Zeiterfassung auf eigener Infrastruktur: Server, Hosting und DSGVO

Die Pflicht zur Arbeitszeiterfassung ist da, die Software dafür oft schnell beschafft. Doch viele Mittelständler merken erst später: Die Daten landen bei einem Cloud-Anbieter in den USA, der Auftragsverarbeitungsvertrag ist dünn, und beim Audit fragt das Datenschutzteam, warum hochsensible Personalstunden außerhalb der EU liegen. Wer Zeiterfassung auf eigener Infrastruktur betreibt, gewinnt Kontrolle, Transparenz und reduziert Risiken. Doch Self-Hosting ist kein Selbstläufer: Server, Backup, Updates und DSGVO-Dokumentation müssen sauber aufgesetzt sein.

Dieser Artikel zeigt, worauf Sie bei Planung, Betrieb und rechtlicher Absicherung einer selbst gehosteten Zeiterfassung achten müssen.

Warum Self-Hosting bei Zeiterfassung Sinn macht

Arbeitszeitdaten sind besonders schützenswert. Sie geben Auskunft über Anwesenheit, Krankheitstage, Überstunden und indirekt über die Leistung einzelner Mitarbeitender. Artikel 88 DSGVO und §26 BDSG verlangen besondere Sorgfalt beim Umgang mit Beschäftigtendaten.

Cloud-Anbieter werben mit schneller Einrichtung und geringen Startkosten. Doch Sie geben die Datenhoheit ab, sind auf deren Sicherheitsmaßnahmen angewiesen und müssen bei jedem Sub-Prozessor prüfen, ob die Weitergabe zulässig ist. Bei Anbietern außerhalb der EU kommen Standardvertragsklauseln, Transfer Impact Assessments und das Risiko von Behördenzugriffen hinzu.

Wer die Zeiterfassung auf eigener Infrastruktur betreibt, behält die Kontrolle: Sie wissen, wo die Daten physisch liegen, wer darauf zugreifen kann und wie Backups verschlüsselt werden. Das vereinfacht die DSGVO-Dokumentation, reduziert die Zahl der Auftragsverarbeiter und gibt Betriebsrat und Datenschutzbeauftragtem ein besseres Gefühl.

Technische Anforderungen an die Infrastruktur

Eine Zeiterfassungslösung ist kein monolithischer Block. Sie besteht typischerweise aus:

• Webserver oder Applikationsserver (z. B. Apache, Nginx, Node.js)
• Datenbank (PostgreSQL, MySQL, MariaDB)
• Optional: Redis oder Memcached für Session-Management
• Optional: Reverse Proxy mit TLS-Terminierung
• Backup-System mit verschlüsselter Ablage
• Monitoring und Logging

Für Betriebe mit 20 bis 200 Mitarbeitenden reicht in der Regel eine virtuelle Maschine mit 4 CPU-Kernen, 8 GB RAM und 100 GB SSD. Bei größeren Belegschaften oder mobiler App-Nutzung sollten Sie Load Balancer und Datenbank-Replikation einplanen.

Kritisch ist die Netzwerk-Anbindung: Zeiterfassung muss auch morgens um 7 Uhr erreichbar sein, wenn 80 Mitarbeitende gleichzeitig stempeln. Planen Sie mindestens 100 Mbit/s symmetrisch ein, besser 1 Gbit/s, wenn Sie Standorte über VPN anbinden.

Hosting: Rechenzentrum, Colocation oder Managed Server

Sie haben drei Optionen:

1. Eigenes Rechenzentrum oder Serverraum: Volle Kontrolle, aber hoher Aufwand. Sie brauchen unterbrechungsfreie Stromversorgung, Klimatisierung, Brandschutz und 24/7-Überwachung. Sinnvoll ab etwa 50 physischen Servern oder wenn Sie bereits ein ISO 27001-zertifiziertes RZ betreiben.

2. Colocation: Sie kaufen und konfigurieren den Server, mieten aber Rack, Strom und Netzwerk in einem zertifizierten Rechenzentrum in Deutschland. Das senkt Betriebskosten und erhöht die Ausfallsicherheit. Typische Anbieter: Hetzner, netcup, InterNetX.

