Datenschutz bei der automatischen Kennzeichenerkennung – Definition
Datenschutz bei der automatischen Kennzeichenerkennung bezeichnet die Datenschutzgrundsätze, die bei der automatisierten Erkennung von Kfz-Kennzeichen angewendet werden, auch bekannt unter den Abkürzungen ALPR oder ANPR. In der Praxis geht es darum, wann das Bild eines Kennzeichens auf einem Foto oder in einer Videoaufnahme zu einem personenbezogenen Datum werden kann, welche Verarbeitungsschritte an einem solchen Bild als Verarbeitung personenbezogener Daten gelten und welche technischen und organisatorischen Maßnahmen umgesetzt werden müssen, um das Risiko einer Verletzung der Rechte natürlicher Personen zu begrenzen.
Im Kontext der Anonymisierung von Fotos und Videos bezieht sich der Datenschutz bei ALPR nicht nur auf das Auslesen der Zeichen auf dem Kennzeichen. Er umfasst die gesamte Verarbeitungskette des Bildmaterials – von der Erfassung des Materials über die Kennzeichendetektion, die Lokalisierung des Bereichs, eine eventuelle OCR-Erkennung, die Speicherung von Metadaten, die Weitergabe des Materials bis hin zu dessen Veröffentlichung. Wenn ein Kennzeichen eine Person direkt oder indirekt identifizierbar macht, unterliegen diese Daten den Vorgaben der DSGVO gemäß der Verordnung (EU) 2016/679. Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. In vielen Fällen identifiziert ein Kennzeichen für sich genommen eine Person nicht öffentlich, kann aber in Verbindung mit anderen Datenquellen zu einer Identifizierung führen.
Genau deshalb wird der Schutz der Privatsphäre in ALPR-Systemen kontextbezogen bewertet. Der Europäische Datenschutzausschuss weist darauf hin, dass die Identifizierbarkeit unter Berücksichtigung der Mittel zu beurteilen ist, die vernünftigerweise zur Identifizierung eingesetzt werden können. Auch die Rechtsprechung des EuGH legt den Begriff personenbezogener Daten weit aus, wenn eine reale Möglichkeit besteht, Informationen mit einer konkreten Person zu verknüpfen. In Polen bestehen dabei unterschiedliche Auslegungen. Einerseits neigen die polnische Datenschutzbehörde, der EDSA und die Compliance-Praxis dazu, Kennzeichen in vielen Veröffentlichungs- und Weitergabeprozessen vorsorglich als personenbezogene Daten zu behandeln. Andererseits wurde in Teilen der verwaltungsgerichtlichen Rechtsprechung angenommen, dass ein Kennzeichen nicht immer ein personenbezogenes Datum darstellt. Aus Compliance-Sicht ist ein risikobasierter Ansatz nach dem Prinzip Privacy by Design die sicherere Lösung.
Wann ALPR zur Verarbeitung personenbezogener Daten wird
In Foto- und Videosystemen führt die bloße Erkennung eines Kennzeichens noch nicht automatisch zu rechtlichen Pflichten. Maßgeblich sind der Zweck der Verarbeitung, die Möglichkeit der Identifizierung einer Person und der Umfang der weiteren Verarbeitungsschritte. Wird das Material archiviert, indexiert, durchsucht oder veröffentlicht, steigt das rechtliche Risiko.
Typische Situationen, in denen ALPR als Verarbeitung personenbezogener Daten zu behandeln ist, sind:
- die Verknüpfung eines Kennzeichens mit Datum, Standort und einer Fahrzeugaufnahme,
- die Weitergabe des Materials an Dritte,
- die Veröffentlichung von Fotos oder Videos im Internet ohne Unkenntlichmachung der Kennzeichen,
- die Erstellung durchsuchbarer Datenbanken nach Kennzeichen,
- die Zuordnung des Kennzeichens zu einem Halter, Fahrer, Mitarbeiter oder Kunden,
- der Einsatz von Überwachungssystemen zur Bewertung des Verhaltens natürlicher Personen.
Benötigt der Verantwortliche das Kennzeichen nicht zur Erreichung des Zwecks der Veröffentlichung oder Analyse des Materials, ist die Anonymisierung oder Pseudonymisierung eine übliche Maßnahme zur Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.
Die Rolle der Kennzeichen-Anonymisierung beim Datenschutz in ALPR
In der Datenschutzpraxis ist die dauerhaft wirksamste Maßnahme zur Risikobegrenzung, die Kennzeichennummer vor der Veröffentlichung, dem Export oder der weiteren Verbreitung des Materials unkenntlich zu machen. Bei Bildern und Videos erfolgt dies in der Regel durch das Verpixeln oder Verwischen von Kfz-Kennzeichen. Dabei handelt es sich um eine technische Maßnahme auf Dateiebene und nicht nur in einer Textdatenbank mit OCR-Auslesungen.
In Lösungen zur Anonymisierung von Fotos und Videoaufnahmen wird üblicherweise folgende Pipeline eingesetzt:
- Erkennung des Kennzeichenbereichs im Bildframe,
- Verfolgung des Objekts zwischen den Frames in Videomaterial,
- Aufbringen einer Unschärfe- oder Pixelmaske,
- Prüfung der Korrektheit und manuelle Nachbearbeitung,
- Export des Materials mit verborgenem Kennzeichen.
Soll die Erkennung auf unterschiedlichstem Material automatisch funktionieren, ist in der Regel ein KI-Modell erforderlich, das auf passend annotierten Bilddaten trainiert wurde. In der Praxis kommen dafür Deep-Learning-Modelle zur Objekterkennung zum Einsatz. Das Modell anonymisiert nicht von selbst. Es muss zunächst entwickelt und trainiert werden und kann erst danach zur Lokalisierung von Kennzeichen verwendet werden, die anschließend durch ein Anonymisierungsmodul unkenntlich gemacht werden.
Gallio PRO macht Gesichter und Kfz-Kennzeichen in Fotos und Videoaufnahmen automatisch unkenntlich. Die Software führt keine Anonymisierung in Echtzeit und keine Anonymisierung von Videostreams durch. Logos, Tätowierungen, Namensschilder, Dokumente oder Bildschirminhalte werden nicht automatisch erkannt. Solche Elemente können im integrierten Editor manuell verdeckt werden.
Technologien für den Datenschutz bei der automatischen Kennzeichenerkennung
Für den Schutz der Privatsphäre reicht OCR allein nicht aus. Entscheidend sind die präzise Lokalisierung des Kennzeichens im Bild und die stabile Maskierung über aufeinanderfolgende Frames hinweg. In diesem Bereich zählen sowohl Methoden des Computer Vision als auch die operativen Parameter des Systems.
Ebene
Funktion
Bedeutung für den Datenschutz
Objekterkennung
Ermittlung der Position des Kennzeichens
Ohne diese Ebene kann keine Maske automatisch aufgebracht werden
Tracking
Verfolgung des Kennzeichens zwischen Frames
Reduziert das Risiko, dass die Nummer in einzelnen Frames sichtbar bleibt
OCR
Zeichenerkennung
Kann den Datenumfang erhöhen und erfordert daher eine Rechtsgrundlage sowie eine Zweckbegrenzung
Maskierung
Unschärfe, Verpixelung oder Abdeckung
Schützt Material, das zur Veröffentlichung oder Weitergabe bestimmt ist
Manuelle Validierung
Kontrolle von Erkennungsfehlern
Verringert die Zahl der False Negatives, also nicht unkenntlich gemachter Kennzeichen
Wichtige Parameter und Metriken für den Datenschutz bei ALPR
Die Bewertung der Compliance sollte sich nicht nur auf Herstellerangaben stützen. Bei der Kennzeichen-Anonymisierung müssen die Erkennungsleistung und das Risiko gemessen werden, dass ein Identifikator im Material sichtbar bleibt. Für Datenschutzbeauftragte sind insbesondere die Metriken relevant, die mit Systemfehlern zusammenhängen.
Metrik
Praktische Bedeutung
Recall
Welcher Anteil aller Kennzeichen erkannt und unkenntlich gemacht wurde
Precision
Wie häufig das System tatsächlich ein Kennzeichen und nicht ein anderes Objekt markiert
False Negatives
Anzahl der nicht erkannten Kennzeichen – das ist das wichtigste Risiko für die Privatsphäre
Verarbeitungslatenz
Zeit, die für die Analyse des Materials benötigt wird, besonders relevant bei großen Datenmengen
Coverage per Frame
Ob das Kennzeichen in jedem Frame einer Sequenz unkenntlich bleibt
In Videomaterial kann bereits ein einzelner False Negative bedeuten, dass die Nummer in einem oder mehreren Frames offengelegt wird. Im Hinblick auf eine Veröffentlichung ist das weiterhin ein qualitätsrelevanter Vorfall. Deshalb umfassen bewährte Verfahren Kontrollstichproben, Tests unter unterschiedlichen Lichtbedingungen und eine manuelle Prüfung von Material mit hohem Risiko.
