DSGVO und Arbeitszeiterfassung: was zu beachten ist
Wer Arbeitszeiten erfasst, verarbeitet personenbezogene Daten, und damit gilt die DSGVO. Das klingt erstmal nach Bürokratie, lässt sich aber auf ein paar verständliche Punkte herunterbrechen. Mir ist wichtig, das nicht größer zu machen, als es ist, aber auch nicht kleiner.
Für die meisten Gastrobetriebe geht es dabei nicht um komplizierte Rechtsfragen, sondern um drei Entscheidungen, die man bei der Auswahl einer Software ohnehin trifft, nur eben bewusst.
Der Serverstandort
Der erste Punkt ist der Serverstandort. Wo liegen die Daten der Mitarbeitenden?
Ein Standort in Deutschland oder zumindest in der EU vereinfacht die rechtliche Bewertung, weil die Verarbeitung unter europäisches Datenschutzrecht fällt. Bei Servern außerhalb der EU werden zusätzliche Prüfungen nötig, etwa zur Frage, auf welcher Grundlage die Übermittlung stattfindet und welche Garantien der Anbieter dafür bietet.
Für mich war das von Anfang an eine klare Entscheidung. Nicht, weil eine Verarbeitung außerhalb der EU grundsätzlich unzulässig wäre, sondern weil der Aufwand für die Bewertung in keinem Verhältnis zum Nutzen steht. Ein Gastrobetrieb hat selten jemanden, der diese Prüfung nebenbei erledigt.
Die praktische Frage an einen Anbieter ist entsprechend einfach: Wo stehen die Server, und wer betreibt sie? Wer darauf keine klare Antwort gibt, hat sich mit der Frage nicht ernsthaft beschäftigt.
Die Zugriffsrechte
Der zweite Punkt sind die Zugriffsrechte. Nicht jeder im Betrieb muss alle Daten sehen. Eine Schichtleitung braucht andere Informationen als die Lohnbuchhaltung.
Ein durchdachtes Rechtekonzept stellt sicher, dass jeder nur das sieht, was er für seine Aufgabe braucht. Das ist für mich nicht nur Datenschutz, sondern auch eine Frage des Vertrauens im Team. In einem Betrieb, in dem die Aushilfe die Stundenkonten aller Kolleginnen einsehen kann, entstehen Diskussionen, die niemand gebrauchen kann.
Konkret würde ich prüfen, ob sich mindestens diese Ebenen trennen lassen:
- Mitarbeitende sehen ihre eigenen Zeiten, ihren Plan und ihr Stundenkonto.
- Schichtleitung sieht die Besetzung und die Zeiten des eigenen Bereichs, aber keine Lohndaten.
- Betriebsleitung sieht die Auswertungen über den ganzen Betrieb.
- Lohnbuchhaltung oder Steuerberater bekommen die freigegebenen Stunden, aber keinen Zugriff auf die laufende Planung.
Wichtig ist außerdem, dass Zugänge beim Ausscheiden zuverlässig deaktiviert werden. Das klingt banal, wird im Alltag aber regelmäßig vergessen. Bei einem Gruppenchat ist es sogar systematisch unmöglich.
Der Auftragsverarbeitungsvertrag
Der dritte Punkt ist der Auftragsverarbeitungsvertrag, kurz AVV. Sobald ein externer Anbieter Daten im Auftrag des Betriebs verarbeitet, verlangt Artikel 28 der DSGVO einen solchen Vertrag.
Er regelt, was der Anbieter mit den Daten tun darf und welche Pflichten er hat, etwa zur Vertraulichkeit, zur Sicherheit der Verarbeitung, zum Umgang mit Unterauftragnehmern und zur Löschung nach Vertragsende. Aus meiner Sicht sollte ein seriöser Anbieter den AVV bereitstellen, ohne dass man lange danach fragen muss.
Der Betrieb bleibt dabei der Verantwortliche im Sinne der DSGVO. Der Anbieter verarbeitet nur in seinem Auftrag. Diese Rollenverteilung ist der Grund, warum der Vertrag überhaupt nötig ist, und sie erklärt auch, warum man ihn nicht einfach ungelesen ablegen sollte.
Was sonst noch dazugehört
Neben diesen drei Punkten gibt es ein paar Themen, die im Alltag auftauchen und die ich nur kurz nennen will, weil sie betriebsindividuell sind:
- Löschfristen: Wie lange werden Zeitdaten aufbewahrt, und was passiert danach? Aufbewahrungspflichten und Datensparsamkeit müssen hier zusammengebracht werden.
- Verzeichnis von Verarbeitungstätigkeiten: Auch kleine Betriebe führen es in der Regel; die Zeiterfassung gehört als Eintrag hinein.
- Information der Beschäftigten: Mitarbeitende sollen wissen, welche Daten zu welchem Zweck erfasst werden.
- Mitbestimmung: Wo ein Betriebsrat existiert, ist die Einführung technischer Einrichtungen zur Verhaltens- oder Leistungskontrolle mitbestimmungspflichtig.
Was Mitarbeitende fragen
In der Praxis kommt der Datenschutz selten über den Anbieter ins Haus, sondern über das Team. Die Fragen sind fast immer dieselben, und ich finde, sie verdienen eine klare Antwort.
"Sieht der Chef jetzt, wo ich bin?" Das hängt davon ab, ob eine Standorterfassung überhaupt aktiv ist. Wenn ja, sollte klar geregelt sein, ob nur der Ort beim Stempeln festgehalten wird oder mehr, und Letzteres ist in einem Gastrobetrieb praktisch nie zu rechtfertigen.
"Was passiert mit meinen Daten, wenn ich kündige?" Zeitdaten unterliegen Aufbewahrungsfristen und werden nicht sofort gelöscht. Der Zugang wird deaktiviert, die Daten laufen nach Fristablauf aus. Das lässt sich in zwei Sätzen erklären.
"Kann ich sehen, was über mich gespeichert ist?" Ja, das ist ein Auskunftsrecht nach der DSGVO. Ein System, in dem Mitarbeitende ihre eigenen Zeiten und ihr Stundenkonto ohnehin einsehen, erfüllt den praktischen Teil davon schon im Alltag.
Wer diese drei Fragen von sich aus beantwortet, bevor sie gestellt werden, nimmt der Einführung viel von ihrer Schwere.
Kein Ersatz für Rechtsberatung
Ein Hinweis, der mir wichtig ist: Dieser Text ist eine Einordnung und keine Rechtsberatung. Die konkrete Bewertung hängt vom einzelnen Betrieb ab, von der Größe, von bestehenden Vereinbarungen und davon, welche Daten tatsächlich verarbeitet werden.
Wer sicher gehen will, klärt die Details mit dem Datenschutzbeauftragten, dem Steuerberater oder einem Fachanwalt.
Fazit
Datenschutz ist bei der Arbeitszeiterfassung kein nachträglicher Gedanke, sondern Teil der Auswahl. Serverstandort, Zugriffsrechte und AVV lassen sich vor der Entscheidung klären, und zwar mit drei Fragen an den Anbieter.
Wer das im Vorfeld macht, erspart sich spätere Nachbesserungen. Ich halte das für selbstverständlich, auch wenn es im Alltag gern aufgeschoben wird. Warum die Erfassung überhaupt ansteht, habe ich in EuGH-Urteil zur Arbeitszeiterfassung eingeordnet. Einen Überblick über die Erfassung selbst gibt die Zeiterfassung mit Yuntos.
