Zeiterfassung und Datenschutz: was zulässig ist

Die Rechtsgrundlage

Für die Zeiterfassung selbst kommen zwei Grundlagen in Betracht: Art. 6 Abs. 1 Buchstabe b DSGVO, weil die Verarbeitung für die Durchführung des Arbeitsvertrags erforderlich ist, und Art. 6 Abs. 1 Buchstabe c DSGVO, weil eine rechtliche Verpflichtung besteht.

Auf eine Einwilligung sollte man sich nicht stützen. Im Beschäftigungsverhältnis ist ihre Freiwilligkeit zweifelhaft, und sie ist jederzeit widerruflich. Eine Pflichtaufgabe darf nicht davon abhängen, ob jemand zustimmt.

Zur Rolle von § 26 BDSG ist Vorsicht geboten: Der Europäische Gerichtshof hat am 30.03.2023 (C-34/21) entschieden, dass eine landesrechtliche Vorschrift mit diesem Wortlaut den Anforderungen der Öffnungsklausel in Art. 88 DSGVO nicht genügt. Wer sich absichern will, stützt die Verarbeitung auf Art. 6 DSGVO und nutzt eine Betriebsvereinbarung als ergänzende Grundlage nach Art. 88 Abs. 2 DSGVO.

Zweckbindung und Datenminimierung

Erfasst werden darf, was für den Zweck erforderlich ist: Beginn, Ende, Pausen, Abwesenheitsart. Nicht erforderlich sind der genaue Aufenthaltsort, die besuchten Anwendungen, die Zahl der Tastenanschläge oder die Dauer einzelner Vorgänge.

Der Zweck ist die Erfüllung der Aufzeichnungspflicht, die Entgeltabrechnung und die Einhaltung des Arbeitszeitgesetzes. Eine Auswertung zur Bewertung der Leistung einzelner Personen ist davon nicht gedeckt und sollte in der Betriebsvereinbarung ausdrücklich ausgeschlossen werden.

GPS, Fingerabdruck und Kamera

Biometrische Daten wie Fingerabdruck oder Gesichtserkennung sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Ihre Verarbeitung ist grundsätzlich verboten und nur unter engen Voraussetzungen zulässig. Für eine gewöhnliche Zeiterfassung fehlt die Erforderlichkeit, wenn ein Ausweis oder eine PIN denselben Zweck erfüllt. Mehrere Aufsichtsbehörden und Arbeitsgerichte haben biometrische Zeiterfassung deshalb untersagt.

Standortdaten sind zulässig, wenn sie für den Zweck erforderlich sind, etwa bei Montage oder Außendienst zum Nachweis des Einsatzortes. Eine dauerhafte Ortung während der gesamten Arbeitszeit oder gar darüber hinaus ist es nicht.

Dieselbe Linie gilt für Kameras und Software, die den Bildschirm beobachtet: Permanente Überwachung ist unzulässig, weil sie einen Überwachungsdruck erzeugt, der außer Verhältnis zum Zweck steht.

• Ausweis oder PIN statt Fingerabdruck, wenn beides denselben Zweck erfüllt.
• Standort nur, wenn der Einsatzort nachgewiesen werden muss, und nur zum Buchungszeitpunkt.
• Keine dauerhafte Ortung, keine Bildschirmüberwachung, keine Aktivitätsmessung.

Löschfristen

Gelöscht wird, sobald der Zweck entfällt und keine Aufbewahrungspflicht mehr besteht. In der Praxis heißt das: zwei Jahre nach § 17 MiLoG, soweit anwendbar, und die steuerlichen Fristen aus § 147 AO, soweit die Daten Grundlage der Abrechnung sind, also acht Jahre für Buchungsbelege.

Eine Aufbewahrung „für alle Fälle" ist keine Rechtsgrundlage. Die Fristen gehören in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO und in die Betriebsvereinbarung, und sie sollten im System hinterlegt sein.

Pflichten, die man leicht übersieht

Information nach Art. 13 DSGVO: Beschäftigte müssen erfahren, welche Daten zu welchem Zweck auf welcher Grundlage verarbeitet werden, wie lange und wer sie erhält. Eine kurze Beschäftigteninformation reicht.

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter der Software, samt Liste der Unterauftragsverarbeiter.

Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist bei reiner Zeiterfassung meist nicht erforderlich, bei Standortdaten oder biometrischen Merkmalen dagegen regelmäßig schon.

Und die Frage, die im Betriebsrat immer kommt: Wo liegen die Daten und wer betreibt die Server. Ein Rechenzentrum in Deutschland entzieht die Daten nicht dem US-Recht, wenn der Betreiber zu einem US-Konzern gehört.