Biometrische Daten im Unternehmen – DSGVO-Anforderungen und Praxis

Inhalt in Kürze

• Biometrische Daten gehören zu den sensibelsten Daten nach DSGVO. Ihre Verarbeitung ist grundsätzlich verboten – mit wenigen Ausnahmen.
• Fingerabdruck-Zeiterfassung ist nur mit echter Freiwilligkeit zulässig. Das BAG hat die Hürden 2023 deutlich erhöht.
• Eine Datenschutz-Folgenabschätzung ist Pflicht, bevor Sie biometrische Systeme einsetzen.
• Weniger ist mehr: Prüfen Sie immer zuerst, ob ein weniger invasives Verfahren den gleichen Zweck erfüllt.

Der Fingerabdruckscanner am Eingang, die Gesichtserkennung am Laptop, die Stimmanalyse im Callcenter – biometrische Verfahren sind technisch faszinierend und praktisch. Aber aus Datenschutzsicht sind sie ein Minenfeld.

Biometrische Daten lassen sich nicht ändern. Wenn jemand Ihr Passwort stiehlt, vergeben Sie ein neues. Wenn jemand Ihren Fingerabdruck kopiert, haben Sie ein permanentes Problem. Genau deshalb stuft die DSGVO biometrische Daten als besondere Kategorie ein – mit strengen Verarbeitungsregeln.

Dieser Artikel erklärt, was die DSGVO von Ihnen verlangt, welche Fallstricke es gibt und wie Sie biometrische Daten rechtssicher einsetzen.

Was die DSGVO unter biometrischen Daten versteht

Art. 4 Nr. 14 DSGVO definiert biometrische Daten als personenbezogene Daten, die durch spezielle technische Verfahren zur eindeutigen Identifizierung einer Person gewonnen werden. Dazu gehören:

• Fingerabdrücke
• Gesichtsgeometrie (Gesichtserkennung)
• Iris- und Netzhautmuster
• Stimmprofile
• Venenmuster
• Tippverhalten und Ganganalyse

Entscheidend ist der Zweck: Werden biometrische Daten zur Identifizierung eingesetzt, fallen sie unter Art. 9 DSGVO – die besonders geschützten Datenkategorien. Die Verarbeitung ist dann grundsätzlich verboten, mit eng begrenzten Ausnahmen.

Wann dürfen Sie biometrische Daten verarbeiten?

Die Ausnahmen nach Art. 9 Abs. 2 DSGVO sind begrenzt. Für Unternehmen relevant sind vor allem:

Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a): Der Betroffene muss freiwillig, informiert und unmissverständlich zustimmen. Im Arbeitsverhältnis ist echte Freiwilligkeit besonders schwer nachzuweisen, weil ein Abhängigkeitsverhältnis besteht.

Arbeitsrechtliche Erforderlichkeit (Art. 9 Abs. 2 lit. b): Greift nur, wenn die Verarbeitung zur Ausübung von Rechten aus dem Arbeitsrecht zwingend erforderlich ist. Für eine Zeiterfassung per Fingerabdruck reicht das in der Regel nicht – es gibt mildere Mittel.

Erhebliches öffentliches Interesse (Art. 9 Abs. 2 lit. g): Relevant für Sicherheitsbereiche, Grenzkontrolle oder Strafverfolgung. Für die meisten KMU nicht einschlägig.

Häufige Einsatzszenarien in Unternehmen

Wo begegnen biometrische Daten im KMU-Alltag? Häufiger als gedacht:

Zeiterfassung per Fingerabdruck: Verbreitet, aber rechtlich heikel. Sie brauchen eine freiwillige Einwilligung, eine DSFA und eine gleichwertige Alternative für Mitarbeiter, die nicht zustimmen möchten.

Zutrittskontrolle per Gesichtserkennung: In Hochsicherheitsbereichen denkbar, für normale Büros unverhältnismäßig. Eine Chipkarte erfüllt den gleichen Zweck mit weniger Eingriff in Persönlichkeitsrechte.

