Biometrischen Daten sind personenbezogene Daten, zumindest aber personenbeziehbare Daten, die bestimmten natürlichen Personen zugeordnet werden können, mit der Konsequenz, dass die datenschutzrechtlichen Regelungen Anwendung finden. Eine Erhebung, Speicherung und Verarbeitung von biometrischen Daten ist nur zulässig, wenn entweder eine gesetzliche Grundlage oder eine freiwillige und informierte Einwilligung des Betroffenen vorliegt, (vgl. § 4 Abs. 1 BDSG bzw. § 4 Abs. 1 NDSG). Ausserdem müssen die datenschutzrechtlichen Prinzipien beachtet werden. Nach dem Grundsatz der Erforderlichkeit, ergänzt durch die Grundsätze der Datenvermeidung und Datensparsamkeit (§ 3a BDSG bzw. § 9 NDSG) muss die Datenerhebung und –verarbeitung auf das notwendige Minimum beschränkt werden.
Bei Zugangsberechtigungssystemen ist es fast nie erforderlich, die anfallenden Ablaufdaten zu speichern. Deshalb sind notwendige Protokolldateien schnellstmöglich zu löschen. Nach dem Grundsatz der Zweckbindung (§ 14 BDSG und § 10 NDSG) dürfen biometrische Daten nur für den Zweck verwendet werden, zu dem sie erhoben worden sind, also beispielsweise für die Zugangskontrolle. Ohne erneute Einwilligung wäre eine Nutzung für weitere Zwecke wie beispielsweise die Nutzung der für die Zugangsberechtigung erhobenen Daten für eine Überwachung auf dem gesamten betroffenen Gelände nicht zulässig. Der Grundsatz der Direkterhebung erfordert zudem, dass die biometrischen Daten bei der Person selbst und mit deren Kenntnis, ggf. deren Mitwirkung zu erheben sind. Eine unbemerkte Erfassung der biometrischen Daten ist ohne gesetzliche Grundlage bzw. Einwilligung des Betroffenen unzulässig. Schließlich enthalten § 9 BDSG sowie § 7 NDSG die Forderung nach Systemdatenschutz. Durch technisch-organisatorische Maßnahmen sind im konkreten Einsatzfall durch ein zuvor zu erstellendes Konzept der Datenschutz und die Datensicherheit zu gewährleisten.
Durch geeignete Gestaltung der Verfahren kann möglichen Gefährdungen durch den Einsatz von Biometrie wirksam begegnet werden. So lassen sich systembedingt aus Rohdaten der Biometrie über den eigentlichen Verwendungszweck hinaus weitere Rückschlüsse auf persönliche Merkmale und Eigenschaften ziehen. Zum Beispiel kann aus dem Augenhintergrund auf Krankheiten wie Diabetes oder Bluthochdruck geschlossen werden. Die Datenschutzbeauftragten setzen sich daher dafür ein, dass beim Einsatz von Biometrie ausschließlich auf mathematische Komprimate (Templates) zurückgegriffen werden darf, um den Zugang zu derartigen überschießenden Informationen aus Rohdaten und einen eventuellen Missbrauch zu vermeiden. Die datenschutzrechtliche Bewertung der Biometrie hängt auch in großem Umfang vom Einsatzzweck und von der technischen Ausgestaltung des Verfahrens ab. Datenschutzprobleme entfallen weitgehend, wenn auf eine zentrale Speicherung verzichtet wird und die Betroffenen das Speichermedium der biometrischen Merkmale, z.B. eine Chipkarte, selbst verwalten. Denn die zentrale Speicherung birgt ein erhebliches Missbrauchs- und Schadenspotential, wenn etwa durch Hacking Daten in die Hände Unbefugter gelangen. Sollten Referenzdaten dennoch aus zwingenden Gründen zentral gespeichert werden, müssen die Zugriffsberechtigungen eindeutig festgelegt und verlässliche Sicherungsmechanismen nach dem aktuellen Stand der Technik (z. B. durch sichere Verschlüsselung oder Codierung/ Signatur) definiert und umgesetzt werden. Beim Einsatz biometrischer Auswertungsprogramme besteht außerdem die Gefahr, dass eine automatisierte Identifikation ohne Kenntnis der Betroffenen durchgeführt wird und dass daraus Bewegungs- und Verhaltensprofile gebildet werden. Diese Gefahr besteht insbesondere bei der Beobachtung öffentlicher oder privater Plätze unter Nutzung von Videotechnik, die mit einem biometrischen Erkennungssystem gekoppelt ist. Zudem sollten nur die personenbezogenen Daten weitergegeben werden, die zum eindeutigen Identifizieren erforderlich und von den Kommunikationspartnern autorisiert worden sind. Mit heutiger Technik lassen sich bereits Ausweise realisieren, die eine Überprüfung zulassen, ohne die Identität des Betroffenen zu offenbaren. Denkbare Einsatzfelder für derartige pseudonyme Nutzung sind eCommerce und eGovernment. Abschließend ist darauf hinzuweisen, dass die Einführung biometrischer Verfahren am Arbeitsplatz, beispielsweise als Zutrittskontrolle oder Zugriffberechtigung zum Arbeitsplatz-PC nicht nur der Einwilligung der Betroffenen bedarf, sondern auch mitbestimmungspflichtig nach dem BetrVG bzw. PersVG ist.
Anforderungen an die datenschutzfreundliche Gestaltung
Bei biometrischen Daten handelt es sich um personenbezogene Daten, zumindest aber um personenbeziehbare Daten. Daher ist ihre Erhebung, Speicherung und Verarbeitung nur zulässig, wenn entweder eine gesetzliche Grundlage oder eine freiwillige und informierte Einwilligung des Betroffenen vorliegt (vgl. § 4 Abs. 1 BDSG).
Die Anforderungen an die datenschutzfreundliche Gestaltung biometrischer Verfahren lassen sich daher wie folgt zusammenfassen
- Es sollen nur solche Verfahren zum Einsatz kommen, die eine Benachteiligung bestimmter Personengruppen weitgehend ausschließen
- Nur die für den späteren Vergleich notwendigen Merkmale und keine Überschussinformationen dürfen aufgenommen und gespeichert werden
- Keine Verwendung von Rohdaten, sondern Schrumpfung zu Referenzdaten (Templates), um Überschussinformationen auszuschließen
- Eine strenge Zweckbindung der Daten muss sichergestellt sein. Die Datensätze dürfen nur in einer gesicherten Umgebung (Netzwerk, Datenbank) verarbeitet werden;
- Nach Möglichkeit muss auf eine zentrale Speicherung der Daten verzichtet werden, z.B. durch Speicherung der Daten auf einer Chipkarte oder einem Ausweis
- Wahl von Verfahren, die eine aktive Mitwirkung des Nutzers erfordern und eine unbemerkte Erfassung ausschließen
- Eine umfassende Information über die gesamte Anwendung beim beteiligten Personenkreis muss erfolgen bzw. eine gesetzliche Regelung für den Einsatz vorliegen
- die Biometrie darf nicht dazu herangezogen werden, über Auswerteprogramme Bewegungs- und Verhaltensprofile zu erstellen;
- Transparenz der Verfahren und der Sicherheitsmechanismen muss gegeben ist sein
- Schutz der biometrischen Daten vor unbefugter Kenntnisnahme (Einsatz von Verschlüsselung)
- eine sofortige Löschung der Daten muss vorgenommen werden, sobald ein Betroffener nicht mehr an der Anwendung teilnimmt.
Bei einem datenschutzfreundlichen Verfahren werden schon beim Enrolment - der ersten Datenerhebung vom System - nur die für einen späteren Vergleich notwendigen Daten erfasst und gespeichert. Damit wird ausgeschlossen, dass aus den Rohdaten Rückschlüsse auf persönliche Merkmale gezogen werden, die über den eigentlichen Verwendungszweck hinausgehen. Eine Speicherung der vollständig erhobenen biometrischen Daten ist in der Regel nicht notwendig. Wenn die genannten datenschutzrechtlichen Rahmenbedingungen eingehalten werden, wird der Einsatz biometrischer Verfahren nicht zu einer Gefahr für das Recht auf informationelle Selbstbestimmung, sondern trägt im Gegenteil zu einer Erhöhung der Datensicherheit durch eine unmittelbare und echte Verifikation bzw. Authentifizierung bei.