Fall für den EuGH: Gericht zweifelt Fingerabdruckpflicht im Ausweis massiv an

Inhaltsverzeichnis

Das Verwaltungsgericht Wiesbaden hat erhebliche Zweifel, dass die in Deutschland geltende Pflicht zur Aufnahme von Fingerabdrücken in den Personalausweis rechtmäßig ist. Die Richter gehen davon aus, dass die Auflage nicht mit den Artikeln 7 und 8 der EU-Grundrechtecharta zum Schutz der Privatsphäre vereinbar ist. Sie haben ihr Verfahren über eine Klage gegen die Fingerabdruckpflicht daher ausgesetzt und den Fall dem Europäischen Gerichtshof (EuGH) vorgelegt.

Seit einem knappen halben Jahr gibt es ein neues Ausweisdokument nur noch mit zusätzlichen biometrischen Merkmalen. Bundesbürger müssen sich beim Beantragen mit einem Scanner Abdrücke des linken und rechten Zeigefingers abnehmen lassen. Die Körpermerkmale werden zusammen mit dem biometrischen Gesichtsbild auf dem RFID-Chip des Dokuments gespeichert. Der Bundestag hatte dies zuvor mit dem Gesetz zur "Stärkung der Sicherheit im Pass-, Ausweis- und ausländerrechtlichen Dokumentenwesen" beschlossen. Er setzte damit eine EU-Verordnung von 2019 um.

Klage von Digitalcourage

Der Verein Digitalcourage hatte im Dezember Klage gegen die Auflage und das ihr zugrundeliegende EU-Gesetz eingereicht. Die Speicherpflicht ist den Datenschutzaktivisten zufolge "unverhältnismäßig, ungeeignet, um den beabsichtigten Zweck zu erfüllen, und nicht erforderlich". Das Verwaltungsgericht schloss sich diesen Bedenken in seiner jetzt veröffentlichten Entscheidung von Mitte Januar weitgehend an.

Bei den erfassten biometrischen Merkmalen handle es sich um personenbezogene Daten, die "objektiv unverwechselbare Informationen über natürliche Personen enthalten und deren genaue Identifizierung ermöglichen", führt das Gericht aus. Unter Wahrung des Grundsatzes der Verhältnismäßigkeit dürften die Grundrechte der Betroffenen hier nur eingeschränkt werden, wenn dies etwa dem Gemeinwohl diene oder "den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich" entspreche.

Der Perso ist kein Pass

Bei Reisepässen gibt es schon seit Längerem eine vergleichbare Pflicht. Der Hauptzweck des Personalausweises liege aber gerade nicht darin, "ein Reisedokument im Schengen-Raum wie der Reisepass zu sein", führen die Wiesbadener Richter aus. In Deutschland und vielen anderen EU-Staaten bestehe eine Pflicht, einen Personalausweis zu besitzen. Dieser würde im Alltag unter anderem für Interaktionen mit den nationalen Verwaltungsbehörden oder mit Banken oder Fluggesellschaften genutzt.

Die Richter folgen der Überlegung des Europäischen Datenschutzbeauftragten, dass in Anbetracht der Unterschiede zwischen beiden Dokumenten die Einführung von Sicherheitsmerkmalen, "die für Reisepässe möglicherweise als angemessen gelten", bei Personalausweisen nicht automatisch erfolgen dürfe. Dafür bedürfe es einer gründlichen Analyse, die in diesem Fall fehle. Dabei hätte die "viel höhere Eingriffsintensität im Vergleich zu Reisepässen" auch eine "stärkere Rechtfertigung" erfordert.

Es sei auch nicht hinreichend deutlich, ob die Aufnahme von Fingerabdrücken die Sicherheit vor Fälschungen tatsächlich fördere. Eine Übereinstimmung der biometrischen Daten, die auf dem Chip des Personalausweises gespeichert sind, mit den Fingerabdrücken des Besitzers bestätige lediglich, dass das Dokument zu diesem gehöre. Daraus folge aber noch kein Identitätsnachweis, solange nicht der Ausweis selbst als echt bestätigt worden sei.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) habe erklärt, dass ein Ausweis mit funktionsunfähigen Chip seine Gültigkeit behalte, argumentieren die Richter. Die Sicherheit als Ausweisdokument ist demnach "durch die physischen Sicherheitsmerkmale gegeben". Damit stelle sich die Frage nach der Erforderlichkeit der Aufnahme von Fingerabdrücken umso deutlicher.

Datensparsamkeit?

Auch das Prinzip des sparsamen Umgangs mit persönlichen Informationen aus der Datenschutz-Grundverordnung (DSGVO) werde missachtet, moniert das Gericht. Sollte es nötig sein, Fingerabdrücke zu erfassen, sei fraglich, warum es der Erfassung des gesamten Abdrucks bedürfe. Andere Systeme arbeiteten nur mit Minuzien, also Teilmengen von Charakteristiken, die aus Aufnahmen der Fingerabdrücke gewonnen werden. Dies reduziere die Risiken des Identitätsdiebstahls bei einem Datenleck. Eine datenschutzrechtliche Folgenabschätzung sei ferner nicht erfolgt. Schon allein dies könnte zur Ungültigkeit der umstrittenen Norm führen.

Die Richter führen weitere formale Gründe gegen die EU-Verordnung ins Feld. Ihnen zufolge wäre ein sogenanntes besonderes Gesetzgebungsverfahren nötig gewesen. Dabei beschließe der Ministerrat unisono nach Anhörung des EU-Parlaments ein Gesetz. Durch dieses Erfordernis der Einstimmigkeit würden den Mitgliedstaaten auf diesem Gebiet ein Höchstmaß an Souveränität belassen. Der EuGH muss nun klären, ob die umstrittene Klausel in der EU-Verordnung gültig ist.

(vbr)