Datenschutz und digitale Arbeitszeiterfassung: Ihre Pflichten und Chancen

Seit der Entscheidung des Europäischen Gerichtshofs (EuGH) im Jahr 2019 und dem Grundsatzurteil des Bundesarbeitsgerichts (BAG) von 2022 sind Unternehmen in Deutschland verpflichtet, die Arbeitszeiten ihrer Mitarbeitenden genau zu erfassen.

Viele Unternehmen warten jedoch noch auf die finale Anpassung des Arbeitszeitgesetzes und zögern, die notwendigen Systeme zu implementieren. Dabei ist es ratsam, die digitale Arbeitszeiterfassung bereits jetzt einzuführen, um rechtliche Risiken zu vermeiden. Gleichzeitig müssen Unternehmen aber auch sicherstellen, dass der Datenschutz gewahrt bleibt.  

Die Pflicht zur Arbeitszeiterfassung basiert auf einer Entscheidung des EuGH aus dem Jahr 2019. Der EuGH urteilte, dass alle EU-Mitgliedstaaten ein objektives, verlässliches und zugängliches System zur Erfassung der Arbeitszeiten einführen müssen. Diese Regelung zielt darauf ab, die Arbeitsbedingungen zu verbessern und sicherzustellen, dass Überstunden korrekt erfasst und die gesetzlichen Ruhezeiten eingehalten werden. Denn auch das schnelle Schreiben einer E-Mail am Abend ist Arbeitszeit.

In Deutschland wurde diese Verpflichtung durch das BAG im September 2022 bestätigt. Das BAG entschied, dass Arbeitgeber gemäß § 3 des Arbeitsschutzgesetzes (ArbSchG) ein System zur Erfassung der gesamten Arbeitszeit ihrer Mitarbeitenden einführen müssen. Diese Entscheidung betont, dass die Arbeitszeiterfassung nicht nur für Überstunden und Sonntagsarbeit gilt, sondern die gesamte Arbeitszeit umfassen muss. Dabei ist der Beginn, das Ende und die Dauer der täglichen Arbeitszeit noch am selben Tag elektronisch zu erfassen.

Derzeit sieht das Arbeitszeitgesetz lediglich vor, dass Überstunden und Sonntagsarbeit dokumentiert werden müssen. Mit dem Urteil des BAG wird jedoch klargestellt, dass die Erfassung der gesamten Arbeitszeit bereits jetzt verpflichtend ist, auch wenn die finale Anpassung des Arbeitszeitgesetzes noch aussteht. Das Bundesarbeitsministerium (BMAS) hat angekündigt, die gesetzlichen Vorgaben zeitnah anzupassen, doch sollten Unternehmen nicht auf diese Anpassung warten. 

Unternehmen, die die Zeiterfassungspflicht noch nicht umgesetzt haben, riskieren rechtliche Konsequenzen. Zwar sind unmittelbare Geldbußen derzeit nicht vorgesehen, jedoch können Aufsichtsbehörden Nachbesserungen verlangen und Bußgelder i. H. v. bis zu 30.000 EUR (§ 25 Abs. 1 Nr. 2a, Abs. 2 ArbSchG) verhängen, wenn die Nachbesserungen nicht erfüllt werden. Es ist daher ratsam, bereits jetzt ein digitales Zeiterfassungssystem einzuführen, um den gesetzlichen Anforderungen gerecht zu werden und mögliche rechtliche Risiken zu minimieren.

Bei der Einführung eines digitalen Zeiterfassungssystems spielt der Datenschutz eine zentrale Rolle. Da hierbei personenbezogene Daten der Mitarbeitenden erfasst und verarbeitet werden, müssen Unternehmen sicherstellen, dass sie die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllen.

Die DSGVO legt fest, dass personenbezogene Daten nur für eindeutige und legitime Zwecke erhoben und nicht für andere Zwecke verwendet werden dürfen (Zweckbindung). Außerdem dürfen nur so viele Daten erhoben werden, wie für den jeweiligen Zweck nötig sind (Datenminimierung).

Alle erfassten Arbeitszeitdaten müssen sicher gespeichert und nach Ablauf der gesetzlich vorgeschriebenen Aufbewahrungsfristen gelöscht werden. Beispielsweise müssen Dokumentationen von Überstunden mindestens zwei Jahre lang aufbewahrt werden, während steuerrelevante Daten bis zu zehn Jahre aufbewahrt werden müssen.

Nur autorisierte Personen sollten Zugriff auf die Zeiterfassungsdaten haben. Dies kann durch die Implementierung von rollenbasierten Zugriffsrechten und der Verwendung von starken Authentifizierungsmechanismen wie Zwei-Faktor-Authentifizierung erreicht werden.

Unternehmen sollten technische Maßnahmen wie Verschlüsselung und Zugangskontrollen einführen, um die Daten zu schützen. Organisatorische Maßnahmen, wie Schulungen für Mitarbeitende und die Erstellung von Datenschutzrichtlinien – auch für mobiles Arbeiten –, sind ebenfalls notwendig, um sicherzustellen, dass alle Beteiligten die Datenschutzanforderungen verstehen und einhalten.

Der Arbeitgeber ist dafür verantwortlich, ein geeignetes Zeiterfassungssystem einzuführen und die Datenschutzvorgaben einzuhalten. Interne oder externe Datenschutzbeauftragte sollten in den Prozess eingebunden werden, um sicherzustellen, dass alle Datenschutzaspekte berücksichtigt werden. Auch der Betriebsrat hat ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen zur Überwachung der Arbeitszeiten.

Mitarbeitende müssen über die Verarbeitung ihrer Daten informiert werden. Dies umfasst Informationen darüber, welche Daten erfasst werden, zu welchem Zweck sie verwendet werden und wie lange sie gespeichert bleiben. Diese Transparenz stärkt das Vertrauen in das Zeiterfassungssystem und in den Datenschutz des Unternehmens.

Die Datenverarbeitung im Rahmen der digitalen Arbeitszeiterfassung muss ins Verzeichnis von Verarbeitungstätigkeiten aufgenommen werden. Dieses Verzeichnis hilft, die Einhaltung der DSGVO zu dokumentieren und ist ein wichtiges Instrument im Datenschutzmanagement.

Wenn die Verarbeitung der Arbeitszeitdaten durch Dienstleistungsunternehmen erfolgt, müssen Unternehmen sicherstellen, dass entsprechende Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen werden. Diese Verträge regeln die Pflichten und Rechte des Dienstleistungsunternehmens und sorgen dafür, dass die Datenschutzanforderungen eingehalten werden.

Die Einführung eines digitalen Zeiterfassungssystems ist nicht nur eine gesetzliche Verpflichtung, sondern bietet Unternehmen auch zahlreiche Vorteile in Bezug auf Effizienz, Transparenz und Zufriedenheit der Mitarbeitenden. Trotz der noch ausstehenden finalen Anpassung des Arbeitszeitgesetzes ist es ratsam, bereits jetzt ein digitales Arbeitszeiterfassungssystem zu implementieren, um rechtliche Risiken zu vermeiden und den aktuellen Anforderungen gerecht zu werden.

Sie möchten eine digitale Arbeitszeiterfassung einführen, sind sich aber unsicher, wie Sie diese datenschutzkonform gestalten? Wir unterstützen Sie! Von der Auswahl und Implementierung eines datenschutzkonformen Zeiterfassungssystems über die Schulung Ihrer Mitarbeitenden bis hin zur Erstellung und Überprüfung von Datenschutzrichtlinien und Auftragsverarbeitungsverträgen: Wir stehen ab dem ersten Schritt an Ihrer Seite und berücksichtigen Ihre individuellen Anforderungen.

t-online (2024): „Arbeitszeiterfassung: Ab wann wird sie zur Pflicht?“, 11. Juli 2024, https://www.t-online.de/finanzen/ratgeber/beruf-karriere/arbeitsrecht/id_100108756/arbeitszeiterfassung-ab-wann-wird-die-pflicht-umgesetzt-.html, letzter Zugriff am 25. Juli 2024.

Bundesministerium für Arbeit und Soziales (2023): „Fragen und Antworten zur Arbeitszeiterfassung“; 03. Mai 2023, https://www.bmas.de/DE/Arbeit/Arbeitsrecht/Arbeitnehmerrechte/Arbeitszeitschutz/Fragen-und-Antworten/faq-arbeitszeiterfassung.html, letzter Zugriff am 25. Juli 2024.

Ver.di (2023): „Arbeitszeiterfassung – alles, was Du dazu wissen musst“, 10. Juli 2023, https://www.verdi.de/themen/recht-datenschutz/++co++0ba8cc14-1882-11ed-9793-001a4a160129, letzter Zugriff am 25. Juli 2024.

IHK Berlin (o. J.): „Arbeitszeiterfassungspflicht für Arbeitgeberinnen und Arbeitgeber“, https://www.ihk.de/berlin/service-und-beratung/recht-und-steuern/arbeitsrecht/arbeitszeiterfasung-5666426, letzter Zugriff am 25. Juli 2024.