Biometrische Zeiterfassung: Warum der Fingerabdruck nicht ohne Einwilligung geht

Ist Zeiterfassung per Fingerabdruck erlaubt?

Zeiterfassung per Fingerabdruck ist nur in engen Grenzen erlaubt. Fingerabdrücke sind biometrische Daten und damit besonders geschützt (Art. 9 DSGVO). Für die normale Arbeitszeiterfassung gelten sie nach der Rechtsprechung als nicht erforderlich, weil Karten, PINs oder Apps denselben Zweck erfüllen. In der Praxis bleibt deshalb meist nur die freiwillige, ausdrückliche Einwilligung der Mitarbeitenden – mit einer echten Alternative für alle, die nicht einwilligen. Gibt es einen Betriebsrat, muss er zusätzlich zustimmen.

Zeiterfassung wird smart – aber ist sie auch legal?

Seit dem Beschluss des Bundesarbeitsgerichts vom 13.09.2022 sind Arbeitgeber in Deutschland verpflichtet, die Arbeitszeit ihrer Mitarbeitenden systematisch zu erfassen. Viele Unternehmen setzen dafür auf smarte Lösungen. Biometrische Systeme, die etwa Fingerabdrücke verwenden, versprechen dabei hohe Genauigkeit und Sicherheit. Doch das Gesetz schreibt nur vor, dass erfasst wird – nicht, wie. Und genau hier beginnt das Problem.

Biometrische Daten wie der Fingerabdruck zählen zu den sensibelsten personenbezogenen Daten. Ihre Erfassung und Verarbeitung unterliegt strengen Datenschutzbestimmungen. In diesem Beitrag beleuchten wir die rechtlichen Rahmenbedingungen und erklären, warum der Fingerabdruck in der Regel nicht ohne Einwilligung geht.

Die Vorteile der biometrischen Zeiterfassung

Biometrische Zeiterfassungssysteme bringen zahlreiche Vorteile mit sich:

• Hohe Genauigkeit: Fehleranfällige manuelle Eingaben oder das „Kollegen-Stempeln“ entfallen.
• Authentizität: Nur die berechtigte Person kann sich ein- und ausstempeln.
• Komfort: Kein Mitführen von Karten, Chips oder Tokens nötig.
• Effizienz: Der gesamte Prozess der Zeiterfassung wird beschleunigt.

Trotz dieser Vorteile ist entscheidend: Biometrie ist nicht nur ein Tool, sondern ein tiefgreifender Eingriff in die Persönlichkeitsrechte. Ein Fingerabdruck lässt sich – anders als ein Passwort – nicht ändern, wenn er einmal kompromittiert ist.

Rechtliche Grundlagen: Was DSGVO und BDSG verlangen

Biometrische Daten zur eindeutigen Identifizierung einer Person gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO). Ihre Verarbeitung ist grundsätzlich verboten – es sei denn, eine der Ausnahmen in Art. 9 Abs. 2 DSGVO greift. Für Arbeitgeber kommen vor allem drei Wege in Betracht:

• Erforderlichkeit für das Arbeitsverhältnis (Art. 9 Abs. 2 lit. b DSGVO, § 26 Abs. 3 BDSG): Die Verarbeitung muss für die Erfüllung arbeitsrechtlicher Pflichten erforderlich sein. Für die allgemeine Zeiterfassung im Büro oder Lager ist Biometrie das nach der Rechtsprechung nicht, weil mildere Mittel zur Verfügung stehen. Anders kann es bei Zutrittskontrollen zu Hochsicherheitsbereichen aussehen.
• Betriebsvereinbarung (Art. 88 DSGVO, § 26 Abs. 4 BDSG): Eine Betriebsvereinbarung kann Rechtsgrundlage für Datenverarbeitung sein, muss aber das Schutzniveau der DSGVO einhalten. Sie macht einen unverhältnismäßigen Eingriff nicht zulässig.
• Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO, § 26 Abs. 2 BDSG): In der Praxis der häufigste Weg – aber im Arbeitsverhältnis nur wirksam, wenn sie wirklich freiwillig ist.

Hinzu kommt eine Unsicherheit: Der EuGH hat am 30.03.2023 (C-34/21) entschieden, dass eine mit § 26 Abs. 1 BDSG vergleichbare Landesregelung nicht den Anforderungen der DSGVO genügt. Seitdem ist umstritten, wie weit § 26 BDSG noch als eigene Rechtsgrundlage trägt. Unternehmen sollten ihre Verarbeitung deshalb direkt an den Vorgaben der DSGVO ausrichten. Mehr zu den Rechtsgrundlagen liest du in unserem Artikel zu Art. 6 DSGVO.

Warum die Einwilligung meist der einzige Weg ist

Weil Biometrie für die Zeiterfassung in der Regel nicht erforderlich ist, bleibt meist nur die ausdrückliche Einwilligung. Im Arbeitsverhältnis ist sie aber heikel, denn Mitarbeitende sind von ihrem Arbeitgeber abhängig. Die Einwilligung ist deshalb nur wirksam, wenn sie:

• freiwillig erfolgt – ohne Druck oder Nachteile bei Verweigerung,
• informiert ist – inklusive Zweck, Speicherdauer und Widerrufsrecht,
• ausdrücklich und in der Regel schriftlich oder elektronisch dokumentiert ist (§ 26 Abs. 2 BDSG),
• jederzeit widerrufbar bleibt.

