Glossar

Biometrische Daten

Datenschutz-Glossar · 5 Minuten Lesezeit

Biometrische Daten sind nach Art. 4 Nr. 14 DS-GVO personenbezogene Daten, die durch spezielle technische Verfahren aus körperlichen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person gewonnen werden und deren eindeutige Identifizierung ermöglichen oder bestätigen. Werden biometrische Daten zur eindeutigen Identifizierung einer Person verarbeitet, gelten die besonderen Schutzanforderungen des Art. 9 DS-GVO.

Welche Informationen zählen zu biometrischen Daten?

Biometrische Verfahren nutzen individuelle Merkmale eines Menschen, um seine Identität festzustellen oder zu bestätigen.

Dabei können sowohl körperliche Eigenschaften als auch bestimmte Verhaltensmerkmale berücksichtigt werden.

Typische Beispiele sind:

Fingerabdrücke: Erfassung und technische Auswertung charakteristischer Merkmale der Fingerkuppen.
Gesichtsgeometrie: Analyse individueller Gesichtsmerkmale durch Gesichtserkennungssysteme.
Irismuster: Auswertung der charakteristischen Strukturen der Regenbogenhaut.
Retinamuster: Analyse bestimmter Merkmale der Netzhaut des Auges.
Handgeometrie: Vermessung individueller Merkmale der Hand.
Stimmmerkmale: Technische Auswertung charakteristischer Eigenschaften der Stimme zur Identifizierung oder Authentifizierung.

Entscheidend ist nicht allein das Vorhandensein eines körperlichen Merkmals, sondern dessen Verarbeitung durch ein spezielles technisches Verfahren, das die eindeutige Identifizierung einer Person ermöglicht oder bestätigt.

Ein gewöhnliches Foto oder eine einfache Sprachaufnahme ist deshalb nicht automatisch ein biometrisches Datum im Sinne von Art. 4 Nr. 14 DS-GVO.

Erst die entsprechende technische Verarbeitung kann dazu führen, dass biometrische Daten im datenschutzrechtlichen Sinne entstehen.

Wann gelten biometrische Daten als besonders geschützte personenbezogene Daten?

Art. 9 Abs. 1 DS-GVO zählt biometrische Daten zu den besonderen Kategorien personenbezogener Daten, soweit sie zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden.

Für diese Verarbeitung gilt grundsätzlich ein Verbot, von dem Art. 9 Abs. 2 DS-GVO gesetzlich geregelte Ausnahmen vorsieht.

Eine solche Ausnahme kann beispielsweise vorliegen, wenn die betroffene Person ausdrücklich in die Verarbeitung für einen oder mehrere festgelegte Zwecke eingewilligt hat.

Auch andere gesetzliche Ausnahmen können unter den jeweiligen Voraussetzungen einschlägig sein.

Neben einer Ausnahme nach Art. 9 Abs. 2 DS-GVO muss grundsätzlich eine geeignete Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO bestehen.

Nicht jede Verarbeitung eines Fotos oder einer Stimme unterliegt automatisch dem besonderen Verarbeitungsverbot.

Beispielsweise führt die gewöhnliche Speicherung eines Mitarbeiterfotos nicht allein deshalb zur Anwendung von Art. 9 DS-GVO, weil darauf das Gesicht einer Person zu erkennen ist.

Wird das Foto hingegen mit einem speziellen Gesichtserkennungsverfahren zur eindeutigen Identifizierung verarbeitet, können die zusätzlichen Anforderungen des Art. 9 DS-GVO greifen.

Wofür werden biometrische Daten in Unternehmen eingesetzt?

Biometrische Verfahren werden insbesondere eingesetzt, um Personen zu identifizieren oder ihre Identität zu bestätigen.

Zu den typischen Anwendungsbereichen gehören:

Zutrittskontrolle: Zugang zu Gebäuden oder besonders geschützten Bereichen mittels Fingerabdruck oder Gesichtserkennung.
Zugang zu IT-Systemen: Authentifizierung von Nutzern anhand biometrischer Merkmale.
Identitätsprüfung: Abgleich biometrischer Merkmale mit hinterlegten Referenzdaten.
Sicherheitsanwendungen: Überprüfung der Identität berechtigter Personen in besonders geschützten Bereichen.
Zeiterfassung: Erfassung von Arbeitszeiten mithilfe biometrischer Identifikationsverfahren.

Die technische Möglichkeit einer biometrischen Identifizierung bedeutet jedoch nicht, dass ihr Einsatz datenschutzrechtlich zulässig ist.

Insbesondere bei Beschäftigten ist zu prüfen, ob die Verarbeitung für den konkreten Zweck erforderlich ist und auf eine tragfähige gesetzliche Grundlage gestützt werden kann.

Stehen weniger eingriffsintensive Verfahren zur Verfügung, beispielsweise Zugangskarten oder persönliche Kennwörter, kann dies gegen die Erforderlichkeit eines biometrischen Verfahrens sprechen.

Die Zulässigkeit hängt deshalb stets von den Umständen des jeweiligen Einsatzes ab.

Welche Datenschutzanforderungen gelten bei biometrischen Verfahren?

Unternehmen müssen bei der Verarbeitung biometrischer Daten die allgemeinen Datenschutzgrundsätze der DS-GVO beachten.

Dazu gehören insbesondere Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung sowie Integrität und Vertraulichkeit nach Art. 5 DS-GVO.

Bei biometrischen Verfahren ist außerdem zu berücksichtigen, dass bestimmte körperliche Merkmale nicht ohne Weiteres verändert werden können.

