Welche DSGVO-Anforderungen gelten bei der digitalen Zeiterfassung?

Die Pflicht zur Arbeitszeiterfassung ist spätestens seit dem Urteil des Bundesarbeitsgerichts aus dem Jahr 2022 in aller Munde. Seitdem beschäftigt viele Personalverantwortliche nicht nur die Frage, wie Arbeitszeiten erfasst werden sollen, sondern auch, welche datenschutzrechtlichen Anforderungen dabei einzuhalten sind. Denn wer digitale Arbeitszeiterfassung einführt, verarbeitet personenbezogene Daten – und genau hier greift die DSGVO mit einer Reihe von Vorgaben, die im Unternehmensalltag oft unterschätzt werden.

Digitale Zeitwirtschaft und Datenschutz sind kein Widerspruch, sondern lassen sich mit der richtigen Vorbereitung gut vereinbaren. Dieser Beitrag gibt Ihnen einen strukturierten Überblick über die wesentlichen DSGVO-Anforderungen bei der digitalen Zeiterfassung – von den rechtlichen Grundlagen bis zur praktischen Umsetzung.

Rechtsgrundlagen der Zeiterfassung im Überblick

Die digitale Arbeitszeiterfassung bewegt sich im Spannungsfeld mehrerer Rechtsquellen. Auf der einen Seite steht das Arbeitszeitgesetz (ArbZG), das Vorgaben zu Höchstarbeitszeiten, Ruhezeiten und Pausen enthält. Auf der anderen Seite regelt die DSGVO, wie personenbezogene Daten – also auch Arbeitszeitdaten – erhoben, gespeichert und verarbeitet werden dürfen.

Als Rechtsgrundlage für die Verarbeitung von Zeiterfassungsdaten kommt in der Regel Art. 6 Abs. 1 lit. c DSGVO in Betracht, da die Erfassung zur Erfüllung einer rechtlichen Verpflichtung erfolgt. Ergänzend greift § 26 BDSG, der die Datenverarbeitung im Beschäftigungsverhältnis spezifisch regelt. Wichtig ist dabei: Arbeitgeber müssen stets nachweisen können, auf welcher Grundlage sie welche Daten verarbeiten. Eine fehlende oder unklare Rechtsgrundlage kann zu Bußgeldern führen.

Welche Daten dürfen erfasst werden – und welche nicht

Grundsätzlich gilt das Prinzip der Datensparsamkeit: Es dürfen nur jene Daten erfasst werden, die für den jeweiligen Zweck tatsächlich erforderlich sind. Bei der Zeitwirtschaft sind das in der Regel Beginn und Ende der Arbeitszeit, Pausenzeiten sowie Abwesenheiten wie Urlaub oder Krankheit.

Problematisch wird es, wenn Systeme über den eigentlichen Zweck hinaus Daten erheben. Ein häufiges Beispiel: GPS-Tracking bei der mobilen Zeiterfassung im Außendienst. Standortdaten können zwar für die Zeiterfassung relevant sein, unterliegen aber besonderen datenschutzrechtlichen Anforderungen und bedürfen in der Regel einer gesonderten Rechtsgrundlage sowie einer transparenten Information der Beschäftigten. Ebenso sind biometrische Daten – etwa bei Fingerabdruck-Terminals – als besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO einzustufen und dürfen nur unter engen Voraussetzungen verarbeitet werden.

Grundregel: Was nicht zwingend erforderlich ist, sollte nicht erfasst werden. Das schützt Unternehmen vor unnötigen Risiken und schafft Vertrauen bei den Mitarbeitenden.

Transparenz- und Informationspflichten gegenüber Mitarbeitenden

Die DSGVO verlangt, dass betroffene Personen umfassend über die Verarbeitung ihrer Daten informiert werden. Das gilt selbstverständlich auch für Beschäftigte, deren Arbeitszeiten digital erfasst werden. Diese Information muss unter anderem den Zweck der Verarbeitung, die Rechtsgrundlage, die Speicherdauer sowie die Rechte der Betroffenen umfassen – und das in verständlicher Sprache.

Besonders relevant ist in diesem Zusammenhang das Recht auf Einsicht: Arbeitnehmerinnen und Arbeitnehmer haben das Recht, ihre erfassten Arbeitszeitdaten einzusehen. Wer eine digitale Zeitwirtschaft-Lösung einsetzt, sollte daher sicherstellen, dass Mitarbeitende entweder direkten Zugang zu ihren eigenen Daten haben oder diese auf Anfrage zeitnah erhalten können. Ein Self-Service-Portal, über das Beschäftigte ihre Zeitkonten und Abwesenheiten selbst einsehen können, erfüllt diese Anforderung auf elegante Weise.

