Biometrische Zeiterfassung: Ist der Fingerabdruck nach DSGVO erlaubt?

Ist Zeiterfassung per Fingerabdruck erlaubt?

Biometrische Zeiterfassung per Fingerabdruck ist nur in engen Grenzen erlaubt. Fingerabdrücke gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO), und das LAG Berlin-Brandenburg hat ein biometrisches Zeiterfassungssystem im entschiedenen Fall nicht als erforderlich angesehen (Urteil vom 04.06.2020, 10 Sa 2130/19). In der Praxis bleibt meist nur die freiwillige, ausdrückliche Einwilligung mit gleichwertiger Alternative (Art. 9 Abs. 2 lit. a DSGVO). Gibt es einen Betriebsrat, hat er ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Das ersetzt keine Rechtsberatung im Einzelfall.

Warum sind Fingerabdrücke bei der Zeiterfassung besonders geschützt?

Fingerabdrücke sind biometrische Daten zur eindeutigen Identifizierung und gehören damit zu den besonderen Kategorien personenbezogener Daten, deren Verarbeitung nach Art. 9 Abs. 1 DSGVO grundsätzlich verboten ist.

Seit dem Beschluss des Bundesarbeitsgerichts vom 13.09.2022 sind Arbeitgeber in Deutschland verpflichtet, die Arbeitszeit ihrer Mitarbeitenden systematisch zu erfassen. Viele Unternehmen setzen dafür auf smarte Lösungen. Biometrische Systeme, die etwa Fingerabdrücke verwenden, versprechen dabei hohe Genauigkeit und Sicherheit. Doch das Gesetz schreibt nur vor, dass erfasst wird – nicht, wie. Und genau hier beginnt das Problem.

Biometrische Daten wie der Fingerabdruck zählen zu den sensibelsten personenbezogenen Daten. Ihre Erfassung und Verarbeitung unterliegen strengen Datenschutzbestimmungen. In diesem Beitrag beleuchten wir die rechtlichen Rahmenbedingungen und erklären, warum der Fingerabdruck in der Regel nicht ohne Einwilligung geht.

Die Vorteile der biometrischen Zeiterfassung

Biometrische Zeiterfassungssysteme bringen zahlreiche Vorteile mit sich:

• Hohe Genauigkeit: Fehleranfällige manuelle Eingaben oder das „Kollegen-Stempeln“ entfallen.
• Authentizität: Nur die berechtigte Person kann sich ein- und ausstempeln.
• Komfort: Kein Mitführen von Karten, Chips oder Tokens nötig.
• Effizienz: Der gesamte Prozess der Zeiterfassung wird beschleunigt.

Trotz dieser Vorteile ist entscheidend: Biometrie ist nicht nur ein Tool, sondern ein tiefgreifender Eingriff in die Persönlichkeitsrechte. Ein Fingerabdruck lässt sich – anders als ein Passwort – nicht ändern, wenn er einmal kompromittiert ist.

Welche Rechtsgrundlagen kommen für die Fingerabdruck-Zeiterfassung infrage?

Für Arbeitgeber kommen vor allem drei Wege in Betracht: die Erforderlichkeit für das Beschäftigungsverhältnis, eine Kollektivvereinbarung und die Einwilligung. Hintergrund: Biometrische Daten zur eindeutigen Identifizierung einer Person gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO). Ihre Verarbeitung ist grundsätzlich verboten – es sei denn, eine der Ausnahmen in Art. 9 Abs. 2 DSGVO greift. Die drei Wege im Überblick:

• Erforderlichkeit für das Arbeitsverhältnis (Art. 9 Abs. 2 lit. b DSGVO, § 26 Abs. 3 BDSG): Die Verarbeitung muss für die Erfüllung arbeitsrechtlicher Pflichten erforderlich sein. Für die allgemeine Zeiterfassung im Büro oder Lager ist Biometrie das nach der Rechtsprechung nicht, weil mildere Mittel zur Verfügung stehen. Anders kann es bei Zutrittskontrollen zu Hochsicherheitsbereichen aussehen.
• Betriebsvereinbarung (Art. 88 DSGVO, § 26 Abs. 4 BDSG): Eine Betriebsvereinbarung kann Rechtsgrundlage für Datenverarbeitung sein, muss aber das Schutzniveau der DSGVO einhalten. Sie macht einen unverhältnismäßigen Eingriff nicht zulässig.
• Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO, § 26 Abs. 2 BDSG): In der Praxis der häufigste Weg – aber im Arbeitsverhältnis nur wirksam, wenn sie wirklich freiwillig ist.

