FAQ | Verarbeitung von Arbeitszeiterfassungsdaten von Beschäftigten öffentlicher Stellen in Niedersachsen

Der Begriff „Arbeitszeiterfassungsdaten“ ist nicht gesetzlich definiert.

Das Arbeitszeitgesetz (ArbZG) definiert in § 2 Absatz 1 Halbsatz 1 ArbZG lediglich, was unter dem Begriff „Arbeitszeit“ zu verstehen ist. Danach ist Arbeitszeit die Zeit vom Beginn bis zum Ende der Arbeit ohne die Ruhepausen.

Darüber hinaus gibt es Ausführungen der Rechtsprechung zum Begriff der „Arbeitszeit“ im Sinne der Richtlinie 2003/88/EG des Europäischen Parlaments und des Rates vom 4. November 2003 (ABl. L 299 vom 18. November 2003), siehe zum Beispiel das Urteil des Europäischen Gerichtshofs vom 21. Februar 2018, Aktenzeichen C-518/15, oder das Urteil des Bundesverwaltungsgerichts vom 17. November 2016, Aktenzeichen 2 C 23.15, zur Definition und Einordnung von Zeiten des „Bereitschaftsdienstes“ und der „Rufbereitschaft“.

Zu den Arbeitszeiterfassungsdaten zählen alle Daten, die dem Nachweis dienen, dass Beschäftigte die ihnen gesetzlich und arbeitsvertraglich obliegenden Pflichten im Hinblick auf die zu leistende Arbeitszeit und damit zusammenhängende Pflichten erfüllen. Entsprechende Pflichten bestehen unter anderem in Bezug auf Vorgaben zur Ausgestaltung und Verteilung der Arbeitszeit, siehe hierzu unter anderem § 60 NBG sowie die Regelungen der Niedersächsische Verordnung über die Arbeitszeit der Beamtinnen und Beamten (Nds. ArbZVO).

Grundsätzlich zählen dazu Vor- und Nachname der beschäftigten Person, die einzelnen Zeiten des Arbeitszeitbeginns („Kommt“) sowie des Arbeitszeitendes („Geht“) nebst Auswertungen dazu (monatliche oder sonstige für bestimmte Zeiträume festgelegte Statistiken) sowie Pausenzeiten und Angaben zum Zeitausgleich.

Im Einzelfall kann zum Zwecke der Zuordnung von Daten zu Personen auch die Verarbeitung des Geburts- oder eines anderen Zuordnungsdatums erforderlich sein, zum Beispiel bei Namensgleichheit von Beschäftigten innerhalb der datenverarbeitenden Stelle.

Im weiteren Sinne zählen auch die Angaben „Anwesend“ oder „Abwesend“ in Übersichten oder die entsprechende Verwendung von farbigen Markierungen in sogenannten „Lampentableaus“ zu den Arbeitszeiterfassungsdaten.

Ja.

Nach § 88 Absatz 1 Satz 1 Variante 3 und 4 NBG sowie § 88 Absatz 1 Satz 2 NBG können auch spezifischere oder ergänzende Befugnisnormen für die Verarbeitung von Arbeitszeiterfassungsdaten zum Tragen kommen. Zum Beispiel:

1.    § 88 Absatz 1 Satz 1 Variante 3 NBG in Verbindung mit fachbereichsspezifischen Rechtsvorschriften, die die Verarbeitung von Arbeitszeiterfassungsdaten erlauben.

Beispiele: Gesetzliche Arbeitsschutzvorschriften sehen Pausen- oder Ruheregelungen vor, für deren Berechnung und Festlegung im Einzelfall Arbeitszeiterfassungsdaten von Beschäftigten verarbeitet werden müssen, siehe etwa § 4 und § 5 ArbZG.

2.    § 88 Absatz 1 Satz 1 Variante 4 NBG in Verbindung mit Regelungen in einer Vereinbarung nach § 81 des Niedersächsischen Personalvertretungsgesetzes (NPersVG) oder in Verbindung mit Regelungen in einer Dienstvereinbarung nach § 78 NPersVG.

Beispiele: In einer Kollektivvereinbarung können zum Schutz der von der Datenvereinbarung Betroffenen zu konkret bestimmten Zwecken Festlegungen für Schutzmaßnahmen, etwa bei Unter- oder Überschreitungen der festgelegten Arbeitszeitgrenzen, und zu hierfür erforderlichen Auswertungen festgelegt werden.

3.    Nach § 88 Absatz 1 Satz 2 NBG können ergänzende Regelungen im Ersten Teil des NDSG zum Tragen kommen.

Beispiele:

·      Bei Datenübermittlungen kommen eventuell ergänzend die Regelungen des § 5 und des § 6 NDSG zum Tragen.

·      Bei der Frage der Zweckbindung sind insbesondere die Regelungen des § 6 Absatz 1 Nummer 1 NDSG zu Kontroll- und Aufsichtsbefugnissen zu beachten.

Zunächst einmal die Beschäftigten selbst. Dies aus Gründen der Transparenz sowie zu Zwecken der Selbstkontrolle und gegebenenfalls zu Korrekturzwecken. Der Zugang zu den eigenen Arbeitszeiterfassungsdaten ist grundsätzlich vollumfänglich zu gewähren („informationelles Selbstbestimmungsrecht“), soweit es keine einschränkenden Rechtsvorschriften oder Vorgaben, zum Beispiel zu Korrekturen, gibt.

Darüber hinaus haben nur befugte Personen oder Stellen im Rahmen der ihnen jeweils zustehenden Berechtigungen Zugang zu diesen Daten. Die einzuräumenden Zugangsberechtigungen bestimmen sich unter anderem nach den jeweils maßgeblichen Rechtsvorschriften über die dienst- oder arbeitsrechtlichen Befugnisse.

Beispiele für zugangsberechtigte Personen oder Stellen:

1.         Von der oder dem Beschäftigten im Einzelfall bevollmächtigte Personen, wie etwa ein Mitglied des Personalrats oder ein Rechtsanwalt, soweit rechtliche Gründe dem nicht entgegenstehen.

2.         Nach dem Dienst- oder Arbeitsrecht befugte Personen zum Zwecke der Erfüllung der ihnen obliegenden Pflichten. Zu den Pflichten zählen zum Beispiel Kontrollen der Beschäftigten als Führungsaufgabe und Steuerungsaufgaben.

2.1      Dienstvorgesetzte oder Dienstvorgesetzter im Sinne von § 3 Absatz 2 und 5 NBG

Nach § 3 Absatz 2 NBG ist Dienstvorgesetzte oder Dienstvorgesetzter, wer für beamtenrechtliche Entscheidungen über die persönlichen Angelegenheiten der ihr oder ihm nachgeordneten Beamtin oder des ihr oder ihm nachgeordneten Beamten zuständig ist. Gemäß § 3 Absatz 5 Satz 1 NBG trifft die oder der Dienstvorgesetzte und nach Beendigung des Beamtenverhältnisses die oder der Dienstvorgesetzte der Behörde, der die Beamtin oder der Beamte zuletzt angehört hat, die Entscheidungen und sonstigen Maßnahmen nach dem NBG und nach dem Beamtenstatusgesetz, wenn nichts anderes bestimmt ist. Nach § 3 Absatz 5 Satz 2 NBG kann die oberste Dienstbehörde Zuständigkeiten der oder des Dienstvorgesetzten, auch teilweise, auf andere Behörden übertragen.

Zum Beispiel sind in diesem Zusammenhang folgende Sonderregelungen zu dienst- oder arbeitsrechtlichen Befugnissen zu beachten:

• im Kommunalbereich § 107 Absatz 5 des Niedersächsischen Kommunalverfassungsgesetzes (NKomVG) und bei der Übertragung von Aufgaben § 107 Absatz 6 NKomVG,
• im Schulbereich § 31 Absatz 9 und § 111 Absatz 2 Satz 2 des Niedersächsischen Schulgesetzes sowie
• im Hochschulbereich § 17 des Niedersächsischen Hochschulgesetzes.

 

2.2      Mit der Wahrnehmung von Personalangelegenheiten von der Dienstvorgesetzen oder dem Dienstvorgesetzten beauftragte Personen

Die Zuständigkeit dieser Personen ergibt sich insbesondere aus Aufgabenübertragungen (Delegation von Befugnissen), zum Beispiel dokumentiert durch Angaben im Organisationsplan, im Geschäftsverteilungsplan, in Geschäftsordnungen oder Dienstanweisungen, in der Dienst- oder Arbeitsplatzbeschreibung der Mitarbeiterin oder des Mitarbeiters, oder durch sonstige schriftliche Festlegungen.

Beispiele:

• Mitarbeiterinnen und Mitarbeiter in Personalstellen
• Vorgesetzte im Sinne von § 3 Absatz 3 NBG
• sogenannte „Arbeitszeitbeauftragte“

 

2.3      Mit der Wahrnehmung von organisatorischen Angelegenheiten beauftragte Personen

Beispiele:

Der Zugang zu dem Datum „An- oder Abwesend“ oder zu einem „Lampentableau“ wird zum Zwecke der Beauskunftung zu An- oder Abwesenheiten von Beschäftigten sowie zur Vertretungslage erteilt:

• dem Empfangs- /Pförtnerbereich
• der Telefonzentrale
• Servicestellen/Bürgerbüros

 

3.         Stellen oder Personen mit gesetzlich festgelegten Kontroll- und Aufsichtsbefugnissen

Beispiele:

• Niedersächsische Landesrechnungshof, Rechnungsprüfungsämter
• Personalrat oder sonstige Personalvertretungen
• Gleichstellungsbeauftragte
• Datenschutzbeauftragte
• Der Landesbeauftragte für den Datenschutz Niedersachsen

 

Hinweise für die Praxis:

Welche Personen zu welchen Zwecken welche Form einer Zugangsberechtigung erhalten, hat der nach Artikel 4 Nummer 7 DSGVO Verantwortliche in einem Berechtigungs- und Rollenkonzept zu dokumentieren; siehe hierzu Artikel 5 Absatz 2 in Verbindung mit Artikel 24, 25 und 32 DSGVO.

Hierbei hat der Verantwortliche die jeweiligen Befugnisse dieser Personen, je nach Aufgaben, Rollen und Funktionen, zu beachten.

Bei der Verarbeitung von Arbeitszeiterfassungsdaten hat der Verantwortliche neben speziellen gesetzlichen Vorgaben stets die in Artikel 5 DSGVO genannten datenschutzrechtlichen Grund-sätze zu beachten.

Insbesondere folgende Grundsätze sind in dem Zusammenhang von Belang: 

1.         Grundsatz der „Rechtmäßigkeit“, Artikel 5 Absatz 1 Buchstabe a DSGVO

Eine Rechtsgrundlage muss nicht nur die Verarbeitung von Arbeitszeiterfassungsdaten, sondern auch den Zugang zu diesen Daten rechtfertigen. Zu den spezifischen Befugnisnormen und den danach festzulegenden Berechtigungen wird auf die Ausführungen unter Frage Nummer 2 und Frage Nummer 3 verwiesen.

2.         Grundsatz der „Zweckbindung“, Artikel 5 Absatz 1 Buchstabe b DSGVO

Es bedarf seitens des Verantwortlichen stets vorab der Prüfung, zu welchem Zweck Arbeitszeiterfassungsdaten verarbeitet werden sollen.

So ist zu klären, ob die Verarbeitungen nur im Rahmen der Zweckbindung „Überprüfung der Erfüllung der arbeits- und dienstrechtlichen Pflichten“ erfolgen, siehe Ausführungen im Einleitungstext, oder ob es auch Verarbeitungen dieser Daten zu weiteren Zwecken bedarf.

Hinweise für die Praxis:

• Die Verarbeitung von Arbeitszeiterfassungsdaten zum Zwecke der Wahrnehmung von Kontroll- und Aufsichtsbefugnissen erfolgt nach § 6 Absatz 1 Nummer 1 NDSG in Verbindung mit § 88 Absatz 1 Satz 2 NBG stets zu den ursprünglichen Zwecken. Damit liegt keine Zweckänderung vor.
• Bei zweckändernden Datenverarbeitungen ist stets zu prüfen, ob die Zweckänderung legitimiert ist.
• Der Verantwortliche hat alle festgelegten Zwecke nach Artikel 30 Absatz 1 Buchstabe b DSGVO im Verzeichnis der Verarbeitungstätigkeiten (VVT) zu dokumentieren, siehe hierzu Artikel 5 Absatz 2 DSGVO.

 

3.         Grundsatz der „Datenminimierung“, Artikel 5 Absatz 1 Buchstabe c DSGVO

Nicht nur bei der Festlegung, welche Arbeitszeiterfassungsdaten für die Verarbeitung zu den vorab bestimmten Zwecken erforderlich sind, ist dieser Grundsatz relevant.

Auch der Zugang zu diesen Daten einzelner Beschäftigter ist auf das notwendige Mindestmaß zu beschränken. Der Zugang ist insofern nur zulässig, soweit er zur Wahrnehmung der den Beteiligten obliegenden Aufgaben, siehe hierzu die Ausführungen unter Frage Nummer 2 und Frage Nummer 3, unbedingt erforderlich ist. Dies ist auch bei der Festlegung der Art und Weise der Zugangsberechtigungen zu beachten.

 

Hinweise für die Praxis:

Der „Erforderlichkeitsgrundsatz“ ist auch in Bezug auf den Umfang der jeweils zu verarbeitenden Arbeitszeiterfassungsdaten sowie in Bezug auf zeitliche Begrenzungen zu beachten.

Beispiele:

• Vorlage von Unterlagen aufgrund gesetzlich festgelegter Berichts- und Auskunftspflichten gegenüber Aufsichtsbehörden oder gegenüber dem Niedersächsischen Landtag
• Festgelegter Zeitrahmen für den Zugang bei Prüfungsaufträgen
• Der Verantwortliche hat stets zu prüfen, ob Pseudonymisierungen (zum Beispiel durch Vergabe von Kennziffern beziehungsweise von Identifikationsnummern), Anonymisierungen oder Aggregationen im Berichtswesen (Vergleich Statistikbereich) ausreichen, um gesetzlichen Vorgaben zu entsprechen.
• Es gilt stets: Kein Zugriff für Unbefugte; im Übrigen abgestufte Zugriffe: Lesender Zugriff für befugte Personen zu Auskunftszwecken; ändernder Zugriff für befugte Personen zu Bearbeitungszwecken.

 

4.         Grundsatz der „Speicherbegrenzung“, Artikel 5 Absatz 1 Buchstabe e DSGVO

Der Verantwortliche hat die Vorgaben des Artikels 17 DSGVO zu beachten. Zwecks Vermeidung von Wiederholungen wird auf die Ausführungen bei Frage Nummer 8 verwiesen.

 

5.         Grundsatz der „Vertraulichkeit“, Artikel 5 Absatz 1 Buchstabe f DSGVO

Zur Gewährleistung des „Vertraulichkeitsgrundsatzes“ ist der Verantwortliche verpflichtet, die Verarbeitung von Arbeitszeiterfassungsdaten so zu organisieren, dass möglichst wenige Mitarbeiterinnen und Mitarbeiter mit diesen Daten in Berührung kommen und der Zugang nur insoweit gestattet ist, als dies zur zugewiesenen Aufgabenerfüllung der jeweils befugten Personen oder Stellen, erforderlich ist, siehe hierzu die Ausführungen zu Frage Nummer 2 und Frage Nummer 3.

 

Hinweise für die Praxis:

Zudem hat der Verantwortliche die geeigneten technischen und organisatorischen Maßnahmen zu ergreifen, die erforderlich und angemessen sind, um eine dem Schutzniveau der Arbeitszeiterfassungsdaten entsprechende Verarbeitung dieser Daten sicherzustellen, Artikel 24, 25 Absatz 2 und 32 Absatz 2 DSGVO. Hierzu zählen unter anderem die Erstellung eines Berechtigungs- und Rollenkonzeptes für die Verarbeitungsvorgänge, bei denen Arbeitszeiterfassungsdaten betroffen sind, sowie dessen regelmäßige Überprüfung, aktuelle Umsetzung und revisionssichere Dokumentation.

Weitere Ausführungen hierzu enthält Baustein 51 des „Standard-Datenschutzmodells (SDM)“ der Konferenz der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder zu finden unter:

https://www.datenschutz-mv.de/static/DS/Dateien/Datenschutzmodell/Bausteine/SDM-V2.0b_Zugriffe_regeln_V1.0.pdf

Ja.

Ja.

In Zeitmanagementsystemen werden in Verbindung mit den Arbeitszeiterfassungsdaten von Beschäftigten (Zeitangaben „Kommt/Geht“) im Allgemeinen auch besondere Kategorien von personenbezogenen Daten im Sinne von Artikel 9 Absatz 1 DSGVO verarbeitet, deren Verarbeitung grundsätzlich ein hohes Risiko darstellt. Daneben besteht regelmäßig ein hohes Risiko auf Grund des Umstandes, dass mittels der Verarbeitung von Arbeitszeiterfassungsdaten in Zeitmanagementsystemen erkannte Verletzungen der den Beschäftigten obliegenden Pflichten Auswirkungen auf das Beschäftigungsverhältnis haben können. Um diese Risiken und ihr möglichen Folgen abschätzen zu können, sollte der Verantwortliche stets eine DSFA durchführen.

Beispiel:

Bei der Arbeitszeiterfassung im Zusammenhang mit einer Abwesenheit aus Krankheitsgründen werden Gesundheitsdaten im Sinne von Artikel 4 Nummer 15 DSGVO verarbeitet. Dabei handelt es sich um besondere Kategorien von personenbezogenen Daten im Sinne von Artikel 9 Absatz 1 DSGVO.

 

Hinweise für die Praxis:

Weitere Hinweise zur Erforderlichkeit einer DSFA finden Sie nebst einem Prüfschema auf unserer Website, siehe

https://www.lfd.niedersachsen.de/startseite/themen/technik_und_organisation/orientierungshilfen_und_handlungsempfehlungen/prufschema_zur_erforderlichkeit_einer_datenschutz_folgenabschatzung/prufschema-muss-ich-eine-datenschutz-folgenabschatzung-durchfuhren-197199.html

Nein, dies ist regelmäßig nicht erforderlich.

Um zu vermeiden, dass Unbefugte Zugang zu Arbeitszeiterfassungsdaten haben, bedarf es jedoch stets vorab technischer und organisatorischer Maßnahmen des Verantwortlichen, zwecks Vermeidung von Wiederholungen wird auf die Ausführungen zu den Fragen 2, 3 und 4 verwiesen.

Viele Anwendungen bieten Protokollierungsoptionen an. Unter Beachtung des Grundsatzes der „Datenminimierung“, sind diese aber nicht zwingend erforderlich. Etwas anderes gilt nur, wenn eine Datenschutz-Folgenabschätzung, siehe hierzu die Ausführungen unter Frage Nummer 6, ergibt, dass die Risiken der Datenverarbeitung die Erforderlichkeit einer Protokollierung begründen.

Weitere Ausführungen hierzu enthält Baustein 43 des „Standard-Datenschutzmodells (SDM)“ der Konferenz der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder zu finden unter:

https://www.datenschutz-mv.de/static/DS/Dateien/Datenschutzmodell/Bausteine/SDM-V2.0_Protokollieren_V1.0a.pdf

 

Hinweise für die Praxis:

Grundsätzlich können Protokollierungen als technische und organisatorische Maßnahme etwa dann erforderlich sein, wenn eine große Anzahl von Stellen und Personen der Zugang zu einer Vielzahl von besonders schutzbedürftigen personenbezogenen Daten von Betroffenen gewährt wird, deren Befugnis für einen Zugriff im Einzelfall erst im Nachhinein in Bezug auf den Zweck überprüft werden kann. Dies gilt allerdings nicht per se für Arbeitszeiterfassungsdaten von Beschäftigten.

Gemäß Artikel 17 DSGVO sind alle personenbezogenen Daten der Beschäftigten zu löschen, wenn ihre Kenntnis für die Daten verarbeitende Stelle zur Aufgabenerfüllung nicht mehr erforderlich ist. Dies gilt auch für im Rahmen der Arbeitszeiterfassung erhobene personenbezogene Daten, sofern nicht besondere Rechtsvorschriften zum Tragen kommen, die Aufbewahrungsvorschriften oder Einschränkungen des Rechts auf Löschung enthalten, siehe Artikel 17 Absatz 3, Artikel 23 DSGVO.

Aufbewahrungsfristen können sich zum Beispiel aus spezifischen gesetzlichen Regelungen im Sinne von Artikel 6 Absatz 2 und Absatz 3 DSGVO oder aus Regelungen in Kollektivvereinbarungen, zum Beispiel beim Einsatz von Arbeitszeiterfassungssystemen, ergeben.

 

Hinweise für die Praxis:

• Der Personalrat hat bei der Festlegung der Löschfristen in seinem Aufgabenbereich § 61 Absatz 1 und Absatz 2 NPersVG zu beachten. Dies gilt auch für die Aufbewahrung und Löschung von Personalratsvorlagen oder von sonstigen Unterlagen, die der Personalrat von der Dienststelle erhält, und in denen es inhaltlich um Arbeitszeiterfassungsdaten einzelner Beschäftigter geht.
• Im öffentlichen Bereich in Niedersachsen sind vor einer Löschung von personenbezogenen Daten stets die bestehenden archivrechtlichen Regelungen zu beachten, siehe hierzu insbesondere § 3, § 3a und § 7 Absatz 3 des Niedersächsischen Archivgesetzes.
• Der Verantwortliche hat den von der Datenverarbeitung betroffenen Beschäftigten im Rahmen seiner Informationspflicht die Dauer, für die die Arbeitszeiterfassungsdaten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer mitzuteilen, Artikel 13 Absatz 2 Buchstabe a und Artikel 14 Absatz 2 Buchstabe a DSGVO,
• Die Erstellung eines Löschkonzeptes durch den Verantwortlichen wird regelmäßig notwendig sein, um der Rechenschaftspflicht aus Artikel 5 Absatz 2 DSGVO nachzukommen.

 

Weitere Informationen zu Datenverarbeitungen im Beschäftigtenkontext finden Sie auch in den Kurzpapieren der Datenschutzkonferenz:

·                Nr. 14 „Beschäftigtendatenschutz“ und

·                Nr. 20 „Einwilligung nach der DSGVO“:

Link zu den DSK-Kurzpapieren: https://lfd.niedersachsen.de/startseite/infothek/informationen_der_datenschutzkonferenz/anwendung_der_ds_gvo_kurzpapiere/DSGVO-kurzpapiere-155196.html