Biometrische Überwachung bei Online-Prüfungen: Studentin erhält 200 Euro Schadensersatz

Redaktioneller Kernsatz

Biometrische Überwachung bei Online-Prüfungen: Studentin erhält 200 Euro Schadensersatz

Redaktionelle Zusammenfassung · 846 Wörter

Die Entscheidung erklärt

Teilweiser Erfolg wegen rechtswidriger Gesichtserkennung

Automatisierter Gesichtsvergleich während der Fernklausuren

Die Klägerin studierte während der Pandemiejahre an der beklagten Hochschule. Für Fernprüfungen außerhalb des Campus wurde ein Referenzbild ihres Gesichts erstellt. Während der Prüfungen fertigte die Webcam weitere Bilder an, die eine Software automatisiert mit diesem Referenzbild verglich. Bei einem Übereinstimmungswert unter 99 Prozent sollte die Prüfungsaufsicht informiert werden und gegebenenfalls nach Anhörung des Prüflings ein Verfahren wegen Täuschungsverdachts einleiten. Die Studentin nahm an zwölf Fernprüfungen einschließlich einzelner Probeklausuren teil. Bei ihr wurde der Schwellenwert nicht unterschritten. Zusätzlich musste sie einen Browser installieren, der bestimmte Funktionen und unerlaubte Hilfsmittel während der Prüfung sperrte.

Auswahl der Prüfungsform ersetzt keine ausdrückliche Einwilligung

Der automatisierte Vergleich verarbeitete nach Auffassung des Senats biometrische Daten zur eindeutigen Identifizierung. Solche Verarbeitung ist nach Art. 9 Absatz 1 DSGVO grundsätzlich untersagt, sofern kein gesetzlicher Ausnahmefall eingreift. Eine ausdrückliche Einwilligung lag hier nicht vor. Die Studentin hatte zwar die Online-Prüfung außerhalb des Campus gewählt und die Erstellung des Referenzbilds hingenommen. Daraus folgte aber keine konkrete Zustimmung gerade zur biometrischen Verarbeitung. Erforderlich gewesen wären eine entsprechende Information und eine darauf bezogene ausdrückliche Erklärung. Dass sie sich bei universitären Anlaufstellen näher hätte erkundigen können, ersetzte diese Voraussetzung nicht.

Weder öffentliche Fotos noch Prüfungsinteresse rechtfertigten den Einsatz

Die Hochschule konnte sich auch nicht darauf berufen, dass die Studentin bereits eigene Gesichtsfotos in sozialen Netzwerken veröffentlicht hatte. Nach der Entscheidung veröffentlichte sie damit nicht zugleich biometrische Daten im Sinne der einschlägigen Ausnahme; sie eröffnete lediglich die Möglichkeit, solche Daten aus den Bildern zu gewinnen. Auch das öffentliche Interesse an der Fortführung des Hochschulbetriebs während der Pandemie rechtfertigte die konkrete Verarbeitung nicht. Der Senat verweist dabei auf verfügbare andere Prüfungsformen und die fehlende ausdrückliche Einwilligung. Er erklärt damit nicht jede technische Prüfungsaufsicht für unzulässig, sondern bewertet die Voraussetzungen des hier tatsächlich verwendeten biometrischen Verfahrens.

Nachvollziehbare Angst vor einem technischen Fehlverdacht

Die Klägerin schilderte, dass sie während der Prüfungen Kopfbewegungen und Wegschauen vermied, weil sie fürchtete, dadurch einen automatischen Verdacht auszulösen. Der Senat hält diese Belastung für plausibel und gerade durch die Gesichtserkennungssoftware verursacht. Anders als bei einer ausschließlich menschlichen Videoaufsicht konnte hier ein technischer Vergleich eine nähere Verdachtsprüfung auslösen. Das Gefühl, diesen Mechanismus nicht beeinflussen zu können, unterschied die Situation nach der Entscheidung von gewöhnlicher Prüfungsanspannung. Eine bestimmte Erheblichkeitsschwelle darf für den Anspruch aus Art. 82 DSGVO nicht verlangt werden. Die geringe Intensität einer festgestellten Beeinträchtigung betrifft daher deren Bewertung, nicht automatisch schon das Bestehen eines Schadens.

Warum das Gericht den Betrag auf 200 Euro begrenzte

Bei der Höhe berücksichtigt der Senat, dass die Befürchtungen auf die Prüfungszeiten beschränkt waren und nicht dauerhaft fortbestanden. Außerdem hätte ein technischer Hinweis noch keine unmittelbare Sanktion ausgelöst, sondern zunächst eine menschliche Überprüfung. Bei keiner der durchgeführten Prüfungen kam es tatsächlich zu einer entsprechenden Meldung. Nach Einschätzung des Gerichts dürfte die wiederholte problemlose Teilnahme zudem einen Gewöhnungseffekt erzeugt haben. Insgesamt sah es deshalb eine eher geringfügige psychische Beeinträchtigung. Eine erneute persönliche Anhörung war aus seiner Sicht nicht erforderlich, weil es die Glaubhaftigkeit der Angaben nicht anders bewertete als das Landgericht, sondern aus ihnen andere rechtliche und tatsächliche Schlussfolgerungen zog.

Kein zusätzlich zugesprochener Schaden wegen Kontrollverlusts

Einen weiteren Anspruch allein wegen Verlusts der Kontrolle über biometrische Daten verneint der Senat. Er erkennt zwar an, dass ein nachgewiesener Kontrollverlust selbst ein ersatzfähiger Schaden sein kann. Der Datenschutzverstoß allein beweist ihn aber nicht. Im konkreten Fall nimmt das Gericht an, die Studentin habe wegen jahrelang öffentlich zugänglicher Gesichtsfotos bereits zuvor keine entsprechende Kontrolle mehr gehabt. Diese Bewertung stützt es auf die Möglichkeit, aus den Bildern biometrische Merkmale zu gewinnen. Zugleich trennt es diese Schadensfrage ausdrücklich von der Rechtmäßigkeit der Verarbeitung: Die Veröffentlichung der Fotos erlaubte der Hochschule den rechtswidrigen Einsatz gerade nicht und schloss andere nachgewiesene Schäden nicht aus.

Weitere Datenschutzvorwürfe erhöhten den Ersatz nicht

Einen Verstoß gegen Art. 22 DSGVO verneint der Senat, weil der automatische Vergleich noch keine rechtlich wirksame oder vergleichbar erhebliche Entscheidung über die Studentin traf. Die anschließende Prüfung blieb einer Aufsichtsperson vorbehalten. Eine Übermittlung an US-amerikanische Muttergesellschaften der eingebundenen Anbieter stand nach seiner Bewertung nicht fest. Mögliche Defizite bei Verträgen mit Auftrags- und Unterauftragsverarbeitern führten ebenfalls nicht zu einem zusätzlich festgestellten Schaden. Die auf die Übermittlung von IP-Adressen gestützte Anspruchsbegründung hatte die Klägerin während des Verfahrens aufgegeben. Daher musste das Gericht die dazu diskutierte grundsätzliche Einordnung von IP-Adressen nicht entscheiden.

Auch der Sperr-Browser begründete keinen weiteren Anspruch

Für den eingesetzten Sperr-Browser fehlte substantiierter Vortrag dazu, dass über dessen eigene Programmbibliotheken hinaus auf gespeicherte Daten des Endgeräts zugegriffen worden war. In den Zugriff auf die Programmdaten hatte die Klägerin nach der Auslegung des Senats durch die Installation zu Prüfungszwecken zumindest schlüssig eingewilligt. Einen daraus entstandenen Schaden stellte das Gericht ebenfalls nicht fest. Die endgültig zugesprochenen 200 Euro beruhen somit allein auf der psychischen Beeinträchtigung durch die rechtswidrige biometrische Gesichtserkennung. Eine Revision wurde nicht zugelassen. Das Urteil unterscheidet für jeden technischen Vorgang zwischen Rechtsgrundlage, festgestelltem Verstoß und konkret verursachtem Schaden.