Dokumentation der Anonymisierung von Aufnahmen für den DSGVO-Auditor: Vorlage für Bericht und Register

TL;DR: Für einen DSGVO-Auditor reicht die anonymisierte Datei allein nicht aus. Entscheidend ist die Dokumentation, aus der hervorgeht, wer die Entscheidung getroffen hat, welchem Zweck die Veröffentlichung dient, was unkenntlich gemacht wurde, was nicht, und auf welcher Grundlage. Benötigt werden zwei Dokumente: ein Anonymisierungsbericht für das einzelne Material und ein zusammenfassendes Anonymisierungsregister - beide werden auf Seiten des Verantwortlichen geführt. Ein Tool wie Gallio PRO führt die Anonymisierung durch - automatisch bei Gesichtern und Kfz-Kennzeichen, weitere Elemente manuell im Editor -, ersetzt aber kein Compliance-Register. Unten finden Sie fertige Vorlagen zum Kopieren. Laden Sie die Demo herunter und bauen Sie Ihr Register von Anfang an auf Ihrer Seite auf.

Die Anonymisierung visueller Daten ist die dauerhafte Einschränkung der Identifizierbarkeit von Personen und Fahrzeugen auf Fotos und Videoaufnahmen vor der Veröffentlichung - in der Praxis meist durch Face Blurring und License Plate Blurring, also durch das Verpixeln von Gesichtern und das Unkenntlichmachen von Kennzeichen. Für den Auditor genügt der bloße Einsatz eines Tools jedoch nicht. Die Dokumentation ist häufig das schwächste Glied: Eine Organisation kann die Materialien korrekt vorbereitet haben, ohne Register und Bericht aber die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nicht nachweisen [1]. Dieser Artikel behandelt ausschließlich die Nachweise, die ein Auditor erwartet, sowie eine Vorlage für ein Anonymisierungsregister.

Kostenlose Demo herunterladen →

Was prüft ein DSGVO-Auditor bei der Veröffentlichung von Fotos und Videos?

Ein Auditor beginnt in der Regel nicht mit der Frage nach den Funktionen der Software, sondern damit, ob der Verantwortliche die Vereinbarkeit der Veröffentlichungsentscheidung mit den Grundsätzen der Rechtmäßigkeit, Datenminimierung und Rechenschaftspflicht nachweisen kann [1]. Bei visuellem Material bedeutet das drei Prüfebenen.

Erste Ebene - Grundlage der Veröffentlichung. Wenn auf dem Material eine erkennbare Person zu sehen ist, stützen sich Organisationen meist auf eine Einwilligung, ein berechtigtes Interesse oder auf Ausnahmen im Zusammenhang mit der Verbreitung des Bildnisses. Die Pflicht, Gesichter zu anonymisieren, ergibt sich nicht automatisch aus einer einzelnen Vorschrift, sondern aus der Bewertung der Verarbeitungsgrundlage und des Risikos einer Verletzung der Rechte der betroffenen Person - unter Berücksichtigung der DSGVO, des Zivilrechts und des Urheberrechts. Das Urheberrecht sieht Ausnahmen vom Erfordernis einer Erlaubnis zur Verbreitung eines Bildnisses vor, insbesondere wenn: (1) es sich um eine allgemein bekannte Person handelt und das Bild im Zusammenhang mit der Ausübung öffentlicher Funktionen aufgenommen wurde; (2) die Person nur als Beiwerk einer Gesamtszene erscheint, etwa einer Versammlung, Landschaft oder öffentlichen Veranstaltung; (3) die Person eine vereinbarte Vergütung für das Posieren erhalten und nichts anderes vorbehalten hat. Jede Ausnahme sollte in der Dokumentation beschrieben und nicht automatisch unterstellt werden.

