Inhalt
Wer wofür verantwortlich ist
Verantwortlicher ist der Betrieb, der über Zwecke und Mittel der Verarbeitung entscheidet, also der Arbeitgeber. Auftragsverarbeiter ist der Softwareanbieter, der die Daten in seinem System speichert.
Die Verantwortung wandert dabei nicht mit. Wer eine Zeiterfassung als Software mietet, bleibt gegenüber den Beschäftigten und gegenüber der Aufsichtsbehörde verantwortlich, auch für die Auswahl eines geeigneten Anbieters.
Was im Vertrag stehen muss
Art. 28 Abs. 3 DSGVO nennt den Mindestinhalt: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeitsverpflichtung des Personals, technische und organisatorische Maßnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe am Ende und Nachweispflichten.
Der Vertrag ist schriftlich oder in einem elektronischen Format zu schließen. Ein Hinweis in den allgemeinen Geschäftsbedingungen genügt nicht.
Was daneben zu tun bleibt
Die Verarbeitung gehört in das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Die Beschäftigten sind nach Art. 13 DSGVO zu informieren, und zwar bevor die Erfassung beginnt.
Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist, hängt vom Einzelfall ab. Eine reine Zeiterfassung ohne Leistungsauswertung löst sie in der Regel nicht aus, eine systematische Überwachung dagegen schon.
Häufiger Fehler
Der AVV wird beim Anbieter heruntergeladen, unterschrieben und abgelegt, ohne die Liste der Unterauftragsverarbeiter zu prüfen. Genau dort steht, wohin die Daten tatsächlich fließen, und genau danach fragt eine Aufsichtsbehörde zuerst.
Das ist keine Rechtsberatung, bei einem konkreten Fall im Betrieb fragst du besser jemanden mit Zulassung.
Herausgeberin: AMNAU GmbH
Redaktionell verantwortlich: Ugur Aydogan, Produktentwicklung.
Zuletzt fachlich geprüft: 2. September 2026