Was ist Retail Video Analytics Privacy?

Retail Video Analytics Privacy – Definition

Retail Video Analytics Privacy bezeichnet die Gesamtheit organisatorischer, rechtlicher und technischer Grundsätze für die Videoanalyse im Einzelhandel, die im Einklang mit dem Schutz personenbezogener Daten und der Privatsphäre von Personen stehen, die auf Aufnahmen oder Fotos sichtbar sind. In der Praxis geht es darum, Videoanalysen so zu konzipieren und durchzuführen, dass geschäftliche Ziele wie Kundenzählung, Laufweganalyse, Warteschlangenmessung, Bewertung der Flächennutzung im Geschäft oder Analyse von Warenplatzierungen nicht zu einer unbefugten Identifizierung von Personen führen.

Im Kontext der Anonymisierung von Fotos und Videoaufnahmen umfasst dieser Begriff vor allem die Erkennung und Unkenntlichmachung von Gesichtern sowie – je nach Rechtsordnung und Zweck der Verarbeitung – auch von Kfz-Kennzeichen. Wenn Bildmaterial die direkte oder indirekte Identifizierung einer konkreten Person ermöglicht, handelt es sich um personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO, Verordnung (EU) 2016/679. Das betrifft nicht nur Nahaufnahmen von Gesichtern, sondern auch Aufnahmen von Überwachungskameras im Geschäft, wenn eine Identifizierung mit vernünftigerweise einsetzbaren Mitteln tatsächlich möglich ist. Diese Auffassung wird unter anderem durch Erwägungsgrund 26 DSGVO sowie durch die Leitlinien des Europäischen Datenschutzausschusses zur Verarbeitung personenbezogener Daten durch Videogeräte bestätigt, die am 29. Januar 2020 angenommen wurden.

Retail Video Analytics Privacy bedeutet nicht, dass der Einsatz von Videoanalyse verboten ist. Er bedeutet jedoch, dass der Umfang der Daten begrenzt, der Zweck, die Rechtsgrundlage, die Aufbewahrungsfrist und die Zugriffskontrollen festgelegt sowie Schutzmaßnahmen wie Anonymisierung oder Pseudonymisierung umgesetzt werden müssen. Im Einzelhandel ist die Unterscheidung zwischen aggregierter Analyse und Analyse auf Individualebene besonders wichtig. Je stärker ein System darauf ausgerichtet ist, einzelne Personen kamerübergreifend zu verfolgen, Verhaltensprofile zu erstellen oder Aufnahmen mit Kundenbindungsprogrammen zu verknüpfen, desto höher sind das Risiko und die Compliance-Anforderungen.

Wann erfordern Videoanalysen im Einzelhandel eine Anonymisierung und eine Einwilligung?

In einem Geschäft oder Einkaufszentrum erfordert nicht jede Bildanalyse die Einwilligung der aufgenommenen Person. Die Bewertung hängt vom Zweck, von der Rechtsgrundlage und von der Art der Verarbeitung ab. Aus Sicht des Datenschutzbeauftragten ist entscheidend, ob das Material ausschließlich für Sicherheit und Objektschutz genutzt wird oder auch für die Analyse des Kundenverhaltens.

Eine Anonymisierung ist sinnvoll oder erforderlich, wenn das Material für andere Zwecke als die reine fallbezogene Sicherung von Vorfällen verwendet werden soll und die Identifizierung einer Person zur Erreichung des Zwecks nicht notwendig ist. Das betrifft insbesondere die Vorbereitung von Materialien für Analysen, Audits, Berichte, Tests von KI-Modellen, Mitarbeiterschulungen oder die Weitergabe von Dateien an externe Stellen.

• Kundenzählung und Warteschlangenmessung – wenn das Ergebnis ohne Identifizierung einer Person erzielt werden kann, ist der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO anzuwenden. In der Praxis kann dies bedeuten, dass Gesichter vor der weiteren Nutzung von Aufnahmen unkenntlich gemacht werden müssen, sofern die Analyse nicht lokal und ohne Speicherung identifizierbaren Materials erfolgt.
• Laufweganalyse und Heatmaps – arbeitet das System mit anonymen Trajektorien und erlaubt keine Rekonstruktion der Identität, ist das Risiko geringer. Enthält das Ausgangsmaterial jedoch erkennbare Personen, sind weiterhin Schutzmaßnahmen erforderlich.
• Wiedererkennung von Stammkunden oder Verknüpfung mit einem Kundenbindungsprogramm – hierfür ist in der Regel eine gesonderte, eindeutige Rechtsgrundlage und eine hohe Risikobewertung erforderlich. In vielen Fällen kann eine Einwilligung notwendig sein, und die Berufung auf ein berechtigtes Interesse allein kann unzureichend sein.
• Nutzung von Aufnahmen für Marketing, Veröffentlichungen oder Präsentationen – grundsätzlich ist die Anonymisierung von Gesichtern erforderlich oder es müssen die Voraussetzungen für eine rechtmäßige Verbreitung von Bildnissen nach nationalem Recht erfüllt sein.

Eine Einwilligung ist nicht automatisch für jede Videoüberwachung erforderlich. Wenn die Videoanalyse jedoch über die übliche Objektsicherheit hinausgeht, Profiling umfasst oder das Material für neue Zwecke weiterverwendet wird, ist eine gesonderte Prüfung der Rechtsgrundlage und häufig auch eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich.

Technologien zur Anonymisierung in der Retail Video Analytics Privacy

In der Praxis basiert die Bildanonymisierung im Einzelhandel auf der Objekterkennung im Bildausschnitt und der dauerhaften Verdeckung visueller Identifikatoren. Für Gesichter und Kfz-Kennzeichen werden meist Detektionsmodelle auf Basis von Deep Learning eingesetzt. Deep Learning gehört zu den am häufigsten verwendeten Methoden für den Aufbau von KI-Modellen, die anschließend Bereiche erkennen, die auf Fotos oder in Videos unkenntlich gemacht werden müssen.

Eine typische Verarbeitungskette umfasst mehrere Schritte:

• Erkennung von Gesichtern oder Kfz-Kennzeichen in einzelnen Frames,
• Objektverfolgung zwischen den Frames zur Stabilisierung der Maske,
• Anwendung eines Blur-Effekts, einer Maske oder einer Pixelung,
• Export des Materials mit dauerhaft eingebrannter Unkenntlichmachung.

Gallio PRO anonymisiert Gesichter und Kfz-Kennzeichen automatisch. Die Software führt keine Echtzeit-Anonymisierung und keine Anonymisierung von Videostreams durch. Ganze Körper werden nicht unkenntlich gemacht. Firmenlogos, Tätowierungen, Namensschilder, Dokumente oder Inhalte auf Monitorbildschirmen werden nicht automatisch erkannt. Solche Elemente können im Editor manuell unkenntlich gemacht werden.

Wichtige Parameter und Kennzahlen für Retail Video Analytics Privacy

Die Bewertung eines Anonymisierungssystems darf sich nicht allein auf Herstellerangaben stützen. Für Compliance und Audits sind messbare Qualitätsparameter erforderlich. In Videosystemen sind vor allem die Detektionsleistung, die Vollständigkeit der Anonymisierung und der Einfluss auf die analytische Nutzbarkeit des Materials entscheidend.

Parameter

Bedeutung

Relevanz für den Datenschutz

Detection Recall

Anteil der tatsächlich vorhandenen Gesichter oder Kennzeichen, die vom System erkannt werden

Ein niedriger Recall erhöht das Risiko, dass personenbezogene Daten ohne Unkenntlichmachung im Material verbleiben

Detection Precision

Anteil korrekter Erkennungen an allen Erkennungen

Eine niedrige Precision erhöht die Zahl fehlerhafter Unkenntlichmachungen, wirkt sich jedoch in der Regel weniger stark auf die Compliance aus als ein niedriger Recall

