Rechtsgrundlage
Die Verarbeitung von Arbeitszeitdaten stützt sich auf die Durchführung des Beschäftigungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO, § 26 Abs. 1 BDSG) sowie auf die Erfüllung gesetzlicher Aufzeichnungspflichten (Art. 6 Abs. 1 lit. c DSGVO, u. a. ArbZG und MiLoG). Eine gesonderte Einwilligung ist dafür meist nicht erforderlich.
Grundsätze: Datensparsamkeit und Zweckbindung
Erhoben werden dürfen nur die Daten, die für die Zeiterfassung nötig sind — im Kern Beginn, Ende und Dauer der Arbeitszeit. Eine Zeiterfassung darf nicht zur verdeckten Verhaltens- oder Leistungskontrolle zweckentfremdet werden.
Beschäftigte sind transparent zu informieren (Art. 13 DSGVO), und die Daten sind nach Ablauf der Aufbewahrungsfristen zu löschen.
Standortdaten und GPS
Eine Standortabfrage ist heikel und nur zweckgebunden zulässig — etwa eine einmalige Prüfung beim Stempeln, um die Anwesenheit am Objekt zu bestätigen. Ein dauerhaftes Bewegungstracking von Beschäftigten ist grundsätzlich unzulässig.
ShiftScan erfasst den Standort nur einmalig beim Scan (sofern aktiviert) und beim Alleinarbeiter-Schutz ausschließlich im Alarmfall — kein laufendes Tracking; die Bilderkennung (OCR) läuft on-device.
Betriebsrat und Mitbestimmung
Die Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegt der Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG). Wo ein Betriebsrat besteht, ist er einzubinden.