DSGVO und Zeiterfassung: Datenschutz, AV-Vertrag, Betriebsrat
Zeiterfassung ist mit der DSGVO vereinbar: Weil Arbeitgeber zur Erfassung verpflichtet sind, ist die Verarbeitung der Arbeitszeitdaten grundsätzlich zulässig. Datenschutzkonform wird sie aber erst durch die richtigen Rahmenbedingungen – Auftragsverarbeitungsvertrag mit dem Software-Anbieter, Datensparsamkeit, Zugriffsrechte, Löschfristen und gegebenenfalls die Beteiligung des Betriebsrats.
Auf welcher Rechtsgrundlage dürfen Arbeitszeiten verarbeitet werden?
Die Erfassung dient der Erfüllung einer rechtlichen Pflicht des Arbeitgebers (Arbeitszeiterfassung nach BAG-Beschluss, MiLoG, ArbZG) und der Durchführung des Arbeitsverhältnisses. Erfasst werden sollte nur, was dafür nötig ist: Beginn, Ende, Pausen, gegebenenfalls Projekt- oder Auftragszuordnung.
Brauche ich einen AV-Vertrag mit dem Zeiterfassungsanbieter?
In aller Regel ja. Wenn ein Cloud-Anbieter die Zeitdaten in Ihrem Auftrag speichert, verarbeitet er personenbezogene Daten als Auftragsverarbeiter (Art. 28 DSGVO). Seriöse Anbieter stellen einen Auftragsverarbeitungsvertrag bereit – fragen Sie danach, bevor Sie Echtdaten eintragen.
Checkliste: Ist meine Zeiterfassung DSGVO-konform?
- AV-Vertrag mit dem Anbieter abgeschlossen
- Serverstandort und Unterauftragnehmer bekannt (EU-Hosting wird von mehreren Anbietern beworben, z. B. Papershift und ZEP laut ihren Preisseiten)
- Rollen- und Rechtekonzept: Wer sieht welche Zeiten?
- Mitarbeitende über die Verarbeitung informiert (Art. 13 DSGVO)
- Lösch- und Aufbewahrungsfristen festgelegt (mindestens zwei Jahre für Nachweise nach ArbZG/MiLoG)
- Keine Zusatzdaten ohne Zweck (z. B. dauerhaftes GPS-Tracking)
- Betriebsrat beteiligt, falls vorhanden
Ist GPS-Zeiterfassung erlaubt?
Standortdaten dürfen nur erfasst werden, wenn es dafür einen klaren, erforderlichen Zweck gibt – etwa der Nachweis, an welcher Baustelle gestempelt wurde. Eine dauerhafte Ortung während der Arbeitszeit ist in der Regel unverhältnismäßig. Informieren Sie die Beschäftigten transparent und beschränken Sie die Erfassung auf den Stempelzeitpunkt.
Muss der Betriebsrat bei der Einführung zustimmen?
Ob überhaupt erfasst wird, ist keine Frage der Mitbestimmung mehr – die Pflicht besteht gesetzlich. Laut BAG muss die Erfassung nicht zwingend elektronisch erfolgen; der Betriebsrat hat kein Initiativrecht, ein elektronisches System über die Einigungsstelle zu erzwingen. Bei der Ausgestaltung eines technischen Systems, das Verhalten oder Leistung überwachen kann, hat ein vorhandener Betriebsrat jedoch ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Hintergrund: BAG-Beschluss 1 ABR 22/21.
Hinweis: Diese Seite bietet allgemeine Informationen und ist keine Rechtsberatung. Für Ihren Einzelfall wenden Sie sich bitte an eine Fachanwältin oder einen Fachanwalt für Arbeitsrecht.
Häufige Fragen
- Ist meine Zeiterfassungssoftware DSGVO-konform?
- Das hängt von den Rahmenbedingungen ab: AV-Vertrag mit dem Anbieter, bekannter Serverstandort, Rechtekonzept, Information der Beschäftigten, festgelegte Löschfristen und Datensparsamkeit.
- Braucht man einen AV-Vertrag mit dem Zeiterfassungsanbieter?
- In aller Regel ja, weil ein Cloud-Anbieter die Zeitdaten als Auftragsverarbeiter nach Art. 28 DSGVO verarbeitet.
- Muss der Betriebsrat bei der Einführung der Zeiterfassung zustimmen?
- Ob erfasst wird, ist gesetzlich vorgegeben; der Betriebsrat kann laut BAG kein elektronisches System erzwingen. Bei der Ausgestaltung eines technischen Systems hat ein vorhandener Betriebsrat aber ein Mitbestimmungsrecht.