Stempeluhr mit Gesichtserkennung: wie sie funktioniert und was Sie vor der Auswahl prüfen sollten

Eine Stempeluhr mit Gesichtserkennung hat genau eine Aufgabe: Jemand stellt sich zu Schichtbeginn vor eine Kamera, das System erkennt, wer es ist, und eine Uhrzeit landet im Protokoll. Am Schichtende genauso.

Das ist die ganze Idee. Die Unterschiede zwischen den Produkten liegen im Drumherum: wo der Abgleich passiert, was bei Fehlern geschieht, was es pro Kopf kostet und wer am Ende die Gesichtsdaten Ihres Teams hat. Dieser Ratgeber geht all das durch, damit Sie wählen können, ohne vierzig Produktseiten zu lesen.

Offenlegung: Wir entwickeln FaceClock, eine App zur Zeiterfassung per Gesichtserkennung für Android. Ich sage ehrlich, wo sie passt und wo nicht.

Wie Gesichtserkennung jemanden einstempelt

Jedes System am Markt, vom 400-Dollar-Wandterminal bis zur Handy-App, macht grob dieselben vier Schritte:

1. Erkennen. Ein Gesicht im Kamerabild finden und ausschneiden. FaceClock nutzt dafür ein kleines Modell namens YuNet: 227 KB.
2. Kodieren. Das ausgeschnittene Gesicht in einen Vektor umwandeln, eine Zahlenreihe, die dieses Gesicht beschreibt. FaceClock nutzt SFace, das 128 Zahlen pro Gesicht erzeugt.
3. Vergleichen. Messen, wie nah dieser Vektor an den Vektoren jeder registrierten Person liegt.
4. Entscheiden. Ist der nächste nah genug, also über einem Schwellenwert, ist es diese Person. Wenn nicht, wird niemand eingestempelt.

In Schritt 4 steckt der Zielkonflikt. Ist die Schwelle locker, stempelt das System gelegentlich die falsche Person ein. Ist sie streng, lässt es gelegentlich die richtige Person noch einmal schauen. Für die Lohnabrechnung ist der zweite Fehler der billigere. Ein „Bitte noch einmal“ kostet drei Sekunden. Eine Schicht unter falschem Namen kostet eine Diskussion am Monatsende. FaceClock ist deshalb auf streng eingestellt.

Warum Betriebe von Karte, PIN und Fingerabdruck zum Gesicht wechseln

Vor allem aus einem Grund: Stempeln für Kollegen (auf Englisch „buddy punching“). Eine PIN lässt sich per Nachricht weitergeben. Eine Karte lässt sich ausleihen. Ein Gesicht nicht, und jeder Stempelvorgang kommt mit einem Foto der Person, die vor der Kamera stand.

Die anderen Gründe sind kleiner, aber real:

• Nichts zu verlieren oder zu vergessen. Keine Karten ersetzen, keine PINs am Montagmorgen zurücksetzen.
• Nichts anzufassen. Fingerabdruckleser verschmieren in der Küche und versagen bei Mehl, Baustaub und trockener Winterhaut. Einer Kamera ist das egal.
• Nichts, das verschleißt. Ein Fingerabdrucksensor ist ein Bauteil, das kaputtgeht. Die Kamera eines Tablets überlebt das Tablet.

Was Sie gegenüber einer PIN-Tastatur aufgeben: Gesichtsdaten sind biometrische Daten, mit rechtlichen Pflichten. In Deutschland sogar mit ein paar besonders wichtigen. Dazu weiter unten mehr.

Die drei Arten von Gesichts-Stempeluhren

1. Wandterminals

Ein Gehäuse mit Kamera und kleinem Display an der Wand, oft mit Kartenleser und Fingerabdrucksensor. Marken wie ZKTeco oder Anviz verkaufen viele davon.

• Stark bei: Robustheit. Sie sind für den Werkseingang gebaut. Viele arbeiten offline und synchronisieren später.
• Schwach bei: allem rund um die Hardware. Die Einrichtung läuft oft über ein Windows-Programm oder ein Cloud-Portal. Ein defektes Gerät zu ersetzen heißt, ein bestimmtes Modell nachzubestellen.
• Kosten: Die Hardware ist meist ein Einmalkauf im Bereich einiger hundert Dollar oder mehr, manchmal mit zusätzlichem Software-Abo.

