Arbeitszeiterfassung durch Fingerabdruck? – Arbeitnehmerdatenschutz bei biometrischen Merkmalen

Einführung

Das Thema Arbeitszeiterfassung ist seit einiger Zeit ein „Hot Spot“ der arbeitsrechtlichen Diskussion in Deutschland – ausgelöst durch ein Urteil des Europäischen Gerichtshofs (hiernach „EuGH“) aus dem Jahr 2019, in dem eine allgemeine Pflicht für Arbeitgeber zur umfassenden Arbeitszeiterfassung ihrer Arbeitnehmer festgestellt wurde. Die Arbeitgeber rätseln derzeit, wie ein solches System beschaffen sein muss, damit es diesen Vorgaben genügt – zumal das deutsche Arbeitszeitgesetz (hiernach „ArbZG“) bislang noch nicht an die europarechtlichen Vorgaben angepasst worden ist und daher keine Hilfe bietet.

Ein neueres Urteil des Landesarbeitsgerichts (hiernach „LAG“) Berlin-Brandenburg (Urt. v. 04.06.2020 – 10 Sa 2130/19) zeigt, welche datenschutzrechtlichen Fallstricke für Arbeitgeber bei der Einführung von Systemen der Arbeitszeiterfassung lauern, wenn dabei biometrische Daten der Arbeitnehmer erhoben werden sollen.

Ausgangspunkt: Das Urteil des EuGH vom 14.05.2019

Der EuGH hat in einem aufsehenerregenden Urteil am 14.05.2019 entschieden, dass Arbeitgeber nach der EU-Arbeitszeitrichtlinie (2003/88/EG) verpflichtet sind, ein „objektives, verlässliches und zugängliches“ System zur Erfassung und Aufzeichnung der Arbeitszeit und Pausen aller Arbeitnehmer zu installieren (Az.: C-55/18). Dies folge aus dem Grundrecht „auf eine Begrenzung der Höchstarbeitszeit, auf tägliche und wöchentliche Ruhezeiten sowie auf bezahlten Jahresurlaub“ gemäß Art. 31 Abs. 2 der EU-Grundrechte-Charta. Nur mit einem solchen System könne kontrolliert und durchgesetzt werden, dass die Arbeitszeitregeln eingehalten und der dadurch bezweckte Gesundheitsschutz der Arbeitnehmer sichergestellt sei.

Eine derartig umfassende Pflicht zur Arbeitszeiterfassung ist bislang im deutschen ArbZG so nicht vorgesehen. Ein entsprechender Gesetzesentwurf zur Anpassung des ArbZG an die europarechtlichen Vorgaben ist seitens des Bundesarbeitsministeriums zwar angekündigt, bislang – Stand Anfang Oktober 2020 – aber noch nicht veröffentlicht worden.

Die hierdurch geschaffene Unsicherheit für Arbeitgeber wird noch einmal dadurch verschärft, dass einzelne Arbeitsgerichte (z.B. ArbG Emden, Urt. v. 20.02.2020 – 2 Ca 94/19) davon ausgehen, dass die deutschen Arbeitgeber auch ohne Anpassung des ArbZG verpflichtet sind, die Vorgaben des EuGH zur Arbeitszeiterfassung umzusetzen, denn diese Vorgaben seien vom EuGH unmittelbar aus dem Grundrecht nach Art. 31 Abs. 2 der EU-Grundrechte-Charta abgeleitet worden. Die Pflicht zur Einrichtung eines „objektiven, verlässlichen und zugänglichen“ Systems zur Arbeitszeiterfassung habe gegenüber den Arbeitnehmern den Charakter einer Nebenpflicht gemäß § 241 Abs. 2 BGB.

Wie sollen deutsche Arbeitgeber vor diesem Hintergrund sicherstellen, dass sie in ihren Betrieben ein System etabliert haben, das diesen Vorgaben entspricht? Was genau bedeutet dabei „objektiv, verlässlich und zugänglich“? Mangels entsprechender Konkretisierungen durch den Gesetzgeber und die Gerichte tappen die meisten Arbeitgeber hier noch im Dunkeln.

Arbeitszeiterfassung per Fingerabdruck?

Wie es jedenfalls nicht geht, zeigt der Fall, der kürzlich vom LAG Berlin-Brandenburg (Urt. v. 04.06.2020 – 10 Sa 2130/19) zu entscheiden war:

Der Arbeitgeber hatte ein neues elektronisches Zeiterfassungssystem eingeführt, bei dem die Mitarbeiter sich per elektronisch registriertem Fingerabdruck im Betrieb an- bzw. abmelden sollten. Ein Mitarbeiter verweigerte die Nutzung dieses Systems und trug seine Arbeitszeiten weiterhin per Hand in einen Dienstplan ein. Gegen die daraufhin vom Arbeitgeber ausgesprochene Abmahnung erhob er Klage vor den Arbeitsgerichten.

