Sicherheit versus Datenschutz: Gesichtserkennungssoftware

Bundesinnenminister Thomas de Maizière sprach sich am 11.08.2016 für eine Videoüberwachung mit automatischer Gesichtserkennung in Flughäfen und Bahnhöfen aus. Im Rahmen des Forderungskatalogs zur inneren Sicherheit erhoffen sich die Unionsinnenminister durch diese Maßnahme eine effektivere Terrorbekämpfung und -prävention und somit höhere Sicherheitsstandards. Muss das Datenschutzrecht hinter der präventiven Terrorabwehr zurückstehen? Ist die Entwicklung zum gläsernen Bürger unaufhaltsam? Der Vorschlag wurde stark kritisiert. Es wird ein Überwachungsstaat sowie die Missachtung des Persönlichkeitsrechts befürchtet. Bedenken gibt es auch hinsichtlich der Kosten, die diese Implementierung nach sich ziehen würde, und der technischen Umsetzung. Letztere wird bei Vermummungen oder schlechten Lichtverhältnissen entsprechend erschwert. Bei der Videoüberwachung mit automatischer Gesichtserkennung gleicht der Computer das durch die Überwachungskamera erfasste Gesicht live mit Bildern aus vorhandenen Datensätzen ab. Die Datensätze können sich aus Fahndungsfotos der Polizei oder Ausweisbildern zusammensetzen.

Die Kontrolle der erhobenen Daten ist kritisch. Wer kontrolliert die Löschung der Daten? Wer hat Zugriff auf diese Daten und unter welchen Bedingungen? Wird die Gesichtserkennung nur in Ausnahmezuständen oder im Falle eines konkreten Terrorverdachts aktiviert? Wer entscheidet, was ein konkreter Verdacht ist? Wie sieht der rechtliche Rahmen für diese Sicherheitsmaßnahme aus? Viele Fragen bezüglich der geplanten Gesichtserkennungssoftware sind bislang noch offen. Über die konkrete Funktionsweise des Systems, das zukünftig infolge der geplanten Maßnahmen an deutschen Flughäfen zum Einsatz kommen soll, ist bislang wenig bekannt.((„Wir müssen uns auch technologisch weiterentwickeln, etwa beim Einsatz von Biometrie. Mein Ziel ist es, Lichtbilder und moderne Gesichtserkennungssysteme auch für die Arbeit der Sicherheitsbehörden zu nutzen. Perspektivisch sollen sie mit vergleichbarer Zuverlässigkeit wie bei einem Fingerabdruck zur Identifizierung von Personen eingesetzt werden können.“ Statement des Ministers Thomas de Maizière im Rahmen der Pressekonferenz. Siehe auch S. 3ff. Handout zu den geplanten Maßnahmen zur Erhöhung der Sicherheit in Deutschland.))

Gesichtserkennung im Einsatz

Es gibt unterschiedliche Technologien der Gesichtserkennung: etwa die Gesichtserkennung an einem Flughafenschalter, bei dem das Gesicht gescannt wird während die Person durch einen Schalter geht und dieses mit dem gescannten Passbild verglichen wird. Diese Systeme, wie z.B. das „Smart Border“ am Flughafen Frankfurt Main ((Lesen Sie mehr dazu unter Sächsische Zeitung Online: “Digitale Grenzschleusen am Flughafen“)), können Passagiere freiwillig zur zeitsparenden Einreisekontrolle nutzen. Diese Technologie ist inzwischen schon so weit entwickelt, dass sie auch gute Fälschungen, wie z.B. Gesichtsmasken, erkennen kann.

