Baupunch
Zugang anfragenZugang
Ratgeber

DSGVO-konforme Gesichtserkennung auf der Baustelle: Was ist erlaubt?

DSGVO-konforme Gesichtserkennung auf der Baustelle: Was ist erlaubt?

Die Baubranche befindet sich im digitalen Wandel. Wo früher zerknitterte Stundenzettel und analoge Bautagebücher den Alltag prägten, kommen heute hochauflösende Kamerasysteme, Drohnen und intelligente Apps zur Zeiterfassung zum Einsatz.[12] Doch mit dem technologischen Fortschritt wachsen auch die rechtlichen Hürden. Das zentrale Thema hierbei ist der Datenschutz, insbesondere die Datenschutz-Grundverordnung (DSGVO).

Seit Mai 2018 schützt die DSGVO EU-weit einheitlich die Persönlichkeitsrechte von Individuen, wozu ausdrücklich auch das Recht am eigenen Bild gehört.[1] Besonders heikel wird es, wenn moderne Technologien wie die Gesichtserkennung oder die Verarbeitung biometrischer Daten ins Spiel kommen. Bauunternehmer stehen vor der Herausforderung, ihre Projekte effizient zu schützen und zu dokumentieren, ohne dabei empfindliche Bußgelder zu riskieren, die bis zu 4 % des Jahresumsatzes oder 20 Millionen Euro betragen können.[1][5]

In diesem Artikel erfahren Sie alles über die rechtlichen Rahmenbedingungen, die technischen Voraussetzungen und die praktischen Umsetzungsmöglichkeiten einer DSGVO-konformen Gesichtserkennung auf der Baustelle – mit besonderem Fokus auf die Gesichtsverifikation zur digitalen Zeiterfassung.

Quick Facts: DSGVO-konforme Gesichtserkennung auf der Baustelle: Was ist erlaubt?

  • Biometrische Daten fallen unter Art. 9 DSGVO und sind grundsätzlich verboten, sofern kein Ausnahmetatbestand greift.[3]
  • Gesichtsverifikation (1:1-Abgleich) zur Zeiterfassung gilt als milderes Mittel im Vergleich zur Gesichtsidentifikation (1:n-Suche).[12]
  • Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist bei biometrischer Verarbeitung in der Regel zwingend erforderlich.[4][5]
  • Bußgelder können bis zu 4 % des Jahresumsatzes oder 20 Millionen Euro betragen.[1][5]

Die rechtliche Basis: Wann ist Gesichtserkennung auf der Baustelle zulässig?

Grundsätzlich gilt: Kameras auf Baustellen generieren fast immer personenbezogene Daten, da sie Arbeiter, Architekten oder Passanten aufzeichnen.[1] Sobald Menschen auf den Bildern eindeutig identifizierbar sind, greifen die strengen Vorschriften der DSGVO.[7] Die rechtliche Einordnung hängt jedoch maßgeblich davon ab, welche Art der Verarbeitung stattfindet und zu welchem Zweck die Daten erhoben werden.

Biometrische Daten als besondere Kategorie (Art. 9 DSGVO)

Wenn von Gesichtserkennung die Rede ist, handelt es sich rechtlich oft um die Verarbeitung „besonderer Kategorien personenbezogener Daten” gemäß Art. 9 DSGVO. Biometrische Daten, die zur eindeutigen Identifizierung einer natürlichen Person dienen, sind grundsätzlich verboten, es sei denn, es greift ein spezifischer Ausnahmetatbestand.[3]

Ein bekanntes Beispiel aus der Praxis zeigt die Risiken: Die italienische Aufsichtsbehörde verhängte Bußgelder gegen Unternehmen, die Gesichtserkennung zur bloßen Anwesenheitskontrolle einsetzten. Die Behörde urteilte, dass der Zweck – die Vermeidung von Betrug bei der Zeiterfassung – nicht die invasiven Mittel rechtfertigte, da mildere Mittel wie Ausweiskontrollen zur Verfügung gestanden hätten.[3] Dieses Beispiel verdeutlicht, dass die Wahl des Mittels zwingend dem Grundsatz der Verhältnismäßigkeit folgen muss.

