Zeiterfassung ohne Cloud: Warum lokale Daten für KMU sicherer sind

Wie KMU mit lokaler Datenspeicherung Drittland-Risiken, AV-Verträge und Abo-Fallen bei der Arbeitszeiterfassung umgehen

Zeiterfassung ohne Cloud rückt 2026 wieder in den Fokus vieler Entscheider in Kleinbetrieben und im Mittelstand. Wer Arbeitszeiten erfasst, verarbeitet personenbezogene Daten seiner Beschäftigten und unterliegt damit den Vorgaben der DSGVO. Während Cloud- und SaaS-Lösungen mit automatischen Updates und einfacher Standortanbindung werben, holen sie sich zugleich zusätzliche Pflichten und rechtliche Unsicherheiten ins Haus. Eine lokale Datenspeicherung direkt im Erfassungsgerät kann einen Teil dieser Risiken von vornherein vermeiden.

Was die DSGVO bei der Arbeitszeiterfassung verlangt

Unabhängig vom Speicherort gelten die materiellen Datenschutzpflichten. Nach Art. 5 DSGVO dürfen nur so viele Daten erhoben werden, wie für den Zweck nötig sind (Datenminimierung), und die Verarbeitung muss zweckgebunden und transparent erfolgen. Als Rechtsgrundlage für Beschäftigtendaten dient in Deutschland in der Regel § 26 Abs. 1 BDSG, dessen unionsrechtliche Tragfähigkeit allerdings seit einem EuGH-Urteil aus dem Jahr 2023 in der Fachdiskussion ist. Hinzu kommen technisch-organisatorische Maßnahmen nach Art. 32 DSGVO, etwa eine Zugriffskontrolle über Rollen- und Rechtekonzepte, damit nur befugtes Personal die Zeitdaten einsehen kann.

Diese Pflichten bleiben bestehen, egal ob die Daten lokal oder in der Cloud liegen. Eine On-Premise-Lösung befreit also nicht von Datenminimierung, Zugriffsschutz oder Dokumentation. Sie kann aber eine zusätzliche Risikoebene spürbar verkleinern: den Datentransfer in Drittländer und die Auftragsverarbeitung durch externe Dienstleister.

Das Drittland-Risiko bei Cloud-Diensten

Wird die Arbeitszeiterfassung extern in einer Cloud verarbeitet, ist in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich, der Sicherheitsmaßnahmen, Unterauftragnehmer und Serverstandort regelt. Sitzt der Anbieter in den USA, kommt die Drittland-Problematik hinzu. Der EU-US Data Privacy Framework (DPF) ist zwar seit Juli 2023 in Kraft und hat im September 2025 vor dem Gericht der EU eine erste Klage überstanden. Transfers an zertifizierte US-Anbieter sind damit derzeit rechtlich zulässig.

Allerdings bleibt ein Restrisiko. Gegen das Urteil von 2025 ist ein Rechtsmittel zum EuGH möglich, und Kritiker wie Max Schrems (noyb) halten weitere rechtliche Schritte für wahrscheinlich. Auch die seit Anfang 2025 eingeschränkte Arbeitsfähigkeit der US-Aufsichtsbehörde PCLOB wird von Datenschützern als Unsicherheitsfaktor gewertet. Verboten ist der Transfer also nicht, dauerhaft planungssicher ist er für vorsichtige Unternehmen aber ebenfalls nicht.

Zeiterfassung ohne Cloud als pragmatischer Ausweg

Wer die Arbeitszeitdaten rein intern speichert und verarbeitet, umgeht diese Debatte. Bei einer On-Premise-Lösung bleiben die Daten im eigenen Haus, ein Transfer in Drittländer findet nicht statt, und solange kein externer Dienstleister Zugriff erhält, ist auch kein Auftragsverarbeitungsvertrag nötig. Das bedeutet weitgehende Datenhoheit ohne Abhängigkeit vom DPF.

Ein praktischer Nebeneffekt: Ein lokales System arbeitet auch ohne Internetverbindung. Fällt die Leitung aus, läuft die Zeiterfassung weiter. Wichtig zur Einordnung ist allerdings: Sobald ein Fernwartungs- oder Support-Partner Datenzugriff erhält, kann Art. 28 DSGVO erneut greifen. Die Entlastung gilt also für den rein internen Betrieb.

Mitbestimmung nicht vergessen

Ein Punkt gilt unabhängig vom Speicherort: Die Einführung elektronischer Zeiterfassung ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig, da ein solches System geeignet ist, Verhalten und Leistung der Beschäftigten zu überwachen. Seit dem Grundsatzbeschluss des Bundesarbeitsgerichts von 2022 gilt zudem, dass Arbeitgeber zur Erfassung der Arbeitszeit grundsätzlich verpflichtet sind. Wo ein Betriebsrat besteht, sollte er bei der konkreten Ausgestaltung früh eingebunden werden, unabhängig vom Speicherort.

Die Vorteile einer lokalen Zeiterfassung im Überblick

Für KMU ergibt sich aus der On-Premise-Architektur ein klares Profil. ZFDM von Get2World Systems setzt genau hier an: ein webbasiertes Zeiterfassungssystem mit eigener Hardware, bei dem die Daten lokal im Gerät bleiben.

– Lokale Datenspeicherung direkt im Gerät: Die Arbeitszeitdaten bleiben im Unternehmen, kein Cloud- oder US-Transfer, weitgehende Datenhoheit
– Kein Drittland-Transfer und keine DPF-Abhängigkeit, da die Daten den Betrieb bei rein interner Verarbeitung nicht verlassen
– Bei interner Verarbeitung ohne externen Dienstleister ist kein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig
– Keine Internetverbindung erforderlich: Standalone-Betrieb möglich, Zugriff per Browser über das lokale Netzwerk (PC, Laptop, Tablet, Smartphone)
– Keine monatlichen Kosten und keine laufenden Servicegebühren: Einmalkauf statt Abo
– Erfassung per Chip (RFID/Transponder) oder Fingerprint, mehrere Terminals und Standorte lassen sich verknüpfen
– Auswertung von Netto-Arbeitszeit, Überstunden, Pausen, Urlaub und Krankheit; auch projektbezogene Aufwände lassen sich erfassen
– Einfache Installation und Montage nach dem Plug-and-play-Prinzip

Wer Arbeitszeiten datenschutzfreundlich und ohne laufende Abokosten erfassen möchte, findet in einer lokalen Lösung wie ZFDM eine ruhige Alternative zur Cloud. Get2World Systems beschreibt sich selbst als Anbieter einfacher, kostengünstiger und webbasierter Zeiterfassungssysteme ohne monatliche Kosten.

ZfdM – Zeiterfassung für Kleinbetriebe und den Mittelstand: Wir produzieren einfache, kostengünstige und web-basierte Zeiterfassungssysteme ohne monatliche Kosten.

Kontakt
Get2World Systems GmbH
Sirsendu Roy
Auf dem Hessel 9
63526 Erlensee
061839210941
https://www.zeiterfassung-fdm.de