Wo Zertifikate über Studienplätze, Berufszulassungen oder Aufenthaltstitel mitentscheiden, gibt es leider auch Versuche, mit fremder Identität zu prüfen. Prüfungsanbieter und Prüfungszentren suchen deshalb nach sicheren Wegen, um festzustellen, dass die Person im Prüfungsraum auch die angemeldete ist. Technisch ist vieles möglich: Gesichtsabgleich mit dem Ausweisfoto, Fingerabdruck, automatische Überwachung am Bildschirm. Doch was erlaubt der Datenschutz bei biometrischer Identifikation? Wir beantworten die häufigsten Fragen, aus Sicht eines Prüfungszentrums und mit Blick auf die Rechtslage im Februar 2026.
Was sind biometrische Daten überhaupt?
Die DSGVO definiert biometrische Daten als Daten, die mit speziellen technischen Verfahren aus körperlichen oder verhaltenstypischen Merkmalen gewonnen werden und die eindeutige Identifizierung einer Person ermöglichen oder bestätigen. Typische Beispiele sind Gesichtsgeometrie, Fingerabdruck, Iris oder Stimmprofil.
Wichtig ist der Zusatz „mit speziellen technischen Verfahren“. Ein normales Foto ist nicht automatisch ein biometrisches Datum. Erst wenn es mit einer Software ausgewertet wird, die daraus Merkmale für einen Abgleich berechnet, wird es dazu. Und wenn eine Aufsichtsperson einen Ausweis in die Hand nimmt und das Gesicht mit dem Foto vergleicht, ist das keine biometrische Verarbeitung im Sinne der DSGVO, sondern eine ganz normale Identitätskontrolle.
Biometrische Identifikation und Datenschutz: Die wichtigsten Fragen
Ist biometrische Identifikation bei Prüfungen grundsätzlich verboten?
Biometrische Daten zur eindeutigen Identifizierung gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, eine der dort genannten Ausnahmen greift. Für private Prüfungsanbieter kommt in der Praxis vor allem die ausdrückliche Einwilligung der Teilnehmenden in Betracht.
Reicht eine Einwilligung in den Prüfungsbedingungen?
Nein. Eine Einwilligung muss freiwillig, informiert und ausdrücklich sein. Freiwillig ist sie nur, wenn die Person eine echte Wahl hat. Wer die Prüfung nur ablegen darf, wenn er sein Gesicht scannen lässt, hat diese Wahl kaum, besonders wenn das Zertifikat für Beruf oder Aufenthalt nötig ist. Deshalb sollte es immer eine gleichwertige Alternative geben, etwa die Kontrolle durch eine Person anhand des Ausweises, ohne Nachteile bei Termin, Gebühr oder Ablauf.
Was ist mit Fotos der Teilnehmenden?
Viele Prüfungsstellen fotografieren Teilnehmende am Prüfungstag, um später nachweisen zu können, wer geprüft wurde. Solange diese Fotos nur aufbewahrt und bei Bedarf von Menschen angesehen werden, handelt es sich nicht um biometrische Verarbeitung. Auch dafür braucht es aber eine Rechtsgrundlage, eine klare Information der Teilnehmenden und eine Löschfrist.
Dürfen Ausweise kopiert werden?
Für den deutschen Personalausweis gilt: Eine Kopie darf nur mit Zustimmung des Inhabers angefertigt werden und muss als Kopie erkennbar sein. Nicht benötigte Angaben, etwa die Zugangsnummer, können geschwärzt werden. Aus Sicht der Datenminimierung reicht es oft, die Kontrolle zu dokumentieren, statt eine vollständige Kopie zu speichern.
Wie lange dürfen die Daten gespeichert werden?
So kurz wie möglich. Merkmalsvorlagen aus einem Gesichtsabgleich werden nach der Prüfung in der Regel nicht mehr gebraucht. Fotos und Kontrollvermerke können länger nötig sein, etwa solange Einsprüche gegen Ergebnisse oder Nachfragen zur Echtheit eines Zertifikats möglich sind. Legen Sie für jede Datenart eine konkrete Frist fest, begründen Sie sie und sorgen Sie dafür, dass die Löschung auch tatsächlich passiert.
Braucht es eine Datenschutz-Folgenabschätzung?
Wer biometrische Verfahren zur Identifizierung einsetzt, sollte davon ausgehen. Die Verarbeitung sensibler Daten in großer Zahl, oft von Menschen in einer Abhängigkeitssituation, ist ein typischer Fall für eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO. Sie muss vor dem Einsatz erfolgen, nicht danach.
Was sagt die KI-Verordnung?
Die europäische KI-Verordnung ergänzt die DSGVO und unterscheidet genau:
| Anwendung | Einordnung nach KI-Verordnung |
|---|---|
| Abgleich „Ist das die angemeldete Person?“ (Verifizierung) | nicht als Hochrisiko-Fernidentifizierung eingestuft, DSGVO gilt trotzdem voll |
| Emotionserkennung bei Prüfungen in Bildungseinrichtungen | seit Februar 2025 grundsätzlich verboten |
| KI-Systeme, die verbotenes Verhalten während Prüfungen erkennen sollen | als Hochrisiko-System eingestuft, umfangreiche Pflichten nach derzeitigem Zeitplan ab August 2026 |
Gerade die automatische Überwachung am Bildschirm, bei der eine Software Blickrichtung, Mimik oder Geräusche auswertet, ist damit rechtlich anspruchsvoll. Systeme, die auf „Nervosität“ oder „Stress“ schließen, sind in Bildungseinrichtungen tabu. Ob sich der Zeitplan für Hochrisiko-Pflichten durch die laufenden Vereinfachungsvorschläge der EU noch verschiebt, ist offen.
Unsere Empfehlungen für Prüfungsstellen
- Mit dem Einfachen anfangen: Eine sorgfältige Ausweiskontrolle durch geschultes Personal löst die meisten Probleme, ohne sensible Daten zu erzeugen.
- Biometrie nur mit echter Alternative: Wer biometrische Verfahren einsetzt, bietet eine gleichwertige manuelle Kontrolle an.
- Transparent informieren: Teilnehmende erfahren vor der Anmeldung, welche Daten wozu erhoben werden, in verständlicher Sprache, möglichst mehrsprachig.
- So wenig wie möglich speichern: Abgleich durchführen, Ergebnis dokumentieren, Rohdaten und Merkmalsvorlagen zeitnah löschen.
- Dienstleister prüfen: Wo liegt die Software, wer hat Zugriff, gibt es einen Vertrag zur Auftragsverarbeitung, werden Daten in Drittländer übermittelt?
- Folgenabschätzung vor dem Start: Und den Datenschutzbeauftragten frühzeitig einbinden.
Fazit
Biometrische Identifikation kann Prüfungen sicherer machen, aber sie ist datenschutzrechtlich kein Selbstläufer. In vielen Fällen ist eine gut organisierte, menschliche Identitätskontrolle die bessere, weil einfachere und rechtssichere Lösung. Wer dennoch Technik einsetzen will, braucht eine echte Wahlmöglichkeit für die Teilnehmenden, eine saubere Folgenabschätzung und einen genauen Blick auf die KI-Verordnung.
Wir helfen Ihnen gerne
Sie möchten wissen, wie die Identitätsprüfung bei Ihrer Deutschprüfung abläuft? Die VAkademie ist telc-Prüfungszentrum in Mainz und erklärt Ihnen den Ablauf gern vorab. Prüfungsstellen und Bildungsträger, die ihre Verfahren datenschutzrechtlich prüfen lassen wollen, unterstützt die Datenschutzberatung der Mittelstandsoptimierer. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
