Urlaubsverwaltung und DSGVO: Was gilt für KMU?

Hinweis: keine Rechtsberatung

Dieser Beitrag gibt allgemeine Informationen zum Thema und stellt keine Rechtsberatung dar. Die Angaben sind sorgfältig recherchiert, aber ohne Gewähr auf Vollständigkeit und Aktualität. Für die Beurteilung Ihres konkreten Falls wenden Sie sich bitte an eine Rechtsanwältin, einen Rechtsanwalt oder Ihren Steuerberater.

Warum ist die DSGVO bei der Urlaubsverwaltung relevant?

Urlaubsdaten sind personenbezogene Daten im Sinne der DSGVO (Art. 4 Nr. 1). Auch Krankheitstage fallen darunter – teilweise sogar als besondere Kategorie personenbezogener Daten (Art. 9 DSGVO, Gesundheitsdaten).

Unternehmen, die diese Daten digital verarbeiten, müssen sicherstellen:

Rechtsgründlage vorhanden (Beschäftigungsverhältnis, § 26 BDSG)
Datensparsamkeit: Nur notwendige Daten erheben
Auskunftsrecht: Mitarbeiter können ihre Daten einsehen
Löschpflicht: Daten bei Ausscheiden löschen
Datensicherheit: Zugangsschutz, Verschlüsselung, Protokollierung

Wie unterstützt SL-UP Sie dabei?

Audit-Log

Wichtige Vorgänge werden protokolliert: Wer hat was wann geändert. Das hilft bei der Nachvollziehbarkeit, etwa bei Betriebsprüfungen.

Rollenbasierter Zugriff

Mitarbeiter sehen nur eigene Daten. Manager nur ihre Abteilung. Admins haben Vollzugriff. Klare Trennung nach dem "Need-to-know"-Prinzip.

Datensparsamkeit

SL-UP ist auf Datensparsamkeit ausgelegt: Pflichtfelder sind auf das Nötige beschränkt, zusätzliche Angaben wie Profilfotos sind freiwillig.

Löschmöglichkeit

Mitarbeiter können gelöscht werden. Der Administrator hat die Möglichkeit, alle personenbezogenen Daten eines Mitarbeiters zu entfernen.

Authentifizierung

Anmeldung mit Passwort und optionaler Zwei-Faktor-Anmeldung (per Authenticator-App oder E-Mail-Code) für zusätzliche Sicherheit.

Krankheit & Privatsphäre

Krankmeldungen erscheinen im Team-Kalender nur als Kürzel "K" – ohne medizinische Details oder Diagnosen. Nur Admin und Manager sehen die Eintragungen.

Das Audit-Log: Was wird protokolliert?

Das Audit-Log zeichnet wichtige Vorgänge automatisch auf, zum Beispiel:

2026-03-05 09:14 [email protected] LOGIN Erfolgreich angemeldet

2026-03-05 09:22 [email protected] ABSENCE_CREATED Urlaub 10.03.–14.03.2026 beantragt

2026-03-05 10:05 [email protected] ABSENCE_APPROVED Urlaub von M. Braun genehmigt

2026-03-05 11:30 [email protected] USER_UPDATED Urlaubsanspruch von J. Klein geändert: 28 → 30

Audit-Log aktivieren

Sicherheitsrelevante Vorgänge wie Anmeldungen und Admin-Aktionen werden protokolliert. Ein ausführliches Protokoll fachlicher Änderungen, etwa an Abwesenheiten, lässt sich je Unternehmen zuschalten.

Wie lange dürfen Urlaubsdaten aufbewahrt werden?

Nach der DSGVO müssen personenbezogene Daten gelöscht werden, wenn der Zweck wegfällt. Für Urlaubsdaten gibt es jedoch steuerrechtliche Aufbewahrungspflichten:

Steuerrechtlich (§ 147 AO): Lohnunterlagen und Nachweise 6–10 Jahre aufbewahren
Arbeitsrechtlich: Urlaubsnachweise können für eventuelle Rechtsstreitigkeiten relevant sein
Nach Ablauf der Aufbewahrungspflicht: Daten löschen oder anonymisieren

Brauche ich einen AV-Vertrag für Urlaubssoftware?

Wenn ein Unternehmen einen externen Dienst wie SL-UP zur Verarbeitung personenbezogener Daten nutzt, ist gemäß Art. 28 DSGVO ein Auftragsverarbeitungsvertrag (AVV) abzuschließen. Dieser Vertrag regelt, welche Daten verarbeitet werden, zu welchem Zweck, welche Sicherheitsmaßnahmen der Auftragsverarbeiter trifft und unter welchen Bedingungen Subdienstleister eingesetzt werden dürfen.

Der AVV nach Art. 28 DSGVO wird bei der Registrierung bzw. Buchung online abgeschlossen und ist jederzeit unter sl-up.com/avv.php abrufbar. Er dokumentiert alle Pflichten des Auftragsverarbeiters gemäß DSGVO, die Weisungsbindung gegenüber dem Verantwortlichen (Ihrem Unternehmen) sowie die Maßnahmen zur Datensicherheit.

Wie schützt SL-UP Ihre Daten?

Verschlüsselte Übertragung — alle Verbindungen sind verschlüsselt, keine Datenübertragung im Klartext
Sichere Passwort-Speicherung — Passwörter werden nicht im Klartext gespeichert
Schutz vor Passwort-Raten — wiederholte Fehlversuche bei der Anmeldung werden automatisch gebremst
Schutz vor untergeschobenen Aktionen — Änderungen werden nur aus Ihrer eigenen, angemeldeten Sitzung angenommen
Daten jeder Firma strikt getrennt — jedes Unternehmen arbeitet in seinem eigenen Bereich
Regelmäßige verschlüsselte Backups — Ihre Daten werden automatisch gesichert

Was tun bei einem Datenschutzvorfall?

     3-Schritt-Anleitung für Datenpannen
    Vorfall im SL-UP Audit-Log dokumentieren: Welche Daten waren betroffen, wann wurde der Vorfall entdeckt, welche Maßnahmen wurden ergriffen?
Innerhalb 72 Stunden der zuständigen Aufsichtsbehörde melden (Art. 33 DSGVO) — bei Unsicherheit über die Meldepflicht umgehend einen Datenschutzbeauftragten konsultieren
Betroffene Personen informieren, wenn der Vorfall voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat (Art. 34 DSGVO)

  

Externe Referenzen & Rechtsgrundlagen

Häufige Fragen

Wo werden meine Daten gespeichert?

Die Anwendungsdaten werden auf Servern in Deutschland gespeichert. Für einzelne Funktionen (z. B. Zahlung, Push-Nachrichten, Schutz vor Angriffen) sind Dienstleister eingebunden; sie und etwaige Übermittlungen in Drittländer sind in der Datenschutzerklärung offengelegt.

Gibt es einen Auftragsverarbeitungsvertrag (AVV)?

Ja. Der AVV nach Art. 28 DSGVO ist Bestandteil jedes Vertrags und vorab unter sl-up.com/avv.php einsehbar.

Wie wird das Recht auf Löschung umgesetzt?

Administratoren können Benutzer und deren Daten vollständig löschen. Ein Audit-Log dokumentiert wichtige Änderungen.

Kann ich als Mitarbeiter meine Daten einsehen?

Ja, über „Mein Profil“ sind alle eigenen Abwesenheitsdaten, Urlaubskonten und Einstellungen einsehbar. Administratoren können auf Anfrage einen vollständigen Export aller personenbezogenen Daten eines Mitarbeiters erstellen.

Urlaubsverwaltung und DSGVO: Was gilt für Unternehmen?