DPO-Checkliste: Was vor der Einführung eines Videoüberwachungssystems in der Organisation zu prüfen ist

Visual Data Anonymization umfasst organisatorische und technische Maßnahmen, die darauf abzielen, die Identifizierbarkeit von Personen und Fahrzeugen in Bildmaterial bereits in der Planungsphase einer Videoüberwachung zu reduzieren. In der Praxis geht es dabei vor allem um Face Blurring und License Plate Blurring, also um das Unkenntlichmachen von Gesichtern und Kfz-Kennzeichen in Fotos und Videoaufnahmen, bevor diese weitergegeben, veröffentlicht oder anderweitig genutzt werden. Im Pre-Deployment-Modell ist das kein technisches Detail, sondern eine Designentscheidung, die sich auf den Datenumfang, den Zugriff, die Aufbewahrung, die Systemarchitektur und die Risikobewertung auswirkt.

Für DPOs, IT-Leitungen, Compliance Officer oder Personen, die ein neues Videoüberwachungssystem freigeben, lautet die wichtigste Frage nicht: „Kann man das Material später unkenntlich machen?“, sondern: „Wurde der gesamte Prozess so konzipiert, dass die Anonymisierung von Bildmaterial tatsächlich umsetzbar, verhältnismäßig und dokumentiert ist?“ Das ist besonders wichtig, wenn die Organisation plant, Fotos oder Videos zu veröffentlichen, sie Medien, Partnern oder öffentlichen Stellen zur Verfügung zu stellen oder sie für Marketing und PR zu nutzen.

Was bedeutet visuelle Anonymisierung vor der Inbetriebnahme von Kameras in der Praxis?

In der Implementierungsphase sollten klare Definitionen festgelegt werden. In diesem Artikel bedeutet Visual Data Anonymization die Ausgestaltung eines Prozesses, in dem Bildmaterial vor seiner Weitergabe anonymisiert werden kann. Face Blurring bezeichnet das Unkenntlichmachen von Gesichtern. License Plate Blurring bezeichnet das Unkenntlichmachen von Kfz-Kennzeichen. On-Premise-Software bezeichnet Software, die in der Infrastruktur der Organisation betrieben wird, was im Hinblick auf interne Sicherheitsrichtlinien und die Begrenzung des Materialtransfers außerhalb der Umgebung des Verantwortlichen relevant sein kann.

Aus Compliance-Sicht besteht ein typischer geschäftlicher Ansatz darin, davon auszugehen, dass bei einer geplanten weiteren Nutzung von Aufnahmen oder Fotos über den ursprünglichen Zweck der Objektsicherung hinaus der Anonymisierungsmechanismus nicht erst am Ende des Projekts ergänzt werden sollte. Er sollte bereits vor der Inbetriebnahme der Kameras berücksichtigt werden - zusammen mit Regeln zur Aufbewahrung, zu Zugriffsrechten und zum Exportpfad von Dateien.

In solchen Szenarien entscheiden sich einige Organisationen für Gallio PRO als Lösung zur Unterstützung der Anonymisierung von Bildmaterial. Aus Governance-Sicht ist jedoch eine präzise Beschreibung der Möglichkeiten und Grenzen entscheidend. Die Software erkennt und anonymisiert automatisch ausschließlich Gesichter und Kfz-Kennzeichen. Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Inhalte auf Monitorbildschirmen werden nicht automatisch erkannt. Solche Elemente können manuell im Editor unkenntlich gemacht werden. Darüber hinaus ist die Software weder für Echtzeit-Anonymisierung noch für die Anonymisierung von Videostreams ausgelegt und anonymisiert auch keine vollständigen Körperumrisse.

DPO-Checkliste vor der Einführung eines Videoüberwachungssystems

Die folgende Liste umfasst Maßnahmen, die vor der Inbetriebnahme der Kameras geprüft und abgehakt werden können. Jeder Punkt bezieht sich ausschließlich auf Fotos und Videoaufnahmen sowie auf Szenarien ihrer späteren Nutzung.

