Biometrische Daten: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 3 Nr. 34 AI Act definiert biometrische Daten als personenbezogene Daten, die aus der spezifischen technischen Verarbeitung der physischen, physiologischen oder verhaltensbezogenen Merkmale einer Person resultieren und ihre Bestätigung oder eindeutige Identifizierung ermöglichen. Beispiele: Gesichtsbilder (für Gesichtserkennung), Fingerabdrücke, Iris-/Retina-Scans, Stimmmerkmale, Gangmuster, Tipp- und Wischmuster. Abzugrenzen sind „biometrische Daten zur eindeutigen Identifizierung" (besondere Kategorie nach DSGVO Art. 9) von bloßen biometrischen Merkmalen ohne Identifizierungsfunktion (z. B. Gesichtsbild ohne Referenzdatenbank).

Biometrische Daten zur eindeutigen Identifizierung sind eine besondere Datenkategorie nach Art. 9 Abs. 1 DSGVO — ihr Verarbeitung grundsätzlich verboten, erlaubt nur unter engen Ausnahmen (Art. 9 Abs. 2: ausdrückliche Einwilligung, erhebliches öffentliches Interesse, Geltendmachung/Verteidigung von Rechtsansprüchen, medizinische Diagnose/Behandlung etc.). Das bedeutet: Eine KI-gestützte Gesichtserkennung kann AI-Act-konform (z. B. hochrisiko nach Anhang III Nr. 1) und trotzdem datenschutzrechtlich unzulässig sein. Beide Regime sind kumulativ; die DSGVO-Hürde ist in der Praxis oft die höhere.

Biometrische Daten sind der Anknüpfungspunkt für die strengsten AI-Act-Pflichten: (1) Echtzeit-RBI im öffentlichen Raum durch Strafverfolgung = verboten (Art. 5 Abs. 1 lit. h); (2) untargeted Facial Scraping = verboten (lit. e); (3) biometrische Kategorisierung nach sensiblen Merkmalen = verboten (lit. g); (4) sonstige Remote-RBI und Emotionserkennung = hochriskant (Anhang III Nr. 1, Konformitätsbewertung nach Art. 43 Abs. 1); (5) Emotionserkennung am Arbeitsplatz/Bildung = verboten (lit. f). Wer biometrische KI einsetzt, muss die mehrfache Hürde (Verbot/Hochrisiko/DSGVO) sorgfältig prüfen.