3. Managed Server oder Root-Server: Sie mieten virtualisierte oder dedizierte Hardware, Installation und Patch-Management liegen bei Ihnen. Kostengünstig und flexibel. Achten Sie darauf, dass der Anbieter ISO 27001 und TISAX (bei Automotive-Kunden) erfüllt und das RZ in der EU steht.

Für die meisten Mittelständler ist Option 2 oder 3 der beste Kompromiss: Kontrolle über die Konfiguration, ohne eigenes RZ betreiben zu müssen.

Betriebssystem und Updates

Setzen Sie auf Long-Term-Support-Varianten: Ubuntu 22.04 LTS, Debian 12 oder Rocky Linux 9. Diese erhalten fünf Jahre Sicherheits-Patches und sind stabil genug für Produktivbetrieb.

Automatisieren Sie Security-Updates mit unattended-upgrades (Debian/Ubuntu) oder dnf-automatic (RHEL/Rocky). Testen Sie größere Versionssprünge erst auf einem Staging-System, bevor Sie produktiv schalten.

Führen Sie ein Änderungsprotokoll: Wer hat wann welches Paket aktualisiert? Das ist nicht nur Best Practice, sondern hilft bei Audits und Fehlersuche.

Datenbank: Verschlüsselung und Zugriffskontrolle

Die Datenbank speichert alle Stempelvorgänge, Überstunden und Abwesenheiten. Sie muss:

• Verschlüsselt sein: Nutzen Sie Transparent Data Encryption (TDE) oder LUKS auf Block-Ebene. So sind Daten auch bei Diebstahl der Hardware unlesbar.
• Zugriff nur über Unix-Socket oder localhost erlauben, nie über öffentliches Netz.
• Starke Passwörter und rollenbasierte Berechtigungen: Die Applikation braucht Lese- und Schreibrechte, der Backup-Job nur Leserechte.
• Regelmäßige Dumps mit pg_dump oder mysqldump, verschlüsselt mit GPG oder Age, täglich auf separaten Backup-Server kopiert.

Legen Sie fest, wie lange Zeitdaten aufbewahrt werden müssen: Steuerlich sind es zehn Jahre für Lohnabrechnungen, darüber hinaus nur bei berechtigtem Interesse. Löschen Sie alte Stempeldaten automatisiert nach Ablauf der Frist (Artikel 5 Abs. 1 lit. e DSGVO: Speicherbegrenzung).

Backup und Disaster Recovery

Ein Backup ist kein Backup, wenn es nicht getestet wurde. Legen Sie folgende Routine fest:

• Täglich: Vollbackup der Datenbank, verschlüsselt, auf separaten Server (anderes RZ oder anderer Standort).
• Wöchentlich: Snapshot der gesamten VM oder des Root-Filesystems.
• Monatlich: Archiv-Backup auf Band oder Object Storage (z. B. S3-kompatibel, in EU-Region).

Testen Sie die Wiederherstellung mindestens einmal im Quartal. Messen Sie die Recovery Time Objective (RTO): Wie lange darf die Zeiterfassung ausfallen? Bei Fertigungsbetrieben oft nur wenige Stunden, bei Büros vielleicht ein Arbeitstag. Dimensionieren Sie Backup-Bandbreite und Restore-Prozedur entsprechend.

Monitoring und Logging

Richten Sie ein zentrales Monitoring ein, das Ihnen sofort meldet, wenn:

• Der Webserver nicht antwortet (HTTP 200 Check alle 60 Sekunden).
• Die Datenbank-Replikation hängt.
• Die Festplatte zu 85 Prozent voll ist.
• SSL-Zertifikate in 14 Tagen ablaufen.

Nutzen Sie Open-Source-Tools wie Prometheus + Grafana, Zabbix oder Check_MK. Alarmierung per SMS oder Anruf, nicht nur per E-Mail.

Sammeln Sie Logs zentral (z. B. mit rsyslog oder Graylog). Speichern Sie sie mindestens 90 Tage, besser sechs Monate. Bei Sicherheitsvorfällen sind historische Logs Gold wert. Achten Sie darauf, dass in Logs keine Klartextpasswörter oder Gesundheitsdaten landen (Artikel 32 Abs. 1 lit. d DSGVO: Protokollierung).

