Zeiterfassung und Datenschutz: Was Betriebe bei DSGVO, GPS und Mitarbeiterdaten beachten müssen

Digitale Zeiterfassung und Datenschutz sind kein Widerspruch – im Gegenteil: Die Erfassung von Beginn, Ende und Dauer der Arbeitszeit ist gesetzlich vorgeschrieben (siehe unser Ratgeber zur Arbeitszeiterfassungspflicht). Die DSGVO verlangt aber, dass dabei nur die nötigen Daten erhoben, sicher gespeichert und nach Zweck verwendet werden. Was das konkret bedeutet, zeigt diese Übersicht.

Die Rechtsgrundlage: Warum die Erfassung erlaubt ist

Arbeitszeitdaten sind personenbezogene Daten. Ihre Verarbeitung ist zulässig nach § 26 BDSG (Beschäftigtendatenschutz) in Verbindung mit Art. 6 Abs. 1 lit. c DSGVO, weil sie zur Durchführung des Arbeitsverhältnisses erforderlich ist und gesetzliche Pflichten erfüllt (ArbZG, ArbSchG, MiLoG). Eine Einwilligung der Mitarbeiter ist dafür nicht nötig – und wäre im Arbeitsverhältnis auch problematisch, weil sie jederzeit widerrufen werden könnte.

Welche Daten dürfen erfasst werden?

Grundsatz der Datenminimierung (Art. 5 DSGVO): Erfasse nur, was du für den Zweck brauchst. Für die Zeiterfassung reicht die Uhrzeit auf Basis einer objektiven Zeitquelle (Serverzeit). Eine permanente Standortverfolgung ist dafür nicht nötig und wird von Aufsichtsbehörden regelmäßig beanstandet.

Wer darf die Daten sehen?

• Der Mitarbeiter selbst: Er hat ein Auskunftsrecht (Art. 15 DSGVO) und sollte seine Zeiten, Salden und Urlaubstage jederzeit einsehen können.
• Vorgesetzte und Lohnbüro: nur soweit für ihre Aufgabe nötig – ein Filialleiter braucht keine Zeiten anderer Standorte.
• Kollegen: grundsätzlich nicht. Aushänge mit Überstundenständen aller Mitarbeiter sind unzulässig.
• Behörden (Zoll, Arbeitsschutz): auf Verlangen im Rahmen ihrer Prüfbefugnis.

Wie lange dürfen Zeitdaten gespeichert werden?

Aufbewahrungspflichten geben den Rahmen vor: mindestens zwei Jahre nach § 16 ArbZG und § 17 MiLoG; Lohnunterlagen sechs Jahre (§ 147 AO), Buchungsbelege zehn Jahre. Nach Ablauf der Fristen sind die Daten zu löschen oder zu anonymisieren. Lege dafür ein Löschkonzept fest und dokumentiere es im Verarbeitungsverzeichnis.

Pflichten des Betriebs auf einen Blick

1. 1Informationspflicht (Art. 13 DSGVO): Mitarbeiter schriftlich informieren, welche Daten wozu, wie lange und von wem verarbeitet werden – z. B. als Datenschutzhinweis zur Zeiterfassung.
2. 2Verarbeitungsverzeichnis (Art. 30 DSGVO): Die Zeiterfassung als Verarbeitungstätigkeit aufnehmen.
3. 3Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Mit dem Anbieter der Zeiterfassung einen AV-Vertrag schließen; auf Serverstandort EU und technische Schutzmaßnahmen achten.
4. 4Betriebsrat: Die Einführung technischer Einrichtungen zur Überwachung ist mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG) – Betriebsvereinbarung abschließen, falls ein Betriebsrat existiert.
5. 5Zugriffsrechte: Rollenkonzept festlegen, wer was sehen und ändern darf.
6. 6Löschkonzept: Fristen definieren und umsetzen.
7. 7Datenschutz-Folgenabschätzung: Bei reiner Zeiterfassung ohne Ortung in der Regel nicht erforderlich; bei GPS-Tracking meist ja.

GPS und Ortung – die häufigste Frage

Viele Betriebe möchten wissen, wo ihre Monteure sind. Für die Zeiterfassung ist der Standort aber nicht erforderlich – und genau daran scheitert die Rechtsgrundlage für eine Dauerortung. Zulässig kann eine punktuelle Standorterfassung beim Start/Stopp sein, wenn ein konkreter Zweck vorliegt (z. B. Nachweis gegenüber dem Auftraggeber), die Mitarbeiter transparent informiert werden und keine Bewegungsprofile entstehen. Eine heimliche oder dauerhafte Überwachung ist unzulässig und kann Bußgelder bis in den Millionenbereich sowie Schmerzensgeldansprüche auslösen.

Checkliste: DSGVO-konforme Zeiterfassung

• Nur Beginn, Ende, Dauer, Pausen, Zeitart und Auftragszuordnung erfassen
• Kein dauerhaftes GPS-Tracking
• Serverstandort EU und AV-Vertrag mit dem Anbieter
• Rollen & Rechte: Jeder sieht nur, was er braucht
• Mitarbeiter schriftlich informieren, Selbstauskunft in der App ermöglichen
• Änderungsprotokoll für Korrekturen
• Aufbewahrungs- und Löschfristen festgelegt
• Betriebsrat einbezogen (falls vorhanden)