Einführung: DSGVO und verpflichtende Arbeitszeiterfassung im Unternehmenskontext
Unternehmen in Deutschland stehen zunehmend vor der doppelten Herausforderung, einerseits gesetzliche Anforderungen zur Erfassung und Dokumentation der Arbeitszeit einzuhalten und andererseits den Vorgaben der Datenschutz-Grundverordnung (DSGVO) gerecht zu werden. Während die rechtlichen Pflichten zur Zeiterfassung durch europäische und nationale Gesetzgebung – zuletzt gestärkt durch die Rechtsprechung des Europäischen Gerichtshofs (EuGH) und Anpassungen der deutschen Arbeitszeitregelungen – weiter präzisiert wurden, müssen Erhebung, Speicherung und Verarbeitung personenbezogener Arbeitszeitdaten strikt den umfangreichen Datenschutzanforderungen entsprechen.
Rechtsgrundlage für die Arbeitszeiterfassung
Europäische und nationale Rahmenbedingungen
Das Urteil des EuGH vom 14. Mai 2019 (C-55/18) stellt klar, dass Arbeitgeber verpflichtet sind, ein objektives, verlässliches und zugängliches System zur Erfassung der täglichen Arbeitszeit einzuführen. Im Einklang mit dieser Vorgabe regelt § 16 Absatz 2 des deutschen Arbeitszeitgesetzes (ArbZG) in der novellierten Fassung klare Dokumentationspflichten. Die praktische Umsetzung liegt weiterhin in der Verantwortung des Arbeitgebers, wobei alle erfassten Arbeitszeiten regelmäßig personenbezogene Daten im Sinne der DSGVO darstellen.
Geltungsbereich der Erfassungspflicht
Die Verpflichtung zur Arbeitszeiterfassung betrifft nicht nur Überstunden oder Sonntagsarbeit, sondern künftig alle Arbeitsstunden der Beschäftigten. Dies erhöht die datenschutzrechtliche Relevanz der entsprechenden Verarbeitungsvorgänge erheblich im täglichen Betrieb von Unternehmen aller Größen und Branchen.
Datenschutzanforderungen an die Zeiterfassung
Verarbeitung personenbezogener Daten und Rechtsgrundlagen
Arbeitszeitdaten beziehen sich unmittelbar auf identifizierbare natürliche Personen und sind somit personenbezogene Daten. Jegliche Form der Erhebung, Speicherung, Nutzung oder Weitergabe dieser Daten unterliegt den Regelungen der DSGVO, insbesondere dem Grundsatz der Rechtmäßigkeit gemäß Artikel 6 DSGVO. Die Verarbeitung basiert typischerweise auf Artikel 6 Absatz 1 Buchstabe c DSGVO, da Arbeitgeber gesetzlich zur Arbeitszeiterfassung verpflichtet sind. Eine Einwilligung der Beschäftigten ist daher in der Regel nicht erforderlich, kann jedoch in Einzelfällen von Bedeutung sein.
DSGVO-Grundsätze bei der Zeiterfassung
Unternehmen müssen die Grundsätze der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO), Zweckbindung (Art. 5 Abs. 1 Buchst. b DSGVO) und Transparenz (Art. 5 Abs. 1 Buchst. a DSGVO) strikt beachten. Die erhobenen Daten dürfen nur für den Zweck gespeichert und verarbeitet werden, für den sie ursprünglich erhoben wurden – nämlich zur Erfüllung der Zeiterfassungspflichten und gegebenenfalls für die Lohnabrechnung sowie zur Einhaltung der Arbeitszeitgesetze.
Zudem muss das verwendete System zur Zeiterfassung geeignete technische und organisatorische Maßnahmen enthalten, um die Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen (Art. 32 DSGVO). Dies gilt sowohl für digitale Systeme als auch für traditionelle Methoden wie Papier-Zeiterfassungsbögen.
Besondere Kategorien personenbezogener Daten
Zwar fallen Arbeitszeitdaten grundsätzlich nicht unter die besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, jedoch können in Einzelfällen zusätzliche Anforderungen entstehen – etwa wenn Krankheits- oder Arbeitsunfähigkeitsdaten im Zeiterfassungsvorgang enthalten oder daraus abgeleitet werden. Die Verarbeitung solcher Informationen unterliegt strengeren Schutzanforderungen und muss auf einer spezifischeren Rechtsgrundlage beruhen.
Rechte der Beschäftigten
Auskunfts- und Informationsrechte
Beschäftigte haben das Recht, umfassende Informationen vom Arbeitgeber darüber zu erhalten, welche personenbezogenen (Arbeitszeit-)Daten verarbeitet werden und in welcher Form (Art. 13, 14 DSGVO). Zudem steht ihnen das Auskunftsrecht nach Art. 15 DSGVO zu und sie können gegebenenfalls Berichtigung, Löschung oder Einschränkung der Verarbeitung verlangen.
Begrenzung der Datenverarbeitung und Speicherdauer
Daten dürfen nur so lange gespeichert werden, wie dies zur Erfüllung der gesetzlichen Anforderungen erforderlich ist. Bei Arbeitszeitnachweisen schreibt § 16 Absatz 2 ArbZG grundsätzlich eine Aufbewahrungsfrist von zwei Jahren vor. Nach Ablauf dieser Frist müssen die Daten gelöscht werden – vorbehaltlich sonstiger steuer- oder handelsrechtlicher Aufbewahrungspflichten.
Technische und organisatorische Umsetzung in Unternehmen
Auswahl eines Zeiterfassungssystems
Bei der Einführung und Gestaltung von Arbeitszeiterfassungssystemen ist nicht nur die technische Funktionalität entscheidend. Wichtige Faktoren sind die Einhaltung der Datenschutzanforderungen entsprechend den Grundsätzen „Privacy by Design“ und „Privacy by Default“ (Art. 25 DSGVO). Der Zugang zu Arbeitszeitdaten muss auf autorisierte Personen beschränkt sein. Werden Dritte – wie externe Lohnabrechner – involviert, sind die Vorgaben des Art. 28 DSGVO zu beachten.
Datenschutz-Folgenabschätzung
Se la Valutazione d’Impatto sulla Protezione dei Dati (DPIA) sia necessaria ai sensi dell’art. 35 GDPR dipende dal caso specifico. In scenari standard, in cui vengono registrati solo l’inizio, la fine e la durata dell’orario di lavoro, una DPIA generalmente non è obbligatoria. Tuttavia, sistemi più complessi che raccolgono dati sulla posizione, dati biometrici o profili di movimento aumentano il rischio e potrebbero richiedere tale valutazione.
Sviluppi attuali e situazione giuridica
Tendenze nella giurisprudenza e nella legislazione
Sia gli sviluppi legislativi che le decisioni dei tribunali stanno continuamente affinando i requisiti per la registrazione dell’orario di lavoro e la protezione dei dati. Il Tribunale Federale del Lavoro (BAG) ha stabilito il 13 settembre 2022 (1 ABR 22/21) che l’obbligo di registrare l’orario di lavoro esiste indipendentemente dall’adozione di una legge specifica. Questioni dettagliate riguardanti l’attuazione pratica e la conformità alla protezione dei dati sono soggette a sviluppi continui e rimangono parzialmente irrisolte.
Alcuni procedimenti su questioni correlate sono ancora pendenti (a giugno 2024). Vale la presunzione di innocenza e non si può escludere che future sentenze di corti superiori o modifiche alla Legge sull’Orario di Lavoro possano modificare la situazione giuridica.
Conclusione e prospettive
La registrazione e il trattamento dei dati sull’orario di lavoro nelle aziende si collocano all’incrocio tra obblighi giuridici e requisiti di protezione dati approfonditi. Le aziende devono gestire un sistema di rilevazione orari conforme alle normative di legge e allo stesso tempo pienamente aderente ai principi del GDPR. Il quadro giuridico dinamico e la complessità dei requisiti rendono l’implementazione conforme alla protezione dati e la revisione continua dei sistemi di rilevazione orari un compito costante.
Per aziende, investitori e persone con un elevato patrimonio netto che si trovano in condizioni di incertezza o cercano chiarimenti sulla conformità, è consigliabile una valutazione legale individuale. Per quesiti relativi all’interpretazione o all’applicazione pratica della normativa sulla protezione dei dati nel contesto della rilevazione dell’orario di lavoro, MTR Legal Rechtsanwälte offre supporto specializzato. Ulteriori informazioni sono disponibili nella consulenza legale in materia di protezione dei dati.
