Biometrische Authentifizierung am Arbeitsplatz: Rechtlich durchsetzbar?

Biometrische Authentifizierung am Arbeitsplatz ist in den Niederlanden schwer durchzusetzen. Fingerabdrücke, Iris-Scans oder Gesichtserkennung gelten als besondere Kategorien personenbezogener Daten, deren Verarbeitung gemäß DSGVO grundsätzlich verboten ist. Die Einwilligung der Mitarbeitenden bietet oft keine Lösung, da sie aufgrund der hierarchischen Beziehungen selten als freiwillig angesehen wird. In der Praxis ist die verpflichtende Nutzung nur zulässig, wenn sie nachweislich erforderlich und keine weniger eingreifende Alternative existiert. Für die meisten KMU bedeutet dies: Zunächst sollten PIN-Codes, Zugangskarten oder Token geprüft werden, bevor biometrische Verfahren eingesetzt werden.

Kann ein Arbeitgeber biometrische Authentifizierung verlangen? Kurze Antwort

In den meisten Fällen nein. Ein Arbeitgeber darf biometrische Daten nur dann verlangen, wenn er konkret nachweisen kann, dass diese zur Authentifizierung oder aus Sicherheitsgründen erforderlich sind und weniger restriktive Mittel (PIN-Code, Zugangskarte, Token) nicht ausreichen. Kann dieser Nachweis nicht erbracht werden – was in KMU selten vorkommt –, verstößt die verpflichtende Erfassung biometrischer Daten gegen die DSGVO. Die Einholung einer Einwilligung ist in der Regel keine gültige Alternative, da eine Einwilligung im Arbeitsverhältnis grundsätzlich nicht als freiwillig erteilt gilt.

Was genau ist biometrische Authentifizierung?

Die Authentifizierung beweist, dass eine Person tatsächlich diejenige ist, die Zugriff anfordert. Viele Unternehmen nutzen die Multifaktor-Authentifizierung (MFA): Zusätzlich zum Passwort wird ein zweites Element zur Bestätigung der Identität hinzugefügt. Beispiele hierfür sind ein SMS-Code, ein Token-Generator oder ein biometrisches Merkmal.

Biometrische Authentifizierung nutzt einzigartige physische Merkmale zur Identifizierung einer Person. Die bekanntesten Beispiele sind Fingerabdrücke, Iris-Scans und Gesichtserkennung. Da viele Smartphones und Laptops bereits über eine solche Funktion verfügen, ist es naheliegend, dass Arbeitgeber Biometrie auch am Arbeitsplatz einsetzen, beispielsweise zur Sicherung eines Kassensystems oder eines Serverraums. Rechtlich gesehen unterliegt man damit jedoch sofort den strengsten Datenschutzbestimmungen.

Biometrische Daten sind besondere personenbezogene Daten

Die DSGVO stuft biometrische Daten, sofern sie zum Zweck der eindeutigen Identifizierung einer Person verarbeitet werden, als besondere Art von personenbezogenen Datenein. Die DSGVO verwendet hierfür eine weite Definition: Es handelt sich um das „Ergebnis einer spezifischen technischen Verarbeitung physischer, physiologischer oder verhaltensbezogener Merkmale“ einer Person, anhand derer diese Person eindeutig identifiziert werden kann.

Die niederländische Datenschutzbehörde nennt Fingerabdrücke, Iris-Scans und Gesichtserkennung als eindeutige Beispiele. Auch Merkmale wie Stimme, Herzfrequenz oder bestimmte Verhaltensmuster können unter die Definition fallen, sofern sie technisch verarbeitet werden, um eine Person eindeutig zu identifizieren. Da es in diesem Bereich noch relativ wenige veröffentlichte Präzedenzfälle gibt, werden die genauen Grenzen erst allmählich klarer. Besondere Kategorien personenbezogener Daten unterliegen einem strengeren Schutzregime als „gewöhnliche“ personenbezogene Daten wie Name oder E-Mail-Adresse.

Der rechtliche Rahmen in Kürze

Für alle, die schnell verstehen wollen, wo die Grenzen verlaufen, lässt sich das Ganze auf drei Ebenen zusammenfassen:

• Verarbeitungsverbot: Grundsätzlich dürfen Sie keine besonderen personenbezogenen Daten verarbeiten.
• Einwilligung als Ausnahme: Eine ausdrückliche, freiwillig erteilte Einwilligung kann ein Rechtsgrund sein, ist aber in der Regel in einem Arbeitsverhältnis nicht anwendbar (siehe unten).
• Notwendigkeit zur Authentifizierung oder Sicherheit: Das niederländische Durchführungsgesetz (UAVG) erlaubt die Verarbeitung von Daten, wenn diese tatsächlich zur Authentifizierung oder Sicherheit erforderlich ist. Dies ist für Arbeitgeber oft der einzig realistische Weg, und die Anforderungen sind hoch.

