Gutachten: Komplette Fingerabdrücke im Personalausweis sind rechtswidrig
Ab August müssen alle deutschen Bürgerinnen und Bürger beim Beantragen eines neuen Personalausweises zwei Fingerabdrücke abgeben. Das Netzwerk Datenschutzexpertise hat am Montag ein Gutachten veröffentlicht, das die Regeln zur staatlichen Identifizierung mit biometrischen Daten untersucht. Die Organisation kommt darin zu dem Ergebnis, dass die deutschen Vorschriften gegen nationales sowie europäisches Recht verstoßen.
Biometrische Merkmale gelten als besonders sensibel, da sie sich nicht verändern lassen. Fingerabdrücke sind bei jedem Menschen einzigartig, sodass Personen ihr Leben lang über sie identifiziert werden können. Bereits seit dem Jahr 2007 ist es in Deutschland verpflichtend, Fingerabdrücke für den Reisepass abzugeben. Mit dem im Dezember in Kraft getretenen “Gesetz zur Stärkung der Sicherheit im Pass-, Ausweis- und ausländerrechtlichen Dokumentenwesen” hat die Bundesregierung eine EU-Verordnung aus dem Jahr 2019 umgesetzt, die diese Fingerabdruckpflicht auf den Personalausweis ausdehnt: Ab dem 2. August müssen die Abdrücke des linken und rechten Zeigefingers abgegeben werden, die dann zusammen mit dem Foto auf dem Chip im Personalausweis gespeichert sind.
Das verstoße gegen den Grundsatz der Datenminimierung, der in der Datenschutzgrundverordnung (DSGVO) festgelegt ist, heißt es nun in dem Gutachten. Denn für die Identifizierung mittels Fingerabdrücken genüge der Abdruck eines Fingers. Gleichzeitig sei das Missbrauchsrisiko bei zwei gespeicherten Fingerabdrücken höher.
Ring- statt Zeigefinger
Nach Ansicht des Gutachters Thilo Weichert ist es aufgrund der Datenminimierung nur zulässig, die sogenannten Minuzien und nicht die vollständigen Fingerabdrücke zu erfassen. Minuzien sind die eindeutigen Merkmale eines Fingerabdrucks, wie Endpunkte und Verzweigungen. Diese dürften jedoch nur vom Ringfinger oder kleinen Finger gespeichert werden. Denn mit ihren Zeigefingern hinterlassen Menschen die meisten Spuren. Die Merkmale des Ringfingers oder kleinen Fingers seien hingegen “weniger missbrauchsanfällig, für Identifizierungszwecke aber ebenso geeignet”. Die der deutschen Regelung zugrundeliegende EU-Verordnung lege die zu erfassenden Finger außerdem nicht fest. Der Gesetzgeber hätte dem Gutachten zufolge daher Spielraum gehabt, “eine weniger eingreifende Maßnahme vorzusehen”.
Außerdem fehle in Deutschland eine einschränkende Abgleichsregel, sodass Behörden biometrische Passdaten außerhalb von Grenzkontrollen mit Sicherheitsdatenbanken abgleichen könnten. Dies verstoße sowohl gegen den Zweckbindungsgrundsatz als auch gegen europäisches Recht. Nationale und europäische Biometriedatenbanken gebe es unter anderem bereits beim Bundeskriminalamt und bei Europol.
Eine besondere Gefahr von biometrischen Daten in Ausweisen läge zudem darin, dass Staaten außerhalb der Europäischen Union diese bei Passkontrollen abspeichern und zu “behördlichen oder gar geheimdienstlichen Zwecken” nutzen könnten. Vorkehrungen gegen ein solches Vorgehen seien nicht vorgesehen.
Erhöhte Eingriffsintensität bei Geflüchteten
Das Gutachten erwähnt darüber hinaus die Speicherung biometrischer Daten nach dem deutschen Ausländerrecht: So werden bei Geflüchteten alle zehn Fingerabdrücke erfasst und im Ausländerzentralregister hinterlegt. Sicherheitsbehörden könnten für die Strafverfolgung und die Gefahrenabwehr auf diese Daten zugreifen. Dies könne “definitiv nicht mehr als angemessen gerechtfertigt werden”. Das Vorgehen verstößt laut Gutachten nicht nur gegen den Zweckbindungsgrundsatz sondern auch gegen das Diskriminierungsverbot wegen Staatsangehörigkeit. Es sei “irritierend, mit welcher Nonchalance die Zweckbindungsanforderungen bei der Verarbeitung biometrischer Identifizierungsdaten im Ausländer- und insbesondere im Flüchtlingsrecht ignoriert werden”.
Der Einsatz von biometrischer Identifikation sei immer am Datenschutz und dem Recht auf informationelle Selbstbestimmung zu messen und werfe damit die Frage auf, ob die Maßnahmen angemessen sind. Grundsätzlich sei bei der Wahl biometrischer Merkmale darauf zu achten, dass sie eine möglichst geringe invasive Wirkung haben. Genüge ein Lichtbild zur Identifizierung, sei daher auf ein weiteres biometrisches Merkmal zu verzichten.
Die Bundesregierung hatte für die Speicherung von Fingerabdrücken im Personalausweis mit einer schnellen Identitätsprüfung der Ausweisinhaber argumentiert, wenn nach dem Abgleich des Lichtbildes noch Zweifel bestehen. So sollen “zeitaufwändige” Nachfragen bei anderen Behörden entfallen. Laut dem Gutachten gibt es bisher allerdings “keinerlei Belege für die behauptete Erforderlichkeit”. Eine Verpflichtung für 300 Millionen EU-Bürger, “zwei sensitive digital erfasste Fingerabdrücke auf dem Ausweis oder Pass speichern zu lassen” sei nicht angemessen, schreibt der Gutachter mit Blick auf die entsprechende EU-Verordnung.
Weichert fordert zudem mehr Transparenz im Umgang mit biometrischen Daten. Zwar enthalte die DSGVO umfangreiche Transparenzregeln, die allerdings nicht auf Geheimdienste angewendet würden. Auch für andere Sicherheitsbehörden seien diese Vorschriften stark eingeschränkt.
Gefahr der Überwachung
Lange Zeit sei in Deutschland die biometrische Identifizierung mithilfe technischer Mittel “verpönt” und der Zuordnung von Tatortspuren vorbehalten gewesen. Doch in den vergangenen zwanzig Jahren habe sich die staatliche biometrische Identifizierung immer weiter durchgesetzt. Es sei absehbar, dass sich dieser “Siegeszug” auch “in weiteren staatlichen Anwendungen fortsetzen wird”, resümiert der Autor. Die bestehenden Regeln zur biometrischen Identifizierung müssten überprüft und überarbeitet werden, um die Grundsätze der Zweckbindung, Verhältnismäßigkeit und Transparenz zu berücksichtigen.
Fingerabdrücke und Gesichtsbilder seien die “Vorreiter biometrischer Identifizierungsmerkmale, mit denen die analoge Welt mit der digitalen Welt verknüpfbar wird und Menschen aus dem Schutz der Anonymität in der Menge herausgezogen werden”. Sie eignen sich demnach als “Schlüssel für eine hoheitliche Totalkontrolle der Menschen” und um Freiheitsrechte einzuschränken. Welche praktischen Auswirkungen eine nicht begrenzte Nutzung biometrischer Merkmale haben kann, zeige sich etwa in China. Dort werde die “biometrische Identifizierung als zentrales Werkzeug zur Unterdrückung und zur Diskriminierung genutzt”.
Bereits in seiner Stellungnahme an den Bundestag zum Fingerabdruckzwang hatte der ehemalige schleswig-holsteinische Datenschutzbeauftragte Weichert Verhältnismäßigkeit angemahnt, “um zu vermeiden, dass eine unangemessene Überwachungsinfrastruktur aufgebaut wird und um sicherzustellen, dass die Regelungen einer verfassungsrechtlichen Prüfung standhalten”. Er bezweifle, dass dies der Fall sei.
Der Verein Digitalcourage kritisiert die Fingerabdruckpflicht ebenfalls: Alternativen wie Minuzien statt kompletter Fingerabdrücke, die keinen so großen Grundrechtseingriff darstellen, hätte die Bundesregierung nicht vollständig untersucht. Digitalcourage prüft derzeit juristische Mittel, um gegen das Gesetz vorzugehen. Der Verein empfiehlt, noch vor August einen neuen Personalausweis zu beantragen und der Speicherung der Fingerabdrücke zu widersprechen. Der neue Ausweis ist dann weitere 10 Jahre gültig. (js)