Was ist ein DSAR – Videoaufnahmen?

DSAR – Videoaufnahmen: Definition

Ein DSAR (Data Subject Access Request), auf Deutsch Auskunftsantrag der betroffenen Person, ist ein Antrag auf Zugang zu personenbezogenen Daten, die von einem Verantwortlichen verarbeitet werden. Im Zusammenhang mit Videoaufnahmen geht es um den Fall, dass eine Person die Bestätigung verlangt, ob ihr Bild oder andere identifizierende Daten auf Videomaterial erfasst wurden, und anschließend Zugang zu diesen Daten im gesetzlich vorgesehenen Umfang fordert. Rechtsgrundlage ist Art. 15 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016, also die DSGVO.

In der Praxis bedeutet ein DSAR in Bezug auf Videoaufnahmen nicht automatisch die Herausgabe der gesamten Originaldatei. Der Verantwortliche muss das Auskunftsrecht der antragstellenden Person mit den Rechten und Freiheiten anderer auf der Aufnahme sichtbarer Personen in Einklang bringen. Dies ergibt sich unmittelbar aus Art. 15 Abs. 4 DSGVO. Deshalb erfordert das als Antwort auf den Antrag bereitgestellte Material in der Regel eine bearbeitete Version, in der auf Dritte bezogene Elemente anonymisiert wurden – vor allem durch das Verpixeln oder Unkenntlichmachen von Gesichtern und häufig auch von Kfz-Kennzeichen.

Im Bereich Foto und Video umfasst ein DSAR daher nicht nur die Prüfung der Rechtsgrundlage, sondern auch die technische Aufbereitung des Materials. Enthält eine Aufnahme viele Personen, erfordert die ordnungsgemäße Bearbeitung des Antrags die Erkennung identifizierender Objekte, deren Verfolgung über einzelne Frames hinweg und das dauerhafte Verbergen jener Bildbereiche, die dem Empfänger der Auskunft nicht offengelegt werden dürfen.

Wie ist ein DSAR bei der Anonymisierung von Videoaufnahmen zu verstehen?

Bei Aufnahmen aus der Videoüberwachung, von mobilen Kameras, Bodycams oder Dashcams ist entscheidend, dass bereits das bloße Erscheinungsbild einer Person ein personenbezogenes Datum darstellen kann, wenn die Person dadurch direkt oder indirekt identifiziert werden kann. Diese Sichtweise wird von Datenschutzbehörden und der europäischen Rechtsprechung vertreten. Ist eine Person auf dem Material erkennbar, muss der Verantwortliche daher bewerten, in welchem Umfang eine Kopie der Videoaufnahme übermittelt werden kann, ohne die Rechte anderer Personen zu verletzen.

In der Praxis lässt sich die Bearbeitung eines DSAR für eine Videoaufnahme auf drei Schritte reduzieren. Zunächst muss der relevante Ausschnitt des Materials gefunden werden. Danach ist zu bestätigen, dass der Antragsteller tatsächlich auf der Aufnahme zu sehen ist, soweit dies für die Bearbeitung des Antrags erforderlich und verhältnismäßig ist. Der letzte Schritt besteht in der Erstellung einer zur Herausgabe bestimmten Kopie, in der personenbezogene Daten Dritter in der Regel unkenntlich gemacht wurden.

• Umfang der Identifizierung – Gesicht, Körpergestalt, Orts- und Zeitkontext, Kfz-Kennzeichen, Merkmale der Kleidung.
• Umfang des Schutzes – in erster Linie die Gesichter anderer Personen, je nach Kontext aber auch Kfz-Kennzeichen und andere Identifikatoren.
• Form der Antwort – Kopie der Videoaufnahme, extrahierte Einzelbilder oder eine Beschreibung der Daten, abhängig von Verhältnismäßigkeit und Risiko.
• Einschränkung – die Rechte und Freiheiten anderer Personen dürfen durch die Offenlegung des vollständigen Materials nicht beeinträchtigt werden.

Prozess der Bearbeitung eines DSAR für Videomaterial

Die Bearbeitung eines Auskunftsantrags erfordert einen dokumentierten Prozess. Die reguläre Frist beträgt grundsätzlich 1 Monat ab Eingang des Antrags gemäß Art. 12 Abs. 3 DSGVO. In komplexen Fällen kann sie um weitere 2 Monate verlängert werden, allerdings muss der Verantwortliche den Antragsteller darüber zusammen mit einer Begründung informieren. Bei Videoaufnahmen ergibt sich die Komplexität häufig aus der Länge des Materials, der Zahl betroffener Dritter und der Notwendigkeit einer frameweisen Anonymisierung.

In der operativen Praxis empfiehlt sich ein strukturierter Ablauf, da Videomaterial unstrukturierte Daten enthält und sich bei großem Umfang nur schwer manuell durchsuchen lässt.

1. Eingang und Registrierung des Antrags.
2. Überprüfung der Identität des Antragstellers, falls erforderlich.
3. Festlegung des zeitlichen und örtlichen Umfangs der Aufnahme.
4. Suche nach den relevanten Dateien oder Sequenzen.
5. Bewertung, ob auf der Aufnahme andere Personen oder weitere Identifikatoren enthalten sind.
6. Erstellung einer Kopie mit Anonymisierung.
7. Qualitätskontrolle des Materials vor der Herausgabe.
8. Bereitstellung der Kopie und Dokumentation der Maßnahme in den Compliance-Unterlagen.

