DSGVO-konforme Zeiterfassung: Was Arbeitgeber wissen müssen

Seit dem EuGH-Urteil von 2019 und dem BAG-Urteil von 2022 sind Arbeitgeber verpflichtet, die Arbeitszeiten ihrer Mitarbeiter zu erfassen. Doch wie verbindet man diese Pflicht mit den strengen Anforderungen der DSGVO? In diesem Artikel erfahren Sie alles Wichtige.

Die doppelte Herausforderung

Unternehmen stehen vor zwei parallelen Anforderungen:

1. Arbeitszeiterfassungspflicht: Das BAG hat 2022 entschieden, dass Arbeitgeber ein System zur Erfassung der Arbeitszeiten einführen müssen. Mehr dazu lesen Sie in unserem Überblick zur Zeiterfassungspflicht in Deutschland.

2. Datenschutz: Die DSGVO verlangt den sorgsamen Umgang mit personenbezogenen Daten, und Arbeitszeiten sind personenbezogene Daten.

Welche Daten dürfen erfasst werden?

Zulässige Daten

Im Rahmen der Zeiterfassung dürfen Sie erfassen:

• Beginn und Ende der täglichen Arbeitszeit
• Pausenzeiten
• Überstunden
• Projekt- oder Kundenzuordnung (wenn betrieblich erforderlich)
• Standort bei mobilen Mitarbeitern (mit Einschränkungen, lesen Sie dazu unseren Artikel GPS-Tracking bei Mitarbeitern: Was ist erlaubt?)

Unzulässige Daten

Nicht erfasst werden dürfen:

• Detaillierte Tätigkeitsprotokolle
• Private Pauseninhalte
• Leistungsmessungen ohne sachlichen Grund
• Dauerhaften Standortverlauf

Die 7 DSGVO-Grundsätze bei der Zeiterfassung

1. Rechtmäßigkeit

Sie brauchen eine Rechtsgrundlage für die Verarbeitung. Bei der Zeiterfassung ist das:

• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

2. Zweckbindung

Erhobene Zeitdaten dürfen nur für festgelegte Zwecke verwendet werden:

• ✅ Lohnabrechnung
• ✅ Nachweis gegenüber Behörden
• ✅ Projektabrechnung
• ❌ Verdeckte Leistungskontrolle
• ❌ Erstellung von Persönlichkeitsprofilen

3. Datenminimierung

Erfassen Sie nur die wirklich notwendigen Daten. Fragen Sie sich:

• Brauche ich diese Information wirklich?
• Gibt es eine weniger invasive Alternative?
• Kann ich mit weniger Daten auskommen?

4. Richtigkeit

Die erfassten Daten müssen korrekt sein. Das bedeutet:

• Mitarbeiter sollten ihre Zeiten prüfen können
• Korrekturen müssen möglich sein
• Fehlerhafte Daten müssen berichtigt werden

5. Speicherbegrenzung

Daten dürfen nur so lange gespeichert werden, wie notwendig (Art. 5 Abs. 1 lit. e DSGVO). Für Zeit- und Lohndaten schreibt das Gesetz Mindestfristen vor, für GPS-Daten nicht:

Die Fristen für Arbeitszeit und Lohnkonto gelten nicht für den Standort, an dem gestempelt wurde. Legen Sie für GPS-Daten deshalb eine eigene Frist fest und schreiben Sie sie in Ihr Verarbeitungsverzeichnis, zum Beispiel so lange, wie ein Auftraggeber eine Leistung noch beanstanden kann. In Crew Active bleiben die GPS-Punkte bei der erfassten Zeit des Einsatzes gespeichert, bis diese Zeit gelöscht wird oder wir nach Vertragsende Ihre Daten löschen. Löschen Sie eine einzelne Zeit, liegt eine Kopie noch 90 Tage in einem Archiv, damit sich ein versehentliches Löschen rückgängig machen lässt; mit der Löschung nach Vertragsende wird auch dieses Archiv gelöscht.

