Der Europäische Gerichtshof (EuGH) kippte am Donnerstag (21. März) eine Verordnung für EU-Bürger, ihre Fingerabdrücke für nationale Personalausweise abgeben zu müssen. Dem Urteil zufolge beruht die Verordnung auf einer falschen Rechtsgrundlage und ist daher unwirksam.
Das Gericht in Luxemburg urteilte allerdings auch, dass die Verpflichtung zur Abgabe von zwei Fingerabdrücken trotz des Eingriffs in die Grundrechte gerechtfertigt ist.
Obwohl das Gesetz gekippt wurde, entschied der EuGH, dass die EU-Verordnung von 2019 bis zum Inkrafttreten einer neuen Verordnung, spätestens im Dezember 2026, in Kraft bleibt. Andernfalls wird sie auslaufen.
Die EU-Verordnung sieht vor, dass nationale Personalausweise Fingerabdrücke verwenden, um die Sicherheit der Ausweisdokumente zu erhöhen.
Deutschland setzte die Verordnung im Jahr 2021 um und verlangt seitdem Fingerabdrücke für Personalausweise. Menschenrechtsorganisationen argumentieren jedoch, dass die obligatorische Erfassung von Fingerabdrücken unverhältnismäßig und ineffektiv sei und von der Regierung missbraucht werden könne.
Digitalcourage, eine deutsche Organisation, die sich für Grundrechte und Datenschutz einsetzt, hat die EU-Verordnung zunächst vor den deutschen Gerichten angefochten.
Sie erklärten, dass die obligatorische Aufnahme von Fingerabdrücken in Personalausweise eine unverhältnismäßige Einschränkung der Europäischen Charta der Grundrechte auf Achtung des Privatlebens und Schutz personenbezogener Daten darstelle.
„Ein Passwort kann ich ändern, wenn es mal kompromittiert ist. Aber bei biometrischen Daten geht das halt nicht. Also einen Fingerabdruck kann ich nicht ändern und ein Fingerabdruck kann von anderen Leuten halt auch leicht beschafft werden“, erklärte Rena Tangens, Gründerin und Vorstand von Digitalcourage, während einer Pressekonferenz am 19. März.
Tragweite des Urteils
Die Europaabgeordneten können nun diesen Zeitrahmen bis Dezember 2026 nutzen, um eine neue Verordnung auf der richtigen Rechtsgrundlage auszuarbeiten.
Zuvor war die Verordnung im ordentlichen Gesetzgebungsverfahren angenommen worden. Nach Ansicht des EuGH hätte die Verordnung jedoch ein besonderes Gesetzgebungsverfahren, also Einstimmigkeit under den EU-Staaten, erfordert.
Im Jahr 2019 stimmten die Tschechische Republik und die Slowakei gegen die Verordnung zur Einführung von obligatorischen Fingerabdrücken.
„Einigen die Mitgliedstaaten sich nicht, würde die gesetzliche Grundlage für die fortgesetzte Speicherung und verpflichtende Neuerfassung von Fingerabdrücken entfallen“, sagte Anja Hoffmann, Expertin für Datenschutzrecht am Centrum für Europäische Politik in Freiburg, gegenüber Euractiv.
„Nationale Behörden müssten dann Personalausweise ohne Abnahme von Fingerabdrücken ausstellen und Besitzer der Ausweise könnten die Löschung von bereits auf Ausweisen gespeicherter Fingerabdrücke verlangen“, so Hoffmann weiter.
Ein langer Kampf vor Gericht
Im Jahr 2021 reichte Detlev Sieber, organisatorischer Geschäftsführer von Digitalcourage, eine Klage beim Verwaltungsgericht Wiesbaden ein. Er wollte zuvor einen Personalausweis mit elektronischer Funktion beantragen, ohne seine Fingerabdrücke abzugeben.
Digitalcourage argumentierte, dass die EU-Fingerabdruckpflicht in europarechtlich verankerte Grundrechte eingreife.
Im Januar 2022 folgte das Landgericht Wiesbaden der Argumentation von Digitalcourage, warum die Fingerabdruckpflicht mit den Grundrechten unvereinbar sei, und verwies den Rechtsstreit an den EuGH.
Einen Monat später setzte das Verwaltungsgericht Hamburg die Fingerabdruckpflicht für Personalausweise bis zum Abschluss des Verfahrens vor dem EuGH aus.
Vor dem endgültigen Urteil am Donnerstag hatte die Generalanwältin des Europäischen Gerichtshofs, Laila Medina, im Juni vergangenen Jahres erklärt, dass die Pflicht zur Abnahme von Fingerabdrücken für Personalausweise gültig sei. Dies wurde als Vorentscheidung für das Urteil gewertet.
Größere Angriffsfläche
Nach Angaben des Bundesinnenministeriums werden die Fingerabdrücke lokal auf einem in den Personalausweis integrierten Chip gespeichert.
Eine Pressesprecherin von Digitalcourage sagte Euractiv jedoch, dass „eine Speichermethode, die heute noch von Behörden als sicher eingeschätzt wird, […] in wenigen Jahren schon leicht zu knacken sein“ könne.
Die Speicherung ganzer Fingerabdrücke erhöhe zudem das Risiko von Identitätsdiebstahl im Falle eines Datenlecks. Außerdem widerspreche sie dem Grundsatz der Datenminimierung, der in der Datenschutz-Grundverordnung (DSGVO) festgelegt ist, argumentierte die Datenrechtsorganisation.
Digitalcourage sieht ein besonders großes Risiko darin, dass die Fingerabdrücke von den lokalen Ausstellungsbehörden und den Unternehmen, die anschließend den Personalausweis herstellen, gespeichert werden. Die Daten sollten zwar idealerweise bei Abholung des Ausweises gelöscht werden, sie können jedoch bis zu 90 Tage lang gespeichert werden.
Die regionalen Behörden verfügen möglicherweise nicht über die erforderlichen Cybersicherheitsmaßnahmen, um die Fingerabdrücke vor Hackern zu schützen, so dass die Fingerabdrücke in diesem Zeitraum besonders anfällig sind.
Die EU-Verordnung überlässt es außerdem den Mitgliedstaaten, zu entscheiden, ob Fingerabdrücke für andere Zwecke als die Erstellung von Personalausweisen verwendet werden dürfen. Dies bedeutet, dass die zur Identifizierung abgenommenen Fingerabdrücke je nach den einschlägigen Vorschriften der nationalen Regierungen für Durchsuchungsbefehle oder andere Strafverfolgungszwecke verwendet werden können.
Die obligatorische Abnahme von Fingerabdrücken für Personalausweise erfülle somit nicht mehr den ursprünglichen Zweck der EU-Verordnung, nämlich die Förderung der Freizügigkeit, so die deutsche Organisation in ihrer Klage.
Die Datenrechtsorganisation argumentierte auch, dass Fingerabdrücke kein wirksames Mittel zur Verhinderung von Fälschungen seien. Der EuGH entschied jedoch, dass ein Gesichtsbild allein ein weniger wirksames Mittel zur Identifizierung sei als zwei Fingerabdrücke zusätzlich zum Gesichtsbild.
[Bearbeitet von Eliza Griktsi/Zoran Radosavljevic/Kjeld Neubert]