Muss ich Mitarbeiter fragen, bevor ich Stunden tracke?
Antwort
Eine ausdrückliche Einwilligung brauchst du in der Regel nicht, die Arbeitszeiterfassung ist Pflicht und läuft über Art. 6 Abs. 1 lit. c DSGVO. Informieren musst du trotzdem, nach Art. 13 DSGVO vor dem ersten Eintrag. Gibt es einen Betriebsrat, bestimmt er beim Wie mit, nicht beim Ob (§ 87 BetrVG).
Rechtsgrundlage: die gesetzliche Pflicht, nicht die Einwilligung
Arbeitszeiterfassung ist nach dem BAG-Beschluss vom 13.09.2022 (1 ABR 22/21) ohnehin Pflicht. Damit trägt Art. 6 Abs. 1 lit. c DSGVO die Verarbeitung, also die rechtliche Verpflichtung. Auf § 26 Abs. 1 Satz 1 BDSG stützt man sich besser nicht mehr allein. Der EuGH hat am 30.03.2023 über eine nahezu wortgleiche Landesnorm entschieden (C-34/21). Wiederholt eine nationale Beschäftigtendatenschutz-Norm im Kern nur die DSGVO, erfüllt sie die Öffnungsklausel Art. 88 Abs. 2 DSGVO nicht. Dann bleibt sie unangewendet.
Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist meist nicht der richtige Weg: Im Arbeitsverhältnis ist die Einwilligung schwer als „freiwillig" zu rechtfertigen (Erwägungsgrund 43 DSGVO, § 26 Abs. 2 BDSG), weil ein Machtungleichgewicht besteht.
Was du trotzdem tun musst: Informieren
Auch ohne Einwilligung gelten Informationspflichten nach Art. 13 DSGVO. Mitarbeiter müssen vor dem ersten Tracking erfahren:
- welche Daten erfasst werden (Beginn, Ende, Dauer, Projekt, ggf. Standort),
- Rechtsgrundlage und Zweck,
- Speicherdauer und Empfänger,
- Betroffenenrechte (Auskunft, Berichtigung, Löschung).
Das geht über eine Datenschutzinformation, idealerweise schriftlich oder per E-Mail dokumentiert.
Betriebsrat: mitbestimmt ist das Wie, nicht das Ob
Gibt es einen Betriebsrat, mischt er mit, aber nicht beim Ob. Dass Arbeitszeit erfasst wird, steht gesetzlich fest. Und soweit eine gesetzliche Regelung besteht, ist die Angelegenheit nach § 87 Abs. 1 Eingangshalbsatz BetrVG gerade nicht mitbestimmt (BAG 1 ABR 22/21). Mitbestimmt ist die Ausgestaltung: welches System, welche Datenfelder, wer sieht was, wie wird korrigiert, wie lange wird gespeichert. Grundlage sind § 87 Abs. 1 Nr. 6 und Nr. 7 BetrVG. Kommt darüber keine Einigung zustande, entscheidet die Einigungsstelle (§ 87 Abs. 2 BetrVG). Am Betriebsrat vorbei ausrollen funktioniert also nicht.
Was nicht ohne Weiteres geht
Heimliche Überwachung, dauerhafte Screenshots, Keylogger oder permanentes GPS-Tracking sind nicht über § 26 BDSG gedeckt, hier verlangt die Rechtsprechung enge Verhältnismäßigkeit (BAG 2 AZR 681/16). Für solche Tools brauchst du Betriebsvereinbarung, ggf. Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, und in vielen Fällen scheidet die Maßnahme schlicht aus.
Verwandte Fragen
- Brauche ich eine Datenschutz-Folgenabschätzung?
- Für klassische Arbeitszeiterfassung in der Regel nein. Sobald GPS-Tracking, Screenshots, biometrische Erfassung oder umfassendes Monitoring dazukommen, ist eine DSFA nach Art. 35 DSGVO oft Pflicht, die Datenschutzkonferenz führt entsprechende Tätigkeiten auf der „Muss-Liste".
- Was passiert, wenn der Arbeitgeber Mitarbeiter nicht informiert?
- Verstoß gegen Art. 13 DSGVO. Der Bußgeldrahmen liegt bei bis zu 20 Mio. € oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Wer schnell nachbessert, kommt in der Praxis meist mit einer Beanstandung davon. Bei systematischen Verstößen wird es teuer.
Quellen
- BDSG § 26, Datenverarbeitung im Beschäftigungskontext
- DSGVO Art. 6, Rechtmäßigkeit der Verarbeitung
- BAG 1 ABR 22/21 (13.09.2022), Arbeitszeiterfassungspflicht
- BetrVG § 87, Mitbestimmungsrechte
Stand: