Auftragsverarbeitung
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. Sie setzt einen Vertrag nach Art. 28 Abs. 3 DSGVO voraus.
Stand:September 2026
Wer wofür verantwortlich ist
Verantwortlicher ist der Betrieb, der über Zwecke und Mittel der Verarbeitung entscheidet, also der Arbeitgeber. Auftragsverarbeiter ist der Softwareanbieter, der die Daten in seinem System speichert.
Die Verantwortung wandert dabei nicht mit. Wer eine Zeiterfassung als Software mietet, bleibt gegenüber den Beschäftigten und gegenüber der Aufsichtsbehörde verantwortlich, auch für die Auswahl eines geeigneten Anbieters.
Was im Vertrag stehen muss
Art. 28 Abs. 3 DSGVO nennt den Mindestinhalt: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeitsverpflichtung des Personals, technische und organisatorische Maßnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe am Ende und Nachweispflichten.
Der Vertrag ist schriftlich oder in einem elektronischen Format zu schließen. Ein Hinweis in den allgemeinen Geschäftsbedingungen genügt nicht.
Diese Größen rechnet MetronHR selbst: Zeitkonten, Zuschläge, Überstunden und die Grenzen des Arbeitszeitgesetzes, bei jeder Buchung.
Was daneben zu tun bleibt
Die Verarbeitung gehört in das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Die Beschäftigten sind nach Art. 13 DSGVO zu informieren, und zwar bevor die Erfassung beginnt.
Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist, hängt vom Einzelfall ab. Eine reine Zeiterfassung ohne Leistungsauswertung löst sie in der Regel nicht aus, eine systematische Überwachung dagegen schon.
Häufiger Fehler
Der AVV wird beim Anbieter heruntergeladen, unterschrieben und abgelegt, ohne die Liste der Unterauftragsverarbeiter zu prüfen. Genau dort steht, wohin die Daten tatsächlich fließen, und genau danach fragt eine Aufsichtsbehörde zuerst.
Nachlesen
- Art. 28 Abs. 1 und 3 DSGVO, Art. 4 Nr. 7 und 8 DSGVO
- Art. 13 DSGVO, Art. 30 DSGVO, Art. 35 DSGVO
- § 26 BDSG
Das ist keine Rechtsberatung, bei einem konkreten Fall im Betrieb fragst du besser jemanden mit Zulassung.
Herausgeberin: AMNAU GmbH
Redaktionell verantwortlich: Ugur Aydogan, Produktentwicklung.
Zuletzt fachlich geprüft: September 2026
Begriffe kennen ist das eine. Sie sauber abrechnen das andere.
MetronHR führt Zeitkonten, rechnet Zuschläge und prüft die Grenzen des Arbeitszeitgesetzes automatisch. 14 Tage kostenlos testen.
Ohne Kreditkarte, jederzeit kündbar
Verwandte Begriffe
Betriebsvereinbarung
Eine Betriebsvereinbarung ist eine schriftliche Vereinbarung zwischen Arbeitgeber und Betriebsrat. Sie gilt unmittelbar und zwingend für alle Beschäftigten des Betriebs.
Mitbestimmung
Mitbestimmung bedeutet, dass eine Maßnahme der Zustimmung des Betriebsrats bedarf. Bei der Arbeitszeit ist sie in § 87 Abs. 1 BetrVG geregelt und erzwingbar.
Aufzeichnungspflicht
Die Aufzeichnungspflicht ist die Pflicht, Arbeitszeiten festzuhalten. Sie folgt nicht aus einer, sondern aus mehreren Vorschriften, die sich in Umfang, Frist und Adressat unterscheiden.