Zeiterfassung auf eigener Infrastruktur: Server, Hosting und DSGVO

Das Problem: Zeiterfassung ist Pflicht, aber wohin mit den Daten?

Seit dem BAG-Urteil von 2022 ist die Arbeitszeiterfassung in Deutschland faktisch Pflicht. Für mittelständische Unternehmen bedeutet das: Jeder An- und Abmeldezeitpunkt, jede Pause, jede Überstunde wird erfasst. Häufig landen diese Daten in Cloud-Diensten, deren Betreiber außerhalb der EU sitzen oder deren Infrastruktur unklar ist.

Die Frage, die ich als IT-Verantwortlicher immer wieder höre: Muss ich meine Mitarbeiterdaten wirklich in eine fremde Cloud geben? Die kurze Antwort: Nein. Die längere: Es gibt gute Gründe, Zeiterfassung auf eigener Infrastruktur zu betreiben, und es ist technisch weniger aufwendig, als viele annehmen.

Warum eigene Infrastruktur für Zeiterfassung?

Zeiterfassungsdaten sind personenbezogene Daten im Sinne der DSGVO. Sie erlauben Rückschlüsse auf Arbeitsverhalten, Gesundheitszustand und private Lebensführung. Aus Datenschutzsicht gehören sie zu den sensibleren Personaldaten.

Drei Gründe sprechen für Self-Hosting oder eigenes Hosting in der EU:

• Kontrolle über den Datenfluss: Sie wissen genau, auf welchem Server die Daten liegen, wer Zugriff hat und welche Backups wo gespeichert werden.
• Unabhängigkeit von Drittanbietern: Keine Sorge vor Preiserhöhungen, Anbieterwechsel oder plötzlichen Funktionsänderungen.
• DSGVO-Compliance ohne AV-Vertrag-Marathon: Wenn die Daten auf Ihrer eigenen Infrastruktur liegen, entfällt der Aufwand für Auftragsverarbeitungsverträge mit Cloud-Anbietern. Sie bleiben alleiniger Verantwortlicher.

Was bedeutet “eigene Infrastruktur” konkret?

Der Begriff umfasst drei Varianten, die sich in Aufwand und Kontrolle unterscheiden:

1. On-Premise im eigenen Rechenzentrum oder Serverraum
Die Zeiterfassungs-Software läuft auf einem Server, den Sie selbst betreiben. Das kann ein physischer Server im Keller sein oder ein dedizierter Rack-Server im eigenen Rechenzentrum. Vorteil: maximale Kontrolle. Nachteil: Sie tragen die volle Verantwortung für Hardware, Strom, Kühlung, Netzwerk und physische Sicherheit.

2. Dedizierter Server bei einem deutschen Hoster
Sie mieten einen dedizierten Server (zum Beispiel bei Hetzner, IONOS oder netcup), installieren darauf die Zeiterfassungs-Software und verwalten das Betriebssystem selbst. Die Hardware steht in einem deutschen oder EU-Rechenzentrum. Vorteil: professionelle Infrastruktur, Sie bleiben aber Root-Administrator. Nachteil: Sie müssen Updates, Backups und Sicherheitspatches selbst einspielen.

3. Managed Server oder Virtual Private Server (VPS) in der EU
Der Hoster übernimmt Teile der Verwaltung (Betriebssystem-Updates, Monitoring), Sie installieren die Anwendung. Vorteil: weniger Aufwand als bei dedizierter Hardware. Nachteil: Sie teilen sich die physische Infrastruktur mit anderen Kunden, müssen aber sicherstellen, dass der Hoster DSGVO-konform arbeitet und einen Auftragsverarbeitungsvertrag anbietet.

Für die meisten mittelständischen Unternehmen ist Variante 2 oder 3 der praktikabelste Mittelweg: Sie lagern die Hardware-Verantwortung aus, behalten aber die volle Kontrolle über die Daten und die Software.

Technische Anforderungen an den Server

Eine typische Self-Hosted-Zeiterfassungslösung (zum Beispiel Kimai, TimeTagger oder eine Eigenentwicklung auf Basis von PostgreSQL und Python/PHP) benötigt:

• CPU: 2 bis 4 Kerne reichen für bis zu 200 Mitarbeitende.
• RAM: 4 bis 8 GB, je nach Datenbankgröße und gleichzeitigen Nutzern.
• Speicher: 50 bis 100 GB SSD für Betriebssystem, Datenbank und Backups.
• Netzwerk: Mindestens 100 Mbit/s symmetrisch, besser 1 Gbit/s, wenn Mitarbeitende von außen zugreifen.
• Betriebssystem: Debian 11/12 oder Ubuntu Server LTS. Beide bieten fünf Jahre Sicherheitsupdates und sind gut dokumentiert.

Die Kosten für einen dedizierten Server mit diesen Spezifikationen liegen bei 30 bis 60 Euro pro Monat. Ein vergleichbares VPS kostet 10 bis 25 Euro monatlich.

DSGVO-Pflichten beim Self-Hosting

Wenn Sie Zeiterfassung auf eigener Infrastruktur betreiben, bleiben Sie Verantwortlicher im Sinne der DSGVO. Das bringt Pflichten mit sich, die Sie nicht delegieren können:

Technische und organisatorische Maßnahmen (TOM)
Sie müssen dokumentieren, wie Sie die Daten schützen. Dazu gehören:

• Verschlüsselte Verbindungen (TLS 1.3 für HTTPS).
• Verschlüsselte Backups (zum Beispiel mit Restic oder BorgBackup).
• Zugriffskontrollen (Firewall, VPN, Zwei-Faktor-Authentifizierung).
• Logging und Monitoring (wer hat wann auf welche Daten zugegriffen).