RechtsgrundlageNormWann tragfähigHürdeErforderlichkeit für das BeschäftigungsverhältnisArt. 9 Abs. 2 lit. b DSGVO, § 26 Abs. 3 BDSGWenn die Verarbeitung für Pflichten oder Rechte im Bereich Beschäftigung erforderlich ist und Unionsrecht, nationales Recht oder eine Kollektivvereinbarung sie mit angemessenen Schutzmaßnahmen erlaubtErforderlichkeit: Das LAG Berlin-Brandenburg hat sie für die Zeiterfassung per Fingerabdruck im entschiedenen Fall nicht angenommen; die Anwendbarkeit von § 26 BDSG ist nach dem BAG-Urteil vom 08.05.2025 offenEinwilligungArt. 9 Abs. 2 lit. a DSGVO, § 26 Abs. 2 und 3 BDSGWenn sie freiwillig und ausdrücklich für festgelegte Zwecke erteilt wird, mit einer echten Alternative für alle, die nicht einwilligenFreiwilligkeit im Abhängigkeitsverhältnis; nach § 26 Abs. 2 BDSG in der Regel schriftlich oder elektronisch; die Wirkung des BAG-Urteils auf § 26 Abs. 2 und 3 ist offenKollektivvereinbarung (Betriebsvereinbarung)Art. 88 DSGVO, § 26 Abs. 4 BDSGWenn die Vereinbarung geeignete und spezifische Maßnahmen im Sinne des Art. 88 Abs. 2 DSGVO enthältOb eine Betriebsvereinbarung nach § 26 Abs. 4 BDSG eine „spezifischere Vorschrift“ im Sinne des Art. 88 DSGVO ist, hat das BAG offengelassen; sie macht einen unverhältnismäßigen Eingriff nicht zulässig

Mehr zu den Rechtsgrundlagen liest du in unserem Artikel zu Art. 6 DSGVO.

Trägt § 26 BDSG nach EuGH und BAG noch?

Für § 26 Abs. 1 Satz 1 BDSG nicht ohne Weiteres: Das Bundesarbeitsgericht hat im Urteil vom 08.05.2025 (8 AZR 209/21) entschieden, dass diese Vorschrift die Anforderungen der Öffnungsklausel des Art. 88 DSGVO nicht erfüllt, weil Schutzmaßnahmen nach Art. 88 Abs. 2 DSGVO fehlen. Sie bleibt deshalb unangewendet, und soweit keine wirksamen spezifischeren Regeln bestehen, gilt unmittelbar die DSGVO.

Offen ist, was das für § 26 Abs. 2 bis 4 BDSG bedeutet. Im BAG-Fall ging es nicht um Biometrie, sondern um die Übertragung von Beschäftigtendaten für den Test einer neuen Personalsoftware. Zu § 26 Abs. 2 und 3 BDSG äußert sich das Urteil nicht, und ob eine Betriebsvereinbarung nach § 26 Abs. 4 BDSG eine spezifischere Vorschrift im Sinne des Art. 88 DSGVO ist, hat das BAG offengelassen. Schon der EuGH hat sich am 30.03.2023 (C-34/21) zu einer vergleichbaren Landesregelung geäußert; wie weit § 26 BDSG als eigene Rechtsgrundlage trägt, ist seitdem umstritten. Richte deine Verarbeitung deshalb direkt an den Vorgaben der DSGVO aus (Art. 6, Art. 9 Abs. 2) und lass den Einzelfall juristisch prüfen.

Wann ist die Einwilligung bei der Fingerabdruck-Zeiterfassung wirksam?

Die Einwilligung ist im Arbeitsverhältnis nur wirksam, wenn sie freiwillig, informiert, ausdrücklich und widerrufbar ist. Weil Biometrie für die Zeiterfassung in der Regel nicht erforderlich ist, bleibt meist nur die ausdrückliche Einwilligung. Im Arbeitsverhältnis ist sie aber heikel, denn Mitarbeitende sind von ihrem Arbeitgeber abhängig. Im Einzelnen muss sie:

• freiwillig erfolgt – ohne Druck oder Nachteile bei Verweigerung,
• informiert ist – inklusive Zweck, Speicherdauer und Widerrufsrecht,
• ausdrücklich erteilt werden (Art. 9 Abs. 2 lit. a DSGVO) und – soweit § 26 Abs. 2 BDSG anwendbar ist – in der Regel schriftlich oder elektronisch erfolgen,
• jederzeit widerrufbar bleibt.

Das bedeutet: Unternehmen müssen eine echte Wahlmöglichkeit bieten, also ein alternatives Zeiterfassungsverfahren bereitstellen. Wer nicht einwilligt, darf zum Beispiel mit einer Karte oder PIN stempeln. Ohne diese Alternative ist die Einwilligung nicht wirksam.

Muss der Betriebsrat zustimmen (§ 87 Abs. 1 Nr. 6 BetrVG)?

Ja. Gibt es im Unternehmen einen Betriebsrat, hat er bei der Einführung einer biometrischen Zeiterfassung ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Das gilt für alle technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung der Mitarbeitenden zu überwachen. Ohne Zustimmung des Betriebsrats oder einen Spruch der Einigungsstelle darf das System nicht eingeführt werden. In der Praxis wird die Einführung in einer Betriebsvereinbarung geregelt, die auch Zweck, Zugriffsrechte und Löschfristen festlegt.

Was haben Gerichte und Aufsichtsbehörden entschieden?

