Fingerabdruck im Betriebszutritt: Besondere Datenkategorie, Alternativen und Löschung

Ein Fingerabdrucksystem am Werkstor wirkt bequem: Die beschäftigte Person legt den Finger auf, das System öffnet die Tür und protokolliert den Zutritt. Datenschutzrechtlich ist damit aber nicht nur eine technische Zutrittsfrage verbunden. Wird der Fingerabdruck zur eindeutigen Identifizierung verarbeitet, geht es um biometrische Daten und damit um eine besondere Kategorie personenbezogener Daten.

Dieser Beitrag behandelt den biometrischen Betriebszutritt im Beschäftigungskontext. Im Mittelpunkt stehen die Einordnung nach Art. 9 DSGVO, eine tragfähige Rechtsgrundlage, echte Alternativen, Datenschutz-Folgenabschätzung, Schutzmaßnahmen und die Löschung. Videoüberwachung, allgemeine Zugriffsrechte auf Beschäftigtendaten und Gesichtserkennung im öffentlichen Raum verfolgen andere Zwecke. Für die organisatorische Einordnung hilft die Schwerpunktseite zum Beschäftigtendatenschutz.

Art. 4 Z 14 DSGVO definiert biometrische Daten als mit speziellen technischen Verfahren gewonnene personenbezogene Daten, die sich auf körperliche, physiologische oder verhaltensbezogene Merkmale beziehen und die eindeutige Identifizierung oder Bestätigung der Identität ermöglichen. Ein System, das aus dem Fingerabdruck ein Template bildet und dieses für den Zutritt mit einer bestimmten Person abgleicht, kann deshalb unter Art. 9 DSGVO fallen. Nicht die Bezeichnung des Herstellers entscheidet, sondern die tatsächliche Funktion.

Art. 9 Abs. 1 DSGVO nennt biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person ausdrücklich als besondere Kategorie. Die Verarbeitung ist grundsätzlich untersagt. Zusätzlich zur allgemeinen Rechtsgrundlage nach Art. 6 DSGVO muss daher eine Ausnahme nach Art. 9 Abs. 2 DSGVO greifen. Die technische Umwandlung des Abdrucks in einen Template-Wert nimmt dem Datensatz nicht automatisch seine Sensibilität.

Der Zweck sollte eng beschrieben werden. Zutritt zu einem besonders geschützten Bereich ist eine andere Frage als die laufende Zeiterfassung oder die Auswertung von Bewegungen im Betrieb. Werden dieselben Templates für mehrere Zwecke verwendet, müssen Datenflüsse, Notwendigkeit, Rechtsgrundlage und Speicherdauer je Zweck getrennt geprüft werden. Die Einordnung besonderer Kategorien personenbezogener Daten bietet dafür den fachlichen Ausgangspunkt.

Für den Zutritt muss das Unternehmen zuerst die Verarbeitung nach Art. 6 DSGVO einordnen. Je nach konkretem Ablauf kommen unterschiedliche Rechtsgrundlagen in Betracht. Bei biometrischen Daten reicht diese Prüfung aber nicht aus. Art. 9 Abs. 2 DSGVO verlangt zusätzlich eine passende Ausnahme, etwa eine ausdrückliche Einwilligung oder eine im Arbeits- und Sozialrecht verankerte, mit Schutzvorkehrungen verbundene Erlaubnis.

Art. 9 Abs. 2 lit. b DSGVO setzt für arbeitsrechtliche Pflichten und Rechte voraus, dass die Verarbeitung durch Unionsrecht, nationales Recht oder einen Kollektivvertrag vorgesehen und mit geeigneten Garantien verbunden ist. Eine interne Zutrittsordnung ersetzt diese Voraussetzung nicht. Auch ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO hebt das Verbot des Art. 9 Abs. 1 DSGVO nicht allein auf.

Die Dokumentation muss daher Zweck, betroffene Personen, Datenkategorien, Systemschritte, Empfänger und die konkrete Begründung für beide Ebenen zeigen. Art. 5 Abs. 2 und Art. 24 DSGVO verlangen eine nachweisbare Verantwortung. Im Verzeichnis der Verarbeitungstätigkeiten sollten auch Löschfristen und technische Maßnahmen nachvollziehbar beschrieben werden. Für die organisatorische Verantwortung ist die Schwerpunktseite zu Datenschutz-Governance ein sinnvoller Anschluss.

Eine Einwilligung muss nach Art. 7 DSGVO nachweisbar, informiert und freiwillig sein. Im Arbeitsverhältnis besteht jedoch regelmäßig ein Abhängigkeitsverhältnis. Die EDSA-Leitlinien 05/2020 weisen deshalb darauf hin, dass eine Einwilligung von Beschäftigten in vielen Situationen nicht frei erteilt werden kann, wenn eine Ablehnung Nachteile auslöst oder keine echte Wahl besteht.

Eine Unterschrift aller Beschäftigten macht den biometrischen Zutritt daher nicht automatisch zulässig. Vor der Einwilligung ist zu erklären, welches Template erzeugt wird, wofür es verwendet wird, wer darauf zugreifen kann, wie lange es gespeichert bleibt und welcher Widerrufsweg besteht. Der Widerruf muss so einfach möglich sein wie die Erteilung. Für die weitere Zutrittsorganisation braucht es einen realistischen, gleichwertigen Weg ohne biometrische Identifizierung.

Als Alternativen kommen je nach Sicherheitsanforderung personalisierte Karten, PIN, Schlüssel, Zwei-Faktor-Lösungen oder eine Kombination in Betracht. Entscheidend ist nicht, ob die Alternative genauso bequem ist, sondern ob sie den Schutzbedarf mit einem geringeren Eingriff erfüllt. Vergleichen Sie Fehlerrisiken, Verlust, Weitergabe, Sperrung, Ersatz und Notfallzugang und halten Sie die Abwägung fest.

Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Neue Technologien, besondere Datenkategorien, Beschäftigtenbezug, systematischer Zutritt und mögliche Nachteile bei Fehlzuordnung sprechen dafür, die Pflicht jedenfalls frühzeitig zu prüfen. Die Entscheidung für oder gegen eine DSFA gehört vor den Start des Systems.

Die Prüfung sollte den gesamten Ablauf erfassen: Aufnahme des Fingerbilds, Erzeugung und Speicherung des Templates, Abgleich am Lesegerät, Übermittlung an zentrale Systeme, Protokollierung, Anbieterzugriff, Sperre, Ersatzkarte und Löschung. Bewerten Sie auch Fehlerraten, falsche Zurückweisungen, unbefugte Nachbildung, Datenabfluss und die Folgen für Personen, die den biometrischen Weg nicht nutzen können.

Art. 25 und Art. 32 DSGVO verlangen Datenschutz durch Technikgestaltung und ein dem Risiko angemessenes Sicherheitsniveau. Dazu gehören möglichst lokale Verarbeitung, getrennte und geschützte Templates, Verschlüsselung, strenge Rollen, persönliche Administrationskonten, Protokollierung, Wiederherstellung und ein getesteter Notfallweg. Die Informationen zur Datenschutz-Folgenabschätzung und zu technischen und organisatorischen Maßnahmen unterstützen die Vorbereitung.

Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung. Ein Template darf daher nicht auf Vorrat gespeichert werden, wenn der biometrische Zutritt nicht mehr erforderlich ist. Beim Austritt, bei einem dauerhaften Wechsel auf eine andere Zutrittsart oder beim Ende des geschützten Bereichs muss die Löschung ausgelöst und nachweisbar abgeschlossen werden. Die Grundsätze eines Löschkonzepts lassen sich auf die konkrete Verarbeitung übertragen, ersetzen aber keine eigene Fristprüfung.

Zutrittsprotokolle verfolgen einen anderen Zweck als Templates. Sie können für Sicherheitsvorfälle, Zutrittskontrolle oder Nachweise benötigt werden, dürfen aber nicht automatisch unbegrenzt als vollständige Bewegungsaufzeichnung aufbewahrt werden. Legen Sie je Datenart Zweck, Zugriff, Aufbewahrung, Sperre und Löschung fest. Eine längere Sicherung eines einzelnen Vorfalls braucht einen konkreten Anlass und eine dokumentierte Begründung.

Prüfen Sie auch Backups, Testsysteme, Exporte und die Systeme des Dienstleisters. Eine Löschroutine ist erst belastbar, wenn sie alle Kopien erreicht oder begründet, warum eine Sicherung nur bis zum nächsten Überschreiben geschützt weiterbesteht. Änderungen am System, an der Software oder am Zutrittsbereich müssen eine erneute Lösch- und Risikoprüfung auslösen.

Art. 88 DSGVO erlaubt den Mitgliedstaaten, für Beschäftigtendaten spezifischere Regeln vorzusehen. Diese Regeln sollen insbesondere Transparenz, Menschenwürde, berechtigte Interessen und Überwachungssysteme am Arbeitsplatz schützen. In Österreich kann deshalb neben der DSGVO eine arbeitsverfassungsrechtliche Prüfung erforderlich sein. § 96 Abs. 1 Z 3 ArbVG betrifft Kontrollmaßnahmen und technische Systeme, wenn sie die Menschenwürde berühren.

Ob eine Zustimmung des Betriebsrats erforderlich ist, lässt sich nicht allein aus dem Wort „Zutrittssystem“ beantworten. Relevant sind unter anderem die Reichweite der Protokolle, die Möglichkeit einer Verhaltens- oder Leistungskontrolle, die Verknüpfung mit Arbeitszeitdaten und die tatsächliche Auswertung. Die Prüfung sollte vor Installation und nicht erst nach dem ersten Konflikt erfolgen.

Beschäftigte müssen verständlich erfahren, welche Daten verarbeitet werden, wie der Abgleich funktioniert, wer Ausnahmen freigibt und an wen sie sich bei einer Fehlzuordnung wenden können. Legen Sie außerdem einen Review fest: Werden noch dieselben Bereiche geschützt, sind die Alternativen weiterhin verfügbar, funktionieren Löschung und Sperre und wird der biometrische Datensatz tatsächlich nur für den vereinbarten Zweck verwendet? Der Beitrag zu Zugriffsrechten auf Beschäftigtendaten vertieft die Rollen- und Kontrollseite.

Die Technik entscheidet über die Rechtsgrundlage: Ein Herstellerhinweis oder eine sichere Verschlüsselung beantwortet nicht, ob Art. 6 und Art. 9 DSGVO erfüllt sind.

Einwilligung wird als Pflichtformular ausgeteilt: Eine Unterschrift zeigt nicht, dass Beschäftigte frei wählen konnten oder einen gleichwertigen Weg hatten.

Templates werden wie normale Zutrittsdaten behandelt: Biometrische Daten brauchen eine gesonderte Zweck-, Zugriffs- und Löschprüfung.

Zutritt und Zeiterfassung werden ungeprüft verbunden: Eine zusätzliche Auswertung erweitert Zweck, Datenfluss und mögliche arbeitsverfassungsrechtliche Risiken.

Der Notfallweg bleibt offen: Wer nicht erkannt wird oder den biometrischen Weg nicht verwenden kann, braucht einen sicheren, dokumentierten und diskriminierungsarmen Zugang.

Beginnen Sie mit einer konkreten Systembeschreibung. Welche Türen werden geschützt, welche Personen brauchen Zugang, welches Risiko soll reduziert werden und welche Daten entstehen bei Registrierung, Zutritt, Ablehnung, Sperre und Austritt? Trennen Sie dabei den biometrischen Template-Datensatz vom Zutrittsprotokoll und von allfälligen Arbeitszeitdaten.

Vergleichen Sie danach mindestens eine Alternative ohne biometrische Identifizierung. Bewerten Sie Sicherheit, Fehlbedienung, Verlust, Weitergabe, Sperre, Ersatz, Barrierefreiheit und Notfall. Dokumentieren Sie die Entscheidung nicht als allgemeine Präferenz, sondern anhand des konkreten Schutzbedarfs und des Eingriffs in die Rechte der Beschäftigten.

Zum Abschluss gehören die doppelte Rechtsgrundlagenprüfung, Information, DSFA-Entscheidung, technische Konfiguration, Rollenmatrix, Löschplan, Dienstleisterprüfung, Betriebsratsprüfung und ein Testbetrieb mit klaren Abbruchkriterien. Die Prüfung von Zweck, Speicherdauer und Zugriff bei Videoüberwachung zeigt eine verwandte, aber nicht identische Sicherheitsverarbeitung.

Wir prüfen Zweck, Datenfluss, Rechtsgrundlagen, Alternativen, DSFA, technische Schutzmaßnahmen, Löschung und die arbeitsverfassungsrechtliche Einordnung Ihres Zutrittssystems. Wenn Sie eine Einführung planen oder ein bestehendes System überprüfen möchten, übermitteln Sie die Systembeschreibung, Anbieterunterlagen, Zutritts- und Löschkonzept sowie die geplante Information der Beschäftigten.