DSGVO in der Personalplanung: Mitarbeiterdaten im Dienstplan rechtssicher verarbeiten

Warum DSGVO im Schichtbetrieb besonders relevant ist

Im Schichtbetrieb wird kontinuierlich mit Mitarbeiterdaten gearbeitet: Wer arbeitet wann, welche Qualifikationen hat eine Person, wer ist krank, wer hat Urlaub beantragt, wer bekommt welche Zuschläge? Dienstplan-Software speichert und verarbeitet all das — oft für Hunderte von Mitarbeitern, sichtbar für Teamleitungen, Disponenten und Betriebsrat.

Gleichzeitig ist die DSGVO-Compliance im HR-Bereich eine der häufigsten Baustellen in Unternehmen. Datenschutzbehörden verhängten allein 2024/2025 EU-weit mehr als 1.000 Bußgelder im Beschäftigtenkontext — darunter etliche wegen fehlender Löschkonzepte, mangelhafter Informationspflichten und fehlender Auftragsverarbeitungsverträge mit HR-Software-Anbietern.

Dieser Ratgeber erklärt, welche Daten im Dienstplan wie verarbeitet werden dürfen, was Mitarbeiter wissen müssen und wie DSGVO-konforme Schichtplanung in der Praxis aussieht.

Welche personenbezogenen Daten entstehen bei der Schichtplanung?

Im Dienstplan und der dazugehörigen Software fallen typischerweise folgende personenbezogene Daten an:

• Stammdaten: Name, Personalnummer, Kontaktdaten, Vertragsart
• Arbeitszeit- und Schichtdaten: geplante und tatsächliche Schichtzeiten, Früh-/Spät-/Nachtschicht-Zuordnung, Überstunden, Fehlzeiten
• Qualifikations- und Rollendaten: Zertifizierungen, Führerscheinklassen, Erste-Hilfe-Ausbildung, Schichtleitungsberechtigung
• Verfügbarkeits- und Wunschdaten: Freiwünsche, eingetragene Nicht-Verfügbarkeiten, Wunschdienstpläne
• Abwesenheitsdaten: Urlaubsstatus, Krankmeldungen (nur ob krank, nicht warum), Mutterschutz, Elternzeit
• Gesundheitsbezogene Daten (besonders sensibel): anerkannte Schwerbehinderung, Nachtarbeitsuntauglichkeit, BEM-Maßnahme — soweit planungsrelevant

Nicht alle dieser Datenkategorien sind gleich sensibel. Schichtzuordnungen und Arbeitszeiten sind für den Betrieb offensichtlich notwendig. Gesundheitsbezogene Daten hingegen erfordern besondere Vorsicht und separaten Zugriffsschutz.

Rechtsgrundlage: § 26 BDSG und die Erforderlichkeitsprüfung

Die zentrale Norm für die Verarbeitung von Beschäftigtendaten ist § 26 Abs. 1 S. 1 BDSG: Datenverarbeitung ist ohne Einwilligung zulässig, wenn sie für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Das Bundesdatenschutzgesetz setzt dabei die Öffnungsklausel aus Art. 88 DSGVO um.

Der Begriff „erforderlich" ist eng auszulegen: Es muss geprüft werden, ob der Verarbeitungszweck nicht mit weniger eingreifenden Mitteln erreichbar ist. Im Dienstplan-Kontext gilt:

• Zulässig: Speichern von Schichtzeiten, Qualifikationen, genehmigten Abwesenheiten — alles, was zur Planung und Abrechnung unmittelbar benötigt wird.
• Grenzfall: Detaillierte GPS-Tracking-Daten, biometrische Zeiterfassung (Fingerabdruck, Gesichtserkennung) — hier bedarf es meist einer Betriebsvereinbarung oder ausdrücklichen Einwilligung.
• Unzulässig ohne gesonderte Grundlage: Verarbeitung von Diagnosedaten, religiösen Präferenzen (außer sie sind planungsrelevant, z. B. Ramadan-Wünsche mit ausdrücklicher Einwilligung), oder private Kontaktdaten Dritter ohne Einwilligung.

