Wenn die Personalverwaltung mitwächst
Montagmorgen im Büro. Eine Krankmeldung kommt per WhatsApp an das private Handy der Chefin. Ein Urlaubsantrag liegt als Zettel auf dem Schreibtisch. Die Arbeitszeiten stehen in einer Excel-Liste, die schon niemand mehr richtig pflegt. Und irgendwo im Postfach liegt noch ein Foto von einem Krankenschein.
So sieht Personalverwaltung in vielen kleinen Unternehmen aus. Nicht falsch gemeint, sondern historisch gewachsen. Solange alle im selben Raum sitzen, geht das oft gut. Sobald das Team wächst, mobil arbeitet oder eine Prüfung kommt, wird aus der Improvisation ein Risiko.
Dieser Beitrag zeigt, wie Sie Arbeitszeiten, Urlaub und Krankmeldungen mit digitalen Werkzeugen ordnen. Mit Blick auf den Alltag und mit Blick auf den Datenschutz. Denn Personaldaten gehören zu den sensibelsten Daten, die ein Unternehmen überhaupt verarbeitet.
Das Wichtigste in Kürze
- Digitale Personalverwaltung spart Zeit, senkt Fehler und schafft Nachweise. Das ist der Geschäftsnutzen.
- Arbeitszeiten müssen erfasst werden. Das ist seit dem Beschluss des Bundesarbeitsgerichts vom 13. September 2022 keine Kür mehr.
- Krankmeldungen sind Gesundheitsdaten und damit besonders geschützt. Hier gelten strengere Regeln als bei einer Urlaubsliste.
- Vor der Tool-Auswahl entscheiden fünf Datenschutz-Fragen: Auftragsverarbeitung, Serverstandort, Zugriffsrechte, Löschfristen und Transparenz gegenüber dem Team.
- Fangen Sie mit einem Prozess an, nicht mit allen gleichzeitig. Ein sauber eingeführter Baustein ist mehr wert als ein halbes Gesamtsystem.
1. Warum sich der Umstieg lohnt, und wo das Gesetz mitredet
Wiederkehrende Abstimmungen wirken klein. In Summe fressen sie erstaunlich viel Zeit. Wer hat noch Urlaub, wer war wann krank, stimmen die Stunden für die Lohnabrechnung. Digitale Werkzeuge nehmen genau diese Routine ab. Sie rechnen, erinnern und legen alles an einem Ort ab.
Dazu kommt ein Punkt, den viele unterschätzen. Die Erfassung der Arbeitszeit ist keine freiwillige Fleißaufgabe mehr. Seit dem Beschluss des Bundesarbeitsgerichts vom 13. September 2022 steht fest, dass Arbeitgeber verpflichtet sind, die Arbeitszeit ihrer Beschäftigten zu erfassen. Wie genau die gesetzliche Ausgestaltung am Ende aussieht, ist noch in Bewegung. Die Pflicht als solche steht aber.
Der Nutzen und die Pflicht zeigen in dieselbe Richtung. Ein digitales System erfüllt den Nachweis fast nebenbei und macht die tägliche Arbeit leichter.
Typische Probleme:
- Stunden werden aus dem Gedächtnis nachgetragen und stimmen dann nicht mehr
- Urlaubskonten laufen auseinander, weil zwei Listen parallel gepflegt werden
- Bei einer Prüfung fehlt der saubere Nachweis, wer wann gearbeitet hat
Pragmatische Lösung:
- Erfassen Sie Arbeitszeiten dort, wo sie entstehen, per App oder am Arbeitsplatz
- Führen Sie Urlaubs- und Abwesenheitskonten in einem einzigen System
- Achten Sie darauf, dass sich Auswertungen revisionssicher exportieren lassen
2. Die Krankmeldung ist kein normaler Datensatz
Hier trennt sich die pragmatische Bürolösung von der sauberen Datenschutzlösung. Die Information, dass eine Person arbeitsunfähig ist, ist ein Gesundheitsdatum. Solche Daten gehören nach Artikel 9 der DSGVO zu den besonderen Kategorien personenbezogener Daten. Sie genießen einen stärkeren Schutz als eine Telefonnummer oder eine Urlaubsangabe.
Wichtig ist auch eine Entwicklung, die viele Vorlagen noch nicht abbilden. Seit dem 1. Januar 2023 gilt für gesetzlich Versicherte die elektronische Arbeitsunfähigkeitsbescheinigung, kurz eAU. Der Arbeitgeber ruft die Arbeitsunfähigkeit direkt bei der Krankenkasse ab. Der gelbe Schein auf Papier ist für diese Fälle in aller Regel Geschichte. Die Diagnose bekommt der Arbeitgeber dabei ohnehin nicht zu sehen, und das ist auch gut so.
Für Ihre digitale Personalverwaltung heißt das zweierlei. Erstens sollten Sie Beschäftigte nicht dazu anhalten, Krankschreibungen als Foto in ein Tool zu laden, wenn der Weg über die eAU vorgesehen ist. Zweitens hat eine Diagnose in keinem Personalsystem etwas zu suchen. Erfasst wird der Zeitraum der Abwesenheit, nicht der Grund.
Typische Probleme:
- Krankmeldungen samt Diagnose landen in einem allgemein zugänglichen Ordner
- Atteste werden per Messenger an private Geräte geschickt
- Alte Krankheitsdaten bleiben jahrelang im System, obwohl sie längst gelöscht sein müssten
Pragmatische Lösung:
- Erfassen Sie nur die Abwesenheit und ihren Zeitraum, nie die Diagnose
- Beschränken Sie den Zugriff auf Krankdaten strikt auf die Personen, die ihn wirklich brauchen
- Klären Sie im Vorfeld, ob der Weg über die eAU den Upload von Scheinen ersetzt
3. Fünf Datenschutz-Fragen vor der Tool-Auswahl
Ob ein Werkzeug zu Ihnen passt, entscheidet sich nicht nur an den Funktionen. Es entscheidet sich an fünf Fragen. Wer sie vor der Einführung stellt, spart sich später Ärger.
Frage 1: Gibt es einen Vertrag zur Auftragsverarbeitung? Sobald ein Anbieter Personaldaten für Sie verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Seriöse Anbieter stellen ihn von sich aus bereit. Fehlt er, ist das ein Warnsignal.
Frage 2: Wo stehen die Server? Ein Serverstandort in Deutschland oder der EU erspart Ihnen die Diskussion über den Datentransfer in Drittländer. Gerade beim Transfer in die USA ist die Rechtslage derzeit alles andere als stabil. Wer die Wahl hat, bleibt mit Personaldaten besser im europäischen Raum.
Frage 3: Wer darf was sehen? Nicht jede Person im Unternehmen muss die Abwesenheiten aller Kollegen einsehen. Ein gutes System erlaubt abgestufte Zugriffsrechte. Das ist die praktische Umsetzung der Sicherheitspflicht aus Artikel 32 DSGVO.
Frage 4: Was passiert mit alten Daten? Personaldaten dürfen nicht ewig gespeichert werden. Prüfen Sie, ob sich Löschfristen hinterlegen lassen und ob das System Daten am Ende auch wirklich entfernt und nicht nur ausblendet.
Frage 5: Weiß das Team Bescheid? Beschäftigte haben ein Recht darauf zu erfahren, welche Daten zu welchem Zweck verarbeitet werden. Rechtsgrundlage ist das Beschäftigungsverhältnis, ergänzt durch die Vorgaben zum Beschäftigtendatenschutz. Eine kurze, verständliche Information schafft Vertrauen und erfüllt zugleich eine Pflicht.
Ein Hinweis noch für Unternehmen mit Betriebsrat. Die Einführung technischer Systeme, mit denen sich Verhalten oder Leistung überwachen lassen, ist mitbestimmungspflichtig. Zeiterfassung fällt darunter. Holen Sie den Betriebsrat früh ins Boot, nicht erst zum Vertragsabschluss.
4. Geeignete Werkzeuge für kleine Unternehmen
Die folgende Übersicht ist eine Einordnung, keine Kaufempfehlung. Welches Werkzeug passt, hängt von Ihrer Größe, Ihren Prozessen und Ihrem Budget ab. Prüfen Sie Serverstandort und Vertrag zur Auftragsverarbeitung immer im konkreten Fall, denn Anbieter ändern ihre Bedingungen.
- clockodo: Deutsche Zeiterfassung, speziell für kleine und mittlere Unternehmen entwickelt. Schnelle Einführung, deutscher Serverstandort. Gut für den Einstieg, wenn zunächst nur die Zeit sauber erfasst werden soll.
- HRworks: Umfangreichere Lösung für Personalverwaltung, Zeiterfassung sowie Urlaubs- und Abwesenheitsmanagement. Deutsche Cloud. Passt, wenn mehrere Prozesse aus einer Hand kommen sollen.
- TimeTac: Zeiterfassung mit Urlaubs- und Projektverwaltung, nutzerfreundlich, Serverstandort Österreich und damit im EU-Raum.
- Jibble: Für kleine Teams in den Grundfunktionen kostenfrei nutzbar. Die DSGVO-Konformität hängt hier besonders am Serverstandort und am Vertrag zur Auftragsverarbeitung. Beides vor dem Start prüfen.
- Nextcloud mit Groupware: Für technikaffine Unternehmen, die Aufgaben, Kalender und Dokumente im eigenen System verwalten wollen. Maximale Kontrolle, dafür mehr Eigenverantwortung bei Betrieb und Sicherheit.
Die Faustregel lautet: Je sensibler die Daten, desto wichtiger sind europäischer Serverstandort, sauberer Auftragsverarbeitungsvertrag und ein klares Berechtigungskonzept.
5. Schritt für Schritt statt alles auf einmal
Der häufigste Fehler bei der Digitalisierung ist der große Wurf. Alles soll gleichzeitig neu, sauber und perfekt sein. Das überfordert das Team und bleibt auf halbem Weg liegen.
Besser ist der kleine, klare Anfang.
- Starten Sie mit einem einzigen Prozess. Die digitale Urlaubsverwaltung eignet sich gut, weil sie schnell Nutzen zeigt und keine Gesundheitsdaten berührt.
- Lassen Sie das System vier Wochen laufen und holen Sie Rückmeldungen ein.
- Nehmen Sie danach den nächsten Baustein dazu, etwa die Zeiterfassung.
- Die Krankmeldung kommt bewusst zuletzt, weil sie die sensibelsten Daten betrifft und die klarsten Regeln braucht.
So wächst das System mit dem Vertrauen des Teams, nicht gegen es.
6. Zwei Beispiele aus der Praxis
Handwerksbetrieb mit zwölf Mitarbeitenden. Die Stunden wurden bisher auf Zetteln notiert und am Monatsende mühsam abgetippt. Mit einer App zur Zeiterfassung buchen die Kollegen ihre Zeiten jetzt direkt von der Baustelle. Die Lohnabrechnung ist immer aktuell, der Nachweis liegt ohne Zusatzaufwand vor. Der Zugriff auf die Auswertungen ist auf Inhaber und Büro beschränkt.
Kleine Praxis mit acht Mitarbeitenden. Urlaube und Abwesenheiten laufen über ein Personalsystem mit deutscher Cloud. Die Mitarbeitenden stellen ihre Anträge selbst und sehen freie Zeiten auf einen Blick. Krankmeldungen werden nur als Abwesenheit erfasst, ohne Diagnose. Die Arbeitsunfähigkeit selbst kommt über die eAU von der Krankenkasse.
7. Schnellstart in 30 Minuten
Sie müssen nicht alles auf einmal klären. Mit einer halben Stunde bekommen Sie einen guten Überblick.
- 5 Minuten: Notieren Sie, wo heute Arbeitszeiten, Urlaube und Krankmeldungen landen und wer darauf Zugriff hat.
- 5 Minuten: Markieren Sie die Stellen, an denen Gesundheitsdaten oder Diagnosen auftauchen, wo sie nicht hingehören.
- 5 Minuten: Prüfen Sie, ob für genutzte Tools ein Vertrag zur Auftragsverarbeitung vorliegt.
- 5 Minuten: Klären Sie den Serverstandort Ihrer bestehenden oder geplanten Lösung.
- 5 Minuten: Entscheiden Sie, mit welchem einen Prozess Sie starten.
- 5 Minuten: Legen Sie fest, wer im Team die Einführung begleitet.
Am Ende haben Sie noch kein fertiges System. Aber Sie wissen, wo Sie stehen und wo Sie ansetzen.
FAQ: Digitale Personalverwaltung und Datenschutz
1. Ist die digitale Zeiterfassung im kleinen Unternehmen Pflicht? Die Pflicht zur Erfassung der Arbeitszeit gilt unabhängig von der Unternehmensgröße. Die Form ist nicht festgelegt, digital ist aber die einfachste Art, die Pflicht zu erfüllen und den Nachweis zu sichern.
2. Dürfen Krankmeldungen in einem Personaltool gespeichert werden? Die Abwesenheit und ihr Zeitraum dürfen erfasst werden. Die Diagnose gehört nicht ins System. Weil es sich um Gesundheitsdaten nach Artikel 9 DSGVO handelt, müssen Zugriff und Speicherung besonders eng geregelt sein.
3. Was ist die eAU und was ändert sie für Arbeitgeber? Die elektronische Arbeitsunfähigkeitsbescheinigung gilt seit dem 1. Januar 2023 für gesetzlich Versicherte. Der Arbeitgeber ruft die Arbeitsunfähigkeit bei der Krankenkasse ab. Der Papierschein und der Upload von Scheinen entfallen in diesen Fällen weitgehend.
4. Worauf muss ich bei der Tool-Auswahl datenschutzrechtlich achten? Auf den Vertrag zur Auftragsverarbeitung, den Serverstandort, ein abgestuftes Berechtigungskonzept, hinterlegbare Löschfristen und die transparente Information der Beschäftigten. Diese fünf Punkte entscheiden über die datenschutzkonforme Nutzung.
5. Brauche ich für ein Zeiterfassungssystem die Zustimmung des Betriebsrats? Wenn ein Betriebsrat besteht, ja. Technische Systeme, mit denen sich Verhalten oder Leistung überwachen lassen, sind mitbestimmungspflichtig. Die Zeiterfassung gehört dazu.
6. Wie lange dürfen Personaldaten gespeichert werden? So lange, wie sie für den Zweck erforderlich sind oder eine gesetzliche Aufbewahrungspflicht besteht. Danach sind sie zu löschen. Ein Werkzeug, das Löschfristen unterstützt, macht das deutlich einfacher.
Wenn Sie einen Blick von außen möchten
Digitale Personalverwaltung ist kein Großprojekt, sondern eine Reihe kleiner, sauberer Entscheidungen. Wenn Sie unsicher sind, ob Ihre Tools und Abläufe datenschutzrechtlich tragen, hilft ein strukturierter Blick von außen. Ohne Vortrag, ohne Paragrafen-Overkill und ohne Verkaufsdruck. Sie entscheiden danach in Ruhe, was Sie selbst umsetzen und wo Unterstützung sinnvoll ist.
Über den Autor
Stephan Wagner ist Jurist, TÜV-Dozent und externer Datenschutzbeauftragter. Mit LexGeneralis-Datenschutzconsulting auf Sylt begleitet er Inhaber und Geschäftsführer dabei, Datenschutz, KI und Compliance praxisnah umzusetzen. Ohne Bürokratie-Overkill, mit klarem Fokus auf Lösungen, die im Alltag funktionieren.
Disclaimer
Dieser Beitrag bietet eine allgemeine Orientierung zur digitalen Personalverwaltung und zum Datenschutz in kleinen und mittleren Unternehmen. Er ersetzt keine individuelle Rechtsberatung und keine Prüfung des Einzelfalls durch qualifizierte Fachleute.
Dieser Beitrag gehört zum Leitfaden Datenschutz im KMU: der praktische Leitfaden. Dort finden Sie alle Beiträge zum Thema gebündelt.
