Arbeitszeiterfassung und Datenschutz: Unternehmen in der Pflicht

• Das Bundesarbeitsgericht (BAG) hat am 13. September 2022 eine Pressemitteilung zur Einführung elektronischer Zeiterfassung veröffentlicht.
• Die aktuelle Grundsatzentscheidung des Bundesarbeitsgerichts sieht vor, dass jeder Arbeitgeber dazu verpflichtet ist, die Arbeitszeiten der Angestellten systematisch zu erfassen (BAG, 13.09.2022 – 1 ABR 22/21). Wie die Aufzeichnung ausgestaltet werden soll, konkretisiert das BAG bisher nicht. Im November 2022 wird eine Begründung des Urteils erwartet.
• Das BAG stützt sich mit seiner Entscheidung auf das „Stechuhr-Urteil“ des EuGH aus dem Jahr 2019. Ausgangspunkt bildete die Klage der spanischen Gewerkschaft CCOO gegen die Deutsche Bank SAE.
• Die neu festgelegten Bestimmungen betreffen alle Unternehmen. Die Größe oder Anzahl der Mitarbeiter spielt hierbei keine Rolle.
• Unternehmen stehen nun nicht nur vor der Herausforderung, alle notwendigen Daten der Angestellten zu erfassen. Vielmehr müssen Sie dies unter den strengen Vorgaben des Datenschutzes umsetzen.

Bisher galt im deutschen Arbeitszeitgesetz (ArbZG) keine ausdrückliche Pflicht zur Erfassung der Arbeitszeiten aller Mitarbeiter. Lediglich Überstunden, Sonntags- und Feiertagsarbeit mussten dokumentiert werden. Eine Dokumentationspflicht galt darüber hinaus bereits für geringfügig Beschäftigte sowie in ausgewählten Branchen. Inzwischen hat das BAG in Erfurt festgelegt, dass Arbeitgeber die Pflicht haben, zum Zwecke der Arbeitszeiterfassung ein entsprechendes System einzuführen. Dabei stützt sich das BAG auf den dritten Paragrafen des Arbeitsschutzgesetzes (ArbSchG). Dieser sieht vor, dass der Arbeitgeber eine „geeignete Organisation“ ermöglicht und hierfür die notwendigen Mittel bereitstellt (§ 3 Abs. 2 Nr. 1 ArbSchG).

Mit dieser Entscheidung stützt sich das BAG auf ein im Mai 2019 getroffenes Urteil des Europäischen Gerichtshofs (EuGH) – auch als „Stechuhr-Urteil“ bezeichnet. Dieses verlangt, dass alle EU-Mitgliedsstaaten ihre Unternehmen dazu verpflichten, ein „objektives, verlässliches und zugängliches System“ einzuführen, welches die geleistete Arbeit der Angestellten dokumentiert (EuGH, 14.09.2019 – C-55/18). Die abgeleistete Zeit soll dabei von Beginn bis Ende erfasst werden.

Grund für die Einführung dieser Regelung ist unter anderem der Schutz vor Fremd- und Selbstausbeutung. Jeder Berufstätige hat ein Recht auf Ruhezeiten und Ruhepausen. Außerdem soll die Höchstarbeitszeit begrenzt werden (Art. 31 Abs. 2 Grundrechtecharta). Durch die Einführung eines Systems zur Arbeitszeiterfassung kann dies eingehalten werden.

Gemäß dem Bundesdatenschutzgesetz (BDSG) in Verbindung mit der Datenschutz-Grundverordnung (DSGVO) haben Sie als Arbeitgeber ein berechtigtes Interesse an der Arbeitszeiterfassung Ihrer Angestellten (§ 26 Abs. 1 BDSG i.V.m. Art. 6 Abs. 1 lit. f DSGVO). In den meisten Fällen ist eine Zeiterfassung im Rahmen des Arbeitsverhältnisses erforderlich und zulässig. Dies ermöglicht eine einheitliche Abrechnung der Arbeitszeiten und eine faire Bezahlung aller Mitarbeiter. Damit besteht ein Interesse für die Aufzeichnung der geleisteten Arbeit von beiden Seiten aus. Da aufgrund der Entscheidung des BAG nunmehr auch der Gesetzgeber gefordert ist, eine Regelung zu schaffen, die eine verpflichtende Arbeitszeiterfassung für sämtliche Unternehmen statuiert, ist gemäß der DSGVO eine Arbeitszeiterfassung nicht bloß aufgrund eines berechtigten Interesses, sondern auch zur Erfüllung einer gesetzlichen Pflicht erforderlich (Art. 6 Abs. 1 lit. c DSGVO).

Jedoch steigt gerade bei der digitalen Zeiterfassung auch die Gefahr, dass personenbezogene Daten in falsche Hände geraten. Daher ist es von besonderer Wichtigkeit, dass Sie die Zweckbindung einhalten, sodass die benötigten Daten Ihrer Mitarbeiter in diesem Fall nur für die Zeiterfassung verwendet werden (Art. 5 Abs. 1 lit. b DSGVO). Die anderen Regelungen der Datenschutz-Grundverordnung sind ebenfalls zweifellos einzuhalten.

Neben der Einhaltung des Datenschutzes, worauf im Folgenden detaillierter eingegangen wird, dient die Arbeitszeiterfassung zur Kontrolle der Überstunden und der Einhaltung von Ruhezeiten. In der heutigen durch Home-Office geprägten Zeit können Ihre Mitarbeiter nicht einfach das Büro verlassen und den Laptop und das Telefon unerreichbar im Office stehen lassen. Aufgrund der Nutzung von Diensthandys und der Vermischung von Arbeitslaptop und privatem Laptop ist ein „normaler“ Feierabend schwer umzusetzen.

Mithilfe der Zeiterfassung kann die Grenze zwischen Arbeitszeit und Freizeit wieder deutlicher gezogen werden – als Arbeitgeber könnten Sie beispielsweise einführen, dass ab Ende der Arbeitszeit kein Zugriff mehr auf die Arbeitsserver möglich ist. Gleichermaßen können Sie die tatsächlich geleistete Arbeit Ihrer Mitarbeiter nachvollziehen und kommen Ihrer Fürsorgepflicht nach.

Die Fahrt zum Büro mit dem Auto oder lediglich das Anschalten des Arbeitscomputers im Home- oder Mobile-Office werden üblicherweise nicht als Arbeitszeit definiert. Anders hingegen sieht es bei Berufen aus, bei denen der Außendienst Teil der Arbeit ist. In diesem Fall gehört die An- und Abreise zur bezahlten Beschäftigung bzw. einem Kundentermin dazu (BAG, 18.03.2020 – 5 AZR 36/19).

Da in einem Büro häufiger Interaktionen zwischen den Mitarbeitern stattfinden, gewähren viele Arbeitgeber ihren Angestellten einen gewissen Spielraum, wenn sie im Home-Office arbeiten. Streng genommen zählen private Gespräche nicht zur Arbeitszeit. Können sich Ihre Mitarbeiter in einem angemessenen Rahmen jedoch auch über private Themen austauschen, fördert dies in vielen Fällen ein positives Betriebsklima. Regelmäßige Erholungszeiten bei der Arbeit am Bildschirm oder eine Unterbrechung durch alternative Tätigkeiten müssen Mitarbeitern laut Arbeitsstättenverordnung (ArbStättV) ermöglicht werden.

Die Vorteile einer fairen Bezahlung und die Wahrung des Arbeitsschutzes liegen bei der digitalen Arbeitszeiterfassung auf der Hand. Allerdings wachsen für Sie und Ihr Unternehmen gleichermaßen die Herausforderungen. Werden die Arbeitszeiten von Mitarbeitern digital bzw. elektronisch erfasst, kommt es zur Erhebung von personenbezogenen Daten. Die Einhaltung des Datenschutzes wird damit zu einer zentralen Aufgabe sowohl bei der digitalen als auch analogen Dokumentation der Arbeitszeiten.

Wie Sie letztendlich die Arbeitszeiten dokumentieren, ist bisher nicht genauer rechtlich spezifiziert. Fest steht: Egal, ob Sie eine Excel-Tabelle, eine App oder eine Software verwenden – die Daten, die Sie sammeln, sind personenbezogen und müssen gemäß Artikel 5 DSGVO datenschutzkonform behandelt werden.

