Pflicht zur Speicherung von Fingerabdrücken in neuen Personalausweisen
der Abgeordneten Ulla Jelpke, Dr. André Hahn, Gökay Akbulut, Anke Domscheit-Berg, Kerstin Kassner, Niema Movassat, Martina Renner, Kersten Steinke, Friedrich Straetmanns, Zaklin Nastic, Dr. Kirsten Tackmann und der Fraktion DIE LINKE.
Vorbemerkung
Bis zu 370 Millionen Bürgerinnen und Bürger der Europäischen Union müssen in den nächsten Jahren zwangsweise ihre Fingerabdrücke in Personalausweisen speichern lassen.
Gemäß Verordnung (EU) 2019/1157 des Europäischen Parlaments und des Rates werden Personalausweise künftig „mit einem hochsicheren Speichermedium versehen, das ein Gesichtsbild des Personalausweisinhabers und zwei Fingerabdrücke in interoperablen digitalen Formaten enthält.“ Die Bundesregierung beabsichtigt die Umsetzung dieser Verordnung mit einem Gesetzentwurf zur „Stärkung der Sicherheit im Pass- Ausweis- und ausländerrechtlichen Dokumentenwesen“ (https://portal2.dbtg.de/SharedDocs/gesetzgebungsverfahren/DE/,DanaInfo=www.bmi.bund.de,SSL+gesetz-zur-staerkung-der-sicherheit-im-pass-und-ausweiswesen.html#, hier: § 5 Absatz 9 des Personalausweisgesetzes, demzufolge die Abdrücke der Zeigefinger gespeichert werden müssen). Diese Pflicht tritt dem Entwurf zufolge zum 2. August 2021 in Kraft. Alte Ausweise behalten ihre Gültigkeit.
Bisher werden in Personalausweisen, anders als bei Reisepässen, Fingerabdrücke nur auf Wunsch der Antragstellerinnen und Antragsteller, also freiwillig, gespeichert.
Die EU-Verordnung begründet die zwangsweise Einführung der Fingerabdruckspeicherung damit, es gebe „immer mehr gefälschte Personalausweise“, zudem sei die Erhöhung der Fälschungssicherheit ein Beitrag im Kampf gegen Kriminalität und Terrorismus.
Die Neuregelung stellt nach vielfacher Auffassung einen unverhältnismäßigen Eingriff in das Grundrecht auf informationelle Selbstbestimmung dar – und zwar, wie der Europäische Datenschutzbeauftragte erklärt, von bis zu 370 Millionen EU-Bürgerinnen und Bürgern (https://edps.europa.eu/sites/edp/files/publication/18-08-10_opinion_eid_de.pdf).
Die Abgeordnete Cornelia Ernst (GUE/NGL-Fraktion) warnte in der Aussprache des Europäischen Parlaments, Fingerabdrücke könnten „gehackt und nachgebildet werden, wie der Chaos-Computer-Club schon 2008 nachgewiesen hat“ (https://www.europarl.europa.eu/doceo/document/CRE-8-2019-04-03-ITM-016_DE.html). Aus Sicht der Fragestellerinnen und Fragesteller muss auch der Umstand beachtet werden, dass Fingerabdrücke heutzutage häufig gleichsam wie Schlüssel oder Passwörter verwendet werden (für Telefone, Computer, Deutscher Bundestag Drucksache 19/21789 Fahrzeuge, selbst Gebäude), und somit die Pflicht zur Abgabe von Fingerabdrücken mit der Pflicht zur Herausgabe von Schlüsseln bzw. Passwörtern verglichen werden kann. Anders als bei gestohlenen Passwörtern ist ein Austausch von Fingerabdrücken jedoch nicht möglich. Somit ist aus Sicht der Fragestellerinnen und Fragesteller fraglich, ob die Neuregelung nicht vielmehr ein Einfallstor für neue kriminelle Praktiken darstellt. Die Sicherheit des Speichermediums über zehn Jahre (die maximale Gültigkeitsdauer des Ausweises) gewährleisten zu wollen, ist aus ihrer Sicht nicht möglich.
Auch der Europäische Datenschutzbeauftragte (EDSB) weist auf die Gefahr hin, dass „das auf einem verlorenen oder gestohlenen Identitätsdokument gespeicherte Fingerabdruckbild von Kriminellen abgerufen und zur Herstellung eines gefälschten Satzes Fingerabdrücke benutzt werden (könne), mit dessen Hilfe die Identität des Ausweisinhabers verschleiert werden kann“ (https://edps.europa.eu/sites/edp/files/publication/18-08-10_opinion_eid_de.pdf).
Er verweist zudem auf die Unterschiede zwischen Personalausweisen und Reisepässen. Reisepässe werden regelmäßig für Reisen außerhalb der EU benötigt, während Personalausweise ganz überwiegend bei Binnenreisen (sowie privatwirtschaftlichen Vorgängen, Behördenbesuchen usw.) eingesetzt werden. Vor diesem Hintergrund fragt der EDSB, „welchen Mehrwert die Aufnahme biometrischer Daten in die Personalausweise bringt, da diese bei Reisen zwischen den EU-Mitgliedstaaten nicht routinemäßig kontrolliert werden.“
Dazu kommt, dass einige Mitgliedstaaten keine Personalausweise ausgeben bzw. keine Personalausweispflicht kennen. Nur in 15 Mitgliedstaaten seien Personalausweise vorgeschrieben. In Anbetracht dieser Unterschiede könnten Sicherheitsmerkmale, „die für Reisepässe möglicherweise als angemessen gelten, nicht automatisch“ auch auf Personalausweise ausgedehnt werden.
Bemerkenswert aus Sicht der Fragestellerinnen und Fragesteller ist der Umstand, dass die Folgenabschätzung der Kommission zur Frage der Fingerabdrücke nicht ihre obligatorische, sondern lediglich ihre fakultative Speicherung empfohlen hat: „Given the key objective to improve the security of ID cards as travel documents, a mandatory RFID chip including biometrics (facial image mandatory, fingerprints optional) is proposed“ (https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52018SC0110&from=EN). Dennoch hat sich die Kommission dafür entschieden, die obligatorische Aufnahme von Fingerabdrücken vorzusehen. Die hierzu abgegebene Begründung, die Sicherheit weiter zu erhöhen, widerspricht allerdings den Feststellungen der Folgenabschätzung.
Außerdem hielt die Folgenabschätzung fest, angesichts der unterschiedlichen Funktionen und Anwendungsbereiche von Reisepässen und Personalausweisen sei es nicht selbstverständlich, dass hinsichtlich der Aufnahme von Fingerabdrücken die gleiche Schlussfolgerung gezogen werden könne.
Der EDSB hält die zwangsweise Speicherung von Fingerabdrücken für „nicht ausreichend begründet“. Der angegebene Zweck könne auch mit einem weniger in die Privatsphäre eindringenden Verfahren erreicht werden. Zudem genüge die Folgenabschätzung nicht den Vorgaben von Artikel 35 Absatz 10 der Datenschutz-Grundverordnung (DSGVO).
Zur Frage, wie groß das Problem gefälschter Personalausweise tatsächlich ist, verweist der EDSB auf Angaben von Frontex, denen zufolge in den Jahren 2013 bis 2017 lediglich 38 870 gefälschte Personalausweise ermittelt wurden. Seit Jahren gehe außerdem die Zahl der Personen, die mit gefälschten Personalausweisen bzw. Aufenthaltsdokumenten einreisen, zurück. Diese niedrigen Zahlen rechtfertigen nach Auffassung des EDSB nicht die obligatorische Fingerabdruckspeicherung. Der Vorschlag der EU entspreche auch nicht dem Grundsatz der Datenminimierung.
Nach Kenntnis der Fragestellerinnen und Fragesteller datiert die letzte Regelung, die deutsche Staatsbürgerinnen und Staatsbürger zur Abgabe von Fingerabdrücken in Inlandsausweisen zwang, vom 22. Juli 1938, als die Nazibehörden Fingerabdrücke auf sog. Kennkarten verlangten.
Aus Sorge um den Schutz ihrer Daten und ihr Grundrecht auf informationelle Selbstbestimmung rät der Verein Digitalcourage dazu, noch vor dem Stichtag am 2. August 2021 einen neuen Personalausweis zu beantragen (https://digitalcourage.de/blog/2020/keine-fingerabdruecke-personalausweis-persoohnefinger#epabstimmung).
Wir fragen die Bundesregierung:
Fragen25
Wie positioniert sich die Bundesregierung zu der Auffassung des Europäischen Datenschutzbeauftragten, die Folgenabschätzung genüge nicht den Anforderungen der DSGVO (bitte begründen), und welche Konsequenzen zieht sie daraus?
Wann wird nach ihrer Kenntnis eine den Anforderungen des Artikel 35 DSGVO genügende Datenschutzfolgenabschätzung durchgeführt?
Gibt es bereits konkrete Überlegungen, auf welchen Rechtsgrundlagen die Übermittlung personenbezogener Daten durch Fotografen im Sinne von Artikel 13, Nummer 1 erfolgen soll?
Welche Regelungen gelten gegenwärtig hinsichtlich
a) der Verfahren und technischen Anforderungen zur Aufnahme, elektronischen Erfassung, Echtheitsbewertung und Qualitätssicherung der Fingerabdrücke, die Reihenfolge der zu speichernden Fingerabdrücke bei Fehlen eines Zeigefingers, ungenügender Qualität des Fingerabdruckes oder Verletzungen der Fingerkuppe sowie
b) der Form und den Einzelheiten für das Verfahren der Übermittlung sämtlicher Ausweisantragsdaten von den Personalausweisbehörden an Ausweishersteller?
Wie hat sich die Bundesregierung im Prozess der Entstehung der genannten Verordnung positioniert, insbesondere zur Frage, ob
a) überhaupt eine rechtlich verbindliche Regelung nötig ist, und
b) ob die optionale oder obligatorische Speicherung von Fingerabdrücken nötig sei (bitte jeweils begründen)?
Welche Konsequenzen zieht die Bundesregierung aus der Entscheidung der Kommission, sich entgegen der Folgenabschätzung für eine obligatorische Speicherung der Fingerabdrücke auszusprechen, und wie hat sie sich diesbezüglich selbst verhalten (bitte begründen)?
Inwiefern ist aus Sicht der Bundesregierung die Pflicht zur Abgabe von Fingerabdrücken in Personalausweisen ein verhältnismäßiger Eingriff in die Grundrechte der betroffenen Unionsbürgerinnen und Unionsbürger?
Inwiefern hat sich die Bundesregierung mit dem Missbrauchspotential, das nach Auffassung der Fragestellerinnen und Fragesteller der Pflicht zur Speicherung der Fingerabdrücke innewohnt, auseinandergesetzt, auch mit der Gefahr, dass Kriminelle u. U. durch die unbefugte Nutzung der Fingerabdrücke Zugang zu gesicherten Gegenständen oder Gebäuden haben (sofern die Eigentümer ihre Fingerabdruck als Schlüssel verwenden)?
Wie beurteilt die Bundesregierung die auch vom Europäischen Datenschutzbeauftragten gesehene Gefahr, dass Kriminelle die Fingerabdrücke auslesen, nutzen oder manipulieren können, und für wie sicher hält sie die hiergegen eingebauten Sicherungsmaßnahmen?
a) Wie will sie bzw. ihrer Kenntnis nach die EU sicherstellen, dass Speichermedien und darin gespeicherte Fingerabdrücke, die zum Zeitpunkt der Ausstellung eines Ausweises noch als sicher eingeschätzt werden, bis zum Ablauf der Gültigkeitsdauer (bis zu zehn Jahre lang) weiterhin sicher sind?
b) Inwiefern beabsichtigt die Bundesregierung, den Inhabern von Personalausweisen im Fall, dass das Speichermedium sich als nicht ausreichend sicher vor unbefugtem Zugriff erweist, einen kostenlosen Umtausch des Ausweises anzubieten?
Welche Behörden oder sonstige Stellen sollen Zugriff auf die Fingerabdruckdaten im Personalausweis erhalten (bitte nach Möglichkeit nach deutschen sowie Behörden im Ausland unterscheiden)?
Wie genau wird sichergestellt, dass die zugriffsberechtigten, auslesenden Behörden oder sonstigen Stellen keine Datenbanken mit ausgelesenen Fingerabdrücken aufbauen, und kann dies nach Auffassung der Bundesregierung in Hinblick auf autoritäre Staaten sowie die Vielzahl privatwirtschaftlicher Anlässe, in denen Personalausweise verwendet werden, überhaupt sichergestellt werden (bitte ggf. ausführen)?
Inwiefern soll bei der (Zwischen-)Speicherung, Übermittlung oder Verarbeitung der Fingerabdrücke mit externen Dienstleistern zusammengearbeitet werden (bitte ggf. angeben, um wen es sich handeln soll, in welcher Form die Zusammenarbeit erfolgt, inwiefern die Dienstleister unmittelbar Zugriff auf die Fingerabdruckdateien haben, welche Kriterien der Auswahl der Dienstleister zugrunde liegen und inwiefern die Datensicherheit gewährleistet werden soll)?
Wie viele Fälle sind der Bundesregierung bekannt, in denen die Echtheitsprüfung von Personalausweisen an fehlenden biometrischen Daten, insbesondere Fingerabdrücken, gescheitert ist (bitte auf den Zeitraum der letzten drei Jahre beziehen)?
Welche Zahlen liegen der Bundesregierung zur Häufigkeit gefälschter Ausweisdokumente sowie zur Erkennungsquote gefälschter Ausweisdokumente im Zeitraum der vergangenen zehn Jahre vor (bitte nach Deutschland und EU differenzieren)?
In welchen konkreten Fällen von als terroristisch eingestuften Straftaten hat das Nichtvorhandensein gespeicherter Fingerabdrücke auf Personalausweisen sowie anderen Ausweisdokumenten nach Kenntnis der Bundesregierung dazu geführt, dass die Taten nicht verhindert bzw. nicht aufgeklärt und die Täter nicht ermittelt werden konnten?
Welche Angaben (Statistiken, Studien, Einschätzungen) über die Rolle von digital gespeicherten Fingerabdrücken auf Ausweisdokumenten zur Aufklärung von Kriminalität liegen der Bundesregierung vor, und was sind deren wesentliche Inhalte?
In wie vielen Personalausweisen sind nach Kenntnis der Bundesregierung derzeit (freiwillig) Fingerabdrücke der Inhaberinnen und Inhaber gespeichert?
Wie viele Bürgerinnen und Bürger haben bei der Personalausweisbeantragung im vergangenen Jahr freiwillig ihre Fingerabdrücke speichern lassen, und wie viele nicht (falls konkrete Zahlen nicht vorliegen, bitte möglichst die Quote angeben, wie oft Fingerabdrücke gespeichert bzw. nicht gespeichert werden, wenn möglich auch eine ungefähre Einschätzung)?
Wie viele Bundesbürgerinnen und Bundesbürger sind nach Kenntnis der Bundesregierung personalausweispflichtig und somit in den nächsten zehn Jahren voraussichtlich von der Pflicht zur Speicherung der Fingerabdrücke im Personalausweis betroffen?
Beabsichtigt die Bundesregierung, den Eingriff in die Grundrechte mehrerer Millionen Bundesbürgerinnen und Bundesbürger durch andere Maßnahmen im Sinne einer Überwachungsgesamtrechnung zu kompensieren (falls ja, bitte ausführen, falls nein, bitte begründen)?
Welche Sicherungen gegen (ungewollte) physische Einwirkungen sollen dem Datenträger eingebaut werden?
Inwieweit ist die Auslesbarkeit der Fingerabdruckdaten gefährdet, wenn der Ausweis Mikrowellen ausgesetzt wird oder in Waschmaschinen gerät?
Welche Regelungen sind vorgesehen für den Fall, dass das Speichermedium auf einem Personalausweis während dessen Gültigkeitsdauer schadhaft bzw. beschädigt ist?
Soll auch ein Personalausweis, dessen Speichermedium infolge jedweder Einwirkungen beschädigt wurde, weiterhin seine Gültigkeit behalten, oder sollen die Inhaberinnen und Inhaber verpflichtet werden, einen neuen Ausweis zu beantragen?
Welche Verfahrensweise ist vorgesehen, wenn Bürgerinnen und Bürger die Abgabe der Fingerabdrücke verweigern?
Gehen die Fragestellerinnen und Fragesteller recht in der Annahme, dass bei einem Personalausweisantrag, der bis zum 30. Juli 2021 gestellt wird, noch keine Pflicht zur Abgabe von Fingerabdrücken besteht, auch wenn das Ausgabedatum nach dem 1. August 2021 liegt (bitte ggf. korrigieren)?
Warum enthält der in Bezug genommene Gesetzentwurf keine Aussage zu den durch die obligatorische Aufnahme von zwei Fingerabdrücken entstehende Mehrkosten für die Verwaltung und die Bürgerinnen und Bürger?
Von welchen Mehrkosten geht die Bundesregierung ggf. aus?
In welchen der EU-Staaten, in denen es Personalausweise bereits heute gibt, gibt es nach Kenntnis der Bundesregierung bislang die fakultative Aufnahme oder die obligatorische Aufnahme von Fingerabdrücken in Personalausweise oder vergleichbare Identitätsdokumente?