Rechtsfragen der Mitarbeiterkontrolle / 2.7.1 Biometrische Erkennungsmethoden

Hinsichtlich biometrischer Erkennungsverfahren – beispielsweise als Zugangskontrolle für besonders sensible Bereiche in Unternehmen – ist zu beachten, dass u. U. bereits die Erhebung unzulässig sein kann, wenn sie sich auf "besondere Kategorien personenbezogener Daten" bezieht. Die Verarbeitung von besonderen Kategorien personenbezogener Daten ist in § 26 Abs. 3 BDSG geregelt.

Ob § 26 Abs. 3 BDSG eine taugliche Rechtsgrundlage ist, ist nach wie vor zweifelhaft. Sinnvoll ist daher der Abschluss von Betriebsvereinbarungen, welche eine datenschutzrechtliche Rechtsgrundlage (Art. 6 Abs. 1 lit. b DSGVO) bilden können. Hierdurch können gleichermaßen die Sensibilität biometrischer Daten und das kontextabhängige Interesse des Arbeitgebers an ihrer Erhebung berücksichtigt werden.^[1]

Der Begriff der "besonderen Kategorien personenbezogener Daten" ist in Art. 9 Abs. 1 DSGVO aufgelistet. Danach sind besonders geschützt: Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben. Ausgehend von Art. 9 Abs. 1 DSGVO unterfallen biometrische Daten grundsätzlich einem Verarbeitunsgverbot.^[2] In Betracht kommen hier wohl vor allem Angaben über die ethnische Herkunft oder die Gesundheit – so sind z. B. bestimmte Erkrankungen an einer Veränderung der Iris erkennbar. Zudem sollten die Daten nicht zentral auf einem Rechner gespeichert werden, sondern sich auf Chipkarten befinden, die die Arbeitnehmer mit sich führen und damit stets über jede Preisgabe und Nutzung ihrer Daten informiert sind.^[3]