Original-URL des Artikels: https://www.golem.de/news/datenschutz-nie-da-gewesene-kontrollmacht-fuer-staatliche-stellen-1901-138760.html    Veröffentlicht: 16.01.2019 14:49    Kurz-URL: https://glm.io/138760

Datenschutz

"Nie da gewesene Kontrollmacht für staatliche Stellen"

Zur G20-Fahndung nutzt Hamburgs Polizei eine Software, die Gesichter von Hunderttausenden speichert. Schluss damit, sagt der Datenschutzbeauftragte - und wird ignoriert.

Nach den schweren Ausschreitungen am Rande des G20-Gipfels im Juli 2017 hatte die Hamburger Polizei ein Problem: Nur wenige der Randalierer hatte sie noch beim Gipfel fassen können. In der Aufklärung setzen die Behörden deswegen nun auf Computerunterstützung. Mit einer Software werden Tausende Videos und Fotos des Gipfels automatisch ausgewertet. Hamburgs Datenschutzbeauftragter Johannes Caspar hat massive Bedenken - und die Löschung der Datenbank angeordnet. Doch die Polizei macht trotzdem weiter. Was nun?

Zeit Online: Herr Professor Caspar, Sie haben den Innensenator von Hamburg angewiesen, die Datenbank zu löschen, mit deren Hilfe gerade viele G20-Straftäter überführt werden. Warum?

Johannes Caspar: Die Polizei nutzt eine Software zur automatisierten Gesichtserkennung, um aus einer Masse von Bildern und Videos Straftäter zu identifizieren. Hierzu werden zunächst Video- und Bildaufnahmen von Personen erhoben. In einem zweiten Schritt werden aus dem gesammelten Material über die eingesetzte Software maschinenlesbare und abgleichbare Modelle von menschlichen Gesichtern unterschiedslos aller darauf abgebildeten Personen erzeugt. Dieser zweite Schritt ist das Problem.

Durch die Erzeugung von Gesichts-IDs jeder Person entsteht eine polizeiliche biometrische Datenbank. Sie enthält Passanten, S-Bahn-Nutzer, Teilnehmer an Demonstrationen, also völlig unbeteiligte Personen, gegen die strafrechtlich nie etwas vorlag. Wir wissen nicht, wie viele Personen betroffen sind, aber wir vermuten, dass es in die Hunderttausende gehen könnte. Eine Rechtsgrundlage für die Herstellung beziehungsweise Sicherstellung von Video- und Bildmaterial existiert, das ist bekannte Polizeiarbeit. Anders für den zweiten wesentlich eingriffsintensiveren Schritt, die Erstellung einer biometrischen Massendatenbank. Hier überschreitet die Polizei in Hamburg ihre rechtlichen Kompetenzen, da eine Ermächtigungsgrundlage hierfür nicht besteht.

Zeit Online: Die Software erkennt also automatisch, wann ich an welcher Überwachungskamera vorbeigelaufen bin, und erstellt ein Bewegungsprofil, auch wenn ich an diesen Tagen nur normal zur Arbeit gegangen bin?

Caspar: Man kann mit der hier eingesetzten Software aus dem Datenpool herausfiltern, wer wann mit wem wo war. Beispielsweise, wer wann an einer Demonstration teilgenommen hat, aber auch, wer mit wem in eine Kneipe gegangen ist. Das revolutioniert die Polizeiarbeit bei der Fahndung nach Straftätern im öffentlichen Raum. Gleichzeitig eröffnet die automatisierte Gesichtserkennung eine nie da gewesene Kontrollmacht für staatliche Stellen, die im Besitz von Bildern sind. Selbst US-Konzerne wie Microsoft und Google haben dies erkannt und jüngst vor den Folgen des Einsatzes gewarnt.

Zeit Online: Theoretisch ließen sich dann Echtzeitbewegungsdaten von allen Bürgern anfertigen. Bisher werden aber nur Daten von Bildern beim G20-Gipfel ausgewertet, richtig?

Caspar: Das kann ich nicht sagen. Die Polizei hat ja bereits vor einiger Zeit angekündigt, das Verfahren der automatisierten Gesichtserkennung auch in anderen Bereichen einzusetzen. Es bestehen uns gegenüber keine Anzeige- oder Meldepflichten. Auch mit Blick auf das Datenmaterial, das im Zuge von G20 ausgewertet wurde, lassen sich eindeutige Zuordnungen des Bildmaterials häufig nicht treffen. Neben den polizeieigenen Aufnahmen von Ausschreitungen und Versammlungen stammen die Aufnahmen aus öffentlichen Verkehrsmitteln und aus den Medien, aber auch von privat aufgenommenen Videos, die auf einen Server des BKA hochgeladen werden konnten. Eine Prüfung, ob die privaten hochgeladenen Bilder mit G20 etwas zu tun hatten, erfolgte nur insoweit, als offenkundig irrelevante Aufnahmen, wie Pornos oder Katzenvideos, aussortiert wurden.



100 Terabyte zur Auswertung gesichert

Zeit Online: Von wie vielen Bildern und Videos reden wir eigentlich?