DSGVO-Dokumentation für Self-Hosting

Auch wenn Sie keine Cloud nutzen, bleiben Sie Verantwortlicher im Sinne der DSGVO. Sie müssen:

• Ein Verzeichnis von Verarbeitungstätigkeiten führen (Artikel 30 DSGVO): Zweck, Kategorien von Daten, Empfänger, Speicherdauer, technisch-organisatorische Maßnahmen.
• Wenn Sie das Rechenzentrum oder Colocation-Partner nutzen: Auftragsverarbeitungsvertrag abschließen. Der RZ-Betreiber ist Auftragsverarbeiter, auch wenn er nur die Hardware stellt.
• Technisch-organisatorische Maßnahmen dokumentieren: Verschlüsselung, Zugriffskontrolle, Backup, Logging, Patch-Management.
• Wenn Sie Dienstleister für Installation oder Wartung beauftragen: ebenfalls AVV.

Führen Sie eine Datenschutz-Folgenabschätzung durch, wenn Sie Zeitdaten mit biometrischen Merkmalen (Fingerabdruck-Scanner) verknüpfen oder wenn die Erfassung auch Standortdaten umfasst (Artikel 35 DSGVO).

Informieren Sie die Mitarbeitenden transparent: Welche Daten werden erfasst, wo liegen sie, wer hat Zugriff, wie lange werden sie gespeichert (Artikel 13 DSGVO).

Betriebsvereinbarung und Mitbestimmung

Zeiterfassung ist fast immer mitbestimmungspflichtig (§87 Abs. 1 Nr. 6 BetrVG: technische Einrichtungen zur Überwachung). Schließen Sie eine Betriebsvereinbarung ab, die regelt:

• Welche Daten erfasst werden (Beginn, Ende, Pausen).
• Wer Zugriff hat (Personalabteilung, Vorgesetzte, IT-Administration).
• Dass keine verdeckte Leistungskontrolle stattfindet.
• Wie lange Daten gespeichert werden.
• Dass Self-Hosting gewählt wurde, um Kontrolle und Datenschutz zu verbessern.

Der Betriebsrat wird es schätzen, dass die Daten im eigenen Haus bleiben. Nutzen Sie das als Argument für das Projekt.

Was nicht funktioniert

Self-Hosting ist kein Sparmodell auf den ersten Blick. Rechnen Sie mit:

• 800 bis 1.200 Euro monatlich für Server, Backup, RZ-Stellplatz oder Managed Hosting.
• 0,3 bis 0,5 FTE für Betrieb, Updates, Monitoring, Backup-Tests.
• Einmalig 15.000 bis 25.000 Euro für Softwarelizenz oder Entwicklung (wenn Sie Open Source wie Kimai, TimeTac Self-Hosted oder Odoo einsetzen).

Wer keine IT-Kapazität hat oder alle drei Monate die Strategie ändert, sollte besser eine EU-Cloud-Lösung mit starkem AVV wählen. Self-Hosting lohnt sich, wenn Sie bereits Server betreiben, ein ISO 27001-Audit anstreben oder regulatorische Vorgaben (NIS2, KRITIS) erfüllen müssen.

Unterschätzen Sie nicht den Aufwand für Disaster Recovery und Dokumentation. Ein ausgefallenes Zeiterfassungssystem kann Produktionsstillstand bedeuten, wenn Zutrittskontrolle oder Lohnabrechnung daran hängen.

Fazit

Zeiterfassung auf eigener Infrastruktur gibt Ihnen Kontrolle, Transparenz und reduziert datenschutzrechtliche Risiken. Voraussetzung ist eine saubere Planung: Server in einem zertifizierten EU-Rechenzentrum, verschlüsselte Datenbank, automatisierte Backups, zentrales Monitoring und lückenlose DSGVO-Dokumentation. Wenn Sie diese Bausteine umsetzen, schaffen Sie eine Lösung, die auch bei Audits und Betriebsratsgesprächen überzeugt.

White Fox Automations unterstützt Sie bei Architektur, Betrieb und Dokumentation selbst gehosteter Zeiterfassungssysteme. Lassen Sie uns gemeinsam prüfen, ob Self-Hosting für Ihr Unternehmen der richtige Weg ist.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.