IoU – Intersection over Union

Maß für die Passgenauigkeit des Erkennungsrahmens im Verhältnis zum tatsächlichen Objekt

Ein zu kleiner Maskierungsbereich kann Teile des Identifikators sichtbar lassen

Verarbeitungslatenz

Zeit, die für die Analyse und den Export des Materials benötigt wird

Beeinflusst die operative Umsetzbarkeit des Prozesses, ersetzt aber nicht die Anforderung an die Qualität der Anonymisierung

False-Negative-Rate

Anteil nicht erkannter Objekte

Zentraler Indikator für das Risiko einer Verletzung der Privatsphäre

In der Praxis empfiehlt es sich, einen Qualitätsgrenzwert festzulegen, etwa eine verpflichtende manuelle Kontrolle bei Materialien mit niedriger Bildqualität, starkem Personenaufkommen, steilem Kamerawinkel oder schlechter Beleuchtung. Das ist wichtig, weil die Wirksamkeit von Detektionsmodellen von Auflösung, Kompression, Bewegung und Verdeckungen abhängt.

Rechtliche Grundlagen und Standards für Retail Video Analytics Privacy

Die Grundlage für die Bewertung der Compliance bilden vor allem europäische Rechtsakte und Leitlinien. Im Einzelhandel sind insbesondere Vorschriften zur Videoüberwachung, zum Grundsatz der Datenminimierung und zu Privacy by Design relevant.

• DSGVO – Verordnung (EU) 2016/679 – Art. 5, Art. 6, Art. 25, Art. 32 und Art. 35.
• EDSA-Leitlinien 3/2019 zur Verarbeitung personenbezogener Daten durch Videogeräte, angenommen am 29.01.2020.
• ISO/IEC 20889:2018 – Standard zu Techniken der Daten-De-Identifizierung.
• ISO/IEC 27001:2022 – Managementsystem für Informationssicherheit, relevant für Zugriffskontrolle und Aufbewahrung.

Bei Kfz-Kennzeichen gibt es unterschiedliche Auffassungen. In den EU-Mitgliedstaaten hängt ihre Einordnung vom Kontext, vom Verarbeitungszweck und von der Möglichkeit ab, sie einer konkreten Person zuzuordnen. Auch in Polen ist diese Frage nicht vollständig eindeutig. Rechtsprechung und Praxis der Aufsichtsbehörden sprechen für einen vorsichtigen Ansatz, insbesondere wenn das Material weiter analysiert oder weitergegeben werden soll. Für Aufnahmen aus dem Einzelhandel, die für Analysen oder zur Weitergabe bestimmt sind, ist die Unkenntlichmachung von Kennzeichen die sicherere Praxis.

Praktische Anwendungsfälle von Retail Video Analytics Privacy

Der häufigste Use Case im Einzelhandel besteht darin, dass ein Geschäft bereits über Videoüberwachung verfügt, aber einen Teil der Aufnahmen für operative Analysen nutzen möchte, ohne personenbezogene Daten über das notwendige Maß hinaus zu verarbeiten. In diesem Fall wird das Material zunächst anonymisiert und erst danach an Analysten, die Betriebsabteilung oder einen externen Reporting-Dienstleister weitergegeben.

Beispielhafte Szenarien sind:

• Analyse der Warteschlangenlänge zu verschiedenen Tageszeiten,
• Bewertung der Wirksamkeit von Warenplatzierungen und Ganglayouts,
• Überprüfung der Auslastung von Promotionsflächen,
• Erstellung von Schulungsmaterial, ohne das Erscheinungsbild von Kunden und Mitarbeitenden offenzulegen.

Ein solcher Ansatz reduziert rechtliche Risiken, erleichtert die Umsetzung des Privacy-by-Design-Prinzips und verringert den Umfang der Daten, auf die Personen Zugriff haben, die die Identität der Kunden nicht kennen müssen.

Siehe auch

• Anonymisierung von Videodaten
• Gesichter unkenntlich machen
• Kfz-Kennzeichen unkenntlich machen
• DSGVO-Compliance