Zeiterfassung per Fingerabdruck: erlaubt oder nicht?

Warum schon die Minutien biometrische Daten sind

Das häufigste Gegenargument der Hersteller lautet: „Wir speichern gar keinen Fingerabdruck, nur einen mathematischen Wert.“ Technisch stimmt das oft – erfasst werden nicht das Bild, sondern die Minutien, also die charakteristischen Verzweigungen und Endungen der Fingerlinien, und daraus wird ein Template errechnet.

Rechtlich ändert das nichts. Art. 4 Nr. 14 DSGVO definiert biometrische Daten als personenbezogene Daten, die „mit speziellen technischen Verfahren gewonnen werden“ und „die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen“. Genau das ist der Zweck eines Minutien-Templates – sonst würde das Terminal niemanden wiedererkennen. Das LAG Berlin-Brandenburg hat diesen Punkt in seinem Urteil ausdrücklich festgehalten: Auch wenn das System nur die Fingerlinienverzweigungen verarbeitet, handelt es sich um biometrische Daten.

Damit greift Art. 9 Abs. 1 DSGVO: Die Verarbeitung besonderer Kategorien personenbezogener Daten ist untersagt, solange keine der eng gefassten Ausnahmen des Absatzes 2 einschlägig ist. Im Beschäftigungskontext kommen praktisch zwei in Betracht – die Erforderlichkeit zur Ausübung arbeitsrechtlicher Rechte und Pflichten (Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG) und die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Beide Wege sind schmaler, als sie klingen.

Der Weg über die Erforderlichkeit ist versperrt

Der Fall vor dem LAG Berlin-Brandenburg ist deshalb so lehrreich, weil er den entscheidenden Prüfschritt isoliert. Eine radiologische Praxis hatte ein Zeiterfassungssystem mit Fingerabdruck-Scanner eingeführt. Ein medizinisch-technischer Assistent weigerte sich, es zu nutzen, und erhielt eine Abmahnung. Er klagte auf deren Entfernung aus der Personalakte – und gewann.

Die Begründung dreht sich nicht um Datensicherheit oder Speicherorte, sondern um Erforderlichkeit. Erforderlich ist eine Verarbeitung nur, wenn der verfolgte Zweck nicht mit einem milderen, gleich wirksamen Mittel erreichbar ist. Der Zweck lautet hier: Arbeitszeiten personenbezogen und zuverlässig erfassen. Diesen Zweck erfüllen ein RFID-Transponder, eine PIN am Terminal, ein persönlicher Login im Browser oder die App auf dem eigenen Smartphone ebenso – ohne besondere Datenkategorien anzufassen. Damit fällt die Erforderlichkeit weg, und die Ausnahme des Art. 9 Abs. 2 lit. b DSGVO trägt nicht.

Die Konsequenz ist arbeitsrechtlich unbequem für Betriebe: Fehlt die Rechtsgrundlage, kann die Nutzung des Systems nicht per Direktionsrecht angeordnet werden. Wer sich weigert, verletzt keine Pflicht – eine Abmahnung ist unzulässig, eine darauf gestützte Kündigung erst recht.

Und die Einwilligung?

Bleibt der zweite Weg: die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Sie ist nicht ausgeschlossen, aber im Arbeitsverhältnis strukturell schwach – aus drei Gründen, die alle zusammen erfüllt sein müssen.

• Freiwilligkeit. Im Über-/Unterordnungsverhältnis ist Freiwilligkeit begründungsbedürftig. Sie setzt voraus, dass die Ablehnung folgenlos bleibt – es muss also ein gleichwertiges alternatives Erfassungsverfahren geben, das keine Nachteile mit sich bringt.
• Widerruflichkeit. Nach Art. 7 Abs. 3 DSGVO ist eine Einwilligung jederzeit für die Zukunft widerrufbar, und darüber ist vorab zu informieren. Der Betrieb muss also damit rechnen, dass einzelne Personen jederzeit aussteigen.
• Form und Information. Die Einwilligung muss sich ausdrücklich auf die biometrischen Daten beziehen, in verständlicher Form vorliegen und Zweck, Speicherdauer und Empfänger benennen.

Rechnet man das zusammen, bleibt ein Betrieb, der zwei Erfassungswege dauerhaft parallel betreibt – den biometrischen für die Zustimmenden und einen konventionellen für alle anderen. Genau damit ist der ursprüngliche Zweck, das Mitstempeln für Abwesende auszuschließen, wieder offen. Der Aufwand steigt, der Nutzen sinkt.

Hinzu kommt: Die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten löst nach Art. 35 Abs. 3 lit. b DSGVO regelmäßig eine Datenschutz-Folgenabschätzung aus. Und wo ein Betriebsrat besteht, ist die Einführung eines solchen Systems nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig – ohne Betriebsvereinbarung geht nichts.

Was stattdessen funktioniert

Das eigentliche Anliegen hinter dem Fingerabdruck-Terminal ist berechtigt: Eine Aufzeichnung ist nur dann belastbar, wenn die Buchung der richtigen Person zuzuordnen ist. Dafür gibt es Verfahren, die keine besondere Datenkategorie berühren.

Wirksamer als jede Hardware ist in der Praxis ohnehin die Kombination aus persönlicher Buchung und Soll-Ist-Vergleich: Wer den gestempelten Zeiten den geplanten Dienst gegenüberstellt, sieht Abweichungen sofort und muss sie nicht am Terminal verhindern. Welche Terminal-Varianten wie funktionieren, beschreibt der Beitrag zur digitalen Stempeluhr; die übrigen Datenschutzpflichten fasst Digitale Zeiterfassung und DSGVO zusammen.

Ein praktischer Nebenaspekt, der selten bedacht wird: Ein Passwort lässt sich nach einem Datenleck ändern, ein Fingerabdruck nicht. Wer biometrische Templates speichert, geht ein Risiko ein, das sich später durch keine Maßnahme mehr zurücknehmen lässt – ein weiteres Argument, das in die Verhältnismäßigkeitsprüfung einfließt.

Was das für die Systemauswahl heißt

Für die Auswahl einer Lösung ist der Befund entlastend: Der Verzicht auf Biometrie kostet nichts. Systeme wie der Testsieger Aplano setzen auf persönliche Konten – gestempelt wird per App, im Browser oder am Tablet-Terminal im Kiosk-Modus, wahlweise mit persönlicher PIN. Wo Buchungen an einen Einsatzort gebunden sein sollen, lässt sich eine punktuelle Standortprüfung im Moment des Stempelns aktivieren, ohne dass ein Bewegungsprofil entsteht. Korrekturen laufen über einen Freigabeschritt und bleiben sichtbar.

Wer trotzdem ein biometrisches Terminal angeboten bekommt, sollte drei Fragen stellen: Welche Rechtsgrundlage schlägt der Anbieter vor? Welches gleichwertige Alternativverfahren steht für Ablehnende bereit? Und liegt eine Betriebsvereinbarung vor, falls ein Betriebsrat existiert? Bleibt eine der Antworten offen, ist die Entscheidung bereits gefallen. Welche Systeme diese Anforderungen erfüllen, zeigt der Systemvergleich; die Einordnung der Erfassungspflicht selbst steht auf der Seite Rechtslage.

← Alle Blog-Artikel · Zeiterfassung und DSGVO · Digitale Stempeluhr · Rechtslage