Zeiterfassung und Datenschutz in der Praxis: Cloud oder eigener Server?

Arbeitszeiten sind personenbezogene Daten. Jede Praxis, die sie erfasst, braucht dafür eine Rechtsgrundlage nach der DSGVO. Die gute Nachricht: Für die Zeiterfassung selbst ist das unkompliziert, denn die Praxis muss erfassen.

Rechtsgrundlage ist damit nach unserer Einschätzung Art. 6 Abs. 1 lit. c DSGVO — die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich. Eine Einwilligung brauchen Sie nicht, und sie wäre im Arbeitsverhältnis wegen der Abhängigkeit der Beschäftigten auch eine wackelige Grundlage. Soweit Sie die Zeiten zusätzlich für die Gehaltsabrechnung verwenden, kommt die Durchführung des Arbeitsvertrags hinzu (Art. 6 Abs. 1 lit. b DSGVO).

Warum überhaupt erfasst werden muss, erklärt der Artikel Arbeitszeiterfassung in der Arztpraxis: Pflicht, Regeln und Umsetzung.

Bevor Sie mit der Erfassung beginnen, müssen die Mitarbeitenden wissen, was mit ihren Daten geschieht. Art. 13 DSGVO verlangt eine Information, die mindestens enthält:

• Name und Kontaktdaten der Praxis als Verantwortliche, gegebenenfalls des Datenschutzbeauftragten;
• Zwecke der Verarbeitung (Arbeitszeitnachweis, Einhaltung des Arbeitszeitgesetzes, ggf. Gehaltsabrechnung) und die Rechtsgrundlage;
• Empfänger, etwa Lohnbüro, Steuerberatung oder ein Cloud-Anbieter als Auftragsverarbeiter;
• eine etwaige Übermittlung in Drittländer außerhalb der EU;
• die Speicherdauer bzw. die Kriterien dafür;
• die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und das Beschwerderecht bei der Aufsichtsbehörde.

In der Praxis genügt ein zweiseitiges Merkblatt, das alle unterschreiben oder per E-Mail bestätigen. Ergänzen Sie die Zeiterfassung außerdem in Ihrem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) — das führen die meisten Praxen wegen der Patientendaten ohnehin.

Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung: nur so viele Daten wie für den Zweck nötig. Für die Zeiterfassung heißt das:

Fingerabdruck-Terminals: ein Urteil aus einer Praxis

Das Landesarbeitsgericht Berlin-Brandenburg hat am 04.06.2020 (10 Sa 2130/19) über einen Medizinisch-Technischen Assistenten in einer radiologischen Praxis entschieden. Die Praxis hatte ein Zeiterfassungssystem mit Fingerabdruck-Scanner eingeführt, der Mitarbeiter weigerte sich und wurde abgemahnt. Das Gericht gab ihm Recht: Auch wenn das System nur Merkmale (Minutien) speichert, handelt es sich um biometrische Daten. Dass eine solche Erfassung für die Zeiterfassung erforderlich ist, ließ sich nicht feststellen; ohne Einwilligung war sie unzulässig, die Abmahnung musste entfernt werden.

Zweckbindung: Zeitdaten sind keine Leistungsdaten

Daten, die für einen Zweck erhoben wurden, dürfen nicht beliebig für andere Zwecke weiterverwendet werden (Art. 5 Abs. 1 lit. b DSGVO). Wer Stempelzeiten erfasst, um Arbeitszeitgesetz und Überstunden nachzuweisen, sollte sie nicht nebenbei auswerten, um etwa die Pünktlichkeit einzelner MFA zu ranken oder Behandlungszeiten von Therapeutinnen zu vergleichen. Wenn Sie Auswertungen über den Zeitnachweis hinaus planen, nennen Sie den Zweck vorab in der Information an das Team und prüfen Sie, ob er von einer Rechtsgrundlage gedeckt ist.

Unproblematisch sind dagegen die Auswertungen, für die erfasst wird: Monatssummen, Überstundenkonto, Urlaubskonto, Warnungen bei Überschreiten von 10 Stunden oder zu kurzen Ruhezeiten. Sie dienen gerade dem Schutz der Beschäftigten.

In einer Praxis mit sechs Personen kennt jeder jeden — trotzdem gehen Überstunden, Krankheitstage und Urlaubskonten der Kolleginnen niemanden etwas an. Legen Sie fest:

• Mitarbeitende sehen ihre eigenen Zeiten, ihr Urlaubs- und Überstundenkonto — das gehört auch zum Auskunftsrecht nach Art. 15 DSGVO.
• Praxisleitung oder Personalverantwortliche sehen alle Zeiten, weil sie Arbeitszeitgesetz und Urlaub verantworten.
• Erstkraft oder Praxismanagerin bekommt nur dann Zugriff auf alle Daten, wenn sie tatsächlich Dienstpläne und Urlaub verwaltet.
• Externe (Lohnbüro, Steuerberatung) erhalten nur die Auswertungen, die sie brauchen — idealerweise als Export, nicht als Zugang zum System.

Ein gemeinsames Passwort am Empfangsrechner ist das häufigste Problem. Jede Person braucht ein eigenes Konto; für Konten mit Zugriff auf alle Daten ist eine Zwei-Faktor-Anmeldung dringend zu empfehlen.

Auskunft verlangen: Art. 15 DSGVO

Jede Mitarbeiterin kann Auskunft über die zu ihr gespeicherten Daten und eine Kopie verlangen — auch nach dem Ausscheiden, etwa im Streit um Überstunden. Die Antwort ist grundsätzlich innerhalb eines Monats fällig (Art. 12 Abs. 3 DSGVO). Ein System, das die Zeiten einer Person für einen Zeitraum als Datei exportieren kann, spart in diesem Fall viel Arbeit.

Die DSGVO verlangt, Daten nur so lange zu speichern, wie es für den Zweck nötig ist (Art. 5 Abs. 1 lit. e). Für Zeitdaten ergibt sich daraus:

Praktisch bewährt hat sich ein fester Termin, etwa jedes Jahr im Januar: Alles, was älter ist als die festgelegte Frist und nicht mehr gebraucht wird, wird gelöscht oder anonymisiert. Halten Sie Ihre Fristen im Verarbeitungsverzeichnis fest.

Bei einer Cloud-Lösung liegen die Zeitdaten auf den Servern des Anbieters. Er verarbeitet sie in Ihrem Auftrag — die Praxis bleibt Verantwortliche. Das hat drei Folgen:

1. 1Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Schließen Sie ihn vor dem Start ab. Seriöse Anbieter stellen ihn als Download oder im Kundenkonto bereit. Er regelt unter anderem Weisungsbindung, Vertraulichkeit, Unterauftragnehmer, Unterstützung bei Betroffenenrechten und Löschung nach Vertragsende.
2. 2Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Lassen Sie sich die TOMs des Anbieters zeigen — Verschlüsselung, Zugriffskontrolle, Backups, Rechenzentrumsstandort.
3. 3Drittlandübermittlung (Art. 44 ff. DSGVO): Prüfen Sie, wo die Daten liegen und welche Unterauftragnehmer außerhalb der EU sitzen.

US-Anbieter: die Lage im Oktober 2026

Übermittlungen in die USA sind zulässig, wenn der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist; den zugrunde liegenden Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 hat das Gericht der EU am 03.09.2025 bestätigt (T-553/23, Latombe). Gegen dieses Urteil ist ein Rechtsmittel beim EuGH anhängig (C-703/25 P). Die Vorgänger-Abkommen „Safe Harbor" und „Privacy Shield" hatte der EuGH aufgehoben. Wer kein Risiko eingehen möchte, dass sich die Rechtslage erneut ändert, wählt einen Anbieter mit Datenhaltung und Unterauftragnehmern ausschließlich in der EU — oder hält die Daten selbst.

Eine Übersicht über Cloud- und lokale Lösungen finden Sie im Artikel Zeiterfassung für Arztpraxen im Vergleich.

Läuft die Zeiterfassung auf einem Rechner in der Praxis, verlassen die Daten das Haus nicht. Hat der Hersteller keinen Zugriff, entsteht nach unserer Einschätzung keine Auftragsverarbeitung — ein AV-Vertrag mit dem Softwarehersteller entfällt dann. Das ist aber kein Freifahrtschein: Die Verantwortung für die Sicherheit liegt vollständig bei Ihnen.

