Mit dem Gesicht bezahlen: was sich ändert, wenn der Schlüssel Sie sind

Es liegt nahe, das als Produktnachricht zu lesen. Das ist es nicht. Ein Gesicht, das zur Erkennung einer bestimmten Person dient, ist keine Fotografie: Es ist ein biometrisches Datum zur eindeutigen Identifizierung einer natürlichen Person, und die DSGVO ordnet es den besonderen Kategorien des Art. 9 Abs. 1 zu. Praktische Folge: Eine Grundlage nach Art. 6 genügt nicht, es braucht zusätzlich eine Bedingung nach Art. 9 Abs. 2, und im Einzelhandel ist realistisch nur eine verfügbar, die ausdrückliche Einwilligung nach Buchstabe a.

Damit stellt sich die eigentliche Frage, die nicht Revolut betrifft, sondern jeden, der das Modell kopieren will. Die Einwilligung zählt, wenn sie freiwillig ist, und freiwillig heißt, dass niemand etwas verliert, der Nein sagt. Solange neben der biometrischen Kasse eine normale Kasse steht, trägt die Bedingung. Sobald das Gesicht der einzige Weg zu bezahlen ist, oder der Weg, der die Schlange überspringt, während der andere es nicht tut, hört die Einwilligung auf, Rechtsgrundlage zu sein, und wird zur unter Druck eingeholten Formalität.

• Ein kompromittierter Identifikator lässt sich nicht ändern. Eine Karte wird gesperrt, ein Passwort neu geschrieben, ein Gesicht nicht. Deshalb behandelt Art. 9 diese Daten anders, und das ist keine übertriebene Vorsicht.
• Die Folgenabschätzung ist nicht fakultativ: umfangreiche Verarbeitung besonderer Kategorien, Art. 35 Abs. 3 Buchst. b.
• Der Widerruf muss so einfach sein wie die Anmeldung, und er muss eine überprüfbare Wirkung entfalten, nicht bloß ein Häkchen umlegen.
• Es braucht stets eine echte Alternative zum selben Preis und mit demselben Komfort, sonst ist die Einwilligung nicht freiwillig.

Für die Datenschutzbeauftragten eines Geschäfts, dem ein solches System angeboten wird, lautet die erste Frage an den Anbieter: Wer entscheidet was. Legt der Anbieter Zwecke und Mittel fest und beschränkt sich das Geschäft darauf, das Terminal zu beherbergen, ist das Geschäft nicht Verantwortlicher dieser Verarbeitung; verantwortlich bleibt es aber für die Entscheidung, es in den eigenen Räumen aufzustellen, und es muss die Eintretenden informieren, die Alternative sicherstellen und wissen, wo die Bilder landen. «Die Daten speichern nicht wir» ist eine Antwort auf das Wo, nicht auf das Wer, und beides wird beständig verwechselt.

Auf europäischer Seite addieren sich die Rahmen, sie ersetzen einander nicht. Die KI-Verordnung verbietet die Eins-zu-eins-Verifizierung mit Einwilligung der betroffenen Person nicht — das Verbot betrifft die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken — ordnet biometrische Systeme aber gleichwohl den regulierten zu, mit eigenen Pflichten, die zur DSGVO hinzutreten und sie nicht aufsaugen. Vergleichbare Versuche gab es in der Union bereits: Mastercard und PayEye hatten das biometrische Bezahlen im Juni 2024 in fünf Empik-Filialen in Polen erprobt.

Was konkret bleibt. Fragt ein Mandant nach einer Einschätzung zu einer Kasse mit Gesichtserkennung, sind vor allem anderen vier Dinge schriftlich festzuhalten: die herangezogene Bedingung nach Art. 9 Abs. 2; die Folgenabschätzung, durchgeführt vor und nicht nach der Installation; die getrennten Aufbewahrungsfristen der biometrischen Vorlage und jedes als Rückfallebene gespeicherten Bildes; und die nicht biometrische Alternative, so beschrieben, dass erkennbar ist, dass niemand schlechter steht, der sie wählt. Ohne diese vier beschreibt der schönste Hinweis eine Verarbeitung ohne tragfähige Grundlage.