Darf der Dienstplan öffentlich aushängen? Welche Mitarbeiterdaten dürfen erfasst werden? Die DSGVO-Regeln für Ihre Schichtplanung – verständlich erklärt mit Praxis-Checkliste.
"Der Dienstplan hängt doch schon immer am schwarzen Brett." Diesen Satz hören wir oft. Und ja, in vielen Betrieben hat sich an der Art, wie Dienstpläne geteilt werden, seit Jahrzehnten nichts geändert. An der Rechtslage aber schon.
Die DSGVO gilt seit Mai 2018. Trotzdem herrscht in den meisten Schichtbetrieben Unsicherheit: Was darf im Dienstplan stehen? Wer darf ihn sehen? Und was passiert, wenn der Dienstplan per WhatsApp an alle geht?
Jeder Dienstplan enthält personenbezogene Daten im Sinne der DSGVO: Namen, Arbeitszeiten, Einsatzorte, Abwesenheiten. Sobald diese Daten verarbeitet werden (also erstellt, gespeichert, weitergegeben oder veröffentlicht), greifen die Regeln der Datenschutz-Grundverordnung.
Das betrifft jeden Betrieb, egal wie groß und in welcher Branche. Ob Sicherheitsdienst, Gastronomie oder Pflege: Wer einen Dienstplan erstellt, verarbeitet personenbezogene Daten.
Falsch. Der Dienstplan darf aushängen, aber nicht überall und nicht mit allen Informationen. Ein Aushang im Personalraum, der nur für die betroffenen Mitarbeiter zugänglich ist, ist zulässig. Der Dienstplan am Empfang, wo auch Kunden vorbeigehen, ist es nicht.
Die Rechtsgrundlage: Die Verarbeitung ist zur Durchführung des Arbeitsverhältnisses erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Mitarbeiter müssen schließlich wissen, wer wann arbeitet, um den Betrieb zu organisieren.
Falsch. Für die Erstellung und Veröffentlichung des Dienstplans benötigen Sie keine Einwilligung der Mitarbeiter. Die Rechtsgrundlage ergibt sich aus dem Arbeitsverhältnis selbst. Das gilt auch für die Zeiterfassung, die seit dem BAG-Beschluss 2022 gesetzliche Pflicht ist.
Eine Einwilligung wird erst nötig, wenn Sie Daten verwenden, die über das betrieblich Erforderliche hinausgehen, etwa private Telefonnummern im Plan.
Falsch. Die DSGVO gilt auch für nicht-automatisierte Verarbeitung, wenn die Daten in einem Dateisystem gespeichert werden (Art. 2 Abs. 1 DSGVO). Ein Ordner mit Dienstplänen im Büro ist ein Dateisystem. Ein Aushang am schwarzen Brett ist eine Veröffentlichung. Beides unterliegt der DSGVO.
Die Faustregel: Nur das, was für die Arbeitsorganisation erforderlich ist.
Viele Betriebe verschicken den Dienstplan über WhatsApp-Gruppen. Verbreitet? Ja. Problematisch? Auch ja:
Die bessere Alternative: Ein digitales Mitarbeiter-Portal, in dem jeder Mitarbeiter nur seinen eigenen Plan sieht. Kein App-Download nötig, keine Gruppenchats, volle Kontrolle über die Daten.
Wer eine Dienstplan-Software nutzt, muss drei Dinge beachten:
Speichert Ihr Software-Anbieter Daten in der Cloud, verarbeitet er personenbezogene Daten in Ihrem Auftrag. Dafür brauchen Sie einen AV-Vertrag nach Art. 28 DSGVO. Ohne diesen Vertrag ist die Nutzung datenschutzwidrig, egal wie sicher die Software technisch ist.
Seriöse Anbieter liefern den AV-Vertrag von sich aus mit. Müssen Sie erst danach fragen? Kein gutes Zeichen.
Personenbezogene Daten müssen laut DSGVO in der EU/EWR verarbeitet werden, oder es braucht ein vergleichbares Schutzniveau. Hosting in Deutschland ist der sicherste Weg. Schauen Sie aber auch auf die Subdienstleister: Manche Anbieter hosten zwar in der EU, nutzen aber US-basierte Dienste für Backups oder Analysen.
Nicht jeder muss alles sehen. Ein sauberes Rollenmodell regelt das:
Das Prinzip der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verlangt, dass nur die Daten zugänglich sind, die für die jeweilige Aufgabe erforderlich sind.
Dienstpläne dürfen nicht ewig aufbewahrt werden. Die wichtigsten Fristen:
| Datenart | Aufbewahrungsfrist | Rechtsgrundlage |
|---|---|---|
| Arbeitszeitnachweise (über 8h/Tag) | 2 Jahre | § 16 Abs. 2 ArbZG |
| Lohnrelevante Zeitdaten | 6 Jahre | § 257 HGB |
| Sozialversicherungsrechtliche Daten | 2 Jahre | SchwarzArbG |
| Minijob-Zeitnachweise | 2 Jahre | SchwarzArbG |
Nach Ablauf der Fristen müssen die Daten gelöscht werden. "Wir heben alles auf, sicher ist sicher" ist kein zulässiges Konzept. Die DSGVO kennt den Grundsatz der Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck erforderlich sind.
DSGVO und Bundesdatenschutzgesetz gelten bundesweit. Für private Arbeitgeber gibt es keine landesspezifischen Abweichungen. Unterschiedlich ist nur die zuständige Aufsichtsbehörde je nach Bundesland:
Bei Unsicherheiten können Sie sich kostenlos an Ihre zuständige Aufsichtsbehörde wenden. Die Beratung ist vertraulich und hat keine negativen Konsequenzen.
Für öffentliche Arbeitgeber (Kommunen, Landkreise, öffentliche Krankenhäuser) können zusätzlich die jeweiligen Landesdatenschutzgesetze gelten, in NRW etwa das DSG NRW.
Nutzen Sie diese Checkliste als Selbsttest:
Die DSGVO sollten Sie nicht unterschätzen. Verstöße werden geahndet:
Die gute Nachricht: Die meisten Verstöße lassen sich leicht vermeiden. Wer die Grundregeln kennt und ein ordentliches System nutzt, ist auf der sicheren Seite.
Datenschutz ist Pflicht, klar. Aber auch ein Signal an Ihr Team. Wer die Daten seiner Mitarbeiter schützt, zeigt Respekt. Und wer den Dienstplan über ein professionelles System teilt statt über WhatsApp, sagt damit: Wir nehmen euch ernst.
Bei Fachkräftemangel und hoher Fluktuation in Schichtbetrieben kann genau das den Unterschied machen. Mitarbeiter, die ihrem Arbeitgeber vertrauen, bleiben länger.
Dienstify hostet alle Daten in Deutschland, stellt einen AV-Vertrag bereit und bietet ein rollenbasiertes Berechtigungssystem. Mehr zur Sicherheit bei Dienstify.
