Einführung: DSGVO und verpflichtende Arbeitszeiterfassung im unternehmerischen Kontext
Unternehmen in Deutschland sehen sich zunehmend der Herausforderung gegenüber, gesetzliche Vorgaben zur Erfassung und Dokumentation von Arbeitszeiten einerseits und die Anforderungen der Datenschutz-Grundverordnung (DSGVO) andererseits zu erfüllen. Während die rechtlichen Verpflichtungen zur Arbeitszeiterfassung insbesondere durch europarechtliche und nationale Gesetze – zuletzt gestärkt durch die Rechtsprechung des Europäischen Gerichtshofs (EuGH) und die Neuausrichtung der deutschen Arbeitszeitrichtlinien – weiter konkretisiert wurden, sind bei der Erhebung, Speicherung und Verarbeitung personenbezogener Arbeitszeitdaten umfangreiche datenschutzrechtliche Anforderungen zwingend zu beachten.
Gesetzliche Grundlage der Arbeitszeiterfassung
Europarechtliche und nationale Rahmenbedingungen
Mit der Entscheidung des EuGH vom 14. Mai 2019 (C-55/18) wurde klargestellt, dass Arbeitgeber verpflichtet sind, ein objektives, verlässliches und zugängliches System zur Messung der täglichen Arbeitszeit einzurichten. In Umsetzung dieser Vorgabe sieht § 16 Abs. 2 Arbeitszeitgesetz (ArbZG) seit der Neufassung deutliche Dokumentationspflichten vor. Die praktische Ausgestaltung bleibt dem Arbeitgeber überlassen, wobei sämtliche erfassten Arbeitszeiten regelmäßig personenbezogene Daten im Sinne der DSGVO darstellen.
Reichweite der Erfassungspflicht
Die Verpflichtung zur Arbeitszeiterfassung erstreckt sich nicht nur auf Überstunden oder Sonntagsarbeit, sondern betrifft künftig sämtliche Arbeitszeiten der Arbeitnehmenden. Daraus resultiert eine erhebliche datenschutzrechtliche Relevanz dieser Datenverarbeitungsvorgänge im Alltag von Unternehmen verschiedenster Größen und Branchen.
Datenschutzrechtliche Anforderungen an die Arbeitszeiterfassung
Verarbeitung personenbezogener Daten und Rechtsgrundlagen
Arbeitszeitdaten beziehen sich direkt auf identifizierbare natürliche Personen und stellen daher personenbezogene Daten dar. Jede Form der Erhebung, Speicherung, Nutzung oder Übermittlung dieser Daten unterliegt den Regelungen der DSGVO, insbesondere dem Grundsatz der Rechtmäßigkeit nach Art. 6 DSGVO. Regelmäßig stützt sich die Verarbeitung auf Art. 6 Abs. 1 lit. c DSGVO, da der Arbeitgeber zur Arbeitszeiterfassung gesetzlich verpflichtet ist. Eine Einwilligung der Beschäftigten ist damit in der Regel nicht erforderlich, kann in Sonderkonstellationen jedoch ergänzend relevant werden.
Grundsätze der DSGVO bei der Arbeitszeiterfassung
Unternehmen sind verpflichtet, die Grundsätze der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO), Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) und Transparenz (Art. 5 Abs. 1 lit. a DSGVO) strikt zu beachten. Die erhobenen Daten dürfen ausschließlich zu dem Zweck gespeichert und verarbeitet werden, zu dem sie ursprünglich erhoben wurden – nämlich der Nachweiserfüllung über Arbeitszeiten sowie gegebenenfalls zur Abrechnung und zur Einhaltung arbeitszeitrechtlicher Vorgaben.
Darüber hinaus muss das eingesetzte Zeiterfassungssystem angemessene technische und organisatorische Maßnahmen zum Schutz der Daten vor unbefugtem Zugriff, Verlust oder Manipulation sicherstellen (Art. 32 DSGVO). Dies betrifft sowohl digitale Systeme als auch klassische Methoden wie Stundenzettel.
Besondere Kategorien personenbezogener Daten
Auch wenn Arbeitszeitdaten im Regelfall keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO betreffen, können sich in Einzelfällen weitergehende Anforderungen ergeben – etwa bei Angaben zu Krankheitszeiten oder Arbeitsunfähigkeit, sofern diese im Rahmen der Zeiterfassung miterfasst oder abgeleitet werden. Für die Verarbeitung solcher Informationen gelten strengere Schutzanforderungen und eine spezifischere Rechtsgrundlage.
