Die Verwendung von Gesichtserkennungstechnologien zur Beschleunigung des Passagierflusses an Flughäfen wird intensiv diskutiert. Der Europäische Datenschutzausschuss (EDPB) hat in seiner Stellungnahme 11/2024 wichtige Bedenken hinsichtlich der Datenschutzkonformität dieser Technologie geäußert.

Während Gesichtserkennungssysteme den Flughafenbetrieb effizienter gestalten können, bringen sie erhebliche Risiken für die Privatsphäre mit sich. Insbesondere der Umgang mit biometrischen Daten, ihre Speicherung und die potenzielle Gefahr eines Datenmissbrauchs stehen im Fokus der Datenschutzbehörden.

1. Wie Gesichtserkennung an Flughäfen eingesetzt wird

Flughäfen und Airlines setzen biometrische Authentifizierung ein, um den Check-in, die Sicherheitskontrolle, das Boarding und den Zugang zu Lounges zu erleichtern. Dabei gibt es verschiedene Speichermethoden für die biometrischen Daten der Passagiere:

✔ Lokale Speicherung auf dem Endgerät des Passagiers

• Die biometrischen Daten werden nur auf dem Gerät des Passagiers gespeichert (z. B. in einer App oder einem QR-Code).
• Diese Lösung wird als datenschutzfreundlich angesehen, da die Daten unter der Kontrolle des Nutzers bleiben.

✔ Zentrale Speicherung in einem Flughafen-Server

• Die Daten werden verschlüsselt auf einem zentralen Server des Flughafens gespeichert.
• Der Passagier behält die Kontrolle über den Zugriff mittels persönlichem Schlüssel.

✔ Zentrale Speicherung in einer Cloud

• Die biometrischen Daten werden in der Cloud eines Drittanbieters gespeichert (z. B. Airline oder externer Cloud-Dienstleister).
• Diese Variante birgt erhöhte Sicherheitsrisiken, da Dritte möglicherweise Zugriff erhalten könnten.

2. Datenschutzrechtliche Bedenken des EDPB

Der Europäische Datenschutzausschuss hat die verschiedenen Szenarien hinsichtlich ihrer Konformität mit der DSGVO bewertet. Dabei ergeben sich gravierende Unterschiede:

✔ Lokale Speicherung (auf dem Gerät des Passagiers) → eher konform

• Wenn der Passagier die volle Kontrolle über seine Daten behält, ist die Verarbeitung grundsätzlich mit der DSGVO vereinbar.
• Voraussetzung: Datenlöschung nach Gebrauch und Schutz vor unbefugtem Zugriff.

❌ Zentrale Speicherung auf Flughafen-Servern → problematisch

• Während verschlüsselte Speicherung mit persönlichem Schlüssel akzeptabel sein könnte, muss die Notwendigkeit und Verhältnismäßigkeit nachgewiesen werden.
• Die Speicherdauer ist entscheidend: Langfristige Speicherung widerspricht der DSGVO.

🚨 Zentrale Speicherung in der Cloud → nicht konform

• Erhöhtes Missbrauchsrisiko, insbesondere wenn Nicht-EU-Dienstleister involviert sind.
• Unklare Löschfristen und mangelnde Kontrolle durch Passagiere.
• Kann nicht mit der Datensparsamkeit und Sicherheit nach Art. 5(1)(e) und Art. 32 DSGVO vereinbart werden.

3. Was Flughäfen und Airlines jetzt tun müssen

Angesichts der klaren Datenschutzanforderungen sollten Flughäfen und Airlines strenge Sicherheitsmaßnahmen implementieren:

✔ Datensparsamkeit priorisieren

• Nur so viele biometrische Daten wie nötig erfassen und nur für die Dauer des Reiseprozesses speichern.
• Keine unnötige langfristige Speicherung in zentralen Datenbanken.

✔ Transparente Einwilligung ermöglichen

• Passagiere müssen freiwillig zustimmen können, ohne Nachteile zu haben (kein „Zwang zur Biometrie“).
• Alternative Identifikationsmethoden (z. B. manuelle Ausweiskontrolle) müssen bestehen bleiben.

✔ Lokale Speicherung bevorzugen

• Wenn möglich, sollten Passagierdaten nur auf dem eigenen Gerät gespeichert und nach Abschluss des Fluges gelöscht werden.
• Dies verringert das Risiko eines Datenlecks erheblich.

✔ Sicherheit der Systeme erhöhen

• Verschlüsselung von biometrischen Daten und Schutz vor unbefugtem Zugriff sind essenziell.
• Sichere Infrastruktur für Datenübertragung und Speicherung.

Fazit: Datenschutz darf nicht dem Komfort geopfert werden

Die Nutzung von Gesichtserkennung zur Vereinfachung des Reiseprozesses an Flughäfen ist technisch attraktiv, jedoch mit erheblichen Datenschutzrisiken verbunden.

Das EDPB zeigt klare Grenzen auf: Je dezentraler und passagierkontrollierter die Daten gespeichert werden, desto besser. Eine zentrale Speicherung – insbesondere in der Cloud – verstößt gegen die Grundsätze der DSGVO.

Wir stehen Ihnen gern beratend zur Seite, um datenschutzkonforme Lösungen für den Einsatz biometrischer Systeme in Ihrem Unternehmen zu entwickeln.