Wer an Europas Außengrenzen denkt, denkt meist an Behörden, Konsulate und IT-Systeme der Staaten. Die heutige Untersuchung von Lighthouse Reports und Partnern wie The Indian Express zeigt jedoch einen anderen Hebel: Ein erheblicher Teil der praktischen Visaprozesse läuft über externe Dienstleister wie VFS Global. Genau dort wird Datenschutz schnell vom abstrakten Rechtsrahmen zur operativen Schwachstelle. Die heute veröffentlichten Recherchen stützen sich laut Lighthouse auf Hunderte interne EU-Dokumente, Inspektions- und Monitoringberichte aus Schengen-Staaten sowie zusätzliche Auskünfte über Informationsfreiheitsanfragen. Für DSGVOSCAN trägt der Fall deshalb nicht als bloße Debatte über Servicequalität, sondern als dokumentierter Governance- und Datenschutzkonflikt rund um biometrische Daten, Dokumententransfers und Kontrollversagen.
Besonders relevant ist der heutige Tag, weil damit erstmals in dieser Breite sichtbar wird, was europäische Prüfberichte über VFS-Zentren in Indien über Jahre festgehalten haben sollen. The Indian Express beschreibt unter Berufung auf diese Unterlagen unter anderem, dass Fingerabdrücke und andere biometrische Kennungen auf unverschlüsselten CDs gespeichert und bei Fehlern sogar per offener E-Mail weitergegeben wurden. Dazu kommen Berichte über alte Datenträger mit Antragsunterlagen, unklare Hinweise zu optionalen Zusatzleistungen und einzelne Bewertungen, wonach Teile des Betriebs nicht mit der DSGVO vereinbar gewesen seien. VFS weist die Vorwürfe zurück und verweist auf laufende staatliche Aufsicht. Genau diese Spannung macht den Fall so wichtig: Wenn Staaten sensible Grenz- und Identitätsprozesse auslagern, endet die Datenschutzverantwortung nicht beim Vertrag.
Warum der heutige VFS-Fall mehr ist als eine peinliche Panne im Visa-Betrieb
Laut Lighthouse Reports basiert die Recherche auf Berichten aus 22 Schengen-Staaten, interner Korrespondenz und weiteren EU-Unterlagen. Das ist schon deshalb bemerkenswert, weil der Visaprozess zu den Bereichen gehört, in denen Betroffene besonders wenig Verhandlungsmacht haben. Wer reisen, arbeiten oder Familienangehörige besuchen will, kann sich den Frontend-Dienstleister in der Praxis nicht aussuchen. Genau deshalb wiegt jeder dokumentierte Umgang mit biometrischen Daten, Passkopien, Finanzunterlagen und Antragsdokumenten schwerer als bei einer normalen Servicepanne.
The Indian Express nennt mehrere konkrete Befunde. Luxemburgische Prüfberichte sollen festgehalten haben, dass biometrische Identifikatoren auf unverschlüsselten Datenträgern an Konsulate übergeben wurden und dass alte CDs mit sensiblen Inhalten nicht rechtzeitig vernichtet wurden. Schwedische Prüfer beanstandeten demnach in Mumbai, dass Gespräche an Schaltern akustisch nicht hinreichend abgeschirmt waren. Schweizer Berichte beschrieben liegengebliebene Pässe und Defizite bei Zusatzservices, während eine Schengen-Evaluierung mit Deutschland und Polen VFS-Abläufe in Indien laut Bericht nicht voll DSGVO-konform gesehen haben soll. Das Entscheidende daran ist nicht jeder Einzelpunkt für sich, sondern das Muster. Sichtbar wird ein Betrieb, in dem besonders schutzwürdige Identitäts- und Reisedaten durch eine Kette aus physischen Trägern, lokalen Prozessen, Drittpersonal und wiederkehrenden Kontrolldefiziten laufen.
