Wie sicher müssen Stundendaten aufbewahrt werden?
Antwort
Nach Art. 32 DSGVO sind technische und organisatorische Maßnahmen (TOM) zu treffen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Praktisch heißt das: Zugriffsbeschränkung, Verschlüsselung in Transit und at-rest, Backups, Audit-Trail und ein klares Berechtigungskonzept.
Rechtsgrundlage: Art. 32 DSGVO
Arbeitszeitdaten sind personenbezogene Daten. Für ihre Verarbeitung gilt Art. 32 DSGVO: „Sicherheit der Verarbeitung". Verantwortlicher und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen ergreifen, „um ein dem Risiko angemessenes Schutzniveau zu gewährleisten".
Art. 32 nennt explizit:
- Pseudonymisierung und Verschlüsselung
- Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
- Wiederherstellbarkeit nach Zwischenfall
- Regelmäßige Überprüfung der Maßnahmen
Was das konkret bedeutet
Üblicher Mindeststandard für Arbeitszeitdaten:
- Zugriffsbeschränkung mit Rollenkonzept, nur wer einen Aufgabenbezug hat (Vorgesetzter, HR, Lohnbuchhaltung, Betriebsrat im Rahmen) bekommt Zugriff.
- Authentifizierung, Login mit ausreichend starkem Passwort, möglichst Zwei-Faktor.
- Verschlüsselung in Transit, TLS auf allen Verbindungen.
- Verschlüsselung at-rest, bei Cloud-Hosting in den meisten Fällen Standard; bei On-Premise bewusst zu wählen.
- Backups, regelmäßig, getestet, von der Produktion logisch getrennt aufbewahrt.
- Audit-Trail, wer hat wann was geändert (siehe revisionssicher).
- Löschkonzept, Daten werden nach Ablauf der Aufbewahrungsfrist gelöscht (Art. 5 Abs. 1 lit. e DSGVO, Speicherbegrenzung).
Bei externen Anbietern: Auftragsverarbeitung
Wer ein gehostetes Zeiterfassungs-Tool nutzt, gibt personenbezogene Daten an einen Auftragsverarbeiter. Dafür braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, der Pflichten zur Datensicherheit, zu Sub-Auftragnehmern, zu Datenübermittlung in Drittländer und zur Löschung regelt.
Bei Anbietern außerhalb der EU/EWR sind zusätzlich die Anforderungen aus Art. 44 ff. DSGVO (z. B. Standardvertragsklauseln) zu erfüllen.
Was bei einer Datenpanne passiert
Bei einer Verletzung des Schutzes personenbezogener Daten, Datenpanne, Hack, falsch konfigurierter Zugriff, gilt Art. 33 DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden, soweit ein Risiko für Betroffene besteht. Bei hohem Risiko zusätzlich Information der Betroffenen (Art. 34 DSGVO).
Bei Verstößen gegen Art. 32 drohen Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).
Verwandte Fragen
- Reicht ein Passwort auf der Excel-Datei?
- Praktisch oft nicht. Office-Passwörter sind unterschiedlich stark, ältere Formate sind schwach. Eine geteilte Datei mit „dem einen Passwort" für alle Mitarbeiter erfüllt das Rollenkonzept und den Audit-Trail nicht. Robust ist ein System mit echter Benutzerverwaltung.
- Müssen die Daten innerhalb der EU bleiben?
- Eine reine EU-Pflicht für Arbeitszeitdaten gibt es nicht. Verarbeitung außerhalb der EU/EWR ist aber an Art. 44 ff. DSGVO gebunden (Standardvertragsklauseln, ggf. Transfer Impact Assessment). Viele Arbeitgeber wählen aus Sorgfalts- und Akzeptanz-Gründen EU-Hosting.
- Wie lange dürfen Stundendaten aufbewahrt werden?
- Mindestens nach den gesetzlichen Pflichten (siehe Aufbewahrung von Stundenzetteln). Darüber hinaus nur, soweit ein konkreter Zweck besteht, z. B. laufender Streitfall. Sonst löschen.
Quellen
- DSGVO (EU 2016/679), konsolidierter Text
- Art. 32 DSGVO, Sicherheit der Verarbeitung
- BfDI, Datenschutz im Arbeitsverhältnis
Stand: