Automatische Arbeitszeiterfassung: Was der Arbeitgeber beweisen muss

Ein Arbeitgeber, der ein System zur automatischen Arbeitszeiterfassung einführt (Zeiterfassungsterminal, biometrische Stempeluhr, Tracking-Software), muss gleichzeitig zwei Regelwerke erfüllen: die vom Arbeitsrecht geforderte Beweissicherheit und die von der DSGVO auferlegte Konformität. Konkret legt Artikel L.3171-4 des französischen Arbeitsgesetzbuchs (Code du travail) dem Arbeitgeber die Last auf, dem Gericht objektive Nachweise über die geleistete Arbeitszeit vorzulegen; das System muss daher fälschungssicher und dokumentiert sein. Parallel dazu setzt jede Erfassung personenbezogener Zeiterfassungsdaten eine Rechtsgrundlage, eine Information der Arbeitnehmer und eine begrenzte Aufbewahrungsdauer voraus. Ein technisch leistungsfähiges, aber rechtlich schlecht abgesichertes System birgt ein doppeltes Prozessrisiko: vor dem Arbeitsgericht (conseil de prud’hommes – Nachforderung von Überstunden) und vor der CNIL (französische Datenschutzbehörde – Verwaltungssanktion). Nachstehend das Verfahren zur Herstellung der Konformität, die genauen Verantwortlichkeiten des Arbeitgebers und die typischen Streitfälle.

Die doppelte Rechtsgrundlage: Nachweis der Arbeitszeit und Datenschutz

Ein System zur automatischen Arbeitszeiterfassung unterliegt nicht nur einem einzigen Rechtsgebiet. Es befindet sich an der Schnittstelle zweier unterschiedlicher Logiken, die nicht dasselbe Ziel verfolgen.

Arbeitsrechtliche Grundlage. Artikel L.3171-4 des Code du travail regelt die Beweislast für die tatsächlich geleistete Arbeitszeit. Im Streitfall über Überstunden muss der Arbeitgeber „die Elemente, die geeignet sind, die tatsächlich geleisteten Arbeitszeiten zu rechtfertigen” vorlegen. Eine zuverlässige automatische Erfassung stellt genau dieses Element dar. Umgekehrt kehrt das Fehlen eines Systems oder ein anfechtbares System die Prozessdynamik zulasten des Arbeitgebers um.

DSGVO-Grundlage. Die Zeiterfassungsdaten (Ankunftszeit, Abgangszeit, Pausenzeiten, gegebenenfalls Geolokalisierung) sind personenbezogene Daten. Ihre Verarbeitung setzt eine Rechtsgrundlage im Sinne der DSGVO, eine vorherige Information der betroffenen Personen, eine angemessene Aufbewahrungsdauer und in bestimmten Fällen eine Datenschutz-Folgenabschätzung voraus.

Die operative Schwierigkeit besteht darin, dass diese beiden Regelwerke mitunter in entgegengesetzte Richtungen ziehen: Das Arbeitsrecht drängt zur Aufbewahrung detaillierter und dauerhafter Beweise, die DSGVO gebietet Datenminimierung und Löschung. Der Ausgleichspunkt wird Fall für Fall herausgearbeitet.

Rechtsgrundlage der Verarbeitung: berechtigtes Interesse, nicht Einwilligung

Erster wiederkehrender Fehler in mittelständischen Unternehmen (ETI): der Glaube, man müsse die Einwilligung des Arbeitnehmers einholen, um eine Stempeluhr zu installieren. Das ist falsch und sogar kontraproduktiv.

Die Einwilligung setzt eine freie Entscheidung voraus. In einem Unterordnungsverhältnis ist der Arbeitnehmer jedoch niemals in der Lage, ein vom Arbeitgeber vorgegebenes System frei abzulehnen. Die CNIL vertritt seit Langem die Auffassung, dass die Einwilligung im Rahmen des Arbeitsvertrags keine gültige Grundlage für vom Unternehmen vorgegebene Verarbeitungen ist. Die einschlägige Grundlage ist das berechtigte Interesse des Arbeitgebers (Organisation und Kontrolle der Arbeitszeit, Erfüllung seiner gesetzlichen Erfassungspflichten) oder je nach Fall die gesetzliche Verpflichtung zur Erfassung der Arbeitszeit.

Diese Einordnung ist nicht bloß kosmetisch. Sie bestimmt die Rechte der Arbeitnehmer: Auf Grundlage des berechtigten Interesses behält der Arbeitnehmer ein Widerspruchsrecht, das der Arbeitgeber Fall für Fall prüfen muss – was in der internen Dokumentation antizipiert werden muss.

Wortlaut aus der Praxis. „Der häufigste Fall ist nicht die illegale Stempeluhr, sondern die legale Stempeluhr, deren im Verzeichnis der Verarbeitungstätigkeiten angegebene Rechtsgrundlage falsch ist. Man liest ‚Einwilligung’, obwohl die Verarbeitung vorgegeben ist. Am Tag der CNIL-Kontrolle macht dieses eine Wort das gesamte Verzeichnis unglaubwürdig – und ein unglaubwürdiges Verzeichnis ist ein eigenständiger Verstoß gegen Artikel 30 der DSGVO.”

Verhältnismäßigkeit: die Falle der Übererfassung und der Biometrie

Der Grundsatz der Datenminimierung gebietet, nur die für den Zweck unbedingt erforderlichen Daten zu erheben. Ein Arbeitszeiterfassungssystem muss den Arbeitnehmer weder kontinuierlich verfolgen noch jede Bewegung nachverfolgen.

Die Geolokalisierung darf niemals als primäre Methode zur Kontrolle der Arbeitszeit dienen, wenn ein anderes, weniger eingriffsintensives Mittel existiert. Der Kassationsgerichtshof (Cour de cassation) hat entschieden, dass der Einsatz eines Geolokalisierungssystems zur Kontrolle der Arbeitszeit nur dann zulässig ist, wenn diese Kontrolle nicht durch ein anderes – wenn auch weniger effizientes – Mittel erfolgen kann. Ein deklaratives Erfassungssystem oder eine Erfassung per Ausweis ist daher vorzuziehen.

Die Biometrie (Fingerabdruck, Gesichtserkennung zur Zeiterfassung) betrifft besondere Kategorien personenbezogener Daten (données sensibles). Ihr Einsatz für die bloße Arbeitszeitverwaltung ist grundsätzlich unverhältnismäßig: Die CNIL behält die Biometrie hohen Sicherheitsanforderungen vor, nicht der Erfassung von Arbeitszeiten. Der Einsatz einer biometrischen Stempeluhr, „weil es praktischer ist”, stellt einen eindeutigen Verstoß dar.

Merke: Die im Arbeitsrecht angestrebte Beweissicherheit rechtfertigt niemals allein einen unverhältnismäßigen Eingriff in die Privatsphäre. Das Arbeitsgericht schließt Beweise, die durch ein rechtswidriges Verfahren erlangt wurden, aus, sofern deren Vorlage nicht unerlässlich und verhältnismäßig ist.

Information und Anhörung: die obligatorischen vorherigen Formalitäten

Kein automatisches Erfassungssystem darf ohne vorherige Formalitäten in Betrieb genommen werden. Drei Pflichten kumulieren sich.

1. Individuelle Information der Arbeitnehmer. Jeder Arbeitnehmer muss vor der Einführung über das Bestehen des Systems, seinen Zweck, die Rechtsgrundlage, die Empfänger der Daten, die Aufbewahrungsdauer und seine Rechte (Auskunft, Berichtigung, Widerspruch) informiert werden. Ein Kontrollverfahren, das dem Arbeitnehmer nicht zuvor zur Kenntnis gebracht wurde, kann ihm nicht entgegengehalten werden.

2. Anhörung des CSE. Der Sozial- und Wirtschaftsausschuss (comité social et économique) muss vor der Entscheidung über die Einführung eines Mittels zur Kontrolle der Tätigkeit der Arbeitnehmer angehört werden. Das Fehlen der Anhörung stellt eine Behinderung der Arbeitnehmervertretung (délit d’entrave – Straftatbestand) dar und schwächt den Beweiswert des Systems.

3. Interne DSGVO-Dokumentation. Eintragung in das Verzeichnis der Verarbeitungstätigkeiten, Festlegung der Aufbewahrungsdauer und gegebenenfalls Datenschutz-Folgenabschätzung (AIPD – analyse d’impact relative à la protection des données), wenn die Verarbeitung ein hohes Risiko mit sich bringen kann – ein häufiger Fall bei systematischer Kontrolle der Arbeitszeiten.

Zu erstellendes Dokument, aufzubewahrender Beweis. Das den Arbeitnehmern übergebene Informationsschreiben (mit Unterschrift oder datierter Empfangsbestätigung), das Protokoll der CSE-Anhörung, der Auszug aus dem Verzeichnis der Verarbeitungstätigkeiten. Diese drei Unterlagen bilden das Verteidigungsfundament im Streitfall.

Aufbewahrungsdauer: der am häufigsten sanktionierte blinde Fleck

Hier liegt die häufigste Schwachstelle. Die Unternehmen konfigurieren die Erfassung sorgfältig und vergessen dann, zu bereinigen.

