Was ist Cloud-Zeiterfassung?
Bei der Cloud-Zeiterfassung läuft die Software nicht auf einem Server im Betrieb, sondern in einem Rechenzentrum des Anbieters. Zugegriffen wird über den Browser oder eine App; Wartung, Updates und Datensicherung übernimmt der Anbieter.
Abgerechnet wird üblicherweise als Abonnement je Nutzer und Monat – daher die Bezeichnung Software as a Service (SaaS).
Für Betriebe mit mobilen Teams ist das Modell naheliegend: Wer Zeiten auf der Baustelle erfasst, braucht ohnehin einen Zugang von außerhalb des Firmennetzes. Eine lokal installierte Software müsste dafür erst von außen erreichbar gemacht werden – mit allen Sicherheitsfragen, die daran hängen.
Damit unterscheidet sich das Modell grundlegend von einer klassischen Stempeluhr, bei der Gerät und Auswertung im Betrieb stehen.
Cloud, SaaS, On-Premise
| Modell | Wo läuft die Software | Wer betreibt sie |
|---|---|---|
| Cloud / SaaS | Rechenzentrum des Anbieters | Anbieter |
| On-Premise | Server im eigenen Betrieb | eigene IT |
| Private Cloud | dedizierte Umgebung, oft beim Dienstleister | Dienstleister oder eigene IT |
Ein verbreiteter Irrtum: „Cloud“ heißt nicht automatisch, dass Daten irgendwo im Ausland liegen. Wo sie liegen, ist eine vertragliche und technische Frage – und eine der wichtigsten bei der Auswahl.
Cloud oder eigener Server?
| Cloud | On-Premise | |
|---|---|---|
| Anschaffung | keine Hardware | Server, Lizenzen |
| Wartung und Updates | Anbieter | eigene IT oder Dienstleister |
| Datensicherung | Anbieter | eigene Verantwortung |
| Zugriff von außen | eingebaut | muss eingerichtet werden |
| Laufende Kosten | Abonnement | Wartung, Strom, Ersatzbeschaffung |
| Abhängigkeit | vom Anbieter | von der eigenen IT |
| Kontrolle über Daten | vertraglich geregelt | im Haus |
Für Handwerks- und Baubetriebe ohne eigene IT-Abteilung ist die Cloud in der Regel der pragmatischere Weg. Die Frage ist weniger ob, sondern unter welchen Bedingungen.
Datenschutz und Auftragsverarbeitung
Arbeitszeitdaten sind personenbezogene Daten. Wer sie bei einem Dienstleister verarbeiten lässt, bleibt datenschutzrechtlich verantwortlich – der Anbieter ist Auftragsverarbeiter.
Der AV-Vertrag ist Pflicht
Nach Art. 28 DSGVO ist ein Auftragsverarbeitungsvertrag erforderlich. Ohne ihn ist der Einsatz einer Cloud-Zeiterfassung formal unzulässig, unabhängig davon, wie sicher der Anbieter technisch arbeitet.
Der Vertrag muss unter anderem regeln:
- Gegenstand, Dauer und Zweck der Verarbeitung
- Art der Daten und Kategorien betroffener Personen
- technische und organisatorische Maßnahmen nach Art. 32 DSGVO
- Einsatz von Unterauftragsverarbeitern – etwa Hosting, Backup, Support
- Unterstützung bei Auskunfts- und Löschbegehren
- Vorgehen bei Datenpannen
- Löschung oder Rückgabe der Daten nach Vertragsende
Der vierte Punkt wird oft übersehen. Fast jeder Anbieter setzt Unterauftragsverarbeiter ein. Die Liste sollte einsehbar sein und Änderungen sollten angekündigt werden.
Das Ganze gehört anschließend ins Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Weitere Anforderungen im Beitrag zu DSGVO und Zeiterfassung.
Serverstandort und Drittlandtransfer
Liegen die Daten in der EU, gilt die DSGVO unmittelbar und es sind keine zusätzlichen Garantien erforderlich.
Bei einer Verarbeitung außerhalb der EU greifen die Art. 44 ff. DSGVO: erforderlich sind etwa Standardvertragsklauseln, ergänzt um eine Prüfung der Rechtslage im Zielland.
Ein Punkt, der häufig zu kurz kommt: Der Serverstandort allein entscheidet nicht. Unterliegt ein Anbieter oder sein Mutterkonzern einer Rechtsordnung mit extraterritorialem Zugriffsrecht, kann ein Herausgabeverlangen auch Daten betreffen, die physisch in Deutschland liegen.
Für die Prüfung sind daher zwei Fragen zu stellen:
- Wo liegen die Daten – Rechenzentrum, Backup, Support-Zugriff?
- Wer kann rechtlich darauf zugreifen – auch über Konzernstrukturen?
Zertifizierungen richtig lesen
Zertifikate sind ein Indiz, kein Freibrief. Verbreitet sind:
| Zertifikat | Was es abdeckt |
|---|---|
| ISO/IEC 27001 | Informationssicherheits-Managementsystem |
| ISO/IEC 27018 | Schutz personenbezogener Daten in der Cloud |
| ISO 9001 | Qualitätsmanagement, nicht Sicherheit |
| BSI C5 | Kriterienkatalog für Cloud-Sicherheit |
Zwei Punkte beim Lesen:
Prüfen, worauf sich das Zertifikat bezieht. Häufig ist das Rechenzentrum zertifiziert, nicht die Anwendung. Beides ist sinnvoll, aber nicht dasselbe.
ISO 9001 ist kein Sicherheitsnachweis. Es belegt Qualitätsmanagement-Prozesse, nicht den Schutz personenbezogener Daten.
Verfügbarkeit und Offline-Fähigkeit
Bei Cloud-Software wird gern über Verfügbarkeit gesprochen – 99,9 Prozent Uptime und ähnliche Zusagen im Service Level Agreement.
Für die Zeiterfassung auf Baustellen ist das nicht die entscheidende Größe. Viel häufiger als ein Serverausfall ist ein Funkloch auf der Baustelle. Ein Anbieter mit perfekter Uptime nützt nichts, wenn im Rohbau nicht gebucht werden kann.
Entscheidend ist deshalb, ob Buchungen auch ohne Verbindung möglich sind und automatisch nachsynchronisiert werden. Erst danach lohnt der Blick auf das SLA.
- Arbeitszeiten mobil erfassen
- Baustellen und Projekte zuordnen
- Urlaub und Abwesenheiten verwalten
- Lohnabrechnung vorbereiten
- Auswertungen per Klick erstellen
Datenhoheit und Wechselmöglichkeit
Ein Aspekt, der beim Vertragsabschluss selten diskutiert wird und später teuer werden kann.
Aufbewahrungspflichten laufen weiter. Arbeitszeitnachweise sind mindestens zwei Jahre aufzubewahren, lohnrelevante Unterlagen deutlich länger. Wer den Anbieter wechselt, braucht die Altdaten weiterhin.
Zu klären ist deshalb vor dem Vertrag:
- Export in offenen Formaten – CSV oder vergleichbar, nicht nur PDF
- Vollständigkeit des Exports – auch Korrekturprotokolle und Zuordnungen zu Aufträgen
- Frist nach Vertragsende, in der noch exportiert werden kann
- Löschung beim Anbieter, nachweisbar
- Kosten eines Exports
Ein Anbieter, der Daten nur als PDF herausgibt, erzeugt eine faktische Bindung.
Was bei der Auswahl zu prüfen ist
- AV-Vertrag nach Art. 28 DSGVO, vor der Inbetriebnahme
- Serverstandort und Rechtsordnung des Anbieters
- Liste der Unterauftragsverarbeiter, einsehbar
- Verschlüsselung bei Übertragung und Speicherung
- Rollen- und Berechtigungskonzept nach dem Need-to-know-Prinzip
- Konfigurierbare Löschfristen statt pauschaler Dauerspeicherung
- Offline-Fähigkeit der App
- Datenexport in offenen Formaten
- Vertragslaufzeit und Kündigungsfrist
- Betriebsrat einbeziehen nach § 87 Abs. 1 Nr. 6 BetrVG
Der letzte Punkt ist keine Formalie: Die Einführung eines Systems, das zur Überwachung von Verhalten oder Leistung geeignet ist, unterliegt der Mitbestimmung. Eine ohne Beteiligung eingeführte Software kann untersagt werden.
Wie sich Cloud-Betrieb, mobile Erfassung und Auswertung in der Praxis verbinden, zeigt die digitale Zeiterfassung.
Häufige Fragen zur Cloud-Zeiterfassung
- Ist Cloud-Zeiterfassung DSGVO-konform?Ja, wenn ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht, der Serverstandort geklärt ist und technische Maßnahmen nach Art. 32 DSGVO umgesetzt sind.
- Brauche ich einen Auftragsverarbeitungsvertrag?Ja. Ohne AV-Vertrag ist der Einsatz formal unzulässig, auch wenn der Anbieter technisch sicher arbeitet.
- Müssen die Server in Deutschland stehen?Nicht zwingend – innerhalb der EU gilt die DSGVO unmittelbar. Bei Verarbeitung in Drittländern sind zusätzliche Garantien erforderlich. Zu prüfen ist auch, wer rechtlich Zugriff nehmen könnte.
- Was passiert bei einem Serverausfall?Bei offlinefähigen Apps werden Buchungen lokal gespeichert und später übertragen. Ohne Offline-Fähigkeit ist die Erfassung für die Dauer der Störung unterbrochen.
- Was ist der Unterschied zwischen Cloud und On-Premise?Bei der Cloud betreibt der Anbieter die Software im eigenen Rechenzentrum. Bei On-Premise läuft sie auf einem Server im Betrieb, der selbst gewartet und gesichert werden muss.
- Was bedeutet ISO 27001 bei einem Anbieter?Ein zertifiziertes Informationssicherheits-Managementsystem. Zu prüfen ist, worauf sich das Zertifikat bezieht – häufig auf das Rechenzentrum, nicht auf die Anwendung.
- Komme ich bei einem Wechsel an meine Daten?Nur wenn der Vertrag einen vollständigen Export in offenen Formaten vorsieht. Da Aufbewahrungspflichten weiterlaufen, sollte das vor Vertragsabschluss geklärt sein.
- Muss der Betriebsrat beteiligt werden?Ja. Zeiterfassungssysteme sind zur Überwachung von Verhalten und Leistung geeignet und unterliegen der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG.