Ist Zeiterfassung per Fingerabdruck in der Türkei zulässig? KVKK und mobiles Stempeln

Das alte Drehkreuzsystem der Fabrik soll erneuert werden. Der Gerätehändler empfiehlt einen Fingerabdruckleser: schnell, keine weitergegebenen Karten, und das Stempeln für Kollegen hat ein Ende. Der Rechtsberater sagt: „Schauen wir zuerst ins KVKK.“ Gleichzeitig fragt das Außendienstteam, ob es sich per Telefon ein- und ausstempeln kann. Drei Fragen tauchen auf einmal auf: Ist Zeiterfassung per Fingerabdruck zulässig, ist mobiles Stempeln zulässig, und reicht ein vom Mitarbeiter unterschriebenes Einwilligungsformular? Die kurze Antwort auf „Ist ein Zeiterfassungssystem zulässig?“ lautet: „Es hängt von der Methode ab.“ Dieser Beitrag zeigt anhand des Wortlauts des KVKK – des türkischen Gesetzes zum Schutz personenbezogener Daten – und des jüngsten Grundsatzbeschlusses des türkischen Rats für den Schutz personenbezogener Daten (Datenschutzrat), wovon die Antwort in der Türkei abhängt.

Die Zulässigkeit eines Zeiterfassungssystems in der Türkei ist eine rechtliche Bewertung, die weniger davon abhängt, ob Kommen und Gehen erfasst werden, als davon, mit welchen personenbezogenen Daten und mit welcher Methode die Erfassung erfolgt.

Ist ein Zeiterfassungssystem zulässig? Erfassung und Wahl der Methode sind zwei verschiedene Fragen

Laut einer Bekanntmachung der türkischen Behörde für den Schutz personenbezogener Daten (Datenschutzbehörde) sind Arbeitgeber verpflichtet, Arbeitszeiten zu verfolgen und zu dokumentieren. Dieselbe Bekanntmachung betont, dass es keine ausdrückliche gesetzliche Regelung gibt, die diese Erfassung mit biometrischen Identifizierungssystemen vorsieht. Die Anwesenheitserfassung selbst steht also nicht zur Debatte; strittig ist, wie sie erfolgt. Hier greifen die Grundsätze aus Artikel 4 des Gesetzes Nr. 6698: Daten müssen mit dem Zweck ihrer Verarbeitung in Verbindung stehen, begrenzt und verhältnismäßig sein.

Ist Ein- und Ausstempeln per Fingerabdruck zulässig?

Artikel 6 Absatz 1 des Gesetzes zählt biometrische und genetische Daten zu den besonderen Kategorien personenbezogener Daten. Absatz 3 legt die Grundregel fest:

Die Verarbeitung besonderer Kategorien personenbezogener Daten ist verboten.

Das Verbot entfällt, wenn eine der genannten Voraussetzungen vorliegt, etwa die ausdrückliche Einwilligung, eine ausdrückliche gesetzliche Regelung oder eine rechtliche Pflicht im Zusammenhang mit der Beschäftigung. In seinem Grundsatzbeschluss Nr. 2026/921 vom 29. April 2026 hat der Datenschutzrat diese Voraussetzungen für die Arbeitszeiterfassung einzeln geprüft. Der Beschluss wurde am 2. Juni 2026 im türkischen Amtsblatt veröffentlicht; seine Ergebnisse lauten kurz:

• Eine ausdrückliche gesetzliche Regelung gibt es nicht. Die Vorschriften sprechen von der Erfassung der Arbeitszeiten, sehen aber keine biometrische Erfassung vor.
• Ausdrückliche Einwilligung allein wurde nicht als ausreichend angesehen. Das Machtgefälle im Arbeitsverhältnis lässt Zweifel aufkommen, ob die Einwilligung wirklich freiwillig ist; außerdem kann sie widerrufen werden.
• Selbst mit wirksamer Einwilligung ist die Verhältnismäßigkeit nicht gegeben. Biometrische Daten zu verarbeiten, obwohl weniger eingreifende Alternativen bestehen, wurde als unverhältnismäßig bewertet.
• Alternativen wurden genannt: verschlüsselte Karten- oder PIN-Systeme, Unterschriften- und papierbasierte Anwesenheitslisten, RFID/NFC-Ausweise sowie manuelle Erfassung unter Aufsicht eines Vorgesetzten.

Eine zweite Bekanntmachung der Datenschutzbehörde vom 27. August 2026 stellt einen weiteren Punkt klar: Wird ein Fingerabdruck in einen mathematischen Code umgewandelt und in einer Datenbank gespeichert, verliert er dadurch nicht seine Eigenschaft als biometrisches Datum. Das Argument „Wir speichern nicht den Fingerabdruck, sondern nur das Template“ löst das Problem daher nicht.

Was passiert, wenn ein Mitarbeiter keinen Fingerabdruck abgeben will?

Genau auf dieser Frage beruht die Begründung des Datenschutzrats. Er stellt fest: Wird Mitarbeitern die Möglichkeit, die Einwilligung zu verweigern oder zu widerrufen, nicht wirksam angeboten, oder kann eine Verweigerung für sie nachteilige Folgen haben, lässt sich nicht von einer echten Wahl sprechen. Eine Regelung nach dem Muster „Wer will, gibt den Fingerabdruck, wer nicht will, nutzt eine Karte“ wirkt auf dem Papier vernünftig, schafft für sich allein aber keine Rechtsgrundlage. Die eigentliche Lösung ist, für alle eine nicht-biometrische Methode zu verwenden.

Darf ein biometrisches System aus Sicherheitsgründen eingerichtet werden?

Dieselbe Bekanntmachung nimmt bestimmte Einrichtungen von der allgemeinen Bewertung aus. In mehrstufigen Sicherheitsprozessen, etwa bei der Zugangskontrolle zu kritischen Bereichen, ist die biometrische Identifizierung ein Werkzeug der Sicherheit, nicht der Arbeitszeiterfassung. Auch dann erwartet die Behörde, dass der Einsatz auf die notwendigen Bereiche und Personen beschränkt ist, Alternativen unzureichend sind und der Einsatz einem konkreten Sicherheitsbedarf angemessen ist. Jeder Fall wird gesondert geprüft; der Ansatz „Fingerabdruck für alle, aus Sicherheitsgründen“ ist daher kein sicherer Weg.

Ist mobile Zeiterfassung zulässig? Ein- und Ausstempeln per Telefon

Die Erfassung per Telefon erzeugt nicht von sich aus besondere Kategorien von Daten. Entscheidend ist, welche Daten die App erhebt. Eine Erfassung mit Benutzername und Passwort ist eine Verarbeitung personenbezogener Daten und unterliegt den Grundsätzen aus Artikel 4. Kommt Gesichtserkennung oder Fingerabdruckprüfung hinzu, handelt es sich um biometrische Daten, und der oben beschriebene Grundsatzbeschluss greift. Wird der Standort erfasst, ändern sich die Fragen: Wird der Standort nur beim Ein- und Ausstempeln erfasst oder den ganzen Tag verfolgt, und wissen die Mitarbeiter das vorher? Einen gesonderten Grundsatzbeschluss des Datenschutzrats zu Standortdaten haben wir diesem Beitrag nicht zugrunde gelegt; sprechen Sie vor der Einführung einer solchen Methode mit Ihrem Berater.

KVKK-Einwilligung für die Zeiterfassung: Reicht ein unterschriebenes Einwilligungsformular?

Bei einer biometrischen Methode nicht; wie oben gezeigt, wurde die Einwilligung allein nicht als tragfähige Grundlage angesehen. Bei einer nicht-biometrischen Methode ist eine ausdrückliche Einwilligung oft gar nicht nötig: Artikel 5 Absatz 2 des Gesetzes erlaubt die Verarbeitung ohne ausdrückliche Einwilligung, wenn eine der Voraussetzungen vorliegt, etwa die Erfüllung eines Vertrags, eine rechtliche Pflicht des Verantwortlichen oder ein berechtigtes Interesse. Welche zutrifft, hängt vom konkreten Fall ab. Unabhängig davon müssen Sie die Mitarbeiter nach Artikel 10 über Ihre Identität, den Verarbeitungszweck, mögliche Empfänger der Daten, die Erhebungsmethode, die Rechtsgrundlage und ihre Rechte informieren. In der Praxis ist das wichtigste Dokument für die Zeiterfassung nicht die unterschriebene „Einwilligung“, sondern eine klare und verständliche Datenschutzinformation.

Sieben Schritte zu einer rechtlich sicheren Zeiterfassung

1. Bestandsaufnahme der aktuellen Methode: welches Gerät, welche Daten, wer speichert sie?
2. Falls ein biometrischer Leser im Einsatz ist, planen Sie seine Entfernung oder den Wechsel zu einer Alternative wie Karte oder PIN.
3. Geben Sie den Mitarbeitern eine verständliche Datenschutzinformation mit Identität, Zweck, Weitergabe, Erhebungsmethode und Rechten.
4. Beschränken Sie den Zugriff auf die Anwesenheitsdaten nach Rolle; Abteilungsleiter sehen nur ihr eigenes Team.
5. Legen Sie eine Aufbewahrungsfrist fest und definieren Sie, wie die Daten nach Ablauf gelöscht, vernichtet oder anonymisiert werden.
6. Wenn Ihr Geräte- oder Softwareanbieter auf Ihre Daten zugreift, regeln Sie die Verantwortlichkeiten klar im Vertrag.
7. Führen Sie Zugriffs- und Änderungsprotokolle; dokumentieren Sie die technischen und organisatorischen Maßnahmen nach Artikel 12.

Ist die Erfassung auf Papier oder in Excel rechtlich sicherer?

Unterschriften- und papierbasierte Listen gehören zu den Alternativen, die der Datenschutzrat genannt hat; rechtlich sind diese Methoden also nicht umstritten. Das Problem liegt im Betrieb: Fehler, keine Spur nachträglicher Änderungen und fehlende Abstimmung mit den Urlaubseinträgen. Zudem enthält auch eine Papierliste personenbezogene Daten; wer sie sieht und wo sie liegt, ist wichtig.

Wo steht YazSis KurumsalPortal in diesem Bild?

Das Modul Zeiterfassung & Anwesenheitskontrolle ist kein Gerät; es führt Stempelbuchungen auf einem Bildschirm zusammen, ordnet sie den Mitarbeitern zu und leitet Ausnahmen zur Genehmigung weiter. Wie die Daten Ihres vorhandenen Geräts übernommen werden, wird im Projekt gemeinsam abgestimmt. Die rollenbasierte Eingrenzung der Daten im Portal, die Maskierung von Feldern wie türkischer Identitätsnummer und IBAN, Protokolle der Dokumentenzugriffe und Audit-Logs helfen Ihnen, einen KVKK-orientierten Prozess aufzubauen; die Wahl der Methode und die rechtliche Bewertung nimmt Ihnen das Portal jedoch nicht ab. Wie Sie Menü- und Datenzugriffe nach Rolle beschränken, zeigt die Seite Menü- & Berechtigungsverwaltung.

Wenn Sie Anwesenheitsdaten unabhängig von der Methode geordnet, berechtigungsgebunden und nachvollziehbar führen möchten, finden Sie den Modulaufbau auf der Seite KurumsalPortal.