Zeiterfassung nach DSGVO: was Arbeitgeber wissen müssen
Arbeitszeiten müssen erfasst werden, und dabei entstehen personenbezogene Daten. Dieser Leitfaden zeigt die Rechtsgrundlage, erlaubte Datenarten, Aufbewahrungsfristen und die Rechte der Beschäftigten.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO
- Nur Zeit- und Projektdaten, keine Überwachung
- Speicherung in der EU, AVV online
Datenminimierung eingebaut
Erfasst werden Beginn, Ende, Pausen und Projekt. Standort, Tastatureingaben oder Screenshots gibt es nicht.
Klare Aufbewahrung
Zeitnachweise bleiben mindestens zwei Jahre nach ArbZG § 16 verfügbar und lassen sich danach gezielt löschen.
AVV online abschließen
Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen Sie direkt im Konto ab, ohne Papierversand.
Auskunft und Export
Beschäftigte sehen ihre eigenen Einträge im Self-Service. Daten lassen sich exportieren und auf Wunsch löschen.
Wer Arbeitszeiten erfasst, verarbeitet personenbezogene Daten. Die Datenschutz-Grundverordnung (DSGVO) setzt dafür klare Grenzen. Gleichzeitig verpflichtet das Arbeitszeitgesetz Arbeitgeber, Arbeitszeiten aufzuzeichnen. Das ist kein Widerspruch, solange die Erfassung auf das Nötige beschränkt bleibt, transparent ist und sauber aufbewahrt wird.
Rechtsgrundlage der Zeiterfassung
Die gesetzliche Pflicht nach Art. 6 Abs. 1 lit. c DSGVO
Der Europäische Gerichtshof hat in der Rechtssache C-55/18 (Urteil vom 14.05.2019) entschieden, dass Arbeitgeber ein objektives, verlässliches und zugängliches System zur Erfassung der täglichen Arbeitszeit einrichten müssen. Das Bundesarbeitsgericht hat diese Linie im Beschluss 1 ABR 22/21 vom 13.09.2022 aufgegriffen. Die Erfassung ist damit eine rechtliche Pflicht.
Daraus folgt die Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO erlaubt die Verarbeitung, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Für die reine Arbeitszeiterfassung ist das der übliche Anker.
Die Rolle von § 26 BDSG
Für das Beschäftigungsverhältnis konkretisiert § 26 BDSG die Vorgaben des Art. 88 DSGVO. Die Vorschrift wird seit dem EuGH-Urteil C-34/21 vom 30.03.2023 jedoch enger ausgelegt, weil sie den Anforderungen des Art. 88 Abs. 2 DSGVO genügen muss. Für Ihre Praxis heißt das: Stützen Sie sich nicht allein auf § 26 BDSG, sondern dokumentieren Sie den konkreten Zweck jeder erhobenen Angabe.
Einwilligung ist im Arbeitsverhältnis selten tragfähig
Eine Einwilligung nach Art. 7 DSGVO gilt wegen des Abhängigkeitsverhältnisses als schwer freiwillig. Verlassen Sie sich deshalb nicht auf Einwilligungen für die Zeiterfassung. Die gesetzliche Pflicht ist die solidere Grundlage.
Welche Daten dürfen erfasst werden?
Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO verlangt, nur die Daten zu verarbeiten, die für den Zweck nötig sind. Für eine Zeiterfassung reichen in der Regel folgende Angaben:
| Datum | Zweck | Erforderlich? |
|---|---|---|
| Datum, Beginn, Ende | Nachweis der Arbeitszeit | Ja |
| Pausen | Einhaltung der Ruhezeiten nach ArbZG | Ja |
| Projekt oder Kunde | Abrechnung und Auswertung | Je nach Geschäftsmodell |
| Korrekturen mit Begründung | Nachvollziehbarkeit | Ja |
| Standort, GPS-Daten | Nicht für die Arbeitszeit nötig | Nein |
| Tastatur- oder Mausaktivität | Überwachung, nicht Zeiterfassung | Nein |
| Screenshots | Überwachung, nicht Zeiterfassung | Nein |
Ein wichtiger Punkt: Eine Zeiterfassung ist kein Überwachungswerkzeug. Wer Leistung oder Aktivität am Bildschirm messen will, bewegt sich rechtlich auf dünnem Eis und verliert schnell das Vertrauen der Belegschaft.