Für Praxen, die ohnehin einen eigenen Server mit Backup und IT-Betreuung betreiben, ist die lokale Installation meist der einfachere Weg. Wer keinerlei IT-Infrastruktur hat und nicht selbst sichern möchte, ist mit einem EU-Cloud-Anbieter und sauberem AV-Vertrag oft besser bedient. Beides ist datenschutzkonform möglich.

Ein Betriebsrat kann in Betrieben mit in der Regel mindestens fünf ständigen wahlberechtigten Beschäftigten gewählt werden (§ 1 BetrVG). In Arztpraxen ist das selten, in größeren MVZ kommt es vor. Gibt es einen, bestimmt er bei der Einführung technischer Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG) — darunter fällt eine elektronische Zeiterfassung nach unserer Einschätzung typischerweise. Dass die Praxis überhaupt erfassen muss, steht dagegen nicht zur Verhandlung: Das BAG hat 2022 (1 ABR 22/21) ein Initiativrecht des Betriebsrats zur Einführung gerade deshalb abgelehnt, weil die Pflicht bereits gesetzlich besteht. Bei der Ausgestaltung des Systems bestimmt der Betriebsrat dagegen mit (§ 87 Abs. 1 Nr. 7 BetrVG in Verbindung mit § 3 Abs. 2 Nr. 1 ArbSchG). System, Zugriffsrechte und Auswertungen regelt man deshalb am besten in einer Betriebsvereinbarung.

Ohne Betriebsrat empfiehlt es sich trotzdem, das Team vor dem Start einzubeziehen: Erklären Sie, was erfasst wird, wer was sieht und wie Korrekturen laufen. Das senkt Widerstände und Fehler.

1. 1Datenstandort: Wo liegen die Daten — in der Praxis, in einem EU-Rechenzentrum oder in einem Drittland?
2. 2AV-Vertrag: Bei Cloud vorhanden und vor Start unterschrieben? Unterauftragnehmer aufgelistet?
3. 3Datensparsamkeit: Kommt das System ohne GPS, Biometrie und Leistungsüberwachung aus?
4. 4Rollen und Rechte: Eigene Konten für alle, abgestufte Rechte, Zwei-Faktor-Anmeldung für Admins?
5. 5Nachvollziehbarkeit: Werden Änderungen mit Datum und Bearbeiter protokolliert?
6. 6Export und Löschung: Lassen sich Daten für Auskunftsersuchen exportieren und nach Fristablauf löschen?
7. 7Betrieb: Bei eigener Installation — wer macht Backups und Updates? Bei Cloud — was passiert mit den Daten bei Kündigung?
8. 8Transparenz: Ist dokumentiert, wie das System rechnet und welche Daten es speichert?

PraxisZeit ist für den Betrieb auf eigener Hardware gebaut: Die Daten bleiben in der Praxis, Anmeldungen lassen sich mit einem zweiten Faktor absichern, Änderungen landen im Protokoll, und weil der Quellcode offen ist (AGPL v3), lässt sich nachprüfen, was gespeichert wird. Wie die Software rechnet, steht unter So rechnet PraxisZeit, die Einrichtung im Handbuch für Administratoren.

• BAG, Urteil vom 08.05.2025 – 8 AZR 209/21 (§ 26 Abs. 1 BDSG unanwendbar)
• Datenschutz-Grundverordnung (EU) 2016/679, EUR-Lex
• BAG, Beschluss vom 13.09.2022 – 1 ABR 22/21 (Erfassungspflicht)
• § 16 Arbeitszeitgesetz (Arbeitszeitnachweise)
• § 17 Mindestlohngesetz (Aufzeichnungspflichten)
• § 87 Betriebsverfassungsgesetz (Mitbestimmung bei technischen Einrichtungen)
• Gericht der EU, Pressemitteilung 106/25 zu T-553/23 (EU-US-Datenschutzrahmen)
• zm online: LAG Berlin-Brandenburg zur Zeiterfassung per Fingerabdruck (10 Sa 2130/19)

Dieser Ratgeber gibt einen sorgfältig recherchierten Überblick, ersetzt aber keine Rechtsberatung. Für Ihren Einzelfall wenden Sie sich an eine Fachanwältin oder einen Fachanwalt für Arbeitsrecht oder an Ihre Kammer.