Die rechtlichen Grundlagen und Grundsätze der DSGVO
Wenn man Arbeitszeit erfasst, werden immer personenbezogene Daten verarbeitet. Um diese rechtlich möglichst sicher zu machen, minimiert man diese Daten. Das bedeutet, dass nur Informationen gespeichert werden, die zwingend erforderlich sind.
Dies beinhaltet zum Beispiel die Angaben zu Beginn, Ende und den Pausen der Arbeitszeit. Unzulässig sind hingegen eine detaillierte Leistungskontrolle, Verhaltensanalysen oder auch Standortabfragen ohne eine konkrete Rechtsgrundlage.
Ferner müssen Betriebe sicherstellen, dass die erhobenen Datensätze vor unbefugtem Zugriff geschützt sind. Sei es auf analogem Weg mit Papieren, die offen einsehbar im Büro liegen, oder aber digital mit ungesicherten Tabellen, die auf zentralen Laufwerken gespeichert sind. Beides verstößt gegen die geforderten technischen und organisatorischen Schutzmaßnahmen. Wenn Dritte Einblick in diese sensiblen Daten haben, ist kein Datenschutz gewährleistet.
Anforderungen an die Zeiterfassung für Kleinbetriebe
Insbesondere eine verlässliche Zeiterfassung für Kleinbetriebe stellt die Chefetage häufig vor organisatorische Herausforderungen. Denn gerade hier sind die Ressourcen begrenzt, wobei die Gesetzgebung nicht aufgrund der Größe eines Unternehmens differenziert. Wichtig zu wissen und hilfreich ist hier, dass eine datenschutzkonforme Lösung nicht zwingend teuer sein, aber diverse Kriterien erfüllen muss:
Die Systeme müssen transparent gestaltet werden. Denn die Beschäftigten haben das Recht, zu wissen, welche Daten über sie erfasst und gespeichert werden und wer auf diese zugreifen kann. Hierbei sollten der Umfang der erfassten Daten sowie der Zugriff minimal sein. Das bedeutet, dass lediglich die unmittelbar zuständigen Personen, etwa die Geschäftsführung oder die Lohnbuchhaltung, Einsicht in die Zeiten nehmen dürfen. Überdies gilt es, klare Löschfristen zu definieren und zu vermitteln. Nach Ablauf der gesetzlichen Aufbewahrungspflichten müssen die Daten entfernt werden.
Moderne Systeme und die neuen Regeln des AI Acts
Durch die Digitalisierung und einen globalen Markt gibt es diverse Werkzeuge, die (Klein)Betrieben die Umsetzung erleichtern: von digitalen Stechuhren über cloudbasierte Software-Lösungen bis hin zu spezialisierten Apps. Ein wesentliches Kriterium bei der Auswahl von digitalen Tools ist ihr Serverstandort. Liegt dieser innerhalb der Europäischen Union, erleichtert das die Einhaltung der DSGVO erheblich.
Wer KI-unterstützte Werkzeuge nutzt, sollte sich mit den neuen Regeln des AI Acts vertraut machen. Hier wird geklärt, wie automatisierte und KI-gestützte Systeme im Arbeitsumfeld Verwendung finden dürfen. Werkzeuge beispielsweise, welche die Arbeitszeiten KI-basiert zur Verhaltensbewertung, Leistungsanalyse oder automatisierten Schichtplanung nutzen, unterliegen strengen Transparenz- und Risikoklassen. Kleinbetriebe fahren daher derzeit am sichersten, wenn sie auf einfache, funktionale Systeme ohne KI-gestützte Überwachungsfunktionen setzen.
Praktische Schritte zur Umsetzung im Betrieb
Zuerst sollte man sich für ein passendes Erfassungssystem entscheiden, das den Anforderungen an Datensicherheit und Vertraulichkeit entspricht. Bei der Nutzung von externer Software, muss mit dem Anbieter ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) geschlossen werden.
Anschließend werden die internen Datenschutzdokumentationen angepasst, sowie das Verzeichnis von Verarbeitungstätigkeiten ergänzt. Für Transparenz sorgt eine Nachricht an die Belegschaft, die über den Zweck der Erfassung und die Speicherdauer informiert sowie die Rechte der Arbeitnehmer aufzeigt. Schließlich garantiert eine regelmäßige Überprüfung der Löschfristen und Zugriffsrechte, dass das gewählte Verfahren dauerhaft rechtskonform bleibt.