Was ist der Texas CUBI Act?

Texas CUBI Act – Definition

Der Texas CUBI Act ist die gebräuchliche Bezeichnung für die texanische Regelung zu biometrischen Daten, also den Capture or Use of Biometric Identifier Act. Das Gesetz wurde 2009 verabschiedet und ist im Texas Business and Commerce Code, Chapter 503 kodifiziert. Es regelt die kommerzielle Erfassung, Speicherung, Nutzung und Weitergabe biometrischer Identifikatoren. In der Compliance-Praxis wird es besonders häufig bei Gesichtserkennungssystemen geprüft, weil ein Gesichtsbild dazu verwendet werden kann, ein biometrisches Muster zu extrahieren, das der Identifizierung einer Person dient.

Im Kontext der Anonymisierung von Fotos und Videoaufnahmen verbietet der Texas CUBI Act nicht das bloße Unkenntlichmachen von Gesichtern. Entscheidend ist, ob eine Organisation vor dem Verpixeln oder Verwischen des Bildes Vorgänge durchführt, die als Erfassung oder Nutzung eines biometrischen Identifikators eingestuft werden können. Analysiert ein KI-System das Material ausschließlich, um ein Gesicht als Objekt zu erkennen und unmittelbar danach eine Unschärfemaske anzuwenden, ist das regulatorische Risiko in der Regel geringer als bei der Erstellung dauerhafter Gesichtsvorlagen, dem Abgleich von Personen über mehrere Aufnahmen hinweg oder der Identifizierung konkreter Einzelpersonen. Die praktische Trennlinie verläuft daher zwischen der Objekterkennung zum Zweck der Anonymisierung und der biometrischen Identifizierung oder Verifizierung einer Person.

Aus Sicht der Primärquellen sind insbesondere der Gesetzestext des Texas Business and Commerce Code, Chapter 503, die Positionen und Durchsetzungsmaßnahmen des Attorney General of Texas sowie zum Vergleich die Rechtsprechung und Praxis rund um das Gesetz Illinois BIPA relevant. Der CUBI Act ist ein bundesstaatliches, nicht ein bundesrechtliches Gesetz und betrifft kommerzielle Tätigkeiten im Bundesstaat Texas.

Persönlicher und sachlicher Anwendungsbereich des Texas CUBI Act

Das Gesetz erfasst kommerzielle Unternehmen, die einen biometrischen Identifikator zu kommerziellen Zwecken erfassen. Es ist nicht ausschließlich auf die Überwachungs- oder KI-Branche beschränkt. Relevanz kann es unter anderem für Hersteller von Bildanalysesoftware, CCTV-Integratoren, Anbieter von Tools zur Bildverarbeitung sowie Verantwortliche für Videomaterial haben.

Normativ besonders wichtig sind drei Elemente: die Art der Daten, der Zweck der Verarbeitung und die Pflichten des Unternehmens. Im Texas CUBI Act umfasst ein biometrischer Identifikator einen Retina- oder Irisscan, einen Fingerabdruck, einen Stimmabdruck sowie eine Aufzeichnung der Hand- oder Gesichtsgeometrie. Gerade Letzteres ist für Systeme der Bildverarbeitung unmittelbar bedeutsam.

Bereich

Praktische Bedeutung für Fotos und Videos

Gesichtsgeometrie

Kann entstehen, wenn ein System einen Gesichtsmerkmalsvektor zur Identifizierung oder Zuordnung einer Person berechnet

Gesichtserkennung

Die bloße Erkennung eines Gesichtsbereichs zum Unkenntlichmachen bedeutet nicht immer die Erstellung eines biometrischen Identifikators, erfordert aber eine Analyse der Modellarchitektur und der Verarbeitungslogik

Speicherung

Das Risiko steigt, wenn Gesichtsmerkmale gespeichert, indiziert oder mit personenbezogenen Metadaten verknüpft werden

Weitergabe

Die Übermittlung biometrischer Muster an Dritte unterliegt gesonderten Beschränkungen

Pflichten von Unternehmen nach dem Texas CUBI Act

Das Gesetz legt Unternehmen materielle Pflichten auf, die eng auszulegen sind. Für Teams, die für die Videoanonymisierung verantwortlich sind, ist insbesondere entscheidend, den Zeitpunkt zu erkennen, an dem die technische Verarbeitungspipeline beginnt, biometrische Daten im rechtlichen Sinne zu erzeugen.

Vereinfacht gesagt darf eine kommerzielle Organisation keinen biometrischen Identifikator erfassen, ohne die betroffene Person zuvor darüber zu informieren und ihre Einwilligung einzuholen. Darüber hinaus beschränkt das Gesetz den Verkauf, das Leasing und die Offenlegung solcher Daten, sofern keine bestimmte Rechtsgrundlage vorliegt. Es verlangt außerdem, biometrische Daten mit der gebotenen Sorgfalt zu schützen und sie innerhalb einer angemessenen Frist zu löschen, spätestens ein Jahr nach Erreichung des Zwecks ihrer Erfassung.

• vorherige Information der betroffenen Person über die Erfassung eines biometrischen Identifikators,
• Einholung einer Einwilligung vor der Datenerfassung,
• Verbot des Verkaufs, Leasings oder der sonstigen Offenlegung eines biometrischen Identifikators in den meisten Fällen,
• Beschränkung der Offenlegung biometrischer Daten gegenüber Dritten,
• Anwendung angemessener Datenschutz- und Datensicherheitsmaßnahmen, mindestens vergleichbar mit dem Schutz anderer vertraulicher Daten,
• Löschung der Daten innerhalb angemessener Zeit, spätestens innerhalb von 1 Jahr nach dem Zweck ihrer Erfassung.

Für Foto- und Videomaterial bedeutet das, dass die Rechtskonformität nicht nur davon abhängt, ob die Gesichter in der Enddatei unkenntlich gemacht sind, sondern auch davon, was während der Verarbeitung geschieht. Erstellt ein Modell ein Gesichts-Embedding, speichert es und nutzt es zur erneuten Wiedererkennung derselben Person, sind die Compliance-Pflichten deutlich weitreichender als bei einer einmaligen Gesichtserkennung zum Zweck der Anonymisierung.

Bedeutung des Texas CUBI Act für die Gesichtsanonymisierung in Fotos und Aufnahmen

In der Praxis der Bildanonymisierung besteht das Ziel darin, die Identifizierbarkeit einer Person zu verringern. Das unterstützt in der Regel den Schutz der Privatsphäre, entbindet jedoch nicht automatisch von einer regulatorischen Analyse bereits in der Phase der Eingangsverarbeitung. Eine Software zum Unkenntlichmachen von Gesichtern arbeitet typischerweise auf Basis von Deep-Learning-Modellen, die Gesichter im Bild erkennen, ein Bounding-Box-Rechteck oder eine Segmentierungsmaske bestimmen und anschließend Blur, Pixelierung oder eine Abdeckmaske anwenden. Ein solches KI-Modell muss zuvor auf Bilddatensätzen mit Gesichtern trainiert worden sein. Der bloße Einsatz von Deep Learning bedeutet noch nicht automatisch, dass biometrische Identifikatoren einer konkreten Person aus produktivem Material verarbeitet werden, doch die Architektur der Lösung ist hier ausschlaggebend.

Das sicherste Betriebsmodell für die Anonymisierung ist ein Modell, bei dem das System:

• Gesichter lokal oder in einer kontrollierten Umgebung erkennt,
• keine dauerhaften, einer Person zugeordneten Gesichtsvorlagen erstellt,
• Gesichter nicht dateiübergreifend zum Zweck der Identifizierung vergleicht,
• keine Logs speichert, die biometrische Daten oder Ergebnisse einer Personenidentifizierung enthalten,
• nach der Anonymisierung die Aufbewahrung des Ausgangsmaterials gemäß den Richtlinien der Organisation beschränkt.

Diese Unterscheidung ist auch für die praktische Bewertung von Tools wichtig. Anonymisierungssoftware wie Gallio PRO macht Gesichter und Kfz-Kennzeichen automatisch unkenntlich, dient aber nicht der biometrischen Identifizierung von Personen. Sie führt auch keine Videoanonymisierung von Streams oder in Echtzeit durch. Für die Bewertung nach dem Texas CUBI Act ist entscheidend, ob das System als Tool zur Bildmaskierung oder als Werkzeug zur Identitätserkennung eingesetzt wird.

