Biometrische Identifizierung: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 3 unterscheidet: biometrische Daten (Nr. 34), biometrische Identifizierung (Nr. 35: Zuordnung zu einer Person ohne Angabe ihrer Identität), biometrische Verifizierung (Nr. 36: Bestätigung einer beanspruchten Identität), biometrische Kategorisierung (Nr. 40: Zuordnung zu Kategorien). Fernidentifizierung biometrischer Daten (RBI, Nr. 41) meint die Identifizierung einer Person aus der Ferne ohne direkten Kontakt. Diese begriffliche Trennung entscheidet über die jeweilige Pflichtenstufe.

Echtzeit-RBI im öffentlichen Raum durch Strafverfolgungsbehörden ist grundsätzlich verboten (Art. 5 Abs. 1 lit. h). Ausnahmen: Suche nach Opfern bestimmter Verbrechen, Abwehr konkreter Lebensgefahr/Terroranschläge, Lokalisierung Verdächtiger bei Katalog-Straftaten — jeweils mit vorab erteilter behördlicher (regelmäßig richterlicher) Autorisierung (Art. 5 Abs. 1 lit. h i.V.m. Abs. 2–5). Der Einsatz ist eng begrenzt, zu dokumentieren und nachgelagert zu prüfen. Verboten ist zudem untargeted Facial Scraping (lit. e) und biometrische Kategorisierung nach sensiblen Merkmalen (lit. g).

Remote-RBI-Systeme, die nicht unter das Echtzeit-Verbot fallen (z. B. nachträgliche Identifizierung aus Aufnahmen), sind hochriskant nach Anhang III Nr. 1. Sie unterliegen dem Pflichtenbündel aus Art. 8–15 und fallen als biometrische Hochrisiko-KI unter Art. 43 Abs. 1 — notifizierte Stelle nur zwingend bei fehlenden harmonisierten Standards. Überlagert wird der AI Act durch Art. 9 DSGVO und nationales Verfassungs-/Polizeirecht (in Deutschland hat das BVerfG Gesichtserkennung eng begrenzt).