Auch bei Auswertungen gilt Zurückhaltung. Team- oder Projektauswertungen liefern in der Regel genug Erkenntnis, ohne einzelne Personen zu bewerten.
Aufbewahrungsfristen für Arbeitszeitnachweise
Die wichtigste Fristangabe steht in § 16 Abs. 2 ArbZG: Aufzeichnungen über die Arbeitszeit sind mindestens zwei Jahre aufzubewahren. Die Frist beginnt mit dem jeweiligen Erfassungszeitraum.
| Unterlage | Mindestfrist | Grundlage |
|---|---|---|
| Arbeitszeitnachweise (Erfassung) | 2 Jahre | § 16 Abs. 2 ArbZG |
| Lohn- und gehaltsrelevante Belege | je nach Art, oft 6 bis 10 Jahre | Steuer- und Handelsrecht (z. B. § 147 AO, § 257 HGB) |
| Personalakte | Dauer des Arbeitsverhältnisses plus Verjährungsfrist | Gesetzliche Verjährung, Einzelfall |
Nach Ablauf der Pflicht gilt die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Daten sind dann zu löschen oder zu anonymisieren. Eine Software sollte Löschfristen steuerbar machen, statt alles unbegrenzt zu speichern.
Die Frage nach der Aufbewahrungsfrist wird oft mit Lohnunterlagen vermischt. Prüfen Sie für Ihre Unterlagen die steuerlichen Fristen mit Ihrer Steuerberatung. Praktisch heißt das: Erfassen Sie Zeiten in einem System, das Fristen pro Datenart abbilden kann, statt alles pauschal zu speichern. So lassen sich Löschungen nachweisbar und ohne Handarbeit umsetzen.
Auftragsverarbeitung und Dienstleister
Nutzen Sie einen Softwareanbieter, der Beschäftigtendaten in Ihrem Auftrag verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Ohne ihn ist die Verarbeitung nicht rechtskonform, und Sie tragen als Verantwortlicher das Risiko.
Achten Sie beim Anbieter auf:
- einen AVV, der vor der Nutzung verfügbar ist,
- eine vollständige Liste der Unterauftragnehmer,
- klare Angaben zu technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO,
- eine Aussage zum Speicherort, idealerweise innerhalb der EU.
Bei zeitfair ist der AVV online abrufbar, und die Daten liegen in einem Rechenzentrum in Frankfurt. Prüfen Sie dennoch die Vertragsdetails selbst oder lassen Sie sie juristisch begleiten.
Rechte der Beschäftigten
Beschäftigte haben als betroffene Personen klare Rechte:
Auskunft und Einsicht (Art. 15 DSGVO)
Mitarbeitende dürfen wissen, welche Zeitdaten über sie gespeichert sind. Ein Self-Service-Bereich, in dem jede Person ihre eigenen Einträge sieht, erleichtert das erheblich und reduziert Anfragen an die Personalabteilung.
Berichtigung (Art. 16 DSGVO)
Fehlerhafte Einträge müssen korrigierbar sein. Wichtig ist, dass Korrekturen nachvollziehbar bleiben. Ein Audit-Trail zeigt, wer was wann geändert hat, ohne den ursprünglichen Wert zu verlieren.
Löschung (Art. 17 DSGVO)
Nach Ablauf der gesetzlichen Aufbewahrungspflicht besteht ein Löschanspruch. Solange die Pflicht läuft, darf nicht gelöscht werden. Die Software sollte den Export und die Löschung ohne manuelle Umwege ermöglichen.