Ein anderes System, das derzeit in einigen Stadtteilen Londons eingesetzt wird, scannt einen Bereich (z.B. den Eingang eines U-Bahnhofs) auf verdächtige Personen oder Objekte und erfasst die Gesichter der verdächtigen Personen. Diese Daten kann die Polizei auswerten und abgleichen. Auch wenn dies zur Erhöhung es Sicherheitsgefühls der Bürger an den Einsatzorten beigetragen haben mag; Täter wurden mithilfe des Systems bisher noch nicht gefasst. ((Mehr dazu lesen Sie im Artikel “Robo Cop” bei The Guardian))

In Panama kommt bereits seit 2014 die automatische Gesichtserkennung zur Fahndung am Tocumen Flughafen zum Einsatz. ((Lesen Sie mehr dazu im Artikel “FaceFirst Expands Border Control Deployment in Panama”)) Über die Überwachungskameras werden die Gesichter am Flughafen nach gefahndeten Personen gescannt, deren Daten zuvor in das System eingegeben wurden. Auf diese Weise kann nach bis zu 30 Personen pro Tag gefahndet werden. An Flughäfen in London, Zürich und Washington wurde das System der automatischen Gesichtserkennung bisher nur getestet (Mehr dazu lesen Sie unter folgenden Quellen: Swiss-Info: “Gesichtserkennung am Zürcher Flughafen”, Washington Post: “The government tested facial recognition tech on thousands of travelers at a Washington area airport” oder The Standard: “New facial scanners at Heathrow to check the identity of millions”)

In Deutschland wurde bereits 2011 an den Eingangskontrollen eines Fußballstadions testweise Videoüberwachung mit automatisierter Gesichtserkennung durchgeführt, um Personen, denen ein Hausverbot erteilt wurde, schneller erkennen und herausfiltern zu können.((Mehr dazu lesen Sie in den lokalen Karlsruher Nachrichten)) Aufgrund starker Proteste von Datenschützern, Politikern und Fußballfans wurden diese Tests jedoch eingestellt.

Der Aufschrei war groß als Facebook in seiner App „Moments“ Gesichtserkennung für Fotos einführen wollte. Die Kritik der Öffentlichkeit und der europäischen Datenschutzbeauftragten an der Gesichtserkennung im Internet war so immens, dass Facebook die Erkennungsfunktion für Europa letztlich wieder gestoppt hat.

In Russland kann mit einer App namens Findface mithilfe eines Fotos ein Profil aus den sozialen Netzwerken gefunden werden. ((Mehr dazu lesen Sie unter Jetzt.de: “Russische App will Anonymität abschaffen”))  Dass die Missbrauchssorge von Datenschützern nicht unbegründet ist, zeigt sich in der Aussage des Gründers von FindFace: eine mögliche Zusammenarbeit mit dem russischen Geheimdienst wird nicht kategorisch ausgeschlossen.((Mehr dazu lesen Sie unter Spiegel.de: “Die Erkennungsmaschine aus Russland”))

Rechtliche Bewertung

Zunächst bedarf die Maßnahme der Gesichtserkennung wegen des rechtsstaatlichen Grundsatzes des Gesetzesvorbehalts für Eingriffe in Grundrechte der Bürger einer rechtlichen Grundlage. Die Videoaufzeichnung mit Gesichtserkennung stellt einen Eingriff in das grundrechtlich geschützte Persönlichkeitsrecht, insbesondere in dessen Ausprägungen Recht am eigenen Bild und in das Recht auf informationelle Selbstbestimmung, Art 2 Abs. 1 iVm. Art. 1 Abs.1 Grundgesetz, dar. Eine Rechtsgrundlage für die Verarbeitung der Bild- und Videodaten zum Zweck der biometrischen Auswertung gibt es derzeit jedoch noch nicht.

