Datenschutz bei Dienstplanung & Zeiterfassung: Was die DSGVO fordert

Warum Dienstplan und Zeiterfassung ein Datenschutzthema sind

Ein Dienstplan sieht harmlos aus — Namen, Kürzel, ein paar Zeiten in einem Raster. Datenschutzrechtlich ist er jedoch eine Verarbeitung personenbezogener Daten, und rund um Plan und Zeiterfassung sammeln sich schnell erstaunlich viele davon:

• Stammdaten: Name, Kontaktdaten, Vertragsart, Qualifikationen und Nachweise, teils Geburtsdatum (für den Jugendarbeitsschutz).
• Arbeitszeitdaten: geplante Schichten, Ist-Zeiten, Pausen, Über- und Mehrstunden, Arbeitszeitkonto — Verhaltens- und Leistungsdaten im Sinne des Betriebsverfassungsrechts.
• Abwesenheiten: Urlaub, Krankheit, Elternzeit, Mutterschutz — teils mit Bezug zu besonders geschützten Daten (dazu unten mehr).
• Verfügbarkeiten und Wünsche: wann jemand kann und will — Rückschlüsse bis in die Familien- und Lebenssituation.
• Standort- und Gerätedaten: je nach Erfassungsmethode etwa der Ort beim Stempeln oder eine Geräte-Kennung.

Für all diese Daten ist der Arbeitgeber der Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO). Das lässt sich nicht auf den Software-Anbieter, die Teamleitung oder die Beschäftigten abschieben: Wer über Zweck und Mittel der Verarbeitung entscheidet — also wer plant, wer erfasst und wozu —, trägt die Verantwortung und haftet für Verstöße.

Die Rechtsgrundlage: Art. 6 DSGVO statt § 26 BDSG

Jede Verarbeitung braucht eine Rechtsgrundlage. Für Dienstplan und Zeiterfassung sind das im Regelfall gleich mehrere Tatbestände des Art. 6 Abs. 1 DSGVO:

• lit. b — Durchführung des Arbeitsvertrags: Ohne Einsatzplanung und Zeiterfassung lässt sich das Arbeitsverhältnis nicht abwickeln; das ist der Kern.
• lit. c — rechtliche Verpflichtung: Die Aufzeichnung der Arbeitszeit ist gesetzlich geboten (Arbeitszeitgesetz, Mindestlohngesetz, seit dem EuGH-Stechuhr-Urteil auch der Arbeitsschutz).
• lit. f — berechtigtes Interesse: trägt ergänzende Zwecke wie eine sinnvolle Betriebsorganisation, sofern keine überwiegenden Interessen der Beschäftigten entgegenstehen (Abwägung nötig).

Auffällig fehlt in dieser Aufzählung die Einwilligung. Das ist Absicht: Im Arbeitsverhältnis gilt sie wegen des Abhängigkeitsverhältnisses als selten wirklich freiwillig und damit als wackelige Grundlage. Für Pflichtprozesse wie die Zeiterfassung braucht man sie ohnehin nicht — und wo man auf sie angewiesen wäre (etwa bei einer biometrischen Stempeluhr), ist gerade das das Problem.

Lange stützte man die Beschäftigtendatenverarbeitung zusätzlich auf § 26 Abs. 1 BDSG. Darauf sollte man sich als eigenständige Erlaubnisnorm nicht mehr verlassen: Der Europäische Gerichtshof hat mit Urteil vom 30. März 2023 (C-34/21) entschieden, dass eine nationale Norm nur dann eine zulässige „spezifischere Vorschrift" nach der Öffnungsklausel des Art. 88 DSGVO ist, wenn sie über eine bloße Wiederholung der DSGVO hinausgeht und eigene, geeignete Schutzmaßnahmen enthält. § 26 Abs. 1 BDSG tut das nicht und ist als Erlaubnisgrundlage praktisch unanwendbar; die deutsche Rechtsprechung ist dem gefolgt. Maßgeblich ist deshalb unmittelbar die DSGVO. (Der spezielle § 26 Abs. 3 BDSG für Gesundheitsdaten gilt überwiegend noch als tragfähig, weil er über die DSGVO hinausgeht.)

Die Grundprinzipien des Art. 5 — auf den Dienstplan übersetzt

Die DSGVO lässt sich für den Planungsalltag auf die Grundsätze des Art. 5 herunterbrechen. Sie klingen abstrakt, haben aber ganz konkrete Konsequenzen im Plan:

• Zweckbindung: Daten, die für Planung und Abrechnung erhoben werden, dürfen nicht für etwas ganz anderes genutzt werden — Zeitstempel sind zur Arbeitszeiterfassung da, nicht zur heimlichen Verhaltenskontrolle.
• Datenminimierung: nur erheben und anzeigen, was gebraucht wird. Ein für alle sichtbarer Plan braucht keine Abwesenheitsgründe und keine privaten Telefonnummern; oft genügen Kürzel statt voller Klarnamen.
• Speicherbegrenzung: Daten nur so lange aufbewahren, wie eine Frist es verlangt oder der Zweck es erfordert — danach löschen (siehe Abschnitt zu den Fristen).
• Richtigkeit: falsche Zeiten oder Abwesenheiten korrigieren; Beschäftigte haben darauf sogar einen Anspruch (Art. 16 DSGVO).
• Integrität und Vertraulichkeit: Zugriff nur für Befugte. Ein Rechte- und Rollenkonzept sorgt dafür, dass die Schichtleitung ihr Team sieht, aber nicht die Lohn- oder Gesundheitsdaten des ganzen Betriebs.
• Rechenschaftspflicht: Der Arbeitgeber muss die Einhaltung nicht nur sicherstellen, sondern auch nachweisen können — etwa im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

Besondere Kategorien: Krankheit, Biometrie, Schwerbehinderung

Ein Teil der Daten rund um den Dienstplan ist besonders geschützt. Art. 9 DSGVO verbietet die Verarbeitung besonderer Kategorien grundsätzlich — dazu zählen Gesundheitsdaten und biometrische Daten zur eindeutigen Identifizierung — und lässt sie nur unter engen Voraussetzungen zu (im Arbeitsverhältnis vor allem über Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG für arbeits- und sozialrechtliche Pflichten).

Für den Alltag folgen daraus klare Grenzen:

• Krankheit: Der Arbeitgeber darf die Tatsache und die Dauer der Arbeitsunfähigkeit speichern, nicht die Diagnose. Genau darauf ist die elektronische Arbeitsunfähigkeitsbescheinigung (eAU) ausgelegt — die Meldung enthält bewusst keinen Krankheitsbefund. Im Fehlzeitenmanagement und in der Abwesenheitsverwaltung gehört deshalb nur ein neutraler Status hinein.
• Biometrie: Fingerabdruck- oder Gesichtserkennung an der Stempeluhr erzeugt besondere Daten nach Art. 9. Die Hürde ist hoch, und eine Einwilligung ist im Arbeitsverhältnis kaum je freiwillig — deshalb verlangen die Aufsichtsbehörden in der Regel eine mildere Alternative (Chip oder PIN).
• Schwerbehinderung, Schwangerschaft, Religion: Solche Angaben werden nur dort verarbeitet, wo sie rechtlich nötig sind (etwa Zusatzurlaub, Mutterschutz, Feiertagsregeln) — und dann streng zugriffsbeschränkt, nicht für das ganze Team sichtbar.

Wie lange aufbewahren, wann löschen?

Speicherbegrenzung heißt nicht „so kurz wie möglich", sondern „so lange wie nötig". Für Dienstplan- und Zeitdaten stehen sich zwei Seiten gegenüber: gesetzliche Mindest-Aufbewahrungsfristen und die Löschpflicht, wenn kein Zweck mehr besteht. Die wichtigsten Fristen:

• Arbeitszeitnachweise (§ 16 Abs. 2 ArbZG): Aufzeichnungen über die über acht Stunden hinausgehende werktägliche Arbeitszeit sind mindestens zwei Jahre aufzubewahren.
• Aufzeichnungen nach § 17 MiLoG: Für Minijobs und die in § 2a Schwarzarbeitsbekämpfungsgesetz genannten Branchen gilt ebenfalls eine Aufbewahrung von zwei Jahren (Beginn, Ende und Dauer der täglichen Arbeitszeit).
• Lohnrelevante Unterlagen: Was in die Lohnabrechnung einfließt, unterliegt längeren steuer- und handelsrechtlichen Fristen. Für Buchungsbelege wurde die Frist durch das Vierte Bürokratieentlastungsgesetz von zehn auf acht Jahre verkürzt (§ 257 HGB, § 147 AO; gilt für Belege, deren Frist Anfang 2025 noch lief). Handels- und Geschäftsbücher, Jahresabschlüsse und Ähnliches bleiben bei zehn, Geschäftsbriefe bei sechs Jahren.

Wichtig ist die Trennung: Die zweijährigen Arbeitszeit-Fristen betreffen den Nachweis gegenüber der Kontrollbehörde; sobald dieselben Zeiten Grundlage der Lohnabrechnung sind, greifen die längeren Buchhaltungsfristen. Ein dokumentiertes Löschkonzept, das für jede Datenart die Frist und den Löschzeitpunkt festhält, ist deshalb kein Luxus, sondern Teil der Rechenschaftspflicht.

Auftragsverarbeitung: Cloud-Software richtig einbinden

Sobald eine Cloud- oder SaaS-Lösung die Daten speichert, wird der Anbieter zum Auftragsverarbeiter: Er verarbeitet die Mitarbeiterdaten in Ihrem Auftrag und nach Ihrer Weisung. Dafür verlangt Art. 28 Abs. 3 DSGVO zwingend einen Auftragsverarbeitungsvertrag (AV-Vertrag oder AVV). Fehlt er, ist die Verarbeitung rechtswidrig — und das ist bußgeldbewehrt (bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes).

Der AV-Vertrag muss unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten und die betroffenen Personengruppen festhalten und den Anbieter binden an:

• Weisungsbindung und Vertraulichkeit der eingesetzten Personen;
• geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO — Verschlüsselung, Pseudonymisierung, Zugriffskontrolle, Wiederherstellbarkeit, regelmäßige Überprüfung;
• klare Regeln für Unterauftragnehmer (etwa Hosting-Dienstleister), die nur mit Genehmigung eingesetzt werden dürfen;
• Unterstützung bei Betroffenenrechten und Meldepflichten sowie Löschung oder Rückgabe der Daten nach Vertragsende.

Ein Punkt verdient besondere Aufmerksamkeit: der Serverstandort. Werden Daten auf Servern in den USA oder anderen Drittländern verarbeitet, ist zusätzlich die Drittlandübermittlung nach Kapitel V DSGVO zu prüfen. Das EU-US Data Privacy Framework (seit Juli 2023) bietet dafür eine Grundlage, ist aber juristisch umstritten und angefochten. Wer auf Server in Deutschland oder der EU setzt, umgeht diese Frage vollständig — es gibt keine Drittlandübermittlung zu rechtfertigen.

Mitbestimmung: der Betriebsrat entscheidet mit

Besteht ein Betriebsrat, ist die Einführung einer Zeiterfassungs- oder Dienstplan-Software nicht allein Sache des Arbeitgebers. Nach § 87 Abs. 1 Nr. 6 BetrVG ist die Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen, mitbestimmungspflichtig. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt dafür die objektive Eignung zur Überwachung — eine Überwachungsabsicht muss der Arbeitgeber gar nicht haben.

Eine Software, die personenbezogene Zeit-, Verhaltens- und Leistungsdaten erhebt und auswertet, fällt praktisch immer darunter. Das Mitbestimmungsrecht ist erzwingbar: Ohne Einigung — in der Regel über eine Betriebsvereinbarung, die Zweck, Umfang, Zugriffsrechte und Auswertungen festlegt — darf das System nicht eingeführt werden. Die vorgelagerte Frage, ob überhaupt erfasst wird, ist dagegen durch die gesetzliche Erfassungspflicht weitgehend vorgegeben; mitzubestimmen ist vor allem das Wie. Die Betriebsvereinbarung ist zugleich ein gutes Vehikel, um die Datenschutz-Regeln (Zugriffskonzept, Löschfristen, zulässige Auswertungen) verbindlich zu verankern.

Betroffenenrechte: Auskunft, Berichtigung, Löschung

Beschäftigte sind nicht nur Objekt der Verarbeitung, sondern haben eigene Rechte, die der Betrieb erfüllen muss:

• Auskunft (Art. 15 DSGVO): Auf Anfrage muss der Arbeitgeber mitteilen, welche Daten er verarbeitet, zu welchem Zweck, wie lange und an wen sie weitergegeben werden — einschließlich eines Anspruchs auf eine Kopie der Daten (Art. 15 Abs. 3). Praktisch relevant, wenn jemand seine gespeicherten Zeit- und Dienstplandaten anfordert.
• Berichtigung (Art. 16 DSGVO): falsche Zeiten, Zuschläge oder Abwesenheiten sind zu korrigieren.
• Löschung (Art. 17 DSGVO): Daten sind zu löschen, sobald der Zweck entfällt und keine Frist sie mehr bindet — das Gegenstück zur Speicherbegrenzung.

In der Praxis ist entscheidend, dass ein Betrieb solche Anfragen fristgerecht (grundsätzlich innerhalb eines Monats) und vollständig beantworten kann. Eine Software, die alle Zeit- und Plandaten einer Person auf Knopfdruck zusammenstellt, macht aus einer aufwendigen Handarbeit einen Export.

Organisatorische Pflichten: DSB und Verarbeitungsverzeichnis

Neben den inhaltlichen Regeln kommen ein paar organisatorische Pflichten hinzu, die viele Betriebe unterschätzen:

• Datenschutzbeauftragter (§ 38 BDSG): Ein betrieblicher Datenschutzbeauftragter ist zu benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Maßgeblich sind die mit Verarbeitung befassten Personen, nicht die Gesamtbelegschaft. (Eine Anhebung dieser Schwelle wird politisch diskutiert, ist Stand August 2026 aber nicht in Kraft.)
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Auch die Verarbeitung „Dienstplanung und Zeiterfassung" gehört als eigener Eintrag hinein — mit Zweck, Datenarten, Empfängern, Fristen und den technischen Maßnahmen.
• Meldung von Datenpannen (Art. 33/34 DSGVO): Geht ein Datensatz verloren oder gelangt in falsche Hände, ist das binnen 72 Stunden der Aufsichtsbehörde zu melden — ein Grund mehr, Zugriffe eng zu halten und auf verschlüsselte Systeme zu setzen.

Die häufigsten Datenschutz-Fehler im Dienstplan

Aus der Praxis lassen sich die typischen Stolperfallen bündeln — die meisten sind mit wenig Aufwand vermeidbar:

• Abwesenheitsgründe für alle sichtbar im Aushang oder im geteilten Plan statt eines neutralen Status.
• Krankheitsdiagnosen notiert — ein klarer Art.-9-Verstoß; erlaubt sind nur Tatsache und Dauer.
• Jeder sieht alles: kein Rechtekonzept, sodass Kolleginnen und Kollegen gegenseitig Lohn-, Kontakt- und Gesundheitsdaten einsehen.
• Private WhatsApp-Gruppen zur Plan-Kommunikation, mit Kontakt-Abgleich und Servern außerhalb der EU.
• US-Tools ohne AV-Vertrag und ohne geprüfte Drittlandübermittlung.
• Dauerhafte GPS-Ortung: Eine lückenlose Standortüberwachung von Beschäftigten gilt als unverhältnismäßig und unzulässig; vertretbar ist allenfalls eine punktuelle Standorterfassung beim Ein- und Ausstempeln. (Diese Linie stützt sich bislang auf Aufsichtsbehörden und Instanzgerichte, nicht auf ein höchstrichterliches Urteil.)
• Nie gelöscht: Alt-Daten, die längst hätten gelöscht werden müssen, sammeln sich unbegrenzt an.

Die Rolle der Dienstplan-Software

Datenschutz ist am Ende Sache der Organisation, nicht des Werkzeugs — aber das richtige Werkzeug nimmt einem einen großen Teil der Arbeit ab und verhindert die typischen Fehler von vornherein. Eine gute Dienstplan- und Zeiterfassungs-Software wirkt an mehreren Stellen:

• Rechte- und Rollenkonzept: Jede Rolle sieht nur, was sie braucht — die Schichtleitung ihr Team, die Lohnbuchhaltung die Abrechnungsdaten, die Beschäftigten ihren eigenen Plan. Datenminimierung wird zur Voreinstellung statt zur Disziplinfrage.
• Neutrale Abwesenheiten: Krankheit als Status ohne Diagnosefeld, Gründe nur dort, wo sie hingehören und für Befugte.
• Server in der EU und Verschlüsselung: keine Drittlandübermittlung, keine WhatsApp-Umwege — ein eigener Kommunikationskanal statt privater Chats.
• AV-Vertrag und Dokumentation: ein fertiger Auftragsverarbeitungsvertrag und beschriebene technische Maßnahmen erleichtern die eigene Rechenschaftspflicht.
• Fristen und Betroffenenrechte: Löschregeln lassen sich hinterlegen, und eine Auskunft nach Art. 15 wird zum Datenexport statt zur Zettelsuche.

Datenschutz im Dienstplan — auf einen Blick

• Verantwortlicher: der Arbeitgeber, auch bei Cloud-Software; der Anbieter ist Auftragsverarbeiter.
• Rechtsgrundlage: Art. 6 DSGVO (Arbeitsvertrag, gesetzliche Pflichten) — nicht mehr § 26 Abs. 1 BDSG (EuGH C-34/21); kein Beschäftigtendatengesetz in Kraft (Stand 08/2026).
• Datenminimierung: keine Abwesenheitsgründe im Aushang, Kürzel statt Klarnamen, Zugriff nur für Befugte.
• Besondere Daten (Art. 9): nur Tatsache und Dauer der Krankheit, keine Diagnose; Biometrie nur mit milder Alternative.
• Fristen: ArbZG und MiLoG je zwei Jahre; Buchungsbelege acht Jahre; ansonsten löschen, wenn kein Zweck mehr besteht.
• Auftragsverarbeitung: AV-Vertrag nach Art. 28 Pflicht, TOM nach Art. 32, Serverstandort prüfen — EU-Server umgehen die Drittlandfrage.
• Mitbestimmung: Einführung mitbestimmungspflichtig nach § 87 Abs. 1 Nr. 6 BetrVG (objektive Eignung zur Überwachung genügt).
• Betroffenenrechte: Auskunft (Art. 15, inkl. Kopie), Berichtigung (Art. 16), Löschung (Art. 17) — fristgerecht erfüllen.
• Organisation: Datenschutzbeauftragter ab 20 Personen (§ 38 BDSG), Verarbeitungsverzeichnis (Art. 30), Löschkonzept.