BEWERTUNG DER VERARBEITUNG BIOMETRISCHER DATEN IM RAHMEN DER PERSONALVERWALTUNG
1. Allgemeine Erläuterungen
Die Verarbeitung personenbezogener Daten ist in Artikel 3 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten („KVKK” oder „Gesetz”) definiert. Demnach Jede Art von Verarbeitung personenbezogener Daten, wie deren vollständig oder teilweise automatisierte oder nicht automatisierte Erhebung, Speicherung, Aufbewahrung, Änderung, Umgestaltung, Offenlegung, Übermittlung, Übernahme, Bereitstellung, Klassifizierung oder Sperrung, gilt als Verarbeitung personenbezogener Daten. Die Bedingungen für die Verarbeitung personenbezogener Daten sind in Artikel 5 des Gesetzes aufgeführt. Die Verarbeitung personenbezogener Daten ist möglich, wenn mindestens einer der folgenden Fälle vorliegt:
- Vorliegen der ausdrücklichen Einwilligung der betroffenen Person,
- Ausdrückliche gesetzliche Vorgabe,
- Wenn die betroffene Person aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder ihre Einwilligung rechtlich nicht gültig ist, ist die Verarbeitung zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder einer anderen Person erforderlich.
- Die Verarbeitung personenbezogener Daten der Vertragsparteien ist erforderlich, sofern dies in direktem Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags steht.
- Notwendigkeit für die Erfüllung der gesetzlichen Verpflichtungen des für die Verarbeitung Verantwortlichen,
- Offenlegung durch die betroffene Person selbst,
- Notwendigkeit der Datenverarbeitung für die Begründung, Ausübung oder Verteidigung eines Rechtsanspruchs,
- Notwendigkeit der Datenverarbeitung für die berechtigten Interessen des für die Verarbeitung Verantwortlichen, sofern dies nicht die Grundrechte und Grundfreiheiten der betroffenen Person beeinträchtigt.
Die Bedingungen für die Verarbeitung personenbezogener Daten, d. h. die Fälle der Rechtmäßigkeit, sind im Gesetz durch Aufzählung festgelegt, und es versteht sich, dass diese Bedingungen nicht erweitert werden können.
Im Rahmen der ausdrücklichen Einwilligung der betroffenen Person muss bei der Durchführung der Datenverarbeitung durch den Datenverantwortlichen zunächst geprüft werden, ob es möglich ist, sich auf eine der anderen Bedingungen für die Datenverarbeitung zu stützen. Wenn die in Absatz 5/2 des Gesetzes genannten Verarbeitungsbedingungen, die als Ausnahmen von der ausdrücklichen Einwilligung angesehen werden können, nicht herangezogen werden können, ist es wichtig, die ausdrückliche Einwilligung der betroffenen Person einzuholen.
In diesem Zusammenhang gibt es drei wesentliche Punkte, die beachtet werden müssen, damit die von der betroffenen Person verlangte ausdrückliche Einwilligung rechtskonform ist:
- Die ausdrückliche Einwilligung muss sich auf ein bestimmtes Thema beziehen.
- Die betroffene Person muss über die geforderte Einwilligung informiert worden sein.
- Die betroffene Person muss ihre ausdrückliche Einwilligung auf der Grundlage ihres freien Willens erteilt haben.
2. Eigenschaften biometrischer Daten und zu beachtende Aspekte bei ihrer Verarbeitung
In Artikel 6 des Gesetzes mit dem Titel „Bedingungen für die Verarbeitung besonderer personenbezogener Daten” werden die Rasse, die ethnische Herkunft, die politische Meinung, die philosophische Weltanschauung, die Religion, die Konfession oder andere Glaubensrichtungen, die Kleidung und die Kleidung, die Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, die Gesundheit, Sexualleben, Vorstrafen und Sicherheitsmaßnahmen sowie biometrische und genetische Daten als personenbezogene Daten besonderer Art definiert.
Die Definition von biometrischen Daten, die zu den personenbezogenen Daten besonderer Art gehören, ist zwar nicht im Gesetz enthalten, jedoch in der am 25. Mai 2018 in Kraft getretenen Europäischen Datenschutz-Grundverordnung (General Data Protection Regulation, „GDPR“) definiert biometrische Daten als „personenbezogene Daten, die aus spezifischen technischen Verfahren in Bezug auf physische, physiologische oder verhaltensbezogene Merkmale einer natürlichen Person stammen, die eine eindeutige Identifizierung oder Bestätigung ermöglichen, wie beispielsweise Gesichtsbilder oder daktyloskopische1 Daten“.
