Was ist Videoanonymisierung in der wissenschaftlichen Forschung?

Was ist Videoanonymisierung in der wissenschaftlichen Forschung?

Die Videoanonymisierung in der wissenschaftlichen Forschung umfasst technische und organisatorische Maßnahmen, mit denen Forschungsaufnahmen und -bilder so aufbereitet werden, dass die Identifizierung natürlicher Personen im Material eingeschränkt oder ausgeschlossen wird. In der Praxis betrifft dies vor allem Gesichter, Kfz-Kennzeichen und andere Elemente, die Rückschlüsse auf die Identität zulassen, sofern sie im Bild sichtbar sind und im jeweiligen Forschungskontext identifizierende Bedeutung haben.

Videoanonymisierung in der Forschung – Definition

Bei visuellen Materialien ist zwischen Anonymisierung und Pseudonymisierung zu unterscheiden. Nach der DSGVO bleibt die Pseudonymisierung weiterhin eine Verarbeitung personenbezogener Daten, da eine Zuordnung zu einer konkreten Person mithilfe zusätzlicher Informationen möglich ist. Eine Anonymisierung ist dagegen irreversibel. In der Forschungspraxis ist eine vollständige Anonymisierung von Videoaufnahmen oft schwierig, weil sich eine Identifizierung nicht nur aus dem Gesicht ergeben kann, sondern auch aus dem Szenenkontext, der Stimme, der Kleidung, dem Ort, dem Zeitpunkt eines Ereignisses oder aus Dateimetadaten. Deshalb sind viele Datensätze nach dem Unkenntlichmachen von Gesichtern und Kennzeichen eher als Materialien mit reduziertem Re-Identifizierungsrisiko zu bewerten und nicht immer als endgültig anonymisierte Daten.

Die rechtliche Grundlage für diese Bewertung bildet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, also die DSGVO, die seit dem 25. Mai 2018 gilt, sowie Leitlinien des Europäischen Datenschutzausschusses, unter anderem zu Pseudonymisierung, Datenminimierung und Privacy by Design. In der wissenschaftlichen Forschung kommen zudem Einwilligungen und Stellungnahmen von Ethikkommissionen, Richtlinien der Forschungseinrichtung, Anforderungen von Fördermittelgebern sowie Standards für die Archivierung und Bereitstellung von Forschungsdaten hinzu.

Die Rolle der Videoanonymisierung in der wissenschaftlichen Forschung

In der wissenschaftlichen Forschung werden Videos und Fotografien unter anderem in den Sozialwissenschaften, der Medizin, der Psychologie, der Verkehrsforschung, der Ergonomie, der Bildungsforschung, im Sport und in Verhaltensstudien eingesetzt. Solches Material kann analytisch sehr wertvoll sein, zugleich aber personenbezogene Daten oder besondere Kategorien personenbezogener Daten enthalten, etwa wenn es Gesundheitszustände, Behinderungen, Kinder oder intime Situationen zeigt.

Die Videoanonymisierung erfüllt dabei mehrere Ziele gleichzeitig:

• Umsetzung des Grundsatzes der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO,
• Reduzierung des Risikos einer Beeinträchtigung der Rechte und Freiheiten von Studienteilnehmenden,
• Ermöglichung einer sichereren Weitergabe von Materialien an Forschungsteams, Auditoren oder Datenarchive,
• Erfüllung von Anforderungen aus ethischen Genehmigungen, wenn eine Ethikkommission die De-Identifizierung des Materials vor Analyse oder Veröffentlichung verlangt,
• Vorbereitung des Materials für eine Sekundärnutzung in der Forschung gemäß den Richtlinien der Institution.

Bei bildbasierten Studien reicht das bloße Entfernen von Dateimetadaten nicht aus. Wenn in einer Aufnahme ein Gesicht, ein Kfz-Kennzeichen oder ein anderer eindeutiger Identifikator sichtbar ist, kann das Material weiterhin eine Identifizierung ermöglichen. Deshalb sind Verfahren entscheidend, die direkt in die Bildebene eingreifen.

Wie die Anonymisierung von Fotos und Forschungsaufnahmen abläuft

Der Prozess sollte vor Beginn der Datenerhebung geplant werden. In der Praxis bedeutet dies, Risiken der Identifizierbarkeit zu beschreiben, die Rechtsgrundlage der Verarbeitung festzulegen und zu definieren, welche Bildelemente automatisiert und welche manuell maskiert werden.

