Biometrische Daten (Fingerabdruck/Gesichtserkennung): KVKK Framework

Biometrische Daten wie Fingerabdruck, Netzhaut-/Iris-Scan, Gesichtserkennung, Sprachaufzeichnung gelten als „personenbezogene Daten besonderer Art“ im Sinne von Artikel 6 KVKK und unterliegen einer Sonderregelung.

Rechtlicher Rahmen

• KVKK Artikel 6: Besondere Daten – Verarbeitungsbedingungen abweichend von allgemeinen Daten.
• KVKK Artikel 6/2: Für die Verarbeitung gilt grundsätzlich eine ausdrückliche Einwilligung.
• Ausnahmen: gesetzlich vorgesehen, lebenswichtige Interessen, öffentliche Gesundheit usw.
• Angemessene Sicherheitsmaßnahmen erforderlich.

Biometrisches System am Arbeitsplatz – Grenzen

• Die obligatorische Anforderung eines Fingerabdrucks für die Zeiterfassung ist unverhältnismäßig; Bei alternativen Methoden (Karte, PIN) gilt die Anforderung biometrischer Daten als unverhältnismäßiger Eingriff in personenbezogene Daten.
• Selbst wenn eine ausdrückliche Einwilligung eingeholt wird und diese zur Beschäftigungsbedingung gemacht wird, ist die Einwilligung ungültig (kein wirklicher freier Wille).
• Test „Daten benötigen Verhältnismäßigkeit“: Um das Ziel zu erreichen, sollte die Methode des geringsten Eingriffs gewählt werden.

Vorstandsentscheidungen

Das Personal Data Protection Board hat Entscheidungen getroffen, die es im Allgemeinen für unverhältnismäßig hält, die Arbeitszeit mithilfe von Fingerabdrücken zu erfassen, selbst wenn eine „ausdrückliche Zustimmung“ eingeholt wurde, und dass der Wille des Mitarbeiters nicht wirklich frei ist. Alternative Methoden sollten vorgeschlagen werden.

Gesichtserkennungssysteme

• Gesichtserkennung an den Eingängen zum Arbeitsplatz – wiederum eine alternative Anforderung.
• Der Klarstellungstext reicht für Anträge in Einkaufszentren, Banken und Flughäfen nicht aus. Sonderprüfung der KVKK.
• Gesichtserkennungskameras auf der Straße – besondere Gesetzgebung im Rahmen der öffentlichen Sicherheit.

Pflichten des Datenverantwortlichen

• Dokument der ausdrücklichen Einwilligung (für besondere Qualifikationen).
• Informationstext (KVKK Artikel 10).
• VERBIS-Datensatz.
• Sicherheitsmaßnahmen (Verschlüsselung, Zugriffsprotokolle).
• Benachrichtigung innerhalb von 72 Stunden im Falle eines Verstoßes (KVKK Artikel 12/5).
• Reaktion auf die Rechte des Dateneigentümers (KVKK Artikel 11).

Sanktionen

• Verwaltungsstrafe: 100.000 – 5.000.000 TL Band (jährlich aktualisiert).
• Materielle und moralische Entschädigung (TBK Art. 49, 56).
• TCK Art. 135-136 (rechtswidrige Verarbeitung/Weitergabe personenbezogener Daten).

Praktische Ratschläge – für den Arbeitgeber