Was ist der Illinois BIPA (Biometric Information Privacy Act)?

Illinois BIPA (Biometric Information Privacy Act) – Definition

Der Illinois BIPA ist ein Gesetz des US-Bundesstaats Illinois, das die Erhebung, Speicherung, Offenlegung und Vernichtung biometrischer Daten regelt. Die vollständige Bezeichnung lautet Biometric Information Privacy Act. Das Gesetz wurde 2008 als Illinois Public Act 095-0994 verabschiedet und ist vor allem in 740 ILCS 14 kodifiziert. In der Praxis gilt es als eines der strengsten Biometriegesetze in den USA, weil es eine vorherige schriftliche Einwilligung, Informationspflichten, eine Aufbewahrungsrichtlinie sowie ein privates Klagerecht für betroffene Personen vorsieht.

Im Zusammenhang mit Fotos und Videoaufnahmen ist der BIPA dann relevant, wenn aus Bildmaterial ein biometrischer Identifikator erstellt wird oder erstellt werden kann, etwa ein mathematisches Gesichtsmodell für die Gesichtserkennung oder zur Identitätsverifizierung. Ein bloßes Foto ist nach dem BIPA grundsätzlich kein „biometric identifier“. Die Extraktion von Gesichtsmerkmalen aus einem Bild und deren Umwandlung in ein biometrisches Template kann jedoch bereits in den Anwendungsbereich des Gesetzes fallen. Diese Unterscheidung ist für KI-Systeme zur Bildanalyse, zum Training von Deep-Learning-Modellen und zur automatischen Verpixelung von Gesichtern besonders wichtig.

Anwendungsbereich des BIPA bei der Verarbeitung von Fotos und Videos

Der BIPA unterscheidet mehrere Begriffsgruppen. Für Compliance-Abteilungen und Datenschutzbeauftragte ist vor allem die Abgrenzung zwischen gewöhnlichem Bildmaterial und Daten entscheidend, die infolge einer biometrischen Bildanalyse entstehen. Gerade dieser technische Übergang von visuellem Material zu Merkmalen, die der Identifizierung dienen, erzeugt das größte regulatorische Risiko.

Das Gesetz definiert unter anderem den biometrischen Identifikator und biometrische Informationen. Diese gesetzlichen Definitionen werden in der Praxis breit ausgelegt, insbesondere durch die Gerichte in Illinois.

• Biometric identifier – umfasst unter anderem einen Handscan, Fingerabdruck, die Gesichtsgeometrie sowie einen Netzhaut- oder Irisscan.
• Biometric information – jede Information, unabhängig davon, wie sie erhoben, umgewandelt, gespeichert oder weitergegeben wurde, die auf dem biometrischen Identifikator einer Person beruht und zur Identifizierung dieser Person verwendet wird.
• Ausnahme – ein Foto als solches fällt nicht unter die Definition des biometrischen Identifikators, aus einem Foto extrahierte Daten können jedoch vom Gesetz erfasst sein.

Für die Bildanonymisierung bedeutet das: Ein Tool, das ausschließlich der Gesichtserkennung im Sinne der Lokalisierung und anschließenden Verpixelung dient, muss nicht automatisch den Einsatz biometrischer Daten im Sinne des BIPA bedeuten, sofern es kein Muster zur Identifizierung einer Person erstellt oder speichert. Anders ist die Lage, wenn ein System Gesichter zwischen Aufnahmen vergleicht, Identitäten zuordnet, 1:1- oder 1:N-Matching durchführt oder dauerhafte Personenprofile erstellt.

Rechtliche Pflichten nach dem BIPA

Das zentrale Element des BIPA ist das Modell „notice + written consent“ vor der Erhebung oder dem Erhalt biometrischer Daten. Die Pflichten beschränken sich jedoch nicht auf die Einwilligung. Das Gesetz verlangt außerdem ein formelles Management des gesamten Datenlebenszyklus.

