Integration der Video-Anonymisierung in Alarmanlagen und BMS: Datenarchitektur und DSGVO-Pflichten

TL;DR: Wenn eine Aufnahme aus einer Alarmanlage oder einem BMS über den ursprünglichen Sicherheitszweck hinaus genutzt werden soll - etwa für PR, Marketing oder eine Veröffentlichung -, entsteht ein neuer Verarbeitungsschritt mit eigenen Pflichten nach der DSGVO. Ein sicherer Ansatz besteht darin, den Datenfluss in Schichten zu strukturieren: Quelle → Export → Anonymisierung → Repository → Veröffentlichung. Ebenso wichtig ist eine klare Rollenverteilung zwischen Verantwortlichem und Auftragsverarbeiter. Gallio PRO arbeitet als On-Premise-Software genau an dieser Schnittstelle: Das Tool macht Gesichter und Kfz-Kennzeichen automatisch unkenntlich, weitere Elemente können manuell im Editor bearbeitet werden - ohne Logs mit Erkennungsdaten. Den konkreten Integrationsumfang sollten Sie immer mit dem Produktteam abstimmen und den realen Datenfluss vorab sauber abbilden.

Die Anonymisierung visueller Daten bedeutet, Fotos und Videoaufnahmen so zu verarbeiten, dass die Identifikation von Personen oder Fahrzeugen vor einer weiteren Nutzung möglichst verhindert oder deutlich erschwert wird - insbesondere vor einer Veröffentlichung, Weitergabe an andere Stellen oder Einbindung in breitere organisatorische Workflows. In der Praxis geht es dabei vor allem um das Verwischen von Gesichtern und das Unkenntlichmachen von Kennzeichen. Bei der Integration in Alarmanlagen und Gebäudemanagementsysteme ist Video-Anonymisierung jedoch nicht nur ein technisches Thema, sondern zugleich eine Frage der Datenarchitektur, der Rollenverteilung und der Pflichten aus der DSGVO [1].

Visuelle Daten aus Alarmanlagen und BMS: Wo endet Sicherheit, wo beginnt Veröffentlichung?

Eine Alarmanlage oder ein BMS kann Quelle von Bild- oder Videomaterial sein. Die Quelle allein entscheidet jedoch noch nicht über den Zweck der Verarbeitung. Wurde eine Aufnahme ursprünglich zum Schutz eines Gebäudes, von Personen oder von Eigentum erhoben, werden Rechtsgrundlage und Zweck in diesem Sicherheitskontext bewertet. Soll dasselbe Material später jedoch an PR, Marketing, eine öffentliche Stelle oder einen Dienstleister für die Veröffentlichung weitergegeben werden, entsteht ein neuer operativer Verarbeitungsschritt. Dann müssen Organisationen häufig prüfen, ob die weitere Nutzung noch vom ursprünglichen Zweck gedeckt ist oder zusätzliche Begründungen, Datenminimierung und Schutzmaßnahmen erforderlich sind [1][2].

Die DSGVO behandelt das Bild einer Person auf einem Foto oder in einer Videoaufnahme als personenbezogenes Datum, wenn die Person identifizierbar ist. Europäische und nationale Aufsichtsbehörden bewerten Videoüberwachung und CCTV-Aufnahmen entsprechend [1][2][4]. Bei einer mehrschichtigen Integration reicht es daher nicht aus, zu sagen, dass das Material aus einem technischen Gebäudesystem stammt. Es muss geklärt werden, wer über den Verwendungszweck des Bildmaterials entscheidet, wer die Anonymisierung anstößt, wer das Tool auswählt und wer die Veröffentlichung des finalen Materials freigibt. An dieser Stelle wird häufig eine On-Premise-Software zur Anonymisierung visueller Daten eingesetzt; die Integrationsarchitektur und der Verantwortungsbereich sollten jedoch vor jeder Implementierung mit dem Produktteam geprüft werden.

Datenarchitektur bei der Integration der Video-Anonymisierung in Alarmanlagen und BMS

Das sicherste analytische Modell besteht darin, den Datenfluss in voneinander getrennte Schichten aufzuteilen:

1. Quellsystem - Kamera, Rekorder, Alarmanlage oder BMS, das das Material speichert oder indexiert.
2. Export eines ausgewählten Videoausschnitts oder Fotos.
3. Anonymisierungsumgebung - hier wird die exportierte Datei mit Gallio PRO verarbeitet.
4. Repository für bearbeitetes Material.
5. Veröffentlichung oder Weitergabe des Materials an den Endempfänger.

Diese Trennung ist rechtlich relevant, denn es gibt nicht immer nur einen einzigen Verantwortlichen. In einem einfachen Modell bleibt der Gebäudeeigentümer oder der Betreiber der Videoüberwachung für den gesamten Prozess verantwortlich. In komplexeren Konstellationen kann der Verantwortliche für das Sicherheitssystem ein anderer sein als der Verantwortliche für die Veröffentlichung. Zusätzlich können ein Auftragsverarbeiter für den technischen Betrieb oder ein externer Integrator beteiligt sein. Entscheidend für die Rolle ist nicht die Bezeichnung im Vertrag, sondern der tatsächliche Einfluss auf Zwecke und Mittel der Verarbeitung [1].

In der Praxis helfen vier Kontrollfragen: Wer entscheidet über den Export der Aufnahme aus dem Sicherheitssystem? Wer legt fest, ob das Material außerhalb des ursprünglichen Zwecks genutzt werden soll? Wer bestimmt die Parameter der Anonymisierung? Wer gibt die finale Veröffentlichung frei? Die Antworten helfen dabei, Verantwortliche, gemeinsam Verantwortliche und Auftragsverarbeiter korrekt einzuordnen.

On-Premise-Software als Ansatz zur Begrenzung der Datenexposition

In mehrschichtigen Umgebungen ist der Ort der Verarbeitung besonders wichtig. On-Premise-Software wird häufig als Ansatz betrachtet, der die Exposition personenbezogener Daten reduziert, weil das Material die von der Organisation kontrollierte Umgebung nicht verlassen muss. Das bedeutet nicht automatisch DSGVO-Konformität, erleichtert aber die Umsetzung der Grundsätze Privacy by Design und Privacy by Default nach Art. 25 DSGVO [1].

Ein weiteres wichtiges architektonisches Merkmal ist, dass Gallio PRO keine Logs mit Erkennungsdaten zu Gesichtern und Kennzeichen sowie keine Logs mit personenbezogenen Daten speichert. Bei der Integration in mehrschichtige Systeme ist das wesentlich, weil dadurch die Anzahl zusätzlicher Systemartefakte begrenzt wird, die selbst zu Trägern personenbezogener Daten werden könnten. Aus Compliance-Sicht ist das ein Vorteil - ersetzt aber nicht die Analyse des gesamten Datenflusses, der Aufbewahrungsfristen und der Zugriffsrechte.

Was Gallio PRO tatsächlich unterstützt - und was nicht ohne Prüfung behauptet werden sollte

Bei der Beschreibung von Implementierungen ist Präzision entscheidend. Gallio PRO macht automatisch ausschließlich Gesichter und Kfz-Kennzeichen unkenntlich. Das Tool erkennt nicht automatisch Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Inhalte auf Monitoren. Solche Elemente können im integrierten Editor manuell bearbeitet werden, wenn die Organisation dies im konkreten Material für erforderlich hält.

Diese Unterscheidung ist auch bei der Integration mit Alarmanlagen und BMS wichtig. Wenn eine Organisation die Vorbereitung von Videosequenzen für die Veröffentlichung automatisieren möchte, sollte sie nicht davon ausgehen, dass das Tool alle potenziellen Identifikatoren im Bild automatisch erfasst. Die automatische Erkennung betrifft ausschließlich Gesichter und Kennzeichen. Ebenso sollte keine native Integration mit einem konkreten BMS behauptet werden, ohne dies zuvor mit dem Produktteam zu verifizieren. Sicherer ist eine Beschreibung auf Prozessebene: Export von Material, Nutzung einer API oder ein individueller Integrationsansatz - sofern das jeweilige Szenario technisch bestätigt wurde. In einem Testszenario lässt sich dies gut prüfen, indem Sie die Demo herunterladen und den tatsächlichen Datenfluss in Ihrer Organisation abbilden.

DSGVO-Pflichten bei einer mehrschichtigen Integration

Ein häufiger Fehler besteht darin, das Problem allein auf das Unkenntlichmachen von Gesichtern zu reduzieren. Aus Sicht der DSGVO sollte eine Organisation jedoch zunächst die Rechtmäßigkeit der gesamten Verarbeitung nachweisen und erst danach die geeignete technische Maßnahme auswählen. In der Praxis umfasst Compliance mindestens fünf Bereiche:

1. Zweck und Rechtsgrundlage der Verarbeitung visueller Daten in jeder Phase. Für Sicherheitsüberwachung kann eine andere Rechtsgrundlage gelten als für die Veröffentlichung von Fotos oder Videoaufnahmen [1][2].
2. Datenminimierung. Wenn für die Veröffentlichung nur ein kurzer Ausschnitt benötigt wird, gibt es in der Regel keine Rechtfertigung dafür, die gesamte Aufnahme weiter im Umlauf zu halten [1].
3. Aufbewahrungsfristen für Quellmaterial und anonymisiertes beziehungsweise bearbeitetes Material. Werden diese Fristen nicht getrennt definiert, führt dies häufig zu übermäßiger Speicherung.
4. Rollen der beteiligten Parteien und Auftragsverarbeitungsverträge, wenn technische Dienstleister oder Integratoren am Prozess beteiligt sind [1].
5. DSFA - eine Datenschutz-Folgenabschätzung ist bei mehrschichtiger Integration häufig sinnvoll, insbesondere wenn Videoüberwachung mit einem neuen Nutzungszweck, mehreren Systemen oder einer umfangreichen Verarbeitung verbunden wird [1][3].

Dies ist keine Rechtsberatung, sondern eine etablierte Compliance-Praxis. Je mehr technische und organisatorische Ebenen beteiligt sind, desto stärker ist das Argument für eine formale Datenschutz-Folgenabschätzung. Eine solche Bewertung hilft, Risiken wie falsch zugewiesene Rollen, übermäßige Aufbewahrung, zu breite Zugriffsrechte und die Sekundärnutzung von Aufnahmen außerhalb des ursprünglichen Zwecks zu dokumentieren.

Gesichter und Kennzeichen: Was muss vor der Veröffentlichung anonymisiert werden?

Bei Gesichtern ist der Ausgangspunkt vergleichsweise klar. Die Veröffentlichung eines erkennbaren Bildnisses erfordert grundsätzlich eine Rechtsgrundlage im Sinne der DSGVO sowie die Berücksichtigung zivilrechtlicher und urheberrechtlicher Vorschriften [1][5][6]. Das Urheberrecht sieht Ausnahmen vom Erfordernis einer Einwilligung zur Verbreitung eines Bildnisses vor, insbesondere bei Personen des öffentlichen Lebens im Zusammenhang mit der Ausübung öffentlicher Funktionen, bei Personen, die lediglich als Beiwerk neben einer Landschaft, Versammlung oder öffentlichen Veranstaltung erscheinen, oder wenn eine Person eine vereinbarte Vergütung für das Posieren erhalten hat und nichts anderes vorbehalten wurde [6]. Auch in solchen Fällen prüfen Organisationen üblicherweise den Veröffentlichungskontext, den Bildausschnitt und das Risiko einer übermäßigen Exposition.

Bei Kfz-Kennzeichen ist die Lage komplexer. Es lässt sich nicht pauschal sagen, dass das Unkenntlichmachen von Kennzeichen in westeuropäischen Staaten aufgrund EU-weiter Empfehlungen immer verpflichtend ist - eine einheitliche gesamteuropäische Regel in dieser Form gibt es nicht. Die Bewertung hängt vom Verarbeitungskontext und von der Möglichkeit ab, eine Person zu identifizieren. Auch in Polen ist die Frage nicht vollständig eindeutig; grundsätzlich kann ein Kennzeichen jedoch ein personenbezogenes Datum darstellen, wenn es mit vernünftigerweise wahrscheinlichen Mitteln die Identifizierung einer natürlichen Person ermöglicht [1][2]. Daher verfolgen viele Organisationen einen vorsichtigen Ansatz und setzen License Plate Blurring beziehungsweise das Unkenntlichmachen von Kennzeichen als risikomindernde Maßnahme ein.

Tabelle: Verantwortungsverteilung in einer typischen mehrschichtigen Architektur

Integration mit BMS und Alarmanlagen: Wie lässt sie sich verantwortungsvoll beschreiben?

Eine sichere Beschreibung der Implementierung sollte nicht suggerieren, dass jede BMS-Umgebung auf identische Weise mit einem Anonymisierungsprozess verbunden werden kann. In der Praxis hängt alles vom Exportformat, den Berechtigungen der Operatoren, dem Installationsort und der Art der Dateiübertragung ab. Produktkommunikation sollte daher Aussagen über native Integrationen mit konkreten Plattformen vermeiden, solange diese technisch nicht bestätigt sind. Angemessener ist es, über Prozessarchitektur, On-Premise-Software, Materialexport, API-Nutzung oder ein individuelles Szenario nach Anforderungsanalyse zu sprechen. In solchen Fällen empfiehlt es sich, mit dem Team Kontakt aufzunehmen und den möglichen Implementierungsumfang zu klären.