6. Integrität und Vertraulichkeit

Sie müssen technische Maßnahmen ergreifen:

• Verschlüsselung der Daten
• Zugriffskontrollen
• Sichere Passwörter
• Regelmäßige Backups

7. Rechenschaftspflicht

Sie müssen die Einhaltung nachweisen können:

• Dokumentierte Prozesse
• Verarbeitungsverzeichnis
• Datenschutz-Folgenabschätzung (wenn nötig)

DSGVO-konforme Zeiterfassung: Worauf Arbeitgeber besonders achten müssen

Die häufigste Frage in Beratungsgesprächen lautet: Worauf sollte ich als Arbeitgeber bei DSGVO-konformer Zeiterfassung besonders achten? Die Antwort lässt sich auf fünf zentrale Prüfpunkte verdichten:

1. Rechtsgrundlage klar benennen: Dokumentieren Sie schriftlich, auf welche Rechtsgrundlage (Art. 6 DSGVO) Sie sich stützen. Gerichte und Aufsichtsbehörden erwarten diese Dokumentation, nicht das bloße Bestehen einer Grundlage.
2. Zweckbindung einhalten: Zeitdaten dürfen NICHT für Leistungskontrollen, Produktivitätsranking oder verhaltensbezogene Abmahnungen herangezogen werden. Jede Zweckerweiterung braucht eine eigene Rechtsgrundlage oder Einwilligung.
3. Serverstandort prüfen: Nutzen Sie einen US-Anbieter (AWS, Google Cloud, Microsoft), sind Sie seit Schrems II zusätzlich zu Standardvertragsklauseln und einer Transfer Impact Assessment verpflichtet. Server in Deutschland oder der EU vermeiden dieses Problem vollständig.
4. Betriebsrat einbeziehen: In mitbestimmten Betrieben ist die Einführung eines Zeiterfassungssystems nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Eine ohne Betriebsrat eingeführte Lösung ist rechtlich angreifbar.
5. AVV-Vertrag abschließen: Bei jeder externen Software ist ein schriftlicher Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht. Ohne AVV verarbeiten Sie Daten unzulässig, unabhängig davon, wie gut die Software technisch ist.

DSGVO-konforme Zeiterfassung und die Frage des Serverstandorts

Seit dem Schrems-II-Urteil (EuGH, 2020) ist die Übertragung personenbezogener Daten in die USA stark eingeschränkt. Das betrifft Zeiterfassungssoftware unmittelbar, denn viele bekannte Anbieter hosten auf AWS, Google Cloud oder Azure mit US-Mutterkonzern. Deutsche Unternehmen, die solche Anbieter nutzen, müssen zusätzliche Schutzmaßnahmen umsetzen:

• Transfer Impact Assessment (TIA) für jeden Drittland-Transfer
• Standardvertragsklauseln (SCC) als Transfer-Grundlage
• Technische Schutzmaßnahmen (Ende-zu-Ende-Verschlüsselung, Pseudonymisierung)

Der schnellere Weg: einen Anbieter wählen, der in der EU hostet und jeden Dienst außerhalb der EU offen benennt. Dann beschränkt sich die Drittland-Frage auf wenige Zusatzfunktionen, die Sie gezielt prüfen können. Worauf Sie dabei konkret achten sollten:

• Rechenzentrum-Standort im Vertrag oder AVV ausdrücklich genannt
• Kein Backup-Transfer in Drittländer
• Vollständige Liste der Sub-Auftragsverarbeiter, für Dienste in Drittländern mit Garantie (z. B. EU-Standardvertragsklauseln)
• Vertragspartner mit Sitz in der EU, nicht eine US-Tochter

Crew Active ordnet sich hier so ein: Ihre Kunden-, Mitarbeiter- und Zeitdaten liegen in einem Rechenzentrum in der EU, Vertragspartner ist run4dev mit Sitz in Regensburg, und einen AVV erhalten Sie auf Anfrage, ohne Aufpreis. Für einzelne Zusatzfunktionen (Push-Benachrichtigungen, Kartenbilder und KI-Auswertungen) setzen wir benannte Dienstleister ein, die teils außerhalb der EU verarbeiten; sie sind in der Datenschutzerklärung aufgeführt.

