Biometrie-Datenschutzgesetze nach Bundesstaat in den USA – Definition
Die Biometrie-Datenschutzgesetze nach Bundesstaat in den USA umfassen Gesetze und Vorschriften, die festlegen, wann und unter welchen Bedingungen biometrische Daten erhoben, verarbeitet, gespeichert, offengelegt oder gelöscht werden dürfen. Gemeint sind in der Praxis Daten, mit denen eine Person anhand physischer oder verhaltensbezogener Merkmale erkannt werden kann, etwa Gesichtsgeometrie, Fingerabdruck, Iris-Scan, Stimmprofil oder andere biometrische Identifikatoren. Für Teams, die für die Anonymisierung von Fotos und Videoaufnahmen verantwortlich sind, ist entscheidend, dass visuelles Material nicht nur dann zu biometrischen Daten werden kann, wenn es ein Gesicht zeigt, sondern dann, wenn das Gesicht zur Identifizierung oder zur Erstellung eines sogenannten Templates, also eines mathematischen biometrischen Musters, verwendet wird.
Im Zusammenhang mit Fotos und Videos sollten zwei Verarbeitungsebenen unterschieden werden. Das bloße Gesichtsbild wird nach dem Recht der Bundesstaaten nicht immer genauso behandelt wie ein biometrischer Identifikator. Die Extraktion von Gesichtsmerkmalen durch ein Computer-Vision- oder Deep-Learning-Modell, um eine Person zu erkennen, ihre Identität zu verifizieren oder ein dauerhaftes Vergleichsmuster zu erstellen, gehört jedoch in der Regel zum Bereich mit dem höchsten rechtlichen Risiko. Deshalb sollte ein System zum Verpixeln oder Unkenntlichmachen von Gesichtern möglichst früh in der Bildverarbeitungspipeline eingesetzt werden und keine biometrischen Templates erzeugen oder speichern, wenn dies für den Geschäftszweck nicht erforderlich ist.
In den USA gibt es kein landesweites Pendant zur DSGVO speziell für biometrische Daten. Am wichtigsten sind die Gesetze der einzelnen Bundesstaaten, deren Reichweite sich hinsichtlich Definitionen, Einwilligungsanforderungen, Aufbewahrungsfristen, Informationspflichten und der Möglichkeit individueller Klagen deutlich unterscheidet.
Wie Biometrie bei der Anonymisierung von Fotos und Videoaufnahmen zu verstehen ist
Für Datenschutzbeauftragte und Compliance-Teams ist die Unterscheidung zwischen Detektion und Identifizierung zentral. Die Gesichtserkennung im Sinne der Detektion dient dazu, den Gesichtsbereich im Bild zu lokalisieren, um ihn unkenntlich zu machen. Die Gesichtsidentifizierung dient dazu festzustellen, wer die betreffende Person ist. Diese Unterscheidung ist technisch und rechtlich relevant.
In der Praxis kann die Anonymisierung visuellen Materials folgende Schritte umfassen:
- Objektdetektion – das Modell lokalisiert ein Gesicht oder ein Kfz-Kennzeichen im Bild,
- Tracking über mehrere Frames – der Algorithmus verfolgt denselben Bereich in aufeinanderfolgenden Bildern,
- Maskierung – das System wendet Blur, Verpixelung oder einen anderen verdeckenden Effekt an,
- Qualitätskontrolle – ein Operator prüft, ob kein identifizierbares Detail sichtbar geblieben ist.
Um ein KI-Modell zur Gesichtserkennung im Sinne der Detektion zu entwickeln, sind Trainingsdaten und Modelltraining, meist unter Einsatz von Deep Learning, erforderlich. Ein Modell, das ausschließlich zur Erkennung und Unkenntlichmachung von Gesichtern verwendet wird, muss eine Person jedoch nicht namentlich identifizieren. Das reduziert das regulatorische Risiko. In Umgebungen mit erhöhtem Risiko empfiehlt sich eine Privacy-by-Design-Architektur – ohne Speicherung von Gesichts-Embeddings, ohne Funktionen zur Identitätserkennung und ohne sekundäre Nutzung visueller Daten zum Training von Modellen ohne gesonderte Rechtsgrundlage.