Zweite Ebene - Umfang der Anonymisierung. Der Auditor prüft, ob die Organisation definiert hat, welche Kategorien visueller Elemente verborgen werden müssen. Bei Gallio PRO umfasst die automatische Erkennung ausschließlich Gesichter und Kfz-Kennzeichen. Das Tool verpixelt keine ganzen Körper, führt keine Echtzeit-Anonymisierung und keine Anonymisierung von Videostreams durch und erkennt auch keine Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Bildschirminhalte automatisch. Solche Elemente können im Editor manuell unkenntlich gemacht werden - und genau das sollte sich im Verarbeitungsbericht widerspiegeln.

Dritte Ebene - Nachweis der Durchführung. Der Auditor erwartet eine Entscheidungsspur: Es muss nachgewiesen werden, dass das Material geprüft und nicht lediglich durch ein Tool geschickt wurde. Besonders wichtig ist das bei Fotos von Veranstaltungen, Werbematerialien, Filmen aus dem öffentlichen Raum und Aufnahmen mit Fahrzeugen.

Warum reicht die Datei nach der Anonymisierung nicht als Nachweis aus?

In einem DSGVO-Audit zählt nicht nur das Endergebnis, sondern auch die Möglichkeit, den Entscheidungsprozess nachzuvollziehen. Die Datei nach dem Verpixeln zeigt das Ergebnis, beantwortet aber nicht die Fragen: Wer hat die Veröffentlichung freigegeben, was war die Rechtsgrundlage, wurden Ausnahmen zum Bildnisrecht geprüft, wurde eine manuelle Kontrolle durchgeführt und wurde das Risiko einer Re-Identifizierung berücksichtigt?

Deshalb sind zwei Dokumente eine gute Praxis: ein Anonymisierungsbericht für das konkrete Material und ein Anonymisierungsregister, das alle Vorgänge zeitlich ordnet. Das Register sollte vom Verantwortlichen geführt werden. Das ist beweisrelevant: Gallio PRO ersetzt kein Compliance-Register und dokumentiert nicht eigenständig die Veröffentlichungsgrundlage, Ausnahmen zum Bildnisrecht oder Entscheidungen des Verantwortlichen - das Register entsteht auf Seiten des Verantwortlichen.

Wie sollte die Dokumentation der Anonymisierung von Aufnahmen für den Auditor aussehen?

Am häufigsten bewährt sich ein einfaches Modell: ein Bericht pro Material und ein zusammenfassendes Register. Der Bericht dient der Bewertung eines einzelnen Fotos, einer Fotoreihe oder einer Videodatei. Das Register ermöglicht dem Auditor, sämtliche Veröffentlichungen eines bestimmten Zeitraums schnell nachzuvollziehen.

Vorlage für den Anonymisierungsbericht - fertige Felder zum Kopieren

Der Bericht sollte so einfach wie möglich aufgebaut sein. In der Praxis empfehlen sich die folgenden Felder:

• Berichts-ID - eindeutige Nummer mit Bezug zum Register.
• Datum der Materialbewertung - Tag der Prüfung vor der Veröffentlichung.
• Für die Bewertung verantwortliche Person - Vor- und Nachname oder dienstliche Rolle.
• Beschreibung des visuellen Materials - z. B. „Werbefilm von einer städtischen Veranstaltung, 2 Min. 15 Sek.“ oder „Galerie mit 12 Fotos von einer Konferenz“.
• Zweck der Veröffentlichung - z. B. Marketing, PR, öffentliche Information, Veranstaltungsbericht.
• Geplanter Veröffentlichungsort - Website, soziale Medien, Videokanal, Intranet.
• Grundlage der Veröffentlichung oder Ausnahme - Einwilligung, berechtigtes Interesse, allgemein bekannte Person, Beiwerk einer Gesamtszene, vereinbarte Vergütung für das Posieren.
• Ergebnis der automatischen Prüfung - Hinweis, dass die automatische Erkennung Gesichter und Kfz-Kennzeichen umfasst hat.
• Ergebnis der manuellen Prüfung - ob andere Elemente manuell unkenntlich gemacht wurden, z. B. ein Dokument auf dem Schreibtisch oder ein Monitorbild.
• Umfang der angewandten Anonymisierung - Anzahl der Gesichter, Anzahl der Kennzeichen, Umfang der manuellen Korrekturen.
• Bewertung des Re-Identifizierungsrisikos - kurze Notiz, ob das Material nach der Anonymisierung weiterhin zu einer Identifizierung führen könnte.
• Veröffentlichungsentscheidung - Veröffentlichung, Veröffentlichung nach Korrekturen, Zurückstellung der Veröffentlichung.
• Freigabedatum - Tag der endgültigen Abnahme.
• Audit-Hinweise - Feld für Anmerkungen des DSB oder der Compliance-Stelle.