2. Cloud-Apps mit „Kiosk-Modus“ auf dem Tablet

Ein Zeiterfassungsdienst, oft Teil eines größeren Produkts für Dienstplanung oder Lohnabrechnung, der ein Tablet zum Stempelterminal macht. Der Gesichtsabgleich passiert meist auf den Servern des Anbieters.

• Stark bei: dem Gesamtbild. Dashboards für mehrere Standorte, Dienstpläne, Lohnintegration, Meldungen bei Verspätungen.
• Schwach bei: Betrieb ohne Internet und Datenschutz. Gesichtsbilder oder Vektoren verlassen den Betrieb, die biometrischen Daten Ihres Teams liegen also bei einem Dritten. Fällt am Samstagabend das WLAN aus, bleiben Stempelungen in der Warteschlange oder scheitern.
• Kosten: ein monatliches Abo pro Nutzer. Meist ein paar Dollar pro Person und Monat, was sich bei 20 Leuten über einige Jahre summiert.

3. Apps auf dem Gerät

Eine App, die Erkennen, Kodieren und Vergleichen komplett auf dem Telefon oder Tablet erledigt. Nichts wird irgendwohin geschickt. FaceClock gehört dazu.

• Stark bei: Datenschutz, Kosten und Einsatz dort, wo das Internet schlecht ist oder fehlt: Keller, Marktstände, Baustellen, Werkstätten auf dem Land.
• Schwach bei: allem, wofür Geräte miteinander sprechen müssen. Kein zentrales Dashboard für fünf Standorte, keine Live-Meldungen, keine direkte Lohnanbindung. Sie exportieren die Stunden und bringen sie dorthin, wo sie gebraucht werden.
• Kosten: FaceClock ist kostenlos. Die einzige Hardware ist ein Android-Gerät, das vielleicht schon in Ihrer Schublade liegt.

Wo Gesichts-Stempeluhren scheitern (alle)

Ich wäre bei jedem Anbieter skeptisch, der das nicht erwähnt.

Gegenlicht. Eine Kamera, die um 8 Uhr morgens auf eine Glastür blickt, sieht eine Silhouette. Das ist Ursache Nummer eins für „es erkennt mich nicht“. Bringen Sie das Gerät so an, dass das Licht hinter der Kamera ist, nicht hinter der Person.

Große Veränderungen im Aussehen. Ein Vollbart, der in einem Monat gewachsen ist, oder eine neue Brille mit dickem Rahmen können jemanden unter die Schwelle drücken. Neu registrieren dauert eine Minute.

Zwillinge und sehr ähnliche Geschwister. Gängige Gesichtserkennung kann bei eineiigen Zwillingen Probleme haben. Wenn Sie welche beschäftigen, geben Sie ihnen eine andere Stempelmöglichkeit oder prüfen Sie die Schichten anhand der Fotos.

Fotos von Gesichtern. Das Foto eines Kollegen hochzuhalten ist der naheliegende Angriff. Teure Terminals haben Lebenderkennung (Infrarot- oder 3D-Sensoren) dagegen. FaceClock betreibt kein separates Anti-Spoofing-Modell. Stattdessen speichert es ein Foto von jedem Ein- und Ausstempeln, sodass eine Führungskraft, die das Schichtprotokoll durchsieht, einen hochgehaltenen Handybildschirm sofort bemerkt. Für ein Café mit 10 Leuten reicht das als Abschreckung meist. Für eine Baustelle mit 300 Subunternehmern brauchen Sie Hardware-Lebenderkennung.

Die rechtliche Seite, kurz

In der EU fallen Gesichtsdaten zur Identifizierung unter Art. 9 DSGVO. In Deutschland kommt hinzu: Biometrische Zeiterfassung gilt nach der Rechtsprechung (etwa LAG Berlin-Brandenburg 2020) in der Regel nicht als erforderlich, braucht also meist eine freiwillige Einwilligung mit Alternative oder eine Betriebsvereinbarung, und der Betriebsrat bestimmt mit. In Illinois verlangt die BIPA eine unterschriebene Freigabe vor dem ersten Scan.

