Fingerabdruck, Gesichtserkennung, Venenmuster der Hand – biometrische Zutrittskontrolle klingt nach Hightech und ist in der Praxis längst angekommen. Gleichzeitig ist kein anderes Thema im Bereich Zutrittskontrolle so stark von Missverständnissen geprägt: Was ist rechtlich zulässig? Was verlangt der EU AI Act? Und wann lohnt sich Biometrie überhaupt? Hier ist die Einordnung, die wir unseren Kunden geben.
Warum Biometrie datenschutzrechtlich besonders ist
Biometrische Daten – also Fingerabdrücke, Gesichtsgeometrie oder Venenstruktur – gehören nach DSGVO Artikel 9 zu den besonderen Kategorien personenbezogener Daten. Sie sind nicht ersetzbar: Wer seine Karte verliert, bekommt eine neue. Wer seinen Fingerabdruck kompromittiert, kann ihn nicht ändern. Das macht den Datenschutz bei biometrischen Systemen zu einer Grundsatzfrage, nicht zu einem Formalitätenthema.
Für den Einsatz im Arbeitsverhältnis bedeutet das: Die Verarbeitung biometrischer Daten ist nur zulässig, wenn eine ausdrückliche Einwilligung der betroffenen Person vorliegt oder ein anderer Erlaubnistatbestand nach DSGVO Artikel 9 Absatz 2 greift. Pflichtbiometrie als Zugangsbedingung zum Arbeitsplatz ist in der Regel rechtlich nicht zulässig. Es braucht immer eine gleichwertige Alternative ohne biometrische Datenverarbeitung.
Was der EU AI Act ab August 2026 ändert
Seit dem 2. August 2026 gelten die Hochrisiko-Anforderungen des EU AI Acts für KI-Systeme in der biometrischen Identifikation vollumfänglich. Systeme, die Personen anhand biometrischer Merkmale in Echtzeit identifizieren oder kategorisieren, unterliegen damit strengen Pflichten: technische Dokumentation, Konformitätsbewertung, menschliche Aufsicht, Transparenzpflichten gegenüber betroffenen Personen. Wer ab diesem Zeitpunkt ein neues biometrisches Zutrittssystem in Betrieb nimmt, muss diese Anforderungen von Anfang an erfüllen – und das nachweisbar dokumentieren.
Wo Biometrie sinnvoll eingesetzt werden kann
Trotz der rechtlichen Komplexität gibt es legitime und datenschutzkonforme Einsatzszenarien – wenn einige Grundbedingungen erfüllt sind:
- Hochsensible Bereiche mit kleinem, bekanntem Nutzerkreis: Serverräume, Labors, Tresorräume, Medikamentenlager – Bereiche, bei denen die Identitätssicherheit einen klaren Mehrwert über Karte oder PIN hinaus rechtfertigt.
- Freiwilligkeit und Alternative: Die biometrische Authentifizierung muss freiwillig sein und es muss immer eine gleichwertige Alternative (Karte, PIN) geben.
- Match-on-Card statt zentraler Datenbank: Systeme, bei denen der biometrische Template auf der Karte gespeichert ist und nur dort mit dem Scan verglichen wird (Match-on-Card), sind datenschutzrechtlich deutlich günstiger als zentrale Biometriedatenbanken.
- Klare Zweckbindung und Löschkonzept: Wofür werden die Daten verwendet? Wann werden sie gelöscht? Das muss vor der Inbetriebnahme schriftlich geregelt sein.
Unser Klartext
Biometrie ist kein Allheilmittel und kein Sicherheitsfeature, das man einfach dazukauft. Sie erfordert eine sorgfältige Rechtsgrundlage, eine datenschutzrechtliche Folgenabschätzung und ein System, das technisch und organisatorisch zu diesen Anforderungen passt. Wer das ordentlich macht, bekommt ein hohes Sicherheitsniveau in sensiblen Bereichen – ohne rechtliche Risiken. Wer es nicht ordentlich macht, bekommt ein teures Compliance-Problem. Wir helfen Ihnen, von Anfang an auf der richtigen Seite zu stehen.
Hinweis: Symbolbild – mit künstlicher Intelligenz erstellt
