Seit dem Urteil des Europäischen Gerichtshofs zur Arbeitszeiterfassung und den daraus resultierenden gesetzlichen Entwicklungen in Deutschland steht das Thema Zeiterfassung ganz oben auf der Agenda vieler Personalverantwortlicher. Gleichzeitig wächst der Wunsch nach flexiblen, mobilen Lösungen: Eine mobile Zeiterfassungs-App ermöglicht es Mitarbeitenden, ihre Arbeitszeiten bequem per Smartphone zu erfassen – unabhängig davon, ob sie im Büro, im Homeoffice oder beim Kunden sind. Doch genau dieser Komfort wirft wichtige datenschutzrechtliche Fragen auf, die Unternehmen vor der Einführung sorgfältig klären sollten.

Denn eine App, die Arbeitszeiten erfasst, verarbeitet personenbezogene Daten – und unterliegt damit automatisch den Anforderungen der DSGVO. Wer diese Regeln kennt und von Anfang an berücksichtigt, schützt nicht nur seine Mitarbeitenden, sondern auch das Unternehmen vor empfindlichen Bußgeldern und Reputationsschäden. Dieser Artikel gibt einen strukturierten Überblick über die wichtigsten Datenschutzanforderungen beim Einsatz einer Zeiterfassungs-App.

DSGVO-Anforderungen an die mobile Zeiterfassung

Jede mobile Zeiterfassung, bei der Mitarbeiterdaten verarbeitet werden, fällt unter den Anwendungsbereich der Datenschutz-Grundverordnung. Das gilt unabhängig davon, ob die App auf einem firmeneigenen oder privaten Endgerät genutzt wird. Entscheidend ist, dass die Verarbeitung personenbezogener Daten einer klaren Rechtsgrundlage bedarf – in der Regel ist dies das berechtigte Interesse des Arbeitgebers gemäß Art. 6 Abs. 1 lit. f DSGVO oder, bei tarifvertraglichen Regelungen, auch § 26 BDSG.

Darüber hinaus gelten unter anderem folgende Grundsätze, die bei der Einführung einer mobilen Zeiterfassungslösung zu beachten sind, wobei sich die gesetzlichen Anforderungen jederzeit weiterentwickeln können:

  • Datensparsamkeit: Es dürfen nur die Daten erhoben werden, die für die Zeiterfassung tatsächlich notwendig sind. Standortdaten etwa sind nur in begründeten Ausnahmefällen zulässig.
  • Zweckbindung: Erfasste Daten dürfen ausschließlich für den vereinbarten Zweck genutzt werden – also die Dokumentation der Arbeitszeit.
  • Speicherbegrenzung: Zeiterfassungsdaten sind nur so lange aufzubewahren, wie es gesetzliche Aufbewahrungsfristen erfordern.
  • Transparenz: Mitarbeitende müssen darüber informiert werden, welche Daten zu welchem Zweck erfasst werden.

Besondere Vorsicht ist geboten, wenn die App Zusatzfunktionen wie GPS-Tracking oder biometrische Authentifizierung nutzt. Solche Funktionen erhöhen die datenschutzrechtliche Sensibilität erheblich und erfordern in der Regel eine separate Rechtsgrundlage sowie eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO.

Technische und organisatorische Schutzmaßnahmen für App-basierte Zeiterfassung

Neben den rechtlichen Grundlagen verlangt die DSGVO auch konkrete technische und organisatorische Maßnahmen (TOMs), um die Sicherheit der verarbeiteten Daten zu gewährleisten. Diese sind nicht optional, sondern Pflicht – und sollten bereits bei der Auswahl der Zeiterfassungslösung berücksichtigt werden.

Technische Schutzmaßnahmen

Zu den wesentlichen technischen Anforderungen gehören unter anderem die Verschlüsselung der Datenübertragung zwischen App und Server, eine sichere Authentifizierung (z. B. durch Zwei-Faktor-Authentifizierung) sowie ein rollenbasiertes Zugriffskonzept, das sicherstellt, dass nur berechtigte Personen Einblick in die Zeitdaten erhalten. Die Daten sollten idealerweise auf Servern in Deutschland oder der EU gespeichert werden, um den Anforderungen der DSGVO vollständig zu entsprechen.

Organisatorische Maßnahmen

Auf organisatorischer Ebene ist zunächst zu klären, ob der App-Anbieter als Auftragsverarbeiter im Sinne des Art. 28 DSGVO tätig wird. In diesem Fall ist ein Auftragsverarbeitungsvertrag (AVV) zwingend erforderlich. Außerdem sollten interne Richtlinien zur Nutzung der App erstellt und Mitarbeitende entsprechend geschult werden. Moderne Zeitwirtschaftslösungen bieten häufig bereits integrierte Funktionen, die diese Anforderungen technisch unterstützen.

Zeit im Griff, Aufwand im Blick
Digitale Zeiterfassung, automatische Zuschlagsberechnung und volle Rechtssicherheit.

