Recht im Projekt Deutschland: Arbeitszeit, Datenschutz, Rechnungen, Verträge

Welche Rechtsgebiete berühren ein Projekt in Deutschland?

Der Leitfaden richtet sich ausdrücklich an Praktiker. Er ersetzt keine Rechtsberatung, hilft aber, die richtigen Fragen zu stellen und die Antworten von Fachleuten einzuordnen.

Ein zweiter Grund, das Thema strukturiert anzugehen, ist das Tempo der Veränderung. Zwischen 2022 und 2026 haben sich in Deutschland mehrere für Projekte zentrale Regeln geändert: die Erfassungspflicht für Arbeitszeit, die E-Rechnung, die Aufbewahrungsfristen, die Statusfeststellung bei Freelancern, das Vergaberecht und die Informationssicherheit. Wer Projekte nach den Gewohnheiten von 2020 führt, verstößt heute leicht gegen geltendes Recht, ohne es zu merken.

Projektmanagement ist kein eigenes Rechtsgebiet, aber fast jedes Projekt bewegt sich in mehreren. Wer ein Team führt, Freelancer beizieht, mit SaaS-Werkzeugen arbeitet, Verträge mit Kunden und Lieferanten schließt und Leistungen abrechnet, trifft laufend rechtlich relevante Entscheidungen. Die meisten Probleme entstehen dabei nicht aus exotischen Rechtsfragen, sondern aus wenigen wiederkehrenden Themen: fehlende Zeiterfassung, ungeprüfte Tools, falsche Rechnungsformate, unklare Verträge und Freelancer, die faktisch wie Angestellte arbeiten.

Dieser Leitfaden ordnet diese Themen für Projektleitende, Agenturen, Beratungen, Softwarehäuser und Dienstleister mit Projekten in Deutschland. Er beschreibt die Rechtslage mit Stand Oktober 2026, nennt die maßgeblichen Vorschriften und Verwaltungsanweisungen und zeigt, wie sie sich im Projektalltag umsetzen lassen. Für Projekte in der Schweiz gibt es einen eigenen Leitfaden Recht im Projekt Schweiz.

Arbeitszeit: Erfassungspflicht und Reform

Für Projektorganisationen ist die Erfassungspflicht weniger eine Last, als es zunächst scheint. Wer ohnehin Zeiten auf Projekte bucht, hat die Grundlage bereits. Nötig ist vor allem, die Erfassung vollständig zu machen — auch interne Zeiten — und Auswertungen zu Höchstarbeitszeit und Ruhezeiten zu ermöglichen. Gleichzeitig liefert eine vollständige Erfassung bessere Daten für Kalkulation, Kapazitätsplanung und Nachkalkulation.

Seit dem Beschluss des Bundesarbeitsgerichts vom 13. September 2022 (1 ABR 22/21) sind Arbeitgeber verpflichtet, ein System einzuführen, mit dem Beginn und Ende der täglichen Arbeitszeit erfasst werden. Das Gericht leitete diese Pflicht aus einer unionsrechtskonformen Auslegung von § 3 Abs. 2 Nummer 1 Arbeitsschutzgesetz ab und knüpfte an das Urteil des Europäischen Gerichtshofs vom 14. Mai 2019 (C-55/18) an.^[1][3] Ein Verstoß ist nach dem Arbeitsschutzgesetz derzeit nicht als Ordnungswidrigkeit bußgeldbewehrt.^[3]

Wie die Erfassung künftig aussehen soll, regelt ein Referentenentwurf des Bundesarbeitsministeriums vom 18. Juni 2026: elektronische Erfassung am Tag der Arbeitsleistung, eine Ausnahme für Betriebe mit bis zu zehn Beschäftigten und Abweichungen über Tarifvertrag oder Betriebsvereinbarung. Stand 12. Oktober 2026 hatte das Bundeskabinett den Entwurf nicht beschlossen.^[4][5] Die Kapitel Arbeitszeiterfassung und Vertrauensarbeitszeit beschreiben, was heute gilt und was sich ändern würde.

