Seit 2022 müssen Arbeitgeber die Arbeitszeit erfassen. Viele Beschäftigte fragen sich, ob damit die Überwachung durch die Hintertür kommt – und manche Arbeitgeber, wie viel sie aus den Daten herauslesen dürfen. Die Antwort liegt in einer Trennlinie, die das Recht ziemlich genau zieht: zwischen dem Nachweis der Arbeitszeit und der Kontrolle von Leistung und Verhalten.
Von Dr. Katharina Müller · 3. November 2026 · Quellen am Seitenende
Kurz beantwortet: Die Erfassung von Beginn, Ende und Dauer der Arbeitszeit ist keine unzulässige Überwachung, sondern eine Pflicht des Arbeitgebers (BAG, Beschluss vom 13.09.2022 – 1 ABR 22/21); datenschutzrechtlich stützt sie sich auf Art. 6 Abs. 1 lit. c DSGVO. Alles, was darüber hinausgeht – Aktivitätsprotokolle, Bildschirmaufnahmen, Dauerortung, Leistungsranglisten –, ist Leistungs- oder Verhaltenskontrolle und braucht eine eigene Rechtsgrundlage, in der Regel eine dokumentierte Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO, weil § 26 Abs. 1 BDSG nach EuGH C-34/21 und BAG 8 AZR 209/21 unangewendet bleibt. Besteht ein Betriebsrat, bestimmt er nach § 87 Abs. 1 Nr. 6 BetrVG mit. Eine Totalüberwachung ohne konkreten Verdacht ist unzulässig (BAG, Urteil vom 27.07.2017 – 2 AZR 681/16, Keylogger).
Die Pflicht zur Arbeitszeiterfassung folgt aus § 3 Abs. 2 Nr. 1 ArbSchG in der Auslegung, die das Bundesarbeitsgericht im Beschluss vom 13. September 2022 (1 ABR 22/21) im Anschluss an das EuGH-Urteil vom 14. Mai 2019 (C-55/18) gefunden hat. Ihr Zweck ist der Gesundheitsschutz: Es soll überprüfbar sein, ob Höchstarbeitszeiten, Pausen und Ruhezeiten eingehalten werden. Dafür braucht es drei Werte je Arbeitstag – Beginn, Ende, Dauer – und deren Nachvollziehbarkeit. Weil diese Verarbeitung eine rechtliche Verpflichtung erfüllt, ist sie nach Art. 6 Abs. 1 lit. c DSGVO gerechtfertigt; eine Einwilligung ist dafür nicht nötig.
Leistungs- und Verhaltenskontrolle verfolgt einen anderen Zweck. Sie will wissen, wie jemand arbeitet: wie schnell, wie oft unterbrochen, wo, mit welchen Programmen, mit welchem Ergebnis. Diese Fragen sind nicht per se verboten – ein Arbeitgeber darf Arbeitsergebnisse bewerten –, aber sie werden von der Erfassungspflicht nicht gedeckt. Wer Zeiterfassungsdaten für solche Zwecke weiterverwendet, braucht dafür eine eigene Rechtsgrundlage und muss den Grundsatz der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO beachten.
Die Grenze verläuft selten bei der Erfassung selbst, sondern bei dem, was zusätzlich anfällt oder ausgewertet wird. Typische Übergänge in der Praxis:
Bei Dienstplan und Schichtbetrieb liegt ein Sonderfall nahe: Der Abgleich von geplanter Schicht und tatsächlicher Arbeitszeit ist für Zeitkonten, Zuschläge und die Einhaltung der Ruhezeiten notwendig und deshalb Teil der Zeiterfassung. Eine personenbezogene Statistik, wer wie oft wie viele Minuten zu spät kam, ist es nicht.
Lange galt § 26 Abs. 1 Satz 1 BDSG als zentrale Erlaubnisnorm für Beschäftigtendaten: Verarbeitung, soweit für das Beschäftigungsverhältnis erforderlich. Der Europäische Gerichtshof hat mit Urteil vom 30. März 2023 (C-34/21) zur wortgleich aufgebauten hessischen Vorschrift entschieden, dass eine nationale Regelung nur dann eine „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DSGVO ist, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllt – also besondere Maßnahmen zur Wahrung der Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten enthält, insbesondere im Hinblick auf Transparenz und Überwachungssysteme am Arbeitsplatz.
Das Bundesarbeitsgericht hat daraus mit Urteil vom 8. Mai 2025 (8 AZR 209/21) die Konsequenz gezogen, dass § 26 Abs. 1 BDSG unangewendet bleibt. Zur Einordnung: Dieser Fall betraf keine Überwachung, sondern die Übertragung echter Personaldaten zum Test einer HR-Software über den Rahmen einer Betriebsvereinbarung hinaus; zugesprochen wurden 200 Euro immaterieller Schadenersatz. Bedeutsam ist er für die Rechtsgrundlagen, nicht als Überwachungsurteil.
| Verarbeitung | Rechtsgrundlage | Was das praktisch heißt |
|---|---|---|
| Beginn, Ende, Dauer, Pausen | Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 3 Abs. 2 Nr. 1 ArbSchG, § 16 Abs. 2 ArbZG, ggf. § 17 MiLoG | keine Einwilligung nötig; Zweckbindung und Löschfristen beachten |
| Entgeltabrechnung, Zeitkonten | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) | nur die für die Abrechnung nötigen Daten |
| Kontrollen, Standortabgleich, Auswertungen | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) | schriftliche Interessenabwägung, Erforderlichkeit, mildestes Mittel |
| Regelung durch Betriebsvereinbarung | § 26 Abs. 4 BDSG, Art. 88 DSGVO | darf das DSGVO-Niveau nicht unterschreiten (EuGH C-65/23) |
| Freiwillige Zusatzfunktionen | Einwilligung, Art. 6 Abs. 1 lit. a, Art. 7 DSGVO | Freiwilligkeit im Arbeitsverhältnis kritisch; jederzeit widerrufbar |
Gesetzgebungsstand: Ein eigenes Beschäftigtendatenschutzgesetz gibt es nicht. Der Referentenentwurf von BMAS und BMI vom 8. Oktober 2024, der unter anderem Regeln zu Überwachung und Leistungskontrolle enthielt, wurde nach dem Ende der damaligen Koalition nicht weiterverfolgt. Die aktuelle Bundesregierung hat einen neuen Anlauf angekündigt; ein beschlossener Entwurf liegt mit Stand 3. November 2026 nicht vor. Bis dahin entscheiden DSGVO, BDSG, Betriebsverfassungsgesetz und die Rechtsprechung.
Unabhängig vom Datenschutz greift in Betrieben mit Betriebsrat § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmungspflichtig ist die Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Das Bundesarbeitsgericht legt „bestimmt“ als „objektiv geeignet“ aus; auf eine Überwachungsabsicht kommt es nicht an. Damit ist jedes elektronische Zeiterfassungssystem mitbestimmungspflichtig, erst recht jede Zusatzfunktion mit Kontrollpotenzial. Ergänzend verpflichtet § 75 Abs. 2 BetrVG Arbeitgeber und Betriebsrat, die freie Entfaltung der Persönlichkeit der Beschäftigten zu schützen und zu fördern.
Die Betriebsvereinbarung ist deshalb das zentrale Instrument, um die Trennlinie verbindlich zu ziehen: abschließende Zwecke, Positivliste zulässiger Auswertungen, ausdrücklicher Ausschluss der Leistungs- und Verhaltenskontrolle, Löschfristen. Wie eine solche Vereinbarung aufgebaut ist, zeigt der Beitrag Betriebsvereinbarung zur elektronischen Zeiterfassung. Betriebe ohne Betriebsrat sind nicht frei: Für sie gelten dieselben datenschutzrechtlichen Grenzen, nur ohne Verhandlungspartner.
Die zentralen Leitlinien stammen aus Kündigungsschutzverfahren, in denen Arbeitgeber Überwachungsergebnisse als Beweis einsetzen wollten. Mehrere dieser Urteile ergingen noch zu § 32 BDSG a. F.; die dort entwickelten Maßstäbe – konkreter Verdacht, Erforderlichkeit, Verhältnismäßigkeit – prägen die Abwägung nach Art. 6 Abs. 1 lit. f DSGVO weiterhin.
| Entscheidung | Sachverhalt | Kernaussage |
|---|---|---|
| BAG, Urteil vom 27.07.2017 – 2 AZR 681/16 | Software-Keylogger zeichnete alle Tastatureingaben auf und fertigte Bildschirmfotos | ohne konkreten, auf Tatsachen gestützten Verdacht einer Straftat oder schwerwiegenden Pflichtverletzung unzulässig; Erkenntnisse nicht verwertbar, Kündigung unwirksam |
| BAG, Urteil vom 22.09.2016 – 2 AZR 848/15 | verdeckte Videoüberwachung zur Aufklärung eines Verdachts | nur bei konkretem Verdacht gegen einen abgrenzbaren Personenkreis, nach Ausschöpfung milderer Mittel, verhältnismäßig |
| BAG, Urteil vom 23.08.2018 – 2 AZR 133/18 | offene Videoüberwachung, Auswertung erst nach Monaten | Speicherung relevanter Sequenzen wird nicht allein durch Zeitablauf unverhältnismäßig; anlassloses Vorhalten des gesamten Materials dagegen problematisch |
| BAG, Urteil vom 29.06.2023 – 2 AZR 296/22 | offene Kamera am Werkstor belegt verlassene Mehrarbeitsschicht (Arbeitszeitbetrug) | grundsätzlich kein Verwertungsverbot bei vorsätzlichem Fehlverhalten, selbst wenn die Überwachung nicht vollständig datenschutzkonform war; Ausnahme bei schwersten Grundrechtsverletzungen |
| VG Lüneburg, Teilurteil vom 19.03.2019 – 4 A 12/19 | dauerhafte GPS-Ortung von Firmenfahrzeugen, 150 Tage Speicherung | nicht erforderlich, Anordnung der Aufsichtsbehörde bestätigt |
| ArbG Berlin, Urteil vom 16.10.2019 – 29 Ca 5451/19 | Zeiterfassung per Fingerabdruck | ohne Einwilligung unzulässig, da nicht erforderlich |
| HmbBfDI, Bußgeld bekanntgegeben am 01.10.2020 | H&M-Servicecenter Nürnberg: Notizen zu Krankheiten, Urlaubserlebnissen, familiären und religiösen Umständen mehrerer hundert Beschäftigter | rund 35,3 Millionen Euro Bußgeld wegen umfassender Erfassung privater Lebensumstände |
Zwei Lehren lassen sich daraus ableiten. Erstens: Anlasslose Totalüberwachung scheitert regelmäßig, und mit ihr oft auch die darauf gestützte Kündigung. Zweitens: Wer offen und begrenzt kontrolliert, steht deutlich besser da – das Urteil 2 AZR 296/22 bedeutet allerdings nicht, dass Datenschutzverstöße folgenlos bleiben. Das Bußgeldrisiko nach Art. 83 Abs. 5 DSGVO (bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes) und Schadenersatzansprüche nach Art. 82 DSGVO bestehen unabhängig von der prozessualen Verwertbarkeit.
Die folgende Tabelle ordnet verbreitete Maßnahmen ein. Sie ersetzt keine Einzelfallprüfung, zeigt aber, wo die Rechtsprechung und die Aufsichtspraxis die Linien ziehen.
| Maßnahme | Einordnung | Begründung bzw. Voraussetzung |
|---|---|---|
| Erfassung von Beginn, Ende, Dauer und Pausen | erlaubt (Pflicht) | § 3 Abs. 2 Nr. 1 ArbSchG, BAG 1 ABR 22/21; Mitbestimmung beim „Wie“ |
| Soll-Ist-Abgleich Dienstplan und gebuchte Zeit | erlaubt | nötig für Zeitkonten, Zuschläge, Ruhezeitprüfung |
| Hinweise auf Pausen- und Ruhezeitverstöße | erlaubt | dient dem Zweck der Erfassungspflicht (Gesundheitsschutz) |
| Einsicht der Beschäftigten in eigene Buchungen | erlaubt | Transparenz, Art. 15 DSGVO |
| Standortabgleich nur beim Stempeln (Geofencing) | nur mit Voraussetzungen | erforderlich bei wechselnden Einsatzorten, Ergebnis statt Koordinate, Alternative ohne Standort |
| Offene Videoüberwachung von Eingängen oder Kassen | nur mit Voraussetzungen | legitimer Zweck, Hinweisschild, begrenzte Speicherdauer, keine Sozial- oder Sanitärräume |
| Stichprobenartige Kontrolle dienstlicher Internetnutzung | nur mit Voraussetzungen | klare Regelung zur Privatnutzung, Anlass, Verhältnismäßigkeit |
| Verdeckte Überwachung bei konkretem Verdacht | nur mit Voraussetzungen | Tatsachen für Straftat oder schwere Pflichtverletzung, mildere Mittel erschöpft (BAG 2 AZR 848/15) |
| Biometrische Stempelterminals | nur mit Voraussetzungen | Art. 9 DSGVO; praktisch nur mit freiwilliger Einwilligung und Alternative |
| Keylogger, Dauer-Screenshots, Aktivitätsscores | unzulässig | Totalkontrolle ohne Anlass (BAG 2 AZR 681/16) |
| Dauerhafte GPS-Ortung während der Schicht | unzulässig | Bewegungsprofil, nicht erforderlich (VG Lüneburg 4 A 12/19) |
| Erfassung von Gesundheits- und Privatdaten in Rückkehrgesprächen | unzulässig | kein Zweck, der dies trägt; H&M-Bußgeld 2020 |
| Heimliches Mithören oder Aufzeichnen von Gesprächen | unzulässig | zusätzlich strafbar nach § 201 StGB |
| Videoüberwachung von Umkleiden oder Toiletten | unzulässig | Kernbereich der Intimsphäre; von BAG 2 AZR 296/22 als Beispiel für ein mögliches Verwertungsverbot genannt |
Ob ein System zur Überwachung wird, entscheidet weniger die Software als ihre Einrichtung. Für Betriebe mit Dienstplan und Schichtbetrieb haben sich fünf Festlegungen bewährt, die sich im System und in der Betriebsvereinbarung spiegeln sollten:
Kommen, Gehen, Pausen, Abwesenheitsart, Buchungsquelle, Korrekturvermerk – mehr nicht. Zusatzfelder werden nicht „vorsorglich“ aktiviert.
