Der Chip unter der Haut: Was aus der „schönen neuen Arbeitswelt“ geworden ist

Als ein US-Unternehmen im Jahr 2017 seinen Beschäftigten Mikrochips unter die Haut einsetzen ließ, sorgte das weltweit für Aufsehen. Manche sahen darin den Beginn einer bequemeren digitalen Arbeitswelt, andere befürchteten eine umfassende Überwachung von Beschäftigten. Bis heute hat sich die Technik zwar gehalten, als Instrument der Personalsteuerung aber nicht verbreitet.

Worum geht es rechtlich?

Im August 2017 bot Three Square Market seinen Beschäftigten an, sich freiwillig einen etwa reiskorngroßen RFID-Chip zwischen Daumen und Zeigefinger implantieren zu lassen. Mehr als 50 Beschäftigte nahmen das Angebot an. Der Chip sollte Türen öffnen, die Anmeldung am Computer ermöglichen und Zahlungen im Betrieb vereinfachen.

Technisch handelte es sich nicht um einen GPS-Sender. Passive RFID- oder NFC-Chips besitzen keine eigene Energieversorgung und werden erst aktiviert, wenn sie sich in der Nähe eines geeigneten Lesegeräts befinden. Eine eigenständige Ortung ist damit nicht möglich. Das Europäische Parlament hat sich bereits 2018 mit dieser Technik und ihren möglichen Folgen für Beschäftigte befasst.

Eine Überwachung kann dennoch möglich sein. Werden Lesegeräte an verschiedenen Stellen im Betrieb eingesetzt und die Nutzungsvorgänge gespeichert, lässt sich nachvollziehen, wann ein Beschäftigter einen bestimmten Erfassungspunkt passiert oder eine technische Einrichtung benutzt hat. Das eigentliche Datenschutzrisiko liegt deshalb weniger im Chip als in der dahinterliegenden Datenverarbeitung.

Das Experiment hat sich nicht zu einem erkennbaren Standard entwickelt. Three Square Market wurde 2022 von Cantaloupe und 2026 von Seaga Manufacturing übernommen. In den aktuellen Unternehmensdarstellungen stehen Kiosksysteme, Zahlungsdienste und Software im Vordergrund. Mitarbeiterimplantate spielen dort keine erkennbare Rolle mehr.

Was gilt aktuell und warum?

Für deutsche Arbeitgeber kommt es zunächst darauf an, auf welche Rechtsgrundlage die Datenverarbeitung gestützt werden kann. Personenbezogene Daten dürfen nur verarbeitet werden, wenn dies nach der DSGVO zulässig ist. Außerdem müssen insbesondere Zweckbindung, Datenminimierung und Speicherbegrenzung beachtet werden. Art. 5 und Art. 6 DSGVO.

Einwilligung nur bei echter Freiwilligkeit

Eine Einwilligung von Beschäftigten ist nicht grundsätzlich ausgeschlossen. § 26 Abs. 2 BDSG lässt sie ausdrücklich zu. Wegen des Abhängigkeitsverhältnisses im Arbeitsverhältnis muss aber sorgfältig geprüft werden, ob die Entscheidung tatsächlich freiwillig erfolgt.

Bei einem Implantat müssen Beschäftigte die Teilnahme ohne Nachteile ablehnen können. Dafür spricht eine gleichwertige Alternative, etwa eine Zugangskarte oder ein anderes nicht invasives Identifikationsmittel. Fehlt eine echte Wahlmöglichkeit, bestehen erhebliche Zweifel an der Freiwilligkeit.

Hinzu kommt, dass die Implantation selbst einen körperlichen Eingriff darstellt. Sie kann deshalb rechtlich nicht mit der Nutzung einer gewöhnlichen Zugangskarte gleichgesetzt werden. Art. 2 Abs. 2 GG schützt die körperliche Unversehrtheit.

Datenschutzrechtliche Grenzen gelten auch für Betriebsvereinbarungen

Die Rechtsprechung hat die Anforderungen an den Beschäftigtendatenschutz seit 2018 weiter konkretisiert. Der EuGH hat entschieden, dass nationale Sonderregelungen zum Beschäftigtendatenschutz die Anforderungen des Art. 88 DSGVO erfüllen müssen. EuGH vom 30.03.2023 – C-34/21.

Auch eine Betriebsvereinbarung schafft keinen datenschutzrechtlichen Freiraum. Die Betriebsparteien müssen insbesondere Art. 5, Art. 6 und Art. 9 DSGVO beachten. Die Gerichte dürfen prüfen, ob eine vorgesehene Datenverarbeitung tatsächlich erforderlich ist. EuGH vom 19.12.2024 – C-65/23.

Das BAG hat zudem klargestellt, dass eine Betriebsvereinbarung nur solche Datenverarbeitungen erfassen kann, die von ihr tatsächlich gedeckt und datenschutzrechtlich zulässig sind. BAG vom 08.05.2025 – 8 AZR 209/21.

Der Betriebsrat ist regelmäßig beteiligt

Werden durch ein RFID-System Zutritte, Nutzungen oder Aufenthaltszeiten personenbezogen erfasst, kommt regelmäßig § 87 Abs. 1 Nr. 6 BetrVG in Betracht. Nach der Rechtsprechung genügt es, dass eine technische Einrichtung objektiv geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen. Eine ausdrückliche Überwachungsabsicht des Arbeitgebers ist nicht erforderlich. BAG vom 16.07.2024 – 1 ABR 16/23.

Bei umfangreichen Verarbeitungen muss außerdem geprüft werden, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Das ist der Fall, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Beschäftigten mit sich bringt.

Eine Betriebsvereinbarung ersetzt schließlich nicht die Prüfung der datenschutzrechtlichen Zulässigkeit. Arbeitgeber und Betriebsrat bleiben an die Vorgaben der DSGVO gebunden.

Was heißt das für die Praxis?

Mitarbeiterimplantate haben sich nicht in größerem Umfang durchgesetzt. Die damit verbundenen rechtlichen Fragen sind trotzdem aktuell geblieben, weil sie sich heute bei vielen anderen Technologien in ähnlicher Weise stellen. Zugangssysteme, Smartphones, Wearables und digitale Arbeitsplatzsysteme können umfangreiche Daten über Verhalten, Nutzung und Aufenthalte von Beschäftigten erzeugen.

Für die rechtliche Bewertung kommt es deshalb auf das Gesamtsystem an. Arbeitgeber müssen prüfen, welche Daten erhoben werden, welchem Zweck sie dienen, wie lange sie gespeichert werden und wer darauf zugreifen kann. Ebenso muss geklärt werden, ob derselbe Zweck mit einem weniger eingriffsintensiven Mittel erreicht werden kann.

Wichtigste Erkenntnisse und konkrete Tipps

RFID-Implantate haben sich bis 2026 nicht als verbreitetes Instrument der Personalsteuerung etabliert. Das wesentliche Risiko liegt ohnehin weniger im Chip als in der technischen Infrastruktur und der Auswertung der dabei entstehenden Daten.

Arbeitgeber sollten vor einer Einführung klären, ob die Datenverarbeitung erforderlich ist, auf welcher Rechtsgrundlage sie beruht und ob ein weniger eingriffsintensives Mittel zur Verfügung steht. Soll eine Einwilligung die Verarbeitung legitimieren, muss eine echte Wahlmöglichkeit bestehen. Zwecke, Speicherfristen und Zugriffsrechte sind klar zu begrenzen. Bei hohem Risiko ist eine Datenschutz-Folgenabschätzung erforderlich.