Gesichtserkennung: Datenschutzaufsicht Niedersachsen prüft heimliche Observation

Inhaltsverzeichnis

Der niedersächsische Datenschutzbeauftragte Denis Lehmkemper will den Einsatz eines Systems zur verdeckten Videoüberwachung inklusive biometrischer Gesichtserkennung in Niedersachsen genau untersuchen. Dies erklärte ein Sprecher gegenüber heise online. Bei der Observationstechnik geht es um das umstrittene Personen-Identifikations-Systems (PerIS), das die Polizeidirektion (PD) Görlitz von der Bremer Firma OptoPrecision entwickeln ließ und seit einigen Jahren nutzt. Die Datenschutzbehörde Niedersachsen erhielt nach Angaben ihres Sprechers erst am Dienstag Kenntnis davon, dass auch die PD Hannover PerIS bereits verwendet hat.

Die Technik sei in einem Verfahren wegen bandenmäßiger Eigentumskriminalität verwendet worden und habe Hinweise auf Fahrzeuge erbracht, die von Mitgliedern der Bande benutzt worden seien, berichteten zuvor Netzpolitik.org und das Neue Deutschland (nd). PerIS habe sich als "hilfreich für die parallel laufenden konventionellen Observationsmaßnahmen" erwiesen, führte demnach ein Sprecher der PD Hannover aus.

Jüngst war publik geworden, dass die sächsische Polizei bei PerIS mehreren Bundesländern Amtshilfe leistet. Das System nimmt Nummernschilder vorbeikommender Kfz sowie Gesichtsbilder von Fahrern und Beifahrern auf. Es ist unter anderem in Berlin eingesetzt worden und kann nach dortigen offiziellen Angaben Gesichtsbilder "mit der zeitlichen Verzögerung von wenigen Sekunden" verarbeiten. Alle im Umkreis erfassten Personen werden demnach mit Bildern von Tatverdächtigen aus einem konkreten Ermittlungsverfahren abgeglichen. Treffer sollen dann durch Polizeibeamte überprüft werden. Die sächsische Staatsregierung erklärte mittlerweile gegenüber dem Parlament, das System werde auch in beziehungsweise für Nordrhein-Westfalen, Brandenburg und Baden-Württemberg verwendet.

Ermittlungshilfe für Niedersachsen aus Sachsen

Gegenüber heise online schilderte ein Sprecher der PD Hannover den Fall so, dass die Fahnder "Ermittlungsunterstützung von der Polizei Sachsen erhalten". Die entsprechenden Anlagen befänden sich physisch nicht in Niedersachsen und seien auch nicht durch dortige Polizeibeamte bedient worden. Die gezielte Suche nach Kennzeichen, Fahrzeugen und Personen sei auf Grundlage eines richterlichen Beschlusses des Amtsgerichts Hannover erfolgt.

Auch nach mehreren Tagen konnte die Polizei von Hannover nicht sagen, ob sie selbst eine Datenschutz-Folgenabschätzung für PerIS durchgeführt hat oder eventuell von einer anderen Stelle eine solche vorliegt. Eine solche vorherige Analyse ist EU-rechtlich vorgeschrieben. Die sächsische Datenschutzbeauftragte Juliane Hundert fühlte sich in dieser Angelegenheit bereits übergangen.

Die für die PD Hannover heimlich aufgenommenen Fotos wurden den Berichten zufolge mit Polizeidatenbanken abgeglichen, die Bilder aus erkennungsdienstlichen Maßnahmen enthalten. Als Rechtsgrundlage für den Einsatz nennt die Polizei in Hannover Paragraf 98c Strafprozessordnung (StPO). Er regelt den maschinellen Abgleich mit vorhandenen Daten zur Aufklärung einer Straftat oder zur Ermittlung des Aufenthaltsortes einer Person, nach der in einem Strafverfahren gefahndet wird. Laut Staatsrechtlern führt diese Norm aber zu Problemen wie dem Fehlen echter Eingriffsschwellen, also klarer Anforderungen für einen Einsatz durch Ermittler.

Datenschutz-Folgenabschätzung ist vorgeschrieben

"Nach der Grundsatzrechtsprechung des Bundesverfassungsgerichts bedarf es bei einem intensiven Grundrechtseingriff stets einer spezialgesetzlichen Erlaubnisnorm", betonte der Sprecher Lehmkempers. Ob Paragraf 98c StPO die Anforderungen für den Einsatz des Systems erfülle, müsse man sich noch anschauen anhand der Leitlinien über den Einsatz von Gesichtserkennungstechnologie im Bereich der Strafverfolgung des europäischen Datenschutzausschusses (EDSA). Darin heißt es: "Die Verarbeitung biometrischer Daten stellt unter allen Umständen einen schwerwiegenden Eingriff dar." Dies hänge nicht vom Ergebnis, also etwa einem positiven Abgleich, ab.

Prinzipiell drängten die EU-Datenschutzbeauftragten im Rahmen der EU-Verordnung für Systeme mit Künstlicher Intelligenz (KI) auf ein klares Verbot biometrischer Gesichtserkennung, womit sie sich aber nicht durchsetzen konnten. In ihren Leitlinien weisen sie darauf hin, dass vor jedem Einsatz biometrischer Gesichtserkennung eine Datenschutz-Folgenabschätzung vorgeschrieben sei. Diese sollte möglichst auch veröffentlicht sowie die zuständige Datenschutzaufsicht konsultiert werden.

Automatisierter Abgleich mit Datenbanken?

Laut der PD Hannover fallen bei PerIS täglich rund 6 Terabyte Daten von Gesichtern und Kennzeichen an, die durch eine eigens entwickelte komplexe Software ausgewertet werden. Eine "mühsame Sichtung einzelner Videoclips nach relevanten Daten" durch Beamte könne so meist entfallen. Alle im Anschluss nicht mehr benötigten Daten würden nach 96 Stunden automatisch unwiderruflich gelöscht. Das System werde aktuell nicht für einen Abgleich in Echtzeit genutzt. Vorbehaltlich der rechtlichen Ausgangslage sei aber die "automatisierte Detektion" von Gesichtern und Kfz-Kennzeichen auch in einem Live-Modus möglich. Ob dieser künftig aktiviert werde, sei "ein landesweites Thema", über das man nicht allein entscheide.

Das sächsische Innenministerium versicherte im Oktober: "Ein automatisierter Abgleich mit inländischen oder europäischen Datenbanken ist zu keinem Zeitpunkt erfolgt." Das PerIS-Softwarekonzept lasse dies "in Ermangelung technischer Schnittstellen nicht zu". Händisch erfolge im Nachhinein ein Abgleich etwa mit dem Schengener Informationssystem (SIS), dem polizeilichen Informationssystem Inpol, dem polizeilichen Auskunftssystem Sachsen (Pass), dem Europäischen Fahrzeug- und Führerschein-Informationssystem Eucaris und dem Zentralen Verkehrsinformationssystem Zevis. Die sächsische Polizei betreibe gegenwärtige zehn stationäre Kamerasäulen und zwei mobile PerIS-Geräte, die in einem weißen oder orangen Lieferwagen versteckt sind. Die erste Variante von PerIS-Mobil ging im Februar 2021 in Betrieb.

(avr)