Datenschutz: DSGVO im Projekt

Für die Schweiz gilt mit dem revidierten Datenschutzgesetz ein eigenes Regime, das in vielen Punkten ähnlich, aber nicht identisch ist.

In der Praxis scheitert Datenschutz in Projekten selten am fehlenden Wissen, sondern am Zeitpunkt. Wird der Datenschutzbeauftragte erst kurz vor dem Go-live einbezogen, fehlen Datenschutz-Folgenabschätzung, Auftragsverarbeitungsverträge oder Löschkonzepte, und die Einführung verzögert sich. Wer Datenschutz als Anforderung behandelt, die wie jede andere geplant, umgesetzt und abgenommen wird, vermeidet diese Verzögerung.

Fast jedes Projekt verarbeitet personenbezogene Daten: von Kunden, Nutzern, Mitarbeitenden oder Teilnehmenden. Die DSGVO verlangt dabei unter anderem Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25), ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30), angemessene technische und organisatorische Maßnahmen (Art. 32), die Meldung von Datenschutzverletzungen (Art. 33) und bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung (Art. 35).^[6] Für Projektleitende heißt das vor allem: Datenschutz gehört in die Planung, nicht in die Abnahme. Details beschreibt das Kapitel DSGVO im Projektmanagement.

Besonders praxisrelevant sind SaaS-Werkzeuge. Wer ein Projekttool, eine Kollaborationsplattform oder einen KI-Dienst einsetzt, lässt in der Regel personenbezogene Daten durch einen Auftragsverarbeiter verarbeiten und braucht einen Vertrag nach Art. 28 DSGVO. Für Übermittlungen in die USA bildet seit Juli 2023 das EU-US Data Privacy Framework eine Grundlage, das das Gericht der EU am 3. September 2025 bestätigt hat; ein Rechtsmittel beim EuGH ist anhängig.^[7][8] Wie man Tools prüft, zeigt das Kapitel AVV bei SaaS-Tools.

Rechnungen und Unterlagen: E-Rechnung und GoBD

Beide Themen hängen zusammen: Eine E-Rechnung ist im strukturierten Format aufzubewahren, und die Zeitnachweise, die einer Rechnung zugrunde liegen, gehören zu den Buchungsbelegen. Für Projektorganisationen lohnt es sich deshalb, den gesamten Weg von der Zeiterfassung über die Freigabe bis zur Rechnung und Archivierung einmal durchzudenken und in einer Verfahrensdokumentation festzuhalten.

Seit dem 1. Januar 2025 müssen alle Unternehmen E-Rechnungen im inländischen B2B-Verkehr empfangen können. Für die Ausstellung gelten Übergangsfristen: Unternehmen mit einem Gesamtumsatz von mehr als 800'000 Euro im Vorjahr müssen ab dem 1. Januar 2027 E-Rechnungen ausstellen, alle übrigen ab dem 1. Januar 2028.^[2][9] Eine per E-Mail versandte PDF-Rechnung gilt seit 2025 nicht mehr als E-Rechnung, sondern als sonstige Rechnung.^[2] Die Kapitel E-Rechnungspflicht und XRechnung oder ZUGFeRD erklären Fristen und Formate.

Für die Aufbewahrung steuerrelevanter Unterlagen gelten die Abgabenordnung und die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form (GoBD). Mit dem Vierten Bürokratieentlastungsgesetz wurde die Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre verkürzt, und zwar für alle Unterlagen, deren Frist am Tag nach der Verkündung noch nicht abgelaufen war.^[10] Was das für Zeitnachweise und Projektdokumentation bedeutet, beschreibt das Kapitel GoBD.

Freelancer: Scheinselbstständigkeit vermeiden

Für Projektorganisationen ist das Thema besonders heikel, weil sie Freelancer oft eng in Teams einbinden — gerade in agilen Projekten mit täglichen Abstimmungen. Eine Umqualifizierung kann Nachforderungen der Sozialversicherungsbeiträge für mehrere Jahre auslösen. Vorbeugen lässt sich durch eine bewusste Gestaltung der Zusammenarbeit und, bei längeren Einsätzen, durch eine Statusfeststellung vor Beginn.