Die wichtigste Entscheidung zur Zeiterfassung per Fingerabdruck stammt aus Berlin:

• Arbeitsgericht Berlin, Urteil vom 16.10.2019 (Az. 29 Ca 5451/19): Ein Mitarbeiter hatte sich geweigert, ein Fingerabdruck-Zeiterfassungssystem zu nutzen, und war dafür abgemahnt worden. Das Gericht entschied, dass die Abmahnung unwirksam war: Ohne Einwilligung war die Verarbeitung nicht zulässig, weil sie für die Zeiterfassung nicht erforderlich ist.
• Landesarbeitsgericht Berlin-Brandenburg, Urteil vom 04.06.2020 (Az. 10 Sa 2130/19): Das LAG bestätigte die Entscheidung in der Berufung.
• Aufsichtsbehörden: Die Datenschutzkonferenz (DSK) betont, dass eine Einwilligung im Beschäftigungsverhältnis nur wirksam ist, wenn eine echte Alternative besteht und kein faktischer Zwang ausgeübt wird.

Die Entscheidungen zeigen: Wer Mitarbeitende ohne Einwilligung zur biometrischen Zeiterfassung verpflichtet, handelt rechtswidrig – unabhängig von technischen Vorkehrungen.

Welche Alternativen gibt es zur Fingerabdruckerfassung?

Es gibt mehrere Alternativen, die mit deutlich weniger Eingriff auskommen:

• RFID-Karten oder Chips mit Mitarbeiter-ID
• Terminals mit PIN-Eingabe
• Digitale Stempeluhren mit Zugriffskontrollen
• Browser- oder App-basierte Zeiterfassung mit manueller Buchung

Auch diese Systeme müssen datenschutzkonform konfiguriert sein. Bei Apps gilt: Standortdaten nur erheben, wenn sie wirklich nötig sind – eine dauerhafte Ortung (z. B. per Geofencing) ist ebenfalls ein erheblicher Eingriff und nur in engen Grenzen zulässig.

Was prüfst du vor der Einführung?

Wenn du dich trotz allem für ein biometrisches System entscheidest, prüfe vor der Einführung diese Punkte:

1. Datenschutz-Folgenabschätzung prüfen: Art. 35 Abs. 3 lit. b DSGVO nennt die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO) als Fall, in dem eine DSFA erforderlich ist. Ob deine Verarbeitung „umfangreich“ ist, hängt vom Einzelfall ab; kläre das mit der Datenschutzberatung, etwa einem externen Datenschutzbeauftragten. Mehr zur DSFA.
2. Betriebsrat einbinden und eine Betriebsvereinbarung abschließen.
3. Freiwillige, dokumentierte Einwilligungen einholen.
4. Alternativen anbieten – für alle, die nicht einwilligen.
5. Informationspflichten nach Art. 13 DSGVO erfüllen.
6. Datensparsame Technik wählen: Statt Fingerabdruckbildern nur verschlüsselte Templates speichern, idealerweise dezentral auf einer Karte der Mitarbeitenden statt in einer zentralen Datenbank.
7. Technische und organisatorische Maßnahmen wie Verschlüsselung, Zugriffskontrollen und ein Löschkonzept umsetzen und alle Verarbeitungsschritte dokumentieren (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO), etwa im Verarbeitungsverzeichnis.
8. Mitarbeitende schulen und sensibilisieren.

Je nach Einsatz kommen weitere Punkte hinzu: Betreibt ein Dienstleister das System oder speichert er die Daten, prüfe, ob ein Auftragsverarbeitungsvertrag nötig ist. Wertet die Software Daten mit KI aus, hilft die Compliance-Checkliste für KI im Personalwesen. Und für den Fall einer Datenpanne gilt nach Art. 33 Abs. 1 DSGVO: Die Verletzung des Schutzes personenbezogener Daten ist ohne unangemessene Verzögerung, möglichst binnen 72 Stunden, der Aufsichtsbehörde zu melden, außer sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen – mehr dazu in Datenpanne melden: Schritt für Schritt in 72 Stunden.

Fazit: Biometrie nur mit Augenmaß und starker Absicherung

Biometrische Zeiterfassungssysteme bieten echte Vorteile, sind aber ein datenschutzrechtliches Hochrisikothema. Ohne ausdrückliche, freiwillige Einwilligung, eine echte Alternative und – falls vorhanden – die Zustimmung des Betriebsrats dürfen sie in der Regel nicht eingesetzt werden.

Unternehmen sollten kritisch prüfen, ob der Mehrwert den Eingriff in die Grundrechte der Mitarbeitenden rechtfertigt oder ob ein datensparsamerer Ansatz die bessere Wahl ist. Denn Vertrauen entsteht nicht durch Technologie allein, sondern durch Transparenz, Respekt und rechtlich sauberes Vorgehen.

Mit heyData führst du neue Systeme wie die Zeiterfassung datenschutzkonform ein: mit Datenschutz-Folgenabschätzung, Vorlagen für Einwilligungen und Expert:innen, die dich bei allen Fragen begleiten.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo