Datenschutz bei der Zeiterfassung in Österreich: DSG und DSGVO

Arbeitszeitdaten sind personenbezogene Daten im Sinne der DSGVO, weil sie sich einer bestimmten Person zuordnen lassen. Jede Verarbeitung benötigt daher eine Rechtsgrundlage nach Artikel 6 DSGVO. Für die Erfassung von Kommen, Gehen und Pausen kommt regelmäßig die Erfüllung arbeits- und sozialrechtlicher Pflichten sowie das berechtigte Interesse des Arbeitgebers in Betracht, sofern es schutzwürdige Interessen der Beschäftigten nicht überwiegt. Eine pauschale Einwilligung ist im Arbeitsverhältnis dagegen oft heikel, weil ihre Freiwilligkeit angesichts des Abhängigkeitsverhältnisses fraglich sein kann.

Es gelten die allgemeinen Grundsätze der Verarbeitung: Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung. Erhoben werden darf nur, was für die Lohnverrechnung, die Einhaltung von Arbeitszeitvorschriften und den betrieblichen Ablauf tatsächlich erforderlich ist. Eine darüber hinausgehende, lückenlose Verhaltens- oder Leistungskontrolle ist datenschutzrechtlich unzulässig. Das System ist möglichst so zu gestalten, dass es nur die wirklich benötigten Daten erfasst und nicht beiläufig ein umfassendes Bewegungs- oder Aktivitätsprofil entsteht.

Biometrische Daten wie Fingerabdruck oder Gesichtserkennung zählen zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO und genießen erhöhten Schutz. Das österreichische DSG enthält dazu ergänzende Bestimmungen. Ihr Einsatz zur Zeiterfassung ist nur unter engen Voraussetzungen zulässig und erfordert in der Regel eine gesonderte, freiwillige Zustimmung sowie zumutbare Alternativen für Beschäftigte, die nicht teilnehmen wollen. Häufig lässt sich derselbe Zweck mit milderen Mitteln wie Personalnummer und Passwort oder Transponderkarten erreichen.

Im Betriebsverfassungsrecht ist das Arbeitsverfassungsgesetz (ArbVG) zu beachten. Kontrollmaßnahmen und technische Systeme, welche die Menschenwürde berühren, bedürfen der Zustimmung des Betriebsrats, üblicherweise in Form einer Betriebsvereinbarung. Besteht kein Betriebsrat, ist die Zustimmung der einzelnen betroffenen Beschäftigten einzuholen. Diese Mitbestimmung tritt neben die datenschutzrechtlichen Anforderungen und ist eigenständig zu erfüllen, bevor ein eingriffsintensives System in Betrieb genommen wird.

Vor der Einführung umfangreicher Überwachungs- oder Biometriesysteme ist häufig eine Datenschutz-Folgenabschätzung durchzuführen, weil ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen entstehen kann. Sie dokumentiert die Verhältnismäßigkeit der geplanten Verarbeitung, die getroffenen technischen und organisatorischen Schutzmaßnahmen sowie die Abwägung gegenüber milderen Mitteln. Die Folgenabschätzung ist kein bloßer Formalakt, sondern soll Risiken vorab erkennbar und beherrschbar machen.

Beschäftigte haben Betroffenenrechte. Dazu zählen die Auskunft über die zu ihrer Person gespeicherten Zeitdaten, die Berichtigung unrichtiger Einträge sowie die Löschung, sobald der Zweck der Verarbeitung entfällt. Eine transparente Information über Art, Umfang, Zweck und Dauer der Verarbeitung ist verpflichtend und sollte vor Beginn der Erfassung erfolgen. Beschäftigte müssen nachvollziehen können, welche Daten zu welchem Zweck erhoben und wie lange sie aufbewahrt werden.

Personenbezogene Zeitdaten sind durch geeignete technische und organisatorische Maßnahmen zu schützen, etwa durch rollenbasierte Zugriffsbeschränkungen, Protokollierung der Zugriffe und Verschlüsselung. Die Aufbewahrungsdauern richten sich nach den arbeits-, steuer- und sozialrechtlichen Pflichten; nach deren Ablauf sind die Daten zu löschen oder zu anonymisieren. Wer Daten länger speichert als nötig, verstößt gegen den Grundsatz der Speicherbegrenzung und setzt sich unnötigen Risiken aus.

Aufsichtsbehörde ist die österreichische Datenschutzbehörde. Verstöße gegen die DSGVO können erhebliche Geldbußen sowie Schadenersatzansprüche nach sich ziehen. Die konkrete Ausgestaltung eines Zeiterfassungssystems, insbesondere beim Einsatz von Biometrie oder Standortdaten, sollte daher datenschutzrechtlich geprüft werden, bevor es in Betrieb geht.