Biometrische Zutrittskontrollen: Tipps zum Datenschutz

➧ Wie helfen biometrische Daten der IT-Sicherheit?

Fingerabdruck, Iris-Scan oder Stimm-Erkennung sollen als biometrische Merkmale zum Beispiel Bezahlvorgänge, Anmelde-Verfahren oder Zutrittskontrollen sicherer machen. Betrachtet man die aktuelle Entwicklung auf dem Markt, finden sich zunehmend IT-Lösungen und IT-Services, die biometrische Verfahren nutzen.

Biometrie hilft somit in der IT-Sicherheit bei der Absicherung sensibler Daten und Zugänge. Auch bei der Zutrittskontrolle für sensible Bereiche wie ein Rechenzentrum kommen biometrische Faktoren zum Einsatz. So können Unternehmen zur Öffnung einer Tür neben Chipkarte und PIN-Eingabe auch einen Nachweis von Fingerabdruck oder Irismuster zur Identitätskontrolle verlangen.

➧ Was sagt die DSGVO zur Biometrie?

Doch die biometrischen Daten sind selbst sensibel. Aus gutem Grund nennt die Datenschutz-Grundverordnung (DSGVO) „biometrische Daten“ ausdrücklich.

Die DSGVO definiert sie als „mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten“.

Für die DSGVO fallen biometrische Daten unter die besonderen Kategorien personenbezogener Daten. Art. 9 DSGVO macht Vorgaben, wann die Verarbeitung biometrischer Daten erlaubt sein kann.

➧ Was müssen DSB bzw. Verantwortliche vor Einführung einer biometrischen Zutrittskontrolle prüfen?

Zulässigkeit der Verarbeitung biometrischer Daten

Die DSGVO nennt in Artikel 9 als datenschutzrechtliche Voraussetzungen insbesondere:

• Die betroffene Person hat in die Verarbeitung für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt.
• Die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann.
• Die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich, und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben.

Andernfalls gilt: „Die Verarbeitung von (…) biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person (…) ist untersagt.“

Will ein Unternehmen also biometrische Verfahren für die Zugangskontrolle oder Zutrittskontrolle einsetzen, muss es zuerst die datenschutzrechtlichen Voraussetzungen klären.

Neben der Zulässigkeit der Verarbeitung biometrischer Daten gilt es, die Schutzmaßnahmen und Risiken für die biometrischen Daten im Rahmen einer Datenschutz-Folgenabschätzung (DSFA) zu überprüfen.

Datenschutz-Folgenabschätzung und passende Sicherheitsmaßnahmen

Verfahren wie eine biometrische Zutrittskontrolle gehören zu den Verfahren, für die in aller Regel eine Datenschutz-Folgenabschätzung nötig ist, so die Aufsichtsbehörden in ihrer „Muss-Liste“.

Und auch wenn die Rechtsgrundlage für die Verarbeitung biometrischer Daten sichergestellt ist, müssen Verantwortliche die Risiken, die sie in der DSFA erkennen, mit angemessenen Schutzmaßnahmen beantworten.

Zu Recht erinnern die Aufsichtsbehörden daran, wie umfangreich ein biometrisches System ist. Dahinter stecken u.a.

• biometrische Erfassungsgeräte,
• die Verarbeitungslogik,
• Ausgabegeräte,
• eine Referenzdatenbank,
• die Berechtigungsdatenbank,
• Eingabeschnittstellen, Ausgabeschnittstellen, Wartungsschnittstellen,
• Verbindungen zwischen den Komponenten sowie
• Systembetreiber, Wartungsunternehmen, Hersteller und ggf. Stellen, die dem System Daten zur Verfügung stellen oder Daten daraus erhalten.

Für jede Komponente gilt es, die Risiken zu bestimmen und die passenden Sicherheitsmaßnahmen zu ergreifen.

Beachten Sie bei einer Datenschutz-Folgenabschätzung nicht nur für eine biometrische Zutrittskontrolle darüber hinaus:

• Da sich biometrische Daten für die Identifizierung von Personen nutzen lassen, bedeutet der Diebstahl und Missbrauch biometrischer Daten gleichzeitig, dass Identitätsdiebstahl und Identitätsmissbrauch möglich sind. So könnten Unbefugte in ein Gebäude gelangen, das über biometrische Zutrittskontrollen geschützt wird, oder sie könnten Zugang zu einem geschützten Smartphone erhalten, wenn es über einen biometrischen Zugangsschutz abgesichert wird.
• Werden biometrische Daten mit weiteren personenbezogenen Daten verknüpft, lassen sich die biometrischen Zutrittskontrollen und Zugangskontrollen dazu missbrauchen, heimlich Nutzerprofile anzulegen, zum Beispiel für die Verhaltenskontrolle von Beschäftigten.
• Da bei der Zutrittskontrolle Videoüberwachung eine große Rolle spielt und die biometrische Zutrittskontrolle darum ergänzt werden könnte, denken Sie daran, dass sich die Aufsichtsbehörden bereits kritisch zu der Kombination aus Biometrie und Videoüberwachung geäußert haben.
• Gerade in Verbindung einer Auswertung biometrischer Daten mittels Unterstützung durch KI (Künstliche Intelligenz) sind die rechtlichen Grenzen und Verbote zu beachten. So fordert zum Beispiel das EU-Parlament im Rahmen des sogenannten KI-Gesetzes (AI Act der EU) ein Verbot biometrischer Erkennungssysteme in Echtzeit in öffentlich zugänglichen Räumen.

➧ Checkliste zur Prüfung biometrischer Zutrittskontrollen

Die folgenden Fragen helfen Ihnen dabei, die nötigen Prüfungen vor der Einführung von biometrischen Zutrittskontrollen durchzuführen:

• Wurde geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist?
• Wurden die Funktionen des Systems ermittelt (z.B. mögliche Kombination aus Videoüberwachung und biometrischer Zutrittskontrolle)?
• Wurden die datenschutzrechtlichen Voraussetzungen für die Verarbeitung biometrischer Daten überprüft?
• Wurden der Umfang und Zweck der Datenerhebung geprüft?
• Findet keine Zweckänderung statt?
• Werden die Daten sicher gespeichert?
• Werden Datensicherheitsmaßnahmen gegen möglichen Missbrauch eingesetzt?
• Werden auch Zuverlässigkeit und Verfügbarkeit der Lösung hinterfragt?
• Werden mögliche Änderungen / Erweiterungen der Biometrie-Lösung vorab überprüft?

Oliver Schonschek