EuGH: Fingerabdruckpflicht auf Personalausweisen ist rechtmäßig, die zugrundeliegende Verordnung muss aber neu erlassen werden

Fingerabdrücke sind zur Bekämpfung von Identitätsdiebstahl und Dokumentenbetrug erforderlich

Zwar greift die zwangsweise Abnahme und Speicherung der Fingerabdrücke als biometrische und somit „besonders sensible“ Daten in diese Grundrechte ein. Der EuGH hält dies aber für gerechtfertigt, weil die Fingerabdrücke die Herstellung gefälschter Personalausweise und somit den Identitätsdiebstahl erschwerten und das Betrugsrisiko verringerten. Fingerabdrücke ermöglichten keinen Einblick in das Privat- und Familienleben der betroffenen Personen, sodass der Wesensgehalt der genannten Grundrechte gewahrt sei. Nur ein Gesichtsbild auf dem Ausweis zu speichern, sei nicht ausreichend, da sich die anatomischen Merkmale des Gesichts etwa durch Alterung oder chirurgische Eingriffe verändern könnten. Auch die Speicherung bloßer „Minuzien“, d.h. lediglich bestimmter charakteristischer Merkmale der Fingerabdrücke auf den Ausweisen, biete nicht dieselben Garantien wie die Speicherung vollständiger Abdrücke. Außerdem könne angesichts unterschiedlicher Identifizierungsmechanismen in den Mitgliedstaaten die Kompatibilität und damit die Interoperabilität der automatisierten nationalen Identifizierungssysteme nur durch die Aufnahme vollständiger Fingerabdrücke gewährleistet werden. Die Verpflichtung zur Speicherung zweier Fingerabdrücke auf dem elektronischen Chip der Personalausweise halte sich daher im Rahmen der Grenzen des absolut Notwendigen.

Zwar hatte der EuGH schon 2013 entschieden, dass Fingerabdrücke auf Reisepässen gespeichert werden dürfen. Diese Wertung ist aber – wie das Verwaltungsgericht Hamburg 2023 in einem Eilverfahren ausgeführt hatte – auf Personalausweise nicht ohne weiteres übertragbar. Denn zum einen gilt in vielen Mitgliedstaaten – anders als bei Reisepässen – eine Pflicht zum Besitz eines Personalausweises. Zweitens werden Personalausweise – anders als Reisepässe – im täglichen Leben für eine Vielzahl weiterer Zwecke verwendet, wodurch sich das das Risiko unerlaubter Zugriffe und Missbräuche erhöht.

Der EuGH misst dieser Missbrauchsgefahr aber – anders als der Europäische Datenschutzbeauftragte – keine überwiegende Bedeutung bei, weil die Verordnung genügend „Garantien“ gegen Missbrauch vorsehe. Unter anderem erlaube sie es den Mitgliedstaaten nicht, Fingerabdrücke zu anderen Zwecken als zur Echtheits- und Identitätsprüfung zu verwenden. Auch gestatte sie es den Mitgliedstaaten nicht, zentrale Fingerabdruckdatenbanken zu erstellen. Die digitalisierten Fingerabdrücke würden bei den Ämtern nach 90 Tagen gelöscht und seien dann nur noch auf dem Ausweis selbst gespeichert, der sich im Besitz des jeweiligen Bürgers befinde. Auf die Zugriffsgefahr während der 90-tägigen Speicherung bei der Behörde ging der Gerichtshof hingegen nicht näher ein. Die Fingerabdrücke auf den Ausweisen dürften auch nur ausnahmsweise abgefragt werden, wenn das Gesichtsbild zur zweifelsfreien Bestätigung der Echtheit oder Identität nicht ausreiche. Das Speichermedium des Personalausweises müsse „hochsicher“ sein und zudem müssten die Abdrücke dort physisch oder logisch von anderen Daten getrennt gespeichert werden, die nach nationalem Recht etwa für elektronische Behördendienste oder den elektronischen Geschäftsverkehr auf dem Ausweis hinterlegt werden könnten. Insgesamt gesehen sei die Speicherung daher verhältnismäßig. Mit den unter Umständen schweren Folgen eines möglichen dennoch erfolgten Missbrauchs von Fingerabdrücken als einzigartigem Identifizierungsmerkmal setzte sich der Gerichtshof nicht näher auseinander.

Die entsprechende Regelung in der Verordnung (EU) 2019/1157 zur Erhöhung der Sicherheit der Personalausweise von Unionsbürgern ist damit laut dem EuGH unter grundrechtlichen bzw. datenschutzrechtlichen Aspekten nicht zu beanstanden. Der EuGH folgte insoweit der Auffassung der EU-Generalanwältin, die den Grundrechtseingriff ebenfalls für gerechtfertigt erachtet hatte.

Neuerlass der Verordnung verlangt Einstimmigkeit der Mitgliedstaaten

Allerdings erklärte der EuGH die Verordnung aufgrund eines formellen Fehlers für ungültig, da sie nach dem falschen Gesetzgebungsverfahren erlassen wurde. Die Verordnung hätte nicht auf Art. 21 Abs. 2 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), gestützt und damit nicht nach dem ordentlichen Gesetzgebungsverfahren vom Europäischen Parlament und dem Rat erlassen werden dürfen. Anders als die zuständige EU-Generalanwältin, aber ebenso wie das Verwaltungsgericht Hamburg hält der Gerichtshof vielmehr die speziellere Norm des Art. 77 Abs. 3 AEUV für einschlägig, wonach für Verordnungen betreffend Pässe sowie Personalausweise, die Unionsbürgern die Ausübung ihres Recht auf Freizügigkeit erleichtern sollen, ein besonderes Gesetzgebungsverfahren gilt. Unter dem Recht auf Freizügigkeit versteht man das Recht aller Unionsbürger, sich im Hoheitsgebiet der Mitgliedstaaten frei zu bewegen und aufzuhalten.

Der Unterschied zwischen den Verfahrensarten ist bedeutsam, weil der Rat nach dem besonderen Gesetzgebungsverfahren alleiniger Gesetzgeber ist und einstimmig entscheiden muss, während im ordentlichen Gesetzgebungsverfahren die Zustimmung eine qualifizierte Mehrheit der Mitgliedstaaten genügte.

Weil eine sofortige Aufhebung der Verordnung schwerwiegende negative Folgen für viele Unionsbürger und ihre Sicherheit gehabt hätte, hat der EuGH erklärt, dass er die Wirkungen der Verordnung bis spätestens Ende 2026 aufrecht erhält. Bis dahin muss der Rat nun die Verordnung neu erlassen, ansonsten läuft sie aus. Dass die neue Verordnung in identischer Form wieder erlassen wird, ist aber damit noch nicht vollkommen sicher. Denn das besondere Gesetzgebungsverfahren des Art. 77 Abs. 3 AEUV, das der EU-Gesetzgeber laut dem EuGH beim Neuerlass der Verordnung einhalten muss, erfordert Einstimmigkeit unter den Mitgliedstaaten. Zwei Mitgliedstaaten – nämlich die Tschechische Republik und die Slowakei – hatten aber 2019 gegen die Verordnung gestimmt, die die Fingerabdruckpflicht einführte – weil sie diese eben für unverhältnismäßig hielten. Das Europäische Parlament, das der Verordnung 2019 mit knapper Mehrheit zugestimmt hatte, hat im besonderen Gesetzgebungsverfahren hingegen kein Vetorecht.

Einigen die Mitgliedstaaten sich nicht, würde die gesetzliche Grundlage für die fortgesetzte Speicherung und verpflichtende Neuerfassung von Fingerabdrücken mit Ablauf des Jahres 2026 entfallen. Nationale Behörden müssten dann Personalausweise ohne Abnahme von Fingerabdrücken ausstellen und Besitzer der Ausweise könnten die Löschung von bereits auf Ausweisen gespeicherter Fingerabdrücke verlangen.

Bis dahin dürfen und müssen Fingerabdrücke aber weiterhin abgenommen und auf dem elektronischen Chip des Personalausweises gespeichert werden.

Dr. Anja Hoffmann, LL.M. Eur.

cep-Expertin für Binnenmarkt und Wettbewerb sowie digitale Wirtschaft