1. Den Zweck der Videoüberwachung überprüfbar beschreiben. Es sollte dokumentiert werden, ob das System ausschließlich der Objektsicherheit dient oder auch der Erstellung von Material für Veröffentlichungen, Krisenkommunikation, Beweissicherung oder die Weitergabe an Partner. Ist eine Sekundärnutzung von Bildern vorgesehen, muss dies bereits im Projekt berücksichtigt werden.
2. Prüfen, ob der geplante Bildausschnitt verhältnismäßig ist. Vor der Montage der Kameras sollten die Standorte begangen und bestätigt werden, dass das Sichtfeld nicht übermäßig öffentliche Bereiche, Fenster benachbarter Gebäude, Arbeitsplätze ohne sachliche Begründung oder Bereiche erfasst, deren Überwachung für den Zweck des Systems nicht erforderlich ist.
3. Eine Matrix der Szenarien erstellen, in denen das Material anonymisiert werden muss. Dabei sollten konkrete Situationen benannt werden: Veröffentlichung eines Fotos auf der Website, Versand einer Aufnahme an Medien, Weitergabe eines Materialausschnitts an einen Auftragnehmer oder Nutzung in sozialen Medien. Eine solche Matrix sollte zwischen Gesichtern und Kfz-Kennzeichen sowie anderen Elementen unterscheiden, die eine manuelle Bildredaktion erfordern können.
4. Die Rechtsgrundlage der Verarbeitung prüfen und die weitere Nutzung des Bildmaterials gesondert beschreiben. Dies ist nicht der Ort für eine vollständige Analyse aller Rechtsgrundlagen, aber eine gute Praxis besteht darin, die eigentliche Videoüberwachung von der späteren Veröffentlichung oder Weitergabe des Materials zu trennen. In Kommunikations- und Marketingszenarien ist das Compliance-Risiko oft anders gelagert als bei der reinen Objektsicherung.
5. Eine DPIA durchführen, wenn Umfang oder Kontext der Überwachung dies erfordern. Die Datenschutz-Folgenabschätzung sollte nicht nur die Bildaufzeichnung selbst, sondern auch den geplanten Export, die Auswahl von Ausschnitten, die Anonymisierung vor der Weitergabe und die Rollen der Entscheidungsträger umfassen. Wenn die Organisation die Veröffentlichung von Aufnahmen plant, kann dieser Schritt eine gesonderte Beschreibung der Risiken erforderlich machen.
6. Informationshinweise und Kennzeichnungen der überwachten Bereiche vorbereiten. Der Inhalt sollte dem tatsächlichen Betriebsmodell des Systems entsprechen. Wenn die Organisation eine weitere Nutzung von Aufnahmen oder Fotos vorsieht, darf die Information nicht den Eindruck erwecken, dass das Bildmaterial ausschließlich dem laufenden Objektschutz dient.
7. Aufbewahrungsfristen für Rohmaterial und getrennt davon für zur Weitergabe vorbereitete Versionen festlegen. Es sollten die maximale Speicherdauer vollständiger Aufnahmen, die Aufbewahrungsdauer exportierter Ausschnitte sowie die Bedingungen für die Löschung von Arbeitsversionen festgelegt werden. Der häufigste Fehler besteht darin, nach der Anonymisierung mehrere Materialkopien bestehen zu lassen.
8. Rollen und Zugriffsrechte noch vor dem Systemstart beschränken. Es sollte festgelegt werden, wer Rohmaterial einsehen darf, wer Dateien exportieren darf, wer Face Blurring und License Plate Blurring durchführen darf und wer Veröffentlichungen freigibt. Ohne diese Verantwortungsmatrix bleibt die Anonymisierung ein Ermessensprozess.
9. Prüfen, ob das Anonymisierungstool den tatsächlichen Szenarien entspricht. Wenn die Organisation Material vor der Veröffentlichung vorbereiten muss, ist eine Lösung sinnvoll, die die Arbeit mit Foto- und Videodateien unterstützt, und kein System, das Funktionen verspricht, die das Projekt gar nicht benötigt. Bei Gallio PRO ist zu berücksichtigen, dass die automatische Erkennung ausschließlich Gesichter und Kfz-Kennzeichen umfasst, während andere Bildelemente manuell bearbeitet werden müssen.
10. Den Anonymisierungsprozess anhand realitätsnaher Aufnahmen testen. Noch vor der Inbetriebnahme der Kameras empfiehlt sich ein Test mit Material, das einen ähnlichen Bildausschnitt, ähnliche Lichtverhältnisse und Bewegungen aufweist. So lässt sich bewerten, wie viel Aufwand die automatische Unkenntlichmachung von Gesichtern und Kennzeichen erfordert und welche Fälle manuell bearbeitet werden müssen. Wenn die Organisation diesen Workflow mit eigenen Dateien prüfen möchte, kann sie die Demo herunterladen.
11. Ein Verfahren für die manuelle Redaktion nicht automatisch erkannter Elemente definieren. Im Verfahren sollte festgelegt werden, wer prüfen muss, ob auf dem Material Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Monitorinhalte sichtbar sind. Das ist besonders wichtig, da diese Objekte von der automatischen Erkennung in Gallio PRO nicht abgedeckt werden.
12. Eine Regel für die Anonymisierung von Gesichtern vor der Weitergabe des Materials festlegen. In der Geschäftspraxis führen Organisationen häufig die Grundregel ein, Gesichter vor einer Veröffentlichung oder Weitergabe standardmäßig unkenntlich zu machen, es sei denn, es liegt ein klar definierter Ausnahmetatbestand vor. Die Pflicht zur Unkenntlichmachung von Gesichtern ergibt sich nicht in jedem Fall automatisch unmittelbar aus der DSGVO, dem Zivilrecht und dem Urheberrecht; die Veröffentlichung eines Bildnisses erfordert jedoch grundsätzlich eine gesonderte rechtliche Bewertung. Im Urheberrecht bestehen Ausnahmen, unter anderem für allgemein bekannte Personen, die im Zusammenhang mit der Wahrnehmung öffentlicher Funktionen aufgenommen wurden, oder wenn das Bildnis lediglich Beiwerk eines Gesamtbildes wie einer Versammlung, einer Landschaft oder einer öffentlichen Veranstaltung ist. Allein der Erhalt einer Vergütung stellt ohne entsprechende Vereinbarung über den Umfang der Einwilligung zur Verbreitung des Bildnisses keine allgemeine gesetzliche Ausnahme dar. Bei großen Materialmengen lohnt es sich, den Einsatz eines Tools zur Videoanonymisierung frühzeitig einzuplanen, das Gesichter und Kennzeichen automatisch erkennt und den Rest manuell nachbearbeiten lässt.
13. Eine Regel für die Anonymisierung von Kfz-Kennzeichen vor der Veröffentlichung festlegen. Dieser Punkt erfordert besondere Sorgfalt. Es gibt keine allgemeine unionsweite Regel, die das Unkenntlichmachen von Kfz-Kennzeichen vor einer Veröffentlichung immer vorschreibt. Auch in Polen ist die Lage nicht vollständig einheitlich: Die Bewertung hängt vom Kontext, von der Möglichkeit der Identifizierung einer Person und von der Art der Materialnutzung ab, und das Thema wird in Praxis und Rechtsprechung unterschiedlich behandelt. Folglich ist es ein vernünftiger Pre-Deployment-Ansatz, eine konservative Regel einzuführen, nach der Kennzeichen vor der Weitergabe von Material außerhalb der Organisation unkenntlich gemacht werden.
14. Prüfen, ob die Implementierungsarchitektur unnötige Materialtransfers begrenzt. Wenn Sicherheitsrichtlinien dies verlangen, sollte der Einsatz von On-Premise-Software bewertet werden. Bei Unternehmens- oder sektoralen Implementierungen kann entscheidend sein, dass das Material die Organisationsumgebung nicht unnötig verlässt.
15. Die Richtlinien für Protokollierung und Systemspuren prüfen. Aus Sicht der Datenminimierung ist wichtig, dass das Tool keine zusätzlichen Logs erzeugt, die Detektionsdaten oder personenbezogene Daten enthalten. Im Fall von Gallio PRO wird angegeben, dass die Software keine Logs mit Daten zur Erkennung von Gesichtern und Kfz-Kennzeichen sowie keine Logs mit personenbezogenen Daten oder Daten besonderer Kategorien erfasst.

