Fingerprint, Irismuster, Gesichts- oder Stimmerkennung, die als Schlüssel für Zutritts- bzw Zugriffskontrollsysteme in Erwägung gezogen werden, sind nach Art 4 Z 14 DSGVO "biometrische Daten", die eine eindeutige Identifizierung der diese Merkmale aufweisenden natürlichen Person ermöglichen; Art 9 Abs 1 DSGVO untersagt jedoch deren Verarbeitung. Nach Art 9 Abs 2 lit b DSGVO gilt das Verbot der Verarbeitung jedoch zusammengefasst dann nicht, wenn die Verarbeitung für arbeitsrechtliche Zwecke erforderlich ist, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung, die geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsehen, zulässig ist. Der Beitrag geht der Frage nach, wie nun ein Arbeitgeber vorgehen muss, der Zutritts- bzw Zugriffskontrollsysteme einsetzen möchte, die die Verwendung biometrischer Daten seiner Mitarbeiter erfordern. Art 9 Abs 2 lit b DSGVO enthält keinen unmittelbar anwendbaren Erlaubnistatbestand, sondern eine Öffnungsklausel, die der weiteren Umsetzung durch mitgliedstaatliches oder Unionsrecht bedarf. In seinem Resümee hält Maska fest, dass die bestehenden Möglichkeiten und Grenzen der Datenverarbeitung im Arbeitsrecht nach Art 9 Abs 2 lit b DSGVO aus Sicht der Arbeitgeber nicht im notwendigen Ausmaß klargestellt sind. Vielfach werde dem Betriebsrat eine Rolle zugeschrieben, von der zu Recht fraglich sei, ob sie ihm tatsächlich zukomme. Der Plan der Regierung, eine Abteilung für Beschäftigtendatenschutz bei der Datenschutzbehörde zu errichten, lasse vermuten, dass die Diskussion zum Beschäftigtendatenschutz neuen Schwung erhält.
