Biometrischer Zugang am Arbeitsplatz

Ein Fingerabdruckleser an der Bürotür ist in Monaco längst nichts Ungewöhnliches. Was fast immer fehlt, ist die Akte, die erklärt, warum er dort hängt. Im März 2026 hat die APDP – Monacos Autorité de Protection des Données Personnelles – ein Merkblatt zur biometrischen Zutrittskontrolle für Geschäftsräume veröffentlicht, das ungewöhnlich konkret festhält, was zulässig ist, was klar verboten bleibt und welche Unterlagen vorliegen müssen, bevor der erste Finger einen Sensor berührt.

Wenn Ihr Unternehmen Fingerabdruck, Gesichtserkennung, Handgeometrie oder Stimme nutzt, um den Zugang zu einem Raum zu steuern, ist dies der Maßstab für Ihre Installation. Kurz gefasst: Biometrie an der Tür kann rechtmäßig sein, Biometrie an der Stempeluhr nie – und den meisten Anlagen fehlt die Dokumentation.

Zwei zulässige Zwecke, kein dritter

Nach Artikel 7 des Gesetzes Nr. 1.565 vom 3. Dezember 2024 darf ein Arbeitgeber biometrische Daten nur verarbeiten, soweit dies für die Kontrolle des Zugangs zu Arbeitsstätten sowie zu Geräten und Anwendungen, die Beschäftigte im Rahmen ihrer Aufgaben nutzen, unbedingt erforderlich ist. Die APDP zieht den Rahmen enger und lässt solche Systeme nur für zwei Sicherheitszwecke zu: die Kontrolle des Zugangs zu Räumen, die der Verantwortliche ausdrücklich als zugangsbeschränkt eingestuft hat, und gegebenenfalls die Beweissicherung bei Zuwiderhandlungen.

Diese beiden Zwecke bezeichnet das Merkblatt als abschließend. Jede andere Nutzung – Anwesenheitskontrolle, Arbeitszeiterfassung, disziplinarische Überwachung – ist strikt untersagt. Dieser eine Satz entwertet einen großen Teil der Hardware, die als Komplettlösung für „Zutritt und Zeiterfassung" verkauft wird. Das Gerät kann beides. Sie dürfen nur eines nutzen.

Zeiterfassung bleibt möglich – nur nicht über den Körper

Nichts davon hindert Sie daran, zu wissen, wann Ihre Leute kommen. Das gesonderte APDP-Merkblatt zur Überwachung am Arbeitsplatz behandelt Badge-Systeme als ganz normales, akzeptables Mittel für Ein- und Ausgänge, Zonenzugänge und Anwesenheitszeiten; Zeitstempel sollen grundsätzlich nicht länger als drei Monate aufbewahrt werden, sofern keine dokumentierte branchenspezifische Rechtfertigung vorliegt.

Die Korrektur besteht also nicht darin, auf Anwesenheitserfassung zu verzichten, sondern darin, sie zu entkoppeln: Badge oder Code für die Zeiten, Biometrie – falls überhaupt begründbar – nur für die zwei oder drei Türen, die wirklich beschränkten Zugang erfordern. Und wenn Ihr Anwesenheitsprozess so mühsam ist, dass Biometrie als bequeme Abkürzung erschien, liegt die bessere Antwort in der Automatisierung rund um Badge oder App-Check-in, nicht in einem invasiveren Sensor.

Der Erforderlichkeitstest, an dem die meisten Anlagen scheitern

Vor allen technischen Fragen stellt die APDP eine unbequeme: Ist Biometrie hier erforderlich und verhältnismäßig? Reichen Badge, PIN oder Chipkarte zur Sicherung der Räume aus, oder weisen die Räume keine besondere Sensibilität auf, lässt sich Biometrie unter Umständen gar nicht rechtfertigen. Ein Serverraum, ein Tresorraum, ein Raum mit Mandantenakten in einer Vermögensverwaltung: diskutabel. Der Haupteingang eines Büros mit fünf Personen: kaum zu verteidigen.

Die Einwilligung ist ein schwächerer Ausweg, als sie scheint. Die Behörde legt sie im Arbeitsverhältnis besonders streng aus, weil das Über- und Unterordnungsverhältnis die Freiwilligkeit beeinträchtigt, und tragfähig ist sie nur dort, wo eine nicht-biometrische Alternative ohne jede Folge für Ablehnende angeboten wird. Die meisten Arbeitgeber stützen sich daher auf berechtigte Interessen – und müssen die Abwägung dokumentiert haben.

