Datenschutz bei der Zeiterfassung: DSGVO und DSG in Österreich

Sobald Arbeitszeiten einzelnen Personen zugeordnet werden, liegt eine Verarbeitung personenbezogener Daten im Sinne der DSGVO vor. Für jede Verarbeitung braucht es eine Rechtsgrundlage nach Art. 6 DSGVO. Bei der Arbeitszeiterfassung kommen vor allem die Erfüllung des Arbeitsvertrags und die Erfüllung rechtlicher Verpflichtungen in Betracht, da die Aufzeichnung gesetzlich vorgeschrieben ist.

Das Datenschutzgesetz ergänzt die DSGVO auf nationaler Ebene und enthält Sonderbestimmungen, etwa zu behördlichen Zuständigkeiten und zur Datenschutzbehörde als Aufsichtsorgan. Im Beschäftigungskontext sind zusätzlich kollektivrechtliche Vorgaben des ArbVG zu beachten. Datenschutzrecht und Mitbestimmung greifen ineinander und müssen gemeinsam betrachtet werden.

Der Grundsatz der Zweckbindung verlangt, dass die Daten nur für festgelegte, eindeutige Zwecke verarbeitet werden – also für Arbeitszeitnachweis, Entgeltabrechnung und Einhaltung gesetzlicher Pflichten. Eine darüber hinausgehende Nutzung, etwa eine umfassende Leistungs- oder Verhaltenskontrolle, bedarf einer gesonderten Rechtfertigung und ist häufig unzulässig.

Die Datenminimierung gebietet, nur jene Daten zu erheben, die für den Zweck erforderlich sind. Detailtiefe Standort-, Foto- oder Verhaltensdaten sind nur dann zulässig, wenn der Zweck dies tatsächlich erfordert. Im Sinne von Privacy by Design sollten Erfassungssysteme so konfiguriert werden, dass datenschutzfreundliche Voreinstellungen gelten und nicht benötigte Funktionen deaktiviert sind.

Transparenz ist über die Informationspflichten nach Art. 13 DSGVO sicherzustellen. Die Beschäftigten müssen wissen, welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage und für welche Dauer verarbeitet werden und welche Rechte ihnen zustehen. Dazu gehören Auskunft, Berichtigung und – im gesetzlichen Rahmen – Löschung. Eine verständliche Datenschutzinformation gehört daher zur Einführung jedes Systems.

Speicherbegrenzung bedeutet, dass Daten nicht länger aufbewahrt werden dürfen als nötig. Aufbewahrungsfristen ergeben sich aus arbeits-, sozial- und steuerrechtlichen Vorgaben; nach deren Ablauf sind die Daten zu löschen. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO – Verschlüsselung, Zugriffsbeschränkung, Protokollierung – sichern Vertraulichkeit und Integrität ab.

Bei eingriffsintensiven Verarbeitungen, etwa biometrischer Erfassung oder systematischer Ortung, kann eine Datenschutz-Folgenabschätzung erforderlich sein. Werden Dienstleister eingebunden, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abzuschließen. Auch der Serverstandort und mögliche Drittlandübermittlungen sind zu prüfen, um die Anforderungen vollständig zu erfüllen.

Verstöße können von der Datenschutzbehörde verfolgt werden und zu Anordnungen sowie Geldbußen führen. Mindestens ebenso wichtig ist der Vertrauensschaden gegenüber der Belegschaft. Ein datenschutzkonform aufgesetztes Zeiterfassungssystem mit klaren Zwecken, sparsamer Datenerhebung und transparenter Information verbindet rechtliche Sicherheit mit betrieblicher Akzeptanz.

Den Beschäftigten stehen umfassende Betroffenenrechte zu, die der Arbeitgeber organisatorisch abbilden muss. Dazu zählen das Auskunftsrecht über die zu ihrer Person gespeicherten Arbeitszeitdaten, das Recht auf Berichtigung unrichtiger Buchungen und im gesetzlichen Rahmen das Recht auf Löschung. Verfahren zur Bearbeitung solcher Anträge sollten festgelegt sein, damit Anfragen fristgerecht und nachvollziehbar beantwortet werden können.

Empfehlenswert ist, die Verarbeitung in das Verzeichnis von Verarbeitungstätigkeiten aufzunehmen und die getroffenen Maßnahmen zu dokumentieren. Diese Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass der Arbeitgeber die Einhaltung der Grundsätze nicht nur sicherstellt, sondern auch belegen kann. Eine saubere Dokumentation von Zwecken, Rechtsgrundlagen, Fristen und Schutzmaßnahmen ist daher zugleich Compliance-Nachweis und praktische Arbeitserleichterung.