Caspar: Die Polizei hat 100 Terabyte zur Auswertung gesichert, davon sind bislang Stand August 2018 17 Terabyte biometrisch verarbeitet worden - unseres Wissens circa 32.000 Video- und Fotodateien. Die Polizei selbst sagt, sie hätte ohne automatisierte Auswertung 60 Jahre gebraucht, um das Material überhaupt zu sichten.

ZEIT ONLINE: Wissen Sie von Fällen, in denen jetzt schon Menschen fälschlicherweise verdächtigt wurden, weil sie vielleicht zufällig am falschen Ort waren?

Caspar: Mit diesem Verdacht haben sich Bürger bereits an uns gewandt, aber das ließ sich bislang nicht klären. Das Problem mit der Gesichtserkennung ist: Die Betroffenen werden nicht informiert und wissen häufig gar nicht, ob sie überhaupt in der Datenbank gespeichert sind. Ein Auskunftsrecht geht ebenfalls ins Leere, möglicherweise muss man der Polizei ein Bild des eigenen Gesichts schicken. Der Betroffene hat keine Möglichkeit, sich wirksam gegen die Speicherung der eigenen Gesichtsmerkmale zu wehren. Auch deswegen ist hier eine spezielle gesetzliche Regelung erforderlich.

Zeit Online: Was müsste so ein Gesetz regeln?

Caspar: Es müssten zunächst klare Voraussetzungen insbesondere über hinreichend schwere Anlassstraftaten definiert werden. Der Aufbau einer biometrischen Datenbank darf nicht allein dem Ermessen der Strafverfolgungsbehörden überlassen bleiben, sondern muss - außer bei Gefahr in Verzug - richterlich angeordnet werden. Ferner muss die Maßnahme zeitlich und örtlich eingegrenzt werden. Es muss ein klares Verfahren für die Auskunftserteilung an Betroffene geben. Sie müssen Rechtsschutzmöglichkeiten haben und es muss ein transparentes Anzeigeverfahren gegenüber unabhängigen Stellen und eine Unterrichtung über die Löschung geben. Bestimmtheit und Verhältnismäßigkeit müssen gewahrt werden.

Zeit Online: Die möglichen Anwendungsfelder einer solchen Technik sind riesig, oder?

Caspar: In der Tat. Es geht hier längst nicht nur um die Aufarbeitung der G20-Ausschreitungen. Diese waren nur Anlass der Einführung einer bislang in Deutschland so nicht eingesetzten Technologie. Es geht darum, künftig die Bedingungen der rechtsstaatlichen Spielregeln - ich nenne sie drei Ms - gegenüber neuen eingriffsintensiven Instrumenten zu sichern: das Menschenrecht auf Datenschutz und Privatsphäre in digitaler Gesellschaft und Staat, damit verbunden der Schutz vor Missbrauch digitaler Technologien durch die Kontrolle verantwortlicher Stellen und schließlich die Achtung der Meinungsfreiheit freier Bürgerinnen und Bürger gegenüber dem Einsatz digitaler Technologien in der Informationsgesellschaft und Staat.

Letztere wird etwa bedroht, wenn Teilnehmer an Demonstrationen die Erstellung biometrischer Profile befürchten müssen. Die Frage ist: Dürfen zur Verfolgung von Kriminalität im öffentlichen Raum ohne klare gesetzliche Vorgaben biometrische staatliche Datenbanken unbeteiligter Bürgerinnen und Bürger aufgebaut werden? Aus meiner Sicht ein klares Nein. Da diese Art der Überwachung auf die Strafverfolgung künftig in Hamburg ausgedehnt werden soll, ist eine rechtsstaatliche Klärung des Vorgehens geboten.



Keine Aufklärung von Straftaten um jeden Preis

Zeit Online: Jetzt könnte man sagen: Praktisch, wenn ich mit der Methode auch den Taschendieb auf dem Hafengeburtstag erwische.

Caspar: Delikte von Taschendieben auf dem Hafengeburtstag, aber auch Drogenhandel oder Autoaufbrüche könnten so künftig verfolgt werden. Der Rechtsstaat erlaubt jedoch keine Aufklärung von Straftaten um jeden Preis, es gilt der Grundsatz der Verhältnismäßigkeit. Das heißt eben auch, dass die Rechte von Bürgerinnen und Bürgern geschützt werden müssen, nicht Objekt staatlicher Eingriffe zu werden. Für den retroaktiven Einsatz der Gesichtserkennung werden alle Gesichter unbeteiligter Menschen quasi auf Vorrat für einen längeren Zeitraum gespeichert.

Das ist ein schwerer Eingriff in das Recht auf informationelle Selbstbestimmung, da die Betroffenen selbst weder wissen, ob und zu welchem Zweck ihre biometrischen Daten zu Strafverfolgungszwecken gespeichert wurden. Wenn bereits die Teilnahme an einer Versammlung oder die Fahrt mit der S-Bahn ausreicht, um auf unbestimmte Zeit in eine biometrische polizeiliche Datenbank zu kommen, ist die freie Gesellschaft in Gefahr. Ohne klare gesetzliche Vorgaben ist der Eingriff nicht mehr abhängig vom Recht, sondern allein von den Erwägungen und Zwecken der Strafverfolgungsbehörden.

