Schwärzung von CCTV-Aufnahmen - Definition
Die Schwärzung von CCTV-Aufnahmen ist der technische Prozess, personenbezogene Daten, die auf Videoüberwachungsaufnahmen sichtbar sind, vor der Weitergabe, dem Export, der Analyse oder der sekundären Archivierung zu verdecken. In der Praxis betrifft das vor allem Gesichter und Kfz-Kennzeichen, weil gerade diese Elemente häufig eine direkte oder indirekte Identifizierung einer natürlichen Person ermöglichen. Im Datenschutzkontext geht es dabei nicht um eine ästhetische Retusche, sondern um die Reduzierung der Identifizierbarkeit im Videomaterial oder in einzelnen Bildframes.
Aus Sicht der DSGVO kann eine CCTV-Aufnahme mit einem erkennbaren Bild einer Person personenbezogene Daten darstellen, wenn diese Person identifizierbar ist. Das ergibt sich aus Art. 4 Nr. 1 der Verordnung (EU) 2016/679 sowie aus der Rechtsprechung des EuGH, insbesondere aus der Rechtssache C-212/13 Ryneš, in der Videoüberwachung als Verarbeitung personenbezogener Daten eingestuft wurde. Die Bearbeitung des Materials selbst ist keine eigenständige Ausnahme von den Pflichten des Verantwortlichen, sondern eine technische Maßnahme zur Unterstützung der Grundsätze der Datenminimierung, Zweckbindung sowie Integrität und Vertraulichkeit nach Art. 5 DSGVO.
In der Praxis bedeutet die Schwärzung von CCTV-Aufnahmen meist das Verpixeln, Weichzeichnen, Maskieren oder dauerhafte Abdecken ausgewählter Bildbereiche in allen Frames, in denen das betreffende Objekt vorkommt. Soll die Schwärzung das Identifizierungsrisiko wirksam reduzieren, muss sie über die Zeit hinweg konsistent erfolgen - auch bei Änderungen von Position, Größe, Blickwinkel und Beleuchtung.
Die Rolle der Schwärzung von CCTV-Aufnahmen für die DSGVO-Konformität
Die Schwärzung von Videoüberwachungsaufnahmen ist besonders wichtig, wenn der Verantwortliche Material an Dritte, Auftragsverarbeiter, Versicherer, Rechtsbevollmächtigte oder Behörden weitergibt, die nicht den vollständigen Datenumfang benötigen. In solchen Fällen sollte der Umfang der offengelegten Informationen dem Zweck angemessen sein. Das ist eine praktische Anwendung des Grundsatzes der Datenminimierung.
In Bezug auf Gesichter ergibt sich die Pflicht zur vorsichtigen Weitergabe nicht nur aus der DSGVO, sondern auch aus Vorschriften zum Schutz des Persönlichkeitsrechts und aus Regeln zur Verbreitung von Bildnissen. Grundsätzlich sollte das Bild einer Person unkenntlich gemacht werden, bevor eine Aufnahme an eine Stelle übermittelt wird, die die Identität aller im Bild sichtbaren Personen nicht kennen muss. Ausnahmen sind begrenzt und betreffen vor allem Personen des öffentlichen Lebens im Zusammenhang mit der Ausübung öffentlicher Funktionen, Abbildungen als Beiwerk eines größeren Ganzen sowie Fälle, in denen die Person eine vereinbarte Vergütung für das Posieren erhalten hat.
Bei Kfz-Kennzeichen ist die Rechtslage in Polen nicht vollständig einheitlich. Leitlinien von Datenschutzbehörden und die europäische Praxis tendieren dazu, Kennzeichen als Information zu behandeln, die zu einer Identifizierung führen kann. Andererseits gibt es in der polnischen Rechtsprechung auch die Ansicht, dass ein Kennzeichen für sich genommen nicht immer personenbezogene Daten darstellt. Der Verantwortliche sollte daher stets den Kontext, den Zweck der Weitergabe und das Identifizierungsrisiko bewerten und bei der Übermittlung von Material außerhalb der eigenen Organisation einen vorsichtigen Ansatz wählen.