Gelangen biometrische Referenzdaten in unbefugte Hände, können daraus besondere Risiken für die betroffenen Personen entstehen.

Nach Art. 32 DS-GVO müssen Verantwortliche deshalb geeignete technische und organisatorische Maßnahmen treffen, die ein dem Risiko angemessenes Schutzniveau gewährleisten.

Hierzu können insbesondere gehören:

Beschränkung des Zugriffs auf biometrische Daten
Verschlüsselung gespeicherter und übertragener Informationen
Möglichst dezentrale Speicherung biometrischer Referenzdaten
Verwendung geeigneter Schutzmechanismen für biometrische Templates
Festlegung angemessener Speicher- und Löschfristen
Regelmäßige Überprüfung der eingesetzten Sicherheitsmaßnahmen

Ein biometrisches Template ist eine aus biometrischen Merkmalen erzeugte digitale Referenz, die beispielsweise zum Abgleich bei einer späteren Authentifizierung verwendet wird.

Auch solche Templates können personenbezogene und besonders geschützte biometrische Daten darstellen.

Nach Art. 35 DS-GVO kann außerdem eine Datenschutz-Folgenabschätzung erforderlich sein, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Praxisbeispiel: Fingerabdruckscanner zur Zugangskontrolle

Ein Unternehmen möchte den Zugang zu seinen Büroräumen künftig über Fingerabdruckscanner regeln.

Bislang verwenden die Beschäftigten persönliche Zugangskarten.

Das Unternehmen verspricht sich von der biometrischen Lösung eine einfachere Verwaltung und möchte verhindern, dass Zugangskarten an unberechtigte Personen weitergegeben werden.

Da die Fingerabdrücke zur eindeutigen Identifizierung der Beschäftigten verarbeitet werden sollen, handelt es sich um besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DS-GVO.

Vor der Einführung muss das Unternehmen prüfen, ob eine geeignete Rechtsgrundlage nach Art. 6 DS-GVO und eine Ausnahme nach Art. 9 Abs. 2 DS-GVO vorliegen.

Außerdem ist zu untersuchen, ob der angestrebte Sicherheitszweck auch durch weniger eingriffsintensive Maßnahmen erreicht werden kann.

Ist die bestehende Zugangskartenlösung ausreichend sicher, lässt sich die Erforderlichkeit der biometrischen Verarbeitung möglicherweise nicht begründen.

legal data Einschätzung: Unternehmen sollten biometrische Verfahren nicht allein aufgrund technischer Vorteile oder einer bequemeren Handhabung einführen. Entscheidend sind die konkrete Erforderlichkeit, eine tragfähige Rechtsgrundlage und angemessene Sicherheitsmaßnahmen. Insbesondere im Beschäftigungsverhältnis empfiehlt sich eine sorgfältige Prüfung möglicher Alternativen, bevor Fingerabdrücke oder andere biometrische Merkmale zur Identifizierung eingesetzt werden.

Rechtsgrundlagen

Art. 4 Nr. 14 DS-GVO
Art. 5 DS-GVO
Art. 6 DS-GVO
Art. 9 DS-GVO
Art. 25 DS-GVO
Art. 32 DS-GVO
Art. 35 DS-GVO
ergänzend insbesondere Erwägungsgrund 51 DS-GVO sowie gegebenenfalls einschlägige nationale Vorschriften zum Beschäftigtendatenschutz, soweit deren Anwendbarkeit und gesetzliche Voraussetzungen gegeben sind.

Häufige Fragen zu biometrischen Daten

Was sind biometrische Daten nach der DS-GVO?

Biometrische Daten sind personenbezogene Daten, die durch spezielle technische Verfahren aus körperlichen, physiologischen oder verhaltenstypischen Merkmalen einer Person gewonnen werden und deren eindeutige Identifizierung ermöglichen oder bestätigen. Die Definition findet sich in Art. 4 Nr. 14 DS-GVO.

Ist ein Fingerabdruck ein biometrisches Datum?

Ein Fingerabdruck kann ein biometrisches Datum im Sinne der DS-GVO sein, wenn er durch ein spezielles technisches Verfahren verarbeitet wird, das die eindeutige Identifizierung einer Person ermöglicht oder bestätigt.

Sind Fotos automatisch biometrische Daten?

Nein. Ein gewöhnliches Foto ist nicht automatisch ein biometrisches Datum im Sinne von Art. 4 Nr. 14 DS-GVO. Wird es jedoch mit speziellen technischen Verfahren zur eindeutigen Identifizierung verarbeitet, können biometrische Daten entstehen.

Dürfen Arbeitgeber Fingerabdrücke zur Zeiterfassung verwenden?

Eine biometrische Zeiterfassung ist nicht generell ausgeschlossen, unterliegt jedoch strengen datenschutzrechtlichen Voraussetzungen. Insbesondere müssen eine geeignete Rechtsgrundlage, eine Ausnahme nach Art. 9 Abs. 2 DS-GVO und die Erforderlichkeit der Verarbeitung geprüft werden. Weniger eingriffsintensive Alternativen sind zu berücksichtigen.

Müssen biometrische Daten besonders geschützt werden?

Ja. Verantwortliche müssen nach Art. 32 DS-GVO geeignete technische und organisatorische Maßnahmen treffen. Bei biometrischen Daten können aufgrund ihrer Eigenschaften besonders hohe Schutzanforderungen bestehen, beispielsweise hinsichtlich Verschlüsselung, Zugriffsbeschränkungen und sicherer Speicherung.