Die Europäische Kommission hat gegenüber Lighthouse Reports eingeräumt, dass die wachsende Abhängigkeit der Mitgliedstaaten von externen Dienstleistern eine stärkere Qualitätskontrolle und Überwachung verlange. Genau damit kippt der Fall aus der Ecke einer regionalen Einzelrecherche in einen europäischen Governance-Fall. Wenn Behörden für Kernprozesse der Einreiseverwaltung auf Dritte setzen, müssen nicht nur Verträge, sondern Löschung, Transport, Verschlüsselung, Zugriffstrennung, Informationspflichten und Auditpfade belastbar sein. Sonst entsteht ein Grenzsystem, das formal staatlich bleibt, operativ aber an mehreren Stellen wie ein ausgelagerter Datenverbund funktioniert.
Biometrische Daten auf CDs sind kein Altlastdetail, sondern ein Warnsignal für jede Auslagerung
Datenschutzrechtlich ist der heutige VFS-Fall deshalb so klar, weil er mehrere klassische Fehlannahmen zusammenzieht. Die erste lautet: Ein Dienstleisterproblem sei vor allem ein Beschaffungs- oder Qualitätsproblem. Tatsächlich geht es hier um hochsensible personenbezogene Daten, darunter biometrische Merkmale, Passdaten, Antragsunterlagen und teils finanzielle Nachweise. Wenn solche Daten auf unverschlüsselten Datenträgern gespeichert, per offener E-Mail verschoben oder nicht rechtzeitig gelöscht werden, dann ist das kein Nebenaspekt des Betriebs, sondern der Kern des Risikos.
Die zweite Fehlannahme lautet, Kontrolle lasse sich durch regelmäßige Audits schon irgendwie nachweisen. Gerade die heutige Recherche zeigt das Gegenteil. Berichte, Audits und Evaluierungen können Missstände sichtbar machen und trotzdem bleibt der problematische Prozess bestehen, wenn Sanktionen, technische Nachrüstung und echte Verhaltensänderung ausbleiben oder nur punktuell greifen. Für Organisationen mit ausgelagerten Onboarding-, KYC-, Identitäts- oder Plattformprozessen ist das eine unbequeme, aber nützliche Lehre: Wer besonders sensible Daten an einen externen Operator gibt, muss nicht nur den Vertrag, sondern den realen Datenweg kontrollieren.
Was Unternehmen und öffentliche Stellen aus dem heutigen Fall praktisch mitnehmen sollten
Der heutige VFS-Komplex ist deshalb auch jenseits des Visa-Geschäfts relevant. Viele Unternehmen verarbeiten sensible Identitätsdaten über Dienstleister: bei Personalprozessen, Videoident-Verfahren, Gesundheitszugängen, Plattformregistrierungen oder internationalen Supportketten. Der operative Maßstab ist immer derselbe. Nicht die PowerPoint zum Sicherheitskonzept zählt, sondern ob Transportwege, Zugriffsschutz, Löschfristen, räumliche Vertraulichkeit und Beschwerdewege im Alltag tatsächlich funktionieren.
- Prüfen Sie bei ausgelagerten Identitäts- und Dokumentenprozessen nicht nur ISO-Zertifikate, sondern die realen Transferwege, Zwischenablagen und Löschfristen.
- Behandeln Sie biometrische Daten nie wie gewöhnliche Antragsdaten. Schon der Transport- und Fehlerprozess muss dafür einen höheren Schutzstandard haben.
- Verlassen Sie sich nicht darauf, dass wiederholte Audits allein genügen. Wenn dieselben Schwächen mehrfach auftauchen, ist das ein Governance-Problem und kein Einzelfehler mehr.
Die VFS-Recherche vom 28. Mai liefert damit genau den Datenschutzkern, der nachmittags publizierbar ist: ein taggleich veröffentlichter europäischer Fall, sauber belegt durch eine breit dokumentierte Investigation, mit klaren Hinweisen auf den Umgang mit biometrischen Daten und einer praktischen Lehre für jede Organisation, die sensible Datenströme an externe Betreiber auslagert.
Bildquelle: Pexels
Quellen: Lighthouse Reports, „The Visa Empire: Borders as a Business“; The Indian Express, „Express Investigation: As Indians head to Europe in record numbers, EU monitors flag VFS Global ops“; POLITICO, „How a company turned visas to Europe into big business“.