Warum es meist nicht ausreicht, um Erlaubnis zu bitten

Grundsätzlich gilt für besondere Kategorien personenbezogener Daten ein Verarbeitungsverbot. Der Gesetzgeber will damit Identitätsbetrug und Missbrauch verhindern. Es gibt jedoch Ausnahmen von diesem Verbot. Eine bekannte Ausnahme ist die ausdrückliche Einwilligung der betroffenen Person.

Schwierig wird dieser Ansatz jedoch gerade im Verhältnis zwischen Arbeitgeber und Arbeitnehmer. Die DSGVO verlangt, dass die Einwilligung freiwillig, spezifisch, informiert und unmissverständlich erfolgt hierarchisches Verhältnis besteht, und im Falle eines Arbeitsvertrags ist dies definitionsgemäß der Fall. Ein Arbeitnehmer könnte sich aus Angst vor Konsequenzen für seinen Arbeitsplatz unter Druck gesetzt fühlen, „ja“ zu sagen. Daher halten einwilligungsbasierte biometrische Datenerfassung am Arbeitsplatz oft nicht stand.

Als Arbeitgeber sollten Sie sich nicht darauf verlassen, dass eine Unterschrift auf einem Einwilligungsformular ausreicht. Im Arbeitsverhältnis wird eine solche Einwilligung sehr ernst genommen und oft nicht als freiwillig erteilt betrachtet.

Zulässig: nur wenn biometrische Daten erforderlich sind

Es gibt einen zweiten Weg. Das niederländische Umsetzungsgesetz zur DSGVO (UAVG) enthält eine Ausnahme für Situationen, in denen die Verarbeitung biometrischer Daten zur Authentifizierung oder aus Sicherheitsgründen erforderlich ist. Dieses Wort „erforderlich“ sollte nicht leichtfertig verwendet werden. Die Erläuterungen zum Gesetz führen die Sicherheit eines Kernkraftwerks als Beispiel an – also Situationen, in denen tatsächlich ein zwingendes öffentliches Interesse besteht. Der Zugang zu beispielsweise einer gewöhnlichen Werkstatt oder einem Geschäft erfüllt diese Schwelle in der Regel nicht.

Die praktische Prüfung läuft auf einen Interessenausgleich hinaus:

• Verhältnismäßigkeit: Steht der Eingriff in die Privatsphäre in einem angemessenen Verhältnis zum Sicherheitsinteresse?
• Subsidiarität: Gibt es keine weniger eingreifende Alternative, die dasselbe Ziel erreicht, wie z. B. ein PIN-Code, eine Zugangskarte oder ein Token-Generator?
• Begründung: Können Sie anhand von Dokumenten und einer Bewertung darlegen, warum Sie sich speziell für Biometrie entscheiden?

Kann man nicht nachweisen, dass eine weniger invasive Maßnahme nicht ausreicht, so entfällt schnell die Notwendigkeit und biometrische Verfahren sind nicht zulässig.

Der Fall Manfield: Fingerabdrücke an der Kasse

Ein eindrucksvolles Beispiel ist das Urteil des Amsterdamer Bezirksgerichts vom 12. August 2019 im Fall des Schuhhändlers Manfield. Manfield hatte seine Kassensysteme mit Fingerabdruckscannern ausgestattet und von seinen Mitarbeitern die Abgabe ihrer Fingerabdrücke verlangt. Laut Unternehmen sei dies notwendig, um Betrug zu verhindern und sensible Daten im Kassensystem zu schützen.

Der Richter stimmte dem nicht zu. Manfield hatte nicht ausreichend begründet, warum ein Fingerabdrucksystem unbedingt erforderlich sei, da weniger eingreifende Alternativen wie numerische Codes und Zugangskarten, gegebenenfalls auch in Kombination, existierten. Laut Gericht rechtfertigte Manfields Geschäftsinteresse nicht die gesetzlich vorgeschriebene Notwendigkeit von Sicherheits- oder Authentifizierungsmaßnahmen. Die Lehre daraus: Ein allgemeiner Verweis auf „Sicherheit“ oder „Betrugsprävention“ genügt nicht. Die Notwendigkeit muss konkret dargelegt werden, idealerweise untermauert durch eine Datenschutz-Folgenabschätzung (DSFA) und nachweisbare Recherchen zu Alternativen.