Technologien für DSAR – Videoaufnahmen

Die Aufbereitung von Material zur Herausgabe erfordert in der Regel die Unterstützung durch Tools zur Bildanalyse. Bei Gesichtern und Kfz-Kennzeichen kommen Objekterkennungsmodelle auf Basis von Deep Learning zum Einsatz. Das ist notwendig, weil das manuelle Maskieren jedes einzelnen Frames bei längeren Videoaufnahmen kostspielig ist und ein hohes Fehlerrisiko birgt. Ein KI-Modell lernt zunächst auf einem Trainingsdatensatz, einen bestimmten Objekttyp zu erkennen, und wird anschließend verwendet, um Bereiche, die unkenntlich gemacht werden müssen, automatisch zu markieren.

Im Compliance-Umfeld ist die Unterscheidung zwischen automatisierter Erkennung und dem Umfang der eigentlichen Anonymisierung wichtig. Gallio PRO anonymisiert Gesichter und Kfz-Kennzeichen automatisch. Die Software führt keine Anonymisierung ganzer Körper durch, arbeitet nicht in Echtzeit und nicht auf einem Videostream. Außerdem erkennt sie Logos, Tätowierungen, Namensschilder, Dokumente oder Inhalte auf Monitorbildschirmen nicht automatisch. Diese Elemente können mit dem integrierten Editor manuell verborgen werden.

Wichtige Parameter und Kennzahlen bei der Anonymisierung von Material für DSAR

Die Bewertung der Qualität der Materialaufbereitung sollte sich nicht allein darauf stützen, dass eine Videoaufnahme unkenntlich gemacht wurde. Für Datenschutzbeauftragte oder Compliance-Teams sind konkrete technische und operative Parameter entscheidend. Ein Teil davon stammt aus der Computer Vision, ein anderer aus dem Prozessmanagement.

Bei größeren Projekten empfiehlt es sich, eigene SLA für den Prozess festzulegen, zum Beispiel eine maximale Bearbeitungszeit für 1 Stunde Videomaterial oder ein zulässiges Fehlerniveau nach manueller Prüfung. Solche Werte ergeben sich nicht unmittelbar aus der DSGVO, unterstützen jedoch den Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2.

Risiken und Einschränkungen bei DSAR – Videoaufnahmen

Das größte Risiko besteht darin, eine Kopie herauszugeben, die weiterhin die Identifizierung Dritter ermöglicht. Die Unkenntlichmachung muss in der bereitgestellten Kopie dauerhaft und irreversibel sein. Andernfalls kann das Material weiterhin personenbezogene Daten von Personen enthalten, die nicht Partei des Antrags sind. Das Problem verschärft sich bei hoher Auflösung, wechselnden Lichtverhältnissen, verdeckten Gesichtern und schnellen Kamerabewegungen.

Eine zweite Gruppe von Einschränkungen betrifft den rechtlichen Status von Kfz-Kennzeichen. In der europäischen Praxis wird deren Unkenntlichmachung oft als Standard des Privatsphärenschutzes angesehen, die Bewertung hängt jedoch vom Kontext ab. Auch in Polen ist die Lage nicht vollständig eindeutig. Einerseits sprechen Leitlinien der Datenschutzbehörden und die europäische Praxis für einen vorsichtigen Ansatz. Andererseits wurde in der verwaltungsgerichtlichen Rechtsprechung mitunter die Auffassung vertreten, dass ein Kfz-Kennzeichen für sich genommen nicht immer ein personenbezogenes Datum darstellt. Im DSAR-Kontext ist ein kontextbezogener Ansatz und die häufige Maskierung von Kennzeichen in der Praxis sicherer, insbesondere wenn die Aufnahme zusätzliche Informationen enthält, die eine Identifizierung des Fahrzeughalters oder Nutzers ermöglichen.

Normative Bezüge und Quellen für DSAR – Videoaufnahmen

Der Begriff DSAR und seine praktische Bearbeitung müssen im Lichte mehrerer Rechtsakte und Leitlinien beurteilt werden. Maßgeblich sind vor allem die Vorschriften der DSGVO sowie die Auslegungen der Aufsichtsbehörden zu Videoüberwachung und Auskunftsrecht. Bei Videoaufnahmen sind zusätzlich das Recht am eigenen Bild und der Schutz der Privatsphäre zu berücksichtigen.

• DSGVO – Verordnung (EU) 2016/679, insbesondere Art. 12, Art. 15, Art. 15 Abs. 4 sowie Art. 5 Abs. 2.
• Leitlinien 3/2019 des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte, angenommene Fassung vom 29. Januar 2020.
• Polnisches Zivilgesetzbuch – Vorschriften zu Persönlichkeitsrechten, einschließlich Recht am Bild und Privatsphäre.
• Polnisches Urheberrechtsgesetz und Gesetz über verwandte Schutzrechte – Regeln zur Verbreitung von Bildnissen und gesetzliche Ausnahmen.
• Stellungnahmen der polnischen Datenschutzaufsichtsbehörde UODO zur Identifizierbarkeit von Personen auf Aufnahmen und zur Praxis der Videoüberwachung.

Es ist sinnvoll, die Entscheidungen zum Umfang der Anonymisierung zu dokumentieren, da sich so nachweisen lässt, dass der Verantwortliche sowohl das Auskunftsrecht des Antragstellers als auch den Schutz der Rechte anderer Personen geprüft hat. In einer On-Premise-Umgebung ist außerdem wichtig, dass das Anonymisierungstool keine zusätzlichen Logs erzeugt, die personenbezogene Daten enthalten. Gallio PRO erfasst keine Logs mit Informationen zur Erkennung von Gesichtern und Kfz-Kennzeichen und keine sonstigen Logs mit personenbezogenen Daten.