Verarbeitung biometrischer Daten erklärt
Kürzlich verhängte die niederländische Datenschutzbehörde (AP) eine hohe Geldstrafe von 725,000 Euro gegen ein Unternehmen, das zur Anwesenheits- und Zeiterfassung die Fingerabdrücke von Mitarbeitern scannte. Biometrische Daten wie Fingerabdrücke sind besondere personenbezogene Daten im Sinne von Artikel 9 DSGVO. Dabei handelt es sich um einzigartige Merkmale, die auf eine bestimmte Person zurückgeführt werden können. Diese Daten enthalten jedoch oft mehr Informationen, als beispielsweise für eine Identifizierung erforderlich sind.
Ihre Verarbeitung birgt daher große Risiken im Bereich der Grundrechte und Freiheiten der Menschen. Wenn diese Daten in die falschen Hände geraten, könnte dies möglicherweise zu irreparablen Schäden führen. Biometrische Daten sind daher gut geschützt, und ihre Verarbeitung ist nach Artikel 9 DSGVO verboten, sofern keine gesetzliche Ausnahme dafür besteht. In diesem Fall kam die AP zu dem Schluss, dass das betreffende Unternehmen keinen Anspruch auf eine Ausnahme zur Verarbeitung besonderer personenbezogener Daten.
Fingerabdruck
Über den Fingerabdruck im Rahmen der DSGVO und eine der Ausnahmen, nämlich Notwendigkeit, haben wir zuvor in einem unserer Blogs geschrieben: „Fingerabdruck in Verletzung der DSGVO“. Dieser Blog konzentriert sich auf den anderen alternativen Ausnahmegrund: Erlaubnis. Wenn ein Arbeitgeber biometrische Daten wie Fingerabdrücke in seinem Unternehmen verwendet, kann er im Hinblick auf die Privatsphäre mit der Erlaubnis seines Arbeitnehmers ausreichen?
Mit Erlaubnis ist gemeint spezifisch, informiert und eindeutig Willensäußerung mit der jemand gemäß Artikel 4, Absatz 11 DSGVO durch eine Erklärung oder eindeutige aktive Handlung in die Verarbeitung seiner personenbezogenen Daten einwilligt. Im Rahmen dieser Ausnahme muss der Arbeitgeber daher nicht nur nachweisen, dass seine Mitarbeiter ihre Einwilligung erteilt haben, sondern auch, dass diese eindeutig, konkret und informiert erfolgte.
Die Unterzeichnung des Arbeitsvertrags oder der Erhalt des Personalhandbuchs, in dem der Arbeitgeber lediglich die Absicht festgehalten hat, sich vollständig mit dem Fingerabdruck einzustempeln, sei in diesem Zusammenhang unzureichend, schloss die AP. Als Nachweis müsse der Arbeitgeber beispielsweise Richtlinien, Verfahren oder andere Unterlagen vorlegen, aus denen hervorgeht, dass seine Mitarbeiter ausreichend über die Verarbeitung der biometrischen Daten informiert sind und auch (ausdrücklich) ihre Zustimmung zur Verarbeitung gegeben haben.
Wird die Erlaubnis vom Arbeitnehmer erteilt, darf sie darüber hinaus nicht nur „explizit' aber auch 'frei gegeben', so die AP. 'Explizit' ist beispielsweise eine schriftliche Erlaubnis, eine Unterschrift, das Senden einer E-Mail zur Erteilung der Erlaubnis oder eine Erlaubnis mit zweistufiger Verifizierung. 'Freiwillig gegeben' bedeutet, dass kein Zwang dahinter stecken darf (wie im betreffenden Fall: Als die Verweigerung des Scannens des Fingerabdrucks erfolgte, folgte ein Gespräch mit dem Direktor/Vorstand) oder dass die Erlaubnis eine Bedingung für etwas anderes sein kann.
Die Voraussetzung „freiwillig gegeben“ wird vom Arbeitgeber jedenfalls dann nicht erfüllt, wenn Arbeitnehmer verpflichtet sind oder, wie im vorliegenden Fall, es als Verpflichtung empfinden, ihre Fingerabdrücke erfassen zu lassen. Generell war die AP unter dieser Voraussetzung der Ansicht, dass es angesichts der Abhängigkeit, die sich aus dem Verhältnis zwischen Arbeitgeber und Arbeitnehmer ergibt, unwahrscheinlich ist, dass der Arbeitnehmer seine Einwilligung freiwillig erteilen kann. Das Gegenteil muss der Arbeitgeber beweisen.
Fordert ein Arbeitnehmer von seinen Mitarbeitern die Erlaubnis zur Verarbeitung seines Fingerabdrucks an? Dann erfährt die AP im Rahmen dieses Falles, dass dies grundsätzlich nicht zulässig ist. Schließlich sind Arbeitnehmer von ihrem Arbeitgeber abhängig und daher oft nicht in der Lage, dies zu verweigern. Dies bedeutet jedoch nicht, dass sich der Arbeitgeber niemals erfolgreich auf den Erlaubnisgrund berufen kann.
Der Arbeitgeber muss jedoch über ausreichende Beweise verfügen, damit sein Einspruch auf Grundlage der Einwilligung erfolgreich ist, um biometrische Daten seiner Mitarbeiter, wie z. B. Fingerabdrücke, verarbeiten zu dürfen. Beabsichtigen Sie, biometrische Daten in Ihrem Unternehmen zu verwenden, oder bittet Ihr Arbeitgeber Sie um Erlaubnis, beispielsweise Ihren Fingerabdruck zu verwenden? In diesem Fall ist es wichtig, nicht sofort zu handeln und die Erlaubnis zu erteilen, sondern sich zunächst ordnungsgemäß zu informieren. Recht & More Rechtsanwälte sind Experten auf dem Gebiet des Datenschutzes und können Ihnen Auskunft geben. Haben Sie weitere Fragen zu diesem Blog? Bitte kontaktieren Sie Law & More.