Ausgehend von diesen Erläuterungen lässt sich sagen, dass personenbezogene Daten bestimmte Eigenschaften aufweisen müssen, um als biometrische Daten eingestuft zu werden. Das heißt
- Die Unterscheidungsmerkmale einer Person, wie ihre physiologischen, physischen oder verhaltensbezogenen Merkmale, müssen sich aus der Datenverarbeitung ergeben.
- Die ermittelten Merkmale müssen personenbezogene Daten sein, die zur Identifizierung oder Bestätigung der Identität einer Person dienen.
In Artikel 51 der Erwägungsgründe der DSGVO („Begründung zu den Artikeln”) werden ebenfalls Erläuterungen zu biometrischen Daten gegeben und es wird darauf hingewiesen, dass die Verarbeitung von Fotos nicht direkt als biometrische Daten eingestuft werden kann, nur dann als biometrische Daten gelten, wenn sie mit einer bestimmten technischen Methode verarbeitet werden, die die eindeutige Identifizierung oder Überprüfung einer natürlichen Person ermöglicht. Daher wird davon ausgegangen, dass für die Einstufung einer Daten als biometrische Daten die Eigenschaft dieser Daten, die betreffende Person identifizieren oder überprüfen zu können, als ausreichendes Kriterium gilt.
In ähnlicher Weise wird in der Entscheidung Nr. 2014/4562 der 15. Kammer des Verwaltungsgerichtshofs festgestellt, dass biometrische Verfahren „Identitätsprüfungsverfahren, die anhand messbarer physiologischer und individueller Merkmale durchgeführt und automatisch überprüft werden können” sind, und dass zu diesen Verfahren Fingerabdruckerkennung, Handflächen-Scanning, Handgeometrieerkennung, Iriserkennung, Gesichtserkennung, Netzhauterkennung und DNA-Erkennung .
In diesem Zusammenhang werden beim Betreten des Arbeitsplatzes Personalzeitwirtschaftssysteme („PDKS”) und ähnliche Systeme beim Betreten des Arbeitsplatzes Fingerabdrücke, Gesichtserkennung, Handflächenabdrücke und ähnliche Daten zu erfassen und die Identität der Personen zu überprüfen, um die Ein- und Ausgänge zu kontrollieren, gemäß der Anwendung der Datenschutzbehörde und den einschlägigen Rechtsvorschriftenfestgelegt.
Bei der Verarbeitung biometrischer Daten verweist die Datenschutzbehörde („Behörde“) in erster Linie auf die in Artikel 4 des Gesetzes enthaltenen Allgemeinen Grundsätze und betont insbesondere den Grundsatz der Verhältnismäßigkeit. In diesem Zusammenhang ist es angebracht, auf die Bewertungen des Verfassungsgerichts in seinen Entscheidungen 2016/125 Esas und 2017/143 Esas2 Bezug zu nehmen, die im Rahmen einer von Mitgliedern des Großen Nationalrats der Türkei beim Verfassungsgericht („AYM“) eingereichten Klage zur Aufhebung bestimmter Formulierungen und Artikel des KVKK ergangen sind. In diesem Zusammenhang bei der Verarbeitung biometrischer Daten:
- Im Rahmen des in der Verfassung verankerten Grundrechts und der Grundfreiheit, das Recht auf Schutz der personenbezogenen Daten einer Person, muss die Verarbeitung biometrischer Daten den in der Verfassung festgelegten Grundrechten und Grundfreiheiten unterliegen und dem Grundsatz der Verhältnismäßigkeit Rechnung tragen.
- Die Verarbeitung biometrischer Daten durch den für die Datenverarbeitung Verantwortlichen und der mit dieser Verarbeitung verfolgte Zweck müssen miteinander im Einklang stehen, d. h. „die angewandte Methode/Regel muss für den verfolgten Zweck geeignet sein”.
- Die Verarbeitung biometrischer Daten muss für die Erreichung des vom Datenverantwortlichen angestrebten Zwecks erforderlich sein. Wie in der genannten Entscheidung des Verfassungsgerichtshofs betont wird, muss, wenn mehrere Mittel zur Erreichung desselben Zwecks zur Verfügung stehen, das am wenigsten eingreifende Mittel/Verfahren ausgewählt werden.
- Zwischen der Verarbeitung der Daten und dem angestrebten Zweck muss ein Angemessenheitsverhältnis bestehen.
- Die zu verarbeitenden Daten müssen so lange wie erforderlich aufbewahrt werden, und sobald diese Notwendigkeit nicht mehr besteht, müssen Vernichtungsprozesse durchgeführt werden.
- Aufgrund der Notwendigkeit einer prozessbasierten Aufklärung muss der für die Datenverarbeitung Verantwortliche seine Aufklärungspflicht gemäß dem Gesetz erfüllen.
- Wenn eine ausdrückliche Einwilligung erforderlich ist, muss ein dem Gesetz entsprechender Prozess der ausdrücklichen Einwilligung durchgeführt werden, bei dem die betroffene Person über die Folgen ihrer Einwilligung in Bezug auf den Gegenstand und den Umfang informiert wird.
Vor dem Hintergrund all dieser Erläuterungen kann selbst in einem Szenario, in dem alle möglichen Vorkehrungen getroffen und die erforderlichen Verfahren durchgeführt werden, davon ausgegangen werden, dass die Verarbeitung biometrischer Daten weder erforderlich noch verhältnismäßig ist, wenn mit weniger einschränkenden Maßnahmen das gleiche oder ein besseres Ergebnis erzielt werden kann.
- In Artikel 4 des Gesetzes mit dem Titel „Allgemeine Grundsätze” wird ebenfalls festgelegt, dass personenbezogene Daten nur in Übereinstimmung mit den im Gesetz und anderen Rechtsvorschriften vorgesehenen Verfahren und Grundsätzen verarbeitet werden dürfen, und dass personenbezogene Daten nur in Übereinstimmung mit den Rechts- und Fairnessgrundsätzen, für bestimmte, eindeutige und rechtmäßige Zwecke, unter der Voraussetzung, dass sie korrekt und gegebenenfalls aktuell sind, in Verbindung mit dem Zweck ihrer Verarbeitung, begrenzt und verhältnismäßig sind und für den in den einschlägigen Rechtsvorschriften vorgesehenen oder für den Zweck ihrer Verarbeitung erforderlichen Zeitraum aufbewahrt werden.
- Von diesen Grundsätzen wird betont, dass der Grundsatz der Zweckbindung, Verhältnismäßigkeit und Begrenztheit erfordert, dass die verarbeiteten Daten für die Erreichung der festgelegten Zwecke geeignet sind, dass die Verarbeitung von personenbezogenen Daten, die für die Erreichung des Zwecks nicht relevant oder nicht erforderlich sind, vermieden werden muss und dass die Daten nicht zur Erfüllung später möglicherweise auftretender Bedürfnisse verarbeitet werden dürfen.
3. Bewertung der Grundsätze der Einwilligung und der Verhältnismäßigkeit im Rahmen der Verarbeitung biometrischer Daten
Der Grundsatz der Verhältnismäßigkeit bedeutet, dass ein angemessenes Gleichgewicht zwischen der Datenverarbeitung und dem damit verfolgten Zweck hergestellt werden muss, d. h. die Datenverarbeitung muss in einem Umfang erfolgen, der zur Erreichung des Zwecks erforderlich ist, dass personenbezogene Daten, die für die Durchführung der Datenverarbeitung nicht erforderlich sind, nicht erhoben und/oder verarbeitet werden dürfen, Der für die Datenverarbeitung Verantwortliche sollte im Rahmen seines Zwecks und in Übereinstimmung mit dem Grundsatz der Verhältnismäßigkeit nur ein Mindestmaß an Informationen von der betroffenen Person anfordern. Selbst wenn die Verarbeitung personenbezogener Daten mit Zustimmung der betroffenen Person erfolgt und einem bestimmten Zweck dient, rechtfertigt die ausdrückliche Einwilligung keine übermäßige Datenerhebung rechtfertigt, personenbezogene Daten nur für bestimmte Zwecke und in dem erforderlichen Umfang erhoben, nur für die Zwecke verwendet werden dürfen, für die sie erforderlich sind, und nicht länger als für die Zwecke erforderlich gespeichert werden dürfen.
Aufgrund der oben genannten Punkte ist es nicht schwer zu dem Schluss zu kommen, dass die ausdrückliche Einwilligung der betroffenen Person zur Verarbeitung ihrer biometrischen personenbezogenen Daten in bestimmten Fällen nicht als rechtmäßig angesehen werden kann bzw. ungültig ist. Auch wenn die betroffene Person ihre ausdrückliche Einwilligung gegeben hat, ist es wichtig zu prüfen, ob die Verarbeitung der Daten gegen allgemeine Grundsätze verstößt, insbesondere ob die Verhältnismäßigkeitsgrenze überschritten wurde.
Neben den Entscheidungen der Behörden im Rahmen der türkischen Rechtsvorschriften ist es jedoch auch sinnvoll, darauf einzugehen, wie sich die GDPR, die für alle Mitgliedstaaten der Europäischen Union und des Europäischen Wirtschaftsraums (European Economic Area, „EEA“) verbindlich und in diesem Sinne supranational ist, auf die Verarbeitung biometrischer Daten auswirkt.
a. Bewertung biometrischer Daten im Rahmen des KVKK
Die Datenschutzbehörde („Kurul“) hat zahlreiche Entscheidungen zu biometrischen Daten getroffen. Eine der bekanntesten dieser Entscheidungen ist zweifellos die von der Behörde verhängte Strafe gegen ein Fitnessstudio, das die Ein- und Ausgänge mit Fingerabdrücken kontrollierte. In der Entscheidung4 wurde die Forderung nach Fingerabdrücken für den Ein- und Ausgang des Fitnessstudios und die Verarbeitung biometrischer Daten als Voraussetzung für die Inanspruchnahme der Dienstleistungen des Fitnessstudios als unverhältnismäßig bewertet, obwohl die betroffenen Personen ihre Zustimmung gegeben hatten und das Fitnessstudio angegeben hatte, dass es diese Daten aus Sicherheitsgründen erfasst. Das Fitnessstudio wurde mit zwei separaten Geldstrafen belegt.
An dieser Stelle lässt sich sagen, dass die betreffende Praxis neben dem Grundsatz der Verhältnismäßigkeit auch das aus der Verfassung abgeleitete Recht auf Schutz personenbezogener Daten erheblich beeinträchtigt und daher tatsächlich auch grundlegende Rechte und Freiheiten ernsthaft berührt. Die Tatsache, dass der betroffenen Person keine andere Wahl als die Datenverarbeitung angeboten wurde und dass die ausdrückliche Einwilligung zur Voraussetzung für die Inanspruchnahme der Dienstleistung gemacht wurde, verstößt gegen den in Artikel 2 des türkischen Zivilgesetzbuches verankerten und äußerst wichtigen „Grundsatz der Redlichkeit”.5
Ein Punkt, der in der Entscheidung besonders hervorgehoben wurde und der auch in künftigen Entscheidungen als wichtiges Kriterium für die Verhältnismäßigkeit der Verarbeitung biometrischer Daten herangezogen werden wird, ist, dass die Verarbeitung biometrischer Daten, selbst wenn sie mit ausdrücklicher Zustimmung erfolgt, nicht mit den im Gesetz verankerten Grundprinzipien vereinbar ist, da die Ein- und Ausgänge des Fitnessstudios auch auf alternative Weise verfolgt werden können.
In dieser Entscheidung hat der Rat, wie auch in späteren Entscheidungen häufig, auf die Praxis des Verwaltungsgerichtshofs und ähnliche Entscheidungen im internationalen Recht Bezug genommen, die in engem Zusammenhang mit diesem Thema stehen.
In seiner Entscheidung Nr. 2017/816 hat der Verwaltungsgerichtshof festgestellt, dass die beklagte Behörde aufgrund der Schwierigkeiten bei der Kontrolle und Überwachung des Personals aufgrund bestimmter Abteilungen und des Schichtarbeitssystems auf Gesichtsscanning umgestellt hat. Da das Gesichtserkennungssystem die Gesichter der Mitarbeiter in digitale Codes umwandelt und diese miteinander vergleicht, kann die Anwendung nicht als Datenerfassung bezeichnet werden. Daher wurde die Klage auf Aufhebung der streitigen Maßnahme vom Verwaltungsgericht als unzulässig abgewiesen, was als rechtswidrig angesehen wurde .
