DSGVO und Zeiterfassung

Die Verarbeitung von Arbeitszeitdaten ist nach Art. 6 Abs. 1 lit. c DSGVO zulässig — sie dient der Erfüllung einer rechtlichen Verpflichtung (ArbZG, MiLoG, ArbSchG). Zusätzlich greift Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), da die Arbeitszeit die Grundlage für die Vergütung ist; für Beschäftigte konkretisiert § 26 Abs. 1 BDSG das: Daten dürfen verarbeitet werden, wenn das für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Eine Einwilligung des Mitarbeiters ist daher nicht erforderlich — aber die Informationspflichten müssen dennoch erfüllt werden.

Es gilt die Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): erfasst wird, was für Zeiterfassung und Lohnabrechnung erforderlich ist — Name oder Personalnummer des Mitarbeiters, Beginn und Ende der Arbeitszeit, Pausen, Abwesenheiten (Urlaub, Krankheit). Biometrische Daten zur eindeutigen Identifizierung (etwa ein Fingerabdruck an der Stempeluhr) sind eine besondere Kategorie nach Art. 9 DSGVO: Ihre Verarbeitung ist grundsätzlich untersagt und im Beschäftigungsverhältnis nur zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist (§ 26 Abs. 3 BDSG); je nach Umfang kann sie eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) erfordern.

Arbeitszeitnachweise müssen nach ArbZG und MiLoG mindestens 2 Jahre aufbewahrt werden. Steuerrechtlich gilt für Lohnkonten eine Frist bis zum Ablauf des sechsten Kalenderjahres nach der letzten Lohnzahlung (§ 41 Abs. 1 EStG); für Buchungsbelege gelten 8 Jahre, für Bücher und Jahresabschlüsse 10 Jahre (§ 147 Abs. 3 AO). Nach Ablauf der Fristen sind die Daten zu löschen (Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Ein gutes Zeiterfassungssystem automatisiert die fristgerechte Löschung.

Arbeitgeber müssen ihre Mitarbeiter über die Zeiterfassung informieren (Art. 13/14 DSGVO): Welche Daten werden erfasst? Zu welchem Zweck? Wie lange? Wer hat Zugriff? Mitarbeiter haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16) und unter bestimmten Umständen auf Löschung (Art. 17). Eine Datenschutzerklärung für Mitarbeiter sollte die Zeiterfassung explizit behandeln.