Zeiterfassung rechtssicher automatisiert: IT-Infrastruktur und DSGVO

Das Problem: Gesetzliche Pflicht trifft auf technische Realität

Seit dem Urteil des Bundesarbeitsgerichts von September 2022 ist klar: Unternehmen müssen die Arbeitszeit systematisch erfassen. Mittelständische Betriebe stehen damit vor der Frage, wie sie diese Pflicht technisch umsetzen, ohne sich neue Sicherheitsrisiken oder Datenschutzverstöße einzuhandeln. Excel-Listen auf Netzlaufwerken, handschriftliche Zettel oder Vertrauensarbeitszeit ohne Nachweis reichen nicht mehr.

Aus IT-Sicht bedeutet das: Ein System muss her, das verlässlich läuft, personenbezogene Daten schützt, revisionssicher speichert und gleichzeitig für Geschäftsführung, Personalabteilung und Mitarbeitende praktikabel ist. Wer hier auf schnelle SaaS-Lösungen setzt, ohne Hosting-Standort, Auftragsverarbeitungsvertrag und Zugriffsprotokolle zu prüfen, riskiert Bußgelder und Haftung.

Was Zeiterfassung technisch leisten muss

Eine rechtssichere Zeiterfassungslösung erfüllt drei Kern-Anforderungen:

• Revisionssicherheit: Jede Buchung wird mit Zeitstempel und Ursprung protokolliert. Nachträgliche Änderungen sind erkennbar oder unterbunden.
• Datenschutz: Personenbezogene Zeitdaten unterliegen der DSGVO. Das System muss Zugriffsrechte granular regeln, Daten verschlüsselt speichern und einen AVV (Auftragsverarbeitungsvertrag) mit dem Anbieter erlauben.
• Verfügbarkeit: Mitarbeitende müssen zuverlässig einstempeln können, auch bei Außeneinsatz, Schichtbetrieb oder mobilem Arbeiten. Ausfälle führen zu Lücken, die arbeitsrechtlich problematisch werden.

Zusätzlich fordern Betriebsräte oft Transparenz: Wer sieht welche Daten? Werden Bewegungsprofile erstellt? Welche Auswertungen sind technisch möglich?

EU-Hosting, Self-Hosted oder US-Cloud?

Die Wahl des Hosting-Standorts entscheidet über Rechtssicherheit und Risiko. Drei Varianten stehen im Raum:

US-Cloud-Anbieter

Viele bekannte Tools hosten in den USA oder nutzen US-Mutterkonzerne. Das ist nach dem Urteil „Schrems II” und dem aktuellen EU-US Data Privacy Framework rechtlich heikel. Zwar erlaubt das neue Framework wieder Datentransfers, doch Datenschutzbehörden mahnen weiterhin zur Vorsicht. Jedes Unternehmen muss selbst das Risiko bewerten und dokumentieren. Für mittelständische Betriebe ohne eigene Rechtsabteilung ist das keine triviale Aufgabe.

EU-Cloud-Anbieter

SaaS-Lösungen europäischer Anbieter mit Rechenzentren in Deutschland oder der EU sind datenschutzrechtlich unkritischer. Der AVV ist Standard, Zertifizierungen (ISO 27001, SOC 2) lassen sich prüfen. Wichtig: Auch hier bleibt der Betrieb verantwortlich für Zugriffsrechte, Löschkonzepte und die Wahl eines vertrauenswürdigen Anbieters.

Self-Hosted auf eigener Infrastruktur

Wer volle Kontrolle will, hostet die Zeiterfassung selbst: auf eigenen Servern im Rechenzentrum oder auf gemieteten Root-Servern bei deutschen Hostern. Open-Source-Lösungen wie Kimai oder clockodo bieten Self-Hosted-Varianten. Der Vorteil: Kein Drittanbieter erhält Zugriff auf Personaldaten. Der Nachteil: Der Betrieb trägt die volle Verantwortung für Updates, Backups, Verfügbarkeit und Sicherheit.

Für Unternehmen ab 50 Mitarbeitenden oder mit eigener IT-Abteilung ist Self-Hosted oft die sicherste Wahl. Kleinere Betriebe wählen besser einen zertifizierten EU-Anbieter mit klarem AVV.