Einwilligung im Beschäftigungsverhältnis — nur eingeschränkt möglich

Die DSGVO lässt Einwilligungen als Rechtsgrundlage zu (Art. 6 Abs. 1 lit. a DSGVO), im Arbeitsverhältnis sind sie jedoch problematisch: Wegen des Machtungleichgewichts zwischen Arbeitgeber und Arbeitnehmer ist eine freiwillige Einwilligung nur schwer nachweisbar (§ 26 Abs. 2 BDSG). Einwilligungen sollten daher nur dort eingesetzt werden, wo kein Beschäftigungserfordernis besteht — etwa bei optionalen Mitarbeiterfotos im digitalen Dienstplan oder der Veröffentlichung von Geburtstagsdaten im Team-Chat.

Informationspflichten nach Art. 13 DSGVO

Arbeitgeber müssen Mitarbeiter bei der Erhebung ihrer Daten vollständig informieren. Im Kontext der Schichtplanung umfasst das mindestens:

• Verantwortlicher: Name und Kontaktdaten des Unternehmens, ggf. Datenschutzbeauftragter
• Verarbeitungszwecke und Rechtsgrundlage: Schichtplanung, Arbeitszeitdokumentation, Lohnabrechnung auf Basis § 26 BDSG / Art. 6 Abs. 1 lit. b DSGVO
• Kategorien verarbeiteter Daten: Stammdaten, Schichtdaten, Qualifikationen, Fehlzeiten
• Empfänger und Auftragsverarbeiter: z. B. Cloud-Software-Anbieter, Steuerberater, Lohnabrechnungsdienstleister
• Speicherdauer oder Kriterien zur Festlegung der Dauer
• Betroffenenrechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Widerspruch (Art. 21)
• Beschwerderecht bei der zuständigen Aufsichtsbehörde

Diese Informationen können in einem Datenschutzhinweis integriert werden, der bei Einstellung ausgehändigt wird — oder bei Einführung neuer Software als separate Mitteilung. Eine Unterschrift ist nicht zwingend erforderlich, aber empfehlenswert (Nachweis der Erfüllung der Informationspflicht).

Auftragsverarbeitungsvertrag (AVV) — Pflicht bei Cloud-Software

Wenn ein externer Dienstleister Mitarbeiterdaten im Auftrag des Arbeitgebers verarbeitet — was bei jeder SaaS-Dienstplan-Software der Fall ist —, muss ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen werden. Fehlt er, ist die gesamte Datenverarbeitung rechtswidrig.

Ein vollständiger AVV muss regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung sowie Kategorien betroffener Personen
• Pflicht zur Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
• Technisch-organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO
• Regelungen für Sub-Auftragsverarbeiter (z. B. Rechenzentren)
• Löschung oder Rückgabe der Daten nach Vertragsende
• Unterstützungspflichten bei Datenschutz-Folgenabschätzungen und Betroffenenanfragen

Seriöse Anbieter wie Personio, Factorial, Shiftbase oder ähnliche Lösungen bieten einen AVV standardmäßig an — oft als Self-Service im Kundenportal oder auf Anfrage. Wer keinen AVV seines Software-Anbieters hat, sollte ihn unverzüglich einfordern. Details zu Funktionen und Anbieterauswahl liefert der Dienstplan-Software-Vergleich.

Datentransfer in Drittstaaten

Befindet sich der Server des Anbieters außerhalb des Europäischen Wirtschaftsraums (EWR), müssen zusätzliche Garantien für den Datentransfer bestehen — in der Praxis meist durch EU-Standardvertragsklauseln (SCC) oder einen Angemessenheitsbeschluss der EU-Kommission (z. B. EU-US Data Privacy Framework für US-Anbieter). Diese Klauseln sollten im AVV verankert oder als Anlage beigefügt sein.

Gesundheitsdaten im Dienstplan: Besondere Sorgfalt erforderlich

Gesundheitsbezogene Informationen fallen unter Art. 9 DSGVO — besondere Kategorien personenbezogener Daten mit erhöhtem Schutzanspruch. Im Dienstplan-Kontext betrifft das vor allem:

• Schwerbehinderung (GdB ≥ 50 %): Nachtschichtbefreiung nach § 6 Abs. 4 ArbZG auf Verlangen des Mitarbeiters; der Arbeitgeber darf den GdB speichern, wenn der Mitarbeiter dies verlangt und dokumentiert — nicht ohne dessen Initiative.
• Schwangerschaft: Beschäftigungsverbote nach MuSchG — planungsrelevant, aber nur für Befugte (HR, direkte Führungskraft) sichtbar, nicht im allgemeinen Teamdienstplan.
• BEM-Maßnahmen: Der laufende Status eines Betrieblichen Eingliederungsmanagements darf nur für unmittelbar Beteiligte sichtbar sein.
• Krankmeldungen: Der Umstand der Abwesenheit (krank/abwesend) ist zulässig; die Diagnose oder der Grund für die Erkrankung ist strikt vertraulich und darf weder gespeichert noch kommuniziert werden.

In Dienstplan-Software sollten diese Informationen in separaten, zugriffsgeschützten Feldern gespeichert sein — mit klarer Rollensteuerung, die verhindert, dass Kollegen oder Schichtleiter ohne Notwendigkeit Einblick erhalten.

Rechte der Mitarbeiter als Betroffene

Auskunftsrecht (Art. 15 DSGVO)

Jeder Mitarbeiter kann jederzeit Auskunft verlangen, welche Daten über ihn gespeichert sind. Schichtbetriebe sollten dafür einen definierten Prozess haben — idealerweise über die HR-Abteilung oder direkt über das Self-Service-Portal der Planungssoftware. Die Antwort muss innerhalb eines Monats erfolgen (Art. 12 Abs. 3 DSGVO).

Recht auf Löschung (Art. 17 DSGVO)

Nach Beendigung des Arbeitsverhältnisses und Ablauf der Aufbewahrungsfristen müssen Mitarbeiterdaten gelöscht werden. In der Praxis empfiehlt sich ein automatisiertes Löschkonzept in der Planungssoftware: Archivierungsfrist von 2 Jahren (ArbZG) bzw. 10 Jahren (steuerrelevante Daten) und danach automatische Löschung oder Anonymisierung. Ein ehemaliger Mitarbeiter kann nicht sofortige Löschung verlangen, solange gesetzliche Aufbewahrungspflichten bestehen.

Widerspruchsrecht (Art. 21 DSGVO)

Bei der Verarbeitung auf Basis von § 26 BDSG ist das Widerspruchsrecht eingeschränkt: Wer einen Arbeitsvertrag hat, kann nicht wirksam der Verarbeitung seiner Schichtdaten widersprechen, wenn diese zur Vertragsdurchführung erforderlich ist. Anders liegt der Fall bei nicht erforderlichen Datenverarbeitungen (z. B. Verwendung von Schichtdaten für Marketing-Analysen) — dort ist der Widerspruch möglich.

Betriebsrat und Datenschutz: Mitbestimmung und Informationszugang

Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein zwingendes Mitbestimmungsrecht bei der Einführung und Nutzung technischer Einrichtungen zur Verhaltens- und Leistungskontrolle — und Dienstplan-Software kann unter diese Vorschrift fallen, wenn sie Arbeitszeitauswertungen ermöglicht.

Gleichzeitig muss der Betriebsrat selbst datenschutzkonform handeln: Er darf Mitarbeiterdaten nur soweit einsehen, wie es für seine Aufgaben erforderlich ist. Keine vollständigen Krankheitshistorien, keine persönlichen Notizen aus der Personalakte. In der Praxis empfiehlt sich eine Betriebsvereinbarung zum Datenschutz bei der Personalplanung, die regelt:

• Welche Datenkategorien der Betriebsrat einsehen darf
• Wie mit sensiblen Daten (Gesundheit, Schwangerschaft) umgegangen wird
• Welche Software-Funktionen der Betriebsrat nutzen darf
• Wie der Betriebsrat bei Software-Einführungen eingebunden wird

Mehr zu den Mitbestimmungsrechten erklärt der Ratgeber Betriebsrat und Dienstplan.

Datenschutz-Folgenabschätzung (DSFA): Wann notwendig?

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen birgt. Im HR-Bereich typische Auslöser:

• Systematische Leistungsüberwachung: Software, die automatisiert Produktivitätskennzahlen pro Mitarbeiter auswertet
• Biometrische Zeiterfassung: Fingerabdruck, Iris-Scan, Gesichtserkennung zur An-/Abmeldung (Art. 35 Abs. 3 lit. b DSGVO)
• Umfangreiche Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten im Pflege- oder Krankenhausbereich
• KI-gestützte Schichtoptimierung, die automatisiert personalrelevante Entscheidungen trifft (z. B. wer muss wann Nachtschicht)

Für Standard-Dienstplan-Software ohne automatisierte Entscheidungsfindung und ohne biometrische Daten ist in der Regel keine DSFA erforderlich. Im Zweifel sollte der betriebliche Datenschutzbeauftragte hinzugezogen werden.

Technisch-organisatorische Maßnahmen (TOMs) für die Dienstplanverwaltung

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Für die Dienstplanverwaltung bedeutet das in der Praxis:

• Rollenbasierte Zugriffssteuerung: Mitarbeiter sehen nur ihren eigenen Plan; Teamleiter nur ihre Abteilung; HR hat erweiterten Zugriff. Keine Adminrechte für alle.
• Verschlüsselung: Datenübertragung über HTTPS/TLS, Verschlüsselung gesundheitsbezogener Daten at rest.
• Protokollierung: Änderungen am Dienstplan und Datenzugriffe sollten protokolliert sein — insbesondere bei sensiblen Fehlzeiten- und Gesundheitsdaten.
• Passwortschutz und MFA: Planungssoftware mit Zugriff auf Mitarbeiterdaten sollte Mehr-Faktor-Authentifizierung unterstützen.
• Löschkonzept: Automatisierte oder dokumentierte manuelle Löschung nach Ablauf der Aufbewahrungsfristen.

DSGVO-Checkliste für die Dienstplanverwaltung

Die folgende Checkliste fasst die wichtigsten Pflichten zusammen:

• ☐ Datenschutzhinweis nach Art. 13 DSGVO für alle Mitarbeiter vorhanden und dokumentiert
• ☐ Auftragsverarbeitungsvertrag (AVV) mit dem Software-Anbieter abgeschlossen
• ☐ Rollenbasierter Zugriff in der Software korrekt konfiguriert
• ☐ Gesundheitsdaten in separaten, geschützten Feldern gespeichert
• ☐ Löschfristen definiert und im System hinterlegt (2 Jahre ArbZG, 6–10 Jahre steuerrechtlich)
• ☐ Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) aktualisiert
• ☐ Prozess für Auskunftsersuchen von Mitarbeitern definiert
• ☐ Betriebsrat bei Software-Einführung nach § 87 Abs. 1 Nr. 6 BetrVG eingebunden
• ☐ Bei biometrischer Zeiterfassung: DSFA nach Art. 35 DSGVO durchgeführt
• ☐ Datenschutzbeauftragter informiert (sofern nach § 38 BDSG bestellt)

Häufige Fehler — und wie man sie vermeidet

Fehler 1: Kein AVV mit dem Software-Anbieter

Viele Betriebe nutzen Cloud-Planungstools jahrelang ohne AVV — oft weil der Anbieter ihn nicht aktiv angeboten hat. Ohne AVV ist die gesamte Datenverarbeitung rechtswidrig und kann Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen. Lösung: Beim Anbieter anfragen, Vertrag unterzeichnen, in den Akten dokumentieren.

Fehler 2: Diagnosen in der Abwesenheitsliste

Einträge wie „krank (Rücken)" oder „krank (Burnout)" in einer für mehrere Personen sichtbaren Planungsliste sind klare DSGVO-Verstöße. Im Dienstplan gehört nur der Status „krank/abwesend" — keine Ursache, keine Diagnose. Schichtleiter und Kollegen haben kein Recht auf diese Information.

Fehler 3: Fehlende Löschprozesse nach Kündigung

Wenn ehemalige Mitarbeiter jahrelang in der Planungssoftware als inaktive Profile vorhanden bleiben und alle ihre historischen Schichtdaten einsehbar sind, verletzt das den Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO). Spätestens nach Ablauf der gesetzlichen Aufbewahrungsfristen müssen Daten gelöscht oder vollständig anonymisiert werden.

Fehler 4: Offener WLAN-Zugang zur Planungssoftware im Pausenraum

Wenn Mitarbeiter über ein offenes WLAN auf das Planungstool zugreifen können und dabei Kollegendaten einsehbar sind, fehlt es an technischem Schutz nach Art. 32 DSGVO. VPN, sichere WLAN-Verbindungen oder zertifikatsbasierte Zugänge sind die Lösung.