Zuletzt aktualisiert am 1. Juni 2026

Anforderungen an digitale Zeiterfassungssysteme nach DSGVO

Bei der Auswahl und Implementierung eines digitalen Zeiterfassungssystems müssen Arbeitgeber die Grundsätze der DSGVO beachten. Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verlangt, dass nur die Daten erhoben werden, die für den Zweck der Zeiterfassung tatsächlich erforderlich sind. Ein System, das neben den reinen Arbeitszeiten auch Standortdaten, Tastatureingaben oder Bildschirmaktivitäten erfasst, geht in der Regel über das erforderliche Maß hinaus.

Besonders relevant ist die Auswahl eines geeigneten Anbieters. Wird ein cloudbasiertes Zeiterfassungssystem eingesetzt, liegt in der Regel eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Der Arbeitgeber muss dann einen Auftragsverarbeitungsvertrag mit dem Anbieter abschließen und sicherstellen, dass dieser die technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO einhält.

Informationspflichten gegenüber Mitarbeitern

Der Arbeitgeber ist gemäß Art. 13 DSGVO verpflichtet, seine Mitarbeiter umfassend über die Datenverarbeitung im Rahmen der Zeiterfassung zu informieren. Diese Information muss in verständlicher und leicht zugänglicher Form erfolgen und unter anderem den Zweck der Verarbeitung, die Rechtsgrundlage, die Speicherdauer sowie die Rechte der Betroffenen umfassen.

In der Praxis empfiehlt es sich, die Datenschutzinformation zur Zeiterfassung als Anlage zum Arbeitsvertrag oder als separate Mitteilung an alle Mitarbeiter zu übergeben. Bei Änderungen des Systems oder der Verarbeitungszwecke müssen die Mitarbeiter erneut informiert werden. Ein Versäumnis dieser Informationspflicht kann zu Bußgeldern durch die Aufsichtsbehörde führen.

Rolle des Betriebsrats bei der Zeiterfassung

Existiert im Unternehmen ein Betriebsrat, hat dieser ein Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen zur Überwachung des Verhaltens oder der Leistung der Arbeitnehmer (§ 87 Abs. 1 Nr. 6 BetrVG). Digitale Zeiterfassungssysteme fallen regelmäßig unter diese Vorschrift, da sie zumindest objektiv geeignet sind, das Verhalten von Arbeitnehmern zu überwachen.

Arbeitgeber sollten den Betriebsrat daher frühzeitig in die Planung einbeziehen und eine Betriebsvereinbarung zur digitalen Zeiterfassung abschließen. Diese Betriebsvereinbarung kann zugleich als datenschutzrechtliche Grundlage für die Verarbeitung dienen und detaillierte Regelungen zu Art und Umfang der Datenerhebung, Zugriffsberechtigungen und Löschfristen enthalten.

Speicherdauer und Löschkonzept

Die Speicherdauer der Zeiterfassungsdaten richtet sich nach dem Zweck der Erhebung und den gesetzlichen Aufbewahrungsfristen. Arbeitszeitdaten, die für die Lohn- und Gehaltsabrechnung benötigt werden, unterliegen der steuerrechtlichen Aufbewahrungsfrist von zehn Jahren. Außerdem gibt es arbeitsrechtliche Dokumentationspflichten, etwa nach dem Arbeitszeitgesetz, die eine Aufbewahrung von mindestens zwei Jahren vorsehen.

Unternehmen müssen ein Löschkonzept erstellen, das sicherstellt, dass Zeiterfassungsdaten nach Ablauf der gesetzlichen Aufbewahrungsfristen zeitnah und vollständig gelöscht werden. Dabei ist zu beachten, dass auch Sicherungskopien und archivierte Daten in das Löschkonzept einbezogen werden müssen. Die Löschung sollte dokumentiert werden, um die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erfüllen zu können.

Datenschutz-Folgenabschätzung bei Zeiterfassungssystemen

In bestimmten Fällen kann die Einführung eines digitalen Zeiterfassungssystems eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich machen. Dies ist insbesondere dann der Fall, wenn das System biometrische Daten verarbeitet, eine systematische Überwachung der Arbeitnehmer ermöglicht oder wenn die Verarbeitung aufgrund ihrer Art, ihres Umfangs oder ihrer Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen birgt.

Die DSFA muss vor der Einführung des Systems durchgeführt werden und eine Beschreibung der geplanten Verarbeitungsvorgänge, eine Bewertung der Risiken sowie die vorgesehenen Abhilfemaßnahmen enthalten. Ergibt die Folgenabschätzung, dass die Verarbeitung trotz der ergriffenen Maßnahmen ein hohes Risiko birgt, ist vor der Inbetriebnahme die zuständige Datenschutz-Aufsichtsbehörde zu konsultieren.

