Was ist Datenminimierung bei Videoaufnahmen?

Datenminimierung bei Videoaufnahmen – Definition

Datenminimierung bei Videoaufnahmen bedeutet, den Grundsatz der Datenminimierung auf Videoaufzeichnungen und Fotos anzuwenden, die Personen, Fahrzeuge oder andere identifizierende Merkmale enthalten. Im Datenschutzrecht ergibt sich dieser Grundsatz aus Art. 5 Abs. 1 lit. c DSGVO. Danach müssen personenbezogene Daten dem Zweck angemessen, erheblich sowie auf das für die Verarbeitung notwendige Maß beschränkt sein. Im Zusammenhang mit Videoüberwachung und der Verarbeitung audiovisueller Inhalte bedeutet das, dass der Verantwortliche sowohl den Umfang der Aufzeichnung als auch den Umfang der weiteren Weitergabe, des Exports, der Analyse und der Speicherdauer des Materials begrenzen sollte.

In der Praxis geht es nicht nur um eine kürzere Aufbewahrungsfrist von Aufnahmen. Die Datenminimierung umfasst den gesamten Lebenszyklus von Videodaten: das Sichtfeld der Kamera, die Auflösung, die Anzahl der Kameras, die Aufnahmefrequenz, den Tonumfang, die Auswahl der an Dritte weitergegebenen Frames sowie Anonymisierungstechniken. Wenn sich der Zweck erreichen lässt, ohne alle auf der Aufnahme sichtbaren Personen zu identifizieren, sollte das Material auf den notwendigen Ausschnitt beschränkt oder anonymisiert werden, insbesondere durch das Verpixeln oder Unkenntlichmachen von Gesichtern und Kfz-Kennzeichen. Diese Ausrichtung folgt aus der DSGVO, den Leitlinien 3/2019 des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte in der am 29. Januar 2020 angenommenen Fassung sowie aus der Praxis der Aufsichtsbehörden.

Wie der Grundsatz der Datenminimierung in der Videoüberwachung funktioniert

In der Videoüberwachung bedeutet Datenminimierung, Daten bereits bei der Planung des Systems und später bei der Nutzung der Aufnahmen zu beschränken. Dieser Ansatz entspricht Art. 25 DSGVO, also den Grundsätzen Privacy by Design und Privacy by Default. Der Verantwortliche sollte bewerten, welche Informationen für den jeweiligen Zweck tatsächlich erforderlich sind, etwa zum Schutz von Eigentum, zur Aufklärung eines Vorfalls oder zur Erfüllung einer rechtlichen Verpflichtung.

In der Praxis betrifft die Datenminimierung mehrere Ebenen gleichzeitig:

• den Bildausschnitt – die Kamera sollte keinen größeren Bereich erfassen als nötig, insbesondere nicht ohne Rechtfertigung öffentliche Bereiche oder Grundstücke Dritter,
• den Umfang der Identifizierung – wenn für den Zweck nicht die Identifizierung aller Personen erforderlich ist, sollte die Sichtbarkeit identifizierender Merkmale eingeschränkt werden,
• den zeitlichen Umfang – Aufzeichnungen sollten nur so lange gespeichert werden, wie es zur Erreichung des Zwecks notwendig ist,
• den Umfang der Weitergabe – berechtigten Personen sollte nur der erforderliche Ausschnitt des Materials und nicht das gesamte Archiv übermittelt werden.

Bei Anträgen auf Sicherung oder Herausgabe von Aufnahmen ist besonders wichtig, dass das Material in einer minimierten Fassung bereitgestellt wird. Sind auf der Aufnahme unbeteiligte Personen oder nicht verfahrensrelevante Fahrzeuge zu sehen, sollten deren Gesichter und Kfz-Kennzeichen unkenntlich gemacht werden, sofern deren Identifizierung nicht erforderlich ist.

Wann die Anonymisierung von Videoaufnahmen verpflichtend ist

Die Anonymisierung ist nicht in jedem Fall der Verarbeitung von Videomaterial verpflichtend. Sie wird jedoch notwendig, wenn die weitere Nutzung der Aufnahme über den ursprünglichen, erforderlichen Umfang hinausgeht oder wenn das Material an eine Stelle weitergegeben werden soll, die keine vollständige Identifizierung aller im Bild sichtbaren Personen benötigt. Das betrifft zum Beispiel die Veröffentlichung von Material, die Weitergabe von Aufnahmen an Dritte, die Nutzung zu Schulungs- oder Präsentationszwecken sowie die Erfüllung von Betroffenenrechten, wenn die Aufnahme auch andere Personen zeigt.

In Bezug auf Gesichter ergibt sich die Schutzpflicht grundsätzlich aus der DSGVO, aber auch aus Vorschriften zum Persönlichkeitsrecht und zur Verbreitung von Bildnissen. In der Praxis werden drei wesentliche Ausnahmen anerkannt, in denen eine Einwilligung zur Veröffentlichung eines Bildnisses unter Umständen nicht erforderlich ist:

• wenn es sich um eine Person des öffentlichen Lebens handelt und das Bild im Zusammenhang mit der Ausübung öffentlicher Funktionen aufgenommen wurde,
• wenn die Person nur als Beiwerk neben einer Landschaft, einer sonstigen Örtlichkeit, einer Versammlung oder einer öffentlichen Veranstaltung erscheint,
• wenn es sich um eine Person handelt, die für das Posieren eine vereinbarte Vergütung erhalten hat, sofern nichts anderes ausdrücklich vorbehalten wurde.

Bei Kfz-Kennzeichen ist die Rechtslage in Polen nicht vollständig einheitlich. Einerseits weisen die Leitlinien der polnischen Datenschutzbehörde UODO, die Positionen des EDSA sowie die Rechtsprechung des EuGH darauf hin, dass ein Kennzeichen zur Identifizierung einer Person führen kann und daher mit Vorsicht zu behandeln ist. Andererseits findet sich in der verwaltungsgerichtlichen Rechtsprechung auch die Auffassung, dass ein Kennzeichen für sich genommen nicht immer ein personenbezogenes Datum darstellt. In der Praxis ist das Unkenntlichmachen von Kennzeichen bei Veröffentlichung oder Weitergabe von Material eine vorsorgliche Lösung, die dem Ansatz vieler Aufsichtsbehörden entspricht.

Technologien zur Datenminimierung bei Videoaufnahmen

Bei Fotos und Videos wird die Datenminimierung durch Auswahl, Zuschneiden, Kürzen und Anonymisierung umgesetzt. In operativen Anwendungen werden meist Algorithmen zur Erkennung von Gesichtern und Kfz-Kennzeichen eingesetzt, gefolgt von Maskierungsfiltern. Wenn der Prozess in großem Maßstab automatisiert werden soll, kommen in der Regel Modelle des maschinellen Lernens zum Einsatz, häufig auf Basis von Deep Learning. Ein solches Modell wird zunächst mit gekennzeichneten Datensätzen trainiert und anschließend zur Erkennung von Objekten in neuen Aufnahmen verwendet.

Es ist sinnvoll, die technischen Schritte zu unterscheiden:

• Detektion – Erkennung der Position eines Gesichts oder eines Kfz-Kennzeichens im Bild,
• Tracking – Aufrechterhaltung der Objektzuordnung über aufeinanderfolgende Frames hinweg,
• Maskierung – Anwendung von Unschärfe, Pixelierung oder einer anderen Maske,
• Verifikation – Kontrolle, ob das Objekt nach dem Export des Materials nicht mehr sichtbar ist.

Gallio PRO macht automatisch ausschließlich Gesichter und Kfz-Kennzeichen unkenntlich. Die Software erkennt Logos, Tätowierungen, Ausweise, Dokumente oder Inhalte auf Monitorbildschirmen nicht automatisch. Solche Elemente können im Editor manuell unkenntlich gemacht werden. Wichtig ist außerdem, dass Gallio PRO keine Anonymisierung in Echtzeit und keine Anonymisierung von Videostreams durchführt. Es handelt sich um eine Dateiverarbeitung nach der Aufzeichnung im On-Premise-Modell. Je nach Konfiguration der Umgebung und Art der Implementierung kann die Software jedoch technische Logs erzeugen.

Wichtige Parameter und Kennzahlen für die Datenminimierung bei Videoaufnahmen

Um zu bewerten, ob ein Prozess der Datenminimierung korrekt funktioniert, sind messbare Parameter erforderlich. In Systemen zur Anonymisierung von Videomaterial zählen nicht nur die Erkennungsleistung, sondern auch die Anzahl übersehener Objekte und der Einfluss auf die Beweis- und Nutzbarkeit der Aufnahme.

Für die Risikobewertung kann eine einfache operative Formel verwendet werden:

Risiko der Offenlegung = Anzahl nicht erkannter Objekte / Anzahl aller identifizierenden Objekte

Im Compliance-Umfeld ist ein niedriger Wert bei den False Negatives besonders wichtig, weil bereits ein einziges nicht erkanntes Gesicht oder Kennzeichen eine unbefugte Offenlegung personenbezogener Daten bedeuten kann.

Praktische Anwendungen der Datenminimierung bei Videoaufnahmen

Der Grundsatz der Datenminimierung ist vor allem dort relevant, wo eine Aufnahme die ursprüngliche Überwachungsumgebung verlässt oder von Personen analysiert wird, die kein vollständiges Bild des Geschehens benötigen. In solchen Situationen wird die Anonymisierung zu einem Instrument, um den Datenumfang zu begrenzen, ohne den Zweck der Verarbeitung zu verlieren.

• Bearbeitung von Anträgen auf Zugang zu Aufnahmen – es wird ausschließlich der die antragstellende Person betreffende Ausschnitt mit unkenntlich gemachten Dritten übermittelt,
• Weitergabe von Material an Bevollmächtigte, Versicherer oder Subunternehmer – nur in dem für den jeweiligen Fall notwendigen Umfang,
• Schulungs- und Auditmaterialien – nach Anonymisierung von Gesichtern und Kfz-Kennzeichen,
• Veröffentlichung von Fotos oder Videos aus halböffentlichen Räumen – nach vorheriger Begrenzung identifizierender Merkmale.

Normative und interpretative Bezüge

Die rechtliche Grundlage für die Datenminimierung bei Videoaufnahmen bilden vor allem Rechtsakte und Leitlinien zum Datenschutz und zur Privatsphäre bei der Videoüberwachung. Bei Abweichungen sind der Zweck der Verarbeitung, die Möglichkeit der Identifizierung sowie die lokale Praxis der Aufsichtsbehörde zu bewerten.

• Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 – Art. 5 Abs. 1 lit. c und Art. 25,
• EDSA-Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, angenommene Fassung vom 29. Januar 2020,
• EuGH-Rechtsprechung zum weiten Verständnis von Daten, die eine mittelbare Identifizierung ermöglichen,
• nationale Positionen von Aufsichtsbehörden, darunter der UODO, zur Veröffentlichung von Aufnahmen und zum Schutz von Bildnissen sowie Kfz-Kennzeichen.