifft der Datenschutz auch die Zeiterfassung der Mitarbeiter. Das bedeutet, Unternehmen müssen Angaben zu Arbeitszeiten gemäß der DSGVO schützen. Denn theoretisch können die Aufzeichnungen durch Chips oder Apps im Handy dazu verwendet werden, das Arbeitsverhalten von Angestellten durch das Erstellen von Bewegungsprofilen zu kontrollieren.
Außerdem müssen Betriebe dafür sorgen, dass die Daten ihrer Mitarbeiter:innen vor Hackerangriffen geschützt sind. Falls für die Arbeitszeiterfassung biometrische Merkmale der Angestellten verwendet werden, hätte ein Datendiebstahl weitreichende Folgen. Der Datenschutz seitens des Unternehmens basiert auch hier auf den gültigen Gesetzesgrundlagen.
Was ist im Rahmen der DSGVO grundsätzlich bei der digitalen Zeiterfassung zu beachten?
Die Datenverarbeitung mittels digitaler Zeiterfassung ist in der Regel für die Durchführung des Beschäftigungsverhältnisses erforderlich und damit nach § 26 I BDSG zulässig. Eine elektronische Dokumentation von Arbeitsbeginn und -ende ermöglicht die faire Abrechnung von Regelarbeitszeit bzw. geleisteten Überstunden und geschieht so auch im Sinne aller Arbeitnehmer:innen.
Doch gerade bei digital erfassten Daten besteht ein erhöhtes Risiko des Missbrauchs oder Diebstahls durch Dritte. Entscheidend für die Vereinbarkeit von DSGVO und Arbeitszeiterfassung ist deshalb die sogenannte Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO. Diese besagt, dass Daten, die zu einem bestimmten Zweck erhoben werden, auch nur für diesen verwendet werden dürfen. Es wäre also z. B. nicht mit dem Zweckbindungsgrundsatz vereinbar, wenn Aufzeichnungen aus gebäudeinternen Schließsystemen zur Erstellung eines Bewegungsprofils von Mitarbeiter:innen verwendet würden.
Wichtig: Unternehmen müssen ihre Angestellten über Datenschutz und ihre Rechte informieren. Wir bieten Ihnen ein kostenloses Muster für die Datenschutzerklärung für Mitarbeiter an.
Sonderfall: Was gilt bei der biometrischen Zeiterfassung?
Verwendet ein Unternehmen biometrische Merkmale wie Scans der Iris oder Fingerabdrücke, kann die elektronische Zeiterfassung den Datenschutz der Mitarbeiter:innen gefährden. Zwar bieten biometrische Daten den Vorteil, dass Arbeitszeiten und Angestellte einander eindeutig zugeordnet werden können. Dies verhindert Manipulation oder Missverständnisse, was die Nerven aller Beteiligten schont und Zeit spart. Außerdem können diese Merkmale, anders als Chipkarten und andere Medien zur Arbeitszeiterfassung, verloren gehen oder defekt sein.
Voraussetzung für biometrische Zeiterfassung: Datenschutz und Sicherheit vereinbaren
Trotzdem gilt: biometrische Daten sind sogenannte besondere personenbezogene Daten, die nur unter noch strengeren Bedingungen erhoben werden dürfen. Die Erhebung und Verarbeitung dieser sensiblen Daten ist nach § 26 Abs. 3 BDSG erlaubt, wenn sie zur Ausübung oder Erfüllung der Rechte und Pflichten innerhalb eines Arbeitsverhältnisses erforderlich ist. Hierbei muss die Herausgabe besonders schützenswerter Daten und das nötige Maß an Sicherheit für den Betrieb in angemessener Relation stehen.
Der Zugang zu einem besonders sicherungsbedürftigen Arbeitsplatz im Chemielabor spricht also eher für die Erfassung biometrischer Daten als ein Architektur-Büro, bedarf aber aufgrund der Sensibilität der Daten in jedem Fall einer Einzelfallbeurteilung.
Prof. Dr. Boris Paal zur Arbeitszeiterfassung
„Bei der Einrichtung eines Arbeitszeiterfassungssystems sind die Persönlichkeitsrechte der Arbeitnehmer zu beachten. Arbeitgeber müssen insbesondere sicherstellen, dass die Vorgaben des Datenschutzrechts umgesetzt werden.“
Zeiterfassung & Datenschutz: Wie ist die rechtliche Lage?
Ein Urteil aus dem September 2022 brachte eine große Wende beim Thema Zeiterfassung in Deutschland. Das Bundesarbeitsgericht (BAG) hat entschieden, dass Unternehmen in Zukunft dazu verpflichtet sind, die Arbeitszeit von Angestellten systematisch zu erfassen.
