DSGVO-konforme Zeiterfassung im Kleinbetrieb

Warum ist Zeiterfassung ein Datenschutzthema?

Sobald Beginn, Ende und Dauer der Arbeitszeit einer namentlich bekannten Person gespeichert werden, liegt eine Verarbeitung personenbezogener Daten vor. Die gesetzliche Pflicht zur Aufzeichnung entbindet nicht von den Regeln der DSGVO – sie ist im Gegenteil einer der Gründe, warum die Verarbeitung überhaupt zulässig ist.

Für kleine Betriebe ist das keine Formalie. Beschäftigte merken schnell, ob ein System sie unterstützt oder ob es sich wie Überwachung anfühlt. Ein sauberes Datenschutzkonzept ist damit auch eine Frage der Akzeptanz – und Akzeptanz entscheidet über die Datenqualität.

Welche vier DSGVO-Grundsätze gelten für die Zeiterfassung?

Vier Grundsätze tragen die datenschutzkonforme Zeiterfassung: Datensparsamkeit, Zweckbindung, Rechtsgrundlage und Transparenz. Sie ergeben sich aus Art. 5 und Art. 6 DSGVO sowie aus § 26 BDSG.

Datensparsamkeit

Nach Art. 5 DSGVO nur die Daten erheben, die für den Zweck erforderlich sind. Für die Arbeitszeit sind das in der Regel Zeitstempel und eine Kennung – nicht der dauerhafte Standort, keine Fotos, keine Tätigkeitsprotokolle.

Zweckbindung

Ebenfalls Art. 5 DSGVO: Daten, die zur Arbeitszeiterfassung erhoben wurden, dürfen nicht ohne Weiteres für Leistungsbewertung, Verhaltenskontrolle oder andere Zwecke genutzt werden. Das ist der Punkt, an dem betriebliche Neugier und Datenschutz aufeinandertreffen.

Rechtsgrundlage

Art. 6 DSGVO nennt die Grundlage; im Beschäftigungsverhältnis konkretisiert § 26 BDSG sie für Beschäftigtendaten. Eine Einwilligung ist hier selten das passende Mittel – sie ist widerruflich und im Arbeitsverhältnis nur eingeschränkt freiwillig.

Transparenz

Beschäftigte müssen wissen, welche Daten zu welchem Zweck verarbeitet werden, wer Zugriff hat und wie lange die Daten gespeichert bleiben. Das ist ohnehin Teil der Anforderung an ein „zugängliches“ System.

Welche Rechtsgrundlagen greifen bei der Zeiterfassung?

Tragend sind Art. 6 DSGVO und § 26 BDSG für die Zulässigkeit, Art. 5 DSGVO für die Grenzen sowie Art. 9, 28 und 30 DSGVO für Biometrie, Auftragsverarbeitung und Dokumentation.

Für Kleinbetriebe ist Art. 30 der am häufigsten übersehene Punkt: Auch ohne Pflicht zur Bestellung eines Datenschutzbeauftragten ist das Verzeichnis der Verarbeitungstätigkeiten in der Regel zu führen. Ein Eintrag für die Zeiterfassung umfasst Zweck, Datenkategorien, Empfänger, Löschfristen – eine halbe Seite.

Wie setzt ein Kleinbetrieb den Datenschutz in sechs Schritten um?

Sechs Schritte genügen: Zweck festlegen, Datenkategorien begrenzen, Rollen und Zugriffe vergeben, Auftragsverarbeitungsvertrag schließen, Beschäftigte informieren und Löschfristen festlegen.

1. Zweck festlegen und aufschreiben. Erfüllung der gesetzlichen Aufzeichnungspflicht, Lohnabrechnung, Stundenkonto. Nicht: Leistungskontrolle.
2. Datenkategorien begrenzen. Name, Zeitstempel, Pausen, Abwesenheitsart. Kein Krankheitsgrund, kein Standortverlauf.
3. Rollen und Zugriffe vergeben. Wer sieht welche Daten? Im Kleinbetrieb reichen meist drei Rollen: Mitarbeitende (eigene Daten), Leitung (Team), Administration.
4. Auftragsverarbeitungsvertrag schließen. Mit dem Cloud-Anbieter, vor der produktiven Nutzung.
5. Beschäftigte informieren. Schriftlich und verständlich: welche Daten, welcher Zweck, welche Speicherdauer, welche Rechte.
6. Löschfristen festlegen. Aufbewahrung so lange wie erforderlich, danach löschen – und die Frist im Verzeichnis dokumentieren.

Sind Geofencing und Fingerabdruck bei der Zeiterfassung zulässig?

Beides ist nur ausnahmsweise zulässig: Geofencing bei klarem Zweck, engem Radius und kurzer Speicherdauer, der Fingerabdruck praktisch nur mit freiwilliger Einwilligung und gleichwertigem Alternativweg.

Geofencing prüft, ob eine Buchung innerhalb eines definierten Bereichs erfolgt. Das kann einen sachlichen Zweck haben – etwa den Nachweis, dass auf der Baustelle und nicht auf dem Parkplatz gestempelt wurde. Zulässig ist es nur bei klarem Zweck, engem Radius, kurzer Speicherdauer und transparenter Information. Eine dauerhafte Standortaufzeichnung während der Arbeitszeit ist etwas grundsätzlich anderes und für die Zeiterfassung nicht erforderlich.

Biometrische Merkmale wie Fingerabdrücke sind nach Art. 9 DSGVO besonders geschützt. Da PIN und RFID-Chip denselben Zweck erfüllen, fehlt es regelmäßig an der Erforderlichkeit. Wer Fingerabdruck anbieten will, braucht eine freiwillige Einwilligung und einen gleichwertigen Alternativweg – womit die Frage bleibt, welchen Vorteil die Biometrie dann noch bringt.

Wie lange dürfen Zeiterfassungsdaten gespeichert werden?

Zeiterfassungsdaten dürfen so lange gespeichert werden, wie es der Zweck erfordert – für Minijobs und die Branchen nach § 2a Schwarzarbeitsbekämpfungsgesetz mindestens zwei Jahre –, danach sind sie zu löschen. Zwei Fristen sind relevant. Nach § 17 Mindestlohngesetz sind Aufzeichnungen für geringfügig Beschäftigte und für die Branchen nach § 2a Schwarzarbeitsbekämpfungsgesetz mindestens zwei Jahre aufzubewahren. Der Referentenentwurf zum Arbeitszeitgesetz vom 18. Juni 2026 nennt ebenfalls zwei Jahre – begrenzt auf die Dauer der Beschäftigung.

Speicherbegrenzung heißt aber auch: Nach Ablauf der Frist ist zu löschen. Ein System, das Daten unbegrenzt behält, verstößt gegen Art. 5 DSGVO – unabhängig davon, wie praktisch der lange Verlauf für Auswertungen wäre. Praktikabel ist eine jährliche Routine: Daten älter als die festgelegte Frist prüfen und löschen, Vorgang kurz dokumentieren.

Kurz beantwortet

Häufige Fragen

Weiterlesen