Datenschutz bei der Zeiterfassung: das revidierte DSG

Das revidierte DSG löste das alte Gesetz aus dem Jahr 1992 ab und nähert die Schweizer Regeln an die europäische DSGVO an, ohne mit ihr identisch zu sein. Personendaten von Mitarbeitenden – und dazu gehören Kommen- und Gehen-Zeiten, Pausen, Projektbuchungen oder Krankheitstage – dürfen nur bearbeitet werden, wenn dies rechtmässig, verhältnismässig und nach Treu und Glauben erfolgt. Die Zeiterfassung ist damit kein rechtsfreier Raum, sondern eine Datenbearbeitung mit konkreten Pflichten für die verantwortliche Stelle.

Massgeblich ist der Grundsatz der Verhältnismässigkeit: Erhoben werden darf nur, was für den ausgewiesenen Zweck tatsächlich nötig ist. Für die Lohnabrechnung und die Einhaltung des Arbeitsgesetzes genügen in der Regel Beginn, Ende und Dauer der Arbeit sowie die Pausen. Eine lückenlose Standortverfolgung, eine dauerhafte Videoüberwachung oder das heimliche Auslesen privater Aktivitäten gehen über diesen Zweck hinaus und sind grundsätzlich unzulässig. Je sensibler die Erfassung, desto höher sind die Anforderungen an ihre Rechtfertigung.

Das revDSG verankert die Grundsätze von Privacy by Design und Privacy by Default. Datenschutzfreundliche Voreinstellungen und sparsame Konfigurationen müssen bereits beim Aufsetzen eines Erfassungssystems mitgedacht werden, nicht erst nachträglich. Wer biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung einsetzt, bearbeitet besonders schützenswerte Personendaten und braucht dafür eine besondere Rechtfertigung sowie eine echte, ausdrückliche und freiwillige Einwilligung der betroffenen Person. Ohne diese Grundlage ist der Einsatz biometrischer Verfahren heikel und rechtlich angreifbar.

Neu ist die Pflicht zu einer Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringt – etwa bei umfangreicher systematischer Überwachung des Verhaltens. Hinzu kommt eine Meldepflicht bei Verletzungen der Datensicherheit: Vorfälle sind dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich zu melden. Ein Verzeichnis der Bearbeitungstätigkeiten ist grundsätzlich zu führen; kleinere Unternehmen sind unter bestimmten Voraussetzungen davon befreit, sollten ihre Abläufe dennoch dokumentieren.

Mitarbeitende haben ein Auskunftsrecht und können verlangen zu erfahren, welche Zeit- und Anwesenheitsdaten über sie bearbeitet werden, zu welchem Zweck und über welche Dauer. Werden Daten an Dritte oder ins Ausland weitergegeben – etwa an einen Cloud-Anbieter oder ein Treuhandbüro –, sind ein angemessenes Schutzniveau und geeignete vertragliche Garantien sicherzustellen. Über die wesentlichen Merkmale der Bearbeitung ist transparent und in verständlicher Form zu informieren, am besten in einer schriftlichen Datenschutzerklärung.

Die Aufbewahrung folgt dem Prinzip der Zweckbindung: Zeitdaten sind zu löschen oder zu anonymisieren, sobald sie für den ursprünglichen Zweck nicht mehr benötigt werden. Das Arbeitsgesetz verlangt jedoch, dass Verzeichnisse über Arbeits- und Ruhezeiten während mindestens fünf Jahren aufbewahrt werden. Beide Anforderungen sind sorgfältig in Einklang zu bringen, nach der Leitlinie: so lange wie nötig, so kurz wie möglich. Ein klares Löschkonzept verhindert, dass Datenbestände unkontrolliert anwachsen.

Verstösse können empfindlich sein. Das revDSG sieht Bussen gegen verantwortliche natürliche Personen von bis zu 250 000 Franken vor, etwa bei der Verletzung von Informations-, Auskunfts- oder Sorgfaltspflichten. Wichtiger als das blosse Strafmass ist jedoch das Vertrauen der Belegschaft: Eine sauber dokumentierte, sparsame und transparente Zeiterfassung schützt das Unternehmen vor Haftungsrisiken und respektiert zugleich die Persönlichkeit der Mitarbeitenden. Datenschutz ist damit auch ein Faktor der Arbeitgeberattraktivität.

In der Praxis empfiehlt sich ein Bearbeitungsreglement, das Zweck, Umfang, Zugriffsrechte und Löschfristen der Zeiterfassung verbindlich festhält. Zugriffe sollten rollenbasiert vergeben, Datenexporte protokolliert und sensible Funktionen wie Biometrie nur bei echtem Bedarf aktiviert werden. So bleibt jederzeit nachvollziehbar, wer welche Daten zu welchem Zweck einsehen kann – ein zentraler Baustein für die Rechenschaftspflicht und die Glaubwürdigkeit gegenüber Mitarbeitenden und Aufsichtsbehörde.