Ein typischer Ablauf umfasst folgende Schritte:

• Bestandsaufnahme des Materials – Fotos, Videosequenzen, Dateiformate, Metadaten, Aufnahmedauer, Anzahl der Personen.
• Risikoklassifizierung – ob das Material Kinder, Patientinnen und Patienten, Personen in sensiblen Situationen oder private Orte zeigt.
• Erkennung identifizierender Objekte – vor allem Gesichter und Kfz-Kennzeichen.
• Maskierung – meist durch Weichzeichnen, Verpixelung oder dauerhaftes Abdecken des Bereichs.
• Qualitätskontrolle – Prüfung, ob keine Frames mit sichtbaren Gesichtern oder Kennzeichen verbleiben.
• Archivierung – Trennung von Originalversion und anonymisierter Version sowie Vergabe von Zugriffsrechten und Aufbewahrungsfristen.

Bei Gallio PRO betrifft die automatische Unkenntlichmachung Gesichter und Kfz-Kennzeichen. Die Software erkennt Logos, Tätowierungen, persönliche Ausweise, Dokumente oder Inhalte auf Bildschirmen nicht automatisch. Solche Elemente können im integrierten Editor manuell unkenntlich gemacht werden. Das ist besonders wichtig in Feldstudien, Laborstudien und Beobachtungsstudien, in denen nicht nur das Gesicht zur Identifizierung beitragen kann.

Technologien für die Videoanonymisierung

Eine wirksame Videoanonymisierung visuellen Materials setzt die korrekte Objekterkennung in jedem einzelnen Frame oder in repräsentativen Einzelbildern voraus. In der Praxis kommen dafür Modelle des maschinellen Lernens zum Einsatz, meist aus dem Bereich des Deep Learning. Das ist notwendig, weil klassische Verfahren, die ausschließlich auf Bildmerkmalen beruhen, in der Regel weniger robust gegenüber wechselnden Lichtverhältnissen, Kameraperspektiven, teilweise verdeckten Gesichtern oder Bewegung sind.

Technisch sieht der Prozess in der Regel so aus:

• Ein Detektionsmodell lokalisiert ein Gesicht oder ein Kfz-Kennzeichen im Bild.
• Ein Tracking-Algorithmus verknüpft die Erkennungen über aufeinanderfolgende Frames hinweg.
• Ein Maskierungsmodul legt einen Weichzeichnungs- oder Abdeckungseffekt über den gesamten erkannten Bereich.
• Eine Bedienperson prüft das Material und nimmt manuelle Korrekturen vor.

Für den Aufbau von Detektionsmodellen werden CNN-Architekturen oder deren neuere Varianten verwendet; bei Aufgaben der Objekterkennung kommen außerdem One-Stage- und Two-Stage-Modelle zum Einsatz. Entscheidend ist jedoch nicht, welche Architektur verwendet wurde, sondern ob das Modell auf Daten, die dem jeweiligen Forschungsszenario ähneln, eine ausreichende Sensitivität und Stabilität erreicht. Material aus stationären Kameras, Smartphones, Bodycams und Laborumgebungen hat unterschiedliche Eigenschaften, daher sollte ein Modell für den konkreten Anwendungsfall validiert werden.

Eine wichtige praktische Einschränkung besteht darin, dass Gallio PRO keine Echtzeit-Anonymisierung und keine Anonymisierung von Videostreams durchführt. Es handelt sich um eine Lösung für die Verarbeitung bereits gespeicherter Materialien, was in der wissenschaftlichen Forschung in der Regel dem tatsächlichen Arbeitsablauf und den Archivierungsprozessen entspricht.

Zentrale Parameter und Metriken der Videoanonymisierung

Die Qualität einer Videoanonymisierung sollte nicht allein auf der Aussage beruhen, dass Material unkenntlich gemacht wurde. Erforderlich sind messbare Kennzahlen für Erkennung und Qualitätskontrolle. In der Praxis werden sowohl Metriken aus dem Bereich Computer Vision als auch operative Kennzahlen zur Verarbeitung des Datenbestands verwendet.

