Recht & Compliance · ca. 10 Min. Lesezeit · Veröffentlicht 17. Juli 2026

DSGVO-konforme Zeiterfassung: Was Betriebe beim digitalen Stempeln beachten müssen

Seit dem EuGH-Urteil zur Arbeitszeiterfassungspflicht und dem neuen Arbeitszeitgesetz rüsten Betriebe auf digitale Stempel-Apps um. Doch wer Arbeitszeiten elektronisch erfasst, erhebt zwangsläufig personenbezogene Daten — und muss dabei die DSGVO einhalten. Was das konkret bedeutet, welche Pflichten gelten und worauf du bei der Wahl einer DSGVO-konformen Schichtplan App achten solltest.

Warum DSGVO und Zeiterfassung untrennbar verbunden sind

Arbeitszeiten sind personenbezogene Daten im Sinne von Art. 4 DSGVO. Sobald du festhältst, wann Mitarbeiterin A oder Mitarbeiter B eingestempelt hat, wie lange die Pause dauerte und wann die Schicht endete, verarbeitest du Daten, die eindeutig einer natürlichen Person zuzuordnen sind. Das gilt für einfache Papierbögen genauso wie für die modernste Cloud-App — der Unterschied liegt jedoch in Umfang, Zugänglichkeit und Risikopotenzial.

Digitale Zeiterfassungssysteme erfassen zudem oft mehr Metadaten als ihr Papierersatz: GPS-Standorte beim mobilen Einstempeln, Gerätekennungen, Browserversionen, Einlogg-Zeitstempel. Wer diese Daten nicht bewusst im Griff hat, begibt sich in eine rechtliche Grauzone — mit Bußgeldrisiken nach Art. 83 DSGVO von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Rechtsgrundlage: Warum Einwilligung der falsche Weg ist

Viele Betriebe glauben, sie könnten Datenschutzprobleme mit einer Einwilligungserklärung im Arbeitsvertrag lösen. Das ist ein weit verbreiteter Irrtum. Die DSGVO erlaubt zwar die Einwilligung als Rechtsgrundlage (Art. 6 Abs. 1 lit. a), doch im Beschäftigungsverhältnis gilt die Einwilligung wegen des Machtgefälles zwischen Arbeitgeber und Arbeitnehmer grundsätzlich als nicht freiwillig gegeben.

Der richtige Weg ist Art. 6 Abs. 1 lit. c DSGVO: Erfüllung einer rechtlichen Verpflichtung. Die Arbeitszeiterfassung ist nach dem deutschen Arbeitszeitgesetz (ArbZG) und der EuGH-Rechtsprechung eine Pflicht des Arbeitgebers. Damit besteht eine klare gesetzliche Grundlage für die Datenverarbeitung — ohne dass es einer Einwilligung bedarf.

Darüber hinaus kommt § 26 BDSG als Grundlage für die Verarbeitung von Beschäftigtendaten in Betracht, soweit die Zeiterfassung zur Durchführung des Beschäftigungsverhältnisses erforderlich ist.

Datensparsamkeit: Nur erheben, was wirklich nötig ist

Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung: Es dürfen nur die Daten erhoben werden, die für den jeweiligen Zweck tatsächlich erforderlich sind. Für die Arbeitszeiterfassung im Schichtbetrieb bedeutet das konkret:

• Erforderlich: Beginn und Ende der Arbeitszeit, Pausen, Schichtart, Name oder Personalnummer
• Kritisch zu prüfen: GPS-Standort beim Einstempeln (nur zulässig, wenn begründet — z. B. Außendienst oder mobile Pflege)
• In der Regel nicht zulässig: Biometrische Daten (Fingerabdruck, Gesichtserkennung) ohne ausdrückliche und freiwillige Einwilligung — oder ohne Betriebsvereinbarung, die die spezifischen Schutzmaßnahmen regelt
• Unzulässig: Echtzeitüberwachung der Computeraktivität oder Produktivitätstracking unter dem Deckmantel der Zeiterfassung

Eine DSGVO-konforme Schichtplan App sollte dir erlauben, GPS-Tracking selektiv zu deaktivieren und den Umfang der erhobenen Metadaten zu konfigurieren — statt alle Features standardmäßig aktiv zu schalten.

Auftragsverarbeitung: Wenn eine App die Daten speichert

Nutzt du eine Cloud-basierte Schichtplan App, gilt der Anbieter in der Regel als Auftragsverarbeiter nach Art. 28 DSGVO. Das bedeutet:

1. Du musst mit dem Anbieter einen schriftlichen Auftragsverarbeitungsvertrag (AVV) abschließen — eine Anforderung, die viele kleine Betriebe übersehen.
2. Du bleibst als Verantwortlicher für die Einhaltung der DSGVO zuständig — auch wenn die Daten beim Anbieter liegen.
3. Du musst sicherstellen, dass der Anbieter ausreichende technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten nachweist.
4. Wird der Server außerhalb des EWR betrieben (z. B. USA), braucht es zusätzlich einen gültigen Drittland-Transfer-Mechanismus (Standardvertragsklauseln oder Adequacy Decision).

