DSGVO-konforme Zeiterfassung: Der vollständige Leitfaden

Zeiterfassung ist Datenschutz, auch wenn es sich oft nicht so anfühlt. In dem Moment, in dem Sie festhalten, wer wann und woran gearbeitet hat, verarbeiten Sie personenbezogene Daten einer identifizierbaren Person. Nach Artikel 4 der DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – und ein Stundenzettel, der einem namentlich genannten Mitarbeitenden oder Freelancer zugeordnet ist, fällt eindeutig darunter.

Weil es sich um personenbezogene Daten handelt, braucht die Verarbeitung eine Rechtsgrundlage nach Artikel 6. Im Arbeits- oder Auftragsverhältnis ist das in der Regel die Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b) oder ein berechtigtes Interesse am Betrieb und an der Abrechnung des Unternehmens (Art. 6 Abs. 1 lit. f). Die Einwilligung ist am Arbeitsplatz selten die richtige Grundlage, weil das Machtgefälle zwischen Arbeitgeber und Beschäftigten eine wirklich freiwillige Einwilligung schwer belegbar macht.

Zwei weitere Grundsätze prägen, wie sich ein Tool verhalten sollte. Datenminimierung bedeutet, dass Sie nur erheben, was Sie zur Erfassung und Abrechnung der Arbeitszeit tatsächlich benötigen. Zweckbindung bedeutet, dass die für Stundenzettel erhobenen Daten nicht heimlich zu einem Verhaltensprofil werden. Ein konformes Tool erfasst Dauern, Projekte und Aufgaben – und hört dort auf.

Wir haben die Berichte und Auswertungen von Hourvio genau um diese Daten herum gebaut, und um nichts darüber hinaus. Wenn Ihre Software Arbeitszeit von Anfang an als sensible personenbezogene Daten behandelt, wird der Rest der Compliance deutlich einfacher.

Wo Ihre Daten physisch liegen, ist eine der ersten Fragen der DSGVO – und einer der häufigsten Stolpersteine. Speichert eine Zeiterfassung Daten auf Servern in den USA, wird jeder einzelne Zeiteintrag zu einer internationalen Übermittlung personenbezogener Daten, die nach Kapitel V der DSGVO gerechtfertigt werden muss.

In der Praxis stützt man sich dafür auf Standardvertragsklauseln (SCC) oder das EU-US Data Privacy Framework. Beides ist nutzbar, beides hat sich in den letzten Jahren aber wiederholt verschoben, und die langfristige Beständigkeit des Frameworks wurde vor europäischen Gerichten schon mehrfach infrage gestellt. Wer seine Arbeitszeiterfassung auf dieses Fundament stellt, erbt eine rechtliche Unsicherheit, die er nicht selbst geschaffen hat.

Daten in der EU zu halten, beseitigt die Übermittlungsfrage nahezu vollständig. Wir betreiben die Hourvio-Anwendung und sämtliche Kundendaten auf Servern, die Hetzner in Deutschland betreibt. Ihre erfasste Zeit, Ihre Projekte und Ihre Teamdaten bleiben auf EU-Servern in Deutschland, statt den Atlantik zu überqueren. Für Teams mit strengeren Anforderungen gehen die Sicherheitsoptionen weiter: isolierte Infrastruktur mit eigener Datenbank und eigenem Server ist ab dem Professional-Tarif verfügbar, und für Organisationen, die Daten innerhalb der eigenen Mauern brauchen, gibt es eine On-Premises-Bereitstellung.

EU-Datenhaltung ist bei Hourvio kein Premium-Zusatz. Sie ist die Grundlage jedes Tarifs, auch des kostenlosen. Was zu jedem Tarif gehört, sehen Sie auf der Preisseite.

Eine Marketing-Zeile, die „DSGVO-konform“ verspricht, sagt für sich genommen wenig aus. Konformität ergibt sich aus konkreten, überprüfbaren Eigenschaften – deshalb hilft es, jedes Tool an einer klaren Liste zu messen statt an einem Etikett. Wenn Sie Anbieter vergleichen, achten Sie auf Folgendes:

• EU-Datenhaltung mit benanntem Anbieter und Standort, nicht mit einer vagen „globalen“ Region. Hosting in Deutschland bei Hetzner ist der Detailgrad, den Sie erwarten dürfen.
• Ein Auftragsverarbeitungsvertrag (AVV) als Standard, statt für ein Enterprise-Upgrade reserviert.
• Datenminimierung als Prinzip, sodass das Tool Arbeitszeit erfasst, kein Verhalten. Keine Screenshots, keine Tastatur-Aufzeichnung, keine Standortüberwachung.
• Datenübertragbarkeit und Löschung. Artikel 20 gibt Menschen das Recht, ihre Daten in einem nutzbaren Format zu erhalten, Artikel 17 regelt die Löschung. Praktische Exporte nach CSV und Excel sowie die Möglichkeit, Datensätze zu löschen, machen diese Rechte real.
• Zugriffskontrollen, damit die richtigen Personen die richtigen Daten sehen. Achten Sie auf Rollen und Gruppen in der Teamverwaltung, dazu MFA und für größere Organisationen SSO und Prüfprotokolle.

Die Berichte und Exporte von Hourvio decken die Übertragbarkeit ab, unser Zugriffsmodell den Rest. Der Sinn der Liste ist, ein Marketing-Versprechen in etwas zu verwandeln, das Sie vor der Anmeldung tatsächlich prüfen können.

Wenn Sie eine Zeiterfassung nutzen, sind Sie der Verantwortliche und der Anbieter ist Ihr Auftragsverarbeiter. Artikel 28 der DSGVO verlangt einen schriftlichen Vertrag zwischen beiden, der festlegt, was der Auftragsverarbeiter mit den Daten tun darf, wie er sie schützt und was beim Ende der Beziehung geschieht. Dieser Vertrag ist der Auftragsverarbeitungsvertrag, kurz AVV.