Parameter

Bedeutung

Warum er in der Forschung wichtig ist

Recall

Anteil der tatsächlich vorhandenen Gesichter oder Kennzeichen, die vom System erkannt werden

Ein niedriger Recall bedeutet das Risiko, sichtbare personenbezogene Daten im Material zu belassen

Precision

Anteil korrekter Erkennungen an allen Erkennungen

Eine niedrige Precision erhöht die Zahl fehlerhafter Maskierungen und den Aufwand für manuelle Korrekturen

IoU

Intersection over Union für den erkannten Bereich

Beeinflusst, ob die Maske den gesamten Bereich eines Gesichts oder Kennzeichens abdeckt

Miss Rate pro 1000 Frames

Anzahl nicht erkannter Objekte pro 1000 Frames

Erleichtert die Bewertung des Restrisikos bei langen Aufnahmen

Verarbeitungszeit

Minuten Material, die pro Systemstunde verarbeitet werden

Beeinflusst die Projektplanung und die operativen Kosten

Anteil manueller Korrekturen

Anteil der Aufnahmen, die Eingriffe durch eine Bedienperson erfordern

Zeigt die Reife des Prozesses und den tatsächlichen Arbeitsaufwand

Zur Risikobewertung kann ein einfacher operativer Indikator verwendet werden:

Restrisiko = P(Nichterkennung) x Folgen einer Offenlegung x Exposition des Materials

Dies ist keine normative Formel, aber ein nützliches Arbeitsmodell für eine Datenschutz-Folgenabschätzung und die Bewertung eines Forschungsprojekts. Jede Komponente sollte entsprechend der Methodik der Institution qualitativ oder quantitativ beschrieben werden.

DSGVO, ethische Einwilligungen und Archivierung von Forschungsmaterialien

In der wissenschaftlichen Forschung entbindet die bloße Anonymisierung von Bildmaterial nicht von rechtlichen Pflichten in früheren Phasen des Datenlebenszyklus. Wenn das Ausgangsmaterial personenbezogene Daten enthält, müssen Erhebung, Speicherung und Verarbeitung auf einer Rechtsgrundlage beruhen. In der Praxis ist dies häufig eine Aufgabe im öffentlichen Interesse, die Einwilligung der betroffenen Person oder eine andere Grundlage, die im nationalen Recht und in internen Regelungen der Institution vorgesehen ist.

Die wichtigsten Anforderungen umfassen:

• Art. 5 DSGVO – Grundsätze der Verarbeitung, darunter Rechtmäßigkeit, Datenminimierung, Zweckbindung, Integrität und Vertraulichkeit,
• Art. 9 DSGVO – besondere Kategorien personenbezogener Daten, wenn eine Aufnahme etwa Gesundheitsdaten offenlegt,
• Art. 25 DSGVO – Privacy by Design und Privacy by Default,
• Art. 32 DSGVO – angemessene Sicherheitsmaßnahmen,
• Art. 35 DSGVO – Datenschutz-Folgenabschätzung bei hohem Risiko.

In wissenschaftlichen Projekten sind auch Einwilligungen und Stellungnahmen von Ethikkommissionen von Bedeutung. Die ethische Dokumentation sollte festlegen, ob das Material archiviert wird, wie lange es aufbewahrt wird, wer Zugang zur Originalversion erhält und ob eine Bereitstellung für Sekundärforschende geplant ist. Als gute Praxis gilt, die Rohversion in einer Umgebung mit erhöhtem Schutzniveau zu speichern und für Teamanalysen sowie Publikationen ausschließlich die anonymisierte oder zumindest hinsichtlich des Identifizierungsrisikos reduzierte Version zu verwenden.

Im Bereich der Archivierung empfiehlt es sich, die FAIR-Prinzipien für Forschungsdaten heranzuziehen, die 2016 veröffentlicht wurden, mit der Einschränkung, dass Verfügbarkeit und Interoperabilität den Schutz der Privatsphäre nicht beeinträchtigen dürfen. In der Praxis bedeutet dies die Trennung beschreibender Metadaten von Bilddateien sowie eine kontrollierte Rechtevergabe für Repositorien.

Herausforderungen und Grenzen der Anonymisierung visueller Materialien

Das größte Problem besteht darin, dass die Identifizierung einer Person aus einer Kombination mehrerer Merkmale resultieren kann. Das Unkenntlichmachen eines Gesichts reicht nicht immer aus. In einer Studie können auch auffällige Kleidung, ein bestimmter Ort, die Stimme, eine bekannte Uhrzeit des Ereignisses oder die Begleitung durch andere Personen identifizierend wirken. Daher erfordert die Entscheidung, ob Material tatsächlich anonym ist, immer eine kontextbezogene Bewertung.