Speicherort und Datensicherheit
Der Speicherort ist eine der meistgestellten Fragen im Datenschutz. Daten in der EU zu speichern, vereinfacht die Prüfung von Drittlandtransfers erheblich. Achten Sie darauf, dass auch Backups und Support-Zugriffe nachvollziehbar geregelt sind.
Zur Datensicherheit gehören außerdem Rollen- und Rechtekonzepte. Nicht jede Führungskraft muss alle Daten sehen. Owner, Admin, Manager und Mitarbeitende sollten jeweils nur das Nötige erreichen. Ein Protokoll über Zugriffe und Änderungen rundet das Bild ab.
Betriebsrat und Mitbestimmung
Wenn ein Betriebsrat besteht, ist die Einführung einer Zeiterfassung in der Regel mitbestimmungspflichtig. Relevant ist vor allem § 87 Abs. 1 Nr. 6 BetrVG, sobald die technische Einrichtung zur Überwachung geeignet ist. Viele Unternehmen regeln Zweck, Datenumfang und Löschfristen in einer Betriebsvereinbarung.
Eine klare Dokumentation hilft in dieser Phase. Hilfreich ist eine kurze Übersicht für den Betriebsrat mit Beispielbildschirmen, den Speicherorten und den Zugriffsrechten. Sie zeigt, dass nichts im Verborgenen läuft. Wer offenlegt, welche Daten erfasst werden und wer Zugriff hat, verkürzt die Verhandlung deutlich.
Typische Fehler in der Praxis
In Prüfungen der Aufsichtsbehörden tauchen immer wieder dieselben Probleme auf. Die meisten lassen sich mit etwas Planung vermeiden.
- Zu viele Felder: Ein Freitextfeld für Tätigkeitsbeschreibungen wird schnell zur Quelle sensibler Daten über Gesundheit oder Familie. Halten Sie Eingaben kurz und zweckgebunden.
- Auswertungen auf Personenebene: Ein Ranking nach Stunden oder Produktivität wirkt wie eine Leistungskontrolle. Werten Sie besser auf Team- oder Projektebene aus.
- Fehlende Löschkonzepte: Daten werden jahrelang aufbewahrt, weil niemand eine Frist festgelegt hat. Legen Sie fest, wann welche Datenart gelöscht wird.
- Unklare Zuständigkeit: Wenn niemand weiß, wer Zugriffe freigibt, entstehen Lücken. Benennen Sie eine verantwortliche Person und dokumentieren Sie die Rollen.
- Kein Hinweis für Beschäftigte: Wer nicht weiß, welche Daten erfasst werden, kann seine Rechte nicht ausüben. Informieren Sie vor der Einführung transparent.
Datenschutz-Folgenabschätzung prüfen
Nach Art. 35 DSGVO kann eine Datenschutz-Folgenabschätzung nötig sein, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt. Bei einer schlanken Zeiterfassung ohne Überwachungsfunktionen ist das in der Regel nicht der Fall. Sobald die Software jedoch umfangreiche Auswertungen über einzelne Beschäftigte ermöglicht, sollten Sie die Pflicht im Einzelfall prüfen. Das Verarbeitungsverzeichnis nach Art. 30 DSGVO sollte die Zeiterfassung in jedem Fall enthalten.
Was bei Verstößen droht
Verstöße gegen die DSGVO können von den Datenschutzbehörden mit Bußgeldern geahndet werden. Der Rahmen reicht nach Art. 83 Abs. 5 DSGVO bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Ebenso wichtig ist das Vertrauen der Belegschaft, das bei einer unfairen Erfassung schnell verloren geht.