Monatsübersicht, Saldo, Zuschläge, Verstöße gegen das Arbeitszeitgesetz. Personenvergleiche und Ranglisten sind ausgeschlossen.
Führungskräfte sehen nur ihre Teams; Abrufe und Korrekturen werden protokolliert, damit nachvollziehbar bleibt, wer was eingesehen hat.
Arbeitszeitnachweise mindestens zwei Jahre (§ 16 Abs. 2 ArbZG, § 17 MiLoG), danach automatische Löschung; Standortbezüge deutlich früher.
Beschäftigte sehen ihre eigenen Buchungen und Salden jederzeit; Zwecke und Empfänger sind nach Art. 13 DSGVO vorab offengelegt.
Wo Zusatzfunktionen mit Überwachungspotenzial eingeführt werden sollen, gehört vorab die Prüfung dazu, ob nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung nötig ist – bei systematischer Überwachung von Beschäftigten ist das regelmäßig der Fall. Die technische Seite eines sauberen Datenmodells mit Korrekturpfad beschreibt die Seite Technik.
Plattformen, die Dienstplanung und Zeiterfassung verbinden, erleichtern den Soll-Ist-Abgleich, ohne dass dafür zusätzliche Kontrolldaten anfallen. In Aplano etwa wird per Mitarbeiter-App, im Browser oder an einer Tablet-Stempeluhr gebucht; Hinweise zu Pausen- und Ruhezeitkonflikten nach dem Arbeitszeitgesetz und Stundenkonten gehören zum Funktionsumfang, Geofencing lässt sich bei Bedarf zuschalten. Welche dieser Funktionen in einem Betrieb aktiv sind, ist eine Entscheidung, die – wie bei jedem anderen System auch – in die Betriebsvereinbarung gehört.
Fazit: Arbeitszeiterfassung ist Pflicht, Mitarbeiterüberwachung ist begründungsbedürftig. Ein System, das Beginn, Ende und Dauer erfasst, Verstöße gegen Ruhezeiten anzeigt und den Beschäftigten ihre Daten offenlegt, bewegt sich sicher innerhalb dieser Pflicht. Wer darüber hinaus Aktivität, Standort oder Verhalten auswerten will, braucht einen konkreten Zweck, eine dokumentierte Abwägung nach Art. 6 Abs. 1 lit. f DSGVO, die Zustimmung des Betriebsrats – und muss damit rechnen, dass Gerichte und Aufsichtsbehörden genau prüfen, ob es ein milderes Mittel gegeben hätte.
Rechtlich ist sie zunächst die Erfüllung einer Pflicht: Nach dem Beschluss des Bundesarbeitsgerichts vom 13.09.2022 (1 ABR 22/21) muss der Arbeitgeber Beginn, Ende und Dauer der Arbeitszeit erfassen. Mitbestimmungsrechtlich ist ein elektronisches System trotzdem eine technische Einrichtung im Sinne des § 87 Abs. 1 Nr. 6 BetrVG, weil es objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Zur Leistungs- und Verhaltenskontrolle wird es, wenn die Daten über den Arbeitszeitnachweis hinaus ausgewertet werden, etwa für Pünktlichkeitsranglisten oder Aktivitätsprofile.
Erlaubt ist, was für einen legitimen Zweck erforderlich und verhältnismäßig ist und offen geschieht: die Erfassung von Arbeitszeiten, stichprobenartige und anlassbezogene Kontrollen, offene Videoüberwachung bestimmter Bereiche mit Hinweisschild und begrenzter Speicherdauer. Eine Totalkontrolle, etwa die lückenlose Aufzeichnung aller Tastatureingaben, ist ohne konkreten Verdacht unzulässig (BAG, Urteil vom 27.07.2017 – 2 AZR 681/16). Besteht ein Betriebsrat, muss er technischen Überwachungseinrichtungen zustimmen.