GPS-basierte Zeiterfassung im Außendienst

Für Unternehmen mit Außendienstmitarbeitern stellt die GPS-basierte Zeiterfassung eine besondere Herausforderung dar. Einerseits kann die Standorterfassung für die Dokumentation von Arbeitszeiten und Fahrtzeiten sinnvoll sein, andererseits greift sie erheblich in die Persönlichkeitsrechte der Arbeitnehmer ein. Die permanente GPS-Ortung von Mitarbeitern ist datenschutzrechtlich grundsätzlich unzulässig, da sie eine unverhältnismäßige Überwachung darstellt.

Zulässig kann eine GPS-basierte Zeiterfassung sein, wenn sie auf die reine Arbeitszeitdokumentation beschränkt ist und der Mitarbeiter die Möglichkeit hat, die Ortung außerhalb der Arbeitszeit zu deaktivieren. Die erhobenen Standortdaten dürfen ausschließlich für den Zweck der Zeiterfassung verwendet und nicht zur Erstellung von Bewegungsprofilen herangezogen werden. Eine transparente Information des Arbeitnehmers über Art und Umfang der Datenerhebung ist zwingend erforderlich.

Zeiterfassung im Homeoffice

Die zunehmende Verbreitung von Homeoffice-Arbeitsplätzen stellt besondere Anforderungen an die datenschutzkonforme Zeiterfassung. Im Homeoffice verschwimmen die Grenzen zwischen Arbeitszeit und Freizeit, was die Erfassung komplexer macht. Arbeitgeber dürfen zur Zeiterfassung im Homeoffice keine Software einsetzen, die Bildschirmaktivitäten überwacht, Screenshots erstellt oder die Tastatureingaben der Mitarbeiter aufzeichnet. Solche Maßnahmen gehen weit über den Zweck der Zeiterfassung hinaus und sind datenschutzrechtlich unzulässig.

Stattdessen sollten Arbeitgeber auf Self-Service-Lösungen setzen, bei denen die Mitarbeiter ihre Arbeitszeiten eigenständig erfassen. Eine digitale Stempeluhr in Form einer Web-Anwendung oder App, die lediglich Beginn, Ende und Pausen dokumentiert, ist datenschutzkonform und erfüllt gleichzeitig die Anforderungen an eine zuverlässige Zeiterfassung. Die Verantwortung für die korrekte Erfassung liegt dabei beim Arbeitnehmer, während der Arbeitgeber stichprobenartig die Plausibilität prüfen darf.

Haftung bei Datenschutzverstößen in der Zeiterfassung

Verstöße gegen den Datenschutz bei der Zeiterfassung können für Arbeitgeber erhebliche Konsequenzen haben. Neben Bußgeldern durch die Aufsichtsbehörde drohen Schadensersatzansprüche der betroffenen Arbeitnehmer nach Art. 82 DSGVO. Besonders problematisch wird es, wenn Zeiterfassungsdaten zweckwidrig verwendet werden, etwa um die Leistung einzelner Mitarbeiter zu bewerten oder um Kündigungsentscheidungen zu untermauern.

Die Geschäftsführung trägt die letztendliche Verantwortung für die datenschutzkonforme Gestaltung der Zeiterfassung. Sie muss sicherstellen, dass die eingesetzten Systeme den Anforderungen der DSGVO entsprechen und dass die Mitarbeiter über ihre Rechte informiert sind. Die Einbindung eines erfahrenen Datenschutzbeauftragten bereits in der Planungsphase eines Zeiterfassungssystems ist der beste Weg, um spätere Probleme zu vermeiden.

Ausblick auf die Zukunft der digitalen Zeiterfassung

Die digitale Zeiterfassung wird sich in den kommenden Jahren weiter entwickeln und an Bedeutung gewinnen. Neue Technologien wie Blockchain-basierte Zeiterfassungssysteme versprechen eine noch fälschungssicherere Dokumentation der Arbeitszeiten. Gleichzeitig werfen diese neuen Technologien neue datenschutzrechtliche Fragen auf, die es zu klären gilt. Unternehmen sollten sich frühzeitig mit diesen Entwicklungen auseinandersetzen und ihre Datenschutzstrategie entsprechend anpassen.

Arbeitgeber, die unsicher sind, welche datenschutzrechtlichen Anforderungen für ihr spezifisches Zeiterfassungssystem gelten, sollten sich frühzeitig an einen erfahrenen Datenschutzbeauftragten wenden. Dieser kann eine individuelle Analyse der Verarbeitungstätigkeiten vornehmen und konkrete Handlungsempfehlungen für die datenschutzkonforme Gestaltung der Zeiterfassung geben.