Checkliste für DSGVO-konforme Zeiterfassung
- Rechtsgrundlage dokumentieren (Art. 6 Abs. 1 lit. c DSGVO, § 26 BDSG)
- Nur erforderliche Felder erfassen, keine Überwachungsfunktionen
- Aufbewahrung mindestens zwei Jahre nach § 16 ArbZG, danach gezielt löschen
- AVV nach Art. 28 DSGVO abschließen und Unterauftragnehmer prüfen
- Auskunft, Berichtigung und Export für Beschäftigte ermöglichen
- Rollen und Zugriffe begrenzen, Änderungen protokollieren
- Betriebsrat früh einbinden, wenn vorhanden
Dieser Text dient der Information und ersetzt keine Rechtsberatung. Lassen Sie Ihre konkrete Umsetzung von einer Datenschutzbeauftragten oder einem Anwalt prüfen.
Hinweis: Dieser Ratgeber ersetzt keine Rechtsberatung.
Aktualisiert am 4. November 2026
Häufige Fragen
Welche Rechtsgrundlage braucht die Zeiterfassung nach DSGVO?+
In der Regel ist es Art. 6 Abs. 1 lit. c DSGVO, weil das Arbeitszeitgesetz die Erfassung der Arbeitszeit verlangt. Für Daten, die darüber hinausgehen, kommt § 26 BDSG in Verbindung mit Art. 88 DSGVO in Betracht. Eine Einwilligung der Beschäftigten ist als Grundlage im Arbeitsverhältnis meist nicht tragfähig.
Wie lange müssen Zeiterfassungsdaten aufbewahrt werden?+
Nach § 16 Abs. 2 ArbZG müssen Arbeitszeitnachweise mindestens zwei Jahre aufbewahrt werden. Danach gilt der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Für lohnsteuerlich relevante Unterlagen können längere Fristen gelten, die Sie mit Ihrer Steuerberatung klären sollten.
Darf die Zeiterfassung Standort oder Tastatureingaben erfassen?+
Nein, nicht für die reine Arbeitszeiterfassung. Standortdaten, Tastaturprotokolle oder Screenshots gehen weit über den Zweck hinaus und sind nach Art. 5 Abs. 1 lit. c DSGVO unzulässig. Biometrische Verfahren wie Fingerabdruck fallen unter Art. 9 DSGVO und sind für die Zeiterfassung ungeeignet.
Brauche ich einen Auftragsverarbeitungsvertrag für Zeiterfassungssoftware?+
Ja, sobald ein Anbieter Beschäftigtendaten in Ihrem Auftrag verarbeitet, ist nach Art. 28 DSGVO ein AVV nötig. Achten Sie darauf, dass der Vertrag online verfügbar ist, die Unterauftragnehmer offenlegt und den Speicherort in der EU nennt. Ohne AVV darf der Anbieter die Daten nicht in Ihrem Auftrag verarbeiten, und Sie tragen das Risiko als Verantwortlicher.
Muss der Betriebsrat bei der Zeiterfassung mitbestimmen?+
Wenn die Software technische Einrichtungen zur Leistungs- oder Verhaltenskontrolle nutzt, greift § 87 Abs. 1 Nr. 6 BetrVG. Auch eine reine Zeiterfassung wird in der Praxis oft per Betriebsvereinbarung geregelt. Darin sollten Zweck, Datenumfang, Zugriffsrechte und Löschfristen festgelegt sein. Eine transparente Einführung erleichtert die Zustimmung deutlich.
Dürfen Beschäftigte ihre Zeitdaten einsehen und löschen lassen?+
Beschäftigte haben nach Art. 15 DSGVO ein Auskunftsrecht über ihre gespeicherten Daten. Ein Löschanspruch nach Art. 17 DSGVO besteht, sobald die Aufbewahrungspflicht endet. Die Software sollte beides ohne Umwege ermöglichen. Die Antwort muss in der Regel innerhalb eines Monats erfolgen, und Sie sollten diese Anfragen intern dokumentieren, damit Fristen eingehalten werden.
Weiterlesen
Bereit für faire Zeiterfassung?
In 5 Minuten eingerichtet. Bis 3 Personen kostenlos.