Aufbewahrungsfristen

Zwei Pflichten ziehen in entgegengesetzte Richtungen: Aufbewahren, solange es das Gesetz verlangt — löschen, sobald der Zweck entfallen ist (Art. 5 Abs. 1 lit. e DSGVO). Wer nur eine der beiden kennt, macht einen Fehler.

Die gesetzlichen Fristen im Überblick

Wann eine Frist beginnt, hängt von der Datenart ab. Steuer- und handelsrechtliche Fristen laufen ab dem Ende des Kalenderjahres (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO). Die Arbeitszeitfrist läuft dagegen datensatzweise ab dem Tag der jeweiligen Aufzeichnung — ein Stempel vom 3. März ist am 3. März zwei Jahre später alt genug, nicht erst am Jahresende.

Alle Fristen, die Zeitflex hinterlegt hat

Zeitflex hat eine Fristen-Matrix, in der für jede Datenart steht, ab wann sie gelöscht werden darf, ab welchem Datum die Frist rechnet und warum genau dieser Wert gewählt wurde. Dieselbe Tabelle sehen Sie in der Anwendung unter Einstellungen → Daten & Löschung → Aufbewahrungsfristen. Hier die vollständige Liste:

„Gewählt" heißt: Das Gesetz nennt keine Frist, Zeitflex hat eine begründete Entscheidung getroffen. Bei den Attesten zum Beispiel gibt es keine Aufbewahrungspflicht; maßgeblich ist, wie lange die Datei als Nachweis gegenüber Krankenkasse und Prüfdienst gebraucht wird (Entgeltfortzahlung nach § 3 EFZG, Erstattung nach dem AAG, Regelverjährung § 195 BGB). Zwei Jahre nach Ende der Abwesenheit sind eine vertretbare Mitte — kürzer als die Lohnunterlagen, weil es Gesundheitsdaten sind. Das ist eine Produktentscheidung, keine Rechtsauskunft.

Vier Fristen stellt Ihr Betrieb selbst ein

Für vier Datenarten entscheidet nicht Zeitflex, sondern Ihr Betrieb — er ist der Verantwortliche (Art. 4 Nr. 7 DSGVO), Zeitflex führt nur aus (Art. 28 DSGVO). Die Werte stehen unter Einstellungen, Reiter Aufbewahrung, nur für den Inhaber, in Monaten, höchstens 600.

Trägt Ihr Betrieb nichts ein, gilt die Vorgabe; an einem Bestandsbetrieb verschiebt dieser Reiter keinen Löschtermin. Zwei weitere Werte sind in ihrer Richtung eingeschränkt, und zwar gegenläufig: Die drei Monate bis zur Pseudonymisierung ausgeschiedener Personen lassen sich nur verlängern, die Frist des Team-Chats weiter unten nur verkürzen.

Die Frist, die andersherum läuft: der Team-Chat

Beim Chat läuft die Frist andersherum als überall sonst. Bei allen anderen Datenarten ist der Wert eine Mindestdauer; beim Chat ist er eine Höchstdauer. Nachrichten bleiben höchstens 90 Tage, und der Inhaber kann diese Dauer je Gruppe nur verkürzen: auf 7, 30 oder 90 Tage. Die Voreinstellung für eine neue Gruppe sind 30 Tage. Nur der Inhaber darf die Dauer setzen; die Gruppe erfährt davon durch einen Hinweis im Verlauf.

Der Grund: Der Chat ist ausdrücklich kein Nachweis und kein Archiv. Ein Zuruf „Wer nimmt morgen die Frühschicht?" soll nicht Jahre später in einem Kündigungsschutzprozess auftauchen. Wer etwas verbindlich festhalten will, nutzt eine Ankündigung mit Lesebestätigung oder trägt es in den Dienstplan ein. Mehr dazu unter Team-Chat: Zuruf, kein Archiv.

Die einzige Stelle, an der ein Chat-Text seine Frist überlebt, ist eine Moderationsmaßnahme wegen Belästigung: Die entfernte Nachricht wird sechs Monate gesichert, damit der Arbeitgeber seiner Schutzpflicht nach § 12 AGG nachkommen und die betroffene Person ihre Beschwerde belegen kann.