Biometrie oder eine leichtere Alternative? Ein kurzer Vergleich

Bevor man sich für biometrische Verfahren entscheidet, ist es ratsam, die gängigen Authentifizierungsmethoden zu vergleichen. Grundsätzlich gilt: Je weniger sensible personenbezogene Daten verarbeitet werden, desto geringer ist das rechtliche Risiko.

• PIN-Code oder Passwort: Keine sensiblen persönlichen Daten, leicht zurückzusetzen, geringes Datenschutzrisiko. Oft ausreichend.
• Zugangskarte oder Ausweis: persönliche Daten, aber keine biometrischen Daten; wird bei Verlust oder Beendigung des Arbeitsverhältnisses gesperrt.
• Hardware-Token oder Authentifizierungs-App (MFA): Hohe Sicherheit ohne physische Identifizierung; breit anwendbar.
• Biometrische Daten (Fingerabdruck, Iris, Gesicht): besondere Kategorie personenbezogener Daten, Verarbeitungsverbot als Ausgangspunkt, im Falle eines Verstoßes unumkehrbar. Nur bei nachweisbarer Notwendigkeit.

In den allermeisten Fällen von KMU erreichen die ersten drei Optionen dasselbe Sicherheitsziel. Genau das macht es für Arbeitgeber so schwierig, die Notwendigkeit von Biometrie zu rechtfertigen.

Risiken im Zusammenhang mit der unsachgemäßen Verwendung von Biometrie

Wenn Sie biometrische Authentifizierung ohne solide Grundlage implementieren, setzen Sie sich als Arbeitgeber gleichzeitig mehreren Risiken aus:

• Durchsetzung durch die niederländische Datenschutzbehörde: Die Aufsichtsbehörde kann gegen Verarbeitungen vorgehen, die gegen die DSGVO verstoßen.
• Entschädigung: Mitarbeiter, deren Daten unrechtmäßig verarbeitet wurden, können eine Entschädigung beanspruchen.
• Spannungen im Arbeitsrecht: Ein Arbeitnehmer, der sich weigert, darf dafür nicht einfach nur bestraft werden, was zu Konflikten oder Gerichtsverfahren führen kann.
• Reputationsschaden: Datenschutzvorfälle mit Beteiligung von Mitarbeitern sind heikel und können das Vertrauen innerhalb des Unternehmens schädigen.

Darüber hinaus sind biometrische Daten unwiderruflich: Anders als ein Passwort lässt sich ein gestohlener Fingerabdruck nicht zurücksetzen. Daher ist eine sorgfältige Prüfung im Vorfeld umso wichtiger.

Schritt-für-Schritt-Plan für KMU-Arbeitgeber

Erwägen Sie biometrische Authentifizierung oder eine andere weitreichende Sicherheitsmaßnahme? Dann gehen Sie strukturiert vor:

1. Bestimmen Sie das Ziel. Welches konkrete Sicherheits- oder Authentifizierungsproblem möchten Sie lösen?
2. Prüfen Sie Alternativen. Reichen eine strenge Passwortrichtlinie, MFA per Token oder eine Zugangskarte aus? Falls ja, sind biometrische Daten wahrscheinlich nicht erforderlich.
3. Führen Sie eine Interessenabwägung durch. Wägen Sie das Sicherheitsinteresse gegen die Privatsphäre Ihrer Mitarbeiter ab und dokumentieren Sie dies schriftlich.
4. Führen Sie eine Datenschutz-Folgenabschätzung durch. Grundsätzlich wird eine Datenschutz-Folgenabschätzung (DSFA) empfohlen, wenn besondere Kategorien personenbezogener Daten verarbeitet werden.
5. Informieren und beziehen Sie die Mitarbeiter ein. Seien Sie transparent und beziehen Sie gegebenenfalls den Betriebsrat mit ein.
6. Protokollieren Sie die Vereinbarungen. Integrieren Sie diese in Ihre interne Datenschutzrichtlinie und dokumentieren Sie die Aufbewahrungsfrist und die Datensicherheit.

Häufig gestellte Fragen

Darf ich von meinen Mitarbeitern die Verwendung eines Fingerabdrucks verlangen?

Nur wenn Sie nachweisen können, dass dies aus Sicherheits- oder Authentifizierungsgründen notwendig ist und keine weniger eingreifende Alternative existiert. In den meisten üblichen Geschäftssituationen ist ein solcher Nachweis nicht möglich, weshalb die verpflichtende Erfassung biometrischer Daten nicht zulässig ist.

Ist die Zustimmung der Mitarbeiter ausreichend?

In der Regel nicht. Aufgrund des Machtungleichgewichts zwischen Arbeitgeber und Arbeitnehmer wird die Einwilligung oft nicht als „frei“ betrachtet. Daher kann man sich bei der Einführung biometrischer Daten nicht einfach auf die Einwilligung berufen.

Fallen das Entsperren eines privaten Telefons per Fingerabdruck und die Gesichtserkennung ebenfalls darunter?

Die Frage betrifft die Datenverarbeitung und deren Zweck. Entsperrt ein Mitarbeiter sein Gerät selbst, verarbeiten Sie als Arbeitgeber diese biometrischen Daten in der Regel nicht. Setzen Sie jedoch ein biometrisches Zugangssystem für Firmenressourcen ein, sind Sie der Datenverantwortliche und unterliegen strengen Datenschutzbestimmungen.

Welche weniger invasive Alternative gibt es zur Biometrie?

Denken Sie an einen persönlichen PIN-Code, eine Zugangskarte, einen Hardware-Token oder die Zwei-Faktor-Authentifizierung per App. Solche Mittel erreichen oft dasselbe Sicherheitsziel, ohne dass Sie besondere personenbezogene Daten verarbeiten müssen.

Muss ich eine Datenschutz-Folgenabschätzung für biometrische Daten am Arbeitsplatz durchführen?

Grundsätzlich ja. Die Verarbeitung besonderer Kategorien personenbezogener Daten, wie beispielsweise biometrischer Daten, in großem Umfang gilt im Allgemeinen als risikoreiche Verarbeitung. Eine Datenschutz-Folgenabschätzung (DSFA) hilft Ihnen, Notwendigkeit, Verhältnismäßigkeit und Alternativen nachvollziehbar abzuwägen – genau das, was ein Richter oder die Aufsichtsbehörde von Ihnen erwartet.

Darf ich einen Mitarbeiter entlassen oder bestrafen, der sich weigert, seine Fingerabdrücke abzugeben?

Seien Sie hierbei äußerst vorsichtig. Sollten die obligatorischen biometrischen Daten selbst rechtlich nicht haltbar sein, handelt der Arbeitnehmer durch die Verweigerung rechtmäßig, und eine Sanktion oder Kündigung aus diesem Grund ist riskant. Dies könnte zu einem Arbeitsrechtsstreit führen. Prüfen Sie daher zunächst, ob die Maßnahme überhaupt zulässig ist, bevor Sie die Konsequenzen für den Arbeitnehmer abwägen.

Was passiert, wenn ich gegen die Regeln verstoße?

Die niederländische Datenschutzbehörde kann die Einhaltung der Vorschriften durchsetzen, und betroffene Arbeitnehmer können Schadensersatzansprüche geltend machen. Darüber hinaus riskieren Sie arbeitsrechtliche Streitigkeiten und Reputationsschäden. Sorgfältige Abwägung im Vorfeld beugt vielen Problemen vor.

Sorgsamer Umgang mit personenbezogenen Daten von Mitarbeitern

Als Arbeitgeber haben Sie ständig Zugriff auf die personenbezogenen Daten Ihrer Mitarbeiter, insbesondere im Zusammenhang mit digitalen Systemen, neuen Arbeitsmethoden wie BYOD (Bring Your Own Device) und Sicherheitsanwendungen. Eine gut durchdachte Datenschutzrichtlinie beugt Bußgeldern, Ansprüchen und Problemen am Arbeitsplatz vor. Wenn Sie biometrische Daten oder andere Maßnahmen ordnungsgemäß verwalten möchten, legen Sie im Voraus fest, welche Daten Sie verarbeiten, warum und wie lange – beispielsweise in einer internen Datenschutzerklärung für Mitarbeiter . Da dies die Position Ihrer Mitarbeiter beeinflusst, ist es ratsam, die Datenschutzrichtlinie mit Ihren allgemeinen arbeitsrechtlichen Vereinbarungen abzustimmen

Benötigen Sie Hilfe zum Thema Datenschutz am Arbeitsplatz?

Sind Sie unsicher, ob Ihre Sicherheitsmaßnahmen rechtlichen Anforderungen genügen, oder möchten Sie Ihre Datenschutzrichtlinie anpassen? Unsere Rechtsexperten beraten Sie gerne praxisorientiert und ohne unnötigen Fachjargon.

• Mehr zu unserer Arbeit im Bereich Datenschutz und Datensicherheit
• Haben Sie Fragen zum Personalwesen und zum Arbeitsplatz? Informieren Sie sich über unsere im Arbeitsrecht

Vereinbaren Sie ein unverbindliches Erstgespräch und besprechen Sie Ihre Situation mit einem unserer Rechtsexperten.