Technische Schnittstellen: Zeiterfassung ins Gesamtsystem einbinden

Zeitdaten stehen nie allein. Sie fließen in Lohnabrechnung, Projektcontrolling, Kapazitätsplanung und manchmal in Kundenabrechnung. Automatisierung bedeutet hier: Daten einmal erfassen, mehrfach nutzen, ohne manuelle Übertragung.

Typische Integrationspunkte:

• Lohnsoftware (DATEV, Agenda, Paychex): Export der Monatsstunden als strukturierte Datei oder API-Anbindung. Achten Sie darauf, dass nur aggregierte Stundensummen übertragen werden, nicht jede einzelne Buchung mit Standort oder Gerät.
• ERP und Projekttools (SAP Business One, Microsoft Dynamics, Jira): Zeitbuchungen auf Projekte oder Aufträge synchronisieren. Wichtig für Nachkalkulation und Fakturierung.
• HR-Systeme (Personio, HRworks): Urlaubstage, Krankheitstage und Abwesenheiten automatisch mit Zeiterfassung abgleichen.

Die meisten modernen Zeiterfassungstools bieten REST-APIs. Ein Workflow in n8n oder Make kann dann täglich oder wöchentlich Daten abholen, transformieren und an Zielsysteme übergeben. Wichtig: Jede Schnittstelle muss im Verarbeitungsverzeichnis dokumentiert sein, inklusive Zweck, Empfänger und Rechtsgrundlage.

Was technisch schief gehen kann

Aus der Praxis kenne ich vier wiederkehrende Fehlerquellen:

Schatten-Excel bleibt parallel im Einsatz

Mitarbeitende vertrauen dem neuen System nicht oder finden es umständlich. Also führen sie weiter ihre privaten Listen. Ergebnis: Zwei Datenquellen, keine eindeutige Wahrheit. Abhilfe: Alte Prozesse aktiv abschalten, Schulung und klare Ansage durch die Geschäftsführung.

Keine Backup-Strategie

Die Zeiterfassungs-Datenbank läuft auf einem Server, aber Backups fehlen oder werden nie getestet. Bei einem Ausfall sind Monate an Daten weg. Das ist nicht nur arbeitsrechtlich, sondern auch steuerlich riskant. Lösung: Tägliche automatische Backups auf getrennter Infrastruktur, regelmäßige Restore-Tests.

Zugriff für zu viele Personen

Standard-Nutzerrechte geben oft mehr Zugriff, als nötig. Teamleiter sehen Zeiten aller Abteilungen, Verwaltung kann Buchungen löschen. Das verstößt gegen Datensparsamkeit und erhöht das Missbrauchsrisiko. Lösung: Rollenkonzept mit minimalen Rechten, dokumentiert im Berechtigungskonzept.

Keine Protokollierung von Änderungen

Ein Mitarbeitender korrigiert eine Buchung, ein Administrator löscht eine Zeile. Ohne Audit-Log bleibt unklar, was wann geändert wurde. Bei Streitigkeiten fehlt die Beweiskraft. Lösung: Jede Änderung mit Nutzer, Zeitstempel und Ursprungswert loggen. Viele Systeme bieten das ab Werk, bei Self-Hosted-Lösungen muss man es oft selbst aktivieren.

Automatisierung in der Praxis: Ein Beispiel

Ein mittelständischer Maschinenbauer mit 120 Mitarbeitenden führte 2024 eine Self-Hosted-Zeiterfassung auf Basis von Kimai ein. Die Anforderungen:

• EU-Hosting auf gemieteten Root-Servern bei Hetzner in Falkenstein
• API-Anbindung an DATEV für Lohnabrechnung
• Projektbuchung für Kundenaufträge
• Mobile App für Monteure im Außendienst
• Revisionssichere Protokollierung aller Buchungen

Die IT-Abteilung setzte Kimai auf einem dedizierten Server auf, verschlüsselte die Datenbank, richtete tägliche Backups ein und konfigurierte ein mehrstufiges Rollenkonzept. Ein n8n-Workflow holt jeden Montagmorgen die Vorwochenstunden ab, aggregiert sie pro Mitarbeitenden und Kostenstelle und legt eine CSV-Datei im DATEV-Importordner ab. Ein zweiter Workflow prüft täglich, ob Buchungen fehlen, und schickt eine Erinnerungsmail an betroffene Mitarbeitende.

