21.10.2026

Fingerabdrücke im Casino

Kroatische Datenschutzbehörde verhängt 2,59 Millionen Euro Bußgeld gegen Casinobetreiber

Die kroatische Datenschutzbehörde Agencija za zaštitu osobnih podataka, kurz AZOP, hat gegen einen Anbieter von Glücksspielen ein Bußgeld von insgesamt 2.590.000 Euro verhängt. Die Behörde hatte das Verfahren von Amts wegen eingeleitet. Im Mittelpunkt steht die Erfassung von Fingerabdrücken beim Einlass ins Casino. Die AZOP stellte drei Verstöße gegen die DSGVO fest. Es ging um biometrische Daten ohne wirksame Einwilligung, um gebündelte Einwilligungserklärungen und um widersprüchliche Datenschutzinformationen. Der Fall zeigt, wo biometrische Verfahren in der Praxis häufig scheitern.

Vier Fingerabdrücke, wo weniger gereicht hätten

Spieler mussten sich beim Betreten des Casinos mit dem Personalausweis identifizieren. Wer bei späteren Besuchen schneller hineinwollte, konnte sich zusätzlich per RFID-Chip oder per Fingerabdruck erkennen lassen. Der Betreiber gab an, die Abdrücke von zwei Fingern zu erfassen. Die Prüfung ergab etwas anderes. Erfasst wurden vier Finger, je zwei an jeder Hand, und alle vier dienten der biometrischen Identifizierung der Spieler.

Damit erhob der Betreiber mehr Daten, als für den Zweck nötig war. Er begründete die zusätzlichen Abdrücke mit möglichen Verletzungen der Haut an den Fingern. Dann könne das Lesegerät einen Finger falsch oder gar nicht erkennen. Die AZOP ließ das nicht gelten. Der allgemeine Hinweis auf „Reserve-Abdrücke“ beweist nach Ansicht der Behörde noch nicht, dass diese nötig sind. Der Verantwortliche muss belegen können, warum er für den konkreten Zweck vier Abdrücke braucht. Und er muss prüfen, ob weniger Abdrücke zusammen mit einer ergänzenden Identitätsprüfung genauso gut funktionieren würden.

Das kroatische Gesetz zur Durchführung der DSGVO erlaubt die Verarbeitung biometrischer Daten zur sicheren Identifizierung von Kunden, wenn die betroffene Person ausdrücklich einwilligt. Die Einwilligung allein macht eine Verarbeitung aber nicht rechtmäßig. Wer mehr Daten erhebt als nötig, handelt auch dann rechtswidrig, wenn die Person zugestimmt hat. Bei biometrischen Daten gilt das besonders, denn sie sind sensibel und das Risiko für die Betroffenen ist hoch. Auch eine Verarbeitung auf Grundlage einer Einwilligung muss rechtmäßig, fair und transparent sein. Sie muss zum Zweck passen und auf das Notwendige beschränkt bleiben.

Eine Einwilligungserklärung zur Verarbeitung biometrischer Daten lag für 34.933 Spieler vor. Die AZOP kam zu dem Ergebnis, dass die biometrischen Daten ohne wirksame Einwilligung und in zu großem Umfang verarbeitet wurden. Sie sah darin einen Verstoß gegen Art. 6 Abs. 1 DS-GVO und gegen Art. 9 Abs. 1 und Abs. 2 lit. a DS-GVO, jeweils in Verbindung mit Art. 5 Abs. 1 lit. a und c DS-GVO. Betroffen sind damit die Grundsätze der Rechtmäßigkeit und der Datenminimierung.

Mehrere Zwecke in einer Einwilligung

Bei der Registrierung im Casino zeigte ein Bildschirm ein Dokument mit Feldern für vier Einwilligungen. Die ersten beiden Texte erfüllten nach Ansicht der AZOP nicht die Anforderungen der DSGVO. Eine Einwilligung muss freiwillig, für einen bestimmten Fall, informiert und unmissverständlich abgegeben werden. Der Betreiber hatte in einer Einwilligung mehrere Zwecke zusammengefasst. Die Spieler konnten nicht getrennt entscheiden, welchem Zweck sie zustimmen und welchem nicht.

Die erste Erklärung betraf den Scan der Fingerabdrücke. Sie nannte eine ganze Reihe von Zwecken, darunter die Vertragserfüllung, die Feststellung der Identität, Statistik, Profiling, die Verbesserung und Personalisierung des Angebots, den Schutz von Rechten und Eigentum und die Durchsetzung des Spielverbots für Minderjährige. Für die Spieler entstand der Eindruck, die gesamte Registrierung beruhe auf ihrer Einwilligung. Die gesetzlich vorgeschriebene Erfassung der Identitätsdaten war nicht klar von der freiwilligen Erfassung der Fingerabdrücke getrennt.

Die zweite Erklärung betraf das Foto der Spieler. Auch hier standen mehrere Zwecke nebeneinander. Genannt waren die Feststellung der Identität, der Schutz von Rechten und Eigentum und das Spielverbot für Minderjährige. Die Spieler konnten nicht erkennen, ob das Foto nur der Identitätsprüfung dient oder weiteren Zwecken. Getrennt darüber entscheiden konnten sie ebenfalls nicht.

Die AZOP wertete das als Verstoß gegen Art. 7 DS-GVO in Verbindung mit Art. 4 Nr. 11 DS-GVO. Die Ersuchen um Einwilligung waren weder klar getrennt noch verständlich formuliert.

Widersprüchliche Datenschutzinformationen

Bei der Registrierung legte der Betreiber den Spielern mehrere Dokumente zur Datenverarbeitung vor. Die Angaben zu Zwecken und Rechtsgrundlagen waren unvollständig und passten nicht zusammen. Manche Zwecke fehlten ganz. Die Rechtsgrundlagen waren nicht klar den einzelnen Verarbeitungen zugeordnet.

Die Behörde nennt ein Beispiel. In seinen Allgemeinen Regeln verknüpfte der Betreiber den Fingerabdruck mit Zwecken, die weit über die Identifizierung beim Einlass hinausgehen. Dort ging es um die Kontrolle und Erfassung des Zutritts zu den Filialen, den Schutz Minderjähriger, die Teilnahme an Glücksspielen, ein Bonusprogramm und weitere Zwecke.

Die Informationen waren damit unvollständig, unrichtig und widersprüchlich. Die Spieler konnten nicht klar erkennen, wofür und auf welcher Rechtsgrundlage der Betreiber ihre Daten verarbeitet. Die AZOP sah darin einen Verstoß gegen Art. 12 Abs. 1 DS-GVO und Art. 13 DS-GVO in Verbindung mit dem Grundsatz der Transparenz aus Art. 5 Abs. 1 lit. a DS-GVO.

Unsere Empfehlungen

Unternehmen und KMU

Fingerabdrücke und Gesichtserkennung tauchen in vielen Betrieben auf, etwa bei Zutrittskontrollen, Zeiterfassung oder Kundenkonten. Vor dem Einsatz sollte die Frage stehen, ob es ohne Biometrie geht. Ausweis, Chipkarte oder PIN reichen oft aus.

Wer Biometrie einsetzt, sollte nur so viele Merkmale erfassen wie nötig und diese Entscheidung schriftlich begründen. Technische Fehlerquoten rechtfertigen nicht automatisch zusätzliche Finger. Ein Ausweichverfahren, zum Beispiel die Vorlage des Ausweises, ist meist die bessere Lösung.

Für jeden Zweck braucht es eine eigene Einwilligung mit eigenem Ankreuzfeld. Pflichtverarbeitungen, die ein Gesetz vorschreibt, gehören nicht in einen Einwilligungstext. Sonst glauben die Betroffenen, sie könnten auch dort ablehnen.

Datenschutzhinweise, AGB und Einwilligungstexte sollten regelmäßig nebeneinandergelegt und abgeglichen werden. Jeder Zweck braucht eine Rechtsgrundlage, und die Angaben müssen in allen Dokumenten gleich lauten. Vor der Einführung biometrischer Verfahren in größerem Umfang ist in der Regel eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO nötig.

Behörden und öffentliche Stellen

Im Verhältnis zwischen Bürger und Behörde ist eine Einwilligung selten freiwillig. Biometrische Verfahren brauchen hier in aller Regel eine klare gesetzliche Grundlage. Das gilt auch für Zutrittssysteme, die Beschäftigte nutzen.

Öffentliche Stellen sollten bestehende Systeme prüfen. Welche Merkmale werden tatsächlich erfasst, und stimmt das mit der Dokumentation überein? Der Fall aus Kroatien zeigt, dass Angaben des Herstellers oder der eigenen Fachabteilung von der Realität abweichen können.

Gesundheitseinrichtungen

Kliniken und Praxen nutzen Biometrie zum Beispiel an Medikamentenschränken, für geschützte Bereiche oder zur Identifizierung von Patienten per Foto. Auch hier gilt, dass nur so viele Merkmale erfasst werden dürfen wie für den Zweck nötig.

Patientenfotos zur Identifizierung sollten nur diesem Zweck dienen und das muss in der Patienteninformation klar stehen. Bei Beschäftigten ist eine freiwillige Einwilligung schwer nachzuweisen. Ein Verfahren ohne Fingerabdruck sollte deshalb immer zur Verfügung stehen.

Quelle: Agencija za zaštitu osobnih podataka (AZOP), Kroatien

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks