Arbeitszeiterfassung & DSGVO: Was du beachten musst

Zeiterfassung ist Pflicht — aber sie verarbeitet sensible Personaldaten. Worauf es datenschutzrechtlich ankommt, kompakt erklärt.

Zeiterfassung verarbeitet personenbezogene Daten

Sobald du Arbeitszeiten erfasst, verarbeitest du personenbezogene Daten im Sinne der DSGVO. Dazu zählen nicht nur Beginn, Ende und Dauer der täglichen Arbeitszeit, sondern auch Pausen, Überstunden und Abwesenheiten wie Urlaub oder Krankheit. Diese Daten lassen sich einzelnen Mitarbeitenden zuordnen — und unterliegen damit den Regeln des Datenschutzes.

Das heißt nicht, dass Zeiterfassung problematisch ist. Es bedeutet nur: Wer sie betreibt, muss ein paar grundlegende Datenschutzpflichten einhalten.

Rechtsgrundlage

Für die Datenverarbeitung braucht es immer eine Rechtsgrundlage. Bei der Zeiterfassung ist das in aller Regel unkompliziert: Die Verarbeitung ist zur Erfüllung der gesetzlichen Aufzeichnungspflicht erforderlich und erfolgt im Rahmen des Beschäftigungsverhältnisses.

Maßgeblich sind Art. 6 DSGVO (rechtmäßige Verarbeitung, u. a. zur Erfüllung rechtlicher Pflichten und zur Durchführung des Arbeitsvertrags) sowie § 26 BDSG zur Datenverarbeitung im Beschäftigungskontext. Eine gesonderte Einwilligung der Mitarbeitenden ist für die Pflicht-Erfassung daher in der Regel nicht nötig.

Datenminimierung & Zweckbindung

Erheben darfst du nur, was für die Zeiterfassung tatsächlich nötig ist — nicht mehr. Standortverfolgung in Echtzeit, heimliche Überwachung oder verdecktes Tracking des Verhaltens haben hier nichts zu suchen und sind datenschutzrechtlich unzulässig.

Außerdem gilt die Zweckbindung: Daten, die du zur Arbeitszeiterfassung erhebst, dürfen auch nur dafür genutzt werden — nicht etwa, um nebenbei Leistung oder Pausenverhalten zu kontrollieren. Transparenz gegenüber den Beschäftigten gehört dazu: Sie sollten wissen, welche Daten zu welchem Zweck erfasst werden.

Aufbewahrung & Löschung

Arbeitszeitdaten dürfen nur so lange gespeichert werden, wie es nötig oder gesetzlich gefordert ist. Für die Aufzeichnungen nach § 2a Schwarzarbeitsbekämpfungsgesetz gilt etwa eine Aufbewahrungsfrist von mindestens zwei Jahren; aus Lohn- und Steuerunterlagen können sich längere Fristen ergeben. Nach Ablauf der jeweiligen Frist sind die Daten zu löschen.

Praktisch hilfreich ist eine Lösung, mit der sich Daten sauber exportieren und nach Fristablauf gezielt löschen lassen — so behältst du die Kontrolle darüber, was wie lange gespeichert bleibt.

Auftragsverarbeitung (AVV)

Nutzt du für die Zeiterfassung eine Software eines Anbieters, verarbeitet dieser Anbieter die Personaldaten in deinem Auftrag. In diesem Fall verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) zwischen dir als verantwortlichem Arbeitgeber und dem Anbieter.

Der AVV regelt unter anderem, welche Daten zu welchem Zweck verarbeitet werden, welche technischen und organisatorischen Schutzmaßnahmen gelten und dass der Anbieter die Daten nicht für eigene Zwecke nutzt. Ein seriöser Anbieter stellt dir den AVV bereit — bei Presio findest du ihn auf der Seite Sicherheit.

Rechte der Mitarbeitenden

Die DSGVO gibt den Beschäftigten konkrete Rechte. Dazu gehört vor allem das Recht auf Auskunft: Mitarbeitende können erfahren, welche Daten über sie gespeichert sind, und Einsicht in ihre eigenen erfassten Zeiten verlangen. Hinzu kommen Rechte auf Berichtigung unrichtiger Daten und — im Rahmen der gesetzlichen Fristen — auf Löschung.

Eine Zeiterfassung, in der Mitarbeitende ihre eigenen Stunden jederzeit selbst einsehen können, erfüllt das Auskunftsbedürfnis praktisch von allein.