Zeiterfassung und DSGVO: Rechtsgrundlage, Fristen, Rechte

Kurz gesagt: Arbeitszeiten dürfen nicht nur erfasst werden, sie müssen es – die Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 16 Abs. 2 ArbZG und § 3 Abs. 2 Nr. 1 ArbSchG. Eine Einwilligung der Beschäftigten ist dafür weder nötig noch tauglich. Erfasst werden darf nur, was für diesen Zweck erforderlich ist; nach Ablauf der Aufbewahrungsfristen müssen die Daten gelöscht werden.

Auf welcher Rechtsgrundlage erfasst wird

Die Verarbeitung der Arbeitszeit stützt sich auf Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung – in Verbindung mit § 16 Abs. 2 ArbZG und § 3 Abs. 2 Nr. 1 ArbSchG in der Auslegung des Bundesarbeitsgerichts (Beschluss vom 13.09.2022 – 1 ABR 22/21). Die Verwendung derselben Daten für die Entgeltabrechnung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO, weil sie zur Erfüllung des Arbeitsvertrags erforderlich ist.

Zwei verbreitete Irrtümer:

Eine Einwilligung ist nicht nötig – und im Arbeitsverhältnis ohnehin heikel, weil sie freiwillig sein muss und jederzeit widerrufen werden kann. Eine Pflicht lässt sich nicht widerrufen.
Eine Betriebsvereinbarung ist keine Ermächtigung. Sie kann regeln, wie erfasst wird, aber keine Verarbeitung erlauben, die sonst unzulässig wäre. So hat es der Europäische Gerichtshof am 19.12.2024 entschieden (C-65/23). Mehr dazu im Muster einer Betriebsvereinbarung.

Welche Daten erforderlich sind

Für die Zeiterfassung genügen Name, Personalnummer sowie Beginn, Ende und Pausen der Arbeitszeit. Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) schließt aus, was darüber hinausgeht: Standort- und Bewegungsdaten, Bildschirm- oder Anwendungsaktivität, Tätigkeitsprotokolle.

Biometrische Merkmale wie der Fingerabdruck sind besondere Kategorien nach Art. 9 DSGVO und im Regelfall unzulässig, solange eine Karte oder eine PIN denselben Zweck erfüllt – ausführlich unter Fingerabdruck und Biometrie.

Wie lange die Daten bleiben

Nach § 16 Abs. 2 ArbZG mindestens zwei Jahre. Soweit die Zeiten zugleich Lohnunterlagen sind, gelten die längeren steuer- und sozialversicherungsrechtlichen Fristen. Danach ist zu löschen oder zu anonymisieren – die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO ist keine Empfehlung, sondern eine Pflicht. „Wir heben alles auf" ist der häufigste Befund bei einer Prüfung.

Was Beschäftigte verlangen können

Auskunft (Art. 15 DSGVO) – welche Daten gespeichert sind, zu welchen Zwecken, wie lange, und eine Kopie davon.
Berichtigung (Art. 16) – falsch erfasste Zeiten müssen korrigiert werden; die Korrektur sollte nachvollziehbar bleiben.
Löschung (Art. 17) – aber nur, soweit keine Aufbewahrungspflicht entgegensteht. Bei Arbeitszeiten steht sie meist entgegen.
Einschränkung (Art. 18) und Beschwerde bei der Aufsichtsbehörde (Art. 77).

Vor der Inbetriebnahme müssen die Beschäftigten nach Art. 13 DSGVO unterrichtet werden: welche Daten erfasst werden, wozu, auf welcher Rechtsgrundlage, wie lange sie bleiben und welche Rechte sie haben. Diese Unterrichtung wird in der Praxis am häufigsten vergessen.

Krankmeldungen und Abwesenheiten

Krankheitsdaten sind Gesundheitsdaten nach Art. 9 DSGVO und besonders geschützt. Für die Zeiterfassung genügt die Angabe, dass jemand abwesend ist – eine Diagnose gehört nicht in ein Zeiterfassungssystem, und auch die Unterscheidung „krank" oder „Urlaub" braucht nicht jeder Kollege zu sehen.

Wenn ein Dienstleister die Daten verarbeitet

Läuft die Zeiterfassung bei einem Anbieter, ist das eine Auftragsverarbeitung: Es braucht einen Vertrag nach Art. 28 DSGVO, und die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gehören hinein. Bei systematischer Erfassung kann zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein; das ist im Einzelfall zu prüfen.

Wie irot Time das umsetzt

Erfasst werden Zeiten, keine Tätigkeiten, keine Standorte, keine Bildschirmaktivität. Jede Korrektur steht mit Begründung im Änderungsprotokoll, die Auskunft nach Art. 15 entsteht auf Knopfdruck, und Löschfristen sind je Datenart hinterlegt. Betrieben wird wahlweise als eigene Instanz auf Servern in Deutschland – mit Vertrag nach Art. 28 DSGVO – oder auf Ihrem eigenen Server. Sicherheit und Datenschutz · Zeiterfassung ohne Cloud

Häufige Fragen zu Zeiterfassung und DSGVO

Brauche ich die Einwilligung der Mitarbeiter für die Zeiterfassung?

Nein. Die Erfassung beruht auf einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 16 Abs. 2 ArbZG und § 3 Abs. 2 Nr. 1 ArbSchG), nicht auf einer Einwilligung. Eine Einwilligung wäre hier sogar ungeeignet: Sie müsste freiwillig sein und ließe sich jederzeit widerrufen – eine gesetzliche Pflicht lässt sich nicht widerrufen.

Darf eine Betriebsvereinbarung die Datenverarbeitung erlauben?

Nur solche Verarbeitungen, die ohnehin zulässig sind. Der Europäische Gerichtshof hat am 19.12.2024 entschieden (C-65/23), dass eine Betriebsvereinbarung die Vorgaben der DSGVO nicht unterschreiten darf und in vollem Umfang gerichtlich überprüfbar ist. Sie regelt das Wie, sie ersetzt keine Rechtsgrundlage.

Wie lange dürfen Arbeitszeitdaten gespeichert werden?

Mindestens zwei Jahre nach § 16 Abs. 2 ArbZG; soweit die Daten zugleich Lohnunterlagen sind, gelten längere steuer- und sozialversicherungsrechtliche Fristen. Nach Ablauf müssen sie gelöscht oder anonymisiert werden (Art. 5 Abs. 1 lit. e DSGVO).

Dürfen Arbeitszeiten zur Leistungskontrolle ausgewertet werden?

Für diesen Zweck sind sie nicht erhoben worden. Eine Auswertung zum Leistungsvergleich bräuchte eine eigene Rechtsgrundlage und wäre am Persönlichkeitsrecht zu messen; wo ein Betriebsrat besteht, unterliegt sie zusätzlich der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. In der Praxis wird sie in der Betriebsvereinbarung ausdrücklich ausgeschlossen.

Ist Zeiterfassung per Fingerabdruck datenschutzkonform?

Meist nicht. Biometrische Daten sind besondere Kategorien nach Art. 9 DSGVO; ihre Verarbeitung ist nur unter engen Voraussetzungen zulässig. Solange Chipkarte oder PIN denselben Zweck erfüllen, fehlt die Erforderlichkeit.

Was muss ich den Beschäftigten vorher sagen?

Nach Art. 13 DSGVO vor der ersten Erfassung: welche Daten erhoben werden, zu welchen Zwecken, auf welcher Rechtsgrundlage, wie lange sie gespeichert bleiben, wer sie erhält und welche Rechte bestehen. Textform genügt. Diese Unterrichtung wird am häufigsten vergessen.

Zeiterfassung und DSGVO