Die Zeiterfassungsdaten dienen der Lohnabrechnung und der Erfassung der Arbeitszeit. Ihre Aufbewahrung in der aktiven Datenbank muss auf die für die Verwaltung der variablen Lohnbestandteile und die Bearbeitung eventueller kurzfristiger Streitigkeiten erforderliche Dauer beschränkt sein. Darüber hinaus müssen die Daten archiviert oder gelöscht werden.

Die Abstimmung mit dem Arbeitsrecht ist heikel: Die Nachforderung von Überstunden verjährt nach drei Jahren (Artikel L.3245-1 des Code du travail). Der Arbeitgeber hat daher ein berechtigtes Interesse daran, die Erfassungsdaten im Zwischenarchiv (eingeschränkter Zugriff, nicht im Tagesgeschäft genutzt) für die Dauer der geltenden Verjährungsfrist aufzubewahren. Aber sämtliche Zeiterfassungsdaten jahrelang in der aktiven Datenbank aufzubewahren, für jeden Sachbearbeiter zugänglich, ist unverhältnismäßig und stellt einen Verstoß dar.

Kontraintuitiver Aspekt. Zu wenig aufzubewahren ist ebenso gefährlich wie zu lange aufzubewahren. Der Arbeitgeber, der seine Zeiterfassungsdaten nach einem Jahr bereinigt, beraubt sich seines eigenen Beweises im Falle eines arbeitsgerichtlichen Streits über auf drei Jahre geltend gemachte Überstunden. Die Aufbewahrungsdauer muss auf die arbeitsrechtliche Verjährung abgestimmt sein, nicht darunter – sonst schwächt die DSGVO-Konformität die arbeitsrechtliche Position. Das ist genau das Gegenteil der Intuition „je weniger ich behalte, desto besser”.

Typische Streitfälle: Wo sich die Verantwortlichkeit des Arbeitgebers entscheidet

Drei Streitkonstellationen kehren systematisch wieder.

Arbeitsgerichtlicher Streit – die Überstunden. Der Arbeitnehmer fordert Nachzahlungen für drei Jahre. Wird das Erfassungssystem als unzuverlässig eingestuft (ohne Nachverfolgbarkeit veränderbare Daten, Fehlen eines gesicherten Zeitstempels, in der Einführung angefochtenes System), kann das Gericht es außer Acht lassen und allein auf Grundlage der vom Arbeitnehmer vorgelegten Elemente entscheiden. Die technische und verfahrensrechtliche Qualität des Systems ist hier entscheidend.

Beweisrechtlicher Streit – der rechtswidrige Beweis. Der Arbeitgeber legt die Zeiterfassungsprotokolle vor, um eine Sanktion oder Kündigung zu rechtfertigen (Verspätungen, Abwesenheiten). Wurde das System dem Arbeitnehmer nicht zur Kenntnis gebracht oder ohne CSE-Anhörung eingeführt, kann der Beweis ausgeschlossen werden. Die Vorlage eines aus einem rechtswidrigen System stammenden Beweises ist nur zulässig, wenn sie für die Ausübung des Beweisrechts unerlässlich und im Verhältnis zum verfolgten Zweck steht – eine strenge Beurteilung durch das Gericht.

CNIL-Streit – der DSGVO-Verstoß. Kontrolle vor Ort oder anhand von Unterlagen, Beschwerde eines Arbeitnehmers oder Meldung des CSE. Die typischerweise festgestellten Verstöße: falsche Rechtsgrundlage, Übererfassung, fehlende Information, übermäßige Aufbewahrung, fehlende Datenschutz-Folgenabschätzung. Die Sanktion ist eigenständig: Sie hängt von keinem nachgewiesenen individuellen Schaden ab.

Verfahren zur Herstellung der Konformität in sieben Schritten

Für eine Einführung oder Nachbesserung strukturiert die folgende Abfolge die nachweisbare Compliance-Akte.

