Biometrische Zugangskontrolle: Rechtslage und Grundlagen
Biometrische Zugangskontrolle in Behörden und Unternehmen erfordert eine sorgfältige Prüfung von Art. 6 und 9 DSGVO, Beschäftigtendatenschutz, Verhältnismäßigkeit und milderen Alternativen.
Biometrische Zugangskontrollen und DSGVO: Fingerabdruck, Gesichtserkennung, Beschäftigtendatenschutz, Einwilligung und mildere Mittel. Eine wissenschaftlich orientierte NoDSB-Analyse; Rechtsstand: 7. November 2026.
Anwendungsfälle und technische Varianten
Fingerabdrucksensoren oder Gesichtserkennung versprechen bequeme Zugangskontrolle an Bürotüren, Rechenzentren, Zeiterfassungssystemen und Dienstgeräten. Datenschutzrechtlich kommt es nicht allein auf die Art des Sensors an, sondern auf den Verarbeitungszweck, die Zentralisierung der Templates, die Zugriffsmöglichkeiten und die Frage, ob Beschäftigte andere Verfahren nutzen können.
Doppelte Zulässigkeitsprüfung
Die Erhebung personenbezogener Daten bedarf einer Rechtsgrundlage nach Art. 6 DSGVO. Werden biometrische Daten zum Zweck eindeutiger Identifizierung verarbeitet, greift zusätzlich Art. 9 DSGVO mit seinem Verbot und den abschließend geregelten Ausnahmen. Ein behauptetes Sicherheitsinteresse ersetzt diese Prüfung nicht. Im Beschäftigungsverhältnis sind außerdem die jeweiligen nationalen Beschäftigtendatenschutzregelungen und gegebenenfalls kollektivrechtliche Vorgaben zu berücksichtigen.
Einwilligung unter Abhängigkeitsbedingungen
Einwilligungen am Arbeitsplatz sind wegen des strukturellen Ungleichgewichts besonders kritisch zu beurteilen. Eine Wahlmöglichkeit muss tatsächlich ohne Nachteile bestehen; ein nur theoretisches Ersatzverfahren genügt nicht. Selbst eine ausdrückliche Einwilligung in die Verarbeitung besonderer Kategorien von Daten ist keine pauschale Legitimation für unverhältnismäßige Überwachung.
Erforderlichkeit und mildere Mittel
Vor dem Einsatz biometrischer Zugangskontrollen ist zu prüfen, ob Ausweiskarte, PIN, Hardwaretoken, Passkey oder eine Kombination dieser Mittel dasselbe Schutzziel mit geringerem Eingriff erreichen. Bei hochsicheren Bereichen kann eine differenzierte Bewertung notwendig sein; für eine gewöhnliche Arbeitszeiterfassung werden regelmäßig besonders gewichtige Rechtfertigungsgründe fehlen. Technische Sicherheit allein reicht nicht: organisatorische Zutrittsregeln und Kontrolle des Berechtigungsmanagements sind mitzuberücksichtigen.
Datenschutz-Folgenabschätzung und Betrieb
Bei voraussichtlich hohem Risiko ist nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung erforderlich. Zu dokumentieren sind Zweck, Rechtsgrundlage, Datenflüsse, alternative Verfahren, Löschkonzept, technische und organisatorische Maßnahmen und Risiken der Zweckänderung. Biometrische Templates sollten nach Möglichkeit auf kontrollierten Endgeräten verbleiben statt zentraler biometrischer Datenbanken. Zugriffe sind zu protokollieren, Notfallprozesse zu regeln und die tatsächliche Löschung zu überprüfen.
Mitbestimmung und Transparenz
Betriebs- und Personalvertretungen können bei technischen Überwachungseinrichtungen Mitbestimmungsrechte haben. Eine Dienst- oder Betriebsvereinbarung schafft jedoch nicht automatisch eine ausreichende Erlaubnis für jede biometrische Verarbeitung. Betroffene sind über Zwecke, Rechtsgrundlagen, Speicherdauer, Empfänger und ihre Rechte transparent zu informieren.
NoDSB-Prüfschema
Prüffragen: Welchen konkreten Schutzbedarf hat der Bereich? Gibt es milde Alternativen? Warum reichen diese nicht? Welche Rechtsgrundlagen aus Art. 6 und 9 DSGVO tragen die Maßnahme? Wo liegen die Templates? Wer hat Zugriff? Welche Löschfristen gelten? Kann eine Person ohne Biometrie gleichwertig teilnehmen? Sind Datenschutz-Folgenabschätzung und Mitbestimmung erledigt? Erst wenn diese Fragen positiv und dokumentiert beantwortet sind, lässt sich eine Einführung verantworten.
Weiterlesen: Digitale Identität und Biometrie
- Digitale Identität und Biometrie: Recht, Technik und Selbstbestimmung
- Gesichtserkennung und Datenschutz: Technik, Fehler und Grundrechte
- Fingerabdrücke im Personalausweis: EuGH-Urteil und aktuelle Rechtslage
- EUDI-Wallet und eIDAS 2.0: Die europäische digitale Identität
- Biometrische Massenüberwachung: Gesichtserkennung durch den Staat
- Biometrische Zugangskontrollen in Behörden und Unternehmen
Weitere Zusammenhänge: Videoüberwachung im öffentlichen Raum, Passwörter und Passkeys, NoDSB-Rechtsprechung und Fachbibliothek.
Primärquellen und weiterführende Literatur
Die Ausführungen betreffen allgemeine Rechtsfragen. Einzelne technische Systeme und konkrete behördliche Eingriffe sind stets anhand ihrer tatsächlichen Ausgestaltung und der aktuell geltenden Normfassungen zu prüfen.
Häufige Fragen zu Biometrische Zugangskontrolle
Reicht die Einwilligung Beschäftigter aus?
Eine Einwilligung muss tatsächlich freiwillig sein. Insbesondere in Beschäftigungsverhältnissen sind Abhängigkeiten und reale Alternativen zu prüfen.