Arbeitszeiterfassung und Datenschutz: Was Arbeitgeber beachten sollten

Arbeitszeiten zu erfassen ist für Arbeitgeber nicht nur eine Frage der Organisation. Beginn, Ende und Dauer der täglichen Arbeitszeit sind personenbezogene Daten und unterliegen deshalb den Vorgaben der Datenschutz-Grundverordnung (DSGVO) sowie des deutschen Beschäftigtendatenschutzes. Eine gute Arbeitszeiterfassung muss daher beides leisten: Arbeitszeiten verlässlich dokumentieren und die Privatsphäre der Beschäftigten schützen.

Warum Arbeitszeiten erfasst werden

Arbeitgeber sind verpflichtet, die Arbeitszeit im Rahmen der geltenden Vorgaben zu dokumentieren. Das Bundesarbeitsgericht hat 2022 klargestellt, dass Arbeitgeber ein System einrichten müssen, mit dem die Arbeitszeit erfasst werden kann. Die konkrete Ausgestaltung richtet sich nach den jeweils geltenden gesetzlichen Anforderungen und den betrieblichen Umständen.

Die Aufzeichnungen können unter anderem dazu dienen, Arbeitszeitgrenzen und Ruhezeiten einzuhalten, Überstunden nachvollziehbar zu behandeln und Nachweise gegenüber zuständigen Stellen zu führen. Für jeden Zweck sollten nur die Daten erhoben werden, die tatsächlich benötigt werden.

Welche Daten sind erforderlich?

Im Regelfall reichen Angaben wie Name oder Personalnummer sowie Beginn, Ende und Dauer der Arbeitszeit aus. Je nach Arbeitsmodell können auch Pausen, Abwesenheiten oder Korrekturen relevant sein. Zusätzliche Informationen sollten nur erfasst werden, wenn es dafür einen nachvollziehbaren und rechtmäßigen Grund gibt.

Besonders weitreichende Überwachung ist nicht automatisch gerechtfertigt. Eine Zeiterfassung per GPS, dauerhafte Standortkontrolle oder Bildschirmüberwachung dürfte für die gewöhnliche Erfassung von Arbeitszeiten meist nicht erforderlich sein. Solche Funktionen brauchen eine gesonderte Prüfung und eine klare Begründung.

Rechtsgrundlage und Transparenz

Die Verarbeitung von Arbeitszeitdaten benötigt eine Rechtsgrundlage. Je nach konkreter Pflicht und Ausgestaltung kommen insbesondere gesetzliche Verpflichtungen nach Artikel 6 Absatz 1 Buchstabe c DSGVO sowie Regelungen des Beschäftigtendatenschutzes, etwa § 26 BDSG, in Betracht. Welche Grundlage im Einzelfall trägt, sollte anhand des Zwecks und der geltenden Vorschriften geprüft werden. Eine Einwilligung ist im Arbeitsverhältnis wegen des Abhängigkeitsverhältnisses nicht ohne Weiteres die passende Grundlage.

Beschäftigte müssen verständlich darüber informiert werden, welche Daten erfasst werden, zu welchem Zweck, wer darauf zugreifen kann und wie lange die Daten gespeichert bleiben. Auch Informationen über eingesetzte Dienstleister oder digitale Systeme gehören dazu, sofern sie für die Verarbeitung relevant sind.

Zugriff, Sicherheit und Aufbewahrung

Der Zugriff auf Zeitaufzeichnungen sollte auf Personen beschränkt sein, die ihn für ihre Aufgaben benötigen, beispielsweise zuständige Mitarbeitende in der Personalverwaltung oder Führungskräfte im erforderlichen Umfang. Technische und organisatorische Maßnahmen wie individuelle Zugänge, Rollenberechtigungen, Protokollierung und sichere Übertragung helfen, unbefugte Einsicht oder Veränderung zu verhindern.

Arbeitszeitdaten dürfen nicht unbegrenzt gespeichert werden. Arbeitgeber sollten festlegen, welche Aufbewahrungsfristen für die jeweiligen Aufzeichnungen gelten, und Daten löschen oder anonymisieren, sobald sie für den Zweck und mögliche gesetzliche Nachweispflichten nicht mehr benötigt werden. Unterschiedliche Datenarten – etwa Arbeitszeitnachweise und Abrechnungsunterlagen – können dabei verschiedenen Fristen unterliegen.

Mitbestimmung und Auswahl eines Zeiterfassungssystems

Bei der Einführung technischer Systeme ist die betriebliche Mitbestimmung zu beachten. Insbesondere kann ein Mitbestimmungsrecht des Betriebsrats nach § 87 Absatz 1 Nummer 6 BetrVG bestehen, wenn eine technische Einrichtung dazu geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen. Auch die Gestaltung der Arbeitszeit kann mitbestimmungsrechtliche Fragen aufwerfen.

