Was ist datenschutzfreundliche Videoüberwachung?

Datenschutzfreundliche Videoüberwachung – Definition

Datenschutzfreundliche Videoüberwachung bezeichnet die Planung und den Betrieb von Videoüberwachung so, dass Eingriffe in die Privatsphäre auf das für einen konkreten Zweck unbedingt erforderliche Minimum beschränkt werden. In der Praxis bedeutet dies, die Architektur des CCTV-Systems, Aufbewahrungsfristen, Zugriffsrechte und Methoden der Bildverarbeitung so zu gestalten, dass die Identifizierung von Personen bereits in der Systemkonzeption begrenzt wird. Bei Fotos und Videoaufnahmen ist die Anonymisierung oder Pseudonymisierung des Bildmaterials die wichtigste technische Maßnahme – meist durch automatisches Verpixeln oder Unkenntlichmachen von Gesichtern und Kfz-Kennzeichen.

Der Begriff ergibt sich aus den allgemeinen Grundsätzen des Datenschutzes und nicht aus einer einzelnen, gesonderten gesetzlichen Definition. Maßgeblich sind insbesondere Art. 5 Abs. 1 lit. c DSGVO – Datenminimierung, Art. 25 DSGVO – Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sowie Art. 32 DSGVO – Sicherheit der Verarbeitung. Im Bereich der Videoüberwachung bedeutet dies, dass der Verantwortliche nachweisen sollte, dass Umfang des erfassten Bildausschnitts, Aufnahmequalität, Speicherdauer und Art der Weitergabe verhältnismäßig zum verfolgten Zweck sind. Kann der Zweck mit anonymisiertem Material erreicht werden, sollte das vollständige, identifizierende Ausgangsmaterial nicht breit zugänglich gemacht werden.

In Smart-City- und CCTV-Systemen wird datenschutzfreundliche Videoüberwachung häufig als operative Umsetzung des Grundsatzes Privacy by Design verstanden. Der Europäische Datenschutzausschuss weist in den Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte darauf hin, dass technische Lösungen zur Begrenzung der Identifizierbarkeit – etwa das Maskieren bestimmter Bereiche oder die Reduzierung des Sichtfelds – bereits bei der Systemauswahl berücksichtigt werden sollten. Auch der Europäische Datenschutzbeauftragte betont in Arbeiten zur Videoüberwachung sowie die Normenreihe EN 62676 für Videoüberwachungssysteme den Zusammenhang zwischen dem Zweck des Systems und den technischen Bildparametern.

Die Rolle datenschutzfreundlicher Videoüberwachung bei der Anonymisierung von Fotos und Videoaufnahmen

Im Zusammenhang mit visuellem Material bedeutet datenschutzfreundliche Videoüberwachung nicht den Verzicht auf Überwachung, sondern eine Änderung ihrer Nutzung. Entscheidend ist die Trennung der Sicherheitsfunktion von der Identifizierungsfunktion. Nicht jeder Nutzer des Systems benötigt Zugriff auf das vollständige, nicht anonymisierte Bildmaterial. In vielen Prozessen reicht Material aus, bei dem Gesichter und Kfz-Kennzeichen unkenntlich gemacht wurden.

Ein solcher Ansatz ist relevant bei der Veröffentlichung von Aufnahmen, der Weitergabe an externe Stellen, der Bearbeitung von Anträgen, bei Schulungen, Audits und der Analyse von Vorfällen. In diesem Modell bleibt das Ausgangsmaterial unter der Kontrolle des Verantwortlichen, während die Arbeits- oder Exportversion keine unmittelbaren visuellen Identifikatoren mehr enthält.

