Ethik der Videoüberwachung

Die Regel ist die eigentliche Entscheidung

Bei einer klassischen Überwachungsanlage sieht ein Mensch die Bilder, oder er sieht sie nicht. Bei einem System mit automatischer Relevanzbewertung wird die Vorauswahl in Software gegossen: Bewegungsmuster, Verweildauer, Richtungswechsel, zurückgelassene Gegenstände. Jede dieser Regeln definiert implizit, welches Verhalten als normal und welches als auffällig gilt.

Das ist keine technische Frage. Wer festlegt, dass längeres Stehenbleiben an einer bestimmten Stelle ein Auslöser ist, trifft eine Aussage darüber, wie sich Menschen an diesem Ort zu bewegen haben. Solche Regeln treffen Gruppen unterschiedlich stark: Wohnungslose, Jugendliche und Menschen, die auf jemanden warten, lösen sie häufiger aus als Reisende mit Anschlusszug.

Deshalb verschiebt eine automatisierte Vorauswahl das Problem, statt es zu lösen. Die Datenmenge sinkt, aber die Deutungshoheit darüber, was verdächtig ist, wandert von einer Person, die man ansprechen kann, in eine Konfiguration, die niemand zu Gesicht bekommt.

Ethikbeiräte in Forschungsprojekten

In EU-geförderten Sicherheitsforschungsprojekten ist es üblich, ein externes Gremium einzusetzen, das die geplanten Versuche begleitet. Bei dem zwischen 2011 und 2014 geförderten Projekt ADDPRIV, das an der automatischen Bewertung von Kameraaufnahmen arbeitete, gab es sowohl einen Ethikbeirat als auch ein Gremium der späteren Anwender. Der Ethikbeirat war an der Lancaster University angesiedelt; einer der beteiligten Forscher war zugleich als projektinterner Ethiker eingebunden und hat die Erfahrung später öffentlich diskutiert.

Das Ergebnis dieser Diskussion ist aufschlussreicher als jede Projektbroschüre. Der Befund lautete im Kern: Es ist erheblich schwerer als erwartet, aus ethischen Grundsätzen konkrete Handlungsanweisungen für Entwickler abzuleiten. Ein Beirat kann sagen, dass Betroffene informiert werden müssen. Wie eine Software aussieht, die diesen Grundsatz erfüllt, sagt er damit noch nicht.

Die Versuche selbst wurden in geschlossenen Umgebungen mit Einwilligung der gefilmten Personen durchgeführt. Das ist forschungsethisch korrekt und beschreibt zugleich das Problem: Im Regelbetrieb einer Bahnhofshalle gibt es weder eine geschlossene Umgebung noch eine Einwilligung.

Was das Recht verlangt

Was in der Forschung ein Beirat leistet, verlangt die DSGVO im Betrieb als Datenschutz-Folgenabschätzung. Nach Artikel 35 muss ein Verantwortlicher vor der Einführung einer risikoreichen Verarbeitung prüfen und dokumentieren, welche Risiken für Betroffene entstehen und mit welchen Maßnahmen er ihnen begegnet. Bei systematischer Überwachung öffentlich zugänglicher Bereiche ist diese Prüfung ausdrücklich vorgeschrieben.

Hinzu kommt die Informationspflicht nach Artikel 13. Ein Kamerapiktogramm erfüllt sie nicht. Erforderlich sind Angaben zum Verantwortlichen, zum Zweck, zur Speicherdauer und zu den Rechten der Betroffenen. Bei Systemen, die automatisiert vorsortieren, gehört dazu auch, dass eine solche Vorsortierung überhaupt stattfindet.

Der KI-Verordnung der EU folgend fallen Systeme, die im öffentlichen Raum biometrisch identifizieren, zusätzlich in eine eigene Risikoklasse mit weitergehenden Auflagen. Systeme, die lediglich Bewegungsmuster bewerten und keine Personen identifizieren, sind davon nicht automatisch erfasst, was die Abgrenzung in der Praxis anspruchsvoll macht.

Drei Fragen, die vor der Technik kommen

1. Wer schreibt die Relevanzregeln? Solange das der Betreiber allein tut, ist niemand außerhalb der Organisation in der Lage zu beurteilen, ob sie angemessen sind.
2. Wer kann die Löschung überprüfen? Eine Löschzusage ohne Prüfmöglichkeit ist eine Absichtserklärung. Das gilt für Kameraarchive genauso wie für Verbindungsprotokolle bei Netzdiensten.
3. Was passiert bei Zweckänderung? Ein System, das für Sicherheit gebaut wurde, lässt sich mit derselben Hardware für Auslastungsmessung, Werbung oder Personalkontrolle nutzen. Die technische Hürde dafür ist gering, die organisatorische muss es leisten.

Warum das für Netzdienste dasselbe Muster ist

Die drei Fragen lassen sich fast unverändert auf VPN-Anbieter übertragen. Auch dort legt der Betreiber fest, was protokolliert wird, auch dort ist die Löschzusage ohne externe Prüfung nicht überprüfbar, und auch dort ändert eine Übernahme oder ein Standortwechsel die Rahmenbedingungen, ohne dass Nutzer davon erfahren.

Der praktische Unterschied ist, dass man sich einen VPN-Anbieter aussuchen kann und die Kamera am Bahnhof nicht. Genau deshalb lohnt es sich, bei der Auswahl auf die überprüfbaren Merkmale zu schauen statt auf die Werbeaussage. Wie das geht, steht im Anbieter-Vergleich und in Woran man ein sicheres VPN erkennt.

Weiterlesen

• Videoüberwachung und Datenminimierung – wie die technische Seite funktioniert
• Datenschutzgesetze in Europa – Rechtsrahmen und Betroffenenrechte
• KI und maschinelles Lernen – automatisierte Erkennung und ihre Fehler
• Privatsphäre-Technologien – Werkzeuge gegen