In den Entscheidungen 2014/2242 und 2014/4562 hat der Verwaltungsgerichtshof betont, dass biometrische Verfahren wie „Fingerabdruck- oder Gesichtsscansysteme” auch im öffentlichen Raum unter den Grundsatz der „Privatsphäre” und dass es keine Garantie dafür gibt, dass die gesammelten Daten in Zukunft nicht auf andere Weise verwendet werden können, und hat sie daher als rechtswidrigbewertet.
In ähnlicher Weise hat auch der Europäische Gerichtshof für Menschenrechte in seiner Entscheidung vom 4. Dezember 2008 in der Rechtssache S. und Marper/Vereinigtes Königreich festgestellt, dass die Speicherung von Fingerabdrücken, Zellproben und DNA-Profilen von Personen eine unverhältnismäßige und und in einer demokratischen Gesellschaft nicht als notwendiger Eingriff angesehen werden kann, und stellte fest, dass diese Praxis gegen Artikel 8 der Europäischen Menschenrechtskonvention verstößt.
Andererseits wird in dem von der Article 29 Working Party erstellten Dokument WP193 mit dem Titel „Opinion 3/2012 on Developments in Biometric Technologies” als Beispiel angeführt, dass
die Speicherung und Verarbeitung der Fingerabdrücke aller Kunden und Mitarbeiter, um nur Mitgliedern den Zugang zu einem Fitnessclub oder Fitnessstudio und den Zugang zu den entsprechenden Dienstleistungen zu ermöglichen, als unverhältnismäßig im Hinblick auf die Notwendigkeit, den Zugang zum Club zu erleichtern und die Mitgliedschaften zu verwalten, bewertet wurde und dass anstelle dieser Praxis auch einfache Kontrolllisten oder die Verwendung von Radiofrequenz-Identifikations (Radio Frequency Identification, „RFID”)6 oder einer Magnetstreifenkarte, die keine Verarbeitung biometrischer Daten erfordert, die gleichen Anforderungen erfüllt werden können.
In der Zusammenfassung der Entscheidung Nr. 2020/915 vom 1. Dezember 20207 des Ausschusses wurde auch die Frage angesprochen, dass die Erfassung der Arbeitszeiten der betreffenden Person, die als Beamter in der Gemeinde tätig ist, durch die Verarbeitung biometrischer Daten durch den für die Datenverarbeitung Verantwortlichen erfolgt. In der Verteidigung des Datenverantwortlichen wurde angegeben, dass die von den Mitarbeitern genommenen Fingerabdrücke gemäß dem PDKS-System nur zur Arbeitszeitkontrolle verwendet werden, dass der Algorithmus im Wesentlichen die charakteristischen Daten des Fingerabdrucks verschlüsselt und in eine Vorlage umwandelt und dass in diesem Zusammenhang das in eine Vorlage umgewandelte Fingerabdruckbild in keiner Weise angezeigt oder bearbeitet werden kann. In der Bewertung des Ausschusses heißt es jedoch:
Der Datenverantwortliche verwendet für die Arbeitszeitkontrolle neben Fingerabdrücken auch Personalnummern und verschlüsselte Zugänge sowie Formulare mit Originalunterschrift, die Ein- und Ausgänge können eindeutig mit alternativen Methoden kontrolliert werden, In diesem Zusammenhang wurde festgestellt, dass die Praktiken des Datenverantwortlichen gegen den in Artikel 4 des Gesetzes festgelegten Grundsatz der Verhältnismäßigkeit verstoßen, und es wurde angeordnet, das betreffende System zu entfernen und dem Ausschuss die entsprechenden Informationen und Unterlagen über die Vernichtung der damit gewonnenen Daten zu übermitteln.
Wie oben ausführlich dargelegt, vertritt die Kommission eine sehr klare Haltung gegen die Verarbeitung biometrischer Daten zum Zwecke der Ein- und Ausgangsüberwachung Sie verweist in jeder Entscheidung auf die allgemeinen Grundsätze des Gesetzes, weist die Datenverantwortlichen an, die entsprechenden Anwendungen zu entfernen, begnügt sich meist nicht mit Anweisungen, sondern verhängt auch Verwaltungsstrafen und betont letztlich, wie sensibel mit biometrischen Daten umgegangen werden muss.
In der Zusammenfassung der Entscheidung Nr. 2022/662 vom 7. Juli 20228 des Ausschusses wurde „die Verarbeitung der Daten zur Handgeometrie der betroffenen Person durch den Datenverantwortlichen ohne deren ausdrückliche Zustimmung zum Zwecke des Zutritts zum Dienstgebäude eines Unternehmens” ebenfalls einer ähnlichen Bewertung unterzogen. In diesem Fall wurde festgestellt, dass die Verarbeitung biometrischer Daten mithilfe eines Geräts namens „Biometrisches Handterminal” erfolgte, mit dem die physischen Merkmale der Benutzer/Unternehmensabonnenten, wie z. B. Hände und Finger, in einer dreidimensionalen Umgebung gemessen werden können.
In der Entscheidung heißt es: Auch wenn der für die Datenverarbeitung Verantwortliche geltend macht, dass Handgeometriedaten keine personenbezogene Eigenschaft wie Fingerabdrücke sind und mit denen einer anderen Person übereinstimmen können, wird die Hand mit Hilfe des Geräts an 31.000 Punkten dreidimensional gescannt und die Hand und die Finger analysiert. und dass die Fehlerquote bei der Zuordnung zur betreffenden Person mathematisch eindeutig und klar sehr gering ist, handelt es sich um eine Identitätsprüfungsmethode, die anhand physiologischer Merkmale durchgeführt und automatisch überprüft werden kann.
Zusammenfassend lässt sich sagen, dass der für die Datenverarbeitung Verantwortliche eine Identitätsprüfung mittels biometrischer Verfahren durchführt, indem er die Handgeometrie der Dienstabonnenten und der betreffenden Person erfasst, und dass dabei personenbezogene Daten besonderer Art verarbeitet werden.
Da biometrische Daten nicht eindeutig definiert sind und es keine klar festgelegten Grenzen und Arten gibt, wurde in der Entscheidung eine interessante Einschätzung getroffen, dass in diesem Sinne, da Biometrie die Messung eines lebenden Organismus bezeichnet, auch nicht-physiologische Verhaltensdaten unter den Begriff der biometrischen Daten fallen können.
Nach Prüfung aller Aspekte wurde festgestellt, dass es keinen rechtlichen Grund für die Verarbeitung besonderer personenbezogener Daten zum Zwecke der Kontrolle des Zugangs zum Dienstgebäude des für die Datenverarbeitung Verantwortlichen und die Verwendung biometrischer Datensysteme in diesem Zusammenhang gibt und dass die besonderen personenbezogenen Daten der betroffenen Person ohne Vorliegen einer der in Gesetz Nr. 6698 , und daher eine Geldstrafe in Höhe von 100.000 TL gegen den Datenverantwortlichen verhängt.
Im gleichen Zusammenhang hat der Ausschuss in seiner Entscheidung vom 4. August 2022 mit der Nummer 2022/797 das Thema „Rechtswidrige Verarbeitung personenbezogener Daten durch den Datenverantwortlichen am Arbeitsplatz mittels Sicherheitskameras und Gesichtserkennungssystemen beim Betreten und Verlassen des Arbeitsplatzes” bewertet. In dem genannten Fall wurde im Rahmen der Bewertungen, ob Gründe vorliegen, die die Verwendung biometrischer Daten für die Erfassung der Arbeitszeiten zwingend erforderlich machen, Folgendes festgestellt:
- „Ich habe das Dokument „KVKK – Informationsblatt für Mitarbeiter und Bewerber” gelesen und verstanden und erkläre hiermit ohne jeglichen Einfluss oder Druck, dass ich mit der Erhebung, Speicherung, Verarbeitung, Speicherung und Übertragung meiner oben genannten personenbezogenen und besonderen personenbezogenen Daten durch das Unternehmen ohne jeglichen Einfluss oder Druck ausdrücklich zuzustimmen. Die in dieser Form eingeholte ausdrückliche Zustimmung entspricht nicht der Definition und den Bedingungen der ausdrücklichen Zustimmung gemäß Artikel 3/1-a des Gesetzes, und es wird betont, dass eine ausdrückliche Zustimmungserklärung, die sich auf ein bestimmtes Thema bezieht und nicht auf dieses Thema beschränkt ist, nicht als rechtskonform angesehen werden kann.
- Selbst wenn die Verarbeitung personenbezogener Daten durch den Einsatz eines Gesichtserkennungssystems beim Betreten und Verlassen des Arbeitsplatzes auf der Grundlage einer ausdrücklichen Einwilligung erfolgt, muss diese Datenverarbeitung in jedem Fall im Einklang mit den in Artikel 4 des Gesetzes festgelegten allgemeinen Grundsätzen erfolgen. In diesem Zusammenhang muss der für die Datenverarbeitung Verantwortliche im Rahmen der Arbeitssicherheit und des Gesundheitsschutzes alternative Möglichkeiten wie ein Magnetkartensystem, RFID-Tags oder die Eingabe einer an das Mobiltelefon gesendeten SMS in das System nutzen, Außerdem sollten die Arbeitnehmer darauf hingewiesen werden, dass sie nicht für andere unterschreiben oder deren Karten einlesen dürfen, und es sollten Sanktionen festgelegt werden, die bei Feststellung eines Verstoßes verhängt werden können, um böswillige Handlungen zu verhindern, indem die Arbeitnehmer darüber informiert werden. Es ist möglich, dass biometrische Daten der Arbeitnehmer in Form von Gesichtserkennungsdaten verarbeitet werden.
- Das Ziel könnte durch die Verarbeitung von personenbezogenen Daten erreicht und die entsprechenden Vorgänge durchgeführt werden, die weniger in die Persönlichkeitsrechte der betroffenen Personen eingreifen, anstatt durch die Verarbeitung von personenbezogenen Daten, die über das erforderliche Maß hinausgehen und einen größeren Eingriff darstellen. Dies verstößt gegen den in Artikel 4/2-ç des Gesetzes festgelegten Grundsatz der Verarbeitung personenbezogener Daten,
- „im Zusammenhang mit dem Zweck ihrer Verarbeitung, begrenzt und verhältnismäßig sein müssen”, was einen Verstoß gegen die in Artikel 4/2-ç des Gesetzes festgelegte Verpflichtung darstellt, und in diesem Zusammenhang wurde gegen den für die Datenverarbeitung Verantwortlichen eine Verwaltungsstrafe in Höhe von 500.000 TL verhängt.
Wie aus den jüngsten Entscheidungen der Kommission leicht ersichtlich ist, kann man ohne Weiteres sagen, dass biometrische Datenanwendungen derzeit zu den aktuellen Themen der Kommission gehören.
b. Bewertung biometrischer Daten im Rahmen der DSGVO
Biometrische Daten werden auch im Rahmen der DSGVO als personenbezogene Daten besonderer Art bewertet. Aus diesem Grund ist die Verarbeitung biometrischer Daten gemäß Artikel 9 Absatz 2 der DSGVO an bestimmte Bedingungen geknüpft, wie z. B. die ausdrückliche Einwilligung der betroffenen Person und die Notwendigkeit der Datenverarbeitung für das öffentliche Interesse.
Im Hinblick auf das Verhältnis zwischen Arbeitgeber und Arbeitnehmer wird aufgrund der Autorität und Macht des Arbeitgebers gegenüber dem Arbeitnehmer die Einwilligung zur Verarbeitung personenbezogener Daten der Arbeitnehmer mit größerer Sensibilität als rechtliche Grundlage betrachtet.
In einem Fall, der vor die niederländische Datenschutzbehörde (The Dutch Data Protection Authority, „DDPA“) gebracht wurde, wurde einem Unternehmen, das die Fingerabdrücke seiner Mitarbeiter zum Zwecke der Erfassung ihrer An- und Abwesenheit am Arbeitsplatz verlangte, eine Geldstrafe in Höhe von 725.000 Euro auferlegt. Die DDPA kam zu dem Schluss, dass die Verarbeitung biometrischer Daten für Zwecke wie Identitätsprüfung oder Sicherheit für die Erfassung der Arbeitszeiten nicht erforderlich ist, und verhängte eine der höchsten Verwaltungsstrafen, die jemals in den Niederlanden verhängt wurden.
In der Entscheidung verwies die DDPA insbesondere auf den Grundsatz der Verhältnismäßigkeit/Angemessenheit und stellte fest, dass biometrische Daten im Rahmen der DSGVO einem zusätzlichen Schutz unterliegen, dass biometrische Daten nicht als veränderbare Daten wie Passwörter angesehen werden können und dass in diesem Zusammenhang der Schutz der Daten der betroffenen Personen gegenüber den Interessen des Arbeitgebers überwiegt. Die niederländische Datenschutzbehörde wies auch darauf hin, dass die ausdrückliche Zustimmung der Arbeitnehmer trotz ihrer ausdrücklichen Zustimmung ungültig sei, da es möglich sei, auf andere Alternativen zurückzugreifen. Ausgehend von der Feststellung, dass es für Arbeitnehmer in der Regel nicht möglich sei, die ausdrückliche Zustimmung zu verweigern, betonte sie, dass die ausdrückliche Zustimmung nicht als wirklich freiwillig angesehen werden könne, und traf einige sehr wichtige Feststellungen.
In ähnlicher Weise hat die litauische Datenschutzbehörde (Lithuanian Data Protection Authority, „LDPA“) in einem Fall, in dem die Fingerabdruckdaten von Mitarbeitern und Kunden zur Erfassung der Ein- und Ausgänge eines Fitnessstudios verarbeitet wurden, eine Geldstrafe in Höhe von 20.000 Euro gegen das Fitnessstudio verhängt. 11 Einer der Gründe für die Strafe war die Verarbeitung biometrischer Daten ohne die gültige ausdrückliche Einwilligung der betroffenen Personen.
In einer Untersuchung, die aufgrund einer Beschwerde einer betroffenen Person bei der litauischen Datenschutzbehörde (The State Data Protection Inspectorate, „SDPI“) eingeleitet wurde, wurde festgestellt, dass Fingerabdrücke zwingend erforderlich waren, um die Dienstleistungen des Fitnessstudios in Anspruch nehmen zu können. Es wurde festgestellt, dass die Daten im Rahmen des litauischen Gesetzes zum Schutz personenbezogener Daten („Republic of Lithuania Law on Legal Protection of Personal Data“) zwar ordnungsgemäß verarbeitet wurden, jedoch möglicherweise ein Verstoß gegen die DSGVO vorliegt.
Die SDPI kam zu dem Schluss, dass die von den Kunden geforderten Fingerabdrücke als Voraussetzung für die Inanspruchnahme der Dienstleistungen die freie Einwilligung beeinträchtigten und dass in diesem Zusammenhang keine gültige Einwilligungserklärung vorlag, sodass eine rechtswidrige Datenverarbeitung vorlag.
In einer separaten Bewertung für Mitarbeiter stellte die SDPI fest, dass, wie bereits in der vorherigen DDPA-Entscheidung erwähnt, keine proportionale Datenverarbeitung vorliegt, da die Mitarbeiter nicht darüber informiert wurden, zu welchem Zweck und auf welcher Rechtsgrundlage ihre biometrischen Daten verarbeitet werden, und dass in diesem Sinne die Informationspflicht nicht vollständig erfüllt wurde.
4. FAZIT
Ausgehend davon, dass biometrische Daten in den Datenschutzgesetzen unseres Landes, in der Verfassung und in den GDPR-Verhandlungen internationaler Behörden im Rahmen ähnlicher Bewertungen behandelt werden, kann man sagen, dass der Grundsatz der Verhältnismäßigkeit, der zu den universellen Datenschutzgrundsätzen gehört, bei biometrischen Daten wie Fingerabdrücken und Gesichtserkennung ein empfindliches Gleichgewicht darstellt und dass insbesondere in Arbeitgeber-Arbeitnehmer-Beziehungen die Autorität des Arbeitgebers, der die Oberhand hat, in Unternehmen, die die Anwendung durch ausdrückliche Zustimmung fortsetzen wollen, die freie Willensentscheidung behindert.
Fazit: Bei der Erfassung der Arbeitszeiten können Systeme, die biometrische Daten wie Fingerabdrücke, Gesichtserkennung, Handflächenabdrücke, Handgeometrie usw. verarbeiten, im Hinblick auf den Grundsatz der Verhältnismäßigkeit bei der Verarbeitung personenbezogener Daten nicht als mit dem Grundsatz der minimalen Datenanforderung von den betroffenen Personen vereinbar angesehen werden.
Selbst wenn bei der Erfüllung der Informationspflicht und der Einholung der ausdrücklichen Einwilligung ein äußerst sorgfältiger Prozess durchgeführt wird, führt dieser Prozess im Falle biometrischer Daten in den meisten Fällen nicht zu einer rechtmäßigen Verarbeitung biometrischer Daten.
Es ist eindeutig, dass die entsprechenden Anwendungen unverzüglich eingestellt werden müssen, um die gleichen Ergebnisse zu erzielen und dass weniger eingreifende Wege zur Wahrung der Grundrechte und -freiheiten eingeschlagen werden müssen.
