Der Europäische Gerichtshof (EuGH) entschied am Donnerstag (21. März), dass eine EU-Verordnung aus dem Jahr 2019, die EU-Bürger verpflichtet, ihre Fingerabdrücke für Personalausweise abzugeben, auf einer falschen Rechtsgrundlage beruhte, und erklärte das EU-Recht für völlig ungültig.
Auch das Gericht in Luxemburg entschied, dass die Pflicht zur Aufnahme zweier Fingerabdrücke trotz Beeinträchtigung der Grundrechte gerechtfertigt sei.
Auch wenn die Gesetzgebung aufgehoben wurde, entschied der EuGH-Richter, dass die EU-Verordnung aus dem Jahr 2019 bis zum Inkrafttreten einer neuen Verordnung, spätestens im Dezember 2026, in Kraft bleibt. Andernfalls läuft sie außer Kraft.
Die EU-Regulierungsbehörden verlangten, dass nationale Personalausweise Fingerabdrücke verwenden, um die Sicherheit der Ausweisdokumente zu erhöhen.
Deutschland hat die Verordnung im Jahr 2021 umgesetzt und verlangt seitdem Fingerabdrücke für Personalausweise. Menschenrechtsgruppen argumentierten jedoch, dass die obligatorische Erfassung von Fingerabdrücken unverhältnismäßig, ineffektiv und anfällig für Missbrauch durch die Regierung sei.
Digitalcourage, eine deutsche Organisation, die sich für Grundrechte und Datenschutz einsetzt, hat die EU-Verordnung zunächst vor deutschen Gerichten angefochten.
Sie sagten, die Fingerabdruckpflicht in Personalausweisen sei eine unverhältnismäßige Einschränkung der Europäischen Charta der Grundrechte hinsichtlich der Achtung des Privatlebens und des Schutzes personenbezogener Daten.
„Ich kann ein Passwort ändern, wenn es kompromittiert ist. Mit biometrischen Daten geht das aber nicht. Ich kann also einen Fingerabdruck nicht ändern und ein Fingerabdruck kann leicht von anderen Personen erhalten werden“, erklärte Rena Tangens, Gründerin und Vorstandsmitglied von Digitalcourage, während einer Pressekonferenz am 19. März.
Implikationen
Diesen Zeitrahmen bis Dezember 2026 kann der EU-Gesetzgeber nun nutzen, um auf Basis der richtigen Rechtsgrundlage eine neue Verordnung auszuarbeiten.
Zuvor wurde die Verordnung im ordentlichen Gesetzgebungsverfahren angenommen, laut EuGH hätte die Verordnung jedoch ein besonderes Gesetzgebungsverfahren, also Einstimmigkeit im Rat, erfordern müssen.
Im Jahr 2019 haben die Tschechische Republik und Slowakei stimmte gegen die Verordnung zur Einführung der Fingerabdruckpflicht.
„Wenn die Mitgliedsstaaten keine Einigung erzielen, entfällt die Rechtsgrundlage für die weitere Speicherung und verpflichtende Neuerfassung von Fingerabdrücken“, sagte Anja Hoffmann, Expertin für digitale Wirtschaft am Zentrum für Europäische Politik (cep), gegenüber Euractiv .
„Das würde bedeuten, dass nationale Behörden Ausweise ohne Fingerabdrucknahme ausstellen müssten und Ausweisinhaber die Löschung bereits auf Ausweisen gespeicherter Fingerabdrücke beantragen könnten“, fügte Hoffmann hinzu.
Ein langer Gerichtsstreit
Im Jahr 2021 reichte Detlev Sieber, Geschäftsführer von Digitalcourage, Klage beim Verwaltungsgericht Wiesbaden ein, nachdem er ohne Abgabe seiner Fingerabdrücke einen Personalausweis mit elektronischer Funktion beantragt hatte.
Digitalcourage argumentierte, dass die Fingerabdruckpflicht der EU einen Eingriff in die im europäischen Recht verankerten Grundrechte darstellt.
Im Januar 2022 folgte das Wiesbadener Gericht der Argumentation von Digitalcourage, warum eine Fingerabdruckpflicht nicht mit den Grundrechten vereinbar sei, und verwies die Klage an das ECJ.
Einen Monat später setzte das Verwaltungsgericht Hamburg die Fingerabdruckpflicht für Personalausweise vorerst aus, bis das Verfahren vor dem EuGH anhängig ist.
Vor dem endgültigen Urteil am Donnerstag sagte der Generalanwalt des EuGH Laila Medina erklärte im vergangenen Juni, dass die obligatorische Abnahme von Fingerabdrücken auf Personalausweisen gültig sei, was als vorläufige Entscheidung für das Urteil angesehen wurde.
Größere Angriffsfläche
Entsprechend der Deutsches InnenministeriumDabei werden Fingerabdrücke lokal auf einem im Personalausweis integrierten Chip gespeichert.
Jedoch, Das sagte ein Sprecher von Digitalcourage gegenüber Euractiv „Eine Speichermethode, die von den Behörden heute noch als sicher gilt, kann in nur wenigen Jahren leicht zu knacken sein“, sagte ein Sprecher von Digitalcourage gegenüber Euractiv.
Die Speicherung ganzer Fingerabdrücke erhöhe zudem das Risiko eines Identitätsdiebstahls im Falle eines Datenlecks und widerspreche dem Grundsatz der Datensparsamkeit der Datenschutz-Grundverordnung (DSGVO), argumentierte die Datenrechtsorganisation.
Ein besonders großes Risiko besteht nach Ansicht von Digitalcourage darin, dass die Fingerabdrücke bei den lokalen Ausgabestellen und den Unternehmen, die den Personalausweis anschließend herstellen, gespeichert werden. Obwohl die Daten idealerweise bei der Ausweisabholung gelöscht werden sollten, können sie bis zu 90 Tage gespeichert werden.
Den regionalen Behörden mangelt es möglicherweise an Cybersicherheitsmaßnahmen, um die Fingerabdrücke vor den Händen von Hackern zu schützen. Daher sind Fingerabdrücke in diesem Zeitraum besonders gefährdet.
Die EU-Verordnung überlässt es den Mitgliedstaaten auch, zu entscheiden, ob Fingerabdrücke für andere Zwecke als die Erstellung von Personalausweisen verwendet werden dürfen. Dies bedeutet, dass die zur Identifizierung entnommenen Fingerabdrücke dann je nach den einschlägigen Vorschriften der nationalen Regierung für Durchsuchungsbefehle oder andere Strafverfolgungszwecke eingesehen werden können.
Damit erfülle die Verpflichtung zur Erfassung von Fingerabdrücken für Personalausweise nicht mehr den ursprünglichen Zweck der EU-Verordnung, nämlich die Förderung der Freizügigkeit, erklärte die deutsche Organisation in ihrer Klage.
Während die Datenrechtsorganisation auch argumentierte, dass Fingerabdrücke kein effizientes Instrument zur Fälschungsvermeidung seien, entschied der EuGH, dass ein Gesichtsbild allein ein weniger wirksames Mittel zur Identifizierung sei als zwei Fingerabdrücke zusätzlich zum Bild.
[Edited by Eliza Griktsi/Zoran Radosavljevic]