Zeiterfassung per Fingerabdruck: Ist das erlaubt? (DSGVO 2026)

Ob Backstube, ambulanter Pflegedienst oder Logistiklager: Terminals für die Zeiterfassung per Fingerabdruck werden als fälschungssicher und bequem beworben — kein Chip, der verloren geht, keine PIN, die man dem Kollegen verrät. Doch was Hersteller als Fortschritt verkaufen, gehört datenschutzrechtlich zu den fragilsten Lösungen, die ein deutscher Betrieb im Jahr 2026 einführen kann.

Kurz gesagt: Zeiterfassung per Fingerabdruck verarbeitet biometrische Daten im Sinne von Art. 9 DSGVO und ist ohne freiwillige, jederzeit widerrufliche Einwilligung jedes einzelnen Beschäftigten unzulässig. Das LAG Berlin-Brandenburg entschied 2020 (Az. 10 Sa 2130/19): Für die Arbeitszeiterfassung ist ein Fingerabdruck nicht erforderlich — und wer den Scanner verweigert, darf dafür nicht abgemahnt werden.

Dieser Beitrag zeigt, warum Fingerabdruck- und Gesichtserkennungs-Terminals rechtlich auf Sand gebaut sind, weshalb die Einwilligung im Arbeitsverhältnis selten trägt, wann der Betriebsrat das System stoppen kann — und mit welchen Alternativen Sie die kommende elektronische Zeiterfassungspflicht erfüllen, ohne einen einzigen Fingerabdruck zu speichern.

Warum setzen so viele Betriebe auf Fingerabdruck-Terminals?

Die Verkaufsargumente klingen zunächst überzeugend. Ein Fingerabdruck kann nicht zu Hause vergessen, nicht verloren und nicht verliehen werden. Das sogenannte Buddy Punching — der Kollege stempelt den Verspäteten einfach mit ein — ist technisch ausgeschlossen. Die Geräte kosten oft weniger als eine Monatslizenz mancher HR-Software, und seit der Pandemie werben Anbieter zusätzlich mit berührungsloser Gesichtserkennung als Hygienevorteil.

Fast immer folgt derselbe beruhigende Satz: Gespeichert werde gar kein Bild des Fingerabdrucks, sondern nur ein mathematisches Template aus sogenannten Minutien, den Verzweigungspunkten der Fingerlinien. Der Eindruck, damit sei die DSGVO erledigt, ist jedoch falsch — genau dieses Argument ist vor einem deutschen Landesarbeitsgericht bereits gescheitert.

Was sagt die DSGVO zu biometrischer Zeiterfassung?

Art. 4 Nr. 14 DSGVO definiert biometrische Daten als mit speziellen technischen Verfahren gewonnene Daten zu den physischen oder physiologischen Merkmalen einer Person, die deren eindeutige Identifizierung ermöglichen — Fingerabdruckdaten und Gesichtsbilder werden ausdrücklich genannt. Art. 9 Abs. 1 DSGVO stuft solche Daten als besondere Kategorie personenbezogener Daten ein und stellt ihre Verarbeitung unter ein grundsätzliches Verbot; der Verordnungstext ist auf EUR-Lex frei nachlesbar.

Von diesem Verbot gibt es Ausnahmen in Art. 9 Abs. 2 DSGVO. Im Arbeitsverhältnis kommen praktisch nur zwei in Betracht: die ausdrückliche Einwilligung nach lit. a und die Verarbeitung, die zur Erfüllung arbeitsrechtlicher Pflichten erforderlich ist, nach lit. b in Verbindung mit § 26 Abs. 3 BDSG. Und an genau dieser Erforderlichkeit scheitert die Biometrie regelmäßig: Arbeitszeiten lassen sich unbestreitbar auch mit Chipkarte, PIN oder App zuverlässig erfassen. Ein Verfahren, für das mehrere mildere Mittel existieren, ist nicht erforderlich.

Wichtig: Auch das Minutien-Template ist ein biometrisches Datum, denn es dient exakt dem Zweck, den Art. 9 DSGVO im Blick hat — der eindeutigen Identifizierung einer Person. Ob das Gerät ein Bild oder einen abgeleiteten Zahlenwert speichert, ändert an der Einstufung nichts.

Was hat das LAG Berlin-Brandenburg entschieden?

Der Fall, der die Rechtslage bis heute prägt: Ein medizinisch-technischer Assistent einer radiologischen Praxis sollte ein neues Zeiterfassungssystem nutzen, das per Fingerscan arbeitet und dabei nur die Minutien verarbeitet. Er weigerte sich und erfasste seine Zeiten weiter wie bisher. Der Arbeitgeber mahnte ihn ab — der Mitarbeiter klagte auf Entfernung der Abmahnung aus der Personalakte.

Das LAG Berlin-Brandenburg gab ihm mit Urteil vom 4. Juni 2020 recht (Az. 10 Sa 2130/19, dokumentiert unter anderem in der Pressemitteilung der Berliner Arbeitsgerichtsbarkeit auf berlin.de): Auch Minutien sind biometrische Daten im Sinne von Art. 9 Abs. 1 DSGVO. Eine Zeiterfassung per Fingerabdruck ist im Regelfall nicht erforderlich im Sinne von § 26 BDSG — und damit ohne Einwilligung unzulässig. Die Weigerung des Mitarbeiters war folglich keine Pflichtverletzung; die Abmahnung musste aus der Personalakte entfernt werden.

Für die Praxis heißt das: Ein Arbeitgeber kann die Nutzung des Fingerscanners nicht per Direktionsrecht anordnen. Ein höchstrichterliches Urteil, das diese Linie kippt, existiert bis heute nicht — im Gegenteil, die Datenschutzaufsicht hat sie zuletzt ausdrücklich bekräftigt.

Die Rechtslage im Überblick:

Reicht eine Einwilligung der Beschäftigten aus?

Auf dem Papier ja: Art. 9 Abs. 2 lit. a DSGVO erlaubt die Verarbeitung bei ausdrücklicher Einwilligung. In der Praxis steht diese Einwilligung jedoch auf drei wackligen Beinen. Erstens die Freiwilligkeit: § 26 Abs. 2 BDSG verlangt, die im Beschäftigungsverhältnis bestehende Abhängigkeit bei der Beurteilung zu berücksichtigen, und Erwägungsgrund 43 der DSGVO nennt ein klares Ungleichgewicht zwischen den Beteiligten als typischen Grund, an der Freiwilligkeit zu zweifeln. Wer seiner Belegschaft nur den Scanner anbietet — friss oder stirb —, hat keine wirksame Einwilligung eingeholt.

Genau das hat der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg in seinem 41. Tätigkeitsbericht für das Jahr 2025 noch einmal klargestellt: Eine verpflichtende Zeiterfassung per Fingerabdruck ist unzulässig, und die Einwilligung ist nur dann freiwillig, wenn der Arbeitgeber eine gleichwertige, datenschutzfreundlichere Alternative anbietet. Zweitens der Widerruf: Nach Art. 7 Abs. 3 DSGVO kann jede Einwilligung jederzeit ohne Angabe von Gründen widerrufen werden. Das biometrische Terminal funktioniert also nur so lange flächendeckend, wie kein einziges Teammitglied seine Meinung ändert — das Parallelsystem müssen Sie ohnehin dauerhaft betreiben.

Drittens das Fundament selbst: Der EuGH hat am 30. März 2023 (Rechtssache C-34/21) eine mit § 26 Abs. 1 BDSG inhaltsgleiche hessische Vorschrift für unvereinbar mit der DSGVO erklärt. Seither gilt der deutsche Beschäftigtendatenschutz-Paragraf in der Fachwelt als angeschlagen, und Datenverarbeitungen im Arbeitsverhältnis werden vorsichtshalber zusätzlich direkt auf Art. 6 und Art. 9 DSGVO gestützt. Wer heute ein biometrisches System einführt, baut damit gleich auf zwei unsichere Rechtsgrundlagen.

Kann der Betriebsrat die biometrische Zeiterfassung stoppen?

Ja — und zwar bevor das erste Gerät an der Wand hängt. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Die Rechtsprechung legt das weit aus: Es genügt, dass die Einrichtung zur Überwachung objektiv geeignet ist — auf die Absicht des Arbeitgebers kommt es nicht an. Jedes elektronische Zeiterfassungssystem fällt darunter, ein biometrisches erst recht.

Führt der Arbeitgeber das System ohne Einigung ein, kann der Betriebsrat einen Unterlassungsanspruch geltend machen; kommt keine Einigung zustande, entscheidet die Einigungsstelle verbindlich. Eine Betriebsvereinbarung kann zwar nach Art. 88 DSGVO in Verbindung mit § 26 Abs. 4 BDSG als Rechtsgrundlage dienen — sie muss aber ihrerseits verhältnismäßig sein und kann ein nicht erforderliches biometrisches Verfahren nicht heilen. Die Standardempfehlung in der Betriebsratsliteratur (etwa bei bund-verlag.de oder in den WEKA-Leitfäden für Gremien) lautet entsprechend: Biometrie ablehnen, datenschutzfreundliche Alternativen verlangen.

Welche Sanktionen drohen bei unzulässiger biometrischer Zeiterfassung?

Der abstrakte Rahmen ist drastisch: Verstöße gegen Art. 9 DSGVO fallen in die obere Bußgeldkategorie des Art. 83 Abs. 5 DSGVO — bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Öffentlich dokumentierte deutsche Bußgelder speziell wegen Fingerabdruck-Terminals sind bislang selten; verlassen sollte man sich darauf nicht, denn schon eine einzige Beschwerde aus der Belegschaft genügt, um ein aufsichtsbehördliches Prüfverfahren auszulösen — und die Position der Aufsichtsbehörden ist, wie der Bericht aus Baden-Württemberg zeigt, eindeutig. Die realistischeren Kosten entstehen ohnehin an anderer Stelle:

• Abmahnungen gegen Verweigerer sind unwirksam und aus der Personalakte zu entfernen
• Schadensersatzansprüche der Beschäftigten nach Art. 82 DSGVO
• Löschpflicht für alle rechtswidrig erhobenen biometrischen Templates nach Art. 17 DSGVO
• Verlorene Hardware-Investition, sobald Beschäftigte widerrufen oder der Betriebsrat interveniert
• Dauerkonflikt mit Belegschaft und Betriebsrat statt Vertrauensgewinn

Anders formuliert: Selbst wenn nie ein Bußgeld fließt, bezahlt der Betrieb die Biometrie mit unwirksamen Abmahnungen, Löschpflichten, Prozessrisiko und einem System, das jederzeit teilentwertet werden kann.

Kommt die elektronische Zeiterfassungspflicht — und verlangt sie Biometrie?

Die Pflicht zur Arbeitszeiterfassung besteht bereits heute: Der EuGH hat sie 2019 im sogenannten Stechuhr-Urteil (C-55/18) begründet, und das Bundesarbeitsgericht hat sie mit Beschluss vom 13. September 2022 (Az. 1 ABR 22/21) aus § 3 Abs. 2 Nr. 1 ArbSchG hergeleitet. Wie Sie Zeiterfassung und Ruhezeiten insgesamt rechtssicher organisieren, haben wir in unserem Beitrag zur Dienstplanung 2026 ausführlich behandelt — hier geht es allein um die Frage, womit erfasst werden darf.

Für die Form der Erfassung liegt seit Juni 2026 ein neuer Referentenentwurf des Bundesarbeitsministeriums vor — als internes Arbeitspapier, ohne Kabinettsbeschluss; ein Gesetz ist er mit Stand August 2026 also noch nicht. Geplant sind: elektronische Aufzeichnung von Beginn, Ende und Dauer der täglichen Arbeitszeit möglichst noch am selben Tag, eine dauerhafte Ausnahme von der elektronischen Form für Betriebe mit bis zu zehn Beschäftigten, gestaffelte Übergangsfristen nach Betriebsgröße und Bußgelder bis 30.000 Euro bei Verstößen.

Der für dieses Thema entscheidende Punkt: Der Entwurf verlangt elektronisch, nicht biometrisch. Eine App, ein Transponder, ein Terminal mit Chipkarte — all das erfüllt die geplante Pflicht vollständig. Wer wegen der kommenden Regelung jetzt investiert, hat also keinen einzigen rechtlichen Grund, ausgerechnet zur riskantesten Erfassungsmethode zu greifen.

Welche Alternativen zur Fingerabdruck-Zeiterfassung sind DSGVO-konform?

Drei Verfahren decken in der Praxis fast alle Anwendungsfälle ab — ganz ohne Daten der besonderen Kategorie: Transponder oder Chipkarte am Terminal, PIN-Eingabe und die app-basierte Zeiterfassung auf dem Smartphone mit standortbasiertem Check-in.

Die app-basierte Variante verdient einen genaueren Blick, weil sie das stärkste Verkaufsargument der Biometrie-Anbieter entkräftet: das Buddy Punching. Der Check-in ist an das persönliche Smartphone gebunden und wird beim Ein- und Ausstempeln einmalig mit dem Standort des Arbeitsorts abgeglichen — Stempeln vom Sofa aus scheidet damit ebenso aus wie das Mitstempeln durch Kollegen. Datenschutzrechtlich entscheidend: Der Standort wird nur punktuell im Moment der Buchung geprüft, nicht laufend aufgezeichnet. Eine Dauerortung der Beschäftigten wäre unverhältnismäßig und unzulässig; ein punktueller Abgleich mit klarer Information der Beschäftigten und — wo vorhanden — einer Betriebsvereinbarung ist es nicht.

Nach diesem Modell arbeitet zum Beispiel imRoster: Der Dienstplan liegt auf dem Handy jedes Teammitglieds, eingecheckt wird per standortbasiertem Check-in direkt am Arbeitsort, und biometrische Daten fallen zu keinem Zeitpunkt an. Die KI erstellt den Plan zudem gleich so, dass Ruhezeiten und Höchstarbeitszeiten eingehalten werden — Planung und Erfassung greifen ineinander, statt in zwei getrennten Systemen zu leben.

Übrigens: Wer den fertigen Dienstplan anschließend per WhatsApp-Gruppe verteilt, holt sich gleich das nächste Datenschutzproblem ins Haus — warum, haben wir in einem eigenen Beitrag zum Dienstplan per WhatsApp aufgeschrieben.

Wie steigen Sie vom Fingerabdruck-Terminal auf eine Alternative um?

Der Umstieg ist in vier Wochen machbar und lässt sich sauber dokumentieren — ein realistischer Fahrplan:

Der wichtigste Schritt ist der letzte: Die Löschung der Templates muss vollständig sein — auch beim Hersteller, falls dieser Daten in seiner Cloud vorhält — und sollte schriftlich dokumentiert werden. Damit endet nicht nur ein Datenschutzrisiko, sondern meist auch ein schwelender Konflikt mit Belegschaft und Betriebsrat. Und die kommende elektronische Zeiterfassungspflicht erfüllen Sie mit dem neuen Verfahren gleich mit.

Häufige Fragen