In diesem Zusammenhang dient Gallio PRO der Anonymisierung von Fotos und Aufnahmen durch automatisches Unkenntlichmachen von Gesichtern und Kfz-Kennzeichen. Die Software führt keine Anonymisierung von Video-Livestreams in Echtzeit durch und macht keine ganzen Körper unkenntlich. Andere Elemente wie Dokumente oder Bildschirminhalte können im Editor manuell verdeckt werden.
Welche US-Bundesstaaten eigene biometrische Regelungen haben
Die regulatorische Landschaft in den USA ist uneinheitlich. Einige Bundesstaaten haben eigenständige Gesetze speziell zur Biometrie verabschiedet, andere regeln diesen Bereich im Rahmen allgemeiner Verbraucherdatenschutzgesetze. Für die Risikobewertung sollten sowohl spezielle Biometriegesetze im engeren Sinne als auch allgemeine bundesstaatliche Vorschriften zu sensiblen Daten berücksichtigt werden.
Bundesstaat
Rechtsakt
Jahr
Praktische Bedeutung
Illinois
Biometric Information Privacy Act – BIPA
2008
Das strengste Gesetz. Es verlangt eine vorherige Information und eine schriftliche Einwilligung. Es erlaubt zudem ein private right of action.
Texas
Capture or Use of Biometric Identifier Act – CUBI
2009
Regelt die Erhebung biometrischer Identifikatoren zu kommerziellen Zwecken. Durchsetzung durch den Attorney General; kein allgemeines private right of action.
Washington
H.B. 1493 / RCW 19.375
2017
Regelt Enrollment und Nutzung biometrischer Identifikatoren zu kommerziellen Zwecken. Der Durchsetzungsmechanismus ist enger gefasst als bei BIPA.
Kalifornien
CCPA/CPRA
2018/2020
Biometrische Daten fallen unter die Definition von personal information und in bestimmten Fällen auch von sensitive personal information. Wichtig sind insbesondere Informationspflichten sowie Rechte auf Auskunft und Löschung.
Virginia, Colorado, Connecticut, Utah, Montana, Oregon, Delaware und weitere
Datenschutzgesetze der Bundesstaaten zum Verbraucherschutz
2021–2025
Biometrische Daten werden häufig als sensible Daten eingestuft und erfordern eine Opt-in-Einwilligung oder erhöhte Transparenz; Umfang und Ausnahmen unterscheiden sich jedoch je nach Bundesstaat.
Der Stand im Jahr 2025 zeigt einen klaren Trend: Die Zahl der Gesetze nimmt zu, und biometrische Daten werden immer häufiger als eigene Kategorie sensibler Daten hervorgehoben. Das größte Prozessrisiko besteht weiterhin in Illinois, vor allem wegen der umfangreichen Rechtsprechung und Sammelklagen.
Zentrale Unterschiede zwischen den Bundesstaaten
Die Unterschiede beschränken sich nicht auf die Definition von Biometrie. Entscheidend sind auch die operativen Pflichten. Sie bestimmen, ob ein konkreter Workflow zur Videobearbeitung mit dem Recht eines bestimmten Bundesstaats vereinbar ist.
- Umfang der Definition – einige Gesetze konzentrieren sich auf den „biometric identifier“, andere erfassen auch „biometric information“ oder aus biologischen Merkmalen generierte Daten, die der Identifizierung dienen.
- Einwilligung – Illinois verlangt eine vorherige schriftliche Einwilligung, bevor biometrische Daten erhoben oder erlangt werden. Andere Bundesstaaten sehen weniger formelle Mechanismen vor.
- Aufbewahrung und Löschung – BIPA verlangt eine öffentlich zugängliche Richtlinie zur Aufbewahrung und Vernichtung von Daten, grundsätzlich nach Erreichen des Zwecks oder innerhalb von 3 Jahren nach der letzten Interaktion, je nachdem, was früher eintritt.
- Durchsetzung – der wichtigste Unterschied betrifft das Recht auf individuelle Klage. In Illinois besteht ein private right of action. In vielen anderen Bundesstaaten liegt die Durchsetzung überwiegend bei der zuständigen Staatsbehörde.
- Verkauf und Offenlegung – einige Gesetze verbieten ausdrücklich den Verkauf biometrischer Daten oder deren Offenlegung, sofern bestimmte Voraussetzungen nicht erfüllt sind.
Compliance-Parameter für Systeme zur Videoanonymisierung
Bei der Bewertung eines Systems zum Unkenntlichmachen von Gesichtern ist nicht nur der Gesetzestext relevant, sondern auch die technischen Eigenschaften des Prozesses. Im Compliance-Umfeld sollten Parameter dokumentiert werden, die belegen, dass der Zweck des Systems die Anonymisierung und nicht die Identifizierung von Personen ist.
Parameter
Rechtliche und operative Bedeutung
Recall der Gesichtserkennung
Je höher der Recall, desto geringer das Risiko, ein nicht unkenntlich gemachtes Gesicht zu übersehen. Die Messung sollte auf einem Validierungsdatensatz erfolgen.
False-Negative-Rate
Ein nicht erkanntes Gesicht bedeutet das Risiko der Offenlegung personenbezogener Daten oder von Material, das eine spätere Identifizierung ermöglicht.
Aufbewahrung der Quelldateien
Sie sollte auf das mit dem Verarbeitungszweck und der Organisationsrichtlinie vereinbare Minimum begrenzt werden.
Speicherung von Embeddings
Wenn das System Gesichtsmuster speichert, steigt das Risiko, dass die Verarbeitung als biometrische Datenverarbeitung zur Identifizierung eingestuft wird.
On-Premise-Verarbeitung
Kann Datenübermittlungen und die Einbindung Dritter begrenzen, entbindet jedoch nicht von gesetzlichen Pflichten.
Audit Trail ohne personenbezogene Daten
Logs sollten Systemvorgänge dokumentieren, aber keine zusätzlichen biometrischen Daten festhalten.
In der Praxis ist ein Modell sicherer, bei dem das System ein Gesicht erkennt, eine Maske anwendet und nach Abschluss der Aufgabe kein biometrisches Template speichert. Ein solches Architekturmuster reduziert die Exposition gegenüber den Anforderungen der Gesetze der einzelnen Bundesstaaten.
Gesetzgebungstrend und praktische Folgen für Organisationen
Die Entwicklungsrichtung in den USA ist klar. Die Gesetzgeber der Bundesstaaten behandeln biometrische Daten zunehmend als Kategorie mit erhöhtem Schutzbedarf, insbesondere wenn die Daten durch KI für Profiling oder Identifizierung genutzt werden. Gleichzeitig wächst die Bedeutung von Entscheidungen bundesstaatlicher und föderaler Gerichte zu Fragen des Schadens, der Einwilligung sowie des Haftungsumfangs von Verantwortlichen und Technologieanbietern.
Für Organisationen, die mit Fotos und Videoaufnahmen arbeiten, ergeben sich daraus mehrere praktische Schlussfolgerungen:
- es sollte festgestellt werden, in welchen Bundesstaaten sich die auf dem Material sichtbaren Personen oder die Nutzer des Dienstes befinden,
- die normale Bildverarbeitung muss von der Erstellung biometrischer Identifikatoren klar abgegrenzt werden,
- eine Datenminimierung sollte umgesetzt werden – Gesichter und Kennzeichen möglichst früh unkenntlich machen,
- eine Richtlinie zu Aufbewahrung, Löschung und zur Bearbeitung von Betroffenenanfragen ist erforderlich,
- die Verträge mit KI-Anbietern müssen geprüft werden, wenn das Modell oder der Dienst Gesichtsmerkmale speichert.
Rechtliche Verweise und Quellen
Die folgenden Rechtsakte bilden die Grundlage für die Prüfung von Definitionen und Pflichten. Bei einer Umsetzung sollten stets der aktuelle Gesetzeswortlaut und die neueste Rechtsprechung überprüft werden.
- Illinois Biometric Information Privacy Act, 740 ILCS 14, 2008.
- Texas Business and Commerce Code, Sec. 503.001 – Capture or Use of Biometric Identifier, 2009.
- Washington H.B. 1493, kodifiziert insbesondere in RCW 19.375, 2017.
- California Consumer Privacy Act – Cal. Civ. Code § 1798.100 ff., in der Fassung der CPRA-Änderungen.
- National Conference of State Legislatures – Übersicht über die Gesetze der Bundesstaaten zu Biometrie und Datenschutz, Aktualisierungen 2024–2025.
Siehe auch
- Datenanonymisierung
- Gesichter unkenntlich machen
- Datenschutz
- KI im Datenschutz