Unzulässig: Erfassung der Arbeitszeit per Fingerabdruck

Moderne Systeme können die Arbeitszeiten von Beschäftigten statt durch Stechuhr oder manuelle Eintragungen mit einem Fingerabdruck erfassen. Da es sich hierbei um eine Form der Datenverarbeitung handelt, die nicht erforderlich ist, ist sie ohne eine Einwilligung des Arbeitnehmers unzulässig.

Bereits in die zweite Instanz ging es in einem arbeitsrechtlichen Streit um den Einsatz eines betrieblichen Zeiterfassungssystems, bei dem die Arbeitnehmer sich anhand biometrischer Daten, genauer gesagt ihrem Fingerabdruck, an- und abmelden müssen.

Strittige Einführung eines digitalen Arbeitszeiterfassungssystems

In dem Streit geht es im Kern um die Einführung eines digitalen Arbeitszeiterfassungssystems in einer Facharztpraxis. Dort mussten die Beschäftigten zuvor ihre jeweiligen Arbeitszeiten in die dazu ausgedruckten und ausliegenden Dienstpläne eintragen.

Im Zuge einer Modernisierung wurden vom Arbeitgeber nun ein elektronisches Zeiterfassungssystem angeschafft, bei dem die Mitarbeiter sich allerdings nicht wie bei ähnlichen Systemen über eine Chipkarte oder eine ähnliche Hardware an- und abmelden, sondern dies mittels des Fingerabdrucks geschieht. 

Verweigerer der Fingerprint-An- und Abmeldung wurde abgemahnt

Einer der Beschäftigten wollte dieses Verfahren jedoch nicht nutzen und stattdessen seine Arbeitszeiten weiterhin per Hand eintragen. Diese Weigerung führte letztlich zu einer Abmahnung, nachdem der Arbeitgeber ihn zuvor schriftlich zur Nutzung des neuen Systems samt Fingerabdruck aufgefordert hatte. Nachdem der Arbeitnehmer sich weiter weigerte, wurde er ein zweites Mal abgemahnt und der Arbeitgeber wies zugleich auf die Option einer sofortigen Kündigung im Falle einer andauernden Weigerung hin.

Entfernung der Abmahnung verlangt

Dagegen setzte sich der Arbeitnehmer zu Wehr und vor dem Arbeitsgericht Berlin auf Entfernung der Abmahnungen geklagt. Das Gericht hatte im Herbst letzten Jahres dann im Sinne des Arbeitnehmers entschieden. Das Urteil (Az. 29 CA 5451/19) begründete das Arbeitsgericht Berlin damit, dass der Kläger nicht verpflichtet sei, seine biometrischen Daten beim Zeiterfassungssystem zu hinterlegen und daher keine Pflichtverletzung und somit kein Grund für eine Abmahnung vorgelegen habe.

Fingerabdruckdaten sind besonders personenbezogenen Daten

Die Fingerabdruckdaten fallen in die Kategorie der besonders personenbezogenen Daten (nach Art. 9 Abs. 1 DSGVO), deren Verarbeitung nur bei Vorliegen eines Erlaubnistatbestands (nach Art. 9 Abs. 2 DSGVO) gestattet ist. Für den Erlaubnistatbestand kommt dem Arbeitsgericht zufolge hier allerdings nur eine Erlaubnis des Mitarbeiters in Frage, die in dem konkreten Falle aber nicht vorliege.

Interessenabwägung zur biometrischen Zeiterfassung

Darüber hinaus kam das Gericht jedoch vor allem bei einer Interessensabwägung zu dem Schluss, dass biometrische Daten für ein Anwendungsgebiet wie die Arbeitszeiterfassung nicht notwendig seien. Ein biometrisches Zeiterfassungssystem sei damit auch nach Art. 9. Abs. 2 lit. B DSGVO, nach dem eine Verarbeitung biometrischer Daten unter bestimmten Bedingungen zulässig ist, nicht erforderlich. 

Auch das vom Kläger vorgetragene Argument der Manipulationssicherheit ließen die Richter somit nicht gelten, denn es seien zwar vereinzelte Fälle von Manipulationen bei einfacheres Systemen denkbar, es sei jedoch davon auszugehen, dass die große Mehrzahl der Mitarbeiter sich regelkonform verhalte. Lediglich wenn der Arbeitgeber massiven Missbrauch nachweise, könnte auch eine biometrische Kontrolle als angemessen eingestuft werden.

Landesarbeitsgericht bestätigt die Vorinstanz zur Fingerprint-Unzulässigkeit

Im dem Berufungsverfahren vor dem Landesarbeitsgericht Berlin-Brandenburg versuchte der Arbeitgeber nun mit dem Hinweis auf ein verbundenes Unternehmen, in dem es bei der Nutzung anderer technischer Systeme zur Arbeitszeiterfassung zu einem Missbrauch gekommen war, sowie dem Verweis auf die höheren Kosten eines Chipkartensystems nun doch noch seine Rechtsauffassung durchsetzen zu können.

Ebenso wies man darauf hin, dass in dem System nicht der ganze Fingerabdruck, sondern lediglich die Minuzien (Verzweigungen und Endungen der Linien des Abdrucks) gespeichert würden und in den Terminals des Zeiterfassungssystems zusätzlich eine Pseudonymisierung erfolge. Doch auch diesen Argumenten wollte sich das LAG Berlin  sich nicht anschließen. Denn auch wenn es sich bei den erfassten Daten nur um die Minuzien handele, seien dies unverändert eindeutige biometrische Daten.

Vor allem aber bestätigte das LAG Berlin-Brandenburg in seinem Urteil die Auffassung, dass es in dem konkreten Fall an der Erforderlichkeit einer Verarbeitung biometrischer Daten mangele. Im Detail begründeten die Richter dies u.a. damit, dass es für das eingesetzte Zeiterfassungssystem auch Terminals gibt, die ohne Fingerabdruck-Erfassung arbeiten können und der Arbeitgeber nicht konkret vortragen konnte, welche Kostenersparnis die Fingerabdruck-Lösungen gegenüber einem Chipkartensystem habe.

(LAG Berlin-Brandenburg, Urteil v. 04.06.2020, 10 Sa 2130/19).

Weitere News zum Thema:

Bedenken gegen KI Lösungen im Personalmanagement

Datenschutz im Unternehmen

Gesundheitskarte: Pflicht zum Foto auf der eGK ist verfassungsmäßig

Hintergrund: Datenschutz und Mitbestimmung bei Mitarbeiterdaten

Zu jeder Datenverarbeitung trifft den Arbeitgeber eine Dokumentation- und Informationspflicht. Er muss präzise in verständlicher Weise erklären,

  • warum, zu welchem Zweck, wie lange er die Daten verarbeitet und
  • welche Wege sie gehen.

Er muss sein Datenverarbeitungssystem gegenüber seinen Beschäftigten transparent machen und die Daten schützen, indem er sie z.B. so schnell wie es geht anonymisiert oder löscht und indem er technische Sicherheitssysteme einbaut, um die Daten vor unberechtigtem Zugriff oder unbeabsichtigtem Verlust zu schützen.

In Art. 15 DSGVO sind die Auskunftsrechte definiert, nach denen etwa Angaben zu Verarbeitungszweck, Kategorie der erhobenen Daten, Empfängern der Daten, oder geplanter Speicherungsdauer zu geben sind. Ebenso muss ein Hinweis auf das Recht zur Löschung oder Berichtigung der Daten erfolgen und auf das Beschwerderecht gegenüber der zuständigen Aufsichtsbehörde hingewiesen werden.

Art. 17 DSGVO beschreibt die Löschungsrechte, die etwa dann bestehen, wenn die mit der Verarbeitung der Daten verfolgten Zwecke erreicht sind oder ein Widerruf der erteilten Einwilligung vorgenommen wird. 

Den Arbeitgeber trifft eine umfassende, jederzeit abrufbare Rechenschaftspflicht. Damit einher geht die Beweislast des Arbeitgebers für die Einhaltung aller Datenschutzmaßnahmen.

§ 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz gibt einem bestehenden Betriebsrat auch ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Seine Zustimmung gilt nur, wenn er hinreichend informiert wurde. 

Schlagworte zum Thema:  Datenschutz, Datenschutz-Grundverordnung