Arbeitszeiterfassung und Datenschutz: Was Sie erfassen dürfen

Inhalt in Kürze

• Die Pflicht zur Arbeitszeiterfassung steht seit dem BAG-Beschluss vom 13. September 2022 (1 ABR 22/21) fest — sie folgt aus § 3 Abs. 2 Nr. 1 Arbeitsschutzgesetz und gilt schon heute.
• Rechtsgrundlage für die Pflichtdaten ist Art. 6 Abs. 1 lit. c DSGVO. Alles darüber hinaus — Standort, Leistungsauswertung, biometrische Merkmale — braucht eine eigene Begründung.
• Fingerabdruck-Terminals sind der häufigste Fehlgriff: biometrische Daten nach Art. 9 DSGVO, und nach der Rechtsprechung meist nicht erforderlich.
• Löschfristen ergeben sich aus § 16 Abs. 2 ArbZG (mindestens zwei Jahre). Danach ist Löschen Pflicht, nicht Kür.

Zeiterfassung wird im Mittelstand meist als IT-Projekt behandelt: Terminal aussuchen, System einführen, fertig. Der Datenschutz kommt erst ins Spiel, wenn der Betriebsrat Fragen stellt oder ein Mitarbeiter wissen will, warum sein Standort gespeichert wird. Dann ist das System aber schon gekauft.

Erst die Pflicht, dann die Grenze

Seit dem 13. September 2022 ist die Rechtslage klar. Das Bundesarbeitsgericht hat in seinem Beschluss 1 ABR 22/21 entschieden, dass Arbeitgeber nach § 3 Abs. 2 Nr. 1 Arbeitsschutzgesetz verpflichtet sind, ein System zur Erfassung der Arbeitszeit einzuführen — für alle Arbeitszeiten, nicht nur für die über acht Stunden hinausgehenden.

Vorausgegangen war das Urteil des Europäischen Gerichtshofs vom 14. Mai 2019 in der Sache CCOO (C-55/18). Das Bundesarbeitsministerium hat am 18. Juni 2026 einen Referentenentwurf zur Änderung des Arbeitszeitgesetzes vorgelegt, der die Anforderungen an eine elektronische Aufzeichnung konkretisieren soll. Der Entwurf ist noch nicht in Kraft — die Pflicht selbst besteht davon unabhängig bereits.

Die Rechtsgrundlage entscheidet über den Umfang

Hier trennt sich der zulässige vom problematischen Teil eines Zeiterfassungssystems.

Der Fehler passiert fast immer in derselben Reihenfolge: Ein System wird wegen der Zeiterfassung angeschafft — und weil es ohnehin da ist, aktiviert jemand die Auswertungsfunktionen. Damit verlässt die Verarbeitung ihre Rechtsgrundlage.

Der Klassiker: Fingerabdruck am Terminal

Biometrische Zeiterfassung wirkt praktisch — kein vergessener Chip, keine geteilte Karte. Datenschutzrechtlich ist sie der schwierigste Weg.

Fingerabdrücke sind biometrische Daten zur eindeutigen Identifizierung und fallen unter Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, ein Ausnahmetatbestand greift. Das Arbeitsgericht Berlin hat 2019 (Az. 29 Ca 5451/19) entschieden, dass eine Zeiterfassung per Fingerabdruck nicht erforderlich ist, wenn mildere Mittel zur Verfügung stehen — und dass Abmahnungen gegen einen Mitarbeiter, der die Nutzung verweigert, deshalb aus der Personalakte zu entfernen waren.

Aus der Praxis

Wir hatten einen Handwerksbetrieb mit 60 Leuten, der eine App eingeführt hat: Einstempeln nur mit Standortfreigabe, sonst geht der Button nicht. Der Grund war banal — der Anbieter hatte es so voreingestellt. Nach zwei Wochen lag die erste Beschwerde auf dem Tisch. Wir haben die Standorterfassung abgeschaltet, die Zeiten liefen weiter, und niemand hat sie vermisst. Die Frage ist nie „Was kann das System?", sondern „Was brauchen wir wirklich?".

Jens HagelGeschäftsführer & Mitgründer frag.hugo

Betriebsrat: mitbestimmt wird das Wie

Wo ein Betriebsrat besteht, gilt eine klare Aufteilung. Weil die Einführung gesetzlich vorgeschrieben ist, hat der Betriebsrat kein Initiativrecht für die Frage, ob erfasst wird — das war der Kern der BAG-Entscheidung von 2022.

Die Ausgestaltung unterliegt dagegen der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, weil jedes technische Zeiterfassungssystem zur Überwachung von Verhalten und Leistung geeignet ist. Praktisch heißt das: Systemauswahl, Funktionsumfang, Auswertungen, Zugriffsrechte und Löschfristen gehören in eine Betriebsvereinbarung.

Diese Betriebsvereinbarung kann zugleich als Rechtsgrundlage im Sinne von Art. 88 DSGVO dienen — vorausgesetzt, sie enthält die dort geforderten Schutzmaßnahmen und beschränkt sich nicht auf eine Zustimmung.