Betriebsrat, Einwilligung und Transparenzpflichten

Bevor eine mobile Zeiterfassungs-App im Unternehmen eingeführt wird, müssen verschiedene Beteiligte einbezogen werden – allen voran der Betriebsrat, sofern vorhanden. Gemäß § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein zwingendes Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Eine Zeiterfassungs-App fällt in der Regel darunter.

Das bedeutet: Ohne eine entsprechende Betriebsvereinbarung darf die App nicht eingeführt werden. In dieser Vereinbarung sollten unter anderem der Umfang der erfassten Daten, die Zugriffsrechte, die Aufbewahrungsfristen und die Löschkonzepte geregelt sein, wobei auch hier gilt, dass sich die rechtlichen Anforderungen weiterentwickeln können und die Vereinbarung regelmäßig überprüft werden sollte.

Unabhängig vom Betriebsrat sind Arbeitgeber verpflichtet, alle Mitarbeitenden transparent über die Datenverarbeitung zu informieren. Dies geschieht üblicherweise über eine Datenschutzerklärung zur App, die in verständlicher Sprache erklärt, welche Daten zu welchem Zweck verarbeitet werden, wie lange sie gespeichert bleiben und welche Rechte die Betroffenen haben. Eine pauschale Einwilligung der Mitarbeitenden ersetzt diese Informationspflicht nicht – und ist im Arbeitsverhältnis aufgrund des Machtgefälles ohnehin nur eingeschränkt als Rechtsgrundlage geeignet.

Häufige Datenschutzfehler bei der App-Einführung vermeiden

In der Praxis zeigen sich bei der Einführung mobiler Zeiterfassungslösungen immer wieder ähnliche Datenschutzfehler, die sich mit etwas Vorbereitung leicht vermeiden lassen.

  • Kein AVV mit dem Anbieter: Viele Unternehmen vergessen, einen Auftragsverarbeitungsvertrag abzuschließen – obwohl dies bei jeder SaaS-Lösung Pflicht ist.
  • Fehlende oder unvollständige Datenschutzinformation: Mitarbeitende werden nicht oder nur unzureichend über die Datenverarbeitung informiert.
  • Betriebsrat nicht einbezogen: Die Einführung erfolgt ohne Mitbestimmungsverfahren, was im Nachhinein zu erheblichen rechtlichen Problemen führen kann.
  • Unnötige Datenerhebung: Funktionen wie permanentes GPS-Tracking werden aktiviert, ohne dass dafür eine Rechtsgrundlage besteht.
  • Kein Löschkonzept: Zeiterfassungsdaten werden auf unbestimmte Zeit gespeichert, ohne dass klare Löschfristen definiert sind.

Ein weiterer häufiger Fehler ist die Nutzung von Apps, deren Anbieter Daten außerhalb der EU speichern, ohne dass geeignete Garantien wie Standardvertragsklauseln vorliegen. Wer diese Punkte von Anfang an im Blick hat, vermeidet nicht nur Bußgelder, sondern schafft auch Vertrauen bei den Mitarbeitenden – was letztlich die Akzeptanz der neuen Lösung erhöht.

Datenschutzkonforme Zeiterfassung mit der Sage HR Suite

Das Thema Datenschutz bei der Zeiterfassung ist komplex, aber mit der richtigen Lösung und einem erfahrenen Partner gut handhabbar. Das Zeitwirtschaftsmodul der Sage HR Suite bietet eine datenschutzkonforme Grundlage für die mobile Zeiterfassung und lässt sich flexibel in bestehende HR-Prozesse einbinden.

Wir bei HRWare Consulting unterstützen Sie dabei, die mobile Zeiterfassung rechtssicher einzuführen – von der Analyse Ihrer Anforderungen bis zur laufenden Betreuung nach der Implementierung. Das umfasst unter anderem:

  • Beratung zur datenschutzkonformen Konfiguration des Zeitwirtschaftsmoduls
  • Unterstützung bei der Erstellung von Betriebsvereinbarungen und Datenschutzdokumenten
  • Hosting der Lösung in einem TÜV-zertifizierten Rechenzentrum in Deutschland
  • Integration in die übrigen Module der Sage HR Suite für eine einheitliche Datenbasis
  • Schulungen über unsere HRWare Akademie – sowohl zu fachlichen Datenschutzthemen als auch zur Bedienung der Software

Die Sage HR Suite ist modular aufgebaut: Sie können mit dem Zeitwirtschaftsmodul starten und die Lösung bei Bedarf schrittweise um weitere Funktionen erweitern – etwa die digitale Personalakte oder das Bewerbermanagement. So wächst die Software mit Ihren Anforderungen. Wenn Sie Ihre Zeitwirtschaft digital und DSGVO-konform aufstellen möchten, sprechen Sie uns gerne an. Wir freuen uns auf das Gespräch und begleiten Sie von der ersten Analyse bis zum laufenden Betrieb. Nehmen Sie jetzt Kontakt auf – unverbindlich und auf Augenhöhe.