Ob jemand selbstständig oder abhängig beschäftigt ist, bestimmt § 7 SGB IV: Anhaltspunkte für eine Beschäftigung sind eine Tätigkeit nach Weisungen und eine Eingliederung in die Arbeitsorganisation des Weisungsgebers.^[11] Das Bundessozialgericht ergänzt Kriterien wie das unternehmerische Risiko und die Höhe des Honorars; entscheidend ist das Gesamtbild.^[12] Rechtssicherheit schafft das Statusfeststellungsverfahren bei der Clearingstelle der Deutschen Rentenversicherung Bund nach § 7a SGB IV.^[13] Das Kapitel Scheinselbstständigkeit beschreibt Kriterien, Verfahren und Folgen.

Verträge: Dienstvertrag oder Werkvertrag?

Für Projekte in der Schweiz gelten die Regeln des Obligationenrechts, die sich in wichtigen Punkten unterscheiden.

In IT- und Beratungsprojekten sind gemischte Verträge die Regel: Werkleistungen für definierte Ergebnisse, Dienstleistungen für Beratung und Unterstützung, dazu Wartung und Support. Wer die Bestandteile im Vertrag klar trennt und für jeden Teil Abnahme, Vergütung und Kündigung regelt, vermeidet die häufigsten Streitigkeiten am Projektende.

Bei Projektverträgen ist die wichtigste Weichenstellung die Frage, ob ein Erfolg oder nur ein Tätigwerden geschuldet ist. Beim Dienstvertrag verpflichtet sich der Dienstverpflichtete zur Leistung der versprochenen Dienste (§ 611 BGB), beim Werkvertrag der Unternehmer zur Herstellung des versprochenen Werkes (§ 631 BGB).^[14][15] Davon hängen Abnahme, Gewährleistung und Kündigung ab: Beim Werkvertrag kann der Besteller bis zur Vollendung jederzeit kündigen, schuldet aber grundsätzlich die vereinbarte Vergütung abzüglich ersparter Aufwendungen; für den nicht erbrachten Teil wird vermutet, dass dem Unternehmer fünf Prozent der darauf entfallenden Vergütung zustehen (§ 648 BGB).^[16] Details im Kapitel Dienstvertrag oder Werkvertrag.

Öffentliche Aufträge

Für Dienstleister ist der öffentliche Sektor ein großer Markt mit eigenen Regeln. Wer sich darauf einlässt, sollte die Verfahren, Fristen und Rügeobliegenheiten kennen und die E-Rechnung im Format XRechnung beherrschen, die öffentliche Auftraggeber häufig verlangen.

Wer für Bund, Länder oder Kommunen arbeitet, bewegt sich im Vergaberecht. Oberhalb der EU-Schwellenwerte gelten GWB und VgV, unterhalb die Unterschwellenvergabeordnung oder Landesrecht. Seit dem 1. Januar 2026 liegen die EU-Schwellenwerte bei 216'000 Euro für Liefer- und Dienstleistungen, 140'000 Euro für oberste und obere Bundesbehörden und 5'404'000 Euro für Bauleistungen.^[17] Das Vergabebeschleunigungsgesetz ist laut IHK zu Rostock zum 1. Juli 2026 in Kraft getreten.^[18] Das Kapitel Öffentliche Vergabe gibt einen Überblick über Verfahren und Wertgrenzen.

Informationssicherheit: NIS2

Auch Dienstleister ohne eigene Pflichten sollten die Anforderungen ihrer Kunden kennen.

Die Anforderungen ähneln in vielen Punkten den technischen und organisatorischen Maßnahmen der DSGVO, gehen aber in Bezug auf Vorfallmanagement, Meldepflichten und Verantwortung der Geschäftsleitung darüber hinaus. Wer bereits ein Informationssicherheitsmanagement betreibt, kann darauf aufbauen.

Das Gesetz zur Umsetzung der NIS-2-Richtlinie ist am 6. Dezember 2025 in Kraft getreten.^[19] Es unterscheidet besonders wichtige und wichtige Einrichtungen, verpflichtet sie zu Risikomanagementmaßnahmen und zur Registrierung beim BSI innerhalb von drei Monaten und sieht Bußgelder bis zu zehn Millionen Euro für besonders wichtige und bis zu sieben Millionen Euro für wichtige Einrichtungen vor.^[20] Für Projektteams bedeutet das neue Anforderungen an Lieferkette, Meldewege und Dokumentation, auch wenn das eigene Unternehmen nicht direkt betroffen ist, aber Kunden es sind. Mehr im Kapitel NIS2-Umsetzung.

Welche Termine und Fristen sollten Projektleitende kennen?

Für jedes dieser Daten lohnt sich ein Eintrag im Projekt- oder Unternehmenskalender mit Verantwortlichen und einer Erinnerung einige Monate vorher.

Besonders wichtig sind 2027 und 2028. Im Jahr 2027 greift die E-Rechnungspflicht für größere Unternehmen, und Mitte 2027 laufen die befristeten Instrumente der Statusfeststellung aus, sofern der Gesetzgeber sie nicht verlängert. Ab 2028 gilt die E-Rechnungspflicht für alle. Wer jetzt plant, vermeidet hektische Umstellungen am Jahresende.

Viele Rechtsnachteile entstehen durch verpasste Fristen oder übersehene Stichtage. Die folgende Übersicht nennt die wichtigsten Termine aus diesem Leitfaden; Einzelheiten stehen in den Kapiteln:

Ein Grundsatz hilft in jedem Projekt: Rechtlich relevante Termine gehören mit Verantwortlichen und Erinnerungen in die Projektplanung, nicht in eine Notiz, die niemand mehr öffnet.

Wer kümmert sich im Projekt um das Recht?

Klare Zuständigkeiten sparen im Ernstfall wertvolle Zeit.

Für Projektleitende bedeutet das vor allem, rechtliche Fragen früh zu erkennen und an die zuständige Stelle zu geben. Eine einfache Regel hilft: Sobald ein Projekt Personendaten neu verarbeitet, externe Personen einbindet, Verträge mit Kunden oder Lieferanten berührt oder neue Werkzeuge einführt, sollte die Frage nach den rechtlichen Folgen gestellt werden. Die Kapitel dieses Leitfadens zeigen, welche Fragen das jeweils sind.

Projektleitende sind keine Juristen und müssen es nicht sein. Sie sollten aber erkennen, wann eine Frage rechtlich relevant ist, und sie an die richtige Stelle bringen. In kleineren Unternehmen fehlen Rechts- und Datenschutzabteilungen; dann übernehmen externe Datenschutzbeauftragte, Steuerberater und Anwälte diese Rolle. Wichtig ist, dass im Projekt klar ist, wer welche Frage entscheidet.

Nach dem NIS2-Umsetzungsgesetz trägt die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen eine eigene Verantwortung für die Umsetzung der Risikomanagementmaßnahmen und muss an Schulungen teilnehmen. Für die übrigen Themen gilt: Delegieren ist möglich, aber die Verantwortung für die Organisation bleibt bei der Leitung.

Rechtliche Anforderungen an Projekttools

Ein weiterer Punkt ist die Verfügbarkeit über die Vertragslaufzeit hinaus. Steuerrelevante Unterlagen sind acht bis zehn Jahre aufzubewahren, während Verträge mit SaaS-Anbietern oft jährlich kündbar sind. Wer ein Tool wechselt, muss deshalb sicherstellen, dass die aufbewahrungspflichtigen Daten vorher vollständig exportiert und archiviert werden. Diese Frage gehört schon in die Auswahlentscheidung.

Bei der Auswahl hilft eine einfache Regel: Ein Tool, das Daten über Personen, Zeiten oder Rechnungen enthält, ist nie nur ein Werkzeug des Projektteams, sondern Teil der Compliance des Unternehmens. Die Entscheidung sollte deshalb mit IT, Datenschutz und Buchhaltung abgestimmt werden.

Viele der Pflichten in diesem Leitfaden betreffen unmittelbar die Werkzeuge, mit denen Projekte geführt werden. Zeiterfassung, Rechnungsstellung, Dokumentenablage und Zusammenarbeit laufen heute meist in SaaS-Anwendungen. Für die Auswahl eines Projekttools ergeben sich daraus konkrete Anforderungen: Es sollte Arbeitszeiten vollständig und nachvollziehbar erfassen, Änderungen protokollieren, Daten exportierbar halten, einen Auftragsverarbeitungsvertrag anbieten und transparent machen, wo Daten gespeichert werden und welche Unterauftragsverarbeiter beteiligt sind.

Flenio speichert Projektdaten primär in Zürich (Supabase, AWS eu-central-2) und stellt einen Auftragsverarbeitungsvertrag bereit; einzelne Funktionen nutzen dokumentierte Unterauftragsverarbeiter innerhalb und außerhalb der Schweiz, darunter Anthropic in den USA für die KI-Funktionen — mit Personennamen in Prompts nur als Platzhalter. Welche Anforderungen im Einzelfall gelten, hängt vom Projekt und den verarbeiteten Daten ab. Wie man Tools prüft, beschreibt das Kapitel AVV bei SaaS-Tools.

Verbreitete Irrtümer

Gemeinsam ist diesen Irrtümern, dass sie aus einer früheren Rechtslage stammen oder aus Annahmen, die nie geprüft wurden. Ein kurzer Abgleich mit den Kapiteln dieses Leitfadens hilft, solche blinden Flecken im eigenen Unternehmen zu erkennen.

• «Bei Vertrauensarbeitszeit muss nichts erfasst werden.» — Seit 2022 gilt die Erfassungspflicht auch dann; Vertrauensarbeitszeit bleibt möglich, aber mit Erfassung.
• «Eine PDF-Rechnung per E-Mail ist eine E-Rechnung.» — Seit 2025 nicht mehr; sie ist eine sonstige Rechnung.
• «Rechnungen muss man zehn Jahre aufbewahren.» — Für Buchungsbelege gilt seit dem BEG IV eine Frist von acht Jahren.
• «Der Freelancer hat mehrere Kunden, also ist er selbstständig.» — Es kommt auf das Gesamtbild der konkreten Tätigkeit an.
• «NIS2 betrifft nur Konzerne.» — Erfasst sind auch mittlere Unternehmen in bestimmten Sektoren, und viele Kunden geben Anforderungen an Lieferanten weiter.

Alle Kapitel dieses Leitfadens

Jedes Kapitel nennt die maßgeblichen Vorschriften und Quellen mit Stand Oktober 2026, beschreibt die Umsetzung im Projektalltag und endet mit einer Checkliste. Wo sich die Rechtslage gerade verändert — etwa bei der Arbeitszeiterfassung oder im Vergaberecht —, ist der Stand ausdrücklich angegeben.

• Arbeitszeiterfassung: Pflicht seit 2022, Referentenentwurf 2026.
• Vertrauensarbeitszeit: trotz Erfassungspflicht möglich.
• DSGVO im Projektmanagement: Pflichten entlang des Projekts.
• AVV bei SaaS-Tools: Auftragsverarbeitung und Drittlandtransfer.
• GoBD: Projektdokumentation und Zeiterfassung GoBD-konform.
• E-Rechnungspflicht: Fristen 2025 bis 2028.
• XRechnung oder ZUGFeRD: Formate und Profile.
• Scheinselbstständigkeit: Kriterien und Statusfeststellung.
• Dienstvertrag oder Werkvertrag: Abgrenzung in IT-Projekten.
• Öffentliche Vergabe: UVgO, VgV und Schwellenwerte.
• NIS2-Umsetzung: Folgen für Projektteams.