Nur ausnahmsweise. Nach der Rechtsprechung des Bundesarbeitsgerichts ist verdeckte Überwachung nur zulässig, wenn ein durch konkrete Tatsachen begründeter Verdacht einer Straftat oder schweren Pflichtverletzung gegen einen abgrenzbaren Personenkreis besteht, mildere Mittel ausgeschöpft sind und die Maßnahme insgesamt verhältnismäßig ist (BAG, Urteil vom 22.09.2016 – 2 AZR 848/15). Eine Überwachung ins Blaue hinein ist unzulässig; die Ergebnisse können dann einem Verwertungsverbot unterliegen.
Der EuGH hat am 30.03.2023 (C-34/21) entschieden, dass nationale Beschäftigtendatenschutzregeln nur als spezifischere Vorschriften gelten, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllen. Das Bundesarbeitsgericht hat daraus mit Urteil vom 08.05.2025 (8 AZR 209/21) abgeleitet, dass § 26 Abs. 1 BDSG unangewendet bleibt. Maßgeblich sind damit Art. 6 Abs. 1 DSGVO – für die Zeiterfassung vor allem lit. c (rechtliche Verpflichtung) und für weitergehende Maßnahmen lit. f (berechtigtes Interesse) – sowie Betriebsvereinbarungen nach § 26 Abs. 4 BDSG und Art. 88 DSGVO.
Nach Art. 83 Abs. 5 DSGVO bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bekanntestes deutsches Beispiel ist das Bußgeld von rund 35,3 Millionen Euro, das der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit am 1. Oktober 2020 gegen H&M bekanntgab: Im Servicecenter Nürnberg waren über Jahre private Lebensumstände von mehreren hundert Beschäftigten erfasst worden. Hinzu kommen Schadenersatzansprüche nach Art. 82 DSGVO und Beweisverwertungsverbote im Kündigungsschutzprozess.
Nein, Stand 3. November 2026 nicht. Ein Referentenentwurf von BMAS und BMI vom 08.10.2024 wurde nach dem Ende der damaligen Koalition nicht weiterverfolgt; ein neuer Entwurf ist angekündigt, aber nicht beschlossen. Bis dahin gelten die DSGVO, § 26 BDSG in seiner unionsrechtskonform eingeschränkten Anwendung, das Betriebsverfassungsgesetz und die Rechtsprechung.
Standortabgleich beim Stempeln: GPS-Zeiterfassung. Fingerabdruck-Terminals und Art. 9 DSGVO: Biometrische Zeiterfassung per Fingerabdruck. Kontrollverbote verbindlich regeln: Betriebsvereinbarung zur elektronischen Zeiterfassung. Erfassen ohne Leistungskontrolle im Vertrauensmodell: Vertrauensarbeitszeit und Zeiterfassung. Rechtslage im Überblick: Regelungen.
Über die Autorin: Dr. Katharina Müller ist Arbeitswissenschaftlerin und Expertin für Personalplanung, Arbeitszeitgestaltung und Workforce Management.
Quellen und Stand (3. November 2026): § 87 BetrVG · § 75 BetrVG · § 26 BDSG · § 3 ArbSchG · § 201 StGB · Art. 6 DSGVO · Art. 88 DSGVO · Art. 35 DSGVO · Art. 83 DSGVO · EuGH, Urteil vom 30.03.2023 – C-34/21 · BAG, Beschluss vom 13.09.2022 – 1 ABR 22/21 · BAG, Urteil vom 08.05.2025 – 8 AZR 209/21 (Rechtsgrundlage, kein Überwachungsfall) · BAG, Urteil vom 27.07.2017 – 2 AZR 681/16 (Keylogger) · BAG, Urteil vom 22.09.2016 – 2 AZR 848/15 · BAG, Urteil vom 23.08.2018 – 2 AZR 133/18 · BAG, Urteil vom 29.06.2023 – 2 AZR 296/22 · VG Lüneburg, Teilurteil vom 19.03.2019 – 4 A 12/19 · ArbG Berlin, Urteil vom 16.10.2019 – 29 Ca 5451/19 · LTO: 35 Millionen Euro Bußgeld für H&M (Oktober 2020) · BMAS/BMI: Referentenentwurf eines Beschäftigtendatengesetzes vom 08.10.2024 (nicht weiterverfolgt, Stand 03.11.2026 kein neues Gesetz) · aplano.de (Funktionsangaben). Rechtsinformationen ersetzen keine Beratung im Einzelfall.