Arbeitszeiterfassung: Aktueller Stand und datenschutzkonforme Umsetzung

Das Bundesarbeitsgericht (BAG) in Erfurt hat in einem Urteil (1 ABR 22/21) vom 13.09.2022 festgestellt, dass Unternehmen nach § 3 Abs. 2 Nr. 1 ArbSchG verpflichtet sind, ein System einzuführen, mit dem die Arbeitszeit der Angestellten erfasst werden kann. Diese Entscheidung basiert auf der europarechtskonformen Auslegung des Arbeitsschutzgesetzes (ArbSchG) und bezieht sich auf das Urteil des Europäischen Gerichtshofs (EuGH) zur Arbeitszeiterfassung aus Mai 2019.

Ein kürzlich veröffentlichter Gesetzentwurf des Bundesministeriums für Arbeit und Soziales (BMAS) wirft die Frage auf, welche Informationen Firmen im Hinblick auf die Arbeitszeiten ihrer Mitarbeitenden zukünftig dokumentieren müssen. Zudem gibt es Unsicherheiten hinsichtlich der Anwendung von Vertrauensarbeitszeit.

Geplante Regeln und Ausnahmen

Gemäß § 16 Abs. 2 ArbZG-E sollen Unternehmen dazu verpflichtet werden, den Beginn, das Ende und die Dauer der täglichen Arbeitszeit der Beschäftigten zu dokumentieren. Es wird vorgegeben, die Zeiterfassung elektronisch durchzuführen, jedoch werden keine konkreten Vorgaben gemacht, wie die elektronische Erfassung auszusehen hat. Es ist davon auszugehen, dass elektronische Zeiterfassungsgeräte, -Systeme oder Apps genutzt werden.

Der Gesetzentwurf schlägt weiterhin vor, dass kleine Betriebe mit weniger als 10 Angestellten von der Pflicht zur elektronischen Zeiterfassung ausgenommen werden können. Vertrauensarbeitszeit, bei der die genaue Arbeitszeit von den Mitarbeitern selbst bestimmt wird, soll weiterhin möglich sein, wenn Arbeitszeiten gleichzeitig dokumentiert werden.

Dabei ist wichtig, dass Arbeitgeber weiterhin für die ordnungsgemäße Dokumentation der Zeiterfassung verantwortlich sind, auch wenn sie die Pflicht zur Zeiterfassung den Mitarbeitenden überlassen können. Die Arbeitszeit muss täglich erfasst werden, wobei eine Ausnahme durch Tarifvertrag, Betriebs- oder Dienstvereinbarung möglich ist. In jedem Fall müssen die Zeiten spätestens nach 7 Tagen erfasst worden sein.

Es gibt auch Ausnahmen von der Zeiterfassungspflicht: Diese gelten für ausländische Unternehmen ohne Betriebsstätte in Deutschland, wenn weniger als 10 Angestellte nach Deutschland entsandt werden, sowie für Privathaushalte. Es ist auch möglich Ausnahmen von der elektronischen Dokumentation in Tarifverträgen, Betriebs- oder Dienstvereinbarungen zu vereinbaren.

Fazit

Zusammenfassend lässt sich festhalten, dass die Zeiterfassungspflicht zukünftig wohl für alle Mitarbeitenden gilt, jedoch Ausnahmen für bestimmte Tätigkeiten und Vereinbarungen bestehen. Der Gesetzentwurf zielt darauf ab, eine genaue Dokumentation der Arbeitszeiten zu gewährleisten, um die Einhaltung der Arbeitszeitregelungen und damit des Arbeitsschutzes zu kontrollieren.

Für Unternehmen ohne bestehende Arbeitszeiterfassung besteht durch das kommende Gesetz wie auch die Urteile von EuGH und BAG Handlungsbedarf. Eine wichtige Frage bei der Auswahl von Software zur Zeiterfassung ist zweifellos deren Fairness, Transparenz und Datenschutz. Bei Herstellern wie ZMI finden Unternehmen aller Branchen und Größen flexible und fair.digital-zertifizierten Lösungen für die Digitale Zeiterfassung mit stationären oder mobilen Terminals, am PC-Arbeitsplatz oder via App auf dem Smartphone oder Tablet.

Weitere Informationen zu den Lösungen von ZMI finden Sie unter www.ZMI.de

Praxisbeispiel: FeedBeat Stage Performance Plattform

FeedBeat ist eine Plattform für hybride und digitale Bühnensituationen mit vielen Teilnehmenden, wie es beispielsweise der Fall ist bei Webinaren, Konferenzen, Produktpräsentationen, Podiumsdiskussionen, Konzerten, Theater, Comedy oder Lesungen. FeedBeat erweitert den physischen Zuschauerraum in die digitale Dimension und ermöglicht mehr Publikum und mehr Teilhabe bei gleichzeitiger Reduktion des Carbon-Footprints. Sie verfügt über einzigartige Merkmale der Interaktion, Personalisierung und emotionalen Teilhabe. Dafür wurde sie ausgezeichnet von NRW Kultur.

Hybrid und digital:

Hybride Veranstaltungen sind Liveveranstaltungen, an denen gleichzeitig Menschen vor Ort als auch über digitale Kanäle teilnehmen. Insbesondere Bühnensituationen stellen dabei besondere Anforderungen an die Integration und Interaktion gemischter Gruppen. Beispielsweise bei Produktschulungen, Konferenzen oder Kulturveranstaltungen ist es wichtig ein Gefühl auch für das Onlinepublikum zu haben und dieses durch gezielte Ansprache in die Veranstaltung integrieren zu können. Starke Feedbackkanäle fördern Interaktion und Erlebnischarakter zusätzlich. Die Plattform bleibt im Hintergrund und präsentiert die Veranstaltung optimal. Zugänge über alle Endgeräte und ohne Login-Hürden erleichtern die Teilnahme auch wenig technikerfahrener Menschen.

Fairness eingebaut:

Die Plattform folgt einem konsequenten Privacy by Design Ansatz gemäß dem Grundsatz “Daten, die nicht gespeichert werden, können auch nicht weitergeben werden”. Als Cloud und On-Premise-Lösung selbstverständlich DSGVO-konform. Alle Rechte am Werk bleiben bei den Veranstaltern und Akteuren zur eigenen Verwertung.

Fazit:

FeedBeat gestaltet Digitalisierung auf zeitgemäße und zukunftsweisende Art. Die Plattform ist ein Beispiel dafür das Lösungen möglich sind, die den Schutz persönlicher Daten mit hohem Nutzen verbinden. Einfach Fair Digital.

Mehr Informationen zu FeedBeat finden Sie hier.

Warum fair.digital mit Hosting bei US-Anbietern nicht möglich ist

Eine Frage, die wir häufig erhalten, lautet: “Ist eine Zertifizierung mit fair.digital auch möglich, wenn die Lösung bei Hosting-Unternehmen aus den USA betrieben wird?” In diesem Beitrag erklären wir, warum wir dies zum derzeitigen Zeitpunkt verneinen müssen.

Das Siegelkriterium “Die EU-DSGVO wird gemäß geltender Rechtsprechung unterstützt”

Das erste fair.digital-Kriterium erfordert, dass Cloud-Lösung in der EU gehostet werden müssen. Nun könnte man meinen, dass die fair.digital-Kriterien erfüllt sind, wenn man eine Lösung z.B. bei Amazon Web Services (AWS) in einem Rechenzentrum in Europa betreibt. Warum ist dies zu kurz gegriffen?

Das Siegelkriterium “Datenhoheit”

Eine weitere zentrale Anforderung von fair.digital besagt: “Eine Weitergabe von Nutzerdaten erfolgt nur mit expliziter Zustimmung.” Mit diesem Kriterium soll sichergestellt werden, dass die Nutzer die Hoheit über ihre Daten behalten und selbst entscheiden können, ob und wie diese genutzt werden können. Genau dies kann beim Betrieb bei US-Hostern nicht erfüllt werden – selbst wenn sich die Data Center in Europa befinden. Der Grund hierfür ist der sogenannte “Cloud Act”.

Der Cloud Act

Aktuell geltendes US-Recht verpflichtet in den USA ansässigen Unternehmen über den “Cloud Act” dazu, US-Behörden auch Zugriff auf Daten, die bei ausländischen Konzerngesellschaften liegen, zu gewähren. Konkret könnte z.B. das FBI Amazon dazu zwingen, Daten einzusehen, die auf AWS-Rechenzentren in Europa gespeichert sind. Diese Zugriffsmöglichkeit der US-Dienste auf Nutzerdaten steht damit offensichtlich im Widerspruch zu dem Siegelkriterium “Datenhoheit”.

Wiederholte Anfragen an den Datenschutzbeauftragten

In seiner Bewertung richtet sich der Verein fair.digital e.V. stets nach geltendem Recht. Daher ist es uns wichtig, fortlaufend Anfragen an die zuständigen deutschen Behörden zu stellen, welche Einschätzung hinsichtlich des Cloud Act sie derzeit vertreten. Die letzte Anfrage fand 2022 statt. Die Antwort des Bayerisches Landesamt für Datenschutzaufsicht lautete:

“Zur Ehrlichkeit gehört es aber auch zu sagen, dass es Szenarien von Übermittlungen personenbezogener Daten in die USA gibt, bei denen möglicherweise keine rechtskonformen Lösungen gemessen am EU-Datenschutzrecht möglich sind – hier sind vor allem Fälle in den Blick zu nehmen, in denen der Datenempfänger dem US-Gesetz FISA 702 unterliegt und aber gleichzeitig Zugriff (für die Funktionalität der Daten) auf (aus der EU übermittelte) personenbezogene Daten im Klartext benötigt – denn in diesen Fällen sind die Daten den Zugriffsrechten von US-Behörden nach FISA 702 unterworfen, und gemäß Aussage des Europäischen Gerichtshofs im Schrems-II-Urteil sind diese Zugriffsrechte gemessen am EU-Datenhschutzrecht in ihrem Ausmaß und wegen Fehlen von Rechtsschutz für EU-Bürger datenschutzrechtlich nicht akzeptabel.”

Es wird also nicht ausgeschlossen, dass Drittländer Zugang auf Daten erhalten können. Sollte sich an dieser Bewertung zukünftig etwas ändern bzw. der Cloud Act angepasst werden, wird auch fair.digital seine entsprechend aktualisieren.

Migrationsmöglichkeiten

Gemäß Datenschutzbeauftragten wäre ein Lösungsansatz, europäische Dienstleister zwischenzuschalten, sodass sich der US-Anbieter selbst aus seinem Rechenzentrum “aussperrt”. Dann würden Anfragen von US-Behörden ins Leere laufen. Ein solches Modell wurde z.B. von Microsoft und der Telekom umgesetzt und wäre auch fair.digital-verträglich.

Alternativ gibt es natürlich auch die Möglichkeit, eine fair.digital-Zertifizierung zu erhalten, indem man auf US-Hosting verzichtet. In Europa gibt es durchaus Anbieter, die ähnliches Hyperscaling ermöglichen. Einige unserer Vereinsmitglieder können bei der Migration nach Europa helfen. Sprechen Sie uns gerne an!

Praxisbeispiel: Erfolgreiche Kombination von Colocation und Cloud

Die TelemaxX Telekommunikation GmbH ist fair.digital-zertifizierter Betreiber von fünf Hochsicherheitsrechenzentren in der TechnologieRegion Karlsruhe. Erfolgreich seit 1999 hat sie sich darauf spezialisiert, individuelle Rechenzentrumsflächen, Housing- sowie Managed-Service-Lösungen für die Anforderungen unserer Geschäftskunden zu realisieren – wobei die TelemaxX Cloud sowie die klassischen Telekommunikationsdienste das Gesamtportfolio abrunden.

