News
Datenschutzrechtliche Umsetzung zur Arbeitszeiterfassung
Auf welche Weise sind in Deutschland Unternehmen zur Arbeitszeiterfassung verpflichtet und welche Auswirkungen ergeben sich daraus für den Datenschutz?
Grundsätzlich ist die Erfassung von Überstunden in § 16 Abs. 2 ArbZG verpflichtend vorgesehen. Alle übrigen Arbeitsstunden müssen gemäß dem EuGH-Urteil vom 14. Mai 2019 so gestaltet sein, dass die Höchstarbeitszeit zum einen nicht überschritten wird und zum anderen tägliche und wöchentliche Ruhezeiten eingehalten werden. Das ist in der Charta der Grundrechte der Europäischen Union und in der Arbeitszeitrichtlinie (Richtlinie 2003/88/EG des Europäischen Parlaments und des Rates) verankert und muss gegenüber den Arbeitnehmern als „schwächere Partei“ des Arbeitsvertrags gewährleistet werden.
Nach Auffassung des Europäischen Gerichtshofs ist, um die Rechte der Arbeitnehmer diesbezüglich umzusetzen, ein Arbeitszeiterfassungssystem notwendig, das in der Lage ist, objektiv verlässlich tatsächlich geleistete Arbeitszeitdaten zu erfassen. Die Mitgliedstaaten sind daher angehalten, die Arbeitgeber zu verpflichten, ein „objektiv, verlässliches und zugängliches System“ einzurichten, um die tägliche Arbeitszeit zu messen.
Auch wenn bis dato durch die Mitgliedstaaten noch keine Gesetzesänderung vorgenommen wurde, kann gleichwohl von einer Pflicht für Unternehmen ausgegangen werden, ein System zur Arbeitszeiterfassung zu implementieren, aufgrund des Urteils des Arbeitsgerichts Emden vom Februar 2020 (Urt. v. 20.2.2020 – Az. 2 Ca94/19), worin das EU-Recht bereits als unmittelbar anwendbar gilt.
Für den Datenschutz ergeben sich hieraus Umsetzungserfordernisse, wenn es sich bei der Arbeitszeiterfassung um personenbezogene Daten handelt.
Was sind personenbezogene Daten bezüglich der Aufzeichnung von Arbeitszeiten?
Nach der Legaldefinition des Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Bezüglich der Messung der Arbeitszeiten der Arbeitnehmer ist die Arbeitszeit die Information und der Arbeitnehmer die identifizierte Person. Somit handelt es sich bei der Arbeitszeiterfassung um die Verarbeitung personenbezogener Daten, die den gesetzlichen Anforderungen der DSGVO genügen müssen.
Welche Rechtsgrundlage gilt für die Arbeitszeiterfassung gemäß DSGVO?
Als mögliche Rechtsgrundlage kommen mehrere Möglichkeiten in Betracht. Zunächst ist § 26 Abs. 1. BDSG im Rahmen des Beschäftigungsverhältnisses zu nennen, nach der es erforderlich ist, die Arbeitszeiten für ein Arbeitsverhältnis zu verarbeiten. Auch das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, kommt in Frage, da der Arbeitgeber daran interessiert ist, die tatsächlich geleistete Arbeitszeit zu vergüten. Zuletzt stellt der Art. 6 Abs. 1 lit. c DSGVO eine zulässige Rechtsgrundlage dar, da gemäß § 16 Abs. 2 ArbZG der Arbeitgeber zur Aufzeichnung von Überstunden gesetzlich verpflichtet ist..
Was ist bei der Benennung des legitimen Zwecks zu beachten?
Neben einer gültigen Rechtsgrundlage zur Arbeitszeiterfassung bedarf eines legitimen Zwecks gemäß Art. 5 Abs. 1 lit. b DSGVO, der die Aufzeichnung der Arbeitszeit des Arbeitnehmers zum Zweck einer sachgemäßen Vergütung beinhaltet. Daher ist insbesondere zu beachten, dass die Arbeitszeiterfassung nicht dem Zweck der Leistungs- und Verhaltenskontrolle oder Erfassung von Bewegungsprofilen dienen darf.
Was sind die gesetzlichen Aufbewahrungsfristen der Arbeitszeiterfassung?
Personenbezogene Daten dürfen gemäß DSGVO nur so lange gespeichert werden, solange es einen legitimen Zweck gibt. Bei Zweckentfall müssen personenbezogene Daten gelöscht werden. Bezüglich der Aufzeichnung von Arbeitszeiten bedeutet dies, dass die gesetzlichen Aufbewahrungspflichten des § 16 Abs. 2 ArbZG einzuhalten sind, wonach der Nachweis über erbrachte Überstunden mindestens für zwei Jahre aufzubewahren sind.
Eine zehnjährige Aufbewahrungszeit kommt gemäß Abgabenordnung in Betracht, wenn es sich um steuerrechtlich relevante Daten zur Arbeitszeiterfassung handelt, wie beispielsweise bei einem zurückkehrenden Arbeitnehmer von einer Dienstreise, wo der Zeitpunkt der Rückkehr das Ende der Abwesenheit darstellt. Hier kommen steuerliche Aspekte zu Übernachtungspauschalen und Verpflegungsmehraufwandspauschalen in Betracht.
Wie muss das System zur Zeiterfassung ausgestaltet sein?
Das EuGH-Urteil fordert ein geeignetes Mittel zur Zeiterfassung. Das kann auch in Papierform geschehen, jedoch ist dieses System in dem Fall nicht mehr sachdienlich, je höher die Mitarbeiteranzahl ist, da die Unübersichtlichkeit in ein Papierchaos münden kann. Dann sollte ein digitales System gewählt werden, da eine Zeiterfassungssoftware alle Prozesse vereinfacht und übersichtlich darstellen kann.
Wenn es einen Betriebsrat im Unternehmen gibt, muss dieser bei Auswahl und Einführung eines technischen Zeiterfassungssystem gemäß § 87 Abs. 1 Nr. 6 BetrVG im Rahmen seines Mitbestimmungsrechts hinzugezogen werden. Das System muss objektiv unabhängig von der erfassenden Person die Zeiterfassung vornehmen und manipulationssicher sein und zudem verlässlich funktionieren, so dass die Verfügbarkeit, Vertraulichkeit und Integrität im Hinblick auf die Sicherheit der Verarbeitung gewahrt bleiben. Damit es bezüglich der Zeiterfassung kein ungleichmäßiges Kräfteverhältnis zwischen Arbeitgeber und Arbeitnehmer gibt, muss gewährleistet werden, dass beide Parteien gleichermaßen auf das System Zugangsberechtigungen erhalten, damit auch die Arbeitnehmer selbstständig ihre geleisteten Arbeitszeitdaten und mögliche Änderungen durch den Arbeitgeber einsehen können.
Fazit
Auch im Hinblick auf die aktuellen Entwicklungen zur Zunahme von Homeoffice und mobilem Arbeiten bietet sich eine digitale Zeiterfassungssoftware an, die die Dokumentationspflichten zur Arbeitszeiterfassung vereinfacht im Gegensatz zur papierhaften Erfassung. Es gibt bereits ein breit gefächertes Angebot an Apps und Softwaresystemen, wobei streng darauf geachtet werden muss, dass die Pflicht zur Zeiterfassung nicht zur dauerhaften Überwachung der Arbeitnehmer führt.
Bei der Auswahl des Systems sind sowohl die IT-Sicherheit bezüglich digitalisierter Systeme als auch die gesetzlichen Vorgaben der DSGVO eng miteinander verwoben und zwingend umzusetzen. Die IT-Sicherheit muss die Sicherheit der Verarbeitung gemäß Art. 32 DSGVO gewährleisten, wonach die Technischen und Organisatorischen Maßnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme gewahrt werden müssen. Das gilt sowohl für eine On-Premise-Lösung mit Serverstandort vor Ort im eigenen Unternehmen als auch für eine Cloud-Lösung, bei der bezüglich der Rechtmäßigkeit der Verarbeitung der Arbeitszeiterfassung auf einen Serverstandort innerhalb EU geachtet werden sollte.