Zeit Online: Jetzt haben Sie die Löschung der Datenbank angeordnet, das klingt nach einer harten Maßnahme. Warum?

Caspar: Wir fordern ausdrücklich nicht die Löschung der Bilder und Videos, die zu G20 gesammelt wurden. Das wird leider häufig missverstanden. Gelöscht werden soll allein die Datenbank, in der die einzelnen biometrisch abgleichbaren Gesichtsmodelle unter einer eigenen ID erfasst sind. Die Polizei kann diese Daten jederzeit wiederherstellen, wenn sie die Software erneut über das Video- und Bildmaterial laufen lässt. Das könnte sie tun, wenn es hierfür eine gesetzliche Grundlage auf Bundesebene gäbe. Eine Fahndung nach Tätern mit Augenmaß, wie sie in der Vergangenheit vor dem G20-Gipfel in Hamburg durchgeführt wurde und wie sie bislang noch in ganz Deutschland außerhalb Hamburgs praktiziert wird, wird dadurch in keiner Weise behindert.

"Ich finde es schade, dass unsere Erwägungen nicht geteilt werden."

Zeit Online: Innensenator Andy Grote (SPD) ignoriert Ihre Anordnung trotzdem. Hat Sie das überrascht?

Caspar: Nein, das hatte sich schon abgezeichnet. Wir hatten die Polizei zuvor bereits in der Sache angehört und danach dann die Maßnahme beim Innensenator beanstandet. Ich finde es schade, dass unsere Erwägungen nicht geteilt werden. Man hätte sich hier durchaus von den Überlegungen des Bundesinnenministers inspirieren lassen können: In Berlin wurde am Bahnhof Südkreuz die Gesichtserkennung in Echtzeit zunächst mit freiwilligen Personen erprobt. Eine flächendeckende Einführung im Echtbetrieb soll jedoch nicht vor Schaffung einer gesetzlichen Regelung eingeführt werden. Hierbei soll das Gesicht von Passanten innerhalb von Sekundenbruchteilen gelöscht werden, wenn die Person nicht auf der Fahndungsliste steht. Bei der retroaktiven Gesichtserkennung, die in Hamburg praktiziert wird, werden hingegen alle Personen, die nicht betroffen sind, über Monate in der Datenbank gespeichert. Über derartige grundrechtswesentliche Erweiterungen des Arsenals von Strafermittlungsbehörden kann im Rechtsstaat nur der Gesetzgeber entscheiden. Eigentlich finde ich, das liegt ziemlich klar auf der Hand.

Zeit Online: Wie geht es jetzt weiter?

Caspar: Ich gehe davon aus, dass die Anordnung vor Gericht angefochten wird.

Zeit Online: Aber Sie haben keine Handhabe, Ihre Anordnung durchzusetzen?

Caspar: Nein. Das können wir nur gegenüber einem privaten Unternehmen. Da hätten wir die Möglichkeit, die Anordnung für sofort vollziehbar zu erklären, nicht aber gegenüber öffentlichen Stellen. Aber ich denke auch aus einem anderen Grund positiv: Wir können im Bereich der Strafverfolgung erst seit vergangenem Jahr verbindlich Anordnungen erlassen. Vor der Rechtsänderung war nur eine formlose Beanstandung möglich. Damals hätten wir überhaupt keine Klärung vor den Gerichten erwirken können. Das ist doch schon einmal ein Fortschritt.

Zeit Online: Sie haben keine Durchsetzungsbefugnis, die Innenbehörde muss klagen - besteht da jetzt nicht die Gefahr, dass die Ermittlungsbehörden das Verfahren verschleppen?

Caspar: Ich hoffe, das wird am Ende keine Hängepartie. Mit Ausschöpfung des Rechtsweges könnte sich eine Klärung über Jahre hinweg hinziehen. Ich gehe jedoch davon aus, dass bei einer klaren erstinstanzlichen Entscheidung in unserem Sinne der Einsatz zunächst gestoppt wird.  (oho)


Verwandte Artikel:
Bundesdatenschutzbeauftragter: Kelber fordert endgültiges Ende der Vorratsdatenspeicherung   
(13.01.2019, https://glm.io/138690 )
Polizei Berlin: Datenschutzbeauftragte mahnt schärfere Passwortvorschrift an   
(31.10.2018, https://glm.io/137423 )
Google Photos: Klage gegen Sammeln von Gesichtsinformationen wird verworfen   
(02.01.2019, https://glm.io/138457 )
Machine Learning: Gesichter auf Taylor-Swift-Konzert unbemerkt gescannt   
(13.12.2018, https://glm.io/138238 )
Gesichtserkennung: Die radikale Kritik des CCC am Pilotprojekt Südkreuz   
(17.10.2018, https://glm.io/137147 )

© 1997–2019 Golem.de, https://www.golem.de/