Technische und organisatorische Maßnahmen für sichere Systeme

Art. 32 DSGVO verpflichtet Unternehmen, geeignete technische und organisatorische Maßnahmen (TOM) zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Für die digitale Arbeitszeiterfassung bedeutet das konkret: Zugriffsrechte müssen klar geregelt sein, Daten müssen verschlüsselt übertragen und gespeichert werden, und unbefugte Zugriffe müssen verhindert werden.

Wichtige technische Maßnahmen im Überblick

• Rollenbasierte Zugriffsrechte: Nur berechtigte Personen (z. B. HR, direkte Führungskräfte) dürfen Zeitdaten einsehen oder bearbeiten
• Verschlüsselte Datenübertragung, insbesondere bei mobiler Zeiterfassung oder cloudbasierten Lösungen
• Protokollierung von Zugriffen und Änderungen zur Nachvollziehbarkeit
• Regelmäßige Datensicherungen und definierte Löschfristen
• Hosting in einem zertifizierten Rechenzentrum in Deutschland, sofern keine eigene IT-Infrastruktur genutzt wird

Darüber hinaus empfiehlt sich eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Beschäftigten mit sich bringt – etwa beim Einsatz biometrischer Systeme oder bei umfangreichem Bewegungstracking.

Betriebsrat, Betriebsvereinbarung und Mitbestimmungsrechte

Wer in einem Unternehmen mit Betriebsrat eine neue Zeiterfassungslösung einführen möchte, muss das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG beachten. Danach hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen, die das Verhalten oder die Leistung der Arbeitnehmer überwachen können – und digitale Zeiterfassungssysteme fallen in der Regel darunter.

In der Praxis wird die Einführung eines solchen Systems daher häufig durch eine Betriebsvereinbarung geregelt. Diese legt unter anderem fest, welche Daten erfasst werden, wer Zugriff hat, wie lange die Daten gespeichert werden und welche Rechte die Beschäftigten haben. Eine sorgfältig ausgehandelte Betriebsvereinbarung schafft nicht nur Rechtssicherheit, sondern auch Akzeptanz bei den Mitarbeitenden. Unternehmen ohne Betriebsrat sollten entsprechende Regelungen in die Arbeitsverträge oder in eine interne Richtlinie aufnehmen.

Wichtig: Die Betriebsvereinbarung ersetzt nicht die Informationspflichten nach DSGVO, sondern ergänzt sie. Beide Ebenen müssen erfüllt sein.

DSGVO-konforme Zeiterfassung mit der Sage HR Suite umsetzen

Die beschriebenen Anforderungen zeigen: DSGVO-konforme Zeitwirtschaft ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Genau hier setzt die Zeitwirtschaft-Lösung der Sage HR Suite an, die wir als HRWare Consulting für mittelständische Unternehmen implementieren und betreuen.

Wir begleiten Sie bei der datenschutzkonformen Einführung und Konfiguration einer digitalen Zeitwirtschaft-Lösung – von der Analyse Ihrer bestehenden Prozesse bis zur laufenden Unterstützung nach dem Go-live. Das bieten wir Ihnen konkret:

• Rechtssichere Konfiguration: Rollenbasierte Zugriffsrechte, Löschfristen und Protokollierungsfunktionen werden von Beginn an korrekt eingerichtet
• Self-Service für Mitarbeitende: Über das integrierte Mitarbeiterportal können Beschäftigte ihre Zeitkonten, Überstunden und Abwesenheiten selbst einsehen – Informationspflichten werden so systemseitig unterstützt
• Modularer Einstieg: Die Sage HR Suite lässt sich modular aufbauen – Sie starten mit der Zeitwirtschaft und erweitern bei Bedarf um weitere Module wie Abwesenheitsmanagement oder die digitale Personalakte
• Hosting in Deutschland: Für Unternehmen, die keine eigene IT-Infrastruktur für Personaldaten betreiben möchten, bieten wir Hosting in einem TÜV-zertifizierten Rechenzentrum in Deutschland an
• Schulungen über die HRWare Akademie: Unsere eigene Akademie bietet praxisnahe Trainings – damit Ihr HR-Team die Lösung sicher und regelkonform nutzt

Möchten Sie Ihre Arbeitszeiterfassung DSGVO-konform digitalisieren und dabei auf einen erfahrenen Partner setzen? Sprechen Sie uns an – wir beraten Sie gerne unverbindlich zu den nächsten Schritten.