Wo das Template liegt, entscheidet alles

Ein biometrisches Template ist eine mathematische, nicht umkehrbare Repräsentation eines Merkmals, kein Abbild des Fingerabdrucks. Die APDP erlaubt zwei Speicherarchitekturen und äußert eine klare Präferenz:

• Typ 1 – individueller Träger (vorzuziehen). Das Template liegt ausschließlich auf einem Badge oder einer Chipkarte im Besitz der Person; zentral wird nichts gespeichert, und der Leser vergleicht den Finger mit dem Template auf dem Träger.
• Typ 2 – verschlüsselte zentrale Datenbank (Ausnahme). Verschlüsselte Templates liegen auf einem Server des Arbeitgebers hinter Zwei-Faktor-Authentifizierung: persönlicher Geheimcode plus biometrisches Merkmal, wobei der Leser keine Daten speichert.

Ohne wirklich außergewöhnliche und dokumentierte Umstände – Räume von extremer Sensibilität – ist Typ 1 zu verwenden; Typ 2 bleibt letztes Mittel. Das ist auch eine Beschaffungsentscheidung: Viele Zutrittssysteme im Mittelklassesegment sind standardmäßig zentralisiert, und die Architekturfrage gehört ins Lastenheft, nicht in das Audit danach.

Die Aufbewahrung folgt derselben Logik: Templates und zugehörige Identitätsdaten werden für die Dauer der Berechtigung gespeichert und mit deren Ablauf unverzüglich gelöscht. Ein Austritt muss eine Löschung auslösen, nicht bloß eine Deaktivierung.

Die Folgenabschätzung ist nicht optional

Nach der Ministerialverordnung Nr. 2025-361 vom 14. Juli 2025 zur Umsetzung von Artikel 35 des Gesetzes Nr. 1.565 gilt jedes biometrische System als voraussichtlich mit hohem Risiko für Rechte und Freiheiten verbunden – sensible Daten und Beschäftigte als strukturell schutzbedürftige Gruppe. Eine Datenschutz-Folgenabschätzung ist daher vor jedem Einsatz durchzuführen und muss begründen, warum Biometrie und nicht eine weniger eingriffsintensive Technik gewählt wurde.

Bereits laufende Systeme sind nicht befreit: Artikel 109 räumt eine dreijährige Übergangsfrist ein, um diese Bewertung im Rahmen einer Risikoneubewertung nachzuholen. Wenn Sie einen Leser aus einem früheren Ausbau übernommen haben und nie jemand aufgeschrieben hat, warum er existiert, ist genau das die Lücke.

Vorher informieren, und schriftlich

Artikel 10 verlangt, dass das System allen Betroffenen – Beschäftigten, Besuchern, Dienstleistern – schriftlich und vor der biometrischen Erfassung zur Kenntnis gebracht wird, nicht danach. Die Information umfasst Identität des Verantwortlichen, Zwecke und Rechtsgrundlage, Datenkategorien, Speicherfristen, Empfänger, die Ausübung der Betroffenenrechte und das Beschwerderecht bei der APDP.

Prüfen Sie anschließend Ihren Wartungsdienstleister. Die APDP stellt klar, dass ein Auftragsverarbeiter, der das System betreut, denselben Sicherheits- und Vertraulichkeitspflichten unterliegt wie Sie und seine Zugriffe auf das für die Vertragserfüllung strikt Notwendige begrenzt sein müssen. Fehlt eine schriftliche Vereinbarung mit dem Installateur, der sich per Fernzugriff auf Ihren Leser verbinden kann, ist das ein reales Risiko.

Ein realistischer 90-Tage-Plan

Erfassen Sie jeden biometrischen Berührungspunkt – Türen, Rechner, Anwendungen – und schreiben Sie jeden Zweck auf, mit Prüfung, ob er in die zwei zulässigen fällt. Beenden Sie jede Nutzung für Anwesenheit oder Disziplin sofort. Klären Sie, ob die Speicherung Typ 1 oder Typ 2 ist, und begründen oder migrieren Sie. Erstellen Sie die Folgenabschätzung, verteilen Sie die schriftliche Information, schärfen Sie den Wartungsvertrag nach. Führt die Prüfung zu neuer Hardware, kann der Fonds Bleu einen erheblichen Teil förderfähiger Digitalprojekte subventionieren.

Ein Vorbehalt zum Schluss: Monaco ist kein EU-Mitgliedstaat, die DSGVO gilt für ein monegassisches Unternehmen also nicht automatisch. Das Gesetz 1.565 folgt vergleichbaren Standards, ist aber ein eigenes Regelwerk, und das Obige gibt das APDP-Merkblatt in der veröffentlichten Fassung wieder. Da die Bußgelder dieses Gesetzes in den Millionenbereich reichen, lassen Sie alles Wesentliche vor dem Handeln von der APDP oder einem qualifizierten monegassischen Berater bestätigen.

Wenn Sie kartieren wollen, wie personenbezogene Daten tatsächlich durch Ihre Systeme laufen, beginnt unsere Arbeit zu Datenschutz-Compliance und zur breiteren Digitalstrategie genau bei dieser Inventur. Sprechen Sie uns an.