DSGVO Zeiterfassung Deutschland — was Arbeitgeber 2026 wissen müssen
Zuletzt aktualisiert: 9. Juli 2026 · Lesezeit: ca. 8 Minuten
Mit KI erzeugte Abbildung · KI-Transparenz
Seit dem BAG-Urteil vom 13.09.2022 ist die Erfassung der Arbeitszeit für Arbeitgeber in Deutschland verpflichtend. Zusammen mit der DSGVO ergeben sich konkrete Anforderungen an das eingesetzte Zeiterfassungs-System. Dieser Leitfaden fasst das Wichtigste zusammen.
1. Rechtsgrundlage
Die Pflicht zur Zeiterfassung ergibt sich aus dem BAG-Beschluss 1 ABR 22/21 vom 13. September 2022, der das EuGH-Urteil CCOO/Deutsche Bank (C-55/18) für Deutschland konkretisiert hat. Arbeitgeber müssen ein „objektives, verlässliches und zugängliches" System bereitstellen — Excel oder Papier sind zwar formal ausreichend, praktisch aber weder revisionssicher noch DSGVO-freundlich.
2. DSGVO-Grundprinzipien für Zeitdaten
Zeiterfassungsdaten sind personenbezogene Daten im Sinne von Art. 4 DSGVO. Es gelten:
- Zweckbindung (Art. 5 Abs. 1 lit. b): Erfassung nur für Arbeitszeitkontrolle, Lohn und Arbeitsschutz
- Datenminimierung: keine unnötigen Zusatzdaten (GPS, Biometrie etc.) ohne Erforderlichkeit
- Speicherbegrenzung: 2 Jahre nach § 16 Abs. 2 ArbZG, bis zu 8 Jahre nach § 147 Abs. 3 AO (n. F. seit BEG IV, 1.1.2025) bei lohnrelevanten Buchungsbelegen
- Integrität (Art. 32): Manipulationsschutz durch Audit-Log
3. Besondere Kategorien: Gesundheits- und biometrische Daten
Krankmeldungen, Arbeitsunfähigkeitszeiten und biometrische Merkmale (z. B. Fingerabdruck am Terminal) sind besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Ihre Verarbeitung ist nur zulässig, wenn ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO greift — im Beschäftigungsverhältnis in der Regel Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Rechte und Pflichten aus dem Arbeitsrecht und der sozialen Sicherheit). Praktische Folgen:
- Nur die Abwesenheit und ihr Zeitraum gehören ins System — keine Diagnosen
- Zugriff strikt auf Personalstelle und die für die Entgeltabrechnung nötigen Rollen begrenzen
- Biometrie nie als einziges Verfahren: nach § 26 Abs. 3 BDSG braucht es Erforderlichkeit und in der Praxis eine zumutbare Alternative (PIN, Karte)
- Für Gesundheitsdaten zusätzliche Schutzmaßnahmen nach Art. 9 Abs. 2 lit. b, § 22 Abs. 2 BDSG dokumentieren
4. AVV und Auftragsverarbeitung
Bei Nutzung einer Cloud-Software zur Zeiterfassung liegt Auftragsverarbeitung nach Art. 28 DSGVO vor. Ein AVV ist zwingend. Panther HR liefert den AVV nach Art. 28 DSGVO und Art. 28 DSGVO im Trial-Prozess digital signierbar mit.
5. Mitbestimmung durch den Betriebsrat
Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen zur Verhaltens- oder Leistungskontrolle. Vor der Einführung einer digitalen Zeiterfassung sollte eine Betriebsvereinbarung geschlossen werden, die insbesondere regelt:
- Welche Daten erfasst werden (nur Beginn/Ende/Pause vs. GPS, Projektzuordnung …)
- Wer welche Auswertungen sieht (Führungskraft nur eigenes Team, HR alle)
- Aufbewahrungs- und Löschfristen
- Umgang mit Verstößen (kein Automatismus, sondern Anhörung)
6. Technisch-organisatorische Maßnahmen (Art. 32)
Das System muss mindestens leisten:
- Verschlüsselung at rest und in transit (mind. AES-256 / TLS 1.3)
- Rollen- und Rechte-Konzept mit Row-Level-Security
- Audit-Log für nachträgliche Änderungen
- Zwei-Faktor-Authentifizierung für Administratoren
- Hosting im EWR (idealerweise Deutschland)
- Backup + Business Continuity
7. Häufige Fragen
Ist digitale Zeiterfassung in Deutschland Pflicht?
