David Klein - DS-GVO/BDSG

78

Als Beispiele für biometrische Daten sind etwa Finger- oder Handabdrücke, Iris-oder Netzhaut-Scans, Gesichtserkennungen, Venenmuster der menschlichen Handoder Sprachidentifikationenaber auch eine charakteristische Gang- oder Sprecharteiner Person zu nennen.[143] Dies beinhaltet die Feststellung, dass biometrische Daten einen Unterfall der personenbezogenen Daten[144] bilden.[145]

79

Darüber hinaus sind auch biometrische Daten wie genetische Daten besonders anfällig für Diskriminierungen.[146] Aufgrund dieser Sensitivitätbiometrischer Daten unterfallen sie dem besonderen Schutz des Art. 9.

80

Biometrische Daten werden zu Identifikationszwecken zunehmend auch von Privaten eingesetzt. Das Entsperren des Smartphonesmittels eines Fingerabdrucks (Touch-ID) oder einer Gesichts- bzw. Iriserkennung (Face-ID) stellt dabei bspw. eine Nutzung biometrischer Daten durch Private dar.[147] Darüber hinaus haben biometrische Daten zunehmend im Rahmen von Zugangskontrollen[148] (z.B. für Bereiche, die eine besondere Sicherheit verlangen wie etwa Rechenzentren, Laboren, Flughäfen oder Kernkraftwerken)[149] eine große Bedeutung. Weitere Anwendungsfelder der Verarbeitung biometrischer Daten liegen in der Profilbildung, Überwachung, Registrierungoder der Verhaltenssteuerung.[150] Daneben können biometrische Verfahren aber auch im Rahmen der Werbungoder der Kommunikation zwischen Mensch und Maschinezum Einsatz kommen.[151]

81

Zudem wird die Frage der Verarbeitung von biometrischen Daten im Rahmen der Videoüberwachung[152] relevant. Im Zuge der technischen Möglichkeiten findet so vermehrt eine Verzahnung von Videoüberwachung und biometrischen Systemen statt. So sind längst an vielen Orten Videoüberwachungssysteme zum Zwecke der Prävention von Straftaten oder der Strafverfolgung installiert. Dabei werden im Rahmen einer intelligenten Videoüberwachung und im Rahmen von Body-Camszunehmend auch Gesichtserkennungen durchgeführt sowie zusätzliche Elemente (etwa die Gangart oder Gestik) erfasst, so dass diese Aufnahmen unter den Begriff der biometrischen Daten fallen und damit deren Verarbeitung den strengen Anforderungen der Art. 6und 9unterliegt. Vor diesem Hintergrund stellt sich die Frage nach dem Konkurrenzverhältnis von Art. 6 und 9 im Rahmen der Videoüberwachung(dazu bereits Rn. 21). Sofern es sich bei der Videoüberwachung um eine Verarbeitung besonderer Kategorien von Daten handelt, wäre dementsprechend Art. 9und nicht Art. 6 anwendbar.[153] Die Unterscheidung hat weitreichende Folgen, weil die Videoüberwachung nach nationalem Recht etwa durch § 4oder nach § 22 BDSGgerechtfertigt sein kann, aber unterschiedlichen Anforderungen unterliegt. Insofern entscheidet die Frage des Vorliegens eines sensiblen Datums über die jeweils anwendbare Rechtsgrundlage. Als Leitlinie ist hierbei festzuhalten: Eine Videoüberwachung fällt nur dann unter das strenge Regelungsregime des Art. 9, wenn die Datenverarbeitung der eindeutigen Identifizierungder betroffenen Person dient und daher mittels spezieller technischer Mitteldie Erfassung und Verarbeitung zielgerichtet verfolgt wird und daher Zweck der Datenverarbeitung ist.[154] Andernfalls handelt es sich um die Anfertigung eines Lichtbildes, dessen Rechtmäßigkeit sich nach Art. 6bzw. § 3 BDSGoder dem jeweiligen Landesdatenschutzgesetz richtet. Diese Sichtweise wird auch durch ErwG 51 S. 3 gestützt, der statuiert, dass Lichtbilder nur dann als besondere Kategorie personenbezogener Daten einzustufen sind, wenn die o.g. Voraussetzungen erfüllt sind. Dieses restriktive Verständnis einer Videoüberwachung als sensibles Datum ist konsequent, entspricht es doch der Regelungssystematik der DS-GVO und den nationalen Umsetzungsnormen und belässt dabei Art. 9einen hinreichenden Anwendungsbereich, sofern die Datenverarbeitung ein erhöhtes Schutzniveau erforderlich macht.

82

Von entscheidender Bedeutung für die Praxis ist insbesondere die Frage, ob auch eingescannte Unterschriftenals biometrische Daten zu qualifizieren sind. Insofern ist zu beachten, dass bereits eine charakteristische Gang- oder Sprechart wie oben bereits erwähnt unter den Begriff der biometrischen Daten fallen. Darüber hinaus nennt die Art.-29-Datenschutzgruppe in ihrem WP 193[155] konsequent auch ausdrücklich die Verifikation von Unterschriften als biometrisches Verfahren für die Erfassung der Verhaltensmerkmale einer Person. So stellt die Erfassung biometrischer Daten zu Unterschriften eine neue Nutzung biometrischer Technologien dar. Folglich stellt die Art.-29-Datenschutzgruppe klar, dass „biometrische Daten zu Unterschriften (. . .) durch biometrische Verfahren ermittelt [werden], bei denen das Verhalten einer Person aufgrund der Dynamik der jeweiligen Handschrift bewertet wird. Herkömmliche Systeme zur Erkennung von Unterschriften beruhen auf der Analyse statischer oder geometrischer Merkmale des jeweiligen Unterschriftsbildes.“ Für die Praxis hätte eine derartige Beurteilung weitreichende Konsequenzen: Denn so würde auch ein eingescannter herkömmlicher Personalausweis, nicht wegen des Lichtbildes (vgl. ErwG 51 S. 1), sondern wegen der darauf enthaltenen Unterschrift als biometrisches Datum eingestuft und daher den hohen Anforderungen des Art. 9unterliegen. Dabei ist aber stets zu beachten, dass bspw. die eingescannte Unterschrift unter einem Word-Dokument demgegenüber nicht a priori ein biometrisches Datum darstellt. Denn grundsätzlich ist die eingescannte Unterschrift lediglich ein Lichtbild. Als Leitlinie lässt sich daher für die Praxis festhalten, dass eingescannte Unterschriften zwar biometrische Daten darstellen können, dies aber erst dann der Fall ist, wenn eine biometrische Erfassungder Unterschrift stattfindet. Ansonsten bleibt es bei der Beurteilung als schlichtes Lichtbild.

83

Weiterhin unterliegt die Datenkategorie der Gesundheitsdaten nach Art. 9 Abs. 1einem grundsätzlichen Verarbeitungsverbot.

84

Gesundheitsdatensind nach Art. 4 Nr. 15[156] personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

85

Ausweislich ErwG 35 S. 1gehören zu den Gesundheitsdaten alle Daten, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustandder betroffenen Person hervorgehen.

86

Hinsichtlich der Systematik ist zum einen die enge Verknüpfung von Art. 9sowie Art. 4 Nr. 14zu den Art. 4 Nr. 13 und 14 zu beachten. Insoweit können Gesundheitsdaten zugleich biometrische oder genetische Daten darstellen, so dass sich inhaltliche Überschneidungen der Begrifflichkeiten ergeben.[157]

87

Indem unter den Begriff der Gesundheitsdaten alle Daten fallen, die sich auf den früheren, gegenwärtigen oder künftigen Gesundheitszustand einer Person beziehen, liegt der Begrifflichkeit ein weites Begriffsverständniszugrunde.

88

Nach ErwG 35 S. 2 gehören zu den Gesundheitsdaten etwa Informationen über Krankheiten, Behinderungen, Krankheitsrisiken, Vorerkrankungen, klinische Behandlungen oder den physiologischen oder biomedizinischen Zustand der betroffenen Person. Da aber der Anknüpfungspunkt der Gesundheitsdaten ausweislich der Definition des Art. 4 Nr. 15der Gesundheitszustandund nicht die Krankheit ist, stellen auch etwa der Verlauf einer medizinischen Behandlung oder die Feststellung, dass eine Person vollkommen gesund ist, Gesundheitsdaten dar.[158]