Fier-AppDie Zeiterfassungspflicht in Kürze
Der Europäische Gerichtshof hat 2019 entschieden, dass Arbeitgeber in der EU verpflichtet sind, ein System einzurichten, mit dem die tägliche Arbeitszeit der Beschäftigten erfasst werden kann. Das Bundesarbeitsgericht hat 2022 klargestellt, dass sich eine entsprechende Pflicht bereits aus dem deutschen Arbeitsschutzgesetz ergibt. Die konkrete gesetzliche Ausgestaltung in Deutschland befindet sich in der Entwicklung; Arbeitgeber sind aber schon jetzt gut beraten, Arbeitszeiten nachvollziehbar zu dokumentieren.
Wo die DSGVO ins Spiel kommt
Zeiterfassungsdaten sind personenbezogene Daten – schließlich lassen sich Beginn, Ende und Dauer der Arbeitszeit einer konkreten Person zuordnen. Ihre Verarbeitung unterliegt daher der Datenschutz-Grundverordnung (DSGVO), im deutschen Kontext insbesondere in Verbindung mit § 26 BDSG, der die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses regelt.
Wer digitale Zeiterfassung einführt, sollte deshalb nicht nur die technische Umsetzung, sondern auch die datenschutzrechtliche Seite mitdenken: Informationspflichten gegenüber Beschäftigten, gegebenenfalls Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG, und die Frage, wo und wie die Daten gespeichert werden.
Wer ist wofür verantwortlich?
Beim Einsatz einer Software wie Fier-App gilt: Der Arbeitgeber ist als datenschutzrechtlich Verantwortlicher für die Zeiterfassungsdaten seiner Beschäftigten zuständig. Der Softwareanbieter verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO, auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) und ausschließlich nach Weisung des Arbeitgebers. Diese Aufteilung ist wichtig, weil sie klarstellt, dass die inhaltliche Verantwortung – etwa für die Rechtmäßigkeit einzelner Datenverarbeitungen – beim Arbeitgeber verbleibt.
Worauf bei der Wahl einer Lösung zu achten ist
- Speicherort: Werden die Daten in der EU gespeichert, oder findet ein Transfer in Drittländer statt?
- Verschlüsselung: Werden sensible Felder verschlüsselt gespeichert oder liegen sie im Klartext in der Datenbank?
- Nachvollziehbarkeit von Korrekturen: Werden nachträgliche Änderungen an Zeiterfassungsdaten protokolliert?
- Standortdaten: Falls GPS genutzt wird – erfolgt die Erfassung nur punktuell beim Stempeln oder durchgehend im Hintergrund?
- Auftragsverarbeitungsvertrag: Wird ein AVV nach Art. 28 DSGVO bereitgestellt?
Wie Fier-App das umsetzt
Fier-App wird auf Servern von Hetzner Online GmbH in Deutschland betrieben; ein Auftragsverarbeitungsvertrag steht zur Verfügung. Ein Großteil der sensiblen personenbezogenen Daten – unter anderem Stammdaten, Gehaltsdaten, Nachrichten und der Korrektur-Audit-Log – wird auf Feldebene mit AES-256-GCM verschlüsselt gespeichert; die Schlüssel liegen ausschließlich auf den eigenen Servern. Standortdaten werden, sofern die GPS-Funktion aktiviert ist, ausschließlich zum Zeitpunkt des Ein- und Ausstempelns erfasst – eine durchgehende Standortverfolgung im Hintergrund findet nicht statt. Jede Korrektur von Zeiterfassungsdaten wird mit Zeitstempel und ausführender Person protokolliert, und betroffene Mitarbeitende werden automatisch benachrichtigt.
Für Kunden, die personenbezogene Daten ihrer Beschäftigten über Fier-App verarbeiten, wird ein Auftragsverarbeitungsvertrag (AVV) elektronisch bereitgestellt.
Was in Ihrer Verantwortung bleibt
Auch bei Einsatz einer datenschutzfreundlich konzipierten Software bleibt der Arbeitgeber dafür verantwortlich, Beschäftigte über Art und Umfang der Datenverarbeitung zu informieren, erforderliche Betriebsvereinbarungen abzuschließen und sicherzustellen, dass besondere Kategorien personenbezogener Daten – etwa Gesundheitsdaten bei Krankmeldungen – nur im erforderlichen Umfang verarbeitet werden.
Fazit
Die Zeiterfassungspflicht und die DSGVO greifen ineinander: Wer Arbeitszeiten dokumentieren muss, verarbeitet zwangsläufig personenbezogene Daten und braucht dafür eine saubere Rechtsgrundlage, eine vertragliche Absicherung über einen AVV und technische Schutzmaßnahmen wie Verschlüsselung und Protokollierung. Die Wahl des richtigen Anbieters ersetzt keine eigene rechtliche Prüfung, kann diese aber deutlich erleichtern.