Verzeichnis von Verarbeitungstätigkeiten
Sie tragen in Ihr Verarbeitungsverzeichnis ein: Zweck (Arbeitszeiterfassung), Kategorien betroffener Personen (Mitarbeitende), Kategorien personenbezogener Daten (Name, Anmeldezeiten, Pausenzeiten), Empfänger (HR, ggf. Lohnbuchhaltung), Speicherdauer (zum Beispiel drei Jahre nach Ende des Arbeitsverhältnisses).

Auftragsverarbeitungsvertrag mit dem Hoster (wenn zutreffend)
Wenn Sie einen Managed Server oder VPS nutzen, bei dem der Hoster potenziell Zugriff auf die Daten hat (zum Beispiel durch Root-Zugang oder Backup-Service), benötigen Sie einen AV-Vertrag. Die meisten deutschen Hoster bieten Standardverträge an. Wichtig: Der AV-Vertrag muss vor Inbetriebnahme unterschrieben sein.

Löschkonzept
Wann löschen Sie Zeiterfassungsdaten? Nach Ende des Arbeitsverhältnisses gelten Aufbewahrungsfristen aus Arbeitsrecht und Steuerrecht (typischerweise drei Jahre). Danach müssen Sie löschen oder anonymisieren. Automatisierte Löschskripte helfen, diese Pflicht einzuhalten.

Backup und Hochverfügbarkeit

Zeiterfassungsdaten sind geschäftskritisch. Wenn das System ausfällt, können Mitarbeitende sich nicht an- oder abmelden, und im Zweifel fehlen Nachweise gegenüber Behörden oder Sozialversicherungen.

Backup-Strategie
Ich empfehle die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, eine davon off-site. Konkret:

• Tägliche Datenbank-Dumps (PostgreSQL pg_dump oder MySQL mysqldump), verschlüsselt.
• Wöchentliche Snapshots des gesamten Servers (sofern der Hoster das anbietet).
• Monatliche Kopie auf externen Speicher (zum Beispiel verschlüsselte Festplatte im Tresor oder verschlüsselter Cloud-Storage wie Hetzner Storage Box).

Hochverfügbarkeit
Für Unternehmen mit mehr als 100 Mitarbeitenden oder verteilten Standorten lohnt sich ein zweiter Server als Failover. Tools wie Pacemaker oder Keepalived sorgen dafür, dass bei Ausfall des primären Servers automatisch auf den Backup-Server umgeschaltet wird. Das erhöht die Komplexität, reduziert aber das Ausfallrisiko auf unter eine Stunde pro Jahr.

Software-Auswahl: Open Source vs. kommerzielle Self-Hosted-Lösung

Open-Source-Zeiterfassung
Kimai ist die bekannteste Open-Source-Lösung im deutschsprachigen Raum. Sie läuft auf PHP und MySQL/PostgreSQL, bietet Projektzeiterfassung, Export nach Excel und DATEV, und Sie zahlen nichts für die Software selbst. Sie tragen aber die Verantwortung für Installation, Updates und Support.

Kommerzielle Self-Hosted-Lösungen
Einige Anbieter (zum Beispiel Datalog, TimeLine) verkaufen Lizenzen, die Sie auf Ihrer eigenen Infrastruktur installieren. Vorteil: professioneller Support, regelmäßige Updates, oft DATEV-Schnittstelle inklusive. Nachteil: Lizenzkosten ab 500 bis 2000 Euro pro Jahr, je nach Mitarbeiterzahl.

Eigenentwicklung
Wenn Sie spezielle Anforderungen haben (zum Beispiel Integration in ein bestehendes ERP oder besondere Schichtmodelle), kann eine maßgeschneiderte Lösung sinnvoll sein. Aufwand: 40 bis 80 Stunden Entwicklung für ein MVP, danach laufende Wartung.

Was nicht funktioniert

“Wir installieren einfach eine Cloud-Software auf unserem Server”
Viele SaaS-Anbieter (zum Beispiel Clockodo, Toggl) bieten keine Self-Hosted-Variante an. Die Software ist als Cloud-Dienst gebaut und lässt sich nicht einfach auf eigener Infrastruktur betreiben. Prüfen Sie vor der Entscheidung, ob eine On-Premise-Lizenz existiert.

“Wir machen Backups nur auf demselben Server”
Wenn die Festplatte ausfällt oder der Server gehackt wird, sind auch die Backups weg. Off-site-Backups sind Pflicht.

“Wir lassen die Software ungepatcht laufen”
Sicherheitslücken in PHP, MySQL oder der Zeiterfassungs-Software selbst werden regelmäßig bekannt. Ein ungepatchtes System ist binnen Wochen kompromittiert. Planen Sie monatliche Update-Fenster ein, oder nutzen Sie automatisierte Updates für Sicherheitspatches.

Fazit: Eigene Infrastruktur ist machbar und sinnvoll

Zeiterfassung auf eigener Infrastruktur ist kein Hexenwerk. Mit einem dedizierten oder virtuellen Server bei einem deutschen Hoster, einer Open-Source- oder kommerziellen Self-Hosted-Lösung und einem soliden Backup-Konzept haben Sie die volle Kontrolle über Ihre Daten und erfüllen die DSGVO-Anforderungen ohne Abhängigkeit von Cloud-Anbietern.

Der initiale Aufwand liegt bei 8 bis 16 Stunden für Setup, Dokumentation und erste Tests. Der laufende Aufwand beträgt 1 bis 2 Stunden pro Monat für Updates und Monitoring.

Wenn Sie Unterstützung bei der Konzeption, Installation oder DSGVO-Dokumentation benötigen, sprechen Sie uns an.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.