Videoidentifizierung und biometrische Daten: Identität prüfen ohne Übermaß

Videoidentifizierung kann den Abschluss eines Vertrags beschleunigen. Datenschutzrechtlich kommt es auf den konkreten Ablauf an: Wird nur ein Dokument geprüft und das Gespräch protokolliert, oder werden Gesichtsmerkmale mit technischen Verfahren zur eindeutigen Identifizierung ausgewertet? Im zweiten Fall kann die Verarbeitung biometrische Daten betreffen.

Dieser Beitrag behandelt Videoidentifizierung bei der Vertragsanbahnung. Er ordnet Zweck, Rechtsgrundlage, Transparenz, Alternativen, Löschung und Dienstleister ein. Videoüberwachung von Geschäftsräumen, allgemeine Identitätsprüfungen und Bonitätsentscheidungen verfolgen andere Zwecke. Ergänzend hilft der Beitrag zu Zugriffsrechten auf Beschäftigtendaten, wenn ein Unternehmen interne Zugriffe organisieren muss.

Videoidentifizierung umfasst unterschiedliche Verfahren. Ein geschultes Gespräch mit Sichtprüfung eines Ausweises ist anders zu bewerten als eine Software, die Gesichtsmerkmale aus dem Videobild gewinnt und mit einem Dokument oder einem Referenzbild vergleicht. Für die datenschutzrechtliche Einordnung zählt der tatsächliche Datenfluss, nicht die Produktbezeichnung.

Biometrische Daten sind nach Art. 4 Z 14 DSGVO mit speziellen technischen Verfahren gewonnene personenbezogene Daten, die sich auf körperliche, physiologische oder verhaltensbezogene Merkmale beziehen und die eindeutige Identifizierung oder Bestätigung der Identität ermöglichen. Eine technische Merkmalsextraktion kann deshalb Art. 9 DSGVO auslösen. Ob das im konkreten Dienst geschieht, muss aus der Verfahrensbeschreibung hervorgehen.

Vor dem Einsatz sollten Unternehmen Aufnahme, Livebild, Dokument, Merkmalsvergleich, Ergebnis, Protokollierung und Löschung getrennt erfassen. Auch ein Anbieter, der mit einem kurzen Identitätscheck wirbt, kann mehrere Verarbeitungsschritte durchführen. Die Einordnung besonderer Kategorien erklärt das Glossar zu besonderen Kategorien personenbezogener Daten.

Der Zweck der Videoidentifizierung muss konkret lauten: etwa die Prüfung, ob die antragstellende Person mit der Person im Identitätsnachweis übereinstimmt. Eine spätere Nutzung für Werbung, Risikoprofile oder Verhaltensanalysen folgt daraus nicht automatisch. Zweckbindung verlangt, dass die weitere Verwendung mit dem ursprünglichen Zweck vereinbar ist oder auf einer eigenen tragfähigen Grundlage beruht.

Für die Verarbeitung nach Art. 6 DSGVO ist der konkrete Ablauf zu prüfen. Bei biometrischen Daten reicht diese Ebene nicht aus. Art. 9 Abs. 1 DSGVO nennt biometrische Daten zur eindeutigen Identifizierung ausdrücklich als besondere Kategorie. Zusätzlich braucht es eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO. Eine allgemeine Zustimmung zum Vertrag oder ein Hinweis auf Betrugsprävention beantwortet diese Frage nicht von selbst.

Die Dokumentation sollte Zweck, Datenkategorien, Rechtsgrundlagen, betroffene Personen, Empfänger und Speicherorte verbinden. Im Verzeichnis der Verarbeitungstätigkeiten müssen die tatsächlichen Schritte erkennbar sein. Die Schwerpunktseite zu Datenschutz-Governance unterstützt die organisatorische Zuordnung.

Vor dem Identitätscheck muss verständlich sein, welche Aufnahme erfolgt, welche Daten aus dem Dokument und dem Gesicht verarbeitet werden, wer beteiligt ist und wie lange die Daten gespeichert werden. Die Information sollte auch erklären, ob ein automatisierter Vergleich stattfindet und welche Folgen ein positives oder negatives Ergebnis hat.

Eine Person braucht für den Vertragsabschluss einen realistischen Weg, wenn Videoidentifizierung technisch nicht möglich ist oder sie diesen Weg nicht verwenden möchte. Ob eine Alternative erforderlich ist, hängt vom Zweck und vom konkreten Vertrag ab. Eine aufwendigere manuelle Prüfung kann trotzdem zumutbar sein, wenn sie den Identitätscheck mit geringerem Eingriff ermöglicht.

Die Alternativen und ihre Gleichwertigkeit sollten vor dem Start geprüft werden. Entscheidend sind Sicherheit, Fehleranfälligkeit, Zugänglichkeit, Dauer und Umgang mit besonderen Situationen. Eine Wahlmöglichkeit darf nicht nur auf dem Papier bestehen. Art. 25 DSGVO verlangt, Datenschutz bereits bei der Gestaltung des Verfahrens einzubeziehen.

Die Daten eines Videoident-Verfahrens erfüllen unterschiedliche Funktionen. Das Originalvideo kann der Prüfung dienen, ein biometrisches Template dem Vergleich und ein Prüfprotokoll dem Nachweis des Ablaufs. Diese Daten dürfen nicht pauschal gleich lange gespeichert werden. Art. 5 Abs. 1 lit. e DSGVO verlangt eine Speicherbegrenzung auf das Erforderliche.

Für jede Datenart sollte ein Löschereignis festgelegt werden. Das kann der Abschluss oder Abbruch der Vertragsanbahnung, die gesetzliche Aufbewahrung eines bestimmten Nachweises oder der Wegfall eines konkreten Zwecks sein. Ein Prüfprotokoll darf keine unnötigen Bild- oder Merkmalsdaten enthalten. Die Löschung muss auch Exporte, Testsysteme, Backups und Anbieterprozesse berücksichtigen.

Ein Löschkonzept ist erst belastbar, wenn die technische Umsetzung getestet wird. Prüfen Sie, ob ein Anbieter Daten nach dem Auftrag löscht, welche Sicherungskopien verbleiben und wie ein späteres Betroffenenbegehren bearbeitet wird. Für internationale Datenwege ist der Beitrag zu Standardvertragsklauseln und Transfer Impact Assessments ein sinnvoller Anschluss.

Viele Videoident-Verfahren werden von spezialisierten Anbietern betrieben. Ob ein Anbieter Auftragsverarbeiter ist oder eigene Zwecke verfolgt, richtet sich nach der tatsächlichen Entscheidung über Mittel und Zwecke. Ein Vertrag nach Art. 28 DSGVO ist erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag verarbeitet. Die Vertragsbezeichnung allein entscheidet die Rollenverteilung nicht.

Erfassen Sie Unterauftragnehmer, Speicherorte, Administrationszugriffe und Supportwege. Werden Daten in ein Drittland übermittelt, sind die Voraussetzungen der Art. 44 ff DSGVO zusätzlich zu prüfen. Die Prüfung sollte auch klären, ob der Anbieter Trainings-, Qualitäts- oder Betrugsdaten aus dem Videoident-Vorgang für eigene Zwecke verwendet.

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau. Dazu gehören Verschlüsselung, getrennte Zugriffsrollen, Protokollierung, sichere Übertragung und ein Verfahren für Vorfälle. Besonders sensible Bild- und Merkmalsdaten dürfen nicht länger und breiter zugänglich sein, als der konkrete Zweck erfordert.

Der Produktname ersetzt die Verfahrensprüfung: Erst der konkrete Datenfluss zeigt, ob biometrische Merkmale verarbeitet werden.

Der Zweck wird erweitert: Ein Identitätscheck wird später für Werbung, Profilbildung oder allgemeine Risikobewertung verwendet.

Die Zustimmung wird pauschal eingeholt: Eine Zustimmung zum Vertrag deckt nicht automatisch jede Verarbeitung besonderer Kategorien ab.

Alle Daten erhalten dieselbe Frist: Video, Template und Prüfprotokoll brauchen eigene Zweck- und Löschentscheidungen.

Der Anbieter bleibt eine Blackbox: Unterauftragnehmer, Speicherorte, Transfers und eigene Nutzungen werden nicht nachvollziehbar dokumentiert.

Beginnen Sie mit einem Ablaufbild vom Start des Videogesprächs bis zur Löschung. Markieren Sie, wann ein Dokument gelesen, wann ein Gesicht technisch ausgewertet, wann ein Ergebnis erzeugt und wann ein Mensch eingreift. Trennen Sie das Identitätsresultat von Bild-, Merkmals- und Protokolldaten.

Prüfen Sie danach Zweckbindung, Art. 6 und gegebenenfalls Art. 9 DSGVO, Information, Alternative, Anbieterrolle, Drittlandtransfer und Sicherheitsmaßnahmen. Wenn die Verarbeitung voraussichtlich ein hohes Risiko erzeugt, ist vor dem Start eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen. Das Glossar zur Datenschutz-Folgenabschätzung ordnet die ersten Schritte ein.

Zum Abschluss gehören ein Test der Löschung, eine Rollenmatrix und ein Verfahren für Auskunft, Berichtigung, Löschung und Datenpannen. Die Dokumentation sollte auch festhalten, welche Änderungen eine neue Prüfung auslösen. So bleibt die Identitätsprüfung auf den Vertragsabschluss begrenzt.

Wir prüfen den technischen Ablauf, die Einordnung biometrischer Daten, Zweck und Rechtsgrundlage, Information, Alternativen, Löschung, Anbieterrollen und allfällige Drittlandtransfers. Für die erste Einschätzung helfen eine Anbieterbeschreibung, der geplante Informationstext, der Vertrag, das Löschkonzept und eine Darstellung des Datenflusses. Rechtsnews abonnieren und neue Beiträge und rechtliche Hinweise der Kanzlei mit BRANDaktuellen Rechtsnews erhalten.