Der Stundenzettel auf Papier hatte einen unbestreitbaren Vorteil: Er war datenschutzrechtlich unsichtbar. Niemand fragte, wo die Daten gespeichert werden, wer Zugriff hat, oder ob die Aufbewahrungsfrist eingehalten wird. Beim Wechsel auf eine App ändert sich das schlagartig.
Die gute Nachricht: Datenschutzkonform geht. Die wichtige: Du musst es bewusst gestalten — nicht nebenbei.
Was sind „personenbezogene Daten" in der Zeiterfassung?
Sobald du erfassen kannst, wer wann wie lange auf welcher Baustelle gearbeitet hat, hast du personenbezogene Daten. Das gilt unabhängig davon, ob die Daten auf Papier, in Excel oder in einer App liegen — der Unterschied ist nur die Sichtbarkeit für Aufsichtsbehörden.
Konkrete Datenpunkte, die typischerweise erfasst werden:
- Name des Mitarbeiters
- Beginn, Ende, Pausen einer Schicht
- Standort (Baustelle / Adresse)
- ggf. erbrachte Leistung oder Tätigkeit
- ggf. Kommentare des Mitarbeiters
Jeder einzelne dieser Punkte ist DSGVO-relevant.
Der Begriff „personenbezogene Daten" ist sehr weit gefasst. Schon der Name plus „hat heute gearbeitet" ist personenbezogen. Du brauchst keine Sozialversicherungsnummer oder Kontodaten, um in den Anwendungsbereich der DSGVO zu fallen.
Verzeichnis von Verarbeitungstätigkeiten — was rein muss
Jeder Arbeitgeber mit mindestens einem Mitarbeiter muss ein Verzeichnis von Verarbeitungstätigkeiten (VVT) führen. Das ist kein Bürokratie-Selbstzweck — es ist die Grundlage, falls eine Aufsichtsbehörde fragt: „Was machst du mit den Daten?"
Für die digitale Zeiterfassung muss das VVT mindestens folgende Punkte abdecken:
- Zweck der Verarbeitung: „Erfassung der Arbeitszeit gemäß ArbZG und § 16 Abs. 2 ArbZG"
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) plus § 26 BDSG (Beschäftigungsverhältnis)
- Kategorien betroffener Personen: Mitarbeiter
- Kategorien personenbezogener Daten: Name, Arbeitszeit, Pausenzeit, Standort, Tätigkeit
- Empfänger: Software-Anbieter (als Auftragsverarbeiter), ggf. Steuerberater
- Drittland-Übermittlung: muss verneint werden, sonst Standardvertragsklauseln
- Löschfristen: typisch 6 Jahre nach Ende der Beschäftigung (steuerrechtliche Aufbewahrung)
- Technische und organisatorische Maßnahmen (TOM): Verschlüsselung, Zugriffskontrolle, Backup-Konzept
AVV mit dem Software-Anbieter — was wirklich drinstehen muss
Sobald du eine Cloud-Software für die Zeiterfassung nutzt, ist der Anbieter dein Auftragsverarbeiter. Du brauchst eine Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 DSGVO. Die meisten Anbieter haben einen Standard-AVV — den solltest du trotzdem prüfen.
Diese fünf Punkte sind kritisch:
- Server-Standort: EU/EWR ist Pflicht, oder es greifen Standardvertragsklauseln plus Transfer-Impact-Assessment. Server in den USA ohne Schutzmaßnahmen sind seit Schrems II rechtlich riskant.
- Sub-Auftragsverarbeiter: Welche Drittanbieter nutzt der Software-Anbieter? Cloud-Hoster, E-Mail-Versand, Backups — alle müssen offengelegt sein und du musst widersprechen können.
- Löschkonzept: Was passiert mit deinen Daten, wenn der Vertrag endet? Löschen oder zurückgeben — und in welcher Frist? 30 Tage ist Industriestandard.
- Meldepflicht bei Datenpannen: Der Anbieter muss dich unverzüglich informieren, damit du die 72-Stunden-Frist gegenüber der Aufsichtsbehörde einhalten kannst.
- Kontrollrechte: Du musst das Recht haben, die TOM des Anbieters zu prüfen — entweder selbst oder über ein anerkanntes Audit-Verfahren (z. B. ISO 27001).
Die meisten Bußgelder, die ich sehe, kommen nicht aus fehlendem AVV — sondern aus AVVs, die niemand gelesen hat. Vorlage unterschrieben, Schublade, fertig.
Zugriffskonzept — wer sieht was?
Datenschutz ist nicht nur „nach außen". Auch intern brauchst du ein rollenbasiertes Zugriffskonzept:
- Mitarbeiter sehen ihre eigenen Stundenzettel — nicht die der Kollegen
- Vorarbeiter sehen die Zeiten ihres Teams — nicht die anderer Teams
- Geschäftsführung sieht alles — aber Zugriffe werden geloggt
- Lohnbuchhaltung exportiert anonymisierte Aggregate für Abrechnung
Ohne dieses Konzept ist der „Pizza-Effekt" garantiert: Irgendwann sieht ein Mitarbeiter die Zeiten von jemandem, den er nicht sehen sollte. Das ist eine Datenpanne — und die ist meldepflichtig.
Standorterfassung in der Zeiterfassung ist datenschutzrechtlich extrem sensibel. Kontinuierliches GPS-Tracking ohne explizite Einwilligung ist unzulässig. Eine baustellenbasierte Zuordnung („Mitarbeiter X war auf Baustelle Y") ist OK, wenn der Mitarbeiter darüber informiert ist. Permanente Bewegungsprofile sind es nicht — auch nicht „nur während der Arbeitszeit".
Meistify ist auf deutschen Servern, AVV auf Anfrage.
Wir hosten in Frankfurt am Main, der AVV ist klar formuliert und ohne juristisches Kleingedrucktes. Außerdem: keine GPS-Pflicht, rollenbasiertes Zugriffskonzept, Löschfristen einstellbar. 14 Tage kostenlos testen.
Meistify kostenlos testenMitarbeiter informieren — die Pflicht-Übung
Bevor du die App ausrollst, müssen deine Mitarbeiter informiert werden. Das ist nicht nur höflich, es ist Pflicht (Art. 13 DSGVO).
Drei Dinge gehören in das Informationsschreiben:
- Welche Daten werden erfasst und zu welchem Zweck
- Wer Zugriff hat (rollenbasiert) und wo die Daten liegen
- Welche Rechte der Mitarbeiter hat (Auskunft, Berichtigung, Löschung)
Eine Einwilligung ist im Beschäftigungsverhältnis übrigens kein belastbarer Rechtfertigungsgrund — die Rechtsgrundlage ist das Arbeitsverhältnis selbst (§ 26 BDSG). Trotzdem solltest du dokumentieren, dass die Information erfolgt ist.
Fazit: Datenschutz ist Arbeit, aber keine Wissenschaft
Wer ein VVT führt, einen sauberen AVV unterschrieben hat, ein rollenbasiertes Zugriffskonzept umsetzt und seine Mitarbeiter informiert, hat 95 % der typischen Risiken abgedeckt. Die restlichen 5 % sind Spezialfälle (Auslandsmitarbeiter, Behörden-Anfragen, Audits) — die kannst du adressieren, wenn sie auftreten.
Wichtiger als perfekte Compliance: dokumentiert handeln. Wenn die Aufsichtsbehörde fragt, was du gemacht hast, ist die schlimmste Antwort „weiß ich nicht". Die zweitschlimmste „hatten wir nicht gewusst". Beide vermeidet ein VVT.