Biometrie & Identitätsprüfung: AI Act, Data Act & DSGVO-Pflichten

Im biometrischen Bereich treffen gleich drei Art. 5-Verbote zu: Echtzeit-RBI im öffentlichen Raum durch Strafverfolgung (lit. h, mit engen Ausnahmen nach Abs. 2–5); biometrische Kategorisierung, die auf Rasse, politische Meinungen, Gewerkschaftszugehörigkeit, Religion oder Sexualleben schließen lässt (lit. g); und das untargeted Scraping von Gesichtsbildern zum Aufbau von Datenbanken (lit. e). Diese Verbote gelten seit dem 2. Februar 2025 und sind die höchsten Sanktionen (bis 35 Mio. EUR / 7 % Umsatz, Art. 99).

Nicht verboten, aber hochriskant sind nach Anhang III Nr. 1: Remote-RBI-Systeme (die nicht unter das Echtzeit-Verbot fallen), biometrische Kategorisierungssysteme (soweit nicht nach lit. g verboten) und Emotionserkennungssysteme (soweit nicht nach lit. f am Arbeitsplatz/in Bildung verboten). Diese Systeme lösen das Pflichtenbündel aus Art. 8–15 aus und erfordern die Konformitätsbewertung nach Art. 43 Abs. 1 — eine notifizierte Stelle ist nur zwingend, wenn keine harmonisierten Standards angewendet werden (Wahlrecht sonst).

Biometrische Daten zur eindeutigen Identifizierung sind „besondere Datenkategorien" nach Art. 9 Abs. 1 DSGVO — ihre Verarbeitung ist grundsätzlich untersagt und nur unter engen Ausnahmen zulässig (Art. 9 Abs. 2, z. B. ausdrückliche Einwilligung, erhebliches öffentliches Interesse, Geltendmachung von Rechtsansprüchen). Der AI Act ergänzt diese Vorgaben um die KI-spezifischen Pflichten, ohne die DSGVO zu verdrängen. Beide Regime sind kumulativ anwendbar — eine AI-Act-konforme Gesichtserkennung kann an DSGVO-Art. 9 scheitern.