DSGVO und EuGH Urteil zur Arbeitszeiterfassung

Das Urteil vom 14.05.2019 des EuGH zur Arbeitszeiterfassung verpflichtet alle Mitgliedstaaten Regelungen zu erlassen, die Arbeitgeber dazu verpflichten, die geleistete Arbeitszeit genau zu erfassen. Auch wenn offen ist, wie und wann Deutschland entsprechende Regelungen erlassen wird, sind bei der Zeiterfassung insbesondere datenschutzrechtlich folgende Punkte zu beachten:

  1. Aufnahme in das Verarbeitungsverzeichnis
  2. Informationserteilung nach Art. 13 DSGVO
  3. Achtung: Eine Einwilligung ist nicht erforderlich, sondern die Verarbeitung lässt sich auf § 26 BDSG stützen
  4. Die Daten dürfen nur für den primären Zweck, nämlich die Zeiterfassung zur Einhaltung des Arbeitsvertrags/Vergütung, verwendet werden - jede andere Nutzung ist eine Zweckänderung nach Art. 6 Abs. 4 DSGVO und bedarf zusätzlich einer neuen Rechtsgrundlage
  5. Die Einhaltung der Ziffer 4 sollte technisch und organisatorisch sichergestellt werden, insbesondere durch Zugriffsberechtigungseinschränkungen und Prozessbeschreibungen
  6. Die Daten müssen systemseitig gelöscht werden, wenn sie nicht mehr benötigt werden, Privacy by Design
  7. Eine Betriebsvereinbarung kann eine hinreichende alternative Rechtsgrundlage darstellen, wenn sie im Einklang mit der DSGVO gestaltet wird - zwingende Mitbestimmung liegt jedenfalls vor
  8. Es ist keine Datenschutzfolgenabschätzung notwendig
  9. Wenn Software-as-a-Service Lösungen eingesetzt werden, muss mit dem Anbieter ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen werden