Hinzu kommen rechtliche und auslegungsbezogene Grenzen. In vielen europäischen Staaten gilt das Unkenntlichmachen von Kfz-Kennzeichen grundsätzlich als Vorsichtsstandard und ergibt sich aus nationalen Regulierungspraxen sowie einem weiten Verständnis des Schutzes der Privatsphäre. In Polen ist die Frage der Kennzeichen weniger eindeutig. Einerseits weisen die polnische Datenschutzbehörde UODO und Teile der unionsrechtlichen Rechtsprechung auf die Notwendigkeit eines vorsichtigen Umgangs mit indirekten Identifikatoren hin. Andererseits findet sich in der Rechtsprechung des Obersten Verwaltungsgerichts die Auffassung, dass ein Kfz-Kennzeichen für sich genommen nicht immer ein personenbezogenes Datum darstellt. In der wissenschaftlichen Forschung ist es sicherer, einen vorsorglichen Ansatz zu wählen und Kennzeichen zu maskieren, insbesondere bei der Veröffentlichung von Material.

Auch das Bildnis einer Person erfordert gesonderte Aufmerksamkeit. Die Pflichten ergeben sich nicht nur aus der DSGVO, sondern auch aus dem Bürgerlichen Gesetzbuch und dem Urheberrechtsgesetz. In der Praxis bestehen zwar Ausnahmen für Personen des öffentlichen Lebens, für größere Szenen und für Situationen, in denen für das Posieren eine Vergütung gezahlt wurde, doch ihre Anwendung erfordert stets eine Einzelfallprüfung im Hinblick auf den Forschungszweck und die weitere Nutzung des Materials.

Beispiele für den Einsatz der Videoanonymisierung in der Forschung

Die Anonymisierung von Fotos und Videos ist vor allem dort sinnvoll, wo das Bildmaterial zur Analyse eines Phänomens benötigt wird, die Identität der Person für Forschende jedoch nicht erforderlich ist oder auf einen eng begrenzten Kreis berechtigter Personen beschränkt bleiben sollte.

• Untersuchungen zum Verhalten von Fußgängern und Fahrzeugführenden – Maskierung von Gesichtern und Kfz-Kennzeichen vor der Verkehrs- oder Bewegungsanalyse.
• Analyse von Interaktionen im Klassenzimmer – Unkenntlichmachung der Gesichter von Schülerinnen und Schülern, bevor das Material an externe Kodierer weitergegeben wird.
• Medizinische und rehabilitationsbezogene Studien – Begrenzung der Identifizierbarkeit von Patientinnen und Patienten in Aufnahmen von Übungen oder Konsultationen.
• UX-Studien und Eyetracking im Labor – Schutz der Identität von Teilnehmenden bei gleichzeitiger Erhaltung von Verhaltens- und Bewegungsinformationen.
• Feldforschung im öffentlichen Raum – Veröffentlichung von Anschauungsmaterial erst nach der Maskierung von Personen und Fahrzeugen.

Normative Bezüge und Quellen

Die folgenden Rechtsakte und Dokumente bilden die Grundlage für die Auslegung des Begriffs sowie für die Praxis der Anonymisierung visueller Materialien in der wissenschaftlichen Forschung:

• Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 – DSGVO.
• Article 29 Working Party, Opinion 05/2014 on Anonymisation Techniques, 10 April 2014.
• European Data Protection Board – Leitlinien zur DSGVO, zu Privacy by Design, zur Einwilligung sowie Leitlinien zur Datenverarbeitung für wissenschaftliche Forschungszwecke, soweit anwendbar.
• OECD Recommendation of the Council concerning Access to Research Data from Public Funding, 2021.
• Wilkinson et al., The FAIR Guiding Principles for scientific data management and stewardship, Scientific Data 3, 2016.
• Gesetz vom 4. Februar 1994 über Urheberrecht und verwandte Schutzrechte.
• Bürgerliches Gesetzbuch – Vorschriften zum Schutz persönlicher Güter, darunter Bildnis und Privatsphäre.

Wenn eine Institution lokale Richtlinien für das Management von Forschungsdaten, Repositorien und Aufbewahrungsfristen anwendet, sind diese als ergänzende Ebene zu den allgemeinen gesetzlichen Vorschriften zu betrachten. In der Praxis präzisieren gerade sie häufig Mindestfristen für die Archivierung, das Zugriffsmodell und die Dokumentationsanforderungen für Videomaterial.

Siehe auch

• Datenanonymisierung
• Gesichter unkenntlich machen
• Kfz-Kennzeichen unkenntlich machen
• DSGVO-Konformität