1. Zweck kartografieren. Schwarz auf weiß festhalten, wozu das System dient (Arbeitszeiterfassung, Lohnverwaltung, Anwesenheitskontrolle). Ein unklarer Zweck macht alles Weitere unhaltbar.
2. Rechtsgrundlage bestimmen. Berechtigtes Interesse oder gesetzliche Verpflichtung wählen – niemals die Einwilligung. Die Abwägungsprüfung (balance test) für das berechtigte Interesse dokumentieren.
3. Datenminimierung anwenden. Biometrie und Geolokalisierung außer bei nachgewiesener Notwendigkeit ausschließen. Die erhobenen Felder auf die reine Zeiterfassung beschränken.
4. Aufbewahrungsdauer festlegen. Aktive Datenbank auf die Lohnverwaltung beschränkt; Zwischenarchiv auf die dreijährige Verjährung (L.3245-1) abgestimmt.
5. Informieren und anhören. Datiertes individuelles Informationsschreiben + vorherige CSE-Anhörung mit Protokoll.
6. DSGVO-seitig dokumentieren. Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzung bei hohem Risiko, Richtlinie zur Verwaltung der Rechte (Auskunft, Widerspruch).
7. Technische Zuverlässigkeit prüfen. Gesicherter Zeitstempel, Nachverfolgbarkeit von Änderungen, Zugriffsbeschränkung. Das System muss der arbeitsgerichtlichen Anfechtung standhalten.

Zu jedem dieser Schritte greift die Kanzlei ein, um den Bestand zu prüfen, Verstöße zu identifizieren und die Verteidigungsdokumentation abzusichern. Im Vorfeld beantwortet DAIRIA IA die Einordnungsfragen (Rechtsgrundlage, Aufbewahrungsdauer, Abstimmung mit der Verjährung) unter Angabe der anwendbaren Rechtstexte; sie stattet die Personalabteilung aus, um die Akte vor dem Eingreifen unserer Anwälte vorzubereiten.

Häufig gestellte Fragen

Muss eine Stempeluhr vor der Installation bei der CNIL angemeldet werden?

Nein, das System der vorherigen Anmeldung ist mit der DSGVO entfallen. Die Pflicht besteht nunmehr darin, die Verarbeitung in das Verzeichnis der Verarbeitungstätigkeiten einzutragen und, wenn die systematische Kontrolle der Arbeitszeiten ein hohes Risiko mit sich bringt, eine Datenschutz-Folgenabschätzung (AIPD) durchzuführen, die intern aufbewahrt und bei einer Kontrolle vorgelegt werden kann.

Kann ein Arbeitnehmer sich weigern, zu stempeln?

Auf Grundlage des berechtigten Interesses verfügt der Arbeitnehmer über ein Widerspruchsrecht, das der Arbeitgeber im Hinblick auf seine besondere Situation prüfen muss. Eine systematische und unbegründete Weigerung kann dennoch einen disziplinarischen Verstoß darstellen, sofern das System rechtmäßig und verhältnismäßig ist. Jeder Widerspruch wird individuell beurteilt.

Genügen die Zeiterfassungsprotokolle zum Nachweis der Überstunden?

Sie stellen ein zentrales, aber nicht ausschließliches Element dar. Nach L.3171-4 muss der Arbeitgeber objektive Elemente vorlegen; ein zuverlässiges und fälschungssicheres Protokoll wiegt stark. Ein System hingegen, dessen Daten ohne Nachverfolgbarkeit veränderbar sind, kann vom Gericht ausgeschlossen werden.

Darf man die Zeiterfassungsdaten fünf Jahre lang „für alle Fälle” aufbewahren?

Nicht in der aktiven Datenbank. Die tägliche Aufbewahrung muss sich auf die Lohnverwaltung beschränken. Ein Zwischenarchiv mit eingeschränktem Zugriff kann die dreijährige Verjährung der Löhne (L.3245-1) abdecken. Alle Daten fünf Jahre lang zugänglich aufzubewahren, ist unverhältnismäßig.

Ist Gesichtserkennung zur Zeiterfassung zulässig?

Grundsätzlich nein für die bloße Arbeitszeiterfassung. Die Biometrie betrifft besondere Kategorien personenbezogener Daten und ihr Einsatz ist hohen Sicherheitsanforderungen vorbehalten. Der Rückgriff auf ein biometrisches Verfahren allein zur Verwaltung der Arbeitszeiten gilt als unverhältnismäßig.

Was riskiert der Arbeitgeber, der den CSE nicht angehört hat?

Zwei kumulative Risiken: eine Behinderung der Arbeitnehmervertretung (délit d’entrave) und die Nichtverwertbarkeit des Systems als Beweismittel. Ein Zeiterfassungsprotokoll aus einem ohne vorherige CSE-Anhörung installierten System kann vom Arbeitsgericht ausgeschlossen werden.

Ändert Telearbeit die Pflichten zur Arbeitszeiterfassung?

Die Erfassungspflicht bleibt bestehen, aber die Modalitäten müssen die Privatsphäre des Arbeitnehmers zu Hause wahren. Die Überwachung darf keine dauerhafte Kontrolle oder Geolokalisierung rechtfertigen. Ein deklaratives System oder eine verhältnismäßige softwaregestützte Zeiterfassung ist vorzuziehen.