Die digitale Zeiterfassung ist in der Schweiz ein fester Bestandteil moderner Arbeitsorganisation. Unternehmen sind jedoch nicht nur verpflichtet, Arbeitszeiten präzise zu dokumentieren, sondern müssen auch sicherstellen, dass personenbezogene Daten von Mitarbeitenden rechtskonform verarbeitet werden.
Mit dem revidierten Datenschutzgesetz (revDSG), das am 1. September 2023 in Kraft getreten ist, haben sich die Anforderungen an Unternehmen verschärft. Dieser Beitrag erläutert, welche Datenschutzrichtlinien für Zeiterfassungssysteme gelten, wie Unternehmen die Einhaltung der Vorschriften sicherstellen und welche Lösungen für eine gesetzeskonforme und sichere Zeiterfassung existieren.
Die Zeiterfassung erfasst nicht nur Arbeitszeiten, sondern auch eine Vielzahl personenbezogener Daten, die für Phishing oder andere Cyberangriffe genutzt werden können. Daher ist es entscheidend, dass Unternehmen sich bewusst sind, welche sensiblen Informationen verarbeitet werden und welche Sicherheitsmassnahmen erforderlich sind.
Diese Daten sind notwendig, um die erfassten Arbeitszeiten einer bestimmten Person zuzuordnen. Dazu gehören:
Risiko: Diese Informationen können für gezielte Phishing-Angriffe oder Identitätsdiebstahl verwendet werden.
Phishing zählt zu den prominentesten Bedrohungen denn:
Diese Daten dienen der Dokumentation der Arbeitszeit und werden zur Lohnabrechnung sowie zur Einhaltung gesetzlicher Vorschriften genutzt:
Risiko: Eine ungesicherte Speicherung kann zu Missbrauch führen, etwa zur Manipulation von Arbeitszeiten oder unbefugtem Zugriff auf Krankheitsdaten.
In mobilen Arbeitsmodellen oder Aussendiensttätigkeiten können Unternehmen zusätzlich Standortdaten erfassen, beispielsweise durch:
Risiko: Standortdaten sind besonders sensibel, da sie Bewegungsmuster von Mitarbeitenden offenlegen können. Ein Missbrauch dieser Daten kann ein erhebliches Datenschutzrisiko darstellen.
In vielen Unternehmen wird die Zeiterfassung mit Projektmanagement-Tools kombiniert. Dadurch entstehen zusätzliche sensible Daten, darunter:
Risiko: Wenn diese Daten in falsche Hände geraten, könnten Wettbewerber oder Angreifer wertvolle Einblicke in unternehmensinterne Abläufe erhalten.
Viele moderne Zeiterfassungssysteme speichern Informationen über die Nutzung und Zugriffe der Nutzenden, darunter:
Risiko: Diese Daten können genutzt werden, um gezielt Schwachstellen in der IT-Sicherheit anzugreifen, etwa durch Brute-Force-Angriffe oder Social Engineering.
Das Schweizer Datenschutzgesetz (DSG) wurde überarbeitet, um den neuen technologischen Entwicklungen Rechnung zu tragen.
Die wichtigsten Bestimmungen, die für die Zeiterfassung relevant sind, umfassen:
Ein Verstoss gegen diese Bestimmungen kann zu Sanktionen führen, die von Bussgeldern bis hin zu Haftungsrisiken reichen.
Bussgelder von bis zu CHF 250'000
Unternehmen können indirekt belangt werden, wenn sich Verstösse auf mangelhafte interne Datenschutzrichtlinien oder unzureichende Sicherheitsmassnahmen zurückführen lassen. Falls die Ermittlung der verantwortlichen natürlichen Person unverhältnismässig wäre, kann die zuständige Behörde stattdessen das Unternehmen mit einer Geldbusse belegen (bis zu CHF 50'000).
Verwaltungsrechtliche Massnahmen durch den EDÖB
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann Unternehmen verpflichten, ihre Datenbearbeitung zu ändern oder einzustellen. Dazu zählen Anordnungen zur Anpassung von Zeiterfassungssystemen, wenn diese nicht den gesetzlichen Datenschutzanforderungen entsprechen.
Haftungsrisiken und Schadensersatzforderungen
Betroffene Mitarbeitende können zivilrechtliche Ansprüche gegen das Unternehmen geltend machen, wenn Datenschutzverstösse nachweislich zu einem Schaden geführt haben (z. B. durch unbefugte Weitergabe oder Leaks von Zeiterfassungsdaten). Unternehmen müssen nachweisen können, dass sie alle erforderlichen Massnahmen zur Datensicherheit getroffen haben.
Reputationsschäden und Vertrauensverlust
Datenschutzverletzungen, insbesondere Leaks oder unbefugte Zugriffe auf sensible Mitarbeiterdaten, können erhebliche Reputationsverluste zur Folge haben. Gerade in Branchen mit hoher Sensibilität für Datenschutz (z.B. Finanzsektor, Gesundheitswesen) kann dies zu geschäftlichen Nachteilen führen.
Ein besonderer Fall tritt auf, wenn Mitarbeitende in Deutschland wohnen, aber in einem Schweizer Unternehmen arbeiten. In diesem Szenario stellt sich die Frage, ob neben dem revDSG auch die europäische Datenschutz-Grundverordnung (DSGVO) Anwendung findet.
Grundsätzlich gilt für Unternehmen mit Sitz in der Schweiz das revDSG. Allerdings greift die DSGVO, wenn personenbezogene Daten von Personen verarbeitet werden, die sich in der EU befinden. Das bedeutet, dass Schweizer Arbeitgeber, die Daten von in Deutschland ansässigen Mitarbeitenden erfassen, auch die DSGVO berücksichtigen müssen.
Praktische Auswirkungen sind unter anderem:
Unternehmen sollten sich bewusst sein, dass Datenschutzmassnahmen nicht isoliert betrachtet werden können. Einige Massnahmen sind gesetzlich vorgeschrieben, während andere die Sicherheit weiter erhöhen. Die folgenden Best Practices sind in drei Kategorien unterteilt:
Datensparsamkeit und Zweckbindung
Informationspflicht und transparente Kommunikation
Zugriffsrechte und Rechtemanagement
Sichere Speicherung und Aufbewahrungsfristen
Datenverschlüsselung während der Übertragung und Speicherung
Regelmässige Schulungen für Mitarbeitende
Multi-Faktor-Authentifizierung (MFA)
Regelmässige Sicherheitsüberprüfungen und Audits
Anonymisierung oder Pseudonymisierung sensibler Daten
Lösungen mit automatischem Datenschutz-Reporting
Datenschutz ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Softwarelösungen sollten in regelmässigen Abständen geprüft werden, um sicherzustellen, dass sie den aktuellen Datenschutzstandards entsprechen. Dies kann durch interne Datenschutzbeauftragte oder externe Audits erfolgen.
Datenschutz in der Zeiterfassung ist für Schweizer Unternehmen nicht nur eine gesetzliche Pflicht, sondern auch ein entscheidender Faktor für Vertrauen.
Unternehmen, die den Datenschutz konsequent umsetzen, profitieren nicht nur von der rechtlichen Sicherheit, sondern stärken auch ihr Image als verantwortungsvoller Arbeitgeber.
