Das Arbeitsgericht („ArbG“) Berlin hat mit Urteil vom 16. Oktober 2019 (Az.: 29 Ca 5451/19) entschieden, dass die Arbeitszeiterfassung mittels Fingerabdruck nicht erforderlich ist im Sinne von § 26 Abs. 1 BDSG und damit ohne ausdrückliche Einwilligung der betroffenen Person nicht zulässig eingesetzt werden darf.
Der zugrunde liegende Fall
In dem betreffenden Unternehmen wurde ein neues Zeiterfassungssystem mit Fingerprint-Technologie eingeführt. Bis zur Einführung des neuen Zeiterfassungssystems trugen die Beschäftigten ihre geleisteten Arbeitszeiten handschriftlich auf einem ausgedruckten und ausliegenden Dienstplan ein. In aller Regel wiesen die eingetragenen Arbeitszeiten auch geleistete Mehrarbeitsstunden aus. Gelegentlich wurden abweichende Dienstzeiten mündlich nachgeliefert. Eine Kontrolle der eingetragenen Zeiten fand nicht statt.
Wenige Tage vor der Einführung informierte der Arbeitgeber die Beschäftigten über das neue Zeiterfassungssystem und dass fortan nur noch die Arbeitszeiten anerkannt würden, die mit dem neuen System erfasst worden sind. Ein Beschäftigter weigerte sich, das neue Zeiterfassungssystem zu benutzen und klagte dagegen (neben anderen Streitpunkten) vor dem ArbG Berlin.
Zeiterfassungssystem verarbeitet besondere Kategorien personenbezogener Daten
Das Gericht hat den Einsatz des neuen Zeiterfassungssystems datenschutzrechtlich für unzulässig erklärt. Bei der eingesetzten Zeiterfassung mittels Fingerprint-Technologie meldet sich der Mitarbeiter durch Abgleich seines Fingerabdrucks mit den im Zeiterfassungsterminal gespeicherten Daten im Zeiterfassungsprogramm an und ab. Aus diesem Fingerabdruck werden sogenannte Minutien (individuelle, nicht vererbbare Fingerlinienverzweigungen) mittels eines speziellen Algorithmus extrahiert. Der Minutiendatensatz wird dann im Zeiterfassungsterminal gespeichert und zum Abgleich des Fingerabdrucks des jeweiligen Mitarbeiters bei der An- und Abmeldung verwendet. Nicht gespeichert wird grundsätzlich der Fingerabdruck des Mitarbeiters. Aus dem gespeicherten Minutiendatensatz kann der Fingerabdruck nicht wieder generiert werden.
Das Gericht kam zu dem Ergebnis, dass es sich bei dem Minutiendatensatz um biometrische Daten im Sinne des Art. 9 Abs. 1 DSGVO und auch um besondere Kategorien personenbezogener Daten nach § 26 Abs. 3 BDSG handelt. Gemäß Art. 9 Abs. 1 DSGVO ist die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich untersagt. Ausnahmen hiervon ergeben sich aus Art. 9 Abs. 2 DSGVO, z.B. durch eine Einwilligung oder Kollektivvereinbarung.
Zeiterfassung mittels Fingerabdruck nicht für Zwecke des Beschäftigungsverhältnisses erforderlich
Da eine Einwilligung und Kollektivvereinbarung nicht vorlagen, musste das Gericht prüfen, ob die Verarbeitung der biometrischen Daten im Rahmen der Zwecke der Beschäftigungsverhältnisse erforderlich ist. Biometrische Daten von Beschäftigten dürfen nach § 26 Abs. 1 und 3 BDSG nur dann verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist. Es darf kein Grund zur Annahme bestehen, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt.
Das Interesse des Arbeitgebers an einer biometrischen Zugangskontrolle zu Bereichen mit sensiblen Geschäfts-, Produktions- und Entwicklungsgeheimnissen wird eher überwiegen als bei einer angestrebten Zugangssicherung zu normalen Bereichen. Zwar können biometrische Daten zur Kontrolle beim Eintritt in Sicherheitsbereiche verwendet werden, nicht jedoch im Rahmen der Arbeitszeiterfassung.
Das Argument des Arbeitgebers, dass das vorherige Zeiterfassungssystem per Hand zu Missbrauch durch Falscheintragungen oder „mitstempeln“ durch Kollegen führen kann, ist ebenfalls nicht schlüssig. Das Gericht vertritt die Auffassung, dass sich die überwiegende Mehrheit der Arbeitnehmer rechtstreu verhalte, also für eine solche Art von Kontrollen kein Anlass gegeben sei. Dies wäre ggf. nur der Fall, wenn konkrete Umstände im Einzelfall (Nachweise über Missbräuche in nicht unerheblichem Umfang) die Erforderlichkeit einer solchen Maßnahme begründen. Derartiges konnte der Arbeitgeber nicht vortragen. Folglich kam das Gericht zu der Feststellung, dass die Interessen des Arbeitgebers nicht das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Verarbeitung überwiegen.
Fazit
Spätestens nach dem Urteil des Europäischen Gerichtshofs vom 14. Mai 2019 (Rechtssache C-55/18), nach dem alle Arbeitgeber verpflichtet sind, die Arbeitszeit ihrer Beschäftigten systematisch zu erfassen, gewinnen digitale Zeiterfassungssysteme immer mehr an Bedeutung. Arbeitgeber sollten als verantwortliche Stelle vor der Einführung eines Zeiterfassungssystems prüfen, ob ein solches System erforderlich und für die Arbeitnehmer verpflichtend ist. Außerdem sollte geprüft werden, ob das Zeiterfassungssystem personenbezogene Daten verarbeitet und wie die Verarbeitung datenschutzkonform erfolgen kann.
Sprechen Sie uns an. Wir sind Ihnen gerne bei der Einführung eines digitalen Zeiterfassungssystems behilflich.