Zugriff und Löschung: die zwei Punkte im Audit

1. Zugriffskonzept festlegen. Wer darf welche Zeiten sehen? Die eigene Zeit jeder Beschäftigte, die Zeiten des Teams die Führungskraft, alles die Personalabteilung. Ein Systemadministrator mit Vollzugriff auf alle Auswertungen ist ein Befund, kein Feature.
2. Löschfristen umsetzen. § 16 Abs. 2 Arbeitszeitgesetz verlangt eine Aufbewahrung von mindestens zwei Jahren. Danach besteht kein Zweck mehr — sofern nicht steuer- oder sozialversicherungsrechtliche Fristen greifen. Die Frist gehört ins Löschkonzept, nicht in den Kopf des Lohnbuchhalters.
3. Auswertungen begrenzen. Deaktivieren Sie Funktionen, die Sie nicht brauchen — Ranglisten, Pünktlichkeitsstatistiken, Live-Anwesenheitsanzeigen. Was nicht aktiv ist, muss nicht gerechtfertigt werden.
4. Verarbeitungsverzeichnis ergänzen. Zeiterfassung ist eine eigene Verarbeitungstätigkeit mit eigenem Eintrag: Zweck, Rechtsgrundlage, Kategorien, Empfänger, Löschfrist.
5. AVV mit dem Anbieter schließen. Läuft das System in der Cloud, ist der Anbieter Auftragsverarbeiter. Was der Vertrag leisten muss, steht im Beitrag zum Auftragsverarbeitungsvertrag.

Die drei häufigsten Befunde

• Standortdaten ohne Zweck. Aktiviert, weil die App es anbietet. Für die Arbeitszeit ist der Zeitstempel ausreichend.
• Keine Löschung. Zeitdaten seit Systemeinführung, vollständig, unbegrenzt. Häufig, weil niemand die Löschroutine konfiguriert hat.
• Vollzugriff für die IT. Der Administrator kann alle Zeitnachweise aller Beschäftigten einsehen und exportieren — ohne dass das jemand angeordnet hätte.

Wo die Grenze zur unzulässigen Überwachung verläuft, haben wir im Beitrag zur Videoüberwachung am Arbeitsplatz an einem verwandten Fall aufgearbeitet.

Fazit: Ihr nächster Schritt

Die Zeiterfassung selbst ist unstrittig — sie ist Pflicht. Die Risiken liegen in den Zusatzfunktionen, die kein Mensch verlangt hat und die trotzdem eingeschaltet sind. Wer vor der Systemauswahl festlegt, welche Daten er tatsächlich braucht, spart sich die spätere Diskussion mit Betriebsrat, Belegschaft und Aufsicht.

Wenn Sie gerade ein System auswählen oder ein bestehendes prüfen lassen wollen: Die datenschutzrechtliche Bewertung dauert selten länger als einen halben Tag. Laufend begleiten wir das über den Beschäftigtendatenschutz und im Mandat als externer Datenschutzbeauftragter.

Häufige Fragen (FAQ)

Sind Arbeitgeber in Deutschland zur Arbeitszeiterfassung verpflichtet?

Ja. Das Bundesarbeitsgericht hat am 13. September 2022 (1 ABR 22/21) entschieden, dass sich aus § 3 Abs. 2 Nr. 1 Arbeitsschutzgesetz die Pflicht ergibt, ein System zur Erfassung der Arbeitszeit einzuführen. Diese Pflicht besteht unabhängig von einer Neuregelung im Arbeitszeitgesetz und gilt für alle Beschäftigten.

Auf welcher Rechtsgrundlage werden Zeiterfassungsdaten verarbeitet?

Für die gesetzlich vorgeschriebenen Daten – Beginn, Ende und Dauer der Arbeitszeit – ist Art. 6 Abs. 1 lit. c DSGVO einschlägig: Erfüllung einer rechtlichen Verpflichtung. Alles, was darüber hinausgeht, etwa Standortdaten oder Auswertungen zur Leistung, braucht eine eigene Rechtsgrundlage und eine eigene Erforderlichkeitsprüfung.

Darf ich Arbeitszeit per Fingerabdruck erfassen?

In der Regel nicht ohne Weiteres. Fingerabdrücke sind biometrische Daten nach Art. 9 DSGVO und besonders geschützt. Das Arbeitsgericht Berlin hat 2019 entschieden, dass eine Zeiterfassung per Fingerabdruck nicht erforderlich ist, wenn mildere Mittel wie Karte oder Software zur Verfügung stehen (Az. 29 Ca 5451/19).

Wie lange dürfen Zeiterfassungsdaten gespeichert werden?

Nach § 16 Abs. 2 Arbeitszeitgesetz sind die Aufzeichnungen mindestens zwei Jahre aufzubewahren. Für steuer- und sozialversicherungsrechtliche Zwecke können längere Fristen greifen. Danach müssen die Daten gelöscht werden – eine dauerhafte Archivierung ohne Zweck ist nicht zulässig.

Hat der Betriebsrat bei der Zeiterfassung mitzubestimmen?

Beim Ob nicht, bei der Ausgestaltung ja. Da die Einführung gesetzlich vorgeschrieben ist, entfällt das Initiativrecht für die Frage, ob erfasst wird. Die konkrete Ausgestaltung eines technischen Systems unterliegt aber der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, weil es zur Verhaltens- und Leistungskontrolle geeignet ist.

Darf ich Außendienstmitarbeiter per GPS erfassen?

Nur für die Zeiterfassung ist GPS praktisch nie erforderlich. Für die Arbeitszeit reicht der Zeitstempel. Standortdaten sind ein deutlich tieferer Eingriff und brauchen einen eigenen, davon getrennten Zweck – etwa Disposition oder Nachweis von Fahrzeiten – samt Interessenabwägung und Dokumentation.