Datenschutz bei Anwesenheitsplanung und Urlaubslisten

Datenschutzrechtliche Relevanz von An- und Abwesenheit der Mitarbeiter

Anwesenheitsplanung und Urlaubslisten sind für Unternehmen essenziell, um den Arbeitsalltag zu organisieren. Dabei werden personenbezogene Daten wie der Name, die Abteilung, das Datum und der Abwesenheitsgrund der Mitarbeiter erfasst. Diese Daten sind besonders sensibel, da sie u. U. Rückschlüsse auf die Gesundheit und private Situation der Arbeitnehmer zulassen. Die Verarbeitung ist jedoch notwendig, um beispielweise zu ermitteln, ob eine krankheitsbedingte Abwesenheit begründet ist oder ob etwa ein Anspruch auf Mutterschutz besteht.

DSGVO-konforme Anwesenheitsplanung und Urlaubslisten

Um sowohl den Bedürfnissen der Unternehmen als auch der Verantwortung gegenüber Arbeitnehmern gerecht zu werden, hat der Gesetzgeber spezielle Voraussetzungen für die Verarbeitung (besonderer) personenbezogener Daten in der Datenschutz-Grundverordnung (DSGVO) und im Bundesdatenschutzgesetz (BDSG) festgeschrieben.

Rechtsgrundlage der Verarbeitung

Die rechtmäßige Verarbeitung von personenbezogenen Daten verlangt nach einer Rechtsgrundlage. Diese ist Art. 6 DSGVO zu entnehmen.

Gemäß Art. 6 Abs. 1 lit. c DSGVO ist eine Verarbeitung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, welcher der Verantwortliche unterliegt. Diese ergibt sich für die Erstellung eines Urlaubsplans und ähnliche Verarbeitungen aus § 1 BurlG, der eine rechtliche Verpflichtung für den Arbeitgeber zur Erfüllung von Urlaubsansprüchen darstellt. Diese Verpflichtung ist nach Art. 88 Abs. 1 DSGVO im Vermessen mit § 26 Abs. 3 BDSG zur Durchführung eines Arbeitsverhältnisses erforderlich.

Grundsatz der Datenminimierung (Datensparsamkeit)

Gemäß Art. 5 Abs. 1 lit. c DSGVO müssen personenbezogene Daten auf das notwendige Minimum beschränkt werden. Das bedeutet, dass Unternehmen nur diejenigen Daten erheben dürfen, die sie für den Zweck, also Anwesenheitsplanung und Urlaubslisten, tatsächlich benötigen.

In den Urlaubskalender dürfen deshalb grundsätzlich nur der Name des Mitarbeiters und der Zeitraum der Abwesenheit eingetragen werden, während Daten wie das Geburtsdatum, die Telefonnummer oder der Grund der Abwesenheit zumeist nicht als angemessen erscheinen. Noch besser ist es mit Namenskürzeln in den Listen zu arbeiten.

Zweckbindung

Personenbezogene Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden. Bei Anwesenheitsplanung und Urlaubslisten bedeutet das, dass die Daten nur für die Organisation des Arbeitsablaufs verwendet werden dürfen.

Datensicherheit

Neben dem Datenschutz spielt auch die Datensicherheit eine entscheidende Rolle. Unternehmen müssen sicherstellen, dass die Anwesenheitsdaten und Urlaubslisten in einem sicheren System gespeichert werden, das nur befugten Personen zugänglich ist. Dazu sollten passende technische und organisatorische Maßnahmen ergriffen werden, wie zum Beispiel die Verschlüsselung und die Zugangs- und Zugriffsbeschränkung der Daten. Mitarbeiter sind entsprechend zu schulen und auf Vertraulichkeit zu verpflichten.

Aufbewahrungsfristen

Personenbezogene Daten dürfen nur für einen angemessenen Zeitraum aufbewahrt werden und müssen dann gelöscht werden. Sowohl für Urlaubslisten als auch Anwesenheitsplanung gibt s grundsätzlich keine gesetzlichen Aufbewahrungsfristen. Sie gehören zu den allgemeinen Personalunterlagen. Es empfiehlt sich diese nach Ablauf eventueller Verfallklauseln, spätestens jedoch nach dem Ablauf der Verjährungsfristen zu beseitigen. Die Verjährungsfrist beträgt nach § 195 BGB drei Jahre. Allerdings können sich Ausnahmen ergeben, z.B. bei Urlaubslisten für die Berechnung der Rückstellungen, aus dem Arbeitszeitgesetzt für Überstunden, etc.

Informationspflichten

Die betroffenen Personen haben ein Recht auf Information darüber, welche personenbezogenen Daten über sie gespeichert und wie diese verarbeitet werden. Bei Anwesenheitsplanung und Urlaubslisten müssen die betroffenen Mitarbeiter über die Erhebung und Verarbeitung ihrer Daten informiert werden. Dies erfolgt idealerweise im Mitarbeiterinformationsschreiben.

Besonderheiten bei digitaler Planung

Immer mehr Unternehmen setzen auf digitale Lösungen zur Anwesenheitsplanung und Urlaubslistenführung. Dabei müssen jedoch besondere Anforderungen an die Datenschutzvorkehrungen erfüllt werden. Unternehmen sollten sicherstellen, dass die eingesetzte Software den Anforderungen der DSGVO entspricht und dass alle notwendigen Maßnahmen im Sinne der Datensicherheit ergriffen werden. Außerdem sollten Mitarbeiter hinsichtlich des verantwortungsvollen Umgangs mit personenbezogenen Daten im digitalen Raum besonders geschult werden.

Wenn Sie ein externes Tool nutzen, müssen zudem die Anforderungen an eine Auftragsverarbeitung erfüllt sein.

Tipps für eine rechtskonforme Anwesenheitsplanung und Urlaubslistenführung

1. Stellen Sie sicher, dass alle Datenschutzgrundsätze eingehalten werden. Verarbeiten Sie insbesondere nur diejenigen Daten, die für die Anwesenheitsplanung und Urlaubslisten tatsächlich benötigt werden.
2. Stellen Sie sicher, dass die Anwesenheitsdaten und Urlaubslisten vor unbefugtem Zugriff geschützt sind. Dazu gehört auch, dass innerhalb des Unternehmens nur diejenigen Personen Zugriff auf die Daten haben, die diese für ihre Arbeit benötigen und dazu befugt sind, wie beispielsweise die Personalabteilung (Need-to-know-Prinzip).
3. Nutzen Sie nur Software, die den Anforderungen der DSGVO entspricht und ergänzen Sie gegebenenfalls passende technische und organisatorische Maßnahmen zum Schutz der Daten.
4. Schulen Sie Ihre Mitarbeiter in Bezug auf den richtigen Umgang mit personenbezogenen Daten im Rahmen der Anwesenheitsplanung und Urlaubslistenführung.

Fazit

Anwesenheitsplanung und Urlaubslistenführung sind wichtige Instrumente zur Organisation des Arbeitsalltags. Deshalb können Arbeitgeber die entsprechenden personenbezogenen Daten im Rahmen der Erfüllung des Arbeitsvertrages verarbeiten.

Wer die hier skizzierten Maßnahmen zu Schutz und Sicherheit der Daten umsetzt, kann eine rechtskonforme Verarbeitung gewährleisten. Ein sorgsamer Umgang mit den personenbezogenen Daten von Mitarbeitern führt wiederum zu erhöhtem Vertrauen und trägt so zur Attraktivität als Arbeitgeber bei.