Biometrische Zeiterfassung in Österreich – wann ist sie zulässig?

Biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person zählen nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich verboten und auch in Österreich nur zulässig, wenn einer der eng gefassten Ausnahmetatbestände greift. Diese strenge Systematik unterscheidet die biometrische Stempelung deutlich von der gewöhnlichen Buchung von Kommen und Gehen.

Als Ausnahme kommt im Beschäftigungskontext insbesondere die ausdrückliche Einwilligung in Betracht. Im Arbeitsverhältnis ist deren Freiwilligkeit jedoch kritisch zu prüfen, weil ein Abhängigkeitsverhältnis besteht. Eine Einwilligung ist nur dann tragfähig, wenn die Beschäftigten ohne Nachteil ablehnen können – etwa wenn eine gleichwertige, nicht biometrische Erfassungsalternative angeboten wird.

Zentral ist daher die Erforderlichkeit. Lässt sich der Zweck – die zuverlässige Identifikation bei der Zeitbuchung – mit milderen Mitteln wie Personalnummer, Chipkarte oder Transponder ebenso erreichen, ist der biometrische Eingriff regelmäßig nicht verhältnismäßig. Die bloße Bequemlichkeit oder ein geringfügiger Komfortgewinn rechtfertigt die Verarbeitung sensibler Daten nicht.

Besteht ein Betriebsrat, ist die Einführung biometrischer Systeme typischerweise nach § 96 Arbeitsverfassungsgesetz (ArbVG) zustimmungspflichtig, da solche Kontrollmaßnahmen die Menschenwürde berühren können. Eine Betriebsvereinbarung sollte Zweck, Umfang, Speicherung und Schutzmaßnahmen festlegen. In Betrieben ohne Betriebsrat tritt die individuelle, freiwillige Zustimmung an deren Stelle.

Vor der Einführung ist regelmäßig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen, da die Verarbeitung sensibler Daten ein hohes Risiko für die Betroffenen begründen kann. Darin werden Risiken bewertet und Abhilfemaßnahmen festgelegt. Ohne diese Prüfung lässt sich die Rechtmäßigkeit eines biometrischen Systems kaum belastbar begründen.

Technisch ist auf datensparsame Verfahren zu achten. Vorzugswürdig sind Lösungen, die statt des Rohbildes nur ein nicht rückrechenbares mathematisches Template speichern, dieses verschlüsseln und idealerweise lokal auf einer Karte im Besitz der Person ablegen. So bleibt die Kontrolle über das biometrische Merkmal weitgehend beim Beschäftigten.

Praktisch relevant ist die biometrische Stempelung etwa in Bereichen mit hohem Identifikationsbedarf oder Missbrauchsrisiko. Doch selbst dort ist stets zu prüfen, ob nicht ein kombiniertes Verfahren ohne Biometrie genügt. Ein freiwilliges, alternatives Buchungsverfahren parallel anzubieten, erhöht die Rechtssicherheit erheblich.

Werden die Anforderungen missachtet, drohen Anordnungen der österreichischen Datenschutzbehörde und Geldbußen, die bei sensiblen Daten besonders hoch ausfallen können. Wer eine biometrische Arbeitszeitdokumentation erwägt, sollte daher Erforderlichkeit, Mitbestimmung, Folgenabschätzung und technische Schutzmaßnahmen sorgfältig dokumentieren – oder auf die rechtlich unkomplizierteren Alternativen setzen.

Auch die Transparenz spielt eine zentrale Rolle. Die Beschäftigten sind nach Art. 13 DSGVO darüber zu informieren, welche biometrischen Daten verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht, wie lange die Speicherung erfolgt und welche Rechte ihnen zustehen. Eine heimliche oder unzureichend erläuterte biometrische Erfassung ist unzulässig und untergräbt zugleich das Vertrauen der Belegschaft.

Die Speicherbegrenzung verlangt, biometrische Daten nur so lange aufzubewahren, wie es der konkrete Zweck erfordert, und sie anschließend zu löschen. Verlässt eine Person das Unternehmen, sind die zugehörigen Templates zeitnah zu entfernen. Insgesamt zeigt sich: Biometrie ist rechtlich möglich, aber an so viele Bedingungen geknüpft, dass eine sorgfältige Einzelfallprüfung unverzichtbar bleibt.

Wer dennoch auf biometrische Verfahren setzt, sollte die gesamte Entscheidungskette belegbar dokumentieren: die Prüfung milderer Alternativen, die Interessenabwägung, die Ergebnisse der Folgenabschätzung sowie die getroffenen technischen und organisatorischen Schutzmaßnahmen. Diese Nachweise sind Teil der Rechenschaftspflicht nach der DSGVO und entscheiden im Ernstfall darüber, ob sich die Rechtmäßigkeit der Verarbeitung gegenüber der Datenschutzbehörde überzeugend begründen lässt. Eine bloße Behauptung der Erforderlichkeit genügt nicht.