• Gesichter gelten als personenbezogene Daten, wenn sie die Identifizierung einer natürlichen Person ermöglichen
• Kfz-Kennzeichen werden in vielen Rechtsordnungen und Aufsichtspraxen als personenbezogene Daten oder als Informationen eingestuft, die eine mittelbare Identifizierung ermöglichen
• Die Anonymisierung von audiovisuellem Material sollte für die bereitgestellte Kopie irreversibel sein, wenn das Ziel der Ausschluss einer Identifizierung ist
• Ist der Prozess reversibel oder existiert ein Schlüssel, mit dem eine Person wieder mit der Aufnahme verknüpft werden kann, spricht man eher von Pseudonymisierung als von Anonymisierung

In Polen ist die rechtliche Einordnung von Kfz-Kennzeichen weiterhin umstritten. Aus Compliance-Sicht sollten in der Praxis zwei Positionen berücksichtigt werden. Einerseits sprechen Leitlinien von Datenschutzbehörden und die europäische Praxis für ihren Schutz. Andererseits findet sich in der Rechtsprechung der Verwaltungsgerichte die Auffassung, dass ein Kfz-Kennzeichen für sich genommen nicht immer ein personenbezogenes Datum darstellt. Im vorsichtigen Modell für Videoüberwachung und die Veröffentlichung von Videomaterial wird daher das Unkenntlichmachen von Kennzeichen als Maßnahme zur Reduzierung regulatorischer Risiken angesehen.

Technologien der datenschutzfreundlichen Videoüberwachung

In modernen Implementierungen basiert die Anonymisierung von Bildmaterial vor allem auf Objekterkennung und Objektverfolgung über aufeinanderfolgende Frames hinweg. Für die Erkennung von Gesichtern und Kfz-Kennzeichen werden Modelle des maschinellen Lernens eingesetzt, meist Deep Learning. Diese Unterscheidung ist wichtig: Das bloße Weichzeichnen ist keine intelligente Technologie, sondern das Endergebnis. Die KI-Komponente ist das Modell, das zunächst ein Gesicht oder Kennzeichen im Bild lokalisiert; erst danach wird der Maskierungsalgorithmus angewendet.

Ein KI-Modell erfordert zuvor ein Training auf entsprechend vorbereiteten Datensätzen. Die Qualität des späteren Unkenntlichmachens hängt von der Qualität der Annotationen, der Vielfalt der Trainingsdaten, den Lichtverhältnissen, dem Kamerawinkel, der Auflösung und den Inferenzparametern ab. In Systemen zur Nachbearbeitung von Aufnahmen sind außerdem Mechanismen zur manuellen Korrektur wichtig, weil selbst eine hohe Erkennungsrate Fehler nicht vollständig ausschließt.

Ebene

Funktion

Bedeutung für den Datenschutz

Objekterkennung

Erkennung von Gesichtern und Kfz-Kennzeichen

Voraussetzung dafür, dass die betreffenden Daten korrekt maskiert werden

Tracking

Verfolgung eines Objekts zwischen den Frames

Verringert das Risiko, Objekte in Bewegung zu übersehen

Maskierung

Blur, Pixelation, Fill, Blackout

Verdeckt visuelle Identifikatoren

Manuelle Validierung

Manuelle Korrektur der Erkennung

Reduziert das Risiko von False Negatives

Zugriffskontrolle

Berechtigungen für die Originalversion und die anonymisierte Version

Begrenzt die unbefugte Offenlegung von Daten

In diesem Bereich ist Präzision wichtig. Gallio PRO macht automatisch ausschließlich Gesichter und Kfz-Kennzeichen unkenntlich. Logos, Tätowierungen, Namensschilder, Dokumente oder Bildschirminhalte auf Monitoren werden nicht automatisch erkannt. Solche Elemente können mit dem integrierten Editor manuell verdeckt werden. Die Software arbeitet als On-Premise-Lösung und führt weder Echtzeit-Anonymisierung noch die Anonymisierung von Videostreams durch.

Wichtige Parameter und Metriken der datenschutzfreundlichen Videoüberwachung

Für Datenschutzbeauftragte und technische Teams ist die Möglichkeit entscheidend, die Wirksamkeit des Schutzes der Privatsphäre anhand messbarer Parameter zu bewerten. Die bloße Angabe, dass KI verwendet wird, entscheidet noch nicht über die Konformität eines Prozesses.

• Recall der Erkennung – Anteil der vom Modell erkannten Gesichter oder Kfz-Kennzeichen; bei der Anonymisierung meist wichtiger als die reine Präzision, weil ein übersehenes Objekt ein Risiko der Datenoffenlegung bedeutet
• Precision der Erkennung – Anteil korrekter Erkennungen an allen Erkennungen; beeinflusst die Anzahl unnötiger Maskierungen
• False-Negative-Rate – Anteil nicht erkannter Objekte; einer der wichtigsten Risikoindikatoren
• Verarbeitungslatenz pro Datei – Zeit, die für Analyse und Rendering des Materials benötigt wird, in der Regel gemessen für eine bestimmte Aufnahmedauer oder als Verarbeitungsdurchsatz
• Frame-to-Frame-Coverage – Kontinuität der Maskierung zwischen den einzelnen Frames
• Aufbewahrung des Ausgangsmaterials und des anonymisierten Materials – Anzahl der Tage oder Monate der Speicherung

In der Praxis kann ein einfacher Indikator für die Abdeckung der Anonymisierung verwendet werden:

Coverage = Anzahl korrekt unkenntlich gemachter Objekte / Anzahl aller Objekte, die unkenntlich gemacht werden müssen

Für Compliance-Prozesse ist die Dokumentation der Testmethode entscheidend: Stichprobengröße, Szenentypen, Bildqualität und Akzeptanzkriterien. Ohne diese Angaben ist ein Vergleich von Ergebnissen zwischen verschiedenen Systemen nicht belastbar.

Herausforderungen und Grenzen datenschutzfreundlicher Videoüberwachung

Das Modell des Datenschutzes in der Videoüberwachung unterliegt technischen und rechtlichen Grenzen. Erstens hängt die Erkennungsleistung von der Qualität des Materials ab. Niedrige Auflösung, starke Kompression, verdeckte Gesichter, Kamerabewegungen, Spiegelungen in Glasflächen und Nachtbeleuchtung verringern die Trefferquote der Modelle. Zweitens hängt die Grenze zwischen Anonymisierung und Pseudonymisierung davon ab, ob eine Re-Identifizierung mithilfe zusätzlicher Informationen möglich ist.

Nicht jede Nutzung von Videoüberwachung erfordert denselben Detaillierungsgrad des Bildes. Die Norm EN 62676-4:2015 beschreibt, wie Bildparameter entsprechend dem Zweck der Beobachtung, Wiedererkennung und Identifizierung auszuwählen sind. Aus Sicht von Privacy by Design ist das praktisch relevant: Wenn das Ziel die allgemeine Überwachung eines Bereichs ist, kann der Einsatz von Parametern, die für eine Identifizierung geeignet sind, unverhältnismäßig sein.

Normative Bezüge und Compliance-Praxis

Die Grundlage für die Bewertung von Systemen der datenschutzfreundlichen Videoüberwachung bilden Rechtsakte und Leitlinien, die im Zusammenhang gelesen werden müssen. Sie schaffen keine einheitliche, abgeschlossene technische Spezifikation, setzen aber den Maßstab für Compliance.

• DSGVO – Verordnung (EU) 2016/679, insbesondere Art. 5, 25 und 32
• EDSA, Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, Fassung nach Abschluss der Konsultation im Jahr 2020
• EN 62676 – Normenreihe für Videoüberwachungssysteme, einschließlich Teil 4:2015 zu Anwendungen
• ISO/IEC 27001:2022 – Informationssicherheits-Managementsystem, hilfreich für die Organisation von Zugriffskontrollen und Aufbewahrungsfristen

In der Compliance-Praxis bedeutet dies, dass ein Verhältnismäßigkeitstest durchgeführt, die Rechtsgrundlage bestimmt, die Aufbewahrungsfrist dokumentiert, der Zugriff auf Originalkopien und anonymisierte Kopien getrennt und sichergestellt werden muss, dass Systemprotokolle nicht selbst zur Quelle neuer personenbezogener Daten werden. In diesem Zusammenhang ist relevant, dass Gallio PRO keine Logs sammelt, die Daten aus der Erkennung von Gesichtern und Kfz-Kennzeichen enthalten, und auch keine anderen Logs, die personenbezogene Daten oder besondere Kategorien personenbezogener Daten enthalten.

Siehe auch

• Datenanonymisierung
• Gesichter unkenntlich machen
• Kfz-Kennzeichen unkenntlich machen
• DSGVO-Konformität