Die Rechenzentren

Kennzeichnend für die TelemaxX-Rechenzentren ist die sehr hohe Verfügbarkeit. Die gesamte Infrastruktur, wie zum Beispiel die Stromversorgung, Klimatisierung und Internetanbindung, ist redundant aufgebaut und über ein hochsensibles Monitoring-System permanent überwacht. Diese Faktoren ermöglichen das Angebot von Colocation (auch Serverhousing genannt), bei dem Unternehmen ihre Hardware in die Rechenzentren unterbringen. Die Colocation Services der TelemaxX untergliedern sich in die folgenden Servicevarianten: Höheneinheit, Rack und Cage.

Praxisbeispiel: Umzug zu Colocation

Aufgrund des Wachstums und der steigenden Unternehmensgröße stieg bei dem Kunden in diesem Beispiel auch die Beschaffung für Hardware sowie der Aufwand für das eigene IT-Personal. Damit mehr Sicherheit gewährleistet werden kann, entschied sich der Kunde, seine Hardware innerhalb eines Rechenzentrums in Form von Colocation unterzubringen. Im Rahmen der Gespräche fiel die Entscheidung auf 2 plus 1 Racks, in denen die eigenen Server untergebracht werden sollten.

Gemeinsam wurde ein Konzept inklusive der technischen Planung für den Kunden erarbeitet. Innerhalb weiterer Gespräche wurden die Anforderungen evaluiert und ein Angebot an den Kunden versendet. Nach Annahme des Angebots und Vertragsabschluss begann die detaillierte Planung. So konnten alle Anforderungen erfasst werden und die Realisierung innerhalb der Rechenzentrums erfolgen.

Das Managed Service Team plante mit dem Kunden den Umzug in das Rechenzentrum. Vorab wurden die Server-Racks bestellt und im Rechenzentrum aufgebaut. Gemeinsam mit dem Auftraggeber wurden die Server im Rack platziert und mit der entsprechenden Verkabelung ausgestattet. Um eine höhere Sicherheit und Verfügbarkeit durch Georedundanz zu gewährleisten, wurde anschließend ein Backup-System in einem weitere TelemaxX-Rechenzentrum aufgebaut.

Im laufenden Betrieb stellt das Datacenter Maintenance Team die optimale Kühlung sicher und misst den individuellen Stromverbrauch des Unternehmens. Zusätzlich kann der Kunde nach Sicherheitsprüfungen und mit eigenem Schlüssel für die Racks, jederzeit innerhalb des Rechenzentrums Bearbeitungen vornehmen.

Kombination mit der Cloud

Nach dem Umzug in die TelemaxX-Rechenzentren strebte das Unternehmen eine effizientere Arbeitsweise an. In diesem Zusammenhang entstand die Planung für den Einsatz der TelemaxX Cloud als Infrastructure as a Service. Das Konzept beinhaltet die Nutzung von Colocation für kritische Daten und den Einsatz von Rechenressourcen sowie die Auslagerung von unkritischen Daten in die Cloud. Innerhalb dieses Konstruktes werden kritische Daten On-Premises gespeichert und verarbeitet. Zudem wird die DSGVO und weitere Regularien eingehalten. Bei der TelemaxX Cloud handelt es sich um Cloud made in Germany und dieses Kriterium war für den Kunden von entscheidender Bedeutung.

Vom bereits bestehenden Server-Rack des Unternehmens wurde eine Verbindung zur Cloud aufgebaut. Schrittweise begann die Migration und der Kunde erhielt einen eigenen Zugang zu unserem Self-Service-Portal. In diesem können jederzeit weitere Rechenressourcen (vCPU, vRAM und vStorage) erhöht oder gesenkt werden.

Fazit

Die beschriebene enge Zusammenarbeit zeigt, wie wichtig die Unterstützung und somit die gemeinsame technische Planung ist. Mithilfe eines georedundanten Konzepts ist die Verfügbarkeit jederzeit sichergestellt. Neben der Sicherheit kann auch die Skalierbarkeit durch den Einsatz DSGVO-konformer Cloud-Services enorm gesteigert, inklusive der fair.digital-Zertifizierung!

Mehr Informationen zu TelemaxX und den Services finden Sie hier.

Zustimmungs-Pop-ups verstoßen gegen Datenschutzgrundverordnung / Google Fonts auf Webseiten rechtswidrig

fair.digital e.V. begrüßt aktuelle Entscheidungen für mehr Transparenz und das Recht auf informationelle Selbstbestimmung

Karlsruhe 10.02.2022. Das als „Transparency & Consent Framework” (TCF) bekannte Zustimmungs-Popup-System ist auf über 80 Prozent der Webseiten in Europa nicht DSGVO-konform. Zu dieser Entscheidung kommen aktuell die Datenschutzbehörden der Europäischen Union. Auch die Einbindung von dynamischen Webinhalten von Google Fonts ist ohne Einwilligung der Besucher nach einem jüngsten Urteil des Landgerichts München rechtswidrig.

„Große Internetkonzerne bedrohen nach wie vor die digitale Souveränität von Bürgern und Unternehmen in Europa. Als Verein, der sich für den Erhalt der digitalen Grundrechte in Europa einsetzt, begrüßen wir sowohl die Entscheidung der europäischen Datenschutzbehörden als auch das jüngste Gerichtsurteil aus München ganz ausdrücklich, weil es die Grundrechte und -freiheiten von Millionen Bürgern in Europa und Deutschland schützen möchte”, so Martin Hubschneider, Vorsitzender des Vereins fair.digital aus Karlsruhe und Vorstand der CAS Software AG.

„Es kann nicht sein, dass große Internetkonzerne ohne eine wirkliche Zustimmung des Internetnutzers in großem Umfang personenbezogene Daten sammeln können, die womöglich in Profiling-Aktivitäten, Verhaltensprognosen und in eine daraus resultierende Überwachung der Bevölkerung münden. Wir fordern stattdessen Transparenz, Vertrauenswürdigkeit und Fairness beim Umgang mit sensiblen Daten der Bürgerinnen und Bürger”, so Martin Hubschneider weiter.

EU-Datenschutzbehörden stoppen Pop-up-Plage
In der Entscheidung vom 2. Februar 2022 stellen 28 EU-Datenschutzbehörden, angeführt von der belgischen Datenschutzbehörde als führende Aufsichtsbehörde, fest, dass der Branchenverband der Online-Werbebranche “IAB Europe” bei der Verarbeitung personenbezogener Daten im Zusammenhang mit seinem „Transparency and Consent Framework” (TCF) mehrfach gegen die DSGVO verstößt. Demnach sei nicht sichergestellt, dass personenbezogene Daten sicher und vertraulich behandelt werden. So etwa werde die Einwilligung nicht ordnungsgemäß eingeholt und keine Transparenz darüber hergestellt, was mit den Daten der jeweiligen Internetnutzer geschieht. Insgesamt wurden keine Maßnahmen ergriffen, die sicherstellen, dass die Datenverarbeitung im Einklang mit der DSGVO erfolgt.

Landgericht München: Übermittlung der IP-Adresse ohne explizite Zustimmung an Google rechtswidrig
Nach dem Urteil des Gerichts muss eine Webseiten-Betreiberin 100 Euro Schadensersatz entrichten, weil die IP-Adresse eines Nutzers ohne dessen Zustimmung über die Font-Library an Google übermittelt wurde. Die Entscheidung bezieht sich nicht auf Google Fonts, die vom eigenen Server ausgeliefert werden, sondern nur auf jene, die extern über Google-Server bereitgestellt werden. Der Verstoß führe dazu, so das Urteil des Landgerichts, dass der Kläger die Kontrolle über seine persönlichen Daten verliere.

Google Analytics verstößt gegen DSGVO
Sowohl die Entscheidung der europäischen Datenschützer als auch das Urteil des Münchner Landgerichts reiht sich ein in weitere Entscheidungen der jüngsten Vergangenheit. In einer wegweisenden Entscheidung hat die österreichische Datenschutzbehörde nun entschieden, dass die Nutzung von Google Analytics gegen die DSGVO verstößt. Bereits im Jahr 2020 entschied der Europäische Gerichtshof (EuGH), dass die Nutzung von US-Anbietern gegen die DSGVO verstößt, da US-Überwachungsgesetze US-Anbieter wie Google oder Facebook dazu verpflichten, persönliche Daten an US-Behörden zu übermitteln.