Sowohl das Arbeitsgericht Berlin in erster Instanz als auch das mit der Berufung befasste LAG Berlin-Brandenburg urteilten, dass die Abmahnung rechtswidrig war, und gaben dem Arbeitnehmer damit recht. Auch wenn – wie im vorliegenden Fall – der Fingerabdruck nicht „als Ganzes“ verarbeitet werde, sondern nur die sog. „Minutien“ (d.h. die Endpunkte und Verzweigungen der Hautrillen auf der Oberhaut des menschlichen Fingers), so handele es sich dennoch um biometrische Daten i.S.d. Art. 4 Nr. 14 der EU-Datenschutzgrundverordnung (hiernach „DSGVO“), deren Erfassung und Verarbeitung grundsätzlich verboten ist, Art. 9 Abs. 1 DSGVO. Aus den konkretisierenden Vorgaben des § 26 Bundesdatenschutzgesetz folge nichts Anderes, so die Richter.

Eine Verarbeitung von biometrischen Daten kann zwar ausnahmsweise trotzdem zulässig sein, wenn eine der in Art. 9 Abs. 2 DSGVO beschriebenen Situationen gegeben ist. Die hier allein in Betracht kommende Ausnahme des Art. 9 Abs. 2 b) DSGVO sah das Gericht aber nicht als gegeben an, weil die Erfassung der Arbeitszeit durch ein System mittels Fingerabdruck nicht „erforderlich“ gewesen sei, um den aus dem Arbeitsverhältnis folgenden Pflichten nachzukommen. Das generelle Interesse des Arbeitgebers an der Vermeidung von Manipulationen bei der Zeiterfassung könne einen derart erheblichen Grundrechtseingriff beim Arbeitnehmer nicht rechtfertigen.

Datenschutzrechtlich zulässig, so das Gericht, dürften demgegenüber zumindest im Grundsatz Verfahren zur Zeiterfassung sein, bei denen keine biometrischen Daten verarbeitet werden, so z.B. bei der Erfassung durch Transponder oder Chipkarte.

Praxistipp

Arbeitgeber sollten nicht auf die Änderung des ArbZG warten, sondern bereits jetzt ein geeignetes System zur Arbeitszeiterfassung ihrer Arbeitnehmer installieren, auch wenn noch nicht ganz klar ist, was genau die Vorgaben des EuGH („objektiv, verlässlich und zugänglich“) bedeuten. Es empfiehlt sich gerade bei größeren Unternehmen eine Arbeitszeiterfassung qua Transponder oder Chipkarte, wie sie bereits in zahlreichen Firmen etabliert und üblich ist; derartige Systeme dürften normalerweise geeignet sein, die Vorgaben des EuGH zu erfüllen. Auch wenn hierbei keine biometrischen Daten verarbeitet werden, so sollte aber trotzdem stets geprüft werden, ob dabei die (sonstigen) datenschutzrechtlichen Vorgaben eingehalten werden, namentlich die Art. 5 und 6 DSGVO.

Bei der Erfassung und Verarbeitung biometrischer Daten sollten Arbeitgeber demgegenüber höchst vorsichtig sein. Die Erfassung solcher Daten ist hochsensibel und dürfte im arbeitsrechtlichen Kontext der Zeiterfassung in aller Regel unzulässig sein. Auch der Weg über eine Einwilligung der Arbeitnehmer nach Art. 9 Abs. 2 a) DSGVO ist nicht unproblematisch, weil nicht alle Arbeitnehmer dazu bereit sein werden, und weil zudem hohe Anforderungen an die Wirksamkeit einer solchen Einwilligung gestellt werden. Eine Lösung kann aber u.U. die Einführung durch Betriebsvereinbarung sein, wenn der Betriebsrat dazu bereit ist.

Bei Verstößen gegen die genannten Datenschutzbestimmungen der Art. 5,6 und 9 DSGVO drohen nicht nur arbeitsrechtliche Streitigkeiten und Konsequenzen, sondern u.U. auch erhebliche Bußgelder. Art. 83 Abs. 5 a) DSGVO sieht hierfür Geldbußen von bis zu 20 Mio. EUR oder – im Fall eines Unternehmens – von bis zu 4% seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor.

Ich berate Sie gerne zu allen arbeits- und datenschutzrechtlichen Aspekten von Zeiterfassungssystemen, sei es aus Arbeitgeber- oder aus Arbeitnehmersicht. Bitte zögern Sie nicht, mich zu kontaktieren.