Immer öfter setzen Unternehmen die Gesichtserkennung zur Identifizierung und Verifizierung von Mitarbeitern in der Zutrittskontrolle ein. Die niederländische Allgemeine Datenschutzverordnung (AVG) enthält Regeln für die Verarbeitung dieser sogenannten biometrischen Personendaten.
Das Ausführungsgesetz (UAVG) enthält hierzu nähere Bestimmungen. Es ist fraglich, inwieweit Arbeitgeber angesichts dieser Datenschutzbestimmungen diese biometrischen Personendaten von Arbeitnehmern nutzen können.
Was sind biometrische Daten?
Die AVG klassifiziert die Daten aus der Gesichtserkennung als biometrische Personendaten. Biometrische Daten sind Daten, die das Ergebnis einer spezifischen technischen Verarbeitung von physischen, physiologischen oder Verhaltensmerkmalen einer Person sind (Art. 4 Abs. 14 AVG). Kurz gesagt, es handelt sich um Daten, die die Identifizierung einer Person ermöglichen oder eine Identität bestätigen.
Verbot laut AVG
Nach Ansicht des Gesetzgebers stellt die Verarbeitung der Gesichtserkennung zum Zwecke der eindeutigen Identifizierung eine große Gefahr für die Grundrechte und -freiheiten der betroffenen Personen dar. Neben der Identität kann nämlich auch aus bestimmten Körpermerkmalen abgeleitet werden, wie z. B. der Gesundheitszustand von jemanden ist. Diese biometrischen Personendaten unterliegen daher strengen Regeln. Hauptregel in Bezug auf besondere personenbezogene Daten ist, dass deren Verarbeitung verboten ist, es sei denn, mindestens eine der in der AVG ausdrücklich genannten Ausnahmen ist erfüllt (Art. 9 AVG).
Es ist laut AVG verboten, es sei denn …
Die AVG sieht eine Reihe von Ausnahmen vor, von denen zwei im Zusammenhang mit der Gesichtserkennung von Bedeutung sind. Ein Beispiel für eine solche Ausnahme ist die Situation, in der die betroffene Person ihre Einwilligung zur Verarbeitung ihrer persönlichen Daten gegeben hat. Laut Gesetzgeber muss diese Zustimmung jedoch „aus freiem Willen“ erteilt worden sein und muss auf einfache Weise widerrufen werden können. Diese Voraussetzung der „aus freiem Willen“ erteilten Zustimmung wird jedoch in einem Arbeitgeber-/Arbeitnehmer-Verhältnis kaum jemals erfüllt sein. Denn der Gesetzgeber hat hierzu erklärt: „Gerade im Verhältnis zwischen Arbeitnehmer und Arbeitgeber wird der Arbeitnehmer jedoch in der Praxis kaum seine Zustimmung verweigern können, zumal wenn der Zugang zu bestimmten Orten für die Ausübung der Tätigkeiten erforderlich ist, insbesondere der Zugang zu bestimmten Orten, Gebäuden, Ausrüstung und Informationssystemen“.
Eine weitere Ausnahme betrifft die Gesichtserkennung, die aus Gründen des besonderen öffentlichen Interesses erforderlich ist. So gilt beispielsweise das Verbot der Verarbeitung biometrischer Daten nicht, wenn die Verarbeitung für Echtheitsprüfung oder Sicherheitszwecke erforderlich ist. Dies unterliegt jedoch einer strengen Prüfung. Laut Gesetzgeber ist dies für solche Situationen gedacht, in denen Gebäude oder Informationssysteme ein so hohes Maß an Schutz erfordern, dass dies mit Hilfe der Biometrie geschehen muss.
Darüber hinaus weist der Gesetzgeber darauf hin, dass Biometrie zur Sicherung von Informationssystemen verwendet werden kann, die ihrerseits viele personenbezogenen Daten enthalten und bei denen ein unrechtmäßiger Zugriff, auch von Mitarbeitern, verhindert werden muss. In diesem Zusammenhang wird ausdrücklich auf die Pflicht von Organisationen hingewiesen, technische und organisatorische Maßnahmen zum Schutz der persönlichen Daten zu ergreifen (Art. 32 AVG).
AP-Richtlinien für besondere Anwendungen
Weiterhin hat die Behörde für personenbezogene Daten (AP) inzwischen Richtlinien für besondere Anwendungen der Gesichtserkennungstechnologie aufgestellt, z.B. Standardrichtlinien für digitale Plakatwände und Standardrichtlinien für Supermärkte. Hier gibt die AP für bestimmte besondere Situationen an, unter welchen Umständen der Einsatz von Gesichtserkennungstechnologie möglicherweise legitim sein könnte.
Gesichtserkennung für Arbeitgeber
Wenn Sie als Arbeitgeber die Gesichtserkennung einsetzen wollen, seien Sie vorsichtig. Die Verwendung biometrischer Daten ist im Rahmen der AVG nicht unmöglich, es gelten jedoch strenge Regeln. Die Verwendung dieser Daten ist nur möglich, wenn sie wirklich erforderlich ist und es keine anderen, weniger einschneidende Möglichkeiten gibt.
Fragen
Wenn Sie Fragen zu diesem Thema haben, wenden Sie sich bitte an unser Privacy Desk.