Wie die Schwärzung von CCTV-Aufnahmen technisch funktioniert
Eine wirksame Schwärzung von CCTV-Aufnahmen erfordert die Kombination aus Objekterkennung, Tracking über mehrere Frames hinweg und dem dauerhaften Aufbringen einer Maske auf das Ausgabematerial. In modernen Systemen erfolgt die Erkennung von Gesichtern und Kennzeichen in der Regel mithilfe von Deep-Learning-Modellen. Ein neuronales Netz wird zunächst auf passend annotierten Datensätzen trainiert und anschließend für die Inferenz genutzt, also zur automatischen Markierung der Bereiche, die in einer konkreten Aufnahme unkenntlich gemacht werden sollen.
Für CCTV-Material ist entscheidend, dass ein reiner Detektor nicht ausreicht. Zusätzlich werden Mechanismen zum Objekt-Tracking zwischen den Frames benötigt, denn ein Gesicht oder ein Kennzeichen kann teilweise verdeckt, gedreht, durch Bewegung unscharf oder nur für den Bruchteil einer Sekunde sichtbar sein. Ein Fehler in nur einem einzelnen Frame kann bereits zur Offenlegung personenbezogener Daten führen.
- Detektion - Lokalisierung eines Gesichts oder Kennzeichens im Frame.
- Tracking - Aufrechterhaltung der Objektidentifikation in aufeinanderfolgenden Frames.
- Rendering der Schwärzung - Anwendung von Maske, Blur, Verpixelung oder Blackout.
- Export - Speicherung der Ausgabedatei, ohne dass die verdeckten Daten leicht wiederhergestellt werden können.
Gallio PRO verwischt automatisch Gesichter und Kfz-Kennzeichen in Videos und auf Bildern. Es führt keine Anonymisierung in Echtzeit und keine Anonymisierung von Videostreams durch. Ganze Körper, Logos, Tätowierungen, Namensschilder, Dokumente oder Bildinhalte auf Monitoren werden nicht automatisch unkenntlich gemacht. Solche Elemente können mit dem integrierten Editor manuell verdeckt werden.
Wichtige Parameter und Kennzahlen für die Schwärzung von CCTV-Aufnahmen
Die Bewertung der Qualität einer Schwärzung sollte sich nicht darauf beschränken festzustellen, dass ein Material unkenntlich gemacht wurde. Erforderlich sind messbare Parameter, mit denen sich das Risiko von Auslassungen sowie die Nutzbarkeit des operativen Prozesses beurteilen lassen.
Parameter | Bedeutung | Praktische Auswirkung
|
|---|---|---|
Recall | Anteil der tatsächlich vorhandenen Gesichter oder Kennzeichen, die vom System erkannt wurden | Ein niedriger Recall erhöht das Risiko der Datenoffenlegung |
Precision | Anteil korrekter Erkennungen an allen Erkennungen | Eine niedrige Precision erhöht die Zahl fehlerhafter Masken |
Frame Coverage | Prozentsatz der Frames, in denen das Objekt korrekt maskiert wurde | Besonders wichtig bei Material mit Bewegung und wechselndem Bildausschnitt |
Verarbeitungslatenz | Zeit, die für Analyse und Export des Materials benötigt wird | Beeinflusst die Bearbeitung von Anfragen und die Einhaltung von Fristen |
Manual Review Rate | Umfang des Materials, der eine manuelle Prüfung erfordert | Wirkt sich auf Kosten und Arbeitsorganisation aus |
Bei der Risikobewertung ist zwischen False Negative und False Positive zu unterscheiden. Aus Compliance-Sicht ist ein False Negative kritischer, also der Fall, dass ein Gesicht oder Kennzeichen nicht erkannt wird. False Positives mindern zwar die praktische Nutzbarkeit des Materials, führen aber in der Regel nicht zu einer Verletzung der Vertraulichkeit.
Herausforderungen und Grenzen der Schwärzung von CCTV-Aufnahmen
Videoüberwachungsaufnahmen haben oft eine geringere Qualität als Studiomaterial. Hinzu kommen Kompression, schlechte Lichtverhältnisse, Reflexionen, Verdeckungen und ungewöhnliche Blickwinkel. Das wirkt sich unmittelbar auf die Qualität der Erkennung und auf die Stabilität des Objekt-Trackings aus. Deshalb sollte die automatische Schwärzung durch eine menschliche Kontrolle ergänzt werden, insbesondere bevor Material an externe Stellen weitergegeben wird.
Wichtig ist auch die Unterscheidung zwischen Anonymisierung und Pseudonymisierung. Wenn Daten wiederhergestellt werden können oder eine reale Möglichkeit der Re-Identifizierung anhand des Szenenkontexts, der Kleidung, der Zeit und des Ortes besteht, spricht man eher von einer Reduzierung der Datenexposition als von einer vollständigen Anonymisierung. Europäische Leitlinien betonen, dass die Bewertung alle vernünftigerweise wahrscheinlichen Identifizierungsmethoden berücksichtigen muss.
Praktische Anwendungsfälle der Schwärzung von CCTV-Aufnahmen
Das häufigste Einsatzszenario ist die Erstellung einer Kopie der Aufnahme für eine Person, die einen Vorfall meldet oder ihre Rechte als betroffene Person ausübt. Der Verantwortliche sollte dann nur den Bildausschnitt und Datenumfang übermitteln, die hierfür erforderlich sind. Wenn auf der Aufnahme unbeteiligte Personen oder Fahrzeuge zu sehen sind, sollten ihre Gesichter und Kennzeichen unkenntlich gemacht werden.
Ein weiterer typischer Fall ist die Weitergabe des Materials an eine Kanzlei, einen Auditor, einen Versicherer oder einen Geschäftspartner. Die Schwärzung begrenzt in solchen Fällen die übermäßige Offenlegung von Daten und unterstützt das Need-to-know-Prinzip. In vielen Organisationen ist dies ein Standardbestandteil der Verfahren zur Informationssicherheit.
Normative Bezüge und Quellen
Die Bedeutung der Schwärzung von CCTV-Aufnahmen sollte auf Grundlage von Rechtsvorschriften und Leitlinien beurteilt werden und nicht allein auf Basis technischer Praxis. Die wichtigsten Quellen sind Unionsrecht, Rechtsprechung und Stellungnahmen der Aufsichtsbehörden.
- Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 - Art. 4, 5, 25, 32.
- EuGH, C-212/13, František Ryneš gegen Úřad pro ochranu osobních údajů, Urteil vom 11. Dezember 2014.
- EDSA, Guidelines 3/2019 on processing of personal data through video devices, nach der Konsultation angenommene Fassung vom 29. Januar 2020.
- Artikel-29-Datenschutzgruppe, Opinion 05/2014 on Anonymisation Techniques, 10. April 2014.
- Stellungnahmen der polnischen Datenschutzbehörde UODO zur Weitergabe von Videoüberwachungsaufnahmen.
- Polnische verwaltungsgerichtliche Rechtsprechung zur Einordnung von Kfz-Kennzeichen als personenbezogene Daten - unter Hinweis auf bestehende Auslegungsunterschiede.
In der Praxis sollte der Verantwortliche die Rechtsgrundlage der Weitergabe, den Umfang der Schwärzung, die freigebende Person sowie die Frage dokumentieren, ob das System Protokolle speichert, die personenbezogene Daten aus der Gesichts- und Kennzeichenerkennung enthalten. Ein solches Modell reduziert das Risiko einer sekundären Datenverarbeitung bereits während des Anonymisierungsprozesses.