Darf der Dienstplan öffentlich aushängen? Welche Mitarbeiterdaten dürfen erfasst werden? Die DSGVO-Regeln für Ihre Schichtplanung.
Aus der Praxis: "Datenschutz im Dienstplan wird häufig als bürokratische Pflicht wahrgenommen. Tatsächlich geht es um den respektvollen Umgang mit Mitarbeiterdaten. Wenn Krankheitsgründe am schwarzen Brett hängen oder Pläne unkontrolliert über WhatsApp geteilt werden, leidet das Vertrauen im Team. Im Wettbewerb um Fachkräfte ist das ein erhebliches Risiko. Eine saubere Umsetzung schützt Daten und Teamgefühl gleichermaßen."
„Der Plan hängt doch schon ewig am schwarzen Brett!“ – diese Aussage fällt in der Beratungspraxis regelmäßig. In vielen Betrieben hat sich an der Verteilung von Dienstplänen seit den 90er-Jahren wenig geändert. Die Rechtslage hat sich jedoch deutlich gewandelt.
Seit Mai 2018 gilt die DSGVO. Dennoch bestehen in der Praxis weiterhin erhebliche Unsicherheiten. Darf der Plan noch aushängen? Wer darf ihn sehen? Und wie problematisch ist die WhatsApp-Gruppe tatsächlich? Im Folgenden ordnen wir die Sachlage praxisnah und ohne juristisches Fachvokabular ein.
Jeder Dienstplan enthält personenbezogene Daten: Namen, Arbeitszeiten, Einsatzorte und insbesondere Abwesenheiten. Sobald diese Daten verarbeitet werden, also notiert, gespeichert, verteilt oder ausgehängt werden, greift die Datenschutz-Grundverordnung.
Das gilt für jeden Betrieb. Ob Sie einen Sicherheitsdienst führen, einen Gastronomiebetrieb leiten oder in der Pflege planen: Die Verantwortung für die Daten des Teams liegt bei Ihnen.
Das stimmt nicht. Sie dürfen den Plan aushängen, allerdings nicht an jedem Ort. Ein Aushang im Pausenraum, der ausschließlich vom Team betreten wird, ist zulässig. Der Plan am Empfang, wo Gäste oder Kunden Einsicht nehmen können, ist nicht zulässig.
Begründung für den Pausenraum: Die Datenverarbeitung ist zur Durchführung des Arbeitsverhältnisses erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Ihre Mitarbeiter müssen wissen, wer wann und wo arbeitet, um den Betrieb aufrechtzuerhalten.
Ebenfalls nicht zutreffend. Für die übliche Erstellung und Verteilung des Plans innerhalb des Teams ist keine gesonderte Einwilligung erforderlich. Die Erlaubnis ergibt sich aus dem Arbeitsvertrag. Dasselbe gilt für die Zeiterfassung, die nach dem BAG-Urteil ohnehin verpflichtend ist.
Eine Einwilligung wird erst dann erforderlich, wenn Sie Daten verarbeiten, die für die Arbeit nicht zwingend notwendig sind, etwa die Aufnahme der privaten Handynummer in den Plan zur Schichttausch-Kommunikation.
Auch das stimmt nicht. Die DSGVO greift bereits bei nicht-automatisierter Verarbeitung, sobald Daten in einem Dateisystem abgelegt werden (Art. 2 Abs. 1 DSGVO). Der Leitz-Ordner im Büro und der Zettel am schwarzen Brett sind genauso DSGVO-relevant wie eine Cloud-Lösung.
Die Faustregel: Erfassen Sie nur das, was für die Organisation zwingend erforderlich ist.
Zulässig:
Nicht zulässig:
In vielen Betrieben wird der Plan als Foto per WhatsApp verschickt. Aus Datenschutz-Sicht ist das jedoch problematisch:
Nutzen Sie stattdessen ein digitales Mitarbeiter-Portal. Jeder sieht ausschließlich die für ihn relevanten Informationen, private Nummern müssen nicht offengelegt werden, und Sie behalten die volle Kontrolle.
Wenn Sie auf eine Software-Lösung umstellen, prüfen Sie diese drei Punkte:
Wenn ein Anbieter Ihre Pläne in einer Cloud speichert, ist ein Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO zwingend erforderlich. Ohne diesen Vertrag besteht ein erhebliches rechtliches Risiko. Seriöse Anbieter stellen den AV-Vertrag standardmäßig zur Verfügung.
Die Daten sollten in der EU, idealerweise in Deutschland gespeichert sein. Prüfen Sie auch das Kleingedruckte: Manche Anbieter nutzen EU-Server, lagern Backups jedoch in den USA.
Datensparsamkeit ist entscheidend. Ein Auszubildender benötigt nicht denselben Einblick wie ein Disponent:
Die DSGVO verlangt eine Speicherbegrenzung. Eine pauschale Aufbewahrung ohne Anlass ist nicht zulässig.
Hier sind die wichtigsten Fristen für Sie:
| Was? | Wie lange? | Warum (Rechtsgrundlage)? |
|---|---|---|
| Arbeitszeitnachweise (über 8h/Tag) | 2 Jahre | § 16 Abs. 2 ArbZG |
| Lohnrelevante Zeitdaten | 6 Jahre | § 257 HGB |
| Sozialversicherungsdaten | 2 Jahre | SchwarzArbG |
| Minijob-Zeiten | 2 Jahre | SchwarzArbG |
Nach Ablauf dieser Fristen müssen die Daten gelöscht oder vernichtet werden.
Die Strafen für DSGVO-Verstöße können erheblich ausfallen (theoretisch bis zu 20 Mio. Euro). Für kleine und mittlere Betriebe sind Bußgelder im Bereich von 5.000 bis 20.000 Euro realistisch. Hinzu kommen mögliche Abmahnungen durch Mitarbeiteranwälte sowie ein erheblicher Imageschaden.
Datenschutz ist nicht nur eine behördliche Pflichtübung, sondern auch ein Zeichen der Wertschätzung gegenüber dem Team. Die folgende Checkliste hilft bei der Umsetzung:
Dienstify hostet alle Daten sicher in Deutschland, stellt den AV-Vertrag bereit und bietet ein durchgängiges Berechtigungskonzept. Erfahren Sie mehr über sichere Dienstplanung.
Dienstify automatisiert Schichtplanung, Zeiterfassung, Urlaub und Lohnvorbereitung in einem Tool. Modern, ohne Setup-Marathon, monatlich kündbar.
Preise und Pakete ansehen