Das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Für die allgemeine Videoüberwachung ohne biometrische Analyse zur Identitätsprüfung dient meist Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage: das berechtigte Interesse.[5] Ein solches Interesse liegt vor beim Schutz von Eigentum vor Diebstahl und Vandalismus, der Sicherstellung der Verkehrssicherungspflicht sowie der Dokumentation des Baufortschritts.[5][7]

Entscheidend ist hierbei die Interessenabwägung: Das Interesse des Bauherrn muss schwerer wiegen als das Recht der Betroffenen auf Schutz ihrer Daten. Dies ist meist dann der Fall, wenn nachweislich ein Risiko für finanzielle Schäden durch Kriminalität besteht.[1] Die Abwägung muss dokumentiert und nachvollziehbar sein – pauschale Begründungen reichen den Aufsichtsbehörden nicht aus.

Kernaussage: Die rechtliche Zulässigkeit von Gesichtserkennung auf der Baustelle hängt maßgeblich vom Verarbeitungszweck und der Art der eingesetzten Technologie ab. Biometrische Identifikation ist grundsätzlich verboten, während allgemeine Videoüberwachung auf das berechtigte Interesse gestützt werden kann.

Gesichtsverifikation vs. Gesichtsidentifikation: Der entscheidende Unterschied

Nicht jede Form der Gesichtserkennung ist rechtlich gleich zu bewerten. Die DSGVO unterscheidet stark danach, ob eine Person lediglich verifiziert oder aktiv identifiziert wird. Diese Unterscheidung ist für die baupraktische Umsetzung von zentraler Bedeutung, da sie den rechtlichen Spielraum erheblich erweitern oder einengen kann.

Definition und Abgrenzung

Die Gesichtsverifikation (1:1-Abgleich) prüft, ob eine Person tatsächlich diejenige ist, die sie vorgibt zu sein. Ein Beispiel: Ein Mitarbeiter stempelt über eine App ein, und das System vergleicht das Live-Bild mit einer zuvor gespeicherten Referenz. Dies ist genau der Ansatz, den baupunch verfolgt: Die Kolonne stempelt direkt am Smartphone – inklusive Gesichts-Verifikation und GPS-Nachweis.[12]

Die Gesichtsidentifikation (1:n-Suche) hingegen sucht in einer Datenbank nach einer Person, ohne dass diese aktiv mitwirkt. Dies ist etwa der Fall, wenn eine Kamera Personen auf der Baustelle erfasst und automatisch deren Identität gegen eine Datenbank abgleicht. Dieser Eingriff ist deutlich invasiver und rechtlich weitaus problematischer.

Rechtliche Bewertung

Die DSGVO bewertet die Verifikation als weniger eingriffsintensiv, da sie zweckgebunden ist und nicht zur flächendeckenden Überwachung dient. Verifikation kann unter Art. 9 Abs. 2 lit. b DSGVO fallen, wenn sie für die Erfüllung des Arbeitsvertrags erforderlich ist. Identifikation hingegen ist nur in Ausnahmefällen zulässig, etwa bei hohen Sicherheitsrisiken, und erfordert in der Regel eine ausdrückliche Rechtsgrundlage.

Häufige Frage: Ist Gesichtsverifikation zur Zeiterfassung zulässig?

Ja, unter strengen Voraussetzungen. Gesichtsverifikation kann als milderes Mittel zur Betrugsprävention bei der Zeiterfassung DSGVO-konform eingesetzt werden, wenn sie aktiv durch den Nutzer ausgelöst wird, nicht zur Verhaltensüberwachung dient und eine Datenschutz-Folgenabschätzung durchgeführt wurde.[3][12]

Kernaussage: Die Gesichtsverifikation als 1:1-Abgleich ist rechtlich deutlich weniger problematisch als die 1:n-Identifikation. Sie kann unter bestimmten Voraussetzungen als milderes Mittel zur Zeiterfassung DSGVO-konform eingesetzt werden.