Mitbestimmung des Betriebsrats bei der Einführung einer Zeiterfassung

Wenn in Ihrem Betrieb ein Betriebsrat besteht, ist die Einführung oder wesentliche Änderung eines technischen Zeiterfassungssystems mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Das gilt insbesondere für:

• Einführung einer neuen Software oder App
• Wechsel von manueller auf digitale Erfassung
• Hinzufügen einer GPS- oder Geofencing-Funktion
• Erweiterung um biometrische Erfassung (Fingerabdruck, Gesicht)

In der Praxis bedeutet das: Sie brauchen eine Betriebsvereinbarung mit dem Betriebsrat, bevor das System produktiv geht. Diese regelt typischerweise:

• Welche Daten konkret erfasst werden
• Wer Zugriff auf welche Daten hat
• Wie lange gespeichert wird
• Welche Auswertungen zulässig sind (und welche nicht)
• Wie der Betriebsrat laufend informiert wird

Praxis-Tipp: Ziehen Sie den Betriebsrat früh ein, idealerweise bei der Anbieterauswahl. Das verhindert späten Widerstand und beschleunigt die Einführung.

Sonderfälle: Biometrie, Cloud-Anbieter und GPS-Tracking

Biometrische Zeiterfassung (Fingerabdruck, Gesichtserkennung)

Biometrische Daten gelten als besondere Kategorien nach Art. 9 DSGVO. Ihre Verarbeitung ist nur ausnahmsweise zulässig, typischerweise nur mit ausdrücklicher, freiwilliger Einwilligung. Im Arbeitsverhältnis ist “freiwillig” aufgrund des Abhängigkeitsverhältnisses kritisch zu bewerten. Wenn eine einfache PIN-, Karten- oder App-Lösung dieselbe Funktion erfüllt, ist die biometrische Erfassung nicht verhältnismäßig und damit nicht zulässig. Aufsichtsbehörden haben in mehreren Fällen bereits Bußgelder verhängt.

GPS-Tracking und Geofencing

GPS-Daten sind in der Regel keine besondere Datenkategorie, erfordern aber hohe Sorgfalt. Zulässig ist GPS-Erfassung typischerweise nur:

• Während der Arbeitszeit, am besten nur als einzelner Punkt beim Stempeln (Start, Pause, Weiter oder Stop); während der Pause selbst und nach Feierabend wird nichts aufgezeichnet
• Mit klar definiertem Zweck (Nachweis Einsatzort, Routenplanung)
• Mit Information vorab: Die Mitarbeiter wissen, wann und wozu ihr Standort erfasst wird
• Mit festgelegter Speicherdauer: nur so lange, wie der Zweck es verlangt (siehe Speicherbegrenzung oben)

Mehr dazu in unserem Artikel zum GPS-Tracking von Mitarbeitern.

Cloud-Anbieter aus den USA

Wie oben beschrieben: möglich, aber aufwendig. Für den Normalfall empfehlen wir einen Anbieter mit Rechenzentrum in der EU. Bei bestehenden US-Verträgen: TIA durchführen, SCC ergänzen, Verschlüsselung sicherstellen, und den Wechsel perspektivisch einplanen.

Praktische Umsetzung

Verarbeitungsverzeichnis erstellen

Dokumentieren Sie Ihre Zeiterfassung im Verarbeitungsverzeichnis:

Verarbeitungstätigkeit: Arbeitszeiterfassung
Zweck: Erfüllung der Arbeitszeiterfassungspflicht, Lohnabrechnung
Kategorien betroffener Personen: Mitarbeiter
Kategorien von Daten: Arbeitszeiten, Pausenzeiten, ggf. Standortpunkte beim Stempeln
Löschfristen: Arbeitszeitnachweise nach § 16 Abs. 2 ArbZG und § 17 MiLoG
  mindestens 2 Jahre, Lohnkonto bis Ende des 6. Kalenderjahres nach der
  letzten Lohnzahlung (§ 41 EStG), Standortpunkte nach eigener Frist (Zweck)
Technische Maßnahmen: Verschlüsselung, Zugriffskontrollen

