Im konkreten Fall ging es um einen Mitarbeiter, der sich dem Zwang zur Zeiterfassung per Fingerabdruck-Scan widersetzte und abgemahnt wurde. Nun erhielt der Arbeitnehmer vor Gericht recht. Wir haben mit Arbeitsrechtler Michael Fuhlrott, Professor an der Fresenius Hochschule Hamburg, über den Fall gesprochen.

DSGVO schlägt Direktionsrecht

Der Arbeitgeber ist im Arbeitsverhältnis aufgrund seines Direktionsrechts (§ 106 Gewerbeordnung) berechtigt, dem Arbeitnehmer die Einzelheiten der Erbringung der Arbeitsleistung vorzugeben. Darunter fällt zum Beispiel die Frage, ob der Arbeitnehmer Dienstkleidung zu tragen hat, während der Arbeitszeit Radio hören darf, private E-Mails schreiben darf oder eben auch, wie die Zeiterfassung zu erfolgen hat. Verstößt der Arbeitnehmer gegen solche Weisungen, muss er mit Konsequenzen rechnen.

Diese können von einer Abmahnung bis hin zu einer Kündigung reichen. Seine Grenzen findet das Direktionsrecht allerdings in gesetzlichen Vorschriften. "So ist etwa eine Anweisung, am Tag 14 Stunden zu arbeiten, unzulässig. Sie verstößt gegen das Arbeitszeitgesetz und braucht daher vom Arbeitnehmer nicht befolgt zu werden", erläutert der Fachanwalt für Arbeitsrecht Michael Fuhlrott, Professor an der Fresenius Hochschule in Hamburg. Ist ein solcher Verstoß gegeben, braucht ein Arbeitnehmer eine ihm erteilte Weisung nicht zu befolgen. Würde der Arbeitnehmer gleichwohl arbeitsrechtlich gemaßregelt, so wäre eine Kündigung unwirksam oder eine Abmahnung aus der Personalakte wieder zu entfernen.

Eine derartige gesetzliche Grenze stellen auch datenschutzrechtliche Vorgaben dar. So findet auch in Deutschland die europäische Datenschutzgrundverordnung (DSGVO) als unmittelbar geltendes Recht Anwendung. Danach ist die Verarbeitung von personenbezogenen Daten unzulässig, wenn sie nicht ausdrücklich erlaubt ist. "Besonders strenge Maßstäbe gelten zudem für besondere Kategorien personenbezogener Daten wie biometrische Daten oder Gesundheitsdaten des Arbeitnehmers. Hier sind die Gefahren einer unberechtigten Nutzung aufgrund der Sensibilität der Daten besonders hoch", so Fuhlrott.

Keine Grundlage für biometrische Kontrolle

Aus diesen Gründen sah das Landesarbeitsgericht Berlin-Brandenburg (Urteil vom 4.6.2020, Az. 10 Sa 2130/19) die Arbeitsanweisung des Arbeitgebers im Ergebnis auch als unwirksam an. Der Arbeitgeber dürfe nur ausnahmsweise biometrische Daten des Arbeitnehmers verarbeiten. Eine solche Ausnahme liegt nach der DSGVO dann vor, wenn die Verarbeitung der besonders geschützten Daten zwingend erforderlich ist, um Pflichten aus dem Arbeitsverhältnis zu erfüllen, so die Berliner Richter. Auch der Hinweis des Arbeitgebers, dass er eine Erfassung per Fingerprint vornehmen wolle, um etwaigen Missbrauch wie "Stempeln für Dritte" zu verhindern, verfing bei den Richtern nicht. Dafür hätte der Arbeitgeber konkret darlegen müssen, dass es in der Vergangenheit zu Manipulationen gekommen sei. Die abstrakte Angst vor einem Missbrauch reiche hingegen nicht aus.

Für Arbeitsrechtler Fuhlrott kam das Urteil nicht überraschend: "Die Entscheidung steht im Einklang mit der Auffassung von Datenschutzbehörden. Der Arbeitgeber darf eben nur diejenigen Daten sammeln und verarbeiten, die notwendig und erforderlich sind, um das Arbeitsverhältnis zu leben. Eine Zeiterfassung per Fingerprint oder 'Anwesenheitskontrollen' am Homeoffice-PC via Gesichtserkennung oder Irisscan sind daher datenschutzrechtlich unzulässig. Weist der Arbeitgeber dies dennoch an, dürfte seine Anweisung regelmäßig unbeachtlich sein", so der Hamburger Arbeitsrechtler.

Eine kleine Hintertür könnte aber Arbeitgebern offenbleiben: Die Ausführungen aus dem Urteil gelten nur für "Routinekontrollen" zur Einhaltung der arbeitsvertraglichen Pflichten. Besonders sensible Unternehmensbereiche, die einer gesonderten Zutrittsregelung unterworfen sind, können bei berechtigten Sicherheitsinteressen des Arbeitgebers auch mit biometrischen Zugangskontrollen gesichert werden.