Jedes Feld hat Beweiswert. Die ID und das Datum schaffen eine Audit-Trail-Struktur; Materialbeschreibung und Veröffentlichungszweck liefern Kontext; das Feld zur Grundlage oder Ausnahme zeigt, dass die Entscheidung nicht zufällig getroffen wurde. Das Feld zur manuellen Prüfung ist besonders wichtig, weil die automatische Erkennung nicht alle Informationskategorien abdeckt, die im Bild sichtbar sein können.

Vorlage für das Anonymisierungsregister - die Struktur, nach der Auditoren tatsächlich suchen

Das Register sollte zusammenfassend, aktuell und leicht filterbar sein. Am besten eignet sich eine Tabelle oder ein Registersystem mit den folgenden Spalten:

Ein solches Register sollte nicht auf Grundlage der technischen Logs eines Tools erstellt werden, sondern auf Basis der Entscheidungen des Verantwortlichen. Wenn eine Organisation eine lokal installierte Lösung als On-Premise-Software nutzt, lässt sich die Kontrolle über Umgebung und Zugriff auf das Material leichter beschreiben. In komplexeren Fällen - insbesondere bei Enterprise-Umgebungen, On-Premise-Konfigurationen und individuellen Compliance-Anforderungen - lohnt es sich, das Team zu kontaktieren und ein Arbeitsmodell abzustimmen, das zum jeweiligen Compliance-Szenario passt.

Empfohlener Workflow: vom Material bis zum Registereintrag Schritt für Schritt

1. Identifizieren Sie das Material und den Zweck der Veröffentlichung und weisen Sie eine für die Bewertung verantwortliche Person zu.
2. Importieren Sie das Material in Gallio PRO und starten Sie die automatische Erkennung - Gallio PRO macht Gesichter und Kfz-Kennzeichen unkenntlich. Das sind die einzigen beiden Elemente, die automatisch erkannt werden. Gallio PRO arbeitet mit Dateien, nicht mit Live-Streams.
3. Führen Sie eine manuelle Prüfung durch und maskieren Sie im integrierten Editor Elemente, die nicht automatisch erkannt werden - etwa Dokumente, Bildschirme, Schilder, Tätowierungen oder Logos -, sofern sie sichtbar sind.
4. Füllen Sie den Anonymisierungsbericht aus - Grundlage oder Ausnahme, Ergebnis der automatischen und manuellen Prüfung, Umfang, Bewertung des Re-Identifizierungsrisikos.
5. Fügen Sie einen Eintrag in das Register ein - auf Seiten des Verantwortlichen - und verknüpfen Sie ihn mit der Berichts-ID.
6. Geben Sie die Veröffentlichungsentscheidung frei und veröffentlichen Sie ausschließlich die freigegebene Ergebnisdatei. Gallio PRO ersetzt kein Compliance-Register und speichert keine Logs mit personenbezogenen Daten.

Wenn Sie diesen Ablauf mit eigenem Material prüfen möchten, können Sie die Lösung kostenlos testen und Ihr Anonymisierungsregister direkt parallel aufbauen.

Wie sollten Gesichter und Kfz-Kennzeichen in der Dokumentation beschrieben werden?

Allgemeine Formulierungen wie „personenbezogene Daten wurden anonymisiert“ sind wenig hilfreich. Auditoren erwarten konkrete Angaben. Besser ist eine Formulierung wie: „Bei erkennbaren Personen wurde Face Blurring angewandt; bei im Material sichtbaren Kfz-Kennzeichen wurde License Plate Blurring durchgeführt.“

Bei Kennzeichen lohnt es sich, die gewählte Compliance-Logik zu beschreiben. In der europäischen Praxis wird das Unkenntlichmachen von Kennzeichen vor einer Veröffentlichung häufig als Vorsichtsmaßnahme verstanden, die Bewertung hängt jedoch vom Kontext und vom nationalen Recht ab. In Polen bleibt die Lage uneinheitlich: In Teilen der Rechtsprechung und Praxis wird angenommen, dass ein Kennzeichen ein personenbezogenes Datum sein kann, wenn es mit vernünftigerweise wahrscheinlichen Mitteln die Identifizierung einer Person ermöglicht; in anderen Fällen wurde darauf hingewiesen, dass ein Kennzeichen allein nicht immer eine natürliche Person identifiziert. In der Dokumentation sollte vermerkt werden, dass die Organisation ein vorsorgliches Veröffentlichungsmodell verfolgt und daher License Plate Blurring als Compliance-Praxis einsetzt. Das ist keine Rechtsberatung, sondern ein typischer Ansatz zur Risikobegrenzung.

Wie lässt sich die Vollständigkeit der Prüfung ohne übermäßige Bürokratie nachweisen?

Die beste Dokumentation ist knapp, aber überprüfbar. Für den Auditor zählt, dass sich das Material von der Entscheidung bis zur Veröffentlichung nachvollziehen lässt. Daher reichen in jedem Bericht drei Schritte aus: (1) Identifizierung des Materials und des Veröffentlichungszwecks; (2) Angabe, welche Elemente automatisch erkannt wurden und welche eine manuelle Korrektur erforderten; (3) endgültige Freigabe mit Begründung.

In der Testphase empfiehlt es sich, das eigene Register auf Seiten des Verantwortlichen sofort mitzuführen, denn das Tool selbst übernimmt nicht die Funktion eines Compliance-Registers.

Häufige Mängel, die im Audit festgestellt werden

Das häufigste Problem ist nicht die fehlende Anonymisierung, sondern die fehlende Beschreibung von Ausnahmen zum Bildnisrecht. Organisationen veröffentlichen Fotos von Veranstaltungen und gehen davon aus, dass eine breite Szene immer von einer weiteren Bewertung befreit - das kann zu weit gehen: Wenn der Bildausschnitt eine bestimmte Person hervorhebt, löst die bloße Anwesenheit einer Menschenmenge das Problem nicht. Der zweite häufige Mangel ist das Auslassen der manuellen Prüfung: Da die automatische Erkennung ausschließlich Gesichter und Kennzeichen umfasst, können im Material andere identifizierende Elemente verbleiben. Der dritte Mangel ist die fehlende Zuordnung von Verantwortung: Der Auditor sollte sehen können, wer das Material geprüft und wer es zur Veröffentlichung freigegeben hat.

Wie sollte das Tool in der Audit-Dokumentation beschrieben werden?

Die Beschreibung des Tools sollte präzise und zurückhaltend sein. Sinnvoll ist der Hinweis, dass eine On-Premise-Software zur Visual Data Anonymization von Fotos und Videoaufnahmen eingesetzt wird, die automatisch nur Gesichter und Kfz-Kennzeichen unkenntlich macht, während weitere Elemente manuell im Editor verborgen werden können. Funktionen, die die Software nicht hat, sollten nicht behauptet werden. Bei Gallio PRO ist insbesondere wichtig, dass das Tool keine ganzen Körper verpixelt, nicht in Echtzeit arbeitet und kein vom Verantwortlichen geführtes Compliance-Register ersetzt. Eine solche Beschreibung ist glaubwürdiger als marketinghafte Verkürzungen - Auditoren schätzen klare Verantwortungsgrenzen: Das Tool unterstützt die Anonymisierung des Materials, die Entscheidung über die Veröffentlichung und die Pflicht zur Registerführung liegen jedoch beim Verantwortlichen.