Unterschiede zwischen dem Texas CUBI Act und Illinois BIPA

Am häufigsten wird der CUBI Act mit dem Gesetz Illinois BIPA verglichen, also dem Biometric Information Privacy Act, 740 ILCS 14, das seit 2008 gilt. Beide Regelungen betreffen biometrische Daten, ihre praktischen Folgen für Unternehmen unterscheiden sich jedoch erheblich.

Kriterium

Texas CUBI Act

Illinois BIPA

Jahr

2009

2008

Umfang

Erfassung eines biometrischen Identifikators zu kommerziellen Zwecken sowie dessen Speicherung, Nutzung und Offenlegung

Erheben, Erfassen, Kaufen, Erhalten durch Handel und andere Formen des Erlangens biometrischer Daten

Privates Klagerecht

Grundsätzlich kein privates Klagerecht nach dem Vorbild von BIPA

Ja – das ist der Hauptgrund für das hohe Prozessrisiko

Aufbewahrung

Löschung innerhalb angemessener Zeit, spätestens 1 Jahr nach dem Erhebungszweck

Pflicht zu einer öffentlichen Aufbewahrungsrichtlinie und einem Zeitplan für die Datenvernichtung

Prozessuale Bedeutung

Höheres Durchsetzungsrisiko durch die staatliche Behörde

Sehr hohes Risiko von Sammelklagen und gesetzlichen Schadensersatzansprüchen

Der wichtigste Unterschied für Compliance ist, dass BIPA ein außergewöhnlich starkes Regime zivilrechtlicher Streitigkeiten geschaffen hat, während der Texas CUBI Act in erster Linie ein Instrument der öffentlich-rechtlichen Durchsetzung ist. Das bedeutet nicht, dass das Risiko gering ist. Es bedeutet lediglich ein anderes Profil des rechtlichen Risikos und eine andere Art der Dokumentation von Compliance.

Zentrale Prüfparameter für die Compliance in Anonymisierungssystemen

Bei der Bewertung eines Tools zur Verarbeitung von Fotos und Videos sollten rechtliche Anforderungen in messbare technische Merkmale übersetzt werden. Die reine Wirksamkeit der Gesichtserkennung reicht nicht aus. Es muss geprüft werden, ob die Lösung biometrische Daten erzeugt und dauerhaft speichert, wie lange diese aufbewahrt werden und wo die Verarbeitung stattfindet.

• Datenaufbewahrung – maximale Speicherdauer für Ausgangsmaterial, Masken, Metadaten und etwaige Gesichts-Embeddings,
• Bereitstellungsmodell – On-Premises oder eine kontrollierte Umgebung verringern die Datenexposition,
• Erkennungsgenauigkeit – Recall und Precision bei Gesichtern beeinflussen das Risiko, eine nicht anonymisierte Person im Bild zu belassen,
• Falsch-negative Erkennungen – übersehene Gesichter stellen ein Risiko für Privatsphäre und Compliance dar,
• keine Identifizierung – es sollte bestätigt werden, dass das System nicht der Identitätserkennung dient,
• Logging – Logs sollten keine personenbezogenen Daten oder biometrischen Muster enthalten, sofern dies nicht erforderlich ist.

In der Praxis kann eine einfache Bewertungsregel angewendet werden: Je weniger Verarbeitungsschritte über eine einmalige Gesichtserkennung zum Zweck des Unkenntlichmachens hinausgehen, desto geringer ist das Risiko, in den Anwendungsbereich biometrischer Regulierung zu fallen. Das ersetzt keine Rechtsanalyse, hilft aber dabei, die Architektur der Lösung klar zu strukturieren.

Normative Verweise und Quellen

Definitionen und Pflichten sollten in erster Linie anhand der Primärquellen überprüft werden. Bei Auslegungsunterschieden haben der Gesetzestext und die offizielle Durchsetzungspraxis Vorrang.

• Texas Business and Commerce Code, Chapter 503 – Biometric Identifiers, geltendes Recht im Bundesstaat Texas
• Illinois Biometric Information Privacy Act – 740 ILCS 14
• Materialien und Mitteilungen des Attorney General of Texas zur Durchsetzung biometrischer Vorschriften
• Technische Dokumentation des Bildverarbeitungssystems – erforderlich, um festzustellen, ob biometrische Muster erzeugt werden

Siehe auch

• DSGVO
• Datenanonymisierung
• Gesichter unkenntlich machen
• Schutz der Privatsphäre