Biometrische daten

Was sind biometrische Daten?

Biometrische Merkmale können zwei unterschiedlichen Zwecken dienen: der Identifizierung einer natürlichen Person oder aber der Bestätigung ihrer Identität (Verifikation). Letzteres findet in etwa Ausdruck darin, dass ein Personalausweis heutzutage verstärkt biometrisch ausgerichtet ist. Der Umfang die Angaben zur Person erhöht dabei nicht nur das Zuverlässigkeit bei der Identifikation, sondern erhöht zusätzlich auch die Fälschungssicherheit entsprechender Dokumente.

Die Bedeutung der Biometrie hat in den letzten Jahrzehnten an immer mehr Kraft gewonnen, nicht erst mit der Entschlüsselung der DNA und ihrer Verwendung in der Verbrechensverfolgung. Der Fingerabdruck gehört in der Kriminalistik schon seit mehr als 100 Jahren zu den standardisierten Verfahren (Daktyloskopie).

Biometrische Daten beschreiben dabei im Allgemeinen biologische Eigenschaften einer natürlichen Person – und sind als solche personenbeziehbar bzw. personenbezogen. Damit sind biometrische Daten durch den Datenschutz erfasst. Die Datenschutzgrundverordnung trifft folgende Definition:

„‚biometrische Daten‘ mittels speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;“ (Art. 4 Ziffer 14 DSGVO)

Neben DNA und Fingerabdruck stürzen damit etwa auch folgende Informationen unter die biometrische Daten:

• Geometrie des Gesichts (aber auch anderer Körperteile wie Händen)
• Regenbogenhaut der Augen (Iris) sowie der Augenhintergrund (Retina)
• Körpergröße
• Klangfarbe der Stimme
• Form der Ohren
• Zahnabdruck
• Hand- sowie Unterschriften

Verarbeitung besonderer Kategorien personenbezogener Daten im Allgemeinen untersagt

Die DSGVO stellt besondere Kategorien personenbezogener Daten unter einen allgemeinen Schutz. Biometrische Daten, ethnische, politische, gesundheitliche Informationen u. a. zu einer natürlichen Person dürfen gemäß Art. 9 Absatz 1 DSGVO grundsätzlich nicht verarbeitet werden. Doch nennt der Artikel in der Folge auch bestimmte Ausnahmen, die es vor allem öffentlichen Stellen ermöglichen, biometrische Daten zu erheben und zu verarbeiten.

Unter anderem in folgenden Fällen kann die biometrische Datenerfassung trotz des allgemeinen Verbots zulässig sein (vgl. Art. 9 Absatz 2 DSGVO):

1. Der Betroffene hat eine eindeutige, freiwillige und informierte Einwilligung in die Verarbeitung erteilt (Vorsicht: nationale und internationale Rechte können hier auch trotz vorliegender Einwilligung die Verarbeitung untersagen!)
2. Arbeits- und sozialversicherungsrechtliche Erwägungsgründe können die Verarbeitung sensibler Daten erforderlich tun (etwa Gesundheitsdaten bei Krankmeldung des Arbeitnehmers, aber auch beim Schutz vor Gesundheitsgefahren)
3. Die Verarbeitung kann erforderlich bestehen, wenn dies zum Schutz lebenswichtiger Interessen des Betroffenen oder anderer nötig, der Betroffene jedoch nicht zur Einwilligung in der Lage ist.
4. Die Daten wurden von dem Betroffenen selbst öffentlich gemacht.
5. Für die justiziellen Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen kann die Verarbeitung ebenfalls erforderlich sein.
6. Ein rechtliches und erhebliches öffentliches Interesse begründet die Verarbeitung (etwa bei der Strafverfolgung).

Sind das biometrische Authentifizierung und Gesichtserkennung noch zulässig?

In öffentlichen und nichtöffentlichen Stellen kann die biometrische Zugangskontrolle über Iris, Stimme oder Fingerabdruck zur Sicherheit von schutzwürdigen Informationen eingesetzt werden. Ein grundsätzliches Verbot, biometrische Daten in diesem Zusammenhang zu verarbeiten, nennt die DSGVO nicht. Ohne rechtliche Grundlage für diese Verarbeitung sollte jedoch stets die Einwilligung der Betroffenen eingeholt werden.

Zudem mögen auch Zweck- und Verhältnismäßigkeit eine wichtige Rolle spielen: Öffentliche und nichtöffentliche Stellen sollten deshalb stets abwägen, wessen schutzwürdigen Interessen im Einzelfall überwiegen, die des Betroffenen oder die der Einrichtung.