FAQ - Dokumentation der Anonymisierung von Aufnahmen für den DSGVO-Auditor

Verlangt ein DSGVO-Auditor ein separates Anonymisierungsregister für Fotos und Videos?

Nicht immer ergibt sich das ausdrücklich aus einer Vorschrift, es ist jedoch eine häufige und sinnvolle Compliance-Praxis. Das Register erleichtert den Nachweis der Rechenschaftspflicht, des Veröffentlichungszwecks, des Umfangs der Unkenntlichmachung und der freigebenden Person.

Muss für jedes einzelne Foto ein Anonymisierungsbericht erstellt werden?

Das hängt von Umfang und Risiko ab. In der Praxis können Materialien zu logischen Sets zusammengefasst werden, etwa zu einer Galerie von derselben Veranstaltung, sofern die Beschreibung eindeutig und überprüfbar bleibt.

Reicht der Hinweis, dass das Material durch ein Verpixelungsprogramm gelaufen ist?

Nein. Ein Auditor erwartet in der Regel einen Nachweis der Prüfung, den Umfang der Anonymisierung, die Grundlage der Veröffentlichung und die Endentscheidung. Die bloße Nutzung eines Tools schließt die Pflichten des Verantwortlichen nicht ab.

Müssen Kfz-Kennzeichen vor der Veröffentlichung immer unkenntlich gemacht werden?

Das lässt sich nicht immer als absolute Pflicht formulieren. In der Praxis verfolgen viele Organisationen einen vorsorglichen Ansatz und machen Kennzeichen unkenntlich, um Risiken zu reduzieren - insbesondere bei öffentlich zugänglichen Veröffentlichungen.

Führt Gallio PRO ein Anonymisierungsregister für Audit-Zwecke?

Nein. Das Register sollte vom Verantwortlichen geführt werden. Das entspricht dem Grundsatz, dass das Tool weder die Compliance-Dokumentation noch die Veröffentlichungsentscheidungen ersetzt, die auf Seiten des Verantwortlichen getroffen werden.

Erkennt das Tool automatisch alle sensiblen Elemente im Bild?

Nein. Die automatische Erkennung umfasst ausschließlich Gesichter und Kfz-Kennzeichen. Logos, Tätowierungen, Namensschilder, Dokumente und Monitorinhalte erfordern eine Bewertung sowie gegebenenfalls eine manuelle Unkenntlichmachung.

Ist eine Anonymisierungsdokumentation auch bei Marketing-Veröffentlichungen erforderlich?

Ja, wenn die Veröffentlichung erkennbare Personen oder Fahrzeuge mit sichtbaren Kennzeichen umfasst. Gerade im Marketing und in der PR muss häufig nachgewiesen werden, dass die Veröffentlichungsentscheidung bewusst getroffen und dokumentiert wurde.

Verwandte Materialien

• Videoanonymisierung mit Gallio PRO
• Kostenlose Demo herunterladen
• So erstellen Sie eine Verfahrensanweisung für den Umgang mit CCTV-Aufnahmen in der Organisation - Dokumentvorlage für den DSB
• DSB-Checkliste - was vor der Einführung eines Videoüberwachungssystems in der Organisation zu prüfen ist

Der Text wurde vom Team Gallio PRO erstellt - Spezialisten für Datenschutz und Videotechnik, die Anonymisierungssoftware für Sicherheitsanwendungen, den öffentlichen Sektor und Medien entwickeln. Das Material dient nur zu Informationszwecken und stellt keine Rechtsberatung dar.

Bauen Sie Ihre Audit-Dokumentation ab dem ersten Material auf - laden Sie die kostenlose Demo von Gallio PRO herunter →