Informationspflichten erfüllen

Informieren Sie Ihre Mitarbeiter gemäß Art. 13 DSGVO über:

1. Verantwortlicher: Wer ist für die Datenverarbeitung verantwortlich?
2. Zweck: Wozu werden die Daten erhoben?
3. Rechtsgrundlage: Auf welcher Basis?
4. Empfänger: Wer erhält die Daten?
5. Speicherdauer: Wie lange werden Daten gespeichert?
6. Betroffenenrechte: Welche Rechte haben Mitarbeiter?

Auftragsverarbeitung regeln

Nutzen Sie eine externe Software? Dann brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter. Dieser regelt:

• Weisungsgebundenheit
• Technische Maßnahmen
• Subunternehmer
• Löschung nach Vertragsende

Checkliste: Ist Ihre Zeiterfassung DSGVO-konform?

✅ Rechtsgrundlage dokumentiert?

✅ Mitarbeiter informiert?

✅ Nur notwendige Daten erfasst?

✅ Zugriffsrechte definiert?

✅ Löschfristen festgelegt?

✅ Technische Sicherheit gewährleistet?

✅ AVV mit Softwareanbieter geschlossen?

✅ Verarbeitungsverzeichnis aktualisiert?

✅ Betroffenenrechte sichergestellt?

✅ Datenschutzbeauftragter eingebunden?

Was ist der beste Anbieter für DSGVO-konforme Zeiterfassung?

Die Antwort hängt weniger vom Markennamen ab als von vier überprüfbaren Kriterien:

1. Serverstandort Deutschland/EU: Übermittlungen in Drittländer nur mit Garantie (Angemessenheitsbeschluss oder EU-Standardvertragsklauseln) und offen benannt
2. AVV ohne Hürden: der Anbieter schließt den Auftragsverarbeitungsvertrag ohne Aufpreis ab, statt ihn mühsam verhandeln zu lassen
3. Löschung zugesichert: Daten werden auf Weisung und nach Vertragsende gelöscht, schriftlich zugesichert
4. Granulare Zugriffsrechte: nicht jeder Vorgesetzte sieht alle Daten aller Mitarbeiter

Prüfen Sie jeden Anbieter gegen diese vier Punkte: wer eines davon nicht schriftlich zusichern kann, scheidet aus. Einen Überblick über gängige Anbieter finden Sie in unserem Vergleich. Speziell für Reinigungsfirmen haben wir sieben Apps im Gebäudereinigung App Vergleich 2026 verglichen. Wie Crew Active dazu steht, zeigt der folgende Abschnitt.

Crew Active: DSGVO-Konformität eingebaut

Bei Crew Active haben wir Datenschutz von Anfang an mitgedacht:

Entwickelt in Deutschland

• Server in einem Rechenzentrum in der EU
• Vertragspartner mit Sitz in Deutschland (run4dev, Regensburg)
• Support in deutscher Sprache

Datenschutz by Design

• Nur notwendige Daten werden erfasst
• Löschung Ihrer Daten auf Weisung und nach Vertragsende
• Granulare Zugriffsrechte
• Verschlüsselte Datenübertragung

Dokumentation für Ihre Nachweispflichten

• Auftragsverarbeitungsvertrag auf Anfrage, ohne Aufpreis
• Unterstützung bei Informationspflichten
• Exportfunktionen für Betroffenenrechte

Fazit

DSGVO-konforme Zeiterfassung ist kein Hexenwerk, erfordert aber bewusstes Handeln. Mit der richtigen Software und durchdachten Prozessen erfüllen Sie sowohl die Erfassungspflicht als auch den Datenschutz.

Testen Sie Crew Active: GPS-Zeiterfassung, die Datenschutz ernst nimmt: Standort nur beim Stempeln. 1 Monat kostenlos, ohne Risiko.

Häufige Fragen