Geschrieben am 23.02.2023 von:
Der Beschluss des Bundesarbeitsgerichts (BAG) vom 13.09.2022 (BAG, Beschluss vom 13.09.2022 – 1 ABR 22/21) sorgte für eine kontroverse Debatte: Bedeutet die Entscheidung das „Ende der Vertrauensarbeitszeit“ oder gar „das Ende von New Work“ und eine „Rückkehr zur Stechuhr“? So oder so ähnlich lauteten seither zahlreiche Schlagzeilen oder Beiträge in den (sozialen) Medien.
Mit Spannung wurden daher die Gründe für die Entscheidung erwartet, die nun seit dem 02.12.2022 vorliegen. Demnach besteht für Arbeitgeber*innen auf Grundlage der unionsrechtskonformen Auslegung des § 3 Abs. 1 ArbSchG die Pflicht, Beginn und Ende – und damit die Dauer der Arbeitszeiten – einschließlich der Überstunden und Pausen zu erfassen. Bereits am 14. Mai 2019 hat der EuGH den Mitgliedstaaten aufgegeben, die Arbeitgeber*innen zum Schutz der Sicherheit und Gesundheit der Arbeitnehmer*innen zu verpflichten, „ein objektives, verlässliches und zugängliches System zur Arbeitszeiterfassung“ einzurichten (EuGH, Urteil vom 14. 09.2019 – C-55/18). Einen entsprechenden Gesetzesentwurf hat das Bundesministerium für Arbeit und Soziales für das erste Quartal 2023 in Aussicht gestellt.
Wie das System auszugestalten ist, wird (zumindest nach aktuellem Stand) weitgehend den Unternehmen überlassen. Insofern dürfte es auch in Zukunft möglich sein, die Verpflichtungen aus Gesetz und Rechtsprechung mit einer auf Vertrauen und Flexibilität basierenden Arbeitszeitregelung in Einklang zu bringen.
Unabhängig davon, wie in deinem Unternehmen die Arbeitszeiterfassung aktuell oder in Zukunft gestaltet wird, müssen dabei zwingende datenschutzrechtliche Anforderungen berücksichtigt werden. Einige Beispiele:
Die Grundsätze für die Verarbeitung personenbezogener Daten nach Art. 5 DS-GVO finden auf die Arbeitszeiterfassung Anwendung. So muss die Zeiterfassung beispielsweise dem Grundsatz der Datenminimierung folgen, also dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein (Art. 5 Abs. 1 lit. c) DS-GVO). Durch geeignete technische und organisatorische Maßnahmen (TOM) muss eine angemessene Sicherheit der personenbezogenen Daten gewährleistet sein (Art. 5 Abs. 1 lit. f) DS-GVO).
Die Erfassung der Arbeitszeit ist eine Verarbeitungstätigkeit im Sinne des Art. 30 DS-GVO und entsprechend im Verzeichnis von Verarbeitungstätigkeiten (VVT) zu erfassen. Sofern besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DS-GVO verarbeitet werden, z.B. Gesundheitsdaten, gelten für die Verarbeitung besonders strenge Anforderungen.
Bei der Einführung einer elektronischen Arbeitszeiterfassung besteht in der Regel die Verpflichtung, eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO durchzuführen. Sie dient dazu, die Risiken von Verarbeitungsvorgängen auf ihre möglichen Folgen hin zu untersuchen und dementsprechend geeignete technische und organisatorische Maßnahmen zu treffen. Die Datenschutz-Folgenabschätzung hat vor Implementierung des eigentlichen Verarbeitungsvorgangs zu erfolgen. Dies hat in der Praxis den Vorteil, dass vorab alle datenschutzrechtlich relevanten Aspekte geklärt und bei der Implementierung berücksichtigt werden – zum Beispiel, ob es sich beim Anbieter der elektronischen Zeiterfassung um einen Auftragsverarbeiter handelt und entsprechend ein Auftragsverarbeitungsvertrag geschlossen werden muss
Unternehmen sollten sich daher dringend damit auseinandersetzen, ob ihr aktuelles oder zukünftiges Zeiterfassungs-System diesen Anforderungen gerecht wird.
Du hast Fragen zum Datenschutz bei der Arbeitszeiterfassung? Oder brauchst du Unterstützung bei der Datenschutz-Folgenabschätzung? Wir helfen dir gerne!