Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden‑Württemberg (LfDI) legt jährlich einen Tätigkeitsbericht vor, in dem er seine Aufsichts‑, Beratungs‑ und Kontrollpraxis dokumentiert. Der 41. Datenschutz-Tätigkeitsbericht für das Jahr 2025 steht unter dem Leitmotiv „Menschen schützen – Technik gestalten“ und greift zahlreiche Einzelfälle aus Verwaltung, Wirtschaft und Arbeitswelt auf.
Auch Fragestellungen des Beschäftigtendatenschutzes nehmen dabei breiten Raum ein. In diesem Zusammenhang befasst sich der Bericht im Kapitel 5 („Einzelfälle aus den Abteilungen“) im Abschnitt 5.5.4 mit der Frage, ob Arbeitgeber Beschäftigte zur Zeiterfassung per Fingerabdruck verpflichten dürfen. Die Ausführungen beruhen auf einem konkreten Prüf- bzw. Beschwerdefall und verdeutlichen die datenschutzrechtliche Linie der Aufsichtsbehörde im Umgang mit biometrischen Verfahren zur Arbeitszeiterfassung.
Effiziente Zeiterfassung vs. Schutz der Beschäftigten
Ausgangspunkt der Befassung des LfDI Baden‑Württemberg war ein praxisnaher Fall aus dem Handwerk. Eine Metzgerei hatte für ihre Beschäftigten ein neues Zeiterfassungssystem eingeführt, das auf der Erfassung von Fingerabdrücken beruhte. Die Nutzung dieses Systems sollte verpflichtend für alle Mitarbeitenden sein. Eine andere Form der Arbeitszeiterfassung war hiergegen nicht vorgesehen. Begründet hatte die Metzgerei den Einsatz des Systems mit der Verpflichtung zur Arbeitszeiterfassung aus § 3 Abs. 2 Nr. 1 Arbeitsschutzgesetz sowie dem speziell für die Metzgerei als Teil der Fleischindustrie geltenden § 6 Abs. 1 GSA Fleisch. Auf Seiten der Beschäftigten bestanden jedoch Vorbehalte gegen die Abgabe biometrischer Daten.
Art. 57 Abs. 1 Buchst. a), f) DSGVO verpflichtete die Datenschutzbehörde über die Beschwerde zu entscheiden und das Spannungsfeld zwischen den Interessen des Arbeitgebers und den Interessen der Arbeitnehmer näher zu beleuchten.
Aus Sicht von Betrieben ermöglicht ein solches System nämlich eine verlässliche und einfache Erfassung der Arbeitszeiten. Insbesondere kann ausgeschlossen werden, dass Arbeitszeiten für Kolleginnen oder Kollegen „mitgebucht“ werden. Demgegenüber greifen biometrischer Verfahren in den Bereich der besonders sensiblen personenbezogenen Daten ein.
Bewertung des LfDI Baden-Württemberg
Die LfDI Baden‑Württemberg nahm den Fall der Metzgerei daher zum Anlass, grundlegende Maßstäbe für den Einsatz biometrischer Verfahren im Beschäftigtenverhältnis herauszuarbeiten. Dabei stellt die Behörde nicht die Zulässigkeit von Arbeitszeiterfassung an sich infrage, sondern richtet den Blick gezielt auf das gewählte Mittel.
In diesem Zusammenhang arbeitet der Landesbeauftragte einleitend heraus, dass weder das europäische noch das nationale Arbeitsrecht, Arbeitgeber dazu verpflichtet, Arbeitszeiten elektronisch zu erfassen. Auch die Rechtsprechung des Bundesarbeitsgerichts, die eine Pflicht zur Arbeitszeiterfassung annimmt, schreibt weder ein bestimmtes technisches System noch den Einsatz biometrischer Verfahren vor.
Vor diesem Hintergrund richtet sich die datenschutzrechtliche Prüfung nicht auf das „Ob“ der Zeiterfassung, sondern auf das „Wie“.