Das bedeutet: Unternehmen müssen eine echte Wahlmöglichkeit bieten, also ein alternatives Zeiterfassungsverfahren bereitstellen. Wer nicht einwilligt, darf zum Beispiel mit einer Karte oder PIN stempeln. Ohne diese Alternative ist die Einwilligung nicht wirksam.

Die Rolle des Betriebsrats

Gibt es im Unternehmen einen Betriebsrat, hat er bei der Einführung einer biometrischen Zeiterfassung ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Das gilt für alle technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung der Mitarbeitenden zu überwachen. Ohne Zustimmung des Betriebsrats oder einen Spruch der Einigungsstelle darf das System nicht eingeführt werden. In der Praxis wird die Einführung in einer Betriebsvereinbarung geregelt, die auch Zweck, Zugriffsrechte und Löschfristen festlegt.

Gerichtsurteile und Aufsichtsbehörden: Wo die Grenzen gezogen wurden

Die wichtigste Entscheidung zur Zeiterfassung per Fingerabdruck stammt aus Berlin:

• Arbeitsgericht Berlin, Urteil vom 16.10.2019 (Az. 29 Ca 5451/19): Ein Mitarbeiter hatte sich geweigert, ein Fingerabdruck-Zeiterfassungssystem zu nutzen, und war dafür abgemahnt worden. Das Gericht entschied, dass die Abmahnung unwirksam war: Ohne Einwilligung war die Verarbeitung nicht zulässig, weil sie für die Zeiterfassung nicht erforderlich ist.
• Landesarbeitsgericht Berlin-Brandenburg, Urteil vom 04.06.2020 (Az. 10 Sa 2130/19): Das LAG bestätigte die Entscheidung in der Berufung.
• Aufsichtsbehörden: Die Datenschutzkonferenz (DSK) betont, dass eine Einwilligung im Beschäftigungsverhältnis nur wirksam ist, wenn eine echte Alternative besteht und kein faktischer Zwang ausgeübt wird.

Die Entscheidungen zeigen: Wer Mitarbeitende ohne Einwilligung zur biometrischen Zeiterfassung verpflichtet, handelt rechtswidrig – unabhängig von technischen Vorkehrungen.

Mögliche Alternativen zur Fingerabdruckerfassung

Es gibt mehrere Alternativen, die mit deutlich weniger Eingriff auskommen:

• RFID-Karten oder Chips mit Mitarbeiter-ID
• Terminals mit PIN-Eingabe
• Digitale Stempeluhren mit Zugriffskontrollen
• Browser- oder App-basierte Zeiterfassung mit manueller Buchung

Auch diese Systeme müssen datenschutzkonform konfiguriert sein. Bei Apps gilt: Standortdaten nur erheben, wenn sie wirklich nötig sind – eine dauerhafte Ortung (z. B. per Geofencing) ist ebenfalls ein erheblicher Eingriff und nur in engen Grenzen zulässig.

Best Practices für die Einführung biometrischer Zeiterfassungssysteme

Wenn sich ein Unternehmen trotz allem für biometrische Systeme entscheidet, sollten folgende Punkte eingehalten werden:

1. Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen – bei Biometrie im Beschäftigungsverhältnis ist sie in aller Regel Pflicht. Mehr zur DSFA.
2. Betriebsrat einbinden und eine Betriebsvereinbarung abschließen.
3. Freiwillige, dokumentierte Einwilligungen einholen.
4. Alternativen anbieten – für alle, die nicht einwilligen.
5. Informationspflichten nach Art. 13 DSGVO erfüllen.
6. Datensparsame Technik wählen: Statt Fingerabdruckbildern nur verschlüsselte Templates speichern, idealerweise dezentral auf einer Karte der Mitarbeitenden statt in einer zentralen Datenbank.
7. Technische und organisatorische Maßnahmen wie Verschlüsselung, Zugriffskontrollen und ein Löschkonzept umsetzen und alle Verarbeitungsschritte dokumentieren (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).
8. Mitarbeitende schulen und sensibilisieren.

Fazit: Biometrie nur mit Augenmaß und starker Absicherung

Biometrische Zeiterfassungssysteme bieten echte Vorteile, sind aber ein datenschutzrechtliches Hochrisikothema. Ohne ausdrückliche, freiwillige Einwilligung, eine echte Alternative und – falls vorhanden – die Zustimmung des Betriebsrats dürfen sie in der Regel nicht eingesetzt werden.

Unternehmen sollten kritisch prüfen, ob der Mehrwert den Eingriff in die Grundrechte der Mitarbeitenden rechtfertigt oder ob ein datensparsamerer Ansatz die bessere Wahl ist. Denn Vertrauen entsteht nicht durch Technologie allein, sondern durch Transparenz, Respekt und rechtlich sauberes Vorgehen.

Mit heyData führst du neue Systeme wie die Zeiterfassung datenschutzkonform ein: mit Datenschutz-Folgenabschätzung, Vorlagen für Einwilligungen und Expert:innen, die dich bei allen Fragen begleiten.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo