Letzte Woche hat der Gerichtshof der EU ein medial weitgehend unbeachtetes Urteil zu biometrischen Daten veröffentlicht. Das Urteil ist mehr als bedenklich, da es komplett den Einfluss des Datenschutzes auf die Erstellung biometrischer Ausweise verkennt.
Zur Vorgeschichte: Der Niederländer W. P. Willems hatte die Ausstellung eines Reisepasses beantragt. Dieser wurde ihm jedoch verweigert, da er nicht bereit war, seine Fingerabdrücke zur Verfügung zu stellen. Einer seiner Mitantragssteller versuchte selbiges für einen niederländischen Personalausweis – auch dieser wurde verweigert. Dagegen hat Willems geklagt und kritisierte insbesondere die Verletzung seines Rechts auf körperliche Unversehrheit und Privatspäre sowie die ungeklärte Frage, wer Zugang zu den gespeicherten Daten erhalte und ob eine strenge Zweckbindung durchgesetz wird. Nach Abweisung des Verfahrens durch niederländische Gerichte wurde die Klage dem Europäischen Gerichtshof zur Vorabentscheidung vorgelegt. Dabei ging es vor allem um die Frage, ob die EU-Verordnung 2252/2004 für „Normen für Sicherheitsmerkmale und biometrische Daten in von den Mitgliedstaaten ausgestellten Pässen und Reisedokumenten“ Anwendung findet. Sie regelt unter anderem die explizite Zweckbindung der biometrischen Daten.
Die Verordnung greift dem Wortlaut nach aber nur auf …
[…] von den Mitgliedstaaten ausgestellte Pässe und Reisedokumente Anwendung. Sie findet keine Anwendung auf Personalausweise, die Mitgliedstaaten eigenen Staatsangehörigen ausstellen, oder auf vorläufige Pässe und Reisedokumente mit einer Gültigkeitsdauer von zwölf Monaten oder weniger.
Da ein Personalausweis jedoch das Reisen in der EU ermöglicht, ist diese Definition schwierig. Der Gerichtshof gelangt allerdings zu der Auffassung das ein niederländischer Personalausweis trotzdem nicht in den Anwendungsbereich von 2252/2004 fällt. Die daraus gezogenen Schlüsse sind erschreckend:
Folglich ist auf die gestellten Fragen zu antworten, dass Art. 4 Abs. 3 der Verordnung Nr. 2252/2004 dahin auszulegen ist, dass er die Mitgliedstaaten nicht dazu verpflichtet, in ihren Rechtsvorschriften zu garantieren, dass die aufgrund der Verordnung erhobenen und gespeicherten biometrischen Daten nicht zu anderen Zwecken als zur Ausstellung eines Reisepasses oder Reisedokuments erhoben, verarbeitet und verwendet werden, da ein solcher Aspekt nicht in den Anwendungsbereich dieser Verordnung fällt.
Das ist ungemein kurzsichtig – eine Betrachtung des europäischen Datenschutzrechts wird vollständig außer Acht gelassen und verkennt damit dessen fundamentale Rolle bei der Erhebung, Speicherung und Verarbeitung biometrischer Daten, die übrigens in der kommenden EU-Datenschutzgrundverordung als besonders sensible Daten eingestuft werden sollen. Dabei findet europäisches Datenschutzrecht auch da Anwendung, wo die Passregulierung keine Anwendung auf Mitgliedsstaaten findet. Insbesondere in Hinblick auf ein Urteil des EuGH von 2013, das die Rechtmäßigkeit von biometrischen Merkmalen in Reisepässen vor allem dadurch legitimiert, dass…
[…] die Fingerabdrücke nur zu dem Zweck verwendet werden dürfen, die Authentizität des Reisepasses und die Identität seines Inhabers zu überprüfen. Außerdem sieht sie die Speicherung der Fingerabdrücke nur im Pass selbst vor, der im ausschließlichen Besitz seines Inhabers bleibt.
In den Niederlanden erfolgt die Speicherung auf zwei, beziehungsweise zukünftig drei verschiedenen Medien. Neben der Speicherung auf dem Pass selbst werden die Daten aktuell in einem dezentralen Register vorgehalten. Zukünftig ist die Speicherung in einem Zentralregister vorgesehen.
Schade, dass der Gerichtshof trotz dieses Hintergrundes diesmal mit so viel Ignoranz reagiert.