Zeiterfassung mit Hilfe eines Fingerabdrucks - erstes Gerichtsurteil liegt vor
Die systematische Zeiterfassung hält in Tierkliniken und Tierarztpraxen nicht erst durch die verstärkte Durchsetzung des Arbeitsschutzes im Hinblick auf die Einhaltung der Arbeitszeiten Einzug. Und die anstehende Umsetzung der Forderung des Europäischen Gerichtshofs zur Dokumentation der Arbeitszeiten ist ein weiterer Anlass für Tierkliniken und Tierarztpraxen, eine digitalisierte Lösung für die Arbeitszeiterfassung zu finden. Oft wird in diesem Zusammenhang der Einfachheit wegen eine Zeiterfassung mittels Fingerprint bevorzugt. Aber gilt diese Einfachheit auch unter datenschutzrechtlichen Aspekten?
Hierzu hat die 29. Kammer des Arbeitsgerichts Berlin nun aktuell das erste Urteil unter der neuen Datenschutzregelung durch die Datenschutz-Grundverordnung (DSGVO) bzw. des neuen Bundesdatenschutzgesetzes (BDSG) gesprochen.
Der Leitsatz ist eindeutig
Das Urteil war so zu erwarten. Man könnte sogar sagen, dass dies ein Minimalkompromiss im Sinne der Unternehmen darstellt, weil Vertreter von Datenschutzaufsichtsbehörden in Diskussionen auch schon die Ansicht vertraten, dass eine Zeiterfassung mittels Fingerprint nicht nur „nicht erforderlich“ ist, sondern „immer unverhältnismäßig“. Die reine Zeiterfassung ist derart unwichtig, dass hierfür die Verwendung biometrischer Daten niemals zu rechtfertigen sei. Anders sähe das aus, wenn die Verwendung des Fingerabdrucks (auch) zur Zutrittssicherung sensibler Räume genutzt werden würde.
Ein aus meiner Sicht weiterer wichtiger Aspekt des Urteils ist, dass die Minutien, also die individuellen, nicht vererbbaren Fingerlinienverzweigungen, die letztlich von Betroffenen gespeichert werden (und nicht der gesamte Fingerabdruck) als biometrische Daten definiert werden, obwohl daraus der tatsächliche Fingerabdruck nicht rekonstruiert werden kann. Allzu oft erlebt man, dass die Gerätehersteller dies in ihren Verkaufsprospekten anders darstellen.
Welche Konsequenzen hat das Urteil nun?
Unternehmen, die Fingerprint zur Zeiterfassung arbeiten, haben hierfür die Einwilligung der Betroffenen einzuholen.
Da es sich um die Verarbeitung biometrischer Daten handelt, muss die Einwilligung „ausdrücklich“ sein. Dies bedeutet, dass sie schriftlich einzuholen ist und selbstverständlich den formalen Anforderungen an eine datenschutzrechtliche Einwilligung entsprechen muss.
Wird diese Einwilligung nicht erteilt, ist eine Alternative zur Zeiterfassung zur Verfügung zu stellen. Dies kann ein Chip sein oder eine alternative Form der Zeiterfassung.
Die Alternativen müssen selbstverständlich nur denjenigen Personen zur Verfügung gestellt werden, die nicht eingewilligt haben.
Fazit
Tierkliniken und Tierarztpraxen, die Fingerprint zur Zeiterfassung einsetzen, müssen hier nun einige Umstellungen vornehmen. Das Fallbeispiel zeigt, dass es Sinn macht, zukünftig VOR einer Datenverarbeitung deren Rechtmäßigkeit zu prüfen. Diese Vorgehensweise wird sich durch die DSGVO im Zeitablauf etablieren. Sonst kann es zukünftig auch mal unnötig Geld kosten und zwar nach dem „großen Bußgeldkatalog, denn eine Datenverarbeitung ohne gültige Rechtsgrundlage (hier fehlende Einwilligung) wird nach Art. 83 Nr. 5 Buchstabe a) sanktioniert.
