Das revidierte Datenschutzgesetz (revDSG) und die Arbeitszeiterfassung (Schweiz)

Die Arbeitszeiterfassung ist eine Bearbeitung von Personendaten im Sinne des revDSG. Erfasst werden Beginn und Ende der Arbeit, Pausen, Abwesenheiten und teils weitere Angaben. Damit gelten die Grundsätze des Datenschutzrechts: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung sowie Richtigkeit und Sicherheit der Daten. Diese Grundsätze sind bereits bei der Auswahl des Systems zu berücksichtigen.

Zentral ist die Zweckbindung. Die erhobenen Daten dürfen nur für den angegebenen Zweck verwendet werden, also für die Erfüllung arbeitsrechtlicher Pflichten und den Gesundheitsschutz. Eine Nutzung für umfassende Leistungs- oder Verhaltenskontrollen ist davon nicht gedeckt und kollidiert zudem mit den arbeitsgesetzlichen Vorgaben zur Überwachung. Der ursprüngliche Zweck darf nicht nachträglich beliebig erweitert werden.

Der Grundsatz der Verhältnismässigkeit verlangt Datensparsamkeit. Es dürfen nur jene Daten bearbeitet werden, die für die Erfassung tatsächlich erforderlich sind. Zusätzliche Angaben wie genaue Standortdaten oder biometrische Merkmale sind nur zulässig, wenn sie notwendig und angemessen sind und keine milderen Mittel ausreichen. Im Zweifel ist die datensparsamere Variante zu wählen.

Das revDSG stärkt die Informationspflichten. Mitarbeitende müssen transparent darüber informiert werden, welche Daten zu welchem Zweck bearbeitet werden und wer Zugriff hat. In bestimmten Fällen ist ein Verzeichnis der Bearbeitungstätigkeiten zu führen, und bei Bearbeitungen mit hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Transparenz schafft Vertrauen und ist zugleich rechtliche Pflicht.

Auch die Betroffenenrechte sind zu beachten. Mitarbeitende haben insbesondere Anspruch auf Auskunft über die zu ihrer Person bearbeiteten Daten sowie auf Berichtigung unrichtiger Angaben. Die Zeiterfassung sollte deshalb so ausgestaltet sein, dass solche Auskünfte effizient und vollständig erteilt werden können, ohne dass dafür ein unverhältnismässiger Aufwand entsteht.

Die Datensicherheit ist eine eigenständige Pflicht. Personendaten sind durch angemessene technische und organisatorische Massnahmen vor unbefugtem Zugriff, Verlust und Verfälschung zu schützen. Dazu zählen Zugriffskonzepte, Verschlüsselung und geordnete Sicherungen. Bei Verletzungen der Datensicherheit mit hohem Risiko bestehen unter dem revDSG zudem Meldepflichten.

Werden Daten an Dritte oder ins Ausland übermittelt, etwa an einen Cloud-Anbieter, sind die besonderen Vorgaben des revDSG einzuhalten. Erforderlich sind angemessene Garantien für den Datenschutz und vertragliche Regelungen zur Auftragsbearbeitung. Der Serverstandort und die Zugriffsregelungen sind dabei sorgfältig zu prüfen, um ein angemessenes Schutzniveau sicherzustellen.

Datenschutz sollte bereits in der Konzeption mitgedacht werden. Der Grundsatz von Datenschutz durch Technik und datenschutzfreundlichen Voreinstellungen verlangt, dass Systeme von Beginn an datensparsam und sicher gestaltet sind. Wer dies bei der Einführung der Zeiterfassung beachtet, vermeidet spätere Anpassungen und reduziert das rechtliche Risiko erheblich.

Verstösse gegen zentrale Pflichten des revDSG können sanktioniert werden, wobei sich Bussen nach dem Gesetz gegen verantwortliche Personen richten können. Eine datenschutzkonforme Zeiterfassung mit klaren Zwecken, sparsamer Datenerhebung, Transparenz und sicherer Speicherung minimiert dieses Risiko und stärkt zugleich das Vertrauen der Belegschaft in den verantwortungsvollen Umgang mit ihren Daten.