Biometrische Daten sind nach Artikel 3 Nummer 34 der KI-Verordnung personenbezogene Daten, die sich aus einer spezifischen technischen Verarbeitung ergeben und sich auf physische, physiologische oder verhaltensbezogene Merkmale einer natürlichen Person beziehen – etwa Gesichtsbilder oder daktyloskopische (Fingerabdruck-)Daten.
Der Begriff ist kein KI-spezifischer Neuschöpfung, sondern eine rund sechs Jahre ältere Übernahme aus der Datenschutz-Grundverordnung. Die KI-VO knüpft daran aber ein eigenes, deutlich schärferes Regelungsgeflecht aus Verboten, Hochrisiko-Einstufungen und Transparenzpflichten.
Zusammenfassung
Die Legaldefinition der KI-VO ist im Kern deckungsgleich mit Artikel 4 Nummer 14 DSGVO, aber nicht wortgleich: Beide beruhen auf denselben drei Merkmalskategorien – physisch, physiologisch, verhaltensbezogen – und derselben Grundkonstruktion einer “speziellen technischen Verarbeitung”. Die KI-VO nennt zusätzlich Beispiele (Gesichtsbilder, daktyloskopische Daten), die im DSGVO-Wortlaut selbst fehlen. Umgekehrt verlangt die DSGVO ausdrücklich, dass die Daten “die eindeutige Identifizierung … ermöglichen oder bestätigen” – dieses Kriterium fehlt im KI-VO-Wortlaut, weil die Verordnung die identifizierende Funktion in eigene, benachbarte Definitionen auslagert: biometrische Identifizierung (Nr. 35) und biometrische Überprüfung (Nr. 36).
Begriffsgeschichte
Als eigenständiger Rechtsbegriff mit Legaldefinition entstand “biometrische Daten” mit der DSGVO (Verordnung (EU) 2016/679), anwendbar seit dem 25. Mai 2018. Die DSGVO listet biometrische Daten zur eindeutigen Identifizierung in Artikel 9 Absatz 1 ausdrücklich als eine der “besonderen Kategorien personenbezogener Daten” – deren Verarbeitung grundsätzlich verboten ist, vorbehaltlich der engen Ausnahmen in Artikel 9 Absatz 2. Die KI-VO übernimmt den Begriff 2024 in einen produktsicherheits- und grundrechtsorientierten Rechtsrahmen und verknüpft ihn mit einer eigenen Risikoklassifikations- und Verbotslogik.
Wo die KI-Verordnung biometrische Daten regelt
- Artikel 5 Absatz 1 Buchstabe g verbietet KI-Systeme, die Personen anhand biometrischer Daten kategorisieren, um Rückschlüsse auf Ethnie, politische Meinung, Gewerkschaftszugehörigkeit, Religion oder Sexualleben zu ziehen – mit engen Ausnahmen für die Kennzeichnung rechtmäßig erworbener Datensätze und für die Strafverfolgung.
- Artikel 5 Absatz 1 Buchstabe h verbietet die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken, ebenfalls mit eng gefassten Ausnahmen.
- Artikel 5 Absatz 1 Buchstabe f verbietet Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder sicherheitstechnischen Gründen.
- Artikel 10 Absatz 5–6 erlaubt Anbietern ausnahmsweise die Verarbeitung biometrischer und anderer besonderer Datenkategorien, um Verzerrungen (Bias) bei Hochrisiko-Systemen aufzudecken und zu korrigieren – nur wenn Alternativen wie synthetische oder anonymisierte Daten ungeeignet sind, unter strengen Auflagen wie Pseudonymisierung und Löschpflicht.
- Anhang III Nummer 1 stuft biometrische Fernidentifizierungssysteme (außer reiner 1:1-Verifizierung), Kategorisierungssysteme nach sensiblen Merkmalen und Emotionserkennungssysteme als Hochrisiko-KI ein, soweit ihr Einsatz nach geltendem Recht überhaupt zulässig ist.
- Artikel 50 Absatz 3 verpflichtet Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen, betroffene Personen über den Betrieb zu informieren.
Kontroversen und Kritik
Der bislang deutlichste europäische Präzedenzfall ist die Entscheidung der italienischen Datenschutzbehörde Garante per la protezione dei dati personali vom 10. Februar 2022 gegen Clearview AI. Das Unternehmen hatte eine durchsuchbare Gesichtserkennungsdatenbank aus über zehn Milliarden im Internet gesammelten Bildern aufgebaut. Die Behörde stellte Verstöße gegen die Rechtmäßigkeits- und Zweckbindungsgrundsätze der DSGVO sowie gegen Artikel 9 DSGVO fest und verwarf ausdrücklich den Vergleich mit einer gewöhnlichen Bildersuchmaschine: Der Aufbau einer indexierten biometrischen Datenbank sei etwas grundlegend anderes als das Indexieren von Suchergebnissen. Weitere europäische Datenschutzbehörden – darunter die hamburgische Aufsichtsbehörde – kamen in eigenen Verfahren zu ähnlichen Einschätzungen.
Verwandte Begriffe
- Biometrisches Fernidentifizierungssystem – die am schärfsten regulierte Anwendung biometrischer Daten
- Biometrisches Kategorisierungssystem – Zuordnung zu Gruppen statt Identifizierung einer Person
- System zur Erkennung von Emotionen – nutzt teils ebenfalls biometrische Daten
- Personenbezogene Daten – die übergeordnete DSGVO-Kategorie
- Begriffsbestimmungen der KI-Verordnung – alle 68 Legaldefinitionen im Überblick
Quellenangaben
- Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 3 Nummer 52, Artikel 5 Absatz 1 Buchstabe d, Artikel 6 Absatz 3, Artikel 26 Absatz 11, Anhang III, Erwägungsgrund 26. Amtsblatt der Europäischen Union, 12. Juli 2024.
- Europäisches Parlament und Rat, 2016. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 4 Nummer 14, Artikel 9 Absatz 1. Amtsblatt der Europäischen Union, 4. Mai 2016.
- Garante per la protezione dei dati personali, 2022. Provvedimento del 10 febbraio 2022 nei confronti di Clearview AI Inc., Doc-web Nr. 9751362.