Was der Löschlauf jede Nacht tut

Zeitflex hat einen täglichen Löschlauf, der planmäßig um 4:30 Uhr nachts startet — nach der Datenbanksicherung um 2:30 Uhr und nach dem Aufräumjob um 4:00 Uhr, der abgelaufene Einladungen und Anmelde-Tokens entfernt. Der Löschlauf geht in dieser Reihenfolge vor, von innen nach außen — Einzeldaten vor Personen, Personen vor Betrieben:

1. Dokumente, deren Frist abgelaufen ist — Atteste, Verträge, Fotos, Sonstiges. Erst die Datei im Speicher, dann der Datensatz. Jede Kategorie bekommt einen eigenen Protokolleintrag mit der richtigen Rechtsgrundlage.
2. GPS-Momentaufnahmen älter als 6 Monate. Die Koordinaten werden aus dem Zeiteintrag entfernt, der Eintrag selbst bleibt.
3. Fällige Austritte wirksam machen: Wer „gekündigt zum“ eingetragen ist und dessen letzter Arbeitstag vorbei ist, wird an diesem Morgen inaktiv gesetzt und aus offenen Handy-Sitzungen abgemeldet. Das ist kein Löschschritt — es endet nur eine Berechtigung.
4. Ausgeschiedene Beschäftigte drei Monate nach dem Austritt anonymisieren: Name, E-Mail, Personalnummer und Zugangsdaten werden durch ein Pseudonym ersetzt, Freitexte und Koordinaten an ihren Zeiteinträgen geleert. **Arbeitsvertrag, Unterweisungsnachweise und Bewerbungsunterlagen bleiben erhalten**, bis ihre eigene Frist abläuft — sie überdauern die Pseudonymisierung und hängen danach am Pseudonym. Atteste, Fotodokumentation und sonstige Dokumente werden mitgelöscht. Die Zeiten selbst bleiben vollständig als Aufzeichnung bestehen. Drei Monate, weil Lohnnachläufer — Urlaubsabgeltung, Korrekturabrechnung — erfahrungsgemäß bis zu einem Quartal nach dem Austritt anfallen. Siehe Mitarbeiter verlässt den Betrieb.
5. Betriebe, deren 30-Tage-Widerrufsfrist abgelaufen ist: Alles ohne Aufbewahrungspflicht wird gelöscht, der Rest anonymisiert und gesperrt. Die Inhaber bekommen eine Bestätigungsmail, die aufzählt, was aus welchem Grund aufbewahrt wurde.
6. Änderungsprotokoll älter als 3 Jahre.
7. Team-Chat: Nachrichten, deren Gruppenfrist abgelaufen ist, und gesicherte Beanstandungen nach 6 Monaten.

Jede Löschung wird protokolliert. Das Löschprotokoll sehen Inhaber und Manager unter Einstellungen → Daten & Löschung. Es ist Ihr Nachweis, dass gelöscht wurde — ohne es müssten Sie das Fehlen von Daten beweisen.

Ebenso wichtig ist, was der Löschlauf nicht tut: Er löscht keine Zeiteinträge, keine Abwesenheiten und keine Lohnperioden eines laufenden Betriebs — auch nicht nach zwei oder sechs Jahren. Die Zwei- und Sechs-Jahres-Fristen sind Mindestfristen, keine Löschtermine. Wer alte Zeitdaten loswerden will, muss den Betrieb löschen; und selbst dann bleiben die anonymisierten Reste liegen. Eine automatische Löschung dieser Reste nach Ablauf der Mindestfristen gibt es heute nicht.

Sicherungen

Die Datenbank wird jede Nacht um 2:30 Uhr gesichert. Sicherungen werden spätestens nach 30 Tagen gelöscht. Sie dienen der Wiederherstellung des Gesamtsystems nach einem Ausfall und werden nicht genutzt, um einzelne gelöschte Datensätze oder Betriebe zurückzuholen.

Wichtig zum Verständnis: Gesichert wird die Datenbank, nicht der Dateispeicher. Hochgeladene Dateien — Atteste, Verträge, Fotos — liegen außerhalb der Datenbank und sind nach dem Löschlauf sofort weg. In den Sicherungen laufen nur die Datenbankzeilen noch bis zu 30 Tage nach; danach auch die nicht mehr. Für Sie erreichbar ist beides ohnehin nicht. Wer eine Datei behalten will, lädt sie vorher herunter.

Betriebslöschung

Wenn Sie Ihren Betrieb bei Zeitflex löschen, läuft das zweistufig:

1. Der Betrieb wird zur Löschung vorgemerkt und gesperrt. Das Abo wird sofort gekündigt.
2. Nach 30 Tagen wird beim nächsten Löschlauf endgültig gelöscht. Innerhalb dieser Frist können Sie widerrufen.

Diese 30 Tage sind ein Sicherheitsnetz gegen den Klick um 23 Uhr. Der Vollexport und die Datenauskunft bleiben in dieser Zeit ausdrücklich nutzbar. Exportieren Sie alles, was Sie behalten müssen — siehe Konto kündigen und Daten mitnehmen.

Ihre Pflicht bleibt

Auskunft an Beschäftigte

Jede beschäftigte Person kann nach Art. 15 DSGVO Auskunft über ihre Daten verlangen. In Zeitflex kann sie diese Auskunft selbst anfordern — Einstellungen → Daten & Löschung → Datenauskunft herunterladen, ohne Umweg über Sie. Sie bekommt eine lesbare Fassung und eine JSON-Datei; die Aufbewahrungsfrist jeder Datenart steht in der Auskunft mit drin. Für eine ausgeschiedene Person löst die Betriebsleitung die Auskunft in der Mitarbeiterverwaltung aus. Das entlastet Sie und erfüllt die Frist von einem Monat zuverlässiger als jeder manuelle Prozess.

Häufige Fragen

Eine Mitarbeiterin ist vor vier Monaten gegangen. Warum steht sie nur noch als Pseudonym im Stundenzettel?

Weil drei Monate nach dem Austritt der Löschlauf ihre Stammdaten anonymisiert hat. Ihre Zeiten sind vollständig da — nur Name, E-Mail und Personalnummer sind durch ein Pseudonym ersetzt. Brauchen Sie die Zuordnung noch, etwa für eine Korrekturabrechnung, hilft der Vollexport oder die Datenauskunft, die Sie vor Ablauf der drei Monate gezogen haben. Nach der Anonymisierung stellt auch Zeitflex den Namen nicht wieder her.

Das Arbeitsgericht verhandelt in einem Jahr über eine Kündigung. Löscht Zeitflex mir das Attest weg?

Ja, wenn die Abwesenheit länger als zwei Jahre zurückliegt — die Frist läuft fest, und es gibt keine Einstellung, sie zu verlängern. Laden Sie die Datei unter Dokumente herunter und legen Sie sie in Ihrer Verfahrensakte ab. Zeiteinträge und Abwesenheiten selbst bleiben erhalten; die löscht der Löschlauf nicht.

Kann ich den Chat auf ein Jahr stellen, damit Absprachen nicht verloren gehen?

Nein. 90 Tage sind die Obergrenze; einstellbar sind 7, 30 oder 90 Tage je Gruppe. Was verbindlich sein soll, gehört in eine Ankündigung mit Lesebestätigung oder in den Dienstplan — nicht in den Chat.

Der Zoll war da. Muss ich jetzt länger aufbewahren?

Bei laufenden Verfahren — Arbeitsgericht, Betriebsprüfung, Zollprüfung — gilt eine Aufbewahrungspflicht über die Regelfrist hinaus. Zeitflex kennt diese Verfahren nicht und verlängert nichts automatisch. Der Löschlauf löscht Zeiteinträge ohnehin nicht; gefährdet sind Atteste, GPS-Koordinaten und Dokumente mit abgelaufener Frist. Sichern Sie die betroffenen Dateien vorher außerhalb von Zeitflex, siehe Zoll prüft — was jetzt?.

Kommen Sie nicht weiter?

Schreiben Sie uns über Support; was Sie vor einer Löschung sichern sollten, steht unter Konto kündigen und Daten mitnehmen, und was über eine einzelne Person gespeichert ist, unter Was Zeitflex über mich speichert.