Ihr Gesicht ist eine besondere Datenkategorie. Was Art. 9 DSGVO für Sie bedeutet

Für die meisten personenbezogenen Daten nach der DSGVO (Ihren Namen, Ihre E-Mail-Adresse, Ihre Anschrift, Ihren Browserverlauf) gelten allgemeine Regeln. Biometrische Daten sind anders. Nach Art. 9 zählen sie zu den „besonderen Kategorien“ personenbezogener Daten, neben Gesundheitsdaten, politischen Meinungen und religiösen Überzeugungen. Der Schutz ist deutlich stärker, und die Pflichten der Unternehmen, die sie verarbeiten, sind entsprechend höher.

Was als biometrische Daten gilt

Art. 9 schützt ausdrücklich „biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person“. Dazu gehören Gesichtsmerkmale, Stimmabdrücke, Fingerabdrücke, Iris-Scans und jede technische Verarbeitung, die körperliche Merkmale in eine eindeutige Kennung umwandelt.

Beachten Sie die Einschränkung: „zur eindeutigen Identifizierung“. Ein beiläufiges Foto in sozialen Medien ist kein biometrisches Datum im Sinne von Art. 9. Dasselbe Foto, das durch eine Gesichtserkennung läuft, um eine Kennung zu erstellen, das ist ein biometrisches Datum.

Ihre Rechte

• Recht auf ausdrückliche Einwilligung. Unternehmen dürfen Ihre biometrischen Daten nicht auf Grundlage berechtigter Interessen verarbeiten. Sie brauchen Ihre ausdrückliche, konkrete und informierte Einwilligung, und Sie können sie jederzeit widerrufen.
• Recht auf Löschung. Sie können die Löschung Ihrer biometrischen Daten verlangen, und Unternehmen müssen dem unverzüglich nachkommen (in der Regel innerhalb von 30 Tagen).
• Recht auf Auskunft. Sie können eine Kopie aller biometrischen Daten verlangen, die ein Unternehmen über Sie gespeichert hat.
• Recht auf Datenübertragbarkeit. Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format verlangen.
• Recht auf Einschränkung. Sie können verlangen, dass ein Unternehmen die Verarbeitung Ihrer Daten aussetzt, solange ein Streit geklärt wird.

Was Unternehmen tun müssen

Unternehmen, die biometrische Daten verarbeiten, haben erhöhte Pflichten: eine Datenschutz-Folgenabschätzung (DSFA) vor Beginn der Verarbeitung, in den meisten Fällen die Benennung einer oder eines Datenschutzbeauftragten, strengere Sicherheitsmaßnahmen und die Meldung von Datenpannen an Behörden und Betroffene innerhalb von 72 Stunden.

Der Speicherort zählt. Eine Verarbeitung in der EU hält Ihre Daten unter dem stärksten Schutz der DSGVO. Eine Übermittlung in Länder außerhalb der EU erfordert besondere Garantien (Standardvertragsklauseln, Angemessenheitsbeschlüsse) und war wiederholt Gegenstand gerichtlicher Auseinandersetzungen (Schrems I, Schrems II).

So üben Sie Ihre Rechte aus

Jedes Unternehmen, das Ihre biometrischen Daten verarbeitet, sollte einen klaren Weg bieten, diese Rechte auszuüben, meist über eine privacy@-Adresse oder ein eigenes Dashboard. Antwortet es nicht innerhalb von 30 Tagen, können Sie sich bei Ihrer nationalen Datenschutzbehörde beschweren. In Rumänien ist das die ANSPDCP, in Frankreich die CNIL, in Deutschland die Aufsichtsbehörde Ihres Bundeslandes, in Österreich die Datenschutzbehörde.

Unterm Strich

Ihr Gesicht ist nicht einfach ein Datensatz. Nach europäischem Recht ist es so ernsthaft geschützt wie Ihre Krankengeschichte. Unternehmen, die nachlässig damit umgehen, verstoßen gegen das Gesetz, und Sie haben konkrete, durchsetzbare Rechte, um das zu beenden.