• schriftliche Information der betroffenen Person darüber, dass ein biometrischer Identifikator oder biometrische Informationen erhoben oder gespeichert werden,
• Angabe des konkreten Zwecks und der Verarbeitungsdauer,
• Einholung einer schriftlichen Einwilligung oder schriftlichen Freigabe,
• Erstellung einer öffentlich zugänglichen Richtlinie zur Aufbewahrung und endgültigen Löschung der Daten,
• Verbot des Verkaufs, Leasings, Handels oder der Gewinnerzielung mit biometrischen Daten,
• Beschränkungen bei der Offenlegung an Dritte, sofern keine gesetzliche Grundlage vorliegt,
• Anwendung eines angemessenen Sicherheitsstandards, mindestens in dem Umfang wie bei anderen vertraulichen Daten.

Nach 740 ILCS 14/15 müssen die Daten vernichtet werden, sobald der Zweck der Verarbeitung erreicht ist oder spätestens drei Jahre nach der letzten Interaktion der Person mit dem privaten Unternehmen – je nachdem, was früher eintritt. Das ist eine der wenigen derart konkreten Aufbewahrungsfristen im US-amerikanischen Datenschutzrecht.

Bedeutung des BIPA für die Verpixelung von Gesichtern und das Training von KI-Modellen

In der Praxis sollten zwei technische Phasen unterschieden werden. Die erste ist die Objekterkennung im Bild, etwa eines Gesichts oder eines Kfz-Kennzeichens. Die zweite ist die Identifizierung einer Person anhand biometrischer Merkmale. Der BIPA betrifft in erster Linie die zweite Phase, doch gerichtliche Auseinandersetzungen zeigen, dass die Grenze nicht immer eindeutig ist und von der Systemarchitektur sowie der Speicherung von Zwischendaten abhängt.

Für die Entwicklung eines leistungsfähigen KI-Modells zur Gesichtsverpixelung werden in der Regel Deep Learning und Trainingsdatensätze mit Gesichtern verwendet, die durch Bounding Boxes, Landmarken oder Segmentierungsmasken gekennzeichnet sind. Das reine Training eines Detektionsmodells muss nicht den Einsatz biometrischer Identifikatoren bedeuten, wenn das Ziel die Lokalisierung eines Gesichts im Bildausschnitt ist und nicht die Feststellung der Identität einer bestimmten Person. Das Risiko steigt, wenn die technische Pipeline Folgendes umfasst:

• Face Embedding, also eine vektorielle Beschreibung von Gesichtsmerkmalen zur Unterscheidung oder Identifizierung,
• den Vergleich der Ähnlichkeit von Gesichtern zwischen Fotos und Videoaufnahmen,
• die Erstellung einer Referenzgalerie von Personen,
• die Verknüpfung visueller Daten mit anderen Nutzeridentifikatoren.

In Compliance-Umgebungen ist es sicherer, den Anonymisierungsprozess so zu gestalten, dass das System keine dauerhaften Identifikationsmuster erzeugt, Embeddings nicht länger als nötig speichert und die Gesichtserkennung nicht zur Personenidentifizierung verwendet. In diesem Modell ist das Ziel die Bildredaktion und nicht die biometrische Identifizierung.

Sanktionen und Gerichtsverfahren nach dem BIPA

Der BIPA sieht ein privates Klagerecht vor. Das ist der Hauptgrund, warum das Gesetz operativ eine so große Bedeutung hat. Das Gesetz sieht pauschalierten Schadensersatz für Verstöße vor, unabhängig davon, ob ein Vermögensschaden im klassischen Sinne nachgewiesen wird.

Art des Verstoßes

Höhe des gesetzlichen Anspruchs

Rechtsgrundlage

Fahrlässiger Verstoß

1.000 USD pro Verstoß oder tatsächlicher Schaden

740 ILCS 14/20

Vorsätzlicher oder grob fahrlässiger Verstoß

5.000 USD pro Verstoß oder tatsächlicher Schaden

740 ILCS 14/20

Im Fall Rosenbach v. Six Flags (Illinois Supreme Court, 2019) bestätigte das Gericht, dass eine Person bereits wegen der bloßen Verletzung gesetzlicher Pflichten klagen kann, ohne einen zusätzlichen Schaden nachweisen zu müssen. Im Fall Cothron v. White Castle (Illinois Supreme Court, 2023) entschied das Gericht, dass ein Anspruch bei jeder gesonderten Erhebung oder Weitergabe biometrischer Daten entstehen kann. Dadurch hat sich das finanzielle Risiko bei Massenvorgängen erheblich erhöht. Anschließend begrenzte der Gesetzgeber in Illinois die Kumulation von Ansprüchen und sah grundsätzlich einen Anspruch pro Person für Verstöße im Zusammenhang mit der Erhebung sowie einen Anspruch pro Person für Verstöße im Zusammenhang mit der Offenlegung oder Übermittlung von Daten vor.