Ergebnis nach sechs Monaten: Die Schatten-Excel verschwand, die Personalabteilung spart 12 Stunden pro Monat bei der Lohnvorbereitung, Projektleiter sehen in Echtzeit die gebuchten Stunden. Die Lösung kostete 4.800 Euro Initialaufwand (Lizenz, Setup, Schulung) und 120 Euro monatlich für Server und Wartung.

Rechtliche Anforderungen im Überblick

Neben der DSGVO sind für Zeiterfassung relevant:

• Arbeitszeitgesetz (ArbZG): Höchstarbeitszeiten, Pausenregelungen, Ruhezeiten müssen nachweisbar eingehalten sein.
• Betriebsverfassungsgesetz (BetrVG): Betriebsrat hat Mitbestimmungsrecht bei technischen Einrichtungen zur Verhaltens- und Leistungskontrolle (§ 87 Abs. 1 Nr. 6 BetrVG).
• Aufbewahrungspflichten: Zeitnachweise müssen mindestens zwei Jahre aufbewahrt werden, bei Rechtsstreitigkeiten länger.

Ein häufiger Fehler: Die Einführung erfolgt ohne Betriebsvereinbarung. Das kann zur Unwirksamkeit der Erfassung führen. Klären Sie frühzeitig, ob eine Vereinbarung nötig ist, und dokumentieren Sie Zweck, Umfang und technische Maßnahmen.

Was nicht funktioniert

Drei Ansätze, die ich nicht empfehle:

• Excel auf Netzlaufwerk ohne Versionierung: Keine Revisionssicherheit, kein Zugriffsschutz, keine Auswertung ohne manuelle Arbeit.
• Kostenlose Cloud-Tools ohne AVV: Viele Gratis-Angebote haben keine DSGVO-konforme Infrastruktur. Das Risiko trägt der Betrieb.
• Zeiterfassung per Standort-Tracking: GPS-Daten am Smartphone speichern ist datenschutzrechtlich nur in engen Grenzen zulässig. Für den Großteil der Mittelständler unnötig und riskant.

Checkliste für die Einführung

Bevor Sie eine Zeiterfassungslösung produktiv nehmen:

1. Hosting-Standort und AVV klären: EU-Rechenzentrum? AVV unterschrieben?
2. Rollenkonzept definieren: Wer darf was sehen, ändern, exportieren?
3. Audit-Log aktivieren: Jede Änderung muss nachvollziehbar sein.
4. Backup und Restore testen: Mindestens einmal vor Go-Live einen Wiederherstellungstest durchführen.
5. Verarbeitungsverzeichnis ergänzen: Zeiterfassung ist eine DSGVO-Verarbeitungstätigkeit.
6. Betriebsrat einbinden: Rechtzeitig informieren, Vereinbarung aushandeln.
7. Schulung und Kommunikation: Mitarbeitende müssen wissen, warum und wie sie erfassen sollen.

Fazit: Zeiterfassung ist IT-Infrastruktur

Zeiterfassung ist kein HR-Thema allein. Sie ist ein produktives System, das dauerhaft läuft, personenbezogene Daten verarbeitet und in mehrere Geschäftsprozesse eingreift. Aus IT-Sicht gelten dieselben Anforderungen wie für jedes andere kritische System: sichere Infrastruktur, klare Zugriffskontrolle, Backup-Strategie, Monitoring und Dokumentation.

Wer die Einführung von Anfang an technisch sauber plant, spart sich später Nacharbeiten, Datenschutzprobleme und arbeitsrechtliche Risiken. Der Mittelstand braucht Lösungen, die funktionieren und rechtssicher sind, nicht die neueste App mit Gamification und Blockchain.

Nächster Schritt

Sie planen die Einführung einer Zeiterfassungslösung oder wollen Ihr bestehendes System absichern und automatisieren? Wir unterstützen Sie bei Hosting-Entscheidung, Systemauswahl, API-Integration und DSGVO-Dokumentation.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.