Ein AVV ist kein optionaler Papierkram. Ohne einen solchen Vertrag fehlt der Verarbeitung der Arbeitszeitdaten Ihres Teams möglicherweise die rechtliche Grundlage, die sie braucht. Dennoch behandeln manche Anbieter den AVV wie eine Funktion, die man in einem höheren Tarif freischaltet, oder verstecken ihn hinter einem Verkaufsgespräch. Wir halten das für falsch herum gedacht, denn der Vertrag ist eine rechtliche Pflicht, kein Upsell.

Wir stellen Hourvio-Kunden einen AVV bereit, damit Sie das Verhältnis nach Artikel 28 auf eine klare Grundlage stellen können. Die Bedingungen lesen Sie auf der Seite zum Auftragsverarbeitungsvertrag.

Der AVV ist auch wegen der Subunternehmer wichtig. Ein Auftragsverarbeiter, der weitere Anbieter einsetzt (für Hosting, E-Mail oder Backups), stützt sich auf Unterauftragsverarbeiter, und Sie haben ein Recht zu erfahren, wer das ist. Ein vertrauenswürdiger Anbieter listet sie auf und verpflichtet sich, Sie über Änderungen zu informieren. Weil wir die Anwendung und die Kundendaten bei Hetzner in Deutschland betreiben, bleibt das Hosting-Bild innerhalb der EU, statt sich über Regionen zu verteilen, die Sie nicht einsehen können – das hält die Frage nach den Unterauftragsverarbeitern kurz und beantwortbar.

Es gibt einen wesentlichen Unterschied zwischen der Erfassung, wie lange Arbeit gedauert hat, und der Beobachtung, wie jemand arbeitet. Die DSGVO und die breitere europäische Tradition rund um Beschäftigtendaten betrachten das Zweite mit echtem Misstrauen. Eine fortlaufende Verhaltensüberwachung ist mit den Grundsätzen der Datenminimierung und Verhältnismäßigkeit kaum vereinbar, und Betriebsräte sowie Gerichte in mehreren Mitgliedstaaten haben sich dagegen gestellt.

In Deutschland ist die Pflicht zur Arbeitszeiterfassung zugleich gut belegt. Der Europäische Gerichtshof entschied mit Urteil vom 14. Mai 2019 in der Rechtssache C-55/18, dass Arbeitgeber ein objektives, verlässliches und zugängliches System zur Erfassung der täglichen Arbeitszeit einrichten müssen. Das Bundesarbeitsgericht griff dies mit Beschluss vom 13. September 2022 (1 ABR 22/21) auf und leitete eine entsprechende Pflicht bereits aus dem geltenden Arbeitsschutzrecht ab. Beide Entscheidungen verlangen, dass Arbeitszeit erfasst wird – nicht, dass Beschäftigte überwacht werden.

Ein nützlicher Maßstab ist die Verhältnismäßigkeit: Sind die erhobenen Daten für den genannten Zweck erforderlich? Zwei Stunden auf ein Projekt zu buchen ist verhältnismäßig zu Abrechnung und Planung. Regelmäßige Screenshots des Bildschirms, das Mitschneiden jedes Tastenanschlags oder das Verfolgen des Standorts sind es nicht, weil sie weit mehr sammeln, als der Betrieb erfordert.

Wir haben Hourvio gebaut, um Zeit zu erfassen, nicht Menschen. Es gibt nirgends im Produkt Screenshots, Tastatur-Aufzeichnung oder Standortüberwachung. Der Timer erfasst Dauern, der Stundenzettel erfasst, woran gearbeitet wurde – das ist das ganze Bild. Genau hier unterscheiden sich Tools in der Praxis: Manche verbreiteten Tracker bündeln Überwachungsfunktionen mit der Zeiterfassung. Wenn Sie eine EU-gehostete Alternative gegen einen US-gehosteten Platzhirsch abwägen, zeigt unser Vergleich mit Clockify, wie sich die beiden Ansätze gegenüberstehen.

Bevor Sie sich für eine Zeiterfassung entscheiden, prüfen Sie sie anhand einer kurzen, praxistauglichen Checkliste. Wenn ein Anbieter diese Fragen nicht klar beantworten kann, ist das selbst schon eine Antwort:

• Rechtsgrundlage. Können Sie benennen, warum Sie Arbeitszeitdaten verarbeiten – in der Regel Vertrag oder berechtigtes Interesse statt Einwilligung?
• Datenhaltung. Wo werden die Daten gespeichert, und liegen sie innerhalb der EU? Achten Sie auf einen benannten Anbieter und ein Land, etwa Hetzner in Deutschland.
• Auftragsverarbeitung. Ist ein AVV verfügbar und enthalten, statt für einen Enterprise-Tarif reserviert?
• Datenminimierung. Erfasst das Tool nur Arbeitszeit, ohne Screenshots, Tastatur-Aufzeichnung oder Standortüberwachung?
• Betroffenenrechte. Können Sie Daten in einem übertragbaren Format exportieren und auf Verlangen löschen, im Sinne von Artikel 20 und Artikel 17?
• Zugriffskontrollen. Gibt es Rollen und Gruppen, MFA und Prüfprotokolle für sensible Vorgänge?
• Transparenz. Sind Unterauftragsverarbeiter aufgeführt, mit Benachrichtigung bei Änderungen?

Hourvio ist so gebaut, dass es auf jeden dieser Punkte von Haus aus mit Ja antwortet. Was zu jedem Tarif gehört, sehen Sie auf der Preisseite, die technischen Details auf unserer Sicherheitsseite.