Zeiterfassung und Datenschutz: revDSG und DSGVO in der Praxis
Wer wann wie lange woran gearbeitet hat, ist ein Personendatum — und seit dem revidierten Datenschutzgesetz eines mit klaren Pflichten. Was für Auswahl und Betrieb einer Zeiterfassung zählt, wo die DSGVO dazukommt und wo das Arbeitsrecht die Grenze zieht.
Für ein Schweizer Unternehmen ist nicht die DSGVO das massgebliche Gesetz, sondern das revidierte Bundesgesetz über den Datenschutz (revDSG), in Kraft seit dem 1. September 2023. Die DSGVO kommt dazu, sobald Personen in der EU betroffen sind — Mitarbeitende in Deutschland, Kunden in Österreich. Beide verlangen für Zeiterfassungsdaten dasselbe Grundgerüst; die Unterschiede liegen im Detail.
Orientierung, keine Rechtsberatung. Verbindlich sind Gesetz, EDÖB-Leitfäden und Ihre Datenschutzberatung.
Was Zeiterfassungsdaten sind
Zeitbuchungen enthalten mindestens: Person, Datum, Beginn/Ende oder Dauer, oft Kunde und Tätigkeit, manchmal Ort (Stempeluhr) und Beschreibung mit weiteren Namen. Das sind Personendaten nach Art. 5 revDSG — keine besonders schützenswerten, aber Daten, aus denen sich Arbeitsverhalten, Anwesenheit und Leistung ablesen lassen. Genau deshalb kommt neben dem Datenschutz das Arbeitsrecht ins Spiel (unten).
Was das revDSG verlangt — auf die Zeiterfassung bezogen
| Pflicht (revDSG) | Was das für die Zeiterfassung heisst |
|---|---|
| Datenschutz durch Technik und Voreinstellung (Art. 7) | Nur erfassen, was der Zweck braucht. Kein GPS, keine Bildschirmfotos, keine Tastaturprotokolle „weil man kann”. Standard: sparsam. |
| Datensicherheit (Art. 8) | Zugriff je Rolle, Verschlüsselung, Trennung der Mandanten, Protokollierung von Änderungen. |
| Verzeichnis der Bearbeitungstätigkeiten (Art. 12) | Zeiterfassung ist ein Eintrag: Zweck, Datenkategorien, Empfänger, Aufbewahrung. Unternehmen unter 250 Mitarbeitenden sind befreit, sofern kein hohes Risiko besteht — führen sollte man es trotzdem. |
| Informationspflicht (Art. 19) | Mitarbeitende wissen, was erfasst wird, wozu, wer es sieht, wie lange. Meist im Personalreglement. |
| Bekanntgabe ins Ausland (Art. 16) | Liegen die Daten ausserhalb der Schweiz, braucht es ein Land mit angemessenem Schutz oder Garantien. Der Serverstandort ist damit keine Geschmacksfrage. |
| Auskunftsrecht (Art. 25) | Jede Person kann verlangen, welche Daten über sie bearbeitet werden — Antwort innert 30 Tagen, in verständlicher Form. Ein Export je Person muss ohne Projekt möglich sein. |
| Meldung von Datensicherheitsverletzungen (Art. 24) | Bei hohem Risiko für Betroffene so rasch als möglich an den EDÖB. Wer nicht weiss, wo seine Daten liegen, kann das nicht beurteilen. |
| Datenschutz-Folgenabschätzung (Art. 22) | Nur bei hohem Risiko — bei einer Zeiterfassung mit Überwachungscharakter (Standort, Verhalten) durchaus denkbar. |
| Sanktionen (Art. 60 ff.) | Bussen bis CHF 250’000 — gegen die verantwortliche natürliche Person, nicht nur das Unternehmen. |
Wo die DSGVO dazukommt
Sind EU-Personen betroffen (Mitarbeitende, Kunden, Ansprechpartner in Beschreibungen), gelten zusätzlich: Rechtsgrundlage je Bearbeitung (Art. 6), Auftragsverarbeitungsvertrag mit dem Softwareanbieter (Art. 28), Verzeichnis ohne Grössenausnahme bei regelmässiger Bearbeitung (Art. 30), Löschfristen und -konzepte, Meldung innert 72 Stunden (Art. 33). Ein Anbieter mit Sitz und Datenhaltung in der Schweiz erleichtert das: Die Schweiz gilt der EU als Land mit angemessenem Datenschutzniveau — der Transfer selbst braucht keine Standardvertragsklauseln.
Die arbeitsrechtliche Grenze: Art. 26 ArGV 3
Oft übersehen: Die Verordnung 3 zum Arbeitsgesetz verbietet Überwachungs- und Kontrollsysteme, die das Verhalten der Arbeitnehmenden am Arbeitsplatz überwachen sollen (Art. 26 Abs. 1 ArGV 3). Erlaubt sind Systeme, die aus anderen Gründen nötig sind (Sicherheit, Leistungserfassung), sofern sie verhältnismässig sind und die Gesundheit nicht beeinträchtigen (Abs. 2).
Für die Zeiterfassung heisst das:
- Beginn, Ende, Dauer, Zuordnung zu Kunde/Projekt: zulässig — das ist Arbeitszeit- und Leistungserfassung, keine Verhaltensüberwachung.
- Dauer-GPS, Bildschirmaufnahmen, Aktivitäts-Tracking, Tastaturprotokolle: heikel bis unzulässig — sie überwachen das Verhalten, nicht die Zeit.
- Auswertungen je Person (Saldo, Produktivität) müssen dem Zweck dienen und den Mitarbeitenden bekannt sein.
Wer eine Zeiterfassung wählt, die „mehr kann”, sollte prüfen, ob dieses Mehr überhaupt eingesetzt werden darf.
Checkliste für die Auswahl
- Wo liegen die Daten? Land, Anbieter, Unterauftragnehmer — schriftlich.
- Sind Organisationen voneinander getrennt? Eigene Datenbank je Mandant ist die stärkste Form; geteilte Tabellen mit Filter die schwächste.
- Auskunft und Export je Person — in Minuten, nicht als Projekt.
- Löschung — vollständig, nachweisbar, auch nach Vertragsende.
- Rollen und Sichtbarkeit — sieht die Projektleitung nur ihr Team? Sehen Mitarbeitende nur sich?
- Änderungsprotokoll — wer hat wann welche Buchung geändert? Ohne das ist weder Datensicherheit noch Arbeitsrecht belegbar.
- Keine Überwachungsfunktionen über den Zweck hinaus — oder abschaltbar und abgeschaltet.
- Aufbewahrung: Zeitaufzeichnungen 5 Jahre (Art. 73 ArGV 1), Protokolle nach eigener Frist, danach Löschung.
In Clockopus
Jede Organisation erhält eine eigene Datenbank, Betrieb und Datenhaltung in der Schweiz. Rollen (Admin, Projektleitung, Mitarbeitende), Gruppen mit Sichtbarkeit auf Kunden und Projekte, ein Änderungsprotokoll mit Akteur, Zeitpunkt und Wert davor/danach — mit einstellbarer Aufbewahrungsdauer und Maskierung von Geheimnissen. Export je Person und für den ganzen Mandanten (CSV, Excel, JSON), vollständige Löschung eines Mandanten auf Verlangen. Keine GPS-Verfolgung, keine Bildschirmaufnahmen, kein Aktivitäts-Tracking — Clockopus erfasst Zeit, nicht Verhalten. Diese Website selbst setzt keine Tracking-Cookies (Datenschutzerklärung).