Eine Legitimation könnte sich aus den Landesdatenschutzgesetzen, dem Bundesdatenschutzgesetz (BDSG), der Strafprozessordnung oder aus den Polizeigesetzen der Länder ergeben. Der Einsatz der Gesichtserkennungssoftware könnte auf das BDSG gestützt werden((So stützte das BKA die Testdurchführung von Gesichtserkennungssoftware als Fahndungshilfsmittel in deutschen Bahnhöfen im Rahmen eines Forschungsprojekts auf § 6b Abs. 1 Nr.1 BDSG iVm. § 2 Abs.6 Nr.3 BKAG: Forschungsprojekt Gesichtserkennung als Fahndungshilfsmittel, Foto-Fahndung, Abschlussbericht des Bundeskriminalamts)). Bei der Videoüberwachung mit Gesichtserkennung werden Personen anhand ihrer Gesichter identifiziert. Damit werden Angaben zu einer bestimmten Person (Gesicht, Name etc.) ermittelt, mit deren Hilfe weitere Informationen über diese Person bestimmbar sind. Dies sind personenbezogene Daten, die mithilfe der Gesichtserkennungssoftware erhoben, verarbeitet und genutzt werden. Damit findet das BDSG Anwendung. Gemäß § 4 Abs. 1 BDSG ist die Erhebung, Verarbeitung und Nutzung personenbezogener Daten nur dann zulässig, wenn eine Rechtsvorschrift dies erlaubt oder der Betroffene eingewilligt hat. Eine Einwilligung kommt nicht in Betracht, da die Gesichtserkennung ohne Wissen der Personen durchgeführt wird. Auch wenn die Menschen an Bahnhöfen durch Hinweisschilder auf die Videoüberwachung mit Gesichtserkennung hingewiesen werden würden, hätten sie nicht die Möglichkeit zu widersprechen. An Flughäfen und Bahnhöfen, wo die Gesichtserkennung zum Einsatz kommen soll, stellt es für die Betroffenen auch keine hinnehmbare Alternative dar, diese Plätze zu meiden.

Eine Rechtsvorschrift speziell für die Datenverarbeitung im Rahmen der Gesichtserkennungssoftware gibt es nicht. Fraglich ist, ob § 6b BDSG als Rechtsvorschrift in Betracht kommt. § 6b BDSG erlaubt die Videoüberwachung an öffentlich zugänglichen Räumen. Flughäfen und Bahnhöfe sind öffentlich zugängliche Räume. Zweifelhaft ist aber, ob eine Videoüberwachung mit automatisierter Gesichtserkennung noch unter die Videoüberwachung nach § 6b BDSG fällt.

Dagegen spricht der eindeutige Gesetzeswortlaut. § 6b BDSG enthält keine Regelungen zur Gesichtserkennung, welche von einer schlichten Videoüberwachung deutlich abzugrenzen ist. Außerdem hat der Gesetzgeber bei der Schaffung des § 6b BDSG die aktuellen neuesten technischen Standards des Jahres 2016 noch nicht im Blick gehabt. Er wollte lediglich die schlichte Videoüberwachung an öffentlichen Plätzen regeln. Dafür spricht außerdem, dass der Eingriff in die Grundrechte des Betroffenen bei einer Gesichtserkennung viel höher ist, als bei der schlichten Videoüberwachung und deshalb getrennt geregelt hätte werden müssen. Folglich erlaubt § 6b BDSG nicht die Verwendung der Gesichtserkennungssoftware an öffentlichen Plätzen.

Auch wenn man das System der automatisierten Gesichtserkennung noch unter § 6b BDSG fasst, müssten die weiteren Voraussetzungen des § 6b BDSG erfüllt werden. Die Person, deren Daten über die Gesichtserkennung ermittelt werden, müsste gemäß § 6b Abs. 4 BDSG benachrichtigt werden. Die praktische Umsetzbarkeit wäre dabei fraglich. Die Daten müssen auch nach § 6b Abs. 5 BDSG sofort gelöscht werden, wenn sie zur Zweckerreichung nicht mehr notwendig sind. Hier stellt sich wieder das Problem der Kontrolle der Speicherdauer und der Löschung der Daten. Die ohnehin schon umstrittene Vorratsdatenspeicherung soll bei dieser Maßnahme sogar noch ausgedehnt werden, was ebenfalls ein starkes Argument für eine eigene Rechtsgrundlage ist.

Ferner kommen als Rechtsgrundlage allgemeine polizeirechtliche Normen (wie z.B. Datenabgleich § 28 ASOG für Berlin, auch geregelt in § 98c StPO) in Betracht. Fraglich ist jedoch schon, ob die Polizei überhaupt tätig wird bzw. wer die Überwachungsmaßnahme leitet. Der Datenabgleich zur Gefahrenabwehr gestattet es der Polizei, personenbezogene Daten mit den eigenen vorhandenen Datenbeständen zu vergleichen. Voraussetzung ist aber, dass die zum Vergleich verwendeten Daten rechtmäßig erhoben wurden. Für die Datenerhebung selbst stellt dies folglich keine Rechtsgrundlage dar.

Die durch die Polizei durchgeführte Videoüberwachung mit Gesichtserkennung könnte eine Identitätsfeststellung (§ 21 ASOG Berlin)((Bzw. entsprechende Landesgesetze in anderen Bundesländern.)) sein. Jedoch erfolgt die Überwachung, im Gegensatz zur Identitätsfeststellung durch einen Polizisten, gerade ohne Kenntnis der Person. Die Person kann sich im Fall der Überwachung nicht wehren. Außerdem muss für eine Identitätsfeststellung ein konkreter Gefahrenverdacht vorliegen. Die kontrollierte Person muss Störer sein, d.h. in irgendeiner Form polizeirechtlich verantwortlich. Deshalb passt auch diese Ermächtigungsgrundlage nicht für die pauschale Gesichtserkennung von Personen an Flughäfen und Bahnhöfen.

Unter den Voraussetzungen des § 100 h StPO sind Maßnahmen außerhalb des Wohnraums auch ohne Wissen der Betroffenen zulässig. Allerdings gelten auch hier enge Grenzen. Nur wenn die Ermittlung des Terrorverdächtigen auf andere Weise wenig erfolgsversprechend wäre, dürfen nach dieser Norm auch andere Personen als der Beschuldigte selbst überwacht werden. Die Maßnahme muss also konkret auf ihre Verhältnismäßigkeit überprüft werden. Eine allgemeine Gesichtserkennung rund um die Uhr kann diese Norm nicht legitimieren, nur bei konkreten Anhaltspunkten für eine Straftat könnten die Gesichtserkennungsmaßnahmen hiernach erlaubt sein.

Auch § 163 b StPO kann als Rechtsgrundlage für die Gesichtserkennungsmaßnahme nicht dienen, denn die Norm lässt lediglich Maßnahmen gegen eine Person zu, die der Straftat verdächtig ist.

Stärkerer Eingriff als bei einer Videoüberwachung?

Die Gesichtserkennung stellt im Vergleich zur normalen Videoüberwachung einen schärferen Grundrechtseingriff dar, denn aus den bestimmbaren Personen werden bestimmte Personen. Gesichter sind eindeutige Identifikationsmerkmale einer Person. Als Ausdruck der Individualität bilden sie einen Bezug zur in Art. 1 Abs.1 GG geschützten Menschenwürde. Durch die Gesichtserkennung erfolgt praktisch eine Identitätsfeststellung, welche einen Eingriff in das Recht auf informationelle Selbstbestimmung darstellt. Dieses gewährt grundsätzlich jedem das Recht selbst zu bestimmen, wer was über ihn weiß oder wissen soll. Deshalb müssen bei der Gesichtserkennung auch strengere Voraussetzungen gelten als für die reine Videoüberwachung. Eine analoge Anwendung der rechtlichen Grundlagen für die Videoüberwachung kommt daher nicht in Betracht. Daraus folgt, dass es an einer Rechtsgrundlage für die von de Maizière geplante Maßnahme zur Gesichtserkennung fehlt. Diese müsste vorerst durch den Gesetzgeber geschaffen werden.

Wenn Sie Hilfe benötigen, kontaktieren Sie uns.