Neuseeland: Biometrie und Compliance

Biometrie ist derzeit ein Trendthema. Mit dem technologischen Fortschritt eröffnen sich fortlaufend neue Einsatzmöglichkeiten biometrischer Daten, etwa als Ersatz für Passwörter, zur Überprüfung von Kundenidentitäten mittels Gesichtserkennung, zum Schutz sensibler Informationen und zur Zugangskontrolle durch Fingerabdruckerkennung sowie zur Authentifizierung im Banken- und Finanzdienstleistungssektor. Mit diesen Entwicklungen gehen neue Datenschutzrisiken einher, auf die Regulierungsbehörden weltweit reagieren. In Neuseeland hat der Datenschutzbeauftragte (Privacy Commissioner) den Biometric Processing Privacy Code 2025 (nachfolgend der Kodex) erlassen. Dieser gilt sowohl für neuseeländische Behörden und Privatunternehmen (agencies) als auch für ausländische Stellen, die in Neuseeland geschäftlich tätig sind.

Biometrie – was ist das?

Biometrische Informationen beziehen sich auf die physischen und verhaltensbezogenen Merkmale einer Person, beispielsweise Gesichtszüge, Stimme, Fingerabdrücke und Augenbewegungen. Der Kodex findet Anwendung, wenn diese Informationen für eine biometrische Verarbeitung genutzt werden. Darunter ist ein automatisierter Vorgang zu verstehen, der biometrische Informationen verwendet, um eine Person zu identifizieren, ihre Identität zu verifizieren oder sie zu kategorisieren beziehungsweise Informationen über sie abzuleiten.

Was regelt der Kodex?

Der Kodex verpflichtet Behörden und Privatunternehmen dazu, die Art und Weise sowie die Zwecke der Nutzung biometrischer Informationen zu bewerten und stärkere Maßnahmen zum Schutz der Privatsphäre betroffener Personen einzuführen. Zu den zentralen Regelungsinhalten gehören:

• Erhöhte Transparenz: Behörden und Privatunternehmen müssen klar und deutlich darauf hinweisen, dass biometrische Informationen erhoben werden, zu welchen konkreten Zwecken dies erfolgt und ob eine Alternative zur biometrischen Verarbeitung verfügbar ist. Die Leitlinien des neuseeländischen Datenschutzbeauftragten (Office of the Privacy Commissioner) weisen darauf hin, dass eine allgemein verständliche Sprache verwendet werden soll, um zu erläutern, welche Informationen erhoben werden (beispielsweise „ein Scan Ihres Fingerabdrucks“ anstelle einer „biometrischen Probe“). 
• Präzisierter Erforderlichkeits- und Verhältnismäßigkeitstest: Die Erhebung biometrischer Informationen ist nur zulässig, wenn sie einem rechtmäßigen und erforderlichen Zweck dient. Für die anschließende biometrische Verarbeitung ist zudem erforderlich, dass die erhebende Stelle die Verhältnismäßigkeit der Verarbeitung aufgrund objektiv nachvollziehbarer Umstände annehmen durfte und sämtliche im Einzelfall angemessenen Datenschutzvorkehrungen getroffen hat. Hierbei sind insbesondere das Risiko für den Schutz der Privatsphäre, die Vorteile der biometrischen Verarbeitung sowie Auswirkungen auf kulturelle Belange gegeneinander abzuwägen.
• Ausnahmen für Testphasen: Kann eine Einrichtung die Erforderlichkeit einer biometrischen Verarbeitung nicht nachweisen, kann sie ein Pilot- oder Testprojekt (trial) einrichten und die Einhaltung der Erforderlichkeitsanforderung bis zum Ende der Testphase aufschieben. Die Testphase beträgt in der Regel sechs Monate. Während dieses Zeitraums müssen jedoch sämtliche übrigen Anforderungen des Kodex eingehalten werden. Dies umfasst insbesondere die Pflicht, betroffene Personen darüber zu informieren, dass die Erhebung biometrischer Informationen im Rahmen einer Testphase erfolgt, sowie darüber, wie lange diese Testphase andauert.
• Beschränkungen besonders eingriffsintensiver Verwendungen: Der Kodex untersagt die Verwendung biometrischer Informationen zur Ableitung des emotionalen oder körperlichen Zustands einer Person sowie zur Kategorisierung von Personen anhand sensibler persönlicher Merkmale, sofern keine ausdrücklich geregelte Ausnahme Anwendung findet.

Dieser Artikel wurde uns von Julika Wahlmann-Smith, Daniel Loudon und Shivali Ben und Hesketh Henry zur Verfügung gestellt.