Rechtsgrundlage für die Verarbeitung biometrischer Daten zur Zeiterfassung

Die Verarbeitung biometrischer Daten zur Zeiterfassung erfordert eine spezifische Rechtsgrundlage. Art. 9 Abs. 2 lit. b DSGVO erlaubt die Verarbeitung, wenn sie für die Erfüllung von Verpflichtungen aus dem Arbeitsvertrag erforderlich ist. Alternativ kommt eine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Betracht.

Erforderlichkeit für den Arbeitsvertrag (Art. 9 Abs. 2 lit. b DSGVO)

Die Verarbeitung muss notwendig sein, um vertragliche Pflichten zu erfüllen – im vorliegenden Fall die korrekte Arbeitszeiterfassung. Das bedeutet, dass der Arbeitgeber ein berechtigtes Interesse an der genauen Erfassung hat, etwa um Lohnbetrug oder Manipulationen bei der Stempeluhr zu verhindern. Mildere Mittel wie Ausweiskontrollen oder PIN-Eingaben müssen geprüft werden. Gesichtsverifikation kann gerechtfertigt sein, wenn diese Alternativen nicht ausreichen, etwa weil Ausweise geteilt oder PINs weitergegeben werden können.[3]

Einwilligung als Alternative (Art. 9 Abs. 2 lit. a DSGVO)

Eine Einwilligung der Mitarbeiter ist grundsätzlich möglich, muss aber freiwillig, informiert und widerrufbar sein. Aufgrund des Abhängigkeitsverhältnisses am Arbeitsplatz ist die Freiwilligkeit jedoch oft fraglich. Aufsichtsbehörden prüfen kritisch, ob die Mitarbeiter tatsächlich eine echte Wahl hatten oder ob die Einwilligung faktisch erzwungen wurde. In der Praxis ist die Rechtsgrundlage des Art. 9 Abs. 2 lit. b DSGVO daher meist der sicherere Weg.

Häufige Frage: Braucht man eine Einwilligung der Mitarbeiter?

Nicht zwingend. Wenn die Gesichtsverifikation für die Erfüllung des Arbeitsvertrags erforderlich ist, kann Art. 9 Abs. 2 lit. b DSGVO als Rechtsgrundlage dienen. Eine Einwilligung ist aufgrund des Abhängigkeitsverhältnisses am Arbeitsplatz oft problematisch.

Kernaussage: Art. 9 Abs. 2 lit. b DSGVO erlaubt die Verarbeitung biometrischer Daten zur Zeiterfassung, wenn sie für den Arbeitsvertrag erforderlich ist und keine milderen Mittel ausreichen. Eine Einwilligung ist nicht zwingend erforderlich.

Die Pflicht zur Datenschutz-Folgenabschätzung (DSFA)

Vor dem Einsatz von Gesichtserkennungssystemen ist eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO zwingend erforderlich. Die DSFA bewertet systematisch die Risiken für die Rechte und Freiheiten der Arbeitnehmer und dokumentiert die ergriffenen Maßnahmen zur Risikominimierung.

Wann ist eine DSFA erforderlich?

Bei der Verarbeitung biometrischer Daten zur Identifizierung ist eine DSFA in der Regel Pflicht.[4][5] Die deutschen Aufsichtsbehörden haben Listen veröffentlicht, die solche Verfahren als besonders risikoreich einstufen. Auch großflächige Videoüberwachung oder der Einsatz neuer Technologien können eine DSFA auslösen. Eine fehlende DSFA kann zu Bußgeldern und behördlichen Anordnungen führen, die den Betrieb der Anlage untersagen.

Inhalte einer DSFA für Gesichtserkennung

Eine DSFA muss mindestens folgende Elemente enthalten:

  • Systematische Beschreibung der Verarbeitungsvorgänge, einschließlich Zweck und Art der Datenverarbeitung
  • Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung im Verhältnis zum Zweck
  • Risikobewertung für die Rechte und Freiheiten der Betroffenen
  • Geplante Abhilfemaßnahmen wie Datenminimierung, Verschlüsselung, lokale Speicherung und Zugriffskontrollen[4][5]

Die DSFA sollte zudem darlegen, warum mildere Mittel wie PIN-Eingaben oder Ausweiskontrollen nicht ausreichen. Je detaillierter die Prüfung, desto besser lässt sich gegenüber Behörden nachweisen, dass die Verarbeitung verhältnismäßig ist.

Kernaussage: Eine Datenschutz-Folgenabschätzung ist bei der Verarbeitung biometrischer Daten zur Gesichtserkennung zwingend erforderlich und muss Risiken, Notwendigkeit und Abhilfemaßnahmen detailliert dokumentieren.

Verbot der Leistungs- und Verhaltenskontrolle

Gesichtserkennung darf nicht zur Überwachung des Mitarbeiterverhaltens oder zur Leistungskontrolle genutzt werden. Art. 88 DSGVO in Verbindung mit § 26 BDSG regelt die Verarbeitung personenbezogener Daten im Beschäftigungskontext und verbietet eine umfassende Überwachung am Arbeitsplatz.

Rechtliche Grenzen nach Art. 88 DSGVO und § 26 BDSG

Die Verarbeitung personenbezogener Daten am Arbeitsplatz ist nur für Zwecke des Beschäftigungsverhältnisses zulässig. Eine verhaltensbezogene Überwachung – etwa die Analyse von Bewegungsprofilen, Pausenzeiten oder Arbeitsleistung – ist unzulässig, sofern kein konkreter Verdacht einer Straftat vorliegt. Die Zeiterfassung muss zweckgebunden bleiben und darf keine Rückschlüsse auf Arbeitsleistung oder Pausenverhalten zulassen, die über die reine Arbeitszeit hinausgehen.

Praktische Umsetzung

Systeme wie baupunch beschränken die Gesichtsverifikation bewusst auf den Stempelvorgang. Die GPS-Ortung erfolgt nur während der aktiven Schicht; sobald die Pause gedrückt wird, ist die Ortung technisch unterbunden.[12] Diese bewusste Begrenzung stellt sicher, dass keine Verhaltensprofile entstehen und der Zweck der Datenerhebung – korrekte Zeiterfassung – klar abgegrenzt bleibt. Zudem sehen Mitarbeiter nur ihre eigenen Daten, während Manager Live-Übersichten erhalten.[12]

Kernaussage: Gesichtserkennung darf ausschließlich zur Zeiterfassung eingesetzt werden und nicht zur Verhaltens- oder Leistungskontrolle. Systeme müssen technisch so gestaltet sein, dass keine Bewegungsprofile entstehen.

Technische Umsetzung: Privacy by Design und Datenminimierung

Die DSGVO fordert in Art. 25, dass Datenschutz bereits bei der Entwicklung technischer Systeme berücksichtigt wird („Privacy by Design”). Für die Gesichtserkennung auf der Baustelle bedeutet dies, dass technische Maßnahmen ergriffen werden müssen, um die Datenverarbeitung auf das absolute Minimum zu beschränken.

Lokale Speicherung vs. Cloud

Biometrische Referenzen sollten idealerweise lokal auf dem Gerät gespeichert werden, nicht in einer zentralen Cloud. On-Premise-Lösungen wie Gallio PRO bieten eine Videoanonymisierung an, bei der die Rohdaten das interne Netzwerk des Unternehmens nie verlassen.[11] Dies garantiert ein hohes Maß an Datensicherheit gemäß Art. 32 DSGVO. Cloud-Lösungen müssen hingegen strenge Sicherheitsstandards erfüllen, einschließlich Verschlüsselung und Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO.[2][5]

Automatische Anonymisierung

Moderne Systeme nutzen künstliche Intelligenz, um personenbezogene Daten in Echtzeit zu verarbeiten:

  • Verpixelung von Gesichtern: Ein Algorithmus erkennt Gesichter und macht sie unkenntlich, bevor das Bild gespeichert oder übertragen wird.[6][13]
  • Kennzeichen-Anonymisierung: Auch Kfz-Kennzeichen von Fahrzeugen, die nicht direkt zum Baubetrieb gehören, werden automatisch unkenntlich gemacht.[7]
  • Dynamische Verpixelung: Intelligente Systeme unterscheiden zwischen Personen und baulichen Strukturen, sodass der Baufortschritt sichtbar bleibt, während die Privatsphäre geschützt wird.[7][11]
On-Premise vs. Cloud bei biometrischer Gesichtserkennung
On-Premise vs. Cloud bei biometrischer Gesichtserkennung

Kernaussage: Privacy by Design verlangt, dass biometrische Daten lokal gespeichert und durch automatische Anonymisierung geschützt werden. Die Datenverarbeitung muss auf das absolute Minimum beschränkt bleiben.

Praktische Anleitung zur DSGVO-konformen Einführung

Die Einführung eines Systems zur Gesichtsverifikation erfordert sorgfältige Vorbereitung. Neben der technischen Implementierung sind auch organisatorische und rechtliche Schritte erforderlich, um die DSGVO-Konformität sicherzustellen.

Betriebsvereinbarung und Mitarbeiterbelehrung

Vor der Einführung ist eine Betriebsvereinbarung mit dem Betriebsrat dringend empfohlen, sofern ein Betriebsrat existiert.[4][12] Diese regelt den Einsatz der GPS- und Biometrie-Funktionen, schafft Vertrauen bei den Mitarbeitern und bietet rechtliche Sicherheit. Zudem müssen alle Mitarbeiter transparent über Zweck, Umfang und Dauer der Datenverarbeitung belehrt werden. Die Belehrung muss Informationen über Betroffenenrechte wie Auskunft, Berichtigung und Löschung enthalten.

  • Zweck der Gesichtserkennung klar definieren und dokumentieren
  • Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchführen
  • Mildere Mittel prüfen und deren Unzulänglichkeit begründen
  • Betriebsvereinbarung mit dem Betriebsrat abschließen
  • Hinweisschilder an allen Zugängen zur Baustelle anbringen
  • Speicherfristen auf maximal 72 Stunden konfigurieren (außer bei Vorfällen)
  • Auftragsverarbeitungsvertrag (AVV) mit externen Dienstleistern schließen
  • Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO pflegen
  • Technische Maßnahmen wie Verschlüsselung und lokale Speicherung implementieren
  • Mitarbeiter umfassend über Rechte und Löschfristen informieren

Formale Pflichten: Informationspflicht und Speicherfristen

Gemäß Art. 13 DSGVO müssen alle Personen, die den überwachten Bereich betreten, über die Datenverarbeitung informiert werden.[5] Dies geschieht durch gut sichtbare Hinweisschilder an allen Zugängen. Ein rechtssicheres Schild muss ein Kamerasymbol, Kontaktdaten des Verantwortlichen, Zweck und Rechtsgrundlage der Verarbeitung, Speicherdauer sowie Hinweise auf Betroffenenrechte enthalten.[4][5]

Die DSGVO schreibt keine starren Speicherfristen vor, aber das Prinzip der Speicherbegrenzung. In der Praxis hat sich eine Frist von 48 bis 72 Stunden für Standard-Überwachungsaufnahmen etabliert.[2][5][10] Danach müssen die Daten automatisch gelöscht oder überschrieben werden, sofern kein konkreter Vorfall vorliegt, der als Beweismittel gesichert werden muss.[5]

Häufige Frage: Wie lange dürfen Bildaufnahmen gespeichert werden?

Es gibt keine starre Frist, aber das Prinzip der Speicherbegrenzung gilt. In der Praxis werden Aufnahmen nach 48 bis 72 Stunden automatisch gelöscht, sofern kein dokumentierter Vorfall wie ein Einbruch die längere Aufbewahrung rechtfertigt.[2][5]

Kernaussage: Die DSGVO-konforme Einführung erfordert eine Betriebsvereinbarung, transparente Mitarbeiterbelehrung, Hinweisschilder und konsequent umgesetzte Speicherfristen. Eine sorgfältige Dokumentation aller Schritte ist unerlässlich.

Aktuelle Rechtsprechung und der EU AI Act ab 2026

Die rechtliche Landschaft rund um Gesichtserkennung entwickelt sich kontinuierlich weiter. Neben der DSGVO rückt nun auch der EU AI Act in den Fokus, der ab August 2026 zusätzliche Anforderungen an KI-basierte Systeme stellt.

Italienische Bußgelder als Warnung

Die italienische Aufsichtsbehörde hat Bußgelder gegen Unternehmen verhängt, die Gesichtserkennung zur Anwesenheitskontrolle einsetzten, ohne mildere Mittel zu prüfen.[3] Die Behörde urteilte, dass der Zweck – Vermeidung von Betrug bei der Zeiterfassung – die invasive Methode nicht rechtfertigte. Dieses Urteil ist auch für deutsche Bauunternehmen relevant, da die DSGVO EU-weit gilt und deutsche Behörden ähnliche Maßstäbe anlegen.

Der EU AI Act: Neue Regeln ab 2026

Der EU AI Act teilt KI-Anwendungen in Risikoklassen ein.[9] Systeme, die biometrische Daten verarbeiten, fallen oft in die Kategorie „Hochrisiko-KI”.[8] Für solche Systeme gelten ab August 2026 verschärfte Pflichten bezüglich Transparenz, Dokumentation und menschlicher Aufsicht.[9] Vollautonome Entscheidungen ohne menschliche Kontrolle werden in sicherheitskritischen Bereichen nicht mehr zulässig sein.[8] Bauunternehmen sollten bereits heute darauf achten, dass ihre KI-Lösungen auditierbar und transparent sind.

Häufige Frage: Was ändert sich durch den EU AI Act?

Ab August 2026 gelten für biometrische KI-Systeme verschärfte Pflichten in den Bereichen Transparenz, Dokumentation und menschliche Aufsicht. Bauunternehmen müssen sicherstellen, dass ihre Systeme auditierbar sind und keine vollautonomen Entscheidungen ohne menschliche Kontrolle treffen.[8][9]

Kernaussage: Der EU AI Act bringt ab 2026 zusätzliche Anforderungen für biometrische KI-Systeme. Bauunternehmen sollten sich frühzeitig auf strengere Regularien einstellen und auditierbare Lösungen wählen.

Fazit: Sicherheit und Datenschutz unter einem Hut

DSGVO-konforme Gesichtserkennung auf der Baustelle ist kein Widerspruch, erfordert aber ein sorgfältiges Vorgehen. Gesichtsverifikation zur digitalen Zeiterfassung ist nach Art. 9 Abs. 2 lit. b DSGVO zulässig, wenn sie für die Erfüllung des Arbeitsvertrags erforderlich ist und keine milderen Mittel ausreichen. Entscheidend sind die Durchführung einer Datenschutz-Folgenabschätzung, die strikte Zweckbindung und die Beschränkung auf das absolute Minimum an Datenverarbeitung.

Systeme wie baupunch zeigen, dass eine praktische Umsetzung möglich ist: Die Gesichtsverifikation wird ausschließlich beim Stempelvorgang eingesetzt, GPS-Daten werden nur während der aktiven Schicht erfasst und in Pausen deaktiviert.[12] Mit einer durchdachten Strategie, klaren Betriebsvereinbarungen und technischen Privacy-by-Design-Lösungen lässt sich die Baustelle effizient dokumentieren und die Zeiterfassung modernisieren – vollkommen im Einklang mit der DSGVO. Der EU AI Act wird ab 2026 weitere Pflichten mit sich bringen, weshalb Bauunternehmen heute schon auf transparente und auditierbare Systeme setzen sollten.

Quellen

← Alle Ratgeber