Datenschutz bei der Zeiterfassung: was der Arbeitgeber darf

Wer Arbeitszeiten erfasst, verarbeitet personenbezogene Daten von Beschäftigten. Das ist kein Nebenaspekt, sondern der Grund, weshalb die Einführung einer Zeiterfassung regelmäßig mehr Diskussion auslöst als ihre technische Umsetzung — und weshalb die Frage „darf der Arbeitgeber das überhaupt?“ so häufig gestellt wird.

Die kurze Antwort: er darf nicht nur, er muss. Die längere Antwort betrifft die Grenzen.

Die Rechtsgrundlage — und warum es nicht die Einwilligung ist

Die Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für die Arbeitszeiterfassung ist das lit. c: Erfüllung einer rechtlichen Verpflichtung. Die Verpflichtung ist die Aufzeichnungspflicht selbst — in Österreich § 26 AZG, in Deutschland § 3 Abs. 2 Nr. 1 ArbSchG in der Auslegung des BAG, dazu § 16 Abs. 2 ArbZG und § 17 MiLoG.

Ergänzend gilt in Deutschland § 26 Abs. 1 BDSG, der die Verarbeitung von Beschäftigtendaten erlaubt, soweit sie für die Durchführung des Beschäftigungsverhältnisses erforderlich ist.

Die Einwilligung ist hier der falsche Weg, und das ist wichtiger als es klingt. Eine Einwilligung ist widerruflich. Widerruft ein Mitarbeiter, müsste der Arbeitgeber die Verarbeitung einstellen — und damit eine gesetzliche Pflicht verletzen. Dazu kommt die Freiwilligkeit: im Beschäftigungsverhältnis ist sie wegen des Abhängigkeitsverhältnisses ohnehin fragwürdig.

Wer seine Zeiterfassung auf eine Einwilligung stützt, hat also nicht nur eine unnötig schwache Grundlage, sondern eine, die im Konfliktfall zusammenbricht.

Die drei Grundsätze, an denen es scheitert

Art. 5 Abs. 1 DSGVO enthält die Regeln, an denen sich eine Zeiterfassung in der Praxis messen lassen muss.

Zweckbindung. Erhoben wird zur Einhaltung der Arbeitszeitvorschriften und zur Lohnverrechnung. Wer die Daten anschließend zur Leistungsbeurteilung auswertet, verarbeitet sie zu einem anderen Zweck — und braucht dafür eine eigene Grundlage. Ein Ranking „wer kommt am spätesten“ aus Stempeldaten ist genau dieser Fall.

Datenminimierung. Erhoben wird, was für den Zweck erforderlich ist. Beginn, Ende, Pausen. Nicht der Standort, nicht die Anwesenheit am Schreibtisch in Fünf-Minuten-Intervallen, nicht die Tastaturaktivität. Der österreichische § 26 Abs. 3 AZG zeigt das Prinzip sogar im Arbeitszeitrecht selbst: wer Zeit und Ort selbst bestimmt, für den genügt die Tagesdauer — mehr zu erheben wäre nicht erforderlich.

Speicherbegrenzung. Nach Ablauf der Aufbewahrungsfrist ist zu löschen. Eine Aufbewahrungspflicht ist eine Untergrenze und gleichzeitig eine Obergrenze; sie rechtfertigt nicht, Daten unbefristet vorzuhalten.

Die Grenze zur Verhaltens- und Leistungskontrolle

Hier liegt die eigentliche Konfliktlinie. Eine Zeiterfassung, die Beginn und Ende festhält, ist unproblematisch. Dieselbe Software, die zusätzlich Standort, Anwendungsnutzung oder Untätigkeitsphasen erfasst, ist etwas anderes: eine Überwachungsmaßnahme, die eine eigene Rechtfertigung braucht und in Deutschland der Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG unterliegt.

Drei Fälle, in denen Betriebe unbeabsichtigt die Grenze überschreiten:

• GPS beim Stempeln. Verbreitet, um „Stempeln von der Couch“ zu verhindern. Erhebt aber Bewegungsdaten und braucht eine eigene Grundlage sowie in der Regel eine Betriebsvereinbarung. Für die Aufzeichnungspflicht ist der Ort irrelevant.
• Screenshots oder Aktivitätsmessung in Software für Projektzeiten. Für die Arbeitszeitaufzeichnung nicht erforderlich, und in Deutschland ohne Mitbestimmung nicht einsetzbar.
• Der Abwesenheitsgrund im Klartext. „Krank“ ist eine Abwesenheitsart und zulässig. Die Diagnose ist ein Gesundheitsdatum nach Art. 9 DSGVO und in einer Zeiterfassung nicht zu rechtfertigen.

Betriebsvereinbarung: wann sie nötig ist und was hineingehört

In Deutschland ist die Einführung einer technischen Einrichtung, die geeignet ist, Verhalten oder Leistung zu überwachen, nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. „Geeignet“ genügt — es kommt nicht darauf an, ob der Arbeitgeber überwachen will. Eine elektronische Zeiterfassung fällt darunter. Existiert ein Betriebsrat, ist die Vereinbarung also kein Kann.

Sie ist zugleich eine Chance: § 26 Abs. 4 BDSG erkennt Kollektivvereinbarungen ausdrücklich als Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten an, unter Beachtung von Art. 88 Abs. 2 DSGVO. Eine gute Betriebsvereinbarung schafft Rechtssicherheit statt sie zu kosten.

Sinnvoller Inhalt:

• welche Daten erfasst werden — abschließend aufgezählt, nicht beispielhaft
• zu welchem Zweck, und ausdrücklich zu welchem nicht (keine Leistungsbeurteilung)
• wer auf welche Daten zugreifen darf: der Mitarbeiter auf seine, die Führungskraft auf die des Teams, die Lohnverrechnung auf das Nötige
• Aufbewahrungsfrist und Löschung
• Umgang mit Korrekturen: wer darf einen Eintrag ändern, und bleibt die Änderung nachvollziehbar
• Verfahren bei Auffälligkeiten — was passiert, wenn die Aufzeichnung eine Ruhezeitverletzung zeigt

In Österreich ergeben sich vergleichbare Zustimmungserfordernisse aus dem Arbeitsverfassungsgesetz; zusätzlich lässt § 26 Abs. 5 AZG Erleichterungen bei den Pausen ausdrücklich nur über Betriebsvereinbarung zu.

Die Pflichten, die man nicht vergessen darf

Auskunft. Art. 15 DSGVO — auf Verlangen eine Kopie der verarbeiteten Daten, nach Art. 12 Abs. 3 DSGVO grundsätzlich binnen eines Monats. In Österreich kommt der eigenständige Anspruch aus § 26 Abs. 8 AZG hinzu.

Verarbeitungsverzeichnis. Die Zeiterfassung ist eine eigene Verarbeitungstätigkeit und gehört ins Verzeichnis nach Art. 30 DSGVO.

Auftragsverarbeitung. Läuft die Zeiterfassung als Software as a Service, ist der Anbieter Auftragsverarbeiter. Ohne Vertrag nach Art. 28 DSGVO ist die Verarbeitung nicht zulässig — unabhängig davon, wie gut das Produkt ist.

Folgenabschätzung. Eine reine Zeiterfassung erfordert in der Regel keine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Kommen systematische Überwachungselemente hinzu — Standort, Aktivitätsmessung —, ändert sich diese Einschätzung.

Das Missverständnis, das am längsten hält

Häufig wird argumentiert, Zeiterfassung sei ein Eingriff, den man Mitarbeitern nicht zumuten solle, und Vertrauensarbeitszeit sei die datenschutzfreundlichere Lösung.

Das steht auf dem Kopf. Die Aufzeichnung dient nach dem Wortlaut des § 26 Abs. 1 AZG der Überwachung der Einhaltung von Arbeitnehmerschutzvorschriften — sie ist ein Instrument zugunsten des Beschäftigten. Der EuGH hat 2019 genau damit begründet, warum sie verpflichtend sein muss: ohne Messung kann ein Arbeitnehmer die Einhaltung seiner Höchstarbeitszeiten nicht durchsetzen.

Wer nicht aufzeichnet, schützt keine Daten. Er nimmt dem Mitarbeiter das Beweismittel.