Zentral ist dabei die rechtliche Einordnung der verarbeiteten Daten. Der LfDI Baden-Württemberg legt insoweit Art. 9 Abs. 1 DSGVO zugrunde. Fingerabdrücke zählen als biometrische Daten, die zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden zu den besonderen Kategorien personenbezogener Daten, deren Verarbeitung grundsätzlich verboten ist. Eine Zulässigkeit der Verarbeitung kommt nur in Betracht, wenn einer der eng begrenzten Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO greift.
Diese Voraussetzungen sieht die Datenschutzaufsicht im geschilderten Fall nicht als erfüllt an.
Keine Freiwilligkeit ohne gleichwertige Alternativen
Insbesondere scheidet nach Einschätzung des LfDI Baden-Württemberg eine Einwilligung der Beschäftigten aus. Aus dem Bericht wird deutlich, dass im Arbeitsverhältnis regelmäßig kein gleichgewichtiges Verhältnis zwischen Arbeitgeber und Beschäftigten besteht. Wird ein Zeiterfassungssystem verbindlich vorgegeben und existiert keine gleichwertige Alternative, fehlt es an der für eine wirksame Einwilligung erforderlichen Freiwilligkeit.
Keine Erforderlichkeit für Zeiterfassung
Auch eine Rechtfertigung über den Beschäftigtendatenschutz überzeugt die Behörde nicht. Zwar erkennt der LfDI das berechtigte Interesse des Arbeitgebers an einer korrekten und verlässlichen Arbeitszeiterfassung ausdrücklich an. Dieses Interesse reicht jedoch nicht aus, um den Einsatz biometrischer Daten zu rechtfertigen. Maßgeblich ist insoweit der Grundsatz der Verhältnismäßigkeit. Die Verarbeitung besonders sensibler Daten nach Art. 9 DSGVO setzt voraus, dass sie erforderlich ist. Daran fehlt es, wenn der gleiche Zweck auch mit anderen, weniger eingriffsintensiven Mitteln erreicht werden kann.
Datenschutzkonforme Alternativen zur Fingerabdruck‑Zeiterfassung
Der Tätigkeitsbericht hebt hervor, dass Zeiterfassungssysteme ohne biometrische Merkmale – etwa mittels Chip, PIN oder anderer identitätsbezogener Verfahren – grundsätzlich geeignet sind, Arbeitszeiten zuverlässig zu erfassen. Der Fingerabdruck stellt damit kein notwendiges Mittel dar, sondern lediglich eine technisch mögliche Lösung. Die alternativlose Einführung eines solchen Systems überschreitet nach Auffassung der Aufsichtsbehörde die datenschutzrechtlich zulässige Grenze.
In der Gesamtabwägung kommt der LfDI somit zu dem Ergebnis, dass eine verpflichtende Zeiterfassung per Fingerabdruck mit den Vorgaben der Datenschutz‑Grundverordnung nicht vereinbar ist, solange gleich geeignete und datenschutzschonendere Alternativen zur Verfügung stehen.
Fazit
Die verpflichtende Zeiterfassung per Fingerabdruck mag technisch elegant erscheinen, datenschutzrechtlich ist sie jedoch regelmäßig unzulässig. Aus dem Tätigkeitsbericht des LfDI Baden‑Württemberg lassen sich klare Maßstab ableiten.
Biometrische Daten sind kein „Convenience‑Werkzeug“. Beschäftigtendatenschutz verlangt besondere Zurückhaltung und datenschutzkonforme Alternativen sind vorhanden und praxistauglich
Unternehmen sind daher gut beraten, bei der Einführung oder Überprüfung von Zeiterfassungssystemen nicht nur auf Effizienz, sondern vor allem auf Rechtmäßigkeit, Verhältnismäßigkeit und Akzeptanz zu achten.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