Wie bereits erwähnt, haben Sie als Arbeitgeber prinzipiell ein berechtigtes Interesse an einer digitalen Erfassung der Arbeitszeit. Dieses Interesse muss dabei stets gegenüber anderen Interessen, Grundrechten und Grundfreiheiten abgewogen werden (Art. 6 Abs. 1 lit. f DSGVO). Es ist jedoch davon auszugehen, dass sowohl Arbeitgeber als auch Arbeitnehmer von der digitalen Erfassung profitieren und dem berechtigten Interesse selten etwas entgegensteht. Zur Durchführung eines Arbeitsverhältnisses gehört eine Zeiterfassung in der Regel dazu (§ 26 Abs. 1 BDSG). Die digitale Arbeitszeiterfassung ist damit in den meisten Fällen zulässig, solange der Datenschutz gewahrt wird.

Durch die Datenschutz-Grundverordnung (DSGVO) wird der Umgang mit personenbezogenen Daten einheitlich europäisch geregelt. Die auch bei der Arbeitszeiterfassung zu berücksichtigenden Grundsätze setzen sich aus den folgenden Prinzipien zusammen (Art. 5 DSGVO):

• Rechtmäßigkeit und Transparenz: Arbeitszeiten dürfen nur in Einklang mit dem geltenden Recht verarbeitet werden. Außerdem muss die Verarbeitung für die betroffenen Personen nachvollziehbar und transparent sein.
• Zweckbindung: Die personenbezogenen Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke verwendet werden. Sie sollten beispielsweise die Daten der Arbeitszeiterfassung nicht dafür benutzen, um ein Bewegungsprofil des Angestellten zu erstellen oder Ihre Mitarbeiter dauerhaft zu überwachen. Zweckungebundene Daten müssen in der Regel nach Wegfall des Zwecks sofort gelöscht werden – Ausnahme sind gesetzliche Aufbewahrungspflichten, wie beispielsweise bei Überstunden, die Sie mindestens zwei Jahre lang vorhalten müssen (§16 Abs. 2 ArbZG). Daneben greifen unter Umständen auch weitere Aufbewahrungspflichten, etwa aus dem Steuer- oder Handelsrecht, beziehungsweise der Abgabenordnung (AO) oder dem Handelsgesetzbuch (HGB).
• Datenminimierung: Es dürfen nur so viele und solche Daten gesammelt werden, wie für den tatsächlichen Zweck (Erfassung der Arbeitszeit) notwendig.
• Richtigkeit: Die Daten des Mitarbeiters müssen der Wahrheit entsprechen, sachlich richtig sein und stets aktuell gehalten werden. Bei Bedarf muss eine Löschung von fehlerhaften Daten oder eine Berichtigung stattfinden.
• Speicherbegrenzung: Daten dürfen nur so lange abgespeichert werden, wie sie für den konkreten Zweck gebraucht werden. Hier ist die Erstellung eines Löschkonzeptes zu empfehlen.
• Integrität und Vertraulichkeit: Als Arbeitgeber müssen Sie die Sicherheit der verarbeiteten Daten gewährleisten und sie vor unerlaubtem Zugriff, Verlust, Zerstörung oder Schädigung schützen.
• Rechenschaftspflicht: Die datenschutzkonformen Richtlinien müssen Sie als Unternehmen einhalten und deren Einhaltung auf Anfrage nachweisen können.

Achten Sie hinsichtlich der Zweckbindung darauf, dass die Daten für Zwecke verarbeitet werden, die mit dem Beschäftigungsverhältnis verbunden sind. Der Zweck ist beispielsweise gegeben, wenn Sie die Daten benötigen, um einen neuen Mitarbeiter einzustellen (Begründung eines Beschäftigungsverhältnisses) oder ein Arbeitsverhältnis zu beenden (Beendigung eines Beschäftigungsverhältnisses). Auch Daten, die für die Durchführung des eigentlichen Arbeitsverhältnisses benötigt werden, dürfen erhoben werden (§ 26 Abs. 1 BDSG). Hierzu zählt die Erfassung der Arbeitszeiten.

Grundsätzlich dürfen Sie alle relevanten Daten erfassen, die Sie für die Zeiterfassung benötigen. Darunter fallen in der Regel die folgenden Informationen:

• Vor- und Zuname
• Personalnummer
• Anfangs- und Endzeit des Arbeitstages
• Pausenzeiten
• Urlaubs- und Krankheitstage

Wie Sie diese personenbezogenen Daten abspeichern, ist Ihnen überlassen, solange Sie den Datenschutz einhalten. Die Daten dürfen jedoch nur für die Arbeitszeiterfassung genutzt werden (zweckgebunden). In vielen Fällen werden die aufgezeichneten Arbeitszeiten auch für Ihre Lohnbuchhaltung und Gleitzeitkonten Ihrer Mitarbeiter benötigt.

Schwieriger wird die Situation erst dann, wenn Sie biometrische Daten (Art. 4 Nr. 14 DSGVO) erheben wollen. Diese sind stärker geschützt und werden deutlich sensibler behandelt. Allgemein ist die Verarbeitung von biometrischen Daten verboten (Art. 9 DSGVO). Wollen Sie beispielsweise Fingerabdrücke oder einen Scan der Iris Ihrer Angestellten speichern, ist dies in den meisten Fällen nicht möglich. So entschied etwa das Landesgericht Berlin-Brandenburg, dass ein System zur Arbeitszeiterfassung nicht unbedingt auf biometrische Daten angewiesen ist (LAG, 04.06.2020 – 10 Sa 2130/19).

Wenn die Verarbeitung zur Ausübung und Erfüllung von Rechten und Pflichten im Rahmen des Arbeitsverhältnisses zwingend erforderlich ist (Art. 9 Abs. 2 lit. b DSGVO; § 26 Abs. 3 BDSG), kann ein Ausnahmefall vorliegen. In Einzelfällen muss daher jeweils geprüft werden, ob eine Notwendigkeit tatsächlich besteht. Dies trifft jedoch vorwiegend auf besonders sicherungsbedürftige Arbeitsplätze, etwa Chemielabore oder medizinische Forschungsanstalten mit Zutrittskontrollen, zu.

Die Erhebung von Standortdaten mittels GPS-System ist umstritten und muss sich ebenfalls an datenschutzrechtlichen Vorgaben messen, da die Daten an einen Mitarbeiter gebunden sind bzw. auf eine Person zurückführbar sind. Zu prüfen ist sodann die Zweckbindung und damit verbundene Notwendigkeit der Datenerhebung. Damit Standortdaten erhoben werden dürfen, muss eine Rechtsgrundlage vorliegen. Denkbar sind hier beispielsweise folgende Szenarien:

1. Es liegt eine Einwilligung der betroffenen Person vor (Art. 6 Abs. 1 lit. a DSGVO).
2. Die Standortdaten müssen erhoben werden, um eine rechtliche Verpflichtung zu erfüllen (Art 6. Abs. 1 lit. c DSGVO).
3. Als Arbeitgeber haben Sie ein berechtigtes Interesse (Art. 6 Abs. 1 lit f DSGVO).

Die Umsetzung der Arbeitszeiterfassung mag zunächst als die größte Herausforderung erscheinen. Bislang ist noch nicht festgeschrieben, wie die Erfassung konkret aussehen soll. Es lässt sich jedoch vermuten, dass Ihnen die Freiheit gegeben wird, über die Form der Zeiterfassung zu entscheiden. Daher müssen Sie sich zunächst damit beschäftigen, welche Art und Weise der Arbeitszeiterfassung für Sie und Ihr Unternehmen am lukrativsten und effizientesten ist.

Haben Sie diesbezüglich eine Entscheidung getroffen, beginnt die eigentliche Herausforderung: Die Arbeitszeiterfassung mit dem Datenschutz in Einklang zu bringen. Ihr IT-System muss dahingehend programmiert werden, dass es die datenschutzrechtlichen Prinzipien und Vorgaben einhält. Ihre IT-Abteilung sollte überdies ständig überprüfen, wer Einsicht auf die Arbeitszeiten und den Dienstplan hat. Bei einem unerlaubten Zugriff sollte Ihr IT-System sofort Alarm schlagen. Zudem muss Ihr IT-Team stetig aktualisieren, wessen Daten wie lange gespeichert werden dürfen. Es gilt dabei stets die rechtlichen Vorschriften des Datenschutzes, insbesondere die der DSGVO sowie des BDSG, zu beachten.

An den eigentlichen Vorschriften des Arbeitszeitgesetzes ändert sich zunächst nichts. Bislang wurde lediglich entscheiden, dass eine Pflicht zur systematischen Arbeitszeiterfassung besteht, jedoch nicht, wie die Umsetzung aussehen soll und welche konkreten Konsequenzen bei einer Nichteinhaltung entstehen. Hier sind unter anderem die Urteilsbegründung des BAG sowie mögliche rechtliche Konkretisierungen abzuwarten.

Anders sieht es jedoch aus, wenn Sie datenschutzrechtliche Vorschriften verletzen und verbundenen Pflichten nicht nachkommen. Erfüllen Sie nicht die gesetzlichen Anforderungen, kann dies sowohl für Sie als auch für Ihre Mitarbeiter negative Folgen haben. Wer personenbezogene Daten unberechtigterweise verarbeitet oder an Dritte übermittelt, muss laut Bundesdatenschutzgesetz (BDSG) unter anderem mit einer Freiheitsstrafe oder einer Geldstrafe rechnen (§ 42 BDSG). Auch die Datenschutzgrundverordnung sieht bei Verstößen unter anderem Schadensersatzansprüche von Betroffenen (Art. 82 DSGVO) sowie die Verhängung von Geldbußen durch Aufsichtsbehörden (Art. 83 DSGVO) vor.

Hier finden Sie ein paar Tipps und Möglichkeiten, wie die Arbeitszeiterfassung Ihrer Angestellten aussehen könnte:

• Digital oder analog: Ob selbst programmiert oder am Markt erworben – Zeiterfassungssoftwares für Laptops, Desktop-Rechner und Smartphones eignen sich für jedes Unternehmen, egal wie groß es ist und wie viele Mitarbeiter es hat. Demgegenüber sind nach wie vor auch handschriftliche Stundenzettel oder Excel-Listen möglich.
• Fingerabdruck: Ähnlich wie bei der Stechuhr stempeln sich die Mitarbeiter mit ihrem Fingerabdruck ein und aus. Jedoch dürfen Sie als Arbeitgeber nur unter bestimmten Voraussetzungen eine derartige Methodik anwenden. Grundsätzlich ist das Speichern von Fingerabdrücken in gängigen Unternehmen nicht erlaubt.
• GPS: Auch wenn viele Softwares und Applikationen eine solche Funktion anbieten, ist das Verfolgen von GPS-Daten nicht in jedem Fall datenschutzkonform. Stellen Sie daher sicher, dass die entsprechende Rechtsgrundlage gegeben ist.
• Videoüberwachung: Nur unter speziellen Voraussetzungen ist eine Überwachung zulässig. Wollen Sie Videoüberwachung einsetzen, müssen zunächst die Persönlichkeitsrechte Ihrer Mitarbeiter beachtet werden. Liegt kein berechtigtes Interesse vor und werden keine konkreten Zwecke festgelegt, dürfen Sie keine entsprechenden Techniken einsetzen (§ 4 BDSG bzw. Art. 6 Abs. 1 lit. f DSGVO).
• Computerüberwachung: Programme zur Computerüberwachung sind ebenfalls nur dann erlaubt, wenn der hierdurch erfolgende Eingriff verhältnismäßig ist. Stichprobenartige Kontrollen können erlaubt sein, wenn hiermit das Verbot oder die Beschränkung von Privatnutzung kontrolliert werden soll. Private oder höchstpersönliche Inhalte dürfen nicht überwacht werden.
• Telefonüberwachung: Grundsätzlich gilt die Vertraulichkeit des Wortes. Datenschutzrechtlich sollte auf eine allgemeine Arbeitszeiterfassung mithilfe von Telefonüberwachung daher verzichtet werden.

Festzuhalten ist, dass die Arbeitszeiterfassung die datenschutzrechtlichen Vorgaben erfüllen muss. Die erhobenen Daten müssen zweckgebunden sein und dürfen nur für die Erfassung der Arbeitszeiten genutzt werden. Bietet eine Software oder ein anderes Portal mehr Funktionen als diese an, wie beispielsweise das Erstellen von Persönlichkeits- oder Bewegungsprofilen, muss die IT-Abteilung Ihres Unternehmens jegliche Funktionen abschalten.

Eine anderweitige Nutzung der personenbezogenen Daten ist nicht zulässig. Sobald der eigentliche Zweck der Erhebung personenbezogener Daten für die Arbeitszeiterfassung entfällt oder Aufbewahrungsfristen verstrichen sind, müssen Sie die Daten löschen.