Zeiterfassung und Datenschutz: DSGVO, GPS und die Serverfrage
Zeiterfassung verarbeitet zwangsläufig personenbezogene Daten – von der Uhrzeit bis zum Standort. Das ist rechtlich gewollt und DSGVO-konform machbar, wenn drei Dinge stimmen: die richtige Rechtsgrundlage, Datenminimierung (besonders bei GPS) und ein sauberer Umgang mit dem Serverstandort. (Redaktioneller Überblick, keine Rechtsberatung.)
Das Wichtigste in Kürze
- Zeiterfassung braucht keine Einwilligung der Mitarbeiter — Rechtsgrundlage sind die gesetzliche Erfassungspflicht bzw. § 26 BDSG.
- GPS nur punktuell beim Ein-/Ausstempeln und transparent geregelt; Dauerortung ist regelmäßig unverhältnismäßig.
- Server in Deutschland laut Anbieter: Clockodo, Timebutler, askDANTE, Crewmeister, edtime, timr, ZEP und Ordio.
- Mit dem Software-Anbieter einen Auftragsverarbeitungsvertrag (AVV) schließen und Löschfristen festlegen.
Die DSGVO-Grundlagen in Kürze
- Rechtsgrundlage: Die Erfassung der Arbeitszeit stützt sich auf die gesetzliche Erfassungspflicht (Art. 6 Abs. 1 lit. c DSGVO) bzw. auf § 26 BDSG (Erforderlichkeit für das Beschäftigungsverhältnis). Eine Einwilligung der Mitarbeiter ist dafür nicht nötig – und wäre wegen des Abhängigkeitsverhältnisses auch die falsche Grundlage.
- Zweckbindung: Erfasst wird zur Arbeitszeitkontrolle und Lohnabrechnung – nicht zur Leistungs- und Verhaltenskontrolle. Auswertungen wie „wer stempelt am spätesten ein" sind mit dem Erhebungszweck nicht gedeckt.
- Datenminimierung: Beginn, Ende, Pausen, ggf. Projekt – mehr braucht die Pflicht nicht. Screenshots, Tastatur-Tracking oder Dauer-GPS gehören nicht in die Zeiterfassung.
- Information & AVV: Mitarbeiter sind nach Art. 13 DSGVO zu informieren; mit dem Software-Anbieter ist ein Auftragsverarbeitungsvertrag zu schließen (bieten alle hier verglichenen Anbieter an).
- Löschfristen: Aufbewahrung so lange wie nötig (z. B. zwei Jahre nach § 16 ArbZG/§ 17 MiLoG, länger für Lohnunterlagen) – danach löschen.
Darf der Arbeitgeber den Standort per GPS erfassen?
Viele Baustellen-Apps (clockin, Crewmeister, timr, Papershift mit Geofencing) erfassen den Standort. Entscheidend ist das Wie:
| Variante | Beispiel | Einordnung |
|---|---|---|
| Punkt-Erfassung beim Stempeln | Standort wird beim Ein-/Ausstempeln gespeichert (Zuordnung zur Baustelle) | kann bei Erforderlichkeit und Transparenz zulässig sein |
| Geofencing | Stempeln nur innerhalb eines definierten Bereichs möglich; Standort selbst wird nicht laufend gespeichert | datensparsamer als Punkt-Erfassung, meist gut vertretbar |
| Dauerortung | Live-Tracking während der Arbeitszeit | regelmäßig unverhältnismäßig; nur in engen Ausnahmen (z. B. Gefahrgut) diskutabel |
Praktische Leitplanken: Ortung nur beim Stempelvorgang, keine Ortung in Pausen und Freizeit (App-seitig sichergestellt), schriftliche Regelung, was erfasst und wie lange gespeichert wird – und volle Transparenz gegenüber dem Team. Gibt es einen Betriebsrat, ist die Ausgestaltung technischer Überwachungseinrichtungen nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig.
Welche Zeiterfassungs-Tools hosten in Deutschland oder der EU?
Arbeitszeitdaten sind Beschäftigtendaten. Liegen sie bei einem Anbieter außerhalb der EU, braucht es zusätzliche Garantien für den Drittlandtransfer – ein Prüfaufwand, den sich kleine Betriebe schlicht sparen können, wenn der Anbieter in Deutschland oder der EU hostet. So ordnen sich die Tools unseres Vergleichs ein (Anbieterangaben, Stand 13.08.2026):
- Server in Deutschland: Clockodo, Timebutler, askDANTE, Crewmeister, edtime (eigenes RZ Saarbrücken), timr, ZEP, Ordio; TimeTac (EU, Hauptserver Deutschland)
- EU/Europa ohne Landangabe: Papershift, Shiftbase
- Schweiz (Angemessenheitsbeschluss der EU): MOCO
- Global/US-Anbieter: Clockify (EU-Datenregion Deutschland erst ab Pro-Tarif, aktiv zu wählen), Toggl Track (kein Standort zugesichert)
Betriebsrat und Team mitnehmen
Der Betriebsrat kann die Einführung der Zeiterfassung nicht verhindern (kein Initiativrecht, die Pflicht besteht ohnehin) – bei der Ausgestaltung hat er aber mitzubestimmen. Und auch ohne Betriebsrat gilt: Die Erfassung schützt die Beschäftigten mindestens so sehr wie den Betrieb – Überstunden werden sichtbar und vergütbar, Ruhezeiten nachweisbar. Wer das so kommuniziert und die GPS-Grenzen schriftlich festlegt, hat die Akzeptanzfrage meist schon gelöst.
Häufige Fragen
Brauche ich die Einwilligung der Mitarbeiter?
Für die Arbeitszeiterfassung selbst nein – sie stützt sich auf die gesetzliche Pflicht bzw. § 26 BDSG. Freiwillige Einwilligungen sind im Arbeitsverhältnis ohnehin heikel. Information nach Art. 13 DSGVO ist dagegen Pflicht.
Darf ich sehen, von wo im Homeoffice gestempelt wird?
Die IP- oder Standorterfassung im Homeoffice ist für die Zeiterfassung regelmäßig nicht erforderlich und damit kaum zu rechtfertigen. Erfasst werden sollte die Zeit, nicht der Ort der Wohnung.