Zentrale Parameter zur Bewertung des BIPA-Risikos in Videosystemen

Für die Compliance-Bewertung reicht es nicht aus, nur zu beantworten, ob ein System „KI verwendet“. Es muss beschrieben werden, welche Datenartefakte entstehen und ob sie zur Identifizierung einer Person geeignet sind. Für Systeme zur Bildanalyse ist die folgende Checkliste hilfreich.

• Zweck der Verarbeitung – Detektion zur Verpixelung oder Identifizierung einer Person.
• Art der Zwischendaten – Bounding Box, Landmarken, Embedding, Template.
• Aufbewahrung – Speicherdauer von Frames, Modellen, Logs und Zwischenmerkmalen.
• Möglichkeit der Re-Identifizierung – 1:1-Matching, 1:N-Matching, Ähnlichkeitsschwelle, Referenzdatenbank.
• Sicherheit – Verschlüsselung, Zugriffskontrolle, Trennung von Umgebungen, Zugriffsaudit.
• Umfang der Verarbeitung – Anzahl der Personen, Anzahl der Extraktionsereignisse, Häufigkeit des Scannens.

Aus technischer Sicht sollten mindestens folgende Punkte dokumentiert werden: die Pipeline-Architektur, die Stellen, an denen Gesichtsmerkmale erzeugt werden, die konkrete Aufbewahrungsdauer in Tagen, Fehlerquoten der Detektion sowie die Frage, ob Logs Daten enthalten, die eine Identifizierung ermöglichen. Solche Informationen werden für die Risikoanalyse und für Antworten auf Fragen der Rechtsabteilung oder von Auditoren benötigt.

Praktischer Kontext für die Anonymisierung von Fotos und Aufnahmen

Bei der Veröffentlichung visueller Inhalte besteht das Hauptziel in der Regel darin, das Risiko von Datenschutzverletzungen durch das Verpixeln von Gesichtern und Kfz-Kennzeichen zu reduzieren. In einem solchen Szenario sollte der Datenumfang minimiert und auf Funktionen zur Identitätserkennung verzichtet werden, wenn sie nicht erforderlich sind. Dieser Ansatz steht sowohl mit Privacy by Design als auch mit der Reduzierung der BIPA-Exposition im Einklang.

In der Praxis bedeutet das, Lösungen zu bevorzugen, die Gesichter und Kfz-Kennzeichen ausschließlich zum Zweck der Anonymisierung des Materials automatisch erkennen. Wenn andere Elemente im Bildausschnitt verborgen werden müssen, sollten sie manuell im Editor redigiert werden – ohne den Umfang der automatisierten Analyse auf weitere Objektkategorien auszuweiten und ohne zusätzliche Identitätsprofile aufzubauen.

Normative Verweise und Quellen

Grundlage der Auslegung sollten der Gesetzestext und die Rechtsprechung sein, nicht sekundäre Darstellungen. In Compliance-Projekten empfiehlt es sich, auf folgende Quellen Bezug zu nehmen:

• Illinois Biometric Information Privacy Act, 740 ILCS 14, geltende Fassung.
• Illinois Public Act 095-0994, Jahr der Verabschiedung 2008.
• Rosenbach v. Six Flags Entertainment Corp., 2019 IL 123186.
• Cothron v. White Castle System, Inc., 2023 IL 128004.
• Public Act 103-0769, Änderungen zur Berechnung gesetzlicher Ansprüche.
• FTC – Materialien zu Datensicherheitspraktiken und Privacy by Design als ergänzender operativer Kontext.

Siehe auch

• Datenanonymisierung
• Gesichtsverpixelung
• Datensicherheit
• KI im Datenschutz