Bei der Verarbeitung besonderer Kategorien personenbezogener Daten ist Vorsicht geboten und sie setzt die „ausdrückliche Freiwilligkeit“ zwingend voraus, was im nachfolgend beschriebenen Fall nicht beachtet wurde.
Was war geschehen? Um sicherzustellen, dass nur berechtigte, vertraglich gebundene Mitglieder die eigenen Sportflächen nutzen, händigte ein Sport- und Fitnessunternehmen zu Vertragsbeginn seinen neuen Mitgliedern RFID-Armbänder mit einem personalisierten RFID-Chip (Radio Frequency Identification) aus. Damit sollten das Erschleichen von Leistungen (Prävention § 265a StGB) verhindert, die Mitglieder geschützt und das Hausrecht gewahrt werden. Auf diese Rechtsgrundlagen stützte das Unternehmen seine Argumentation.
Die Einlasskontrolle der Mitglieder erfolgte über diese RFID-Armbänder. Ein RFID-System ist ein Verfahren zur automatischen und berührungslosen Identifizierung und Lokalisierung von Objekten über Funk, bei dem spezifische Daten, die elektronisch auf einem Chip gespeichert sind, in Sekundenschnelle überprüft werden. Das gekennzeichnete Objekt sendet seine Daten allerdings nur, wenn ein dafür vorgesehenes Lesegerät diesen Vorgang abruft, sodass die Daten dann über einen Frequenzkanal ausgelesen werden.
Neben einem Foto wurde von jedem neuen Mitglied auch ein Fingerabdruck als numerische Repräsentation, erforderlich für die Zuordnung, auf dem Chip gespeichert und durch sichere Verschlüsselungstechnologien geschützt. Außerdem wurde darauf geachtet, keine Verbindung zwischen der Verwaltungssoftware und dem Mitgliederarmband mit dem individuellen Fingerabdruck herzustellen. Da die Mitglieder ihre Armbänder erwerben mussten, war sichergestellt, dass nur sie über ihre biometrischen Daten verfügten.
Mitglieder, die eine biometrische Erfassung ihres Fingers ablehnten bzw. widersprachen, hatten mit ihrer Unterschrift zu bestätigen, dass auf ihren ausdrücklichen persönlichen Wunsch kein Fingerabdruck zur Identifikation auf dem Armband gespeichert wird. Hinsichtlich der Anfertigung eines Mitgliederfotos bestand eine Widerspruchsmöglichkeit gegenüber dem Unternehmen. Ersatzweise konnte ein dem Mitglied zuordenbarer Gegenstand fotografiert werden, nach dem das Mitglied dann beim „Check-In“ gefragt wurde. Bei Verlust (Diebstahl, Verlieren) oder missbräuchlicher Weitergabe an ein Nichtmitglied sollte das Mitglied für jeden festgestellten Verstoß einen pauschalen Schadenersatz in Höhe von 250 Euro zahlen.
Beim Betreten der Sportflächen mussten die Mitglieder zunächst ihr Armband an ein stationäres Lesegerät halten und anschließend ihren Finger auf einen Fingerabdrucksensor legen, wo dieser gescannt wurde.
Im vorliegenden Fall findet aus Datenschutzsicht eine Verarbeitung des Fingerabdrucks unzweifelhaft statt. Beim sogenannten „Enrollment“ wird der Fingerabdruck von dem verwendeten Gerät gelesen, auch wenn es nicht an ein Netzwerk angeschlossen ist und ein unbefugter Zugriff daher weniger wahrscheinlich sein dürfte als bei einer Speicherung in einer Datenbank des Sport- und Fitnessunternehmens oder des Herstellers.
Im Gegensatz zu den anderen in Art. 9 DSGVO genannten Daten gehören biometrische Daten nur dann zu diesen Daten, wenn sie zum Zweck der automatisierten biometrischen Erkennung, also der Identifizierung, verarbeitet werden. Fingerabdrücke gehören hierzu. Im Sinne eines generellen Verarbeitungsverbotes unterliegen biometrische Daten diesem besonderen Schutz (Art. 9 Abs. 1 DSGVO). Ausnahmen, die die Verarbeitung biometrischer Daten unter bestimmten engen Voraussetzungen zulassen, werden als sogenannte Erlaubnistatbestände in Abs. 2 normiert.
Im Falle des Sport- und Fitnessstudios kam als Ausnahme nur die Verarbeitung aufgrund einer „ausdrücklichen und freiwilligen” Einwilligung der betroffenen Person in Betracht (gemäß Art. 4 Nr. 11 DSGVO). Eine Einwilligung wird allerdings nicht als freiwillig angesehen, wenn die betroffene Person faktisch keine andere Wahl hat, als der Datenverarbeitung zuzustimmen, um in den Genuss einer Dienstleistung oder einer anderen vertraglichen Leistung zu kommen.
Da kein anderer Erlaubnistatbestand des Art. 9 Abs. 2 DSGVO vorlag, hatte das Unternehmen keine gültige Rechtsgrundlage für die Verarbeitung der biometrischen Daten. Die Datenschutzbehörde bemängelte zudem, dass der Missbrauch und die Zugangskontrolle auch mit milderen Mitteln hätten verhindert werden können. Bei jeder Verarbeitung ist eine Frage essenziell: Ist die Verarbeitung in ihrer konkreten Ausgestaltung für den verfolgten Zweck erforderlich und verhältnismäßig? Dazu muss sie
- geeignet sein (Zweck muss erreichbar sein)
- erforderlich sein (es darf keine milderen Mittel geben, mit denen der Zweck genauso erreicht werden kann)
- angemessen sein (Art, Umfang und Weise der Verarbeitung darf nicht außer Verhältnis zum Zweck stehen)
Infolgedessen musste das Sport- und Fitnessunternehmen die Androhung der Vertragsstrafe bei Missbrauch aus der Einwilligungserklärung entfernen. Dem Unternehmen blieb die Option, die Nutzung des Fingerabdruckscanners auf freiwilliger Basis anzubieten, sodass die Mitglieder jederzeit die Möglichkeit haben, der Verarbeitung ihrer personenbezogenen Daten mit diesem Verfahren zu widersprechen.
Zusätzlich führte das Unternehmen einen Prozess ein der vorsah, dass die Mitarbeiter am Empfang jeden Kunden, der per Fingerabdruck in das Studio gelangt war, ansprechen und prüfen mussten, ob die Kunden der Speicherung ihres Fingerabdrucks weiterhin zustimmten. Des Weiteren wurde ein Hinweisschild montiert, das auf die Widerspruchsmöglichkeit hinwies.
Das heißt, da eine biometrische Kontrolle eher nicht zur Erfüllung eines Geschäftsvertrages erforderlich ist, bleibt nur die freiwillige Einwilligung der betroffenen Personen, die hohen Anforderungen unterliegt.
