Zeiterfassung und DSGVO
Arbeitszeitdaten sind personenbezogene Daten. Die Erfassungspflicht liefert die Rechtsgrundlage - sie entbindet aber nicht von Datenminimierung, Löschkonzept und Transparenz.
Rechtsgrundlage
Die Verarbeitung von Arbeitszeitdaten stützt sich regelmäßig auf Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung - hier der Aufzeichnungspflicht) und auf § 26 Abs. 1 BDSG in Verbindung mit Art. 88 DSGVO für die Durchführung des Beschäftigungsverhältnisses.
Eine Einwilligung ist im Beschäftigungsverhältnis meist der schlechtere Weg: Sie muss freiwillig sein und ist jederzeit widerrufbar - bei einer gesetzlichen Pflicht passt das nicht.
Datenminimierung
Erfasst werden sollte, was für Arbeitszeitnachweis und Entgeltabrechnung erforderlich ist: Beginn, Ende, Pausen, Abwesenheitsgründe in grober Kategorie.
Nicht erforderlich - und datenschutzrechtlich heikel - sind GPS-Standortprofile, permanente Screenshots, Tastenanschlag-Protokolle oder biometrische Daten, wenn ein milderes Mittel (etwa eine Karte oder ein Terminal-PIN) genügt. Biometrie fällt unter Art. 9 DSGVO und braucht eine eigene, strenge Grundlage.
Speicherdauer und Löschkonzept
Es gibt keine einheitliche Frist. § 16 Abs. 2 ArbZG verlangt mindestens zwei Jahre für die Aufzeichnung der über acht Stunden hinausgehenden Arbeitszeit. Steuer- und handelsrechtliche Aufbewahrungspflichten (etwa § 147 AO) können längere Fristen für lohnrelevante Unterlagen bedeuten.
Praktisch bewährt: Arbeitszeitdaten nach Ablauf der einschlägigen Frist löschen oder anonymisieren, Abrechnungsunterlagen getrennt nach steuerlichen Fristen aufbewahren - und das Ganze in einem schriftlichen Löschkonzept festhalten.
Betroffenenrechte
Beschäftigte haben Anspruch auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) und Datenübertragbarkeit (Art. 20). In der Praxis heißt das: Ein Beschäftigter muss seine eigenen Zeitdaten einsehen und in einem gängigen Format erhalten können.
Außerdem gehören Zeiterfassungssysteme in das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).
Betriebsrat und Auftragsverarbeitung
Ein Zeiterfassungssystem ist eine technische Einrichtung, die zur Überwachung von Leistung und Verhalten geeignet ist. Besteht ein Betriebsrat, greift das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG für die Ausgestaltung.
Wird eine Cloud-Lösung eingesetzt, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Serverstandort in der EU und transparente Unterauftragnehmer ersparen die Diskussion über Drittlandtransfers.
Häufige Fragen
- Auf welcher Rechtsgrundlage darf Arbeitszeit erfasst werden?
- In der Regel Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung zur Arbeitszeitaufzeichnung) in Verbindung mit § 26 Abs. 1 BDSG für die Durchführung des Beschäftigungsverhältnisses. Eine Einwilligung ist meist nicht der geeignete Weg.
- Wie lange dürfen Zeiterfassungsdaten gespeichert werden?
- Es gibt keine einheitliche Frist. § 16 Abs. 2 ArbZG verlangt mindestens zwei Jahre für Arbeitszeit über acht Stunden; für lohn- und steuerrelevante Unterlagen können längere handels- und steuerrechtliche Fristen gelten. Danach ist zu löschen oder zu anonymisieren.
- Ist Fingerabdruck-Zeiterfassung erlaubt?
- Biometrische Daten sind besondere Kategorien nach Art. 9 DSGVO und nur unter engen Voraussetzungen zulässig. Steht ein milderes Mittel wie eine NFC-Karte zur Verfügung, ist Biometrie in der Regel nicht erforderlich und damit unzulässig.
- Braucht man für eine Cloud-Zeiterfassung einen AV-Vertrag?
- Ja. Wer Arbeitszeitdaten von einem Dienstleister verarbeiten lässt, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Weiterlesen
Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung. Gesetze und Rechtsprechung ändern sich; für Ihren Einzelfall wenden Sie sich bitte an eine Anwältin oder einen Anwalt für Arbeitsrecht.