Zeiterfassung und Datenschutz: was die DSGVO im Kleinbetrieb verlangt

Warum die Einwilligung der falsche Weg ist

Die verbreitetste Fehlannahme lautet, jede Erfassung von Arbeitszeiten brauche das Einverständnis der Beschäftigten. Das Gegenteil ist der Fall: Wer die Zeiterfassung auf eine Einwilligung stützt, macht sich unnötig angreifbar. Eine Einwilligung muss freiwillig sein – im Arbeitsverhältnis mit seinem strukturellen Abhängigkeitsgefälle ist das schwer zu belegen. Vor allem aber ist sie jederzeit widerrufbar. Ein Betrieb, dessen Erfassung auf Einwilligungen beruht, verlöre mit jedem Widerruf die Grundlage für eine Pflicht, die er gesetzlich erfüllen muss.

Der tragfähige Weg führt über zwei andere Normen. Soweit eine gesetzliche Aufzeichnungspflicht besteht, greift Art. 6 Abs. 1 lit. c DSGVO – die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich. Für alles, was darüber hinaus zur Abwicklung des Arbeitsverhältnisses nötig ist, etwa das Stundenkonto als Grundlage der Abrechnung, greift § 26 Abs. 1 BDSG. Welche Aufzeichnungspflichten den Betrieb konkret treffen, ordnet die Seite Rechtslage und Pflicht zur Zeiterfassung ein.

Welche Daten erhoben werden dürfen – und welche nicht

Der Maßstab ist die Erforderlichkeit. Was zur Erfüllung der Aufzeichnungspflicht und zur Abrechnung nötig ist, darf erhoben werden; alles andere nicht. In der Praxis lässt sich das mit einer kurzen Liste beantworten, die zugleich die häufigsten Grenzfälle enthält.

Die vorletzte Zeile ist die praktisch heikelste. Ein Stempelsystem produziert zwangsläufig Daten, aus denen sich Pünktlichkeit ablesen lässt. Erlaubt bleibt, sie zur Kontrolle der Arbeitszeit und zur Abrechnung zu nutzen; unzulässig wird es, wenn daraus ein Ranking, eine Dauerauswertung oder eine Verhaltensbewertung entsteht. Der Grundsatz der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO zieht hier die Linie – und er ist der Grund, warum das Thema in Betrieben mit Betriebsrat über § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig ist. In den meisten Kleinbetrieben existiert kein Betriebsrat; die Grenze gilt trotzdem.

Biometrie: warum Fingerabdruck-Terminals fast immer scheitern

Fingerabdruck-Leser wirken attraktiv, weil sie das Stempeln für Kollegen ausschließen. Genau dieses Argument hat vor Gericht nicht getragen. Das Landesarbeitsgericht Berlin-Brandenburg entschied am 4. Juni 2020 (10 Sa 2130/19), dass ein biometrisches Zeiterfassungssystem nicht im Sinne des Art. 9 Abs. 2 lit. b DSGVO und des § 26 Abs. 3 BDSG erforderlich ist. Dass das System nur Minutien – die Verzweigungspunkte der Fingerlinien – speicherte und nicht das Bild des Abdrucks, änderte daran nichts: Es handelt sich weiterhin um biometrische Daten. Der Wunsch nach einer fälschungssicheren Erfassung genügt als Rechtfertigung nicht, solange andere Verfahren dasselbe Ziel erreichen. Weil keine wirksame Einwilligung vorlag, war auch die Abmahnung des Beschäftigten, der sich verweigert hatte, aus der Personalakte zu entfernen.

Für den Kleinbetrieb folgt daraus eine einfache Konsequenz: Ein Terminal mit RFID-Chip oder PIN ist der unproblematische Weg. Wer biometrisch erfassen will, braucht eine echte, dokumentierte und freiwillige Einwilligung und eine gleichwertige Alternative für alle, die sie nicht erteilen – zwei Bedingungen, die den vermeintlichen Vorteil wieder aufheben.

Standortdaten: der Unterschied zwischen Prüfpunkt und Verfolgung

Für Betriebe mit Außeneinsätzen stellt sich die Frage anders. Hier geht es nicht um Identität, sondern um den Ort. Datenschutzrechtlich sind zwei Dinge zu trennen: die einmalige Prüfung, ob sich das Gerät beim Stempeln in einem definierten Bereich befindet, und die fortlaufende Aufzeichnung des Standorts über die Schicht hinweg.

Das Erste lässt sich rechtfertigen, wenn es erkennbar ist, sich auf den Moment des Stempelns beschränkt und keine Route entsteht. Das Zweite erzeugt ein Bewegungsprofil und ist an Art. 5 Abs. 1 lit. c DSGVO – Datenminimierung – zu messen, an dem es in aller Regel scheitert. Beschäftigte müssen erkennen können, wann die Ortung aktiv ist, und sie außerhalb der Erfassung abschalten können. Die praktischen Fragen der mobilen Erfassung auf Baustellen und bei Montageeinsätzen behandelt der Beitrag Zeiterfassung im Handwerk.