Bereits 2019 hat der Europäische Gerichtshof (EuGH) dazu ein Urteil gefällt, worauf sich dieses nationale Urteil des BAG nun stützt. Die Folgen dieses Urteils sind laut Experten weitreichend. Vor allem der Schutz der Arbeitnehmer wird hierbei in den Vordergrund gestellt. So soll zunehmend verhindert werden, dass Arbeitnehmer mehr arbeiten als vertraglich vereinbart. Allerdings werden Arbeitnehmer, um das gewährleisten zu können, auch stärker von den Arbeitgebern kontrolliert.
Im April 2023 legte das Bundesministerium für Arbeit und Soziales (BMAS) den Referentenentwurf eines Gesetzes zur Änderung des Arbeitszeitgesetzes vor, um konkrete Regelungen für die Erfassung der Arbeitszeit zu schaffen. Denn bisher fehlen klare Regelungen und Angaben dazu, wie die Zeiterfassung durchgeführt werden soll.
Das sind die wichtigsten Vorgaben:
Arbeitgeber müssen Beginn, Ende und Dauer der täglichen Arbeitszeit der Arbeitnehmer am Tag der Arbeitsleistung elektronisch erfassen. „Elektronisch“ meint dabei neben Zeiterfassungstools und -apps auch Tabellenkalkulationsprogramme.
Die Pflicht zur Arbeitszeiterfassung in elektronischer Form gilt erst ein Jahr nach Inkrafttreten des Gesetzes, bei Unternehmen mit weniger als 250 Angestellten sind es zwei Jahre, bei weniger als 50 Beschäftigten fünf.
Die Aufbewahrungsfrist richtet sich nach der Dauer des Beschäftigungsverhältnisses und beträgt maximal zwei Jahre.
Die Zeiterfassung kann durch Arbeitnehmer oder Dritte erfolgen, also zum Beispiel durch den Vorgesetzten.
Arbeitnehmer dürfen verlangen, über die aufgezeichnete Arbeitszeit informiert zu werden, zum Beispiel in Form einer Kopie der Aufzeichnungen.
Die Entscheidung, dass Arbeitszeiten elektronisch erfasst werden müssen, ist in Zeiten von Digitalisierung und Homeoffice nachvollziehbar. Laut einer Umfrage des Digitalverbands Bitkom setzen bereits 28 Prozent der Unternehmen, die die Arbeitszeit bereits erfassen, ein elektronisches System ein, bei dem die Zeiten per PC oder Smartphone erfasst werden. Bei 16 Prozent der Unternehmen erfolgt die Zeiterfassung allerdings noch handschriftlich.
<Kasten>Wie schützen Anbieter elektronischer Zeiterfassung Mitarbeiterdaten?<Kasten>
Nicht nur Arbeitgeber müssen jetzt Lösungen für DSGVO-konforme Zeiterfassung finden. Auch die Anbieter elektronischer Zeiterfassungssysteme beschäftigen sich mit Datenschutz und Zeiterfassung.
So unterstützt PCS Systemtechnik GmbH Unternehmen bei Zeiterfassung und Datenschutz:
„Die neue Gesetzesvorlage ist eindeutig: Eine elektronische Arbeitszeiterfassung wird Pflicht. Arbeitnehmerinnen und Arbeitnehmer müssen sich aber keine Sorgen machen, wenn sie sich für eine professionelle Zeiterfassungslösung entscheiden. Als verantwortungsbewusster Hersteller entwickeln wir unsere Lösungen mit einem hohen Datenschutzstandard. Bei unseren INTUS Zeiterfassungsterminals sorgen wir schon seit vielen Jahren durch Sicherheitsmechanismen wie integrierte Firewall, Datenverschlüsselung und mehrstufiges Administrationspasswort für Sicherheit. Und unsere neueste webbasierte Software für Zeiterfassung und Zutrittskontrolle kommuniziert nur über vordefinierte Schnittstellen, die die aktuellen Anforderungen der Datensicherheit erfüllen.“
Owen Hart, Technischer Produktmanager, PCS Systemtechnik GmbH
<Bild>
DSGVO & Arbeitszeiterfassung: So setzen Sie beides sicher um
Der Einsatz von digitalen Arbeitszeiterfassungssystemen reduziert den Aufwand der Zeiterfassung und schafft Transparenz. Elektronische Zeiterfassung kann also für alle Beteiligten von Vorteil sein. Voraussetzung ist, dass die Zeiterfassung DSGVO konform verläuft. Dafür müssen die Betriebsleitung, gegebenenfalls der Betriebsrat und die Mitarbeiter:innen transparent zusammenarbeiten.
Außerdem sollten Unternehmen die rechtliche Entwicklung bei der Arbeitszeiterfassung im Blick behalten und gemeinsam mit ihrem Datenschutzbeauftragten ein Konzept entwickeln, das elektronische Zeiterfassung und Datenschutz in Einklang bringt. Nicht vergessen: Die Zeiterfassung über elektronische Systeme müssen Unternehmen im Verarbeitungsverzeichnis dokumentieren.
