Die Arbeitszeiterfassung ist für Unternehmen verpflichtend. Doch neben arbeitsrechtlichen Vorgaben müssen Arbeitgeber auch die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllen. Besonders digitale Zeiterfassungssysteme, mobile Apps und Cloudlösungen stellen Unternehmen vor zusätzliche Herausforderungen.

Gesetzliche Grundlagen der Arbeitszeiterfassung

Die Entscheidungen des Europäischen Gerichtshofs (EuGH) aus dem Jahr 2019 und des Bundesarbeitsgerichts (BAG) aus dem Jahr 2022 haben die Anforderungen an die Arbeitszeiterfassung konkretisiert. Arbeitgeber müssen ein objektives, verlässliches und zugängliches System zur Dokumentation der Arbeitszeiten einsetzen.

Dabei spielt die Unternehmensgröße grundsätzlich keine Rolle. Auch kleine und mittelständische Unternehmen müssen sicherstellen, dass Arbeitsbeginn, Arbeitsende und Arbeitszeiten nachvollziehbar dokumentiert werden.

Gleichzeitig unterliegen sämtliche personenbezogenen Arbeitszeitdaten den Vorgaben der DSGVO. Unternehmen müssen daher arbeitsrechtliche Anforderungen und Datenschutz miteinander verbinden.

Welche Arbeitszeitdaten dürfen verarbeitet werden?

Zu den typischen Daten einer Zeiterfassung gehören:

• Beginn und Ende der täglichen Arbeitszeit

• Pausen und Ruhezeiten

• Überstunden und Mehrarbeit

• Schichtpläne und Rufbereitschaften

• Urlaubs- und Abwesenheitszeiten

• Projektbezogene Arbeitszeiten

Grundsätzlich dürfen nur solche personenbezogenen Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind.

Besondere Vorsicht ist bei GPS-Standortdaten, biometrischen Verfahren oder detaillierten Aktivitätsprotokollen geboten. Diese Funktionen können erhebliche Eingriffe in die Persönlichkeitsrechte der Beschäftigten darstellen.

Wichtig: Eine Zeiterfassung darf nicht ohne entsprechende Rechtsgrundlage zur dauerhaften Leistungs- oder Verhaltensüberwachung eingesetzt werden.

Digitale Zeiterfassung und Datenschutz

Viele Unternehmen nutzen inzwischen elektronische Zeiterfassungssysteme, beispielsweise über Terminals, Smartphone-Apps oder browserbasierte Cloudlösungen.

Diese Systeme erleichtern die Verwaltung und ermöglichen eine automatische Übertragung der Arbeitszeitdaten an Personalverwaltung und Lohnabrechnung.

Allerdings entstehen dadurch zusätzliche Datenschutzrisiken. Insbesondere bei Cloudanbietern müssen Unternehmen prüfen, wo die Daten gespeichert werden, welche Zugriffsmöglichkeiten bestehen und ob ein Auftragsverarbeitungsvertrag erforderlich ist.

Auch Schnittstellen zwischen Zeiterfassung und Personalsoftware müssen entsprechend abgesichert werden.

Technische und organisatorische Schutzmaßnahmen

Für eine datenschutzkonforme Verarbeitung müssen Unternehmen geeignete technische und organisatorische Maßnahmen (TOM) umsetzen.

Dazu gehören insbesondere:

• Zugriffsschutz: Nur berechtigte Personen dürfen Arbeitszeitdaten einsehen oder bearbeiten.

• Verschlüsselung: Schutz personenbezogener Daten bei Übertragung und Speicherung.

• Protokollierung: Änderungen an Arbeitszeitdaten müssen nachvollziehbar bleiben.

• Datensicherung: Regelmäßige Backups schützen vor Datenverlust.

• Löschkonzept: Nicht mehr benötigte Daten müssen fristgerecht gelöscht werden.

Diese Maßnahmen sollten regelmäßig kontrolliert und bei technischen Veränderungen angepasst werden.

Informationspflichten gegenüber Beschäftigten

Gemäß Artikel 13 DSGVO müssen Beschäftigte verständlich über die Verarbeitung ihrer Arbeitszeitdaten informiert werden.

Die Datenschutzinformationen müssen insbesondere erläutern, welche Daten erhoben werden, zu welchem Zweck die Verarbeitung erfolgt, wer Zugriff erhält und wie lange die Daten gespeichert bleiben.

Besteht ein Betriebsrat, müssen außerdem dessen Mitbestimmungsrechte berücksichtigt werden. Insbesondere bei elektronischen Systemen, die zur Überwachung von Verhalten oder Leistung geeignet sind, ist § 87 BetrVG relevant.

Aufbewahrungsfristen und Löschung

Arbeitszeitdaten dürfen nicht unbegrenzt gespeichert werden. Für bestimmte Arbeitszeitnachweise sieht § 16 Absatz 2 Arbeitszeitgesetz eine Aufbewahrungsfrist von mindestens zwei Jahren vor.

Abhängig vom Verarbeitungszweck können weitere gesetzliche Aufbewahrungsfristen gelten, beispielsweise bei lohnabrechnungsrelevanten Unterlagen.

Unternehmen sollten deshalb ein dokumentiertes Löschkonzept erstellen und regelmäßig überprüfen.

Fazit: Datenschutz und Zeiterfassung gemeinsam betrachten

Eine rechtskonforme Arbeitszeiterfassung erfordert mehr als die Einführung einer geeigneten Software. Entscheidend sind transparente Prozesse, klare Verantwortlichkeiten, angemessene Sicherheitsmaßnahmen und regelmäßige Datenschutzprüfungen.

Die NBW Beratungsgesellschaft mbH unterstützt Unternehmen bei der datenschutzkonformen Einführung, Bewertung und Optimierung ihrer Zeiterfassungssysteme. Dazu gehören die Überprüfung bestehender Verfahren, die Erstellung erforderlicher Datenschutzdokumentationen sowie die Beratung zu technischen und organisatorischen Maßnahmen.