KVKK-Ankündigung zur Arbeitszeiterfassung: Fingerabdruck- und Handflächendaten gelten als biometrische Daten

Die Behörde für den Schutz personenbezogener Daten (KVKK) hat eine öffentliche Mitteilung zu ihrem Grundsatzbeschluss bezüglich der Verarbeitung biometrischer Daten zur Arbeitszeiterfassung von Mitarbeitern veröffentlicht. In der Mitteilung wurde darauf hingewiesen, dass Verantwortliche aus verschiedenen Sektoren Anfragen zur Stellungnahme bezüglich des am 2. Juni im Amtsblatt veröffentlichten Beschlusses eingereicht haben.

Die KVKK erinnerte daran, dass biometrische Daten im Gesetz zum Schutz personenbezogener Daten Nr. 6698 als personenbezogene Daten besonderer Kategorie eingestuft sind. Die Behörde teilte zudem mit, dass im Bevölkerungsdienstegesetz Nr. 5490 Daten, die aus Fingerabdrücken, Venenmustern und Handflächen gewonnen werden und für eine Person spezifisch sind, als biometrische Daten zur Identifizierung und Verifizierung definiert sind.

In der Mitteilung wurde auch auf Einschätzungen reagiert, wonach Daten, die durch Methoden wie Handflächen- oder Fingerabdruckscans gewonnen werden, nicht als biometrische Daten gelten sollten. Die KVKK betonte, dass Daten, die durch bestimmte technische Verfahren dazu geeignet sind, eine Person eindeutig zu identifizieren oder zu verifizieren, den Charakter biometrischer Daten tragen.

Die Behörde erklärte, dass auch die Umwandlung solcher Daten in einen mathematischen Code zur Speicherung in einer Datenbank den Charakter als biometrische Daten nicht aufhebt. Somit wurde festgestellt, dass Systeme wie Fingerabdruck- oder Handflächenscanner, die zur Arbeitszeiterfassung eingesetzt werden, im Rahmen des Grundsatzbeschlusses zu bewerten sind.

Die KVKK wies darauf hin, dass einige Einrichtungen und Tätigkeitsbereiche aufgrund von Sicherheitsrisiken und den Folgen möglicher Datenverletzungen von der allgemeinen Bewertung ausgenommen werden könnten. Es wurde jedoch festgehalten, dass die Verarbeitung biometrischer Daten in diesen Bereichen auf die notwendigen kritischen Zonen und Personen beschränkt, verhältnismäßig und zweckgebunden sein muss.

In der Mitteilung wurde betont, dass sich der Grundsatzbeschluss ausschließlich auf die Verarbeitung biometrischer Daten zum Zweck der Anwesenheitskontrolle, also der Arbeitszeiterfassung, bezieht. Bei Prozessen der biometrischen Datenverarbeitung außerhalb der Arbeitszeiterfassung werde die Bewertung der Rechtmäßigkeit von den Datenverantwortlichen unter Berücksichtigung des Verarbeitungszwecks, der Art der Tätigkeit und der Besonderheiten des jeweiligen Einzelfalls vorgenommen, hieß es.

Die KVKK erklärte, dass der Ausschuss für den Schutz personenbezogener Daten bei eingehenden Anzeigen oder Beschwerden jeden Einzelfall gesondert prüfen werde.

Nachrichtenquelle: 12punto