Laptop-Entsperrung per Fingerabdruck oder Face ID: Hier bleiben die Daten auf dem Gerät des Mitarbeiters. Solange keine zentrale Speicherung erfolgt, ist das datenschutzrechtlich deutlich weniger problematisch.

Stimmbiometrie im Kundenservice: Vereinzelt zur Authentifizierung von Anrufern eingesetzt. Erfordert explizite Einwilligung der Kunden und eine Alternative.

So setzen Sie biometrische Daten rechtssicher ein

Wenn biometrische Daten tatsächlich erforderlich sind, müssen Sie diese Schritte einhalten:

1. Erforderlichkeit prüfen: Gibt es ein milderes Mittel? Chipkarte statt Fingerabdruck, PIN statt Gesichtserkennung? Wenn ja, wählen Sie das mildere Mittel.
2. Datenschutz-Folgenabschätzung durchführen: Dokumentieren Sie Zweck, Risiken und Maßnahmen. Die DSFA ist bei biometrischen Daten nach Art. 35 DSGVO Pflicht.
3. Rechtsgrundlage sichern: Holen Sie eine ausdrückliche, freiwillige Einwilligung ein. Im Arbeitsumfeld: immer eine Alternative anbieten.
4. Technische Schutzmaßnahmen: Nur Templates speichern, nie Rohdaten. Verschlüsselung, Zugriffsbeschränkung, automatische Löschung nach Zweckerfüllung.
5. Transparenz herstellen: Informieren Sie Betroffene gemäß Art. 13/14 DSGVO vollständig über die Verarbeitung. Dokumentieren Sie alles im Verarbeitungsverzeichnis.

Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.

Nils OehmichenDatenschutzberater bei frag.hugo

Technische Anforderungen an die Speicherung

Biometrische Daten erfordern besondere technische Schutzmaßnahmen:

Prüfen Sie Ihren technischen Datenschutz mit unserem kostenlosen Website-Check – zumindest für Ihre Online-Präsenz bekommen Sie sofort Ergebnisse.

Biometrische Daten im Unternehmen? Lassen Sie sich beraten.

Sie planen den Einsatz biometrischer Systeme oder haben bereits welche im Einsatz? Wir prüfen die DSGVO-Konformität und begleiten Sie bei der Datenschutz-Folgenabschätzung.

Häufige Fragen (FAQ)

Was sind biometrische Daten nach DSGVO?

Biometrische Daten sind laut Art. 4 Nr. 14 DSGVO personenbezogene Daten, die durch spezielle technische Verfahren gewonnen werden und die eindeutige Identifizierung einer Person ermöglichen. Dazu gehören Fingerabdrücke, Gesichtsgeometrie, Iris-Muster und Stimmprofile.

Darf ich Fingerabdrücke zur Zeiterfassung nutzen?

Nur mit ausdrücklicher, freiwilliger Einwilligung der Mitarbeiter nach Art. 9 Abs. 2 lit. a DSGVO. Das BAG hat 2023 entschieden, dass eine betriebliche Anordnung ohne echte Freiwilligkeit nicht ausreicht. Es muss immer eine gleichwertige Alternative geben.

Welche Rechtsgrundlage gilt für biometrische Daten?

Biometrische Daten zur Identifizierung sind besondere Kategorien nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich verboten – mit eng definierten Ausnahmen wie ausdrücklicher Einwilligung, Arbeitsrecht oder erheblichem öffentlichen Interesse.

Welche Datenschutz-Folgenabschätzung ist bei biometrischen Daten nötig?

Bei biometrischen Daten zur Identifizierung ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht. Sie müssen Risiken bewerten, Maßnahmen dokumentieren und prüfen, ob die Verarbeitung verhältnismäßig ist.

Wie müssen biometrische Daten gespeichert werden?

Biometrische Daten müssen verschlüsselt gespeichert, streng zugangsbeschränkt und nach Zweckerfüllung unverzüglich gelöscht werden. Die Speicherung der Rohdaten (z.B. Fingerabdruckbilder) sollte vermieden werden – stattdessen nur mathematische Templates speichern.