Datenschutz bei der Zeiterfassung: DSGVO-Anforderungen

Datenschutz bei der Zeiterfassung: DSGVO-Anforderungen

Zeiterfassungsdaten sind personenbezogene Daten und unterliegen dem Datenschutz. Dieser Guide erklärt, wie Sie Zeiterfassung DSGVO-konform gestalten.

Das Wichtigste in Kürze

• Arbeitszeitdaten sind personenbezogene Daten nach DSGVO
• Die Verarbeitung ist durch das Arbeitsverhältnis gerechtfertigt
• Datensparsamkeit: Nur notwendige Daten erfassen
• Mitarbeiter haben Auskunfts- und Löschungsrechte
• Aufbewahrungsfristen einhalten, danach löschen

Zeiterfassungsdaten als personenbezogene Daten

Was sind personenbezogene Daten?

Nach Art. 4 DSGVO sind personenbezogene Daten:

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Welche Zeiterfassungsdaten sind betroffen?

Besondere Kategorien personenbezogener Daten

Art. 9 DSGVO schützt besonders sensible Daten:

Biometrische Daten:

• Fingerabdruck
• Gesichtserkennung
• Iris-Scan

Für diese gelten:

• Höhere Hürden für die Verarbeitung
• Ausdrückliche Einwilligung erforderlich
• Besondere Schutzmaßnahmen

Rechtsgrundlage für die Verarbeitung

Durchführung des Arbeitsvertrags (Art. 6 Abs. 1 lit. b DSGVO)

Die Hauptrechtsgrundlage für Zeiterfassung:

Begründung:

• Arbeitsvertrag verpflichtet zur Arbeitsleistung
• Arbeitgeber muss Arbeitszeit erfassen (gesetzliche Pflicht)
• Lohnabrechnung erfordert Zeitdaten

Keine Einwilligung nötig für:

• Grundlegende Zeiterfassung
• Erfassung für Lohnabrechnung
• Gesetzlich geforderte Dokumentation

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)

Zusätzliche Rechtsgrundlage:

Gesetzliche Pflichten:

• Arbeitszeitgesetz (Dokumentation)
• Mindestlohngesetz (Aufzeichnungspflicht)
• Arbeitsschutzgesetz (nach BAG-Urteil)

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Für erweiterte Funktionen:

Mögliche berechtigte Interessen:

• Projektzeiterfassung für Abrechnung
• Auswertungen für Personalplanung
• Überstundenkontrolle

Abwägung erforderlich:

• Interessen des Arbeitgebers
• vs. Interessen der Mitarbeiter
• Verhältnismäßigkeit prüfen

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Bei besonderen Daten erforderlich:

Einwilligung nötig für:

• Biometrische Erfassung (Fingerabdruck etc.)
• GPS-Tracking über das Notwendige hinaus
• Freiwillige Zusatzfunktionen

Anforderungen an Einwilligung:

• Freiwillig
• Informiert
• Jederzeit widerrufbar
• Dokumentiert

DSGVO-Grundsätze anwenden

Datensparsamkeit

Art. 5 Abs. 1 lit. c DSGVO: Nur notwendige Daten erfassen.

Erlaubt:

• Beginn, Ende, Dauer der Arbeitszeit
• Pausenzeiten
• Projektzuordnung (wenn geschäftlich erforderlich)

Kritisch/Überflüssig:

• Permanente GPS-Verfolgung
• Screenshots des Bildschirms
• Tastaturanschläge
• Webcam-Überwachung

Zweckbindung

Art. 5 Abs. 1 lit. b DSGVO: Nur für festgelegte Zwecke nutzen.

Zulässige Zwecke:

• Arbeitszeitdokumentation
• Lohnabrechnung
• Projektcontrolling
• Arbeitsschutz

Unzulässig ohne weitere Grundlage:

• Leistungsbewertung einzelner Mitarbeiter
• Überwachung des Verhaltens
• Weitergabe an Dritte

Speicherbegrenzung

Art. 5 Abs. 1 lit. e DSGVO: Nicht länger als nötig speichern.

Aufbewahrungsfristen:

Nach Ablauf: Löschen oder anonymisieren

Integrität und Vertraulichkeit

Art. 5 Abs. 1 lit. f DSGVO: Angemessene Sicherheit.

Technische Maßnahmen:

• Verschlüsselung (Übertragung und Speicherung)
• Zugriffskontrollen
• Sichere Authentifizierung
• Backup und Wiederherstellung

Organisatorische Maßnahmen:

• Berechtigungskonzept
• Schulung der Mitarbeiter
• Vorfallmanagement
• Dokumentation

Rechte der Mitarbeiter

Informationspflicht (Art. 13/14 DSGVO)

Mitarbeiter müssen informiert werden über:

• Welche Daten werden erfasst?
• Zu welchem Zweck?
• Auf welcher Rechtsgrundlage?
• Wie lange werden sie gespeichert?
• Wer hat Zugriff?
• Welche Rechte bestehen?

Umsetzung:

• Datenschutzhinweis bei Einführung
• Information im Intranet
• Teil der Betriebsvereinbarung

Auskunftsrecht (Art. 15 DSGVO)

Mitarbeiter können Auskunft verlangen:

• Welche Daten sind gespeichert?
• Zu welchem Zweck?
• An wen wurden sie weitergegeben?

Frist: 1 Monat, verlängerbar auf 3 Monate

Tipp: Moderne Zeiterfassungssysteme bieten Self-Service: Mitarbeiter können ihre Daten jederzeit selbst einsehen.

Recht auf Berichtigung (Art. 16 DSGVO)

Mitarbeiter können Korrektur verlangen bei:

• Falschen Daten
• Unvollständigen Daten

Umsetzung:

• Korrekturworkflow im System
• Dokumentation der Änderungen
• Prüfung durch Vorgesetzten

Recht auf Löschung (Art. 17 DSGVO)

Löschung möglich, wenn:

• Zweck entfallen ist
• Aufbewahrungsfrist abgelaufen
• Einwilligung widerrufen (bei Einwilligung)

Einschränkung: Solange gesetzliche Aufbewahrungspflichten bestehen, keine Löschung.

Besondere Themen

GPS-Tracking und Standortdaten

Wann zulässig?

• Nachweisbares berechtigtes Interesse
• Keine geringeren Mittel möglich
• Nur bei Buchung, nicht permanent

Einwilligung erforderlich bei:

• Permanenter Überwachung
• Erfassung über das Notwendige hinaus

Best Practice:

• Standort nur bei Stempeln erfassen
• Nicht kontinuierlich tracken
• Transparenz über Nutzung

Biometrische Zeiterfassung

Besonders streng reguliert:

• Art. 9 DSGVO: Besondere Kategorie
• Ausdrückliche Einwilligung
• Alternative anbieten (z.B. PIN)

Verhältnismäßigkeitsprüfung:

• Ist Fingerabdruck wirklich nötig?
• Oder reicht Chip/PIN?
• Sicherheitsbedürfnis abwägen

Cloud-Lösungen und Auftragsverarbeitung

Bei externen Anbietern:

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO:

• Pflichten des Anbieters
• Technische Maßnahmen
• Subunternehmer
• Löschung nach Vertragsende

Serverstandort:

• EU bevorzugt (DSGVO gilt)
• Drittländer nur mit Garantien (z.B. Standardvertragsklauseln)
• Prüfung des Anbieters

Betriebsrat und Datenschutz

Mitbestimmung bei:

• Einführung von Zeiterfassungssystemen
• Art der erfassten Daten
• Auswertungsmöglichkeiten

Betriebsvereinbarung kann regeln:

• Umfang der Erfassung
• Zugriffsrechte
• Auswertungen
• Löschfristen

Checkliste: DSGVO-konforme Zeiterfassung

Bei der Einführung

☐ Rechtsgrundlage geprüft ☐ Datenschutzfolgenabschätzung (bei Bedarf) ☐ Mitarbeiter informiert ☐ Betriebsrat einbezogen ☐ AVV mit Anbieter geschlossen

Im Betrieb

☐ Nur notwendige Daten erfasst ☐ Zugriffe auf Berechtigte beschränkt ☐ Mitarbeiter können eigene Daten einsehen ☐ Korrekturen möglich ☐ Technische Sicherheit gewährleistet

Bei der Datenhaltung

☐ Aufbewahrungsfristen dokumentiert ☐ Automatische Löschung eingerichtet ☐ Keine Nutzung für andere Zwecke ☐ Sichere Speicherung

Häufige Fragen zum Datenschutz bei Zeiterfassung

Fazit

Datenschutz und Zeiterfassung lassen sich gut vereinbaren. Die DSGVO verbietet keine Zeiterfassung, sondern gibt einen Rahmen vor: Nur notwendige Daten, klar definierte Zwecke, angemessene Sicherheit und Respekt für die Rechte der Mitarbeiter. Mit dem richtigen System und klaren Prozessen erfüllen Sie alle Anforderungen.