DSGVO und Zeiterfassung: Was Freelancer und kleine Teams in der EU wissen müssen

Kurze Antwort

Stunden zu erfassen ist nach der DSGVO meist unproblematisch. Schwierig wird es erst dort, wo ein Tool mehr sammelt und du damit mehr machst als nötig. Für eine DSGVO-konforme Zeiterfassung reichen drei Gewohnheiten: Wähle eine Rechtsgrundlage, bevor du startest, erfasse nur, was der Zweck braucht, und sag den Leuten, was du speicherst und wann du es löschst.

Das sind allgemeine Informationen, keine Rechtsberatung. Arbeits- und Datenschutzrecht unterscheiden sich in der EU von Land zu Land. Wenn du die Zeit anderer Menschen erfasst, frag deshalb die Datenschutzbehörde deines Landes.

So funktioniert es in der Praxis

Die DSGVO gilt, sobald du personenbezogene Daten anderer Menschen verarbeitest. Nur die eigenen Stunden für die eigene Rechnung zu erfassen, ist etwas anderes als die Zeit einer Subunternehmerin oder eines Angestellten zu protokollieren. Wenn du allein arbeitest, betrifft dich das meiste hier erst, wenn Mitarbeitende eines Kunden oder deine eigenen Zuarbeiter ins Spiel kommen.

Wähle eine Rechtsgrundlage

Jede Verarbeitung braucht eine Rechtsgrundlage. Der Europäische Datenschutzausschuss nennt sechs: Einwilligung, Vertrag, rechtliche Verpflichtung, öffentliches Interesse, lebenswichtige Interessen und berechtigte Interessen. Für die Zeiterfassung passen meist zwei:

• Vertrag. Du erfasst Stunden, die du brauchst, um jemanden zu bezahlen oder einem Kunden eine Rechnung zu stellen. Die Verarbeitung muss für den Vertrag wirklich erforderlich sein, und du solltest festhalten, warum.
• Berechtigte Interessen. Projektbudgets oder Auslastungsplanung. Dafür brauchst du eine dokumentierte Interessenabwägung: Ist das Ziel rechtmäßig und real, ist die Erfassung dafür erforderlich, und überwiegt sie, was die Person vernünftigerweise erwarten darf?

Bei der Einwilligung ist Vorsicht geboten. Laut Leitfaden des EDSA können Beschäftigte der Verarbeitung durch ihren Arbeitgeber grundsätzlich nicht frei zustimmen, weil sie sich möglicherweise nicht trauen, abzulehnen. Wer nicht ohne Folgen Nein sagen kann, dessen Einwilligung ist nicht wirksam.

Erfasse nur, was du brauchst

Die Übersicht der Kommission zu den Grundsätzen verlangt, dass Daten "angemessen, erheblich und auf das notwendige Maß beschränkt" sind. Für einen Stundenzettel heißt das: Projekt, Kunde, Start- und Endzeit und Gesamtstunden. Screenshots, Tastaturprotokolle, Standortverfolgung und biometrische Daten lassen sich für Abrechnung oder Budgetplanung deutlich schwerer rechtfertigen.

Dieselbe Seite sagt, dass der Zweck konkret sein muss. Stunden, die für die Rechnung erfasst wurden, sollten nicht ohne vereinbaren Zweck oder neue Grundlage zum Beweismittel in einem Disziplinarverfahren werden. Ein Beispiel für Aufzeichnungen als Nachweis mit legitimem Zweck findest du in Belege sichern, wenn ein Kunde deine Stunden bestreitet.

Informiere und lege Fristen fest

Die Betroffenen müssen wissen, was du speicherst, warum, auf welcher Grundlage und wie lange, in einem knappen, verständlichen Hinweis. Ihre Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch bleiben bestehen. In einem kleinen Team genügt ein sauberer Absatz im Onboarding-Dokument.

Zur Aufbewahrung sagt der Leitfaden: so kurz wie möglich speichern und Fristen für Löschung oder Überprüfung setzen. Steuer- oder arbeitsrechtliche Aufbewahrungspflichten können längere Fristen verlangen. Lege ein Datum fest. Schreib es auf. Lösche termingerecht. Verarbeitet ein Drittanbieter die Daten für dich, schließe mit ihm einen Auftragsverarbeitungsvertrag.

Wann es passt (und wann nicht)

Einfache Stundenerfassung passt gut, wenn der Zweck klar ist:

• Kunden anhand erfasster Stunden abrechnen.
• Schätzungen mit dem tatsächlichen Aufwand eines Projekts vergleichen.
• Prüfen, ob ein Dreierteam überlastet ist, wie in Zeiterfassung im kleinen Team ohne Mikromanagement.

Bremse, oder lass es ganz, wenn aus Erfassung Überwachung wird. Umfassende Aktivitätsüberwachung, Standortdaten, Biometrie oder automatische Produktivitätswerte erhöhen das Risiko. Dann lohnt sich eine Datenschutz-Folgenabschätzung (DSFA), bevor du etwas einschaltest. Automatische Werte, die Personalentscheidungen steuern, können zudem die DSGVO-Regeln zu automatisierten Entscheidungen berühren. Halte also einen Menschen im Prozess.

Die automatische Erfassung liegt dazwischen. Sie kann nützlich sein, aber je mehr sie im Hintergrund aufzeichnet, desto mehr musst du begründen. Unser Beitrag dazu, wie weit automatische Zeiterfassung gehen sollte, behandelt die Abwägung von der Genauigkeit her.

Ein einfacher Test: Könntest du der erfassten Person die Erfassung in zwei Sätzen erklären, und fände sie sie angemessen? Wenn nicht, erfasse weniger.

So passt Pomlo dazu

Pomlo ist ein Zeiterfasser für iOS, Android und das Web und baut auf die Art von Daten, die dieser Artikel als sicheren Standard ansieht: Stunden pro Projekt und Kunde. Start und Stopp mit einem Tipp halten das Protokoll einfach, und Berichte zeigen, wohin die Woche gegangen ist. So kannst du Projekte planen und eine Rechnung erklären, ohne mehr als Stunden zu erfassen.

Ein paar Details, die hier zählen:

• Projekte und Kunden ordnen deine Stunden danach, wem du sie berechnest, passend zur Vertragsgrundlage.
• Integrierte Rechnungsstellung macht aus erfassten Stunden mit einem Tipp eine Rechnung.
• Datenschutzfreundlich: Deine Daten werden nicht verkauft und nicht zum Training von Modellen genutzt.

Hinweis, Rechtsgrundlage und Aufbewahrungsdatum musst du trotzdem selbst festlegen. Ein Tool kann sie dir nicht abnehmen, also schreib sie auf, bevor du startest. Lade Pomlo im App Store oder bei Google Play und beginne mit einem schlichten Stundenprotokoll.

Häufige Fragen

Gilt die DSGVO, wenn ich als Freelancer nur meine eigene Zeit erfasse?

Wenn du nur deine eigenen Stunden für den eigenen Gebrauch erfasst, ist das im Allgemeinen nicht das, worauf die DSGVO zielt. Sie greift, sobald du personenbezogene Daten anderer verarbeitest, etwa von Mitarbeitenden eines Kunden oder deinen Subunternehmern. Die Regeln unterscheiden sich je nach Land, frag also deine nationale Datenschutzbehörde.

Kann mein Team in die Zeiterfassung einwilligen?

Die Einwilligung ist bei Beschäftigten eine schwache Grundlage, weil sie sich womöglich nicht trauen, abzulehnen. Meist passt der Vertrag oder ein dokumentiertes berechtigtes Interesse besser.

Wie lange sollte ich Stundenzettel aufbewahren?

Nur so lange, wie du sie für den genannten Zweck brauchst, mit einem festen Termin für Überprüfung oder Löschung. Steuer- oder arbeitsrechtliche Pflichten können länger verlangen, prüfe also, welche für dich gelten.

Brauche ich für einen Zeiterfasser eine DSFA?

Einfache Einträge zu Stunden und Projekten sind risikoärmer. Umfassende Aktivitätsüberwachung, Standort oder Biometrie erhöhen das Risiko und machen eine DSFA sinnvoll.