Bei der Auswahl eines Systems sollten Arbeitgeber deshalb nicht nur Bedienbarkeit und Kosten prüfen. Wichtig sind auch Datenschutz durch Technikgestaltung, sparsame Datenerhebung, klare Berechtigungen, sichere Speicherung und eine nachvollziehbare Möglichkeit, fehlerhafte Einträge zu berichtigen. Wird ein externer Anbieter eingesetzt, müssen außerdem die datenschutzrechtlichen Rollen und erforderlichen Vereinbarungen geklärt werden.

Fazit

Datenschutzgerechte Arbeitszeiterfassung bedeutet nicht, auf Dokumentation zu verzichten. Entscheidend ist, ein geeignetes und verhältnismäßiges Verfahren einzusetzen: nur notwendige Daten erfassen, Beschäftigte transparent informieren, Zugriffe begrenzen und Daten nicht länger als erforderlich speichern. Eine frühzeitige Prüfung durch Personalabteilung, Datenschutzbeauftragte und gegebenenfalls Betriebsrat schafft Klarheit für alle Beteiligten.

 

Datenschutz bei der Arbeitszeiterfassung: 5 Wichtige Tipps

1. Nur notwendige Arbeitszeitdaten erfassen.
2. Beschäftigte transparent über Zweck und Umfang informieren.
3. Zugriff auf Zeitdaten strikt begrenzen.
4. Daten sicher speichern und übertragen.
5. Löschfristen festlegen und einhalten.

Nur notwendige Arbeitszeitdaten erfassen.

Erfassen Sie bei der Arbeitszeiterfassung nur die Daten, die für die Dokumentation und Abrechnung der Arbeitszeit tatsächlich erforderlich sind – etwa Arbeitsbeginn, Arbeitsende und Pausen. Zusätzliche Angaben wie Standortdaten oder detaillierte Aktivitätsprotokolle sollten nur erhoben werden, wenn dafür ein klarer, rechtmäßiger Zweck besteht. So schützen Sie die Privatsphäre der Beschäftigten und setzen den Grundsatz der Datenminimierung nach der DSGVO um.

Beschäftigte transparent über Zweck und Umfang informieren.

Beschäftigte sollten klar und verständlich erfahren, warum ihre Arbeitszeit erfasst wird und welche Daten dabei anfallen. Informieren Sie beispielsweise darüber, ob Beginn, Ende und Pausen dokumentiert werden, wer auf die Aufzeichnungen zugreifen darf und wie lange sie gespeichert bleiben. Erklären Sie auch, ob ein digitales System oder ein externer Dienstleister eingesetzt wird. Eine transparente Information schafft Vertrauen und hilft Beschäftigten, ihre Datenschutzrechte wahrzunehmen.

Zugriff auf Zeitdaten strikt begrenzen.

Der Zugriff auf Arbeitszeitdaten sollte auf diejenigen Personen beschränkt sein, die diese Informationen für ihre konkrete Aufgabe benötigen – etwa zuständige Mitarbeitende in der Personalverwaltung. Führungskräfte sollten nur die für ihre Arbeit erforderlichen Angaben einsehen können; ein allgemeiner Zugriff im Unternehmen ist zu vermeiden. Individuelle Benutzerkonten, klare Rollen- und Berechtigungskonzepte sowie regelmäßige Überprüfungen helfen, unbefugte Einsichtnahmen zu verhindern und den Schutz der Beschäftigtendaten sicherzustellen.

Daten sicher speichern und übertragen.

Daten sicher speichern und übertragen

Arbeitszeitdaten sollten so gespeichert und übertragen werden, dass Unbefugte keinen Zugriff darauf erhalten. Nutzen Sie dafür aktuelle Verschlüsselungsverfahren, sichere Verbindungen und individuelle Benutzerkonten mit passenden Zugriffsrechten. Beschränken Sie den Zugriff auf Personen, die die Daten für ihre Aufgaben benötigen, und prüfen Sie Berechtigungen regelmäßig. Werden externe Dienstleister eingesetzt, sollten deren Datenschutz- und Sicherheitsmaßnahmen sorgfältig geprüft und die erforderlichen Vereinbarungen getroffen werden.

Löschfristen festlegen und einhalten.

Löschfristen festlegen und einhalten: Legen Sie für Arbeitszeitdaten klare Aufbewahrungs- und Löschfristen fest. Berücksichtigen Sie dabei gesetzliche Nachweispflichten und löschen oder anonymisieren Sie die Daten, sobald sie für den jeweiligen Zweck nicht mehr benötigt werden. Ein dokumentierter Löschprozess hilft, unnötige Datenspeicherung zu vermeiden und Datenschutzvorgaben zuverlässig einzuhalten.