Rechte betroffener Arbeitnehmer
Informations- und Auskunftsanspruch
Beschäftigte haben gegen ihren Arbeitgeber einen Anspruch auf umfassende Information darüber, welche personenbezogenen (Arbeitszeit-)Daten in welcher Form verarbeitet werden (Art. 13, 14 DSGVO). Zudem besteht das Recht auf Auskunft nach Art. 15 DSGVO bezüglich der gespeicherten Daten sowie gegebenenfalls auf Berichtigung, Löschung oder Einschränkung der Verarbeitung.
Grenzen der Datenverarbeitung und Aufbewahrungsfristen
Die Daten dürfen nur so lange gespeichert werden, wie es zur Erfüllung der gesetzlichen Anforderungen erforderlich ist. Für die Arbeitszeiterfassung ergibt sich regelmäßig eine gesetzliche Aufbewahrungsfrist, beispielsweise aus § 16 Abs. 2 ArbZG (zwei Jahre). Nach Ablauf dieser Frist sind die Daten regelmäßig – unter Beachtung etwaiger weiterer steuer- oder handelsrechtlicher Verpflichtungen – zu löschen.
Technische und organisatorische Umsetzung im Unternehmen
Auswahl des Zeiterfassungssystems
Bei der Einführung und Gestaltung von Systemen zur Arbeitszeiterfassung ist nicht nur die technische Funktionalität entscheidend; relevante Kriterien sind insbesondere die Einhaltung datenschutzrechtlicher Vorgaben im Sinne von „Privacy by Design“ und „Privacy by Default“ (Art. 25 DSGVO). Der Zugriff auf Arbeitszeitdaten ist auf eine berechtigte Personengruppe zu beschränken. Eine Weitergabe an Dritte – etwa externe Dienstleister für Lohnabrechnungen – ist nach den Kriterien des Art. 28 DSGVO zu gestalten.
Datenschutz-Folgenabschätzung
Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, hängt von den Umständen des Einzelfalls ab. In standardmäßigen Szenarien, in denen lediglich Beginn, Ende und Dauer der Arbeitszeit erfasst werden, ist eine Verpflichtung nicht generell anzunehmen. Komplexere Systeme, die beispielsweise Standortdaten, biometrische Daten oder Bewegungsprofile erfassen, erhöhen das Risiko und können eine solche Abschätzung notwendig machen.
Aktuelle Entwicklungen und Rechtslage
Entwicklungen in Rechtsprechung und Gesetzgebung
Es ist zu beobachten, dass sowohl legislative Entwicklungen als auch gerichtliche Entscheidungen die Anforderungen an Arbeitszeiterfassung und Datenschutz weiter präzisieren. Das Bundesarbeitsgericht (BAG) hat mit Urteil vom 13. September 2022 (1 ABR 22/21) klargestellt, dass die Pflicht zur Arbeitszeiterfassung unabhängig von der konkreten Ausgestaltung eines Gesetzes bereits besteht. Detailfragen zur praktischen Umsetzung und datenschutzrechtlichen Ausgestaltung unterliegen einem fortlaufenden Entwicklungsprozess und sind nicht abschließend geklärt.
Verfahren zu damit zusammenhängenden Fragestellungen sind zum Teil noch anhängig (Stand: Juni 2024). Es gilt die Unschuldsvermutung und es kann nicht ausgeschlossen werden, dass sich die Rechtslage durch zukünftige höchstrichterliche Entscheidungen oder Änderungen im Arbeitszeitgesetz noch verändert.
Fazit und Ausblick
Die Erfassung und Verarbeitung von Arbeitszeiten im Unternehmen befindet sich im Spannungsfeld zwischen gesetzlicher Pflicht und umfassenden Anforderungen an den Schutz personenbezogener Daten. Unternehmen sind gehalten, ein den gesetzlichen Vorgaben entsprechendes Zeiterfassungssystem zu betreiben und zugleich sämtliche Prinzipien der DSGVO zu wahren. Die dynamische Entwicklung der Rechtslage und die Komplexität der Anforderungen machen die datenschutzkonforme Gestaltung und laufende Überprüfung von Arbeitszeiterfassungssystemen zu einer Daueraufgabe.
Für Unternehmen, Investoren und vermögende Privatpersonen, die im Umgang mit diesen Vorgaben Unsicherheiten sehen oder weiterführende Fragen zur rechtskonformen Umsetzung haben, empfiehlt sich eine individuelle Prüfung des Einzelfalls. Bei Fragen zur Auslegung oder praktischen Anwendung des Datenschutzrechts im Kontext der Arbeitszeiterfassung bietet die MTR Legal Rechtsanwälte spezialisierte Unterstützung – weiterführende Informationen finden Sie unter Rechtsberatung im Datenschutz.
