Zeiterfassung automatisiert und rechtssicher im Mittelstand

Das Problem: Pflicht zur Zeiterfassung trifft auf Excel-Chaos

Seit dem Urteil des Bundesarbeitsgerichts vom 13. September 2022 ist klar: Arbeitgeber müssen die tägliche Arbeitszeit ihrer Beschäftigten systematisch erfassen. Das gilt auch für den Mittelstand, unabhängig von der Betriebsgröße. Viele Unternehmen arbeiten heute noch mit Excel-Listen, handschriftlichen Stundenzetteln oder gar keiner Erfassung. Das reicht nicht mehr.

Das Risiko ist konkret: Bei Prüfungen durch Zoll, Finanzkontrolle Schwarzarbeit oder Gewerbeaufsicht drohen Bußgelder von bis zu 30.000 Euro pro Verstoß. Hinzu kommen Nachzahlungen bei Mindestlohn-Verstößen, wenn nicht nachgewiesen werden kann, dass alle Stunden korrekt vergütet wurden. Gleichzeitig entstehen Haftungsrisiken gegenüber Mitarbeitenden, die Überstunden geltend machen, die nicht dokumentiert sind.

Die eigentliche Herausforderung liegt nicht im Erfassen selbst, sondern in der rechtskonformen Verarbeitung, sicheren Speicherung und Auswertbarkeit der Daten. Zeitdaten sind personenbezogen, unterliegen der DSGVO und müssen über zehn Jahre revisionssicher aufbewahrt werden. Genau hier setzen automatisierte Lösungen an.

Was automatisierte Zeiterfassung wirklich bedeutet

Automatisierte Zeiterfassung meint nicht, dass ein System für Ihre Mitarbeitenden die Arbeitszeit erfindet. Es bedeutet, dass die Erfassung, Validierung, Speicherung und Auswertung ohne manuelle Eingriffe ablaufen. Der Mitarbeitende gibt Start und Ende der Arbeitszeit ein, das System prüft Plausibilität, speichert die Daten revisionssicher und stellt sie für Lohnbuchhaltung, Controlling und Prüfungen bereit.

Eine vollständige Lösung besteht aus vier Komponenten:

• Erfassungskanal: Web-Oberfläche, mobile App, Terminal am Eingang oder API-Anbindung an bestehende Systeme wie ERP oder Zutrittskontrolle.
• Validierungslogik: Prüfung auf Mindestpausen, maximale Arbeitszeit nach ArbZG, Überschneidungen bei parallelen Projekten.
• Speicher: EU-gehostete Datenbank mit Zugriffskontrolle, Verschlüsselung und Versionierung für Änderungen.
• Reporting: Automatische Übermittlung an Lohnbuchhaltung, Dashboards für Führungskräfte, Export für Prüfungen.

Im Mittelstand funktionieren Lösungen, die in bestehende Systeme integriert werden. Eine separate Insellösung führt nur zu doppelter Datenpflege und Abbruch nach drei Monaten.

Rechtliche Anforderungen: Was das BAG-Urteil und die DSGVO verlangen

Das BAG-Urteil fordert, dass Beginn, Ende und Dauer der täglichen Arbeitszeit erfasst werden. Die Aufzeichnung muss zeitnah erfolgen, am selben oder spätestens am Folgetag. Sie muss für Kontrollbehörden verfügbar und für Mitarbeitende einsehbar sein. Vertrauensarbeitszeit oder Pauschalen ersetzen die Erfassung nicht.

Aus DSGVO-Sicht sind Zeitdaten personenbezogen und dürfen nur zum Zweck der Arbeitszeiterfassung, Lohnabrechnung und gesetzlicher Aufbewahrung verarbeitet werden. Sie dürfen nicht für Leistungsbeurteilung oder Verhaltenskontrolle missbraucht werden, es sei denn, das ist vertraglich und betrieblich geregelt. Artikel 5 DSGVO verlangt Zweckbindung, Datenminimierung und Speicherbegrenzung.

Konkrete Pflichten:

• Aufbewahrungsfrist: zehn Jahre nach Abgabepflicht der Lohnsteueranmeldung, also faktisch elf Jahre.
• Verschlüsselung: sowohl bei Übertragung (TLS 1.3) als auch im Ruhezustand.
• Zugriffskontrolle: Nur HR, Lohnbuchhaltung und Führungskraft mit berechtigtem Interesse dürfen Daten einsehen.
• Protokollierung: Jede Änderung an Zeitdaten muss nachvollziehbar sein (Wer, Wann, Was).
• Mitarbeitenden-Einsicht: Jeder Beschäftigte muss jederzeit seine eigenen Daten abrufen können.

Wenn Sie Cloud-Dienste einsetzen, benötigen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Der Anbieter muss in der EU hosten oder Standardvertragsklauseln vorweisen. US-Hyperscaler ohne EU-Instanz sind riskant.

Schritt für Schritt: Zeiterfassung automatisieren und absichern

1. Bestandsaufnahme und Anforderungen definieren

Klären Sie, welche Mitarbeitendengruppen erfasst werden müssen: Vollzeit, Teilzeit, Minijobs, Werkstudenten, freie Mitarbeitende. Prüfen Sie bestehende Systeme: ERP, Lohnbuchhaltung (DATEV, Lexware, sevDesk), Zutrittskontrolle, Projektmanagement-Tools.

Definieren Sie Schnittstellen: Soll die Zeiterfassung direkt in die Lohnbuchhaltung fließen? Brauchen Sie Projektzeiterfassung für Kunden-Abrechnung? Arbeiten Mitarbeitende mobil oder im Büro?

2. Technologie wählen: Self-Hosted oder Cloud

Für den Mittelstand empfehle ich Self-Hosted-Lösungen oder EU-Cloud-Anbieter. Open-Source-Tools wie Kimai oder TimeTrex lassen sich auf eigenen Servern betreiben und bieten volle Datenkontrolle. Kommerzielle Anbieter wie Personio oder Clockodo bieten Komfort, aber Sie bleiben vom Anbieter abhängig.

Self-Hosted bedeutet:

• Server in deutschem Rechenzentrum, idealerweise bei Hetzner, Netcup oder IONOS.
• Eigene Backup-Strategie mit täglichen Snapshots und Offsite-Kopie.
• Verschlüsselung der Datenbank (z. B. LUKS für Block-Storage, TDE für PostgreSQL).
• Zugriff nur über VPN oder IP-Whitelist, niemals öffentlich.

Cloud-Lösungen mit EU-Hosting sind akzeptabel, wenn Sie den AVV prüfen und sicherstellen, dass keine Daten in Drittländer fließen. Achten Sie auf ISO 27001 und SOC-2-Zertifizierung.

3. Workflow aufsetzen: Erfassung, Validierung, Speicherung

Richten Sie die Erfassungskanäle ein: Web-Portal für Büro-Mitarbeitende, mobile App für Außendienst, Terminal für Produktion. Nutzen Sie OAuth2 oder SAML für Single Sign-On, damit Mitarbeitende sich nicht doppelt anmelden müssen.

Bauen Sie Validierungsregeln ein:

• Mindestpause von 30 Minuten bei mehr als sechs Stunden Arbeit (§ 4 ArbZG).
• Maximale tägliche Arbeitszeit von zehn Stunden, bei Ausgleich bis zu zwölf (§ 3 ArbZG).
• Plausibilitätsprüfung: Keine Überschneidungen, keine Zeitbuchungen an Urlaubstagen.

Speichern Sie Änderungen versioniert: Wenn ein Mitarbeitender nachträglich eine Zeit korrigiert, muss der alte Wert und der Grund erkennbar bleiben. PostgreSQL mit Temporal Tables oder ein Audit-Log-System wie ich es in früheren Artikeln beschrieben habe, sind geeignet.

4. Reporting und Export für Lohnbuchhaltung

Automatisieren Sie den Export: Täglich um 22 Uhr wird ein CSV oder DATEV-konformes Format erzeugt und per SFTP an den Steuerberater übertragen. Alternativ nutzen Sie APIs von Lohnbuchhaltungssystemen wie DATEV Unternehmen Online oder sevDesk.

Richten Sie Dashboards für Führungskräfte ein: Überstunden-Saldo pro Mitarbeitenden, offene Freigaben, Abweichungen vom Soll. Nutzen Sie Tools wie Grafana oder Metabase, die Sie auf eigenen Servern betreiben.

Ermöglichen Sie Mitarbeitenden-Einsicht: Ein Self-Service-Portal, in dem jede Person ihre eigenen Zeitdaten, Urlaubs-Saldo und Überstunden abrufen kann, reduziert Rückfragen an HR um 60 bis 70 Prozent.

5. Dokumentation und Betriebsvereinbarung

Dokumentieren Sie das Verfahren in einer Verfahrensbeschreibung nach Art. 30 DSGVO: Zweck, Kategorien personenbezogener Daten, Empfänger, Speicherdauer, technische Sicherheitsmaßnahmen. Schließen Sie eine Betriebsvereinbarung mit dem Betriebsrat ab, die regelt, wer wann welche Daten sehen darf und dass keine Leistungskontrolle stattfindet.

Schulen Sie Mitarbeitende in einem 20-minütigen Online-Meeting: Warum erfassen wir, wie erfasse ich, was passiert mit den Daten, wen kann ich fragen.

Was Sie erreichen: Messbare Effekte und realistische Erwartungen

Nach Einführung automatisierter Zeiterfassung bei einem mittelständischen Produktionsbetrieb mit 120 Mitarbeitenden sanken die HR-Rückfragen um 65 Prozent. Die Lohnbuchhaltung erhielt statt 15 Excel-Dateien einen automatischen Datenexport, der sich direkt in DATEV importieren ließ. Die Zeit für Monatsabschluss reduzierte sich von vier Tagen auf eineinhalb Tage.

Ein weiterer Effekt: Transparenz über Überstunden. Vorher existierten Schätzungen und Konflikte bei Abbau. Jetzt sieht jede Führungskraft in Echtzeit, wo Überstunden entstehen, und kann gegensteuern. Das reduzierte die durchschnittlichen Überstunden pro Kopf und Jahr von 48 auf 22 Stunden.

Bei Prüfungen durch den Zoll genügt ein Knopfdruck: Export aller Zeitdaten der letzten zwei Jahre als signiertes PDF. Keine Panik, keine Nacharbeit, keine Bußgelder.

Realistisch bleiben: Die Lösung erfasst keine Pausen automatisch, wenn Mitarbeitende vergessen, sie zu buchen. Sie verhindert nicht, dass jemand absichtlich falsche Zeiten einträgt. Aber sie schafft Nachvollziehbarkeit und macht Manipulationen sichtbar.

Was nicht funktioniert: Häufige Fehler und Risiken

Ein klassischer Fehler: Die Zeiterfassung als isoliertes Tool einführen, ohne Anbindung an Lohnbuchhaltung oder ERP. Das führt zu doppelter Datenpflege und wird nach kurzer Zeit nicht mehr genutzt.

Ein zweiter Fehler: Keine klare Regelung, wer Zeitdaten ändern darf. Wenn jede Führungskraft ohne Protokollierung Zeiten anpassen kann, verlieren Sie Revisionssicherheit und Vertrauen der Mitarbeitenden.

Dritter Fehler: Cloud-Anbieter aus den USA ohne EU-Hosting wählen. Das Data Privacy Framework (DPF) bietet keine Rechtssicherheit bei personenbezogenen Daten im HR-Bereich. Bei Prüfungen durch Aufsichtsbehörden drohen Untersagungsverfügungen.

Vierter Fehler: Keine Schulung der Mitarbeitenden. Wenn niemand erklärt, warum erfasst wird und was mit den Daten passiert, entsteht Misstrauen und Widerstand.

Fünfter Fehler: Keine Backup-Strategie. Zeitdaten müssen elf Jahre verfügbar bleiben. Ein einziger Serverausfall ohne Backup kann zur Unmöglichkeit der Lohnabrechnung und zu rechtlichen Problemen führen.

Fazit: Zeiterfassung ist Pflicht, Automatisierung ist Risikominimierung

Die Pflicht zur Arbeitszeiterfassung ist da und wird nicht wieder verschwinden. Wer heute noch mit Excel oder Papier arbeitet, riskiert Bußgelder und Nachzahlungen. Automatisierte, rechtssichere Zeiterfassung schützt Ihr Unternehmen, entlastet HR und schafft Transparenz für Mitarbeitende.

Die Lösung muss in Ihre bestehende IT-Landschaft passen, EU-gehostet sein und revisionssicher speichern. Self-Hosted-Systeme bieten maximale Kontrolle, EU-Cloud-Anbieter mit AVV sind akzeptabel. US-Hyperscaler sind riskant.

Der Aufwand für Einführung liegt bei 40 bis 80 Stunden, abhängig von Mitarbeitendenzahl und Komplexität. Die laufenden Kosten für Self-Hosted-Betrieb liegen bei 50 bis 150 Euro monatlich für Server und Backup. Cloud-Lösungen kosten vier bis acht Euro pro Mitarbeitenden und Monat.

Wenn Sie eine rechtssichere, automatisierte Zeiterfassung aufbauen möchten, sprechen Sie mit uns über Ihre bestehende IT-Infrastruktur und Anforderungen.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.