Ja — seit dem BAG-Beschluss vom 13.09.2022 (1 ABR 22/21) sind Arbeitgeber verpflichtet, ein objektives, verlässliches und zugängliches System zur Erfassung der Arbeitszeit einzuführen; das Gericht konkretisierte damit das EuGH-Urteil CCOO/Deutsche Bank (C-55/18) für Deutschland. Der Referentenentwurf des BMAS vom April 2023 sieht zusätzlich eine elektronische Erfassungspflicht vor. Arbeitgeber sollten frühzeitig ein DSGVO-konformes System einführen, statt auf die endgültige Gesetzesfassung zu warten.
Wie lange müssen Zeiterfassungsdaten aufbewahrt werden?
Zeitdaten unterliegen zwei parallelen Fristen: Nach § 16 Abs. 2 ArbZG müssen reine Arbeitszeitnachweise mindestens zwei Jahre aufbewahrt werden. Fließen die Zeitdaten zusätzlich in lohnrelevante Buchungsbelege ein, greift § 147 AO — diese Frist wurde durch das Vierte Bürokratieentlastungsgesetz zum 1.1.2025 von zehn auf acht Jahre verkürzt. In der Praxis empfiehlt sich, die längere Frist von acht Jahren anzuwenden, um bei einer Betriebsprüfung auf der sicheren Seite zu sein.
Braucht die Zeiterfassung eine Betriebsvereinbarung?
Sofern ein Betriebsrat besteht, ja: § 87 Abs. 1 Nr. 6 BetrVG gibt ihm ein Mitbestimmungsrecht bei technischen Einrichtungen zur Verhaltens- und Leistungskontrolle, wozu digitale Zeiterfassungssysteme zählen. Die Betriebsvereinbarung sollte insbesondere regeln, welche Daten erfasst werden, wer welche Auswertungen einsehen darf, wie lange die Daten aufbewahrt werden und wie mit vermeintlichen Verstößen umgegangen wird. Ohne Betriebsrat genügt eine transparente Datenschutzerklärung gegenüber den Beschäftigten.
Was muss die DSGVO-Dokumentation enthalten?
Die Dokumentation umfasst mindestens vier Bausteine: ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, einen Auftragsverarbeitungsvertrag mit dem SaaS-Anbieter nach Art. 28, den Nachweis technisch-organisatorischer Maßnahmen nach Art. 32 (etwa Verschlüsselung, Rollen- und Rechtekonzept, Audit-Log, Zwei-Faktor-Authentifizierung) sowie die Betroffenen-Information nach Art. 13. Arbeitgeber sollten diese Unterlagen vor Einführung des Systems zusammenstellen und regelmäßig aktualisieren.
Panther HR deckt die technischen Anforderungen dieses Ratgebers ab.
EuGH-/BAG-konforme Erfassung, AVV nach Art. 28 digital signierbar, Hosting in Deutschland, AES-256, Row-Level-Security, Audit-Log, 2FA. Ab 6 € pro Mitarbeiter/Monat (4 € Basis + 2 € Modul). Organisatorische Pflichten wie Betriebsvereinbarung, Verarbeitungsverzeichnis und Löschkonzept bleiben beim Arbeitgeber.
Zum Zeiterfassungs-Modul →Transparente Kosten: 4 € Basis pro Nutzer/Monat plus 2 € je gebuchtem Modul — alle Preise im Überblick.