Seriöse Anbieter stellen einen AVV auf Anfrage oder automatisch über ihr Onboarding bereit. Wenn ein Anbieter auf Nachfrage keinen AVV liefert, ist das ein klares Ausschlusskriterium.

„Wir dachten, der Anbieter kümmert sich um den Datenschutz. Nach einer Datenschutzprüfung stellte sich heraus: Kein AVV, Server in den USA ohne Standardvertragsklauseln. Das hat uns drei Monate Nacharbeit gekostet." — Aussage eines HR-Leiters aus dem Pflegebereich (Quelle: Fachforum Datenschutz im Gesundheitswesen)

Speicherfristen: Wie lange dürfen Zeiterfassungsdaten aufbewahrt werden?

Die DSGVO verlangt, dass personenbezogene Daten nicht länger gespeichert werden als nötig (Art. 5 Abs. 1 lit. e — Speicherbegrenzung). Für Arbeitszeitdaten gelten dabei unterschiedliche gesetzliche Aufbewahrungsfristen, die du kennen musst:

• Steuer- und handelsrechtliche Aufbewahrungspflicht: Lohnunterlagen, zu denen Zeitnachweise gehören, müssen in der Regel 6 Jahre aufbewahrt werden (§ 257 HGB, § 147 AO).
• Sozialversicherungsrechtliche Aufbewahrung: Für Beschäftigte in der Rentenversicherung werden Unterlagen bis zu 30 Jahre aufbewahrt — allerdings nur die für die Rentenberechnung relevanten Angaben, nicht die tagesgenauen Ein- und Ausstempelzeiten.
• Verjährungsfristen: Bei arbeitsrechtlichen Streitigkeiten können Zeitnachweise bis zu 3 Jahre relevant sein.

Praktisch bedeutet das: Detaillierte Stempelzeiten sollten nach Ablauf der steuerrechtlichen Frist (6 Jahre) gelöscht oder anonymisiert werden. Eine gute Schichtplan App bietet automatische Lösch- oder Anonymisierungsroutinen, die du nach Ablauf der Fristen aktivieren kannst.

Auskunftsrecht und Datenzugang für Beschäftigte

Nach Art. 15 DSGVO haben Beschäftigte das Recht, jederzeit Auskunft darüber zu verlangen, welche Daten über sie gespeichert sind. Das betrifft auch Zeiterfassungsdaten. Eine DSGVO-konforme Schichtplan App sollte deshalb:

• Beschäftigten über die App direkten Einblick in ihre eigenen erfassten Zeiten ermöglichen (vermeidet viele Auskunftsersuchen von vornherein)
• Einen Export der persönlichen Zeitdaten in einem gängigen Format (CSV, PDF) bereitstellen
• Ein Korrekturverfahren anbieten, über das Beschäftigte fehlerhafte Zeiten melden können (Recht auf Berichtigung nach Art. 16 DSGVO)

Gut gemachte Self-Service-Apps erfüllen diese Anforderungen als Nebeneffekt ihres Mitarbeiterzugangs — der Beschäftigte sieht sein eigenes Konto, kann Stempelzeiten einsehen und Korrekturen beantragen.

GPS und Standortverfolgung: besondere Vorsicht geboten

Mobile Zeiterfassung per Smartphone ermöglicht es technisch, den genauen Standort beim Einstempeln zu protokollieren. Das kann sinnvoll sein — etwa bei ambulanten Pflegediensten, Fahrdiensten oder Außendienstmitarbeitenden, wo der Arbeitsort täglich wechselt.

Gleichzeitig ist GPS-Tracking eine der datenschutzrechtlich sensibelsten Funktionen und unterliegt besonderen Anforderungen:

1. Verhältnismäßigkeit: GPS ist nur erlaubt, wenn es für den Zweck der Zeiterfassung tatsächlich erforderlich ist. Im stationären Betrieb (Ladengeschäft, Fabrikhalle) fehlt in der Regel die Erforderlichkeit — ein einfacher Terminal oder die App ohne Standort reicht aus.
2. Zeitliche Beschränkung: Die Ortung darf nur zum Zeitpunkt des Ein- und Ausstempelns erfolgen, nicht durchgehend während der Schicht.
3. Transparenz: Beschäftigte müssen klar und verständlich informiert werden, dass und wie ihr Standort erfasst wird.
4. Betriebsvereinbarung: GPS-basierte Zeiterfassung ist in mitbestimmten Betrieben nur mit Betriebsvereinbarung einzuführen.

Praxis-Tipp: Konfiguriere die App so, dass GPS standardmäßig deaktiviert ist und nur für explizit markierte Mitarbeiterkategorien aktiviert wird, wo ein betrieblicher Grund vorliegt.

