DSGVO und Zeiterfassung: Was Arbeitgeber beachten müssen

Wer Arbeitszeit erfasst, verarbeitet personenbezogene Daten — und damit gilt die DSGVO. Das ist kein Widerspruch zur gesetzlichen Erfassungspflicht, sondern ihr notwendiger Rahmen. Worauf es ankommt.

Gibt es überhaupt eine Rechtsgrundlage?

Ja. Die Verarbeitung von Arbeitszeitdaten lässt sich in der Regel auf die Erfüllung rechtlicher Pflichten (Arbeitszeiterfassung nach § 16 ArbZG) und das Beschäftigungsverhältnis stützen. Eine gesonderte Einwilligung der Mitarbeiter ist dafür meist nicht erforderlich — die Erfassung ist schließlich Pflicht.

Die wichtigsten Grundsätze

Datenminimierung

Erfassen Sie nur, was nötig ist: Beginn, Ende, Dauer, ggf. Pausen und Projekt. Keine Daten „auf Vorrat”.

Speicherdauer & Löschung

Arbeitszeitnachweise sind aufzubewahren (das ArbZG nennt mindestens zwei Jahre; steuer- und sozialversicherungsrechtlich können längere Fristen gelten). Danach gilt: löschen. Ein klares Löschkonzept gehört dazu.

Zugriffsrechte

Nicht jeder darf alles sehen. Rollen- und Berechtigungskonzepte stellen sicher, dass z. B. nur die Personalverwaltung Zugriff auf alle Daten hat — nicht Kolleginnen und Kollegen untereinander.

Auftragsverarbeitung

Nutzen Sie eine Software eines Anbieters, brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag (AVV). Den stellen wir auf Wunsch bereit.

Sonderfall: Fingerabdruck & biometrische Daten

Biometrische Daten (z. B. Fingerprint) gelten als besonders schützenswert. Ihr Einsatz will gut begründet sein — oft ist eine RFID- oder PIN-Lösung der datenschutzfreundlichere Weg. Welche Erfassungsverfahren es gibt, haben wir separat verglichen.

Hosting in Deutschland

Wo liegen die Daten? Bei Auqat: Hosting ausschließlich in Deutschland, mit Verschlüsselung und klaren Lösch- und Rollenkonzepten. Das ist gerade in sensiblen Bereichen wie Pflege und Arztpraxen ein entscheidender Punkt.

Checkliste DSGVO-konforme Zeiterfassung

• Rechtsgrundlage geklärt (Pflicht + Beschäftigung)
• Datenminimierung (nur nötige Felder)
• Speicher- und Löschkonzept festgelegt
• Rollen- und Zugriffsrechte definiert
• AVV mit dem Anbieter
• Biometrie nur, wenn wirklich nötig
• Hosting-Standort bekannt (idealerweise Deutschland)

Fazit

DSGVO und Zeiterfassung sind kein Gegensatz — mit den richtigen Einstellungen erfüllen Sie beide Anforderungen gleichzeitig. Wichtig sind klare Konzepte für Speicherung, Zugriff und Löschung sowie ein vertrauenswürdiger Hosting-Standort.

Hinweis: Allgemeine Information, keine Rechtsberatung. Für die verbindliche datenschutzrechtliche Bewertung ziehen Sie Ihren Datenschutzbeauftragten oder eine Fachanwältin/einen Fachanwalt hinzu.

Fragen Sie uns nach unserem Datenschutzkonzept und dem AVV.