Rechtliche und normative Anforderungen an den Datenschutz bei ALPR
Grundlage der Compliance-Bewertung in Europa ist die DSGVO, insbesondere Art. 5, Art. 6, Art. 25 und Art. 32 der Verordnung (EU) 2016/679. Für Systeme mit hohem Risiko ist das Prinzip Privacy by Design und Privacy by Default besonders relevant. Der Verantwortliche sollte nachweisen können, dass der Datenumfang auf den Zweck beschränkt ist und dass dem Risiko angemessene Sicherheitsmaßnahmen umgesetzt wurden.
Zusätzlich sollten folgende Quellen berücksichtigt werden:
- Verordnung (EU) 2016/679 – DSGVO, 2016, Europäisches Parlament und Rat,
- EDSA-Leitlinien 4/2019 zum Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen, angenommene Fassung von 2020,
- EDSA-Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, angenommen 2020,
- ISO/IEC 27701:2019 – Erweiterung des Informationsmanagementsystems um das Management von Datenschutzinformationen,
- ISO/IEC 27001:2022 – Managementsystem für Informationssicherheit.
In vielen europäischen Ländern gilt das Unkenntlichmachen von Kfz-Kennzeichen bei der Veröffentlichung von Material als weithin empfohlene Maßnahme durch Behördenpraxis, nationales Recht oder die Anwendung unionsrechtlicher Grundsätze. In Polen ist die Lage auf Ebene eines Teils der Rechtsprechung weniger eindeutig, aus Sicht der Compliance bleibt das vorsorgliche Unkenntlichmachen von Kennzeichen jedoch die sicherste Lösung.
Herausforderungen und Grenzen beim Datenschutz in ALPR
Das größte Problem ist nicht die Verfügbarkeit von KI-Modellen selbst, sondern die Variabilität des Eingangsmaterials. Kennzeichen sind oft teilweise verdeckt, überbelichtet, verschmutzt oder in einem Winkel aufgenommen. Unter solchen Bedingungen sinkt die Erkennungsgenauigkeit und das Risiko einer Offenlegung personenbezogener Daten steigt.
Typische Einschränkungen sind:
- geringere Erkennungsleistung bei Nachtaufnahmen und niedriger Auflösung,
- Fehler bei Aufnahmen mit starker Bewegung, Reflexionen und Komprimierung,
- Unterschiede zwischen Kennzeichenformaten in verschiedenen Ländern,
- der Bedarf an manueller Validierung bei Beweis- oder Veröffentlichungsmaterial,
- das Risiko einer Re-Identifizierung durch Verknüpfung mit anderen Metadaten.
Praktischer Anwendungskontext des Datenschutzes bei ALPR
Für Datenschutzbeauftragte ist die klare Trennung zwischen zwei Prozessen entscheidend: der operativen Analyse und der Veröffentlichung von Material. Im ersten Fall kann eine Rechtsgrundlage für die Verarbeitung von Kennzeichen bestehen. Im zweiten Fall ist es häufig nicht erforderlich, Kennzeichen gegenüber externen Empfängern offenzulegen. Dann ist die Anonymisierung des Bildmaterials vor dem Export die geeignete Maßnahme.
In der Praxis sollte das Verfahren eine Zweckklassifizierung, eine Risikobewertung, einen Wirksamkeitstest des Tools sowie die Zugriffskontrolle auf das Ausgangsmaterial umfassen. Wichtig ist auch die Begrenzung von Protokolldaten. Gallio PRO gibt an, in den Logs keine Ergebnisse der Gesichts- und Kennzeichenerkennung und keine anderen personenbezogenen Daten zu speichern. Das ist im Hinblick auf Datenminimierung und Sicherheit der Verarbeitung von Bedeutung.
Siehe auch
- Datenanonymisierung
- Kfz-Kennzeichen unkenntlich machen
- DSGVO-Konformität
- Datensicherheit