Wer die Daten sehen darf

Ein Zugriffskonzept klingt nach Konzernbürokratie, besteht im Kleinbetrieb aber aus drei Sätzen. Erstens: Jede beschäftigte Person sieht ihre eigenen Zeiten und ihr eigenes Stundenkonto – das ist nicht nur Ausfluss des Auskunftsrechts nach Art. 15 DSGVO, sondern auch praktisch nötig, weil ein Nachweis, den niemand prüfen kann, seinen Zweck verfehlt. Zweitens: Vorgesetzte sehen die Zeiten der Personen, für deren Planung und Abrechnung sie zuständig sind, und nicht mehr. Drittens: Die Lohnbuchhaltung – intern oder beim Steuerbüro – erhält die Auswertung, die sie für die Abrechnung braucht, nicht den Rohdatenbestand.

Kommt eine Cloud-Lösung zum Einsatz, tritt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO hinzu. Er ist kein Formular zum Wegheften, sondern legt fest, welche Unterauftragnehmer eingesetzt werden, welche technischen und organisatorischen Maßnahmen gelten und was bei Vertragsende mit den Daten geschieht. Seriöse Anbieter stellen ihn von sich aus bereit; wer ihn erst auf Nachfrage erhält, sollte genauer hinsehen.

Löschen: der Teil, den fast alle vergessen

Die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verlangt, personenbezogene Daten nicht länger aufzubewahren, als es der Zweck erfordert. Solange eine gesetzliche Aufbewahrungsfrist läuft, ist der Zweck gegeben – danach nicht mehr. In der Praxis kollidieren an dieser Stelle mehrere Fristen: mindestens zwei Jahre nach § 16 Abs. 2 ArbZG und § 17 MiLoG für die Arbeitszeitnachweise, längere steuer- und handelsrechtliche Fristen für Lohnunterlagen und Buchungsbelege. Maßgeblich ist die jeweils längste Frist, die den konkreten Datensatz betrifft – und nicht die pauschale Entscheidung, alles zehn Jahre zu behalten. Welche Frist für welchen Nachweis gilt und wann sie zu laufen beginnt, rechnet der Beitrag Arbeitszeitnachweise aufbewahren im Detail durch.

Ein Löschkonzept für die Zeiterfassung passt auf eine halbe Seite: Welche Datenart wird wie lange aufbewahrt, wann beginnt die Frist, wer löscht, und wie wird das dokumentiert? Wichtig ist der Fall des Ausscheidens: Zugänge sind sofort zu deaktivieren, die Daten selbst bleiben bis zum Ablauf der Aufbewahrungsfristen bestehen und werden erst danach entfernt.

Datenschutz-Folgenabschätzung – meist nicht nötig

Art. 35 DSGVO verlangt eine Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen mit sich bringt, insbesondere bei systematischer umfangreicher Überwachung. Eine gewöhnliche Zeiterfassung ohne Verhaltenskontrolle erfüllt das nicht. Anders sieht es aus, sobald biometrische Merkmale oder eine fortlaufende Standortaufzeichnung ins Spiel kommen – beides Konstellationen, von denen aus den oben genannten Gründen ohnehin abzuraten ist. Wer sie vermeidet, vermeidet damit zugleich die Folgenabschätzung.

Die Sieben-Punkte-Prüfung vor dem Start

Diese sieben Punkte lassen sich in einem Nachmittag abarbeiten und decken den Datenschutz für eine gewöhnliche Zeiterfassung vollständig ab. Wer den Einstieg ohnehin gerade plant, erledigt sie am besten parallel zur Auswahl des Systems – nachträglich sind vor allem Punkt 2 und Punkt 7 mühsam, weil dann bereits Daten existieren, die niemand angefordert hat.

Worauf bei der Auswahl zu achten ist

Datenschutz ist zu einem guten Teil eine Produktfrage. Drei Eigenschaften entscheiden darüber, ob die sieben Punkte ohne Zusatzaufwand erfüllbar sind: abschaltbare Datenfelder, damit nur erhoben wird, was gebraucht wird; ein Rollen- und Rechtekonzept, das den Zugriff je Standort und Team begrenzt; und eine Eigenansicht für Beschäftigte, damit das Auskunftsrecht nicht zur Einzelfallanfrage wird.

Aplano erfüllt diese drei Punkte: Die Erfassung läuft über Browser, Mitarbeiter-App oder Tablet-Terminal, jede Person sieht ihr eigenes Stundenkonto in der App, und Rechte lassen sich je Standort und Rolle vergeben; ein Auftragsverarbeitungsvertrag gehört zum Standard. Die Zeiterfassung ist im Pro-Tarif für 4,50 € je Mitarbeiter und Monat netto enthalten, monatlich kündbar, mit 14 Tagen Test ohne Kreditkarte. Auf Capterra wird Aplano mit 4,7 von 5 geführt, auf OMR Reviews mit 4,6 von 5 bei 206 Bewertungen. Wie sich die Systeme im Übrigen unterscheiden, zeigt der Vergleich; die Kostenseite rechnet die Kostenübersicht für 5, 10 und 20 Beschäftigte vor.