Datenschutz-Informationspflicht gegenüber Beschäftigten

Art. 13 DSGVO verpflichtet dich, Beschäftigte vor oder bei der erstmaligen Datenerhebung umfassend zu informieren. Das passiert üblicherweise über ein sogenanntes Datenschutzhinweisblatt für Beschäftigte, das folgende Punkte enthält:

• Wer ist Verantwortlicher? (Dein Unternehmen)
• Welche Daten werden erhoben? (Stempelzeiten, ggf. Standort)
• Zu welchem Zweck? (Arbeitszeitnachweis, Lohnabrechnung)
• Auf welcher Rechtsgrundlage? (ArbZG, § 26 BDSG)
• Wer hat Zugang? (Schichtleitung, HR, ggf. Steuerberater)
• Wie lange werden Daten gespeichert? (6 Jahre gemäß Steuerrecht)
• Welche Rechte haben Beschäftigte? (Auskunft, Berichtigung, Löschung, Beschwerde)

Dieses Hinweisblatt kann in den Arbeitsvertrag integriert, separat ausgehändigt oder über die App zugänglich gemacht werden. Wichtig ist der nachweisbare Zugang — eine Quittung oder ein digitaler Bestätigungsklick sind empfehlenswert.

Was eine DSGVO-konforme Schichtplan App mitbringen muss

Beim Marktvergleich solltest du diese konkreten Datenschutz-Features abfragen:

• AVV automatisch verfügbar: Der Anbieter stellt einen Auftragsverarbeitungsvertrag ohne Nachfragen und Verzögerung bereit.
• Serverstandort im EWR: Daten werden in Deutschland, Österreich oder andernorts in der EU verarbeitet und gespeichert.
• Rollenbasierte Zugriffsrechte: Nur berechtigte Personen (z. B. Schichtleitung, HR) haben Zugang zu Zeiterfassungsdaten — nicht alle Nutzer.
• Audit-Log: Wer hat wann welche Zeitdaten eingesehen oder verändert? Ein Protokoll ist unverzichtbar für Streitfälle und Datenschutzprüfungen.
• Automatische Löschfristen: Die App unterstützt die Konfiguration von Lösch- oder Anonymisierungsroutinen nach Ablauf definierter Fristen.
• Verschlüsselung: Daten werden sowohl bei der Übertragung (TLS) als auch im Ruhezustand (Encryption at Rest) verschlüsselt.
• Meldung von Datenschutzvorfällen: Im Fall eines Datenlecks muss der Anbieter als Auftragsverarbeiter dich unverzüglich (innerhalb 24–72 Stunden) informieren, damit du deiner Meldepflicht nach Art. 33 DSGVO nachkommen kannst.

Bußgelder und Praxisrisiken: wie realistisch ist eine Strafe?

Theorie und Praxis klaffen beim DSGVO-Vollzug im Beschäftigtenbereich noch auseinander. Die deutschen Datenschutzaufsichtsbehörden konzentrieren sich bislang stärker auf Online-Tracking, Cookie-Probleme und Datenlecks großer Unternehmen als auf die interne Zeiterfassung kleiner Betriebe. Das bedeutet jedoch nicht, dass das Risiko null ist:

• Betriebsräte können Beschwerden bei der Datenschutzbehörde einreichen — und tun das in der Praxis auch.
• Einzelne Beschäftigte können Auskunftsansprüche und Schadensersatz nach Art. 82 DSGVO geltend machen.
• Bei Datenpannen (z. B. gehackter Server des Anbieters) wird geprüft, ob ein ordentlicher AVV vorlag und die TOMs ausreichend waren. Fehlt der AVV, haftest du ohne Entlastungsmöglichkeit.

Das größte Risiko in der Praxis ist nicht das direkte Bußgeld, sondern der Vertrauensverlust im Team, wenn Beschäftigte das Gefühl haben, unkontrolliert überwacht zu werden. Datenschutz bei der Zeiterfassung ist deshalb nicht nur eine Compliance-Frage, sondern auch eine Frage der Unternehmenskultur.

Fazit: Datenschutz als Qualitätsmerkmal moderner Zeiterfassung

DSGVO-konforme Zeiterfassung ist kein bürokratisches Hindernis, sondern ein Zeichen für einen professionellen Umgang mit Beschäftigtendaten. Betriebe, die die rechtlichen Anforderungen von Anfang an richtig umsetzen, vermeiden nicht nur Bußgelder — sie schaffen auch eine Vertrauensbasis im Team, die bei der Einführung neuer Systeme den entscheidenden Unterschied machen kann.

Bei der Auswahl einer Schichtplan App mit integrierter Zeiterfassung sollten Datenschutz-Features genauso zum Entscheidungskriterium gehören wie Benutzerfreundlichkeit oder Preis. Die gute Nachricht: Die führenden DACH-Anbieter haben die DSGVO-Anforderungen längst in ihre Produkte integriert — du musst nur gezielt nachfragen und vergleichen.

DSGVO-konforme Schichtplan Apps vergleichen