Datenschutz

Zeiterfassung per Fingerabdruck: Was die DSGVO erlaubt

Der Fall, der in Deutschland bis heute zitiert wird, spielte nicht in einem Konzern, sondern in einer Berliner Radiologiepraxis. Die Praxis stellte 2018 auf ein Zeiterfassungsterminal um, an dem sich das Team per Fingerabdruck anmelden sollte. Ein medizinisch-technischer Radiologieassistent weigerte sich und trug seine Zeiten weiter von Hand ein. Die Praxis mahnte ihn deswegen zweimal ab. Er klagte und bekam in zwei Instanzen Recht.

Seitdem fragen sich viele Arbeitgeber, ob Biometrie bei der Zeiterfassung überhaupt noch infrage kommt. Als Standardlösung für die Stempeluhr eher nicht. Genauer hinzusehen lohnt sich trotzdem, denn Hersteller von Fingerabdruck- und Gesichtserkennungsterminals werben weiter offensiv, und die Argumente der Gerichte helfen auch bei der Bewertung anderer Systeme.

Warum biometrische Daten eine eigene Kategorie sind

Die DSGVO definiert biometrische Daten in Art. 4 Nr. 14 als Daten zu körperlichen, physiologischen oder verhaltenstypischen Merkmalen, die mit speziellen technischen Verfahren gewonnen werden und die eindeutige Identifizierung eines Menschen ermöglichen. Werden sie genau dafür verarbeitet, greift Art. 9 Abs. 1 DSGVO. Dann handelt es sich um besondere Kategorien personenbezogener Daten, deren Verarbeitung grundsätzlich verboten ist, solange keine der Ausnahmen in Art. 9 Abs. 2 vorliegt.

Das beliebte Herstellerargument, das Terminal speichere kein Bild, sondern nur einzelne Merkmale des Fingerabdrucks, hilft dabei nicht weiter. Genau diese Merkmale, die sogenannten Minutien, dienen der eindeutigen Identifizierung. Das LAG Berlin-Brandenburg hat ihre Verarbeitung deshalb als Verarbeitung biometrischer Daten eingeordnet. Und ein Unterschied leuchtet jedem ein: Ein Passwort kann man nach einem Datenleck ändern, einen Finger nicht.

Was das LAG Berlin-Brandenburg 2020 entschieden hat

Im Urteil vom 4. Juni 2020 (10 Sa 2130/19) prüfte das Gericht, ob die Verarbeitung für Zwecke des Beschäftigungsverhältnisses erforderlich war. Das ist die Ausnahme, die Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG eröffnet. Das Gericht verneinte die Erforderlichkeit, und seine Gründe lassen sich auf viele Betriebe übertragen:

• Das System ließ sich auch ohne Fingerabdruck betreiben.
• Die behaupteten Kostenvorteile hatte die Praxis nicht dargelegt.
• Sie hatte selbst eine handschriftliche Erfassung als Ausweichlösung vorgesehen.
• Das Risiko verlorener Chipkarten lässt sich auf anderem Weg begrenzen.
• Eine allgemeine Manipulationsgefahr reicht nicht. Der Arbeitgeber muss die Erforderlichkeit anhand von Tatsachen belegen.

Eine Nuance geht dabei oft unter. Das LAG stellte auch klar, dass ein Arbeitgeber Missbrauch bei der Zeiterfassung nicht erst in gewissem Umfang hinnehmen muss. Wer konkrete Manipulationen nachweisen kann, steht also besser da als jemand, der nur allgemein Sorgen äußert. Die Abmahnungen mussten trotzdem aus der Personalakte. Entschieden hat ein Landesarbeitsgericht, nicht das BAG. Eine gegenläufige höchstrichterliche Entscheidung ist uns aber nicht bekannt.

Wann Biometrie überhaupt in Betracht kommt

„Erforderlich“ ist im Datenschutzrecht ein hoher Maßstab. Es genügt nicht, dass ein Verfahren bequemer, schneller oder moderner ist. Es muss für den Zweck notwendig sein, und es darf kein gleich wirksames, milderes Mittel geben. Für die reine Erfassung von Kommen und Gehen lässt sich das kaum begründen, denn Karten, Transponder, PIN-Codes oder App-Buchungen erfüllen denselben Zweck.

Anders kann es bei der Zutrittskontrolle zu besonders sensiblen Bereichen aussehen, etwa Rechenzentren, Labore mit Gefahrstoffen oder Hochsicherheitslager. Dort geht es nicht darum, wann jemand zur Arbeit kam, sondern wer eine bestimmte Tür öffnen darf. Selbst dann lohnt die Prüfung, ob Biometrie das Problem wirklich löst. Und wer ein biometrisches Zutrittssystem für den Serverraum rechtfertigen kann, darf daraus nicht ableiten, dass die ganze Belegschaft künftig per Finger stempelt.

Aus Lager und Produktion hört man am häufigsten das Argument Kollegen-Stempeln: Einer bucht für den verspäteten Kollegen mit. Das kommt vor. Bevor man deshalb zum Fingerabdruck greift, sollten Stichproben, Plausibilitätsprüfungen, wechselnde Codes am Terminal und klare arbeitsrechtliche Konsequenzen ausgeschöpft und die Vorfälle dokumentiert sein.

Und wenn die Beschäftigten einwilligen?

Art. 9 Abs. 2 lit. a DSGVO lässt eine ausdrückliche Einwilligung zu. § 26 Abs. 2 BDSG beschreibt, wann eine Einwilligung im Arbeitsverhältnis freiwillig sein kann, etwa wenn sie Beschäftigten einen Vorteil bringt oder beide Seiten gleichgelagerte Interessen verfolgen. Im Arbeitsverhältnis ist genau die Freiwilligkeit das Nadelöhr. Wer beim Onboarding ein Formular vorgelegt bekommt, unterschreibt selten mit dem Gefühl, auch ablehnen zu können.

Wenn überhaupt, trägt eine Einwilligung nur unter klaren Bedingungen: Es gibt eine gleichwertige Alternative ohne Biometrie, die Ablehnung hat keinerlei Nachteile, und nach einem Widerruf wird das gespeicherte Template gelöscht. Viele Betriebe stellen dann fest, dass ein großer Teil des Teams ohnehin die Karte nimmt – und fragen sich, wozu sie das biometrische Terminal überhaupt betreiben.

Dazu kommt eine allgemeine Unsicherheit. Nach dem EuGH-Urteil vom 30. März 2023 (C-34/21) zu einer hessischen Parallelvorschrift ist umstritten, wie weit die Generalklausel in § 26 Abs. 1 BDSG noch angewendet werden kann; Aufsichtsbehörden stützen sich seither stärker direkt auf die DSGVO. Ein Beschäftigtendatengesetz, das die Lage klären soll, gibt es bislang nur als Referentenentwurf vom Oktober 2024. Wer sich bei Biometrie auf nationale Sonderregeln verlässt, steht damit auf dünnerem Eis als vor einigen Jahren.

Betriebsrat und Datenschutz-Folgenabschätzung

Ein biometrisches Terminal ist eine technische Einrichtung im Sinne von § 87 Abs. 1 Nr. 6 BetrVG. Ohne Zustimmung des Betriebsrats darf es nicht eingeführt werden. Eine Betriebsvereinbarung muss sich ihrerseits an der DSGVO messen lassen. Sie kann Schutzmaßnahmen festschreiben, macht ein Verfahren, das nicht erforderlich ist, aber nicht nachträglich erforderlich.

Außerdem spricht viel für eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, weil hier besondere Kategorien von Daten systematisch für eine ganze Belegschaft verarbeitet werden. Die Folgenabschätzung zwingt dazu, die Erforderlichkeit schriftlich zu begründen. Oft ist das der Moment, in dem ein solches Projekt leise beerdigt wird.

Gesichtserkennung: gleiche Regeln, mehr Fragen

Neuere Terminals erkennen Gesichter statt Finger und werden gern als kontaktlos und hygienisch beworben. Rechtlich ändert das wenig, denn auch ein Gesichtstemplate zur Identifizierung ist ein biometrisches Datum nach Art. 9 DSGVO. Praktisch kommen weitere Fragen dazu. Wo hängt die Kamera, wer läuft zufällig durchs Bild, werden Kundschaft oder Lieferanten miterfasst? Im Eingangsbereich einer Filiale oder Klinik passiert das schnell.

Seit dem 2. Februar 2025 verbietet die europäische KI-Verordnung außerdem KI-Systeme, die Emotionen von Menschen am Arbeitsplatz ableiten, abgesehen von medizinischen oder Sicherheitsgründen. Eine reine Identitätsprüfung am Eingang fällt nicht darunter. Bei Kamerasystemen sollte man trotzdem genau nachfragen, was die Software zusätzlich auswertet.

Alternativen, die in der Praxis tragen

• Chipkarte oder Transponder: bewährt, günstig, vom Betriebsrat meist akzeptiert. Schwachstelle ist die Weitergabe, die sich mit Plausibilitätskontrollen und klaren Regeln eindämmen lässt.
• PIN am Terminal: einfach, aber leicht weiterzugeben und deshalb eher als Ergänzung geeignet.
• App-Buchung per QR-Code: Beschäftigte scannen mit dem Smartphone einen Code am Standort. Ein regelmäßig wechselnder Code auf einem Terminal erschwert es, mit einem abfotografierten Code von zu Hause aus zu buchen. Eine Standortprüfung im Moment des Scans kann zusätzlich absichern. Sie ist selbst eine Verarbeitung personenbezogener Daten und sollte auf genau diesen Moment beschränkt bleiben, statt zur laufenden Ortung zu werden.
• Webbuchung oder digitaler Stundenzettel für Homeoffice und Außendienst, möglichst mit nachvollziehbarer Korrekturhistorie.

Keine dieser Lösungen ist datenschutzrechtlich ein Selbstläufer. Daten nach Art. 9 DSGVO verarbeiten sie aber nicht, und das macht die Begründung erheblich einfacher. Wer auf Smartphones setzt, braucht eine Lösung für Beschäftigte, die kein geeignetes Gerät haben oder ihr privates Handy nicht nutzen wollen.

Sie haben bereits ein Fingerabdruck-Terminal? Eine kurze Prüfliste

1. Gibt es eine dokumentierte Begründung, warum Biometrie für die Zeiterfassung erforderlich ist, gestützt auf Tatsachen statt auf allgemeine Befürchtungen?
2. Können Beschäftigte ohne Nachteile eine Alternative wählen?
3. Gibt es eine Betriebsvereinbarung, die die biometrische Funktion ausdrücklich abdeckt?
4. Wo liegen die Templates – im Terminal, auf einem eigenen Server, in der Cloud des Herstellers? Wer hat Zugriff?
5. Werden Templates beim Austritt und nach einem Widerruf zuverlässig gelöscht?
6. Liegt eine Datenschutz-Folgenabschätzung vor, und ist der Datenschutzbeauftragte eingebunden?

Lautet die Antwort mehrfach Nein, ist es meist klüger, die Fingerabdruckfunktion abzuschalten und auf Karte oder App umzustellen, als das Verfahren nachträglich zu begründen.

HelloPDKS: Zeiterfassung ohne Biometrie

HelloPDKS verzichtet auf biometrische Merkmale. Gebucht wird per QR-Code, die Beschäftigten scannen mit der App einen ausgehängten Code oder den wechselnden Code auf einem HelloPDKS-Wandterminal. Die Standortprüfung ist optional und bezieht sich auf den Moment des Scans; ohne Netz werden Buchungen zwischengespeichert. Im Verwaltungsbereich laufen Anwesenheit, Verspätungen, Urlaub, Korrekturanträge, monatliche Stundennachweise als PDF und Auswertungen zu Überstunden und Arbeitszeitgrenzen zusammen, auch über mehrere Standorte hinweg. Die Daten lassen sich als CSV exportieren.

Die Oberfläche ist derzeit auf Türkisch und Englisch verfügbar, nicht auf Deutsch. Eine datenschutzrechtliche Prüfung ersetzt das System nicht: Rechtsgrundlage, Betriebsvereinbarung und Löschfristen legen Sie für Ihren Betrieb selbst fest. Mehr dazu unter hellopdks.com.