Der wichtigste Faktor ist, ob biometrische Daten das Gerät verlassen. Wenn ja, haben Sie ein Anbieterverhältnis, Datenübermittlungen und ein Leckrisiko zu erklären. Wenn nein, entfällt das meiste, und übrig bleiben Information, Einwilligung und Aufbewahrung, alles in Ihrer Hand. Ausführlich hier: biometrische Zeiterfassung und das Recht.

Checkliste vor der Auswahl

Nehmen Sie sie auf jede Produktseite mit, auch auf unsere.

1. Wo findet der Abgleich statt? Auf dem Gerät oder auf einem Server? Wenn die Seite es nicht sagt, gehen Sie von einem Server aus.
2. Funktioniert es ohne Internet? Nicht „puffert eine Weile“, sondern funktioniert, unbegrenzt.
3. Was wird gespeichert? Fotos, Vektoren, beides? Wie lange? Wird automatisch gelöscht?
4. Kann das Team ohne eigenes Handy stempeln? Einen 19-jährigen Küchenhelfer eine App installieren zu lassen, damit er bezahlt wird, erzeugt unnötige Reibung.
5. Was passiert, wenn jemand nicht erkannt wird? Neuer Versuch, Alternative, Freigabe durch Führungskraft?
6. Kann eine Führungskraft Zeiten nachträglich ändern? Manche Inhaber wollen das. Andere wollen genau das Gegenteil: ein Protokoll, das niemand heimlich anpassen kann. FaceClock gehört zur zweiten Sorte: Eine erfasste Schicht lässt sich nicht verschieben, nur ergänzen.
7. Wie kommen die Stunden in die Lohnabrechnung? CSV, PDF, direkte Anbindung?
8. Was kostet es für Ihre Belegschaft über drei Jahre? Preise pro Nutzer wirken klein, bis man sie multipliziert.
9. Was passiert mit den Daten, wenn Sie kündigen? Fragen Sie bei Cloud-Produkten, wie Sie exportieren und wie der Anbieter löscht.
10. In Deutschland: Gibt es eine Alternative für alle, die nicht biometrisch stempeln wollen, und ist der Betriebsrat beteiligt?

Wann FaceClock passt, und wann nicht

Es passt für einen Standort mit einem Eingang und etwa 3 bis 50 Leuten: ein Café, ein Salon, eine Zahnarztpraxis, eine Werkstatt, ein kleines Lager, ein Schulsekretariat. So richten Sie es ein:

• Ein Android-Gerät ab Version 7.0: ein altes Handy oder ein günstiges Tablet reicht.
• Am Eingang auf Gesichtshöhe anbringen, mit Licht auf den Gesichtern, nicht dahinter. In den Einstellungen „Bildschirm anlassen“ aktivieren und ans Netzteil hängen.
• Niemand muss vorab angelegt werden. Tippt ein unbekanntes Gesicht zum ersten Mal auf den Button, fragt die App nach einem Namen und macht ein Referenzfoto. Danach tippt die Person nur noch und schaut.
• Schichten über Mitternacht werden als ein Datensatz gespeichert. Vergisst jemand das Ausstempeln, eröffnet der nächste Stempelvorgang nach der maximalen Schichtlänge (Standard: 12 Stunden) eine neue Schicht.
• Exportieren Sie zur Lohnabrechnung eine CSV-Datei oder ein PDF mit den Stempelfotos. Schichten werden 90 Tage gespeichert und dann automatisch gelöscht, exportieren Sie also mindestens monatlich.
• Bieten Sie eine Alternative an (PIN-Liste, Papier) und klären Sie Einwilligung bzw. Betriebsvereinbarung vorher.

Es passt nicht, wenn Sie mehrere Standorte in einem Dashboard brauchen, Hardware-Lebenderkennung, direkte Lohnanbindung oder eine App-Oberfläche in einer anderen Sprache als Englisch oder Russisch. Dann schauen Sie sich die Cloud-Produkte und Terminals oben an und vergleichen Sie mit der Checkliste.

Wie der Rest im Alltag aussieht, zeigt Zeiterfassung für Cafés und Restaurants am Beispiel eines Cafés mit 12 Leuten, von Anfang bis Ende.