Kontrolltabelle: Was vor dem Start und was vor der Veröffentlichung des Materials zu prüfen ist

Wann ist eine Implementierungsberatung sinnvoll?

Nicht jedes Projekt lässt sich mit einer einfachen Checkliste abdecken. Beratungsbedarf besteht in der Regel bei verteilten Implementierungen, mehreren Standorten, der Integration in ein bestehendes VMS, Anforderungen an On-Premise-Software, besonderen Vorgaben des öffentlichen Sektors sowie Verfahren zur Veröffentlichung von Material in mehreren Abteilungen. In solchen Fällen lohnt es sich, das Team zu kontaktieren und zu klären, wie ein Prozess zur Anonymisierung von Fotos und Aufnahmen bereits vor der Inbetriebnahme des Systems gestaltet werden sollte.

Der häufigste Fehler in der Projektphase

Der häufigste Fehler besteht in der Annahme, dass Videoüberwachung nur aus Kamerainfrastruktur besteht und die Anonymisierung später gelöst wird. Tatsächlich muss bereits vor dem Start entschieden werden, ob die Organisation ein Tool für Face Blurring und License Plate Blurring einsetzt, wer für die manuelle Redaktion verantwortlich ist, wie die Freigabe des Materials erfolgt und wann Arbeitsversionen gelöscht werden. Ohne diese Entscheidungen kann selbst eine formal korrekte Videoüberwachung beim ersten Wunsch nach Veröffentlichung oder Weitergabe einer Aufnahme operatives Chaos verursachen.

FAQ - DPO-Checkliste

Muss jede Organisation, die Videoüberwachung einführt, sofort ein Anonymisierungstool kaufen?

Nicht unbedingt. Wenn Material niemals veröffentlicht oder außerhalb eines eng kontrollierten Zwecks weitergegeben wird, kann der Bedarf geringer sein. Wenn jedoch bereits in der Projektphase feststeht, dass Fotos oder Aufnahmen weitergegeben werden, sollte der Anonymisierungsprozess vor der Inbetriebnahme der Kameras geplant werden.

Ist das Unkenntlichmachen ganzer Körper ein Standard in solchen Systemen?

Nein. Im hier beschriebenen Kontext stehen Gesichter und Kfz-Kennzeichen im Mittelpunkt. Gallio PRO anonymisiert keine vollständigen Körper, sondern nur Gesichter und Kennzeichen; andere Bildelemente können im Editor manuell verborgen werden.

Führt Gallio PRO eine Anonymisierung von Live-Videostreams durch?

Nein. Die Software führt weder eine Echtzeit-Anonymisierung noch eine Anonymisierung von Videostreams durch. Das ist eine wichtige Einschränkung, die bei der Planung der Systemarchitektur berücksichtigt werden muss.

Müssen Kfz-Kennzeichen immer unkenntlich gemacht werden?

Das hängt von der Jurisdiktion und vom Nutzungskontext des Materials ab. Es gibt keine einheitliche allgemeine Regel, die diese Pflicht immer abschließend festlegt. In Polen ist die Lage nicht einheitlich, weshalb viele Organisationen die konservative Praxis anwenden, Kennzeichen vor der Veröffentlichung oder Weitergabe von Material außerhalb der Organisation unkenntlich zu machen.

Muss ein Gesicht vor der Veröffentlichung immer unkenntlich gemacht werden?

Nicht in jedem Fall. In der Compliance-Praxis wird häufig die Regel angewandt, Gesichter standardmäßig zu verbergen, doch die Rechtsgrundlage der Datenverarbeitung und die Regeln zur Verbreitung von Bildnissen müssen stets im Einzelfall bewertet werden. Im Urheberrecht sind insbesondere die Ausnahmen für allgemein bekannte Personen sowie für Bildnisse relevant, die lediglich Beiwerk eines Gesamtbildes wie einer Versammlung, einer Landschaft oder einer öffentlichen Veranstaltung sind.

Umfasst die automatische Erkennung auch Logos, Tätowierungen und Namensschilder?

Nein. Die automatische Erkennung umfasst ausschließlich Gesichter und Kfz-Kennzeichen. Firmenlogos, Tätowierungen, Namensschilder, Dokumente und Monitorbildschirme müssen geprüft und gegebenenfalls manuell bearbeitet werden.

Können Systemprotokolle selbst ein zusätzliches Datenschutzrisiko darstellen?

Ja, deshalb sollte dies vor der Implementierung geprüft werden. In den Materialien zu Gallio PRO wird angegeben, dass die Software keine Logs speichert, die Daten zur Erkennung von Gesichtern und Kfz-Kennzeichen oder personenbezogene Daten beziehungsweise Daten besonderer Kategorien enthalten.