Aus Sicht der DSGVO ist außerdem wichtig, dass das Anonymisierungstool keine neuen, unnötigen Datenschichten erzeugt. Dass keine Logs mit Erkennungsdaten zu Gesichtern und Kennzeichen sowie keine Logs mit personenbezogenen Daten gespeichert werden, ist in einer mehrschichtigen Architektur besonders wertvoll. Je weniger sekundäre Verarbeitungsspuren entstehen, desto leichter lassen sich die Risikofläche begrenzen und der Grundsatz der Datenminimierung dokumentieren.

FAQ: Integration der Video-Anonymisierung in Alarmanlagen und BMS

Erfordert die Integration der Anonymisierung in eine Alarmanlage immer eine DSFA?

Nicht immer, bei mehrschichtiger Integration ist sie jedoch sehr häufig sinnvoll. Wenn Material aus der Videoüberwachung außerhalb des ursprünglichen Sicherheitszwecks genutzt werden soll und der Prozess mehrere Systeme sowie mehrere Nutzergruppen umfasst, betrachten Organisationen eine Datenschutz-Folgenabschätzung oft als Compliance-Standard [1][3].

Anonymisiert Gallio PRO Kamerabilder in Echtzeit?

Nein. Gallio PRO führt keine Echtzeit-Anonymisierung und keine Anonymisierung von Videostreams durch.

Erkennt das Tool automatisch alle Elemente, die eine Person identifizieren könnten?

Nein. Die automatische Erkennung umfasst ausschließlich Gesichter und Kfz-Kennzeichen. Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Inhalte auf Monitoren werden nicht automatisch erkannt und erfordern eine Bewertung sowie gegebenenfalls eine manuelle Bearbeitung.

Müssen Gesichter vor einer Veröffentlichung immer unkenntlich gemacht werden?

Nicht immer. Grundsätzlich erfordert die Veröffentlichung eines erkennbaren Bildnisses eine Rechtsgrundlage und die Berücksichtigung von Vorschriften zum Schutz persönlicher Rechte sowie des Urheberrechts. Es gibt jedoch gesetzliche Ausnahmen vom Einwilligungserfordernis - etwa für Personen des öffentlichen Lebens im Zusammenhang mit der Ausübung öffentlicher Funktionen oder für Personen, die lediglich als Beiwerk einer Gesamtszene erscheinen [1][5][6]. Jeder Fall muss im Kontext bewertet werden.

Sind Kfz-Kennzeichen immer personenbezogene Daten?

Nicht immer. Die Bewertung hängt vom Kontext ab und davon, ob ein Kennzeichen mit vernünftigerweise wahrscheinlichen Mitteln die Identifizierung einer natürlichen Person ermöglicht. Es gibt auch keine einheitliche gesamteuropäische Regel, die das Unkenntlichmachen von Kennzeichen in jedem Fall vorschreibt. Deshalb wählen viele Organisationen einen vorsichtigen Ansatz und machen Kennzeichen vor der Veröffentlichung unkenntlich [1][2].

Warum ist es bei der Integration wichtig, dass keine Logs mit Erkennungsdaten entstehen?

Zusätzliche Logs können selbst eine neue Schicht personenbezogener Daten oder risikoreicher Metadaten bilden. Gallio PRO speichert keine Logs mit Erkennungsdaten zu Gesichtern und Kennzeichen sowie keine Logs mit personenbezogenen Daten. In einer mehrschichtigen Architektur ist das eine wichtige Eigenschaft, um die Exposition von Daten zu begrenzen.

Kann man eine native Integration von Gallio PRO mit einem bestimmten BMS zusichern?

Nicht ohne vorherige Prüfung. Eine verantwortungsvolle Kommunikationspraxis beschreibt das Integrationsszenario als abhängig von der konkreten Architektur, dem Exportformat und den Implementierungsanforderungen. Vor der Veröffentlichung von Vertriebsmaterialien oder technischer Dokumentation sollte der technische Umfang mit dem Produktteam bestätigt werden.

Weiterführende Materialien

• Video-Anonymisierung mit Gallio PRO
• Kostenlose Demo von Gallio PRO
• Internes Audit eines CCTV-Überwachungssystems: So prüfen Sie die DSGVO-Konformität in 8 Schritten
• Videoüberwachung und Zutrittskontrollsysteme mit IP-Kameras: So lassen sie sich verbinden und DSGVO-konform betreiben

Dieser Text wurde vom Team von Gallio PRO erstellt - Spezialisten für Datenschutz und Videoengineering, die Anonymisierungssoftware für Sicherheit, den öffentlichen Sektor und Medien entwickeln. Das Material dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.

Planen Sie einen Datenfluss vom BMS bis zur Veröffentlichung? Bilden Sie ihn zuerst in einem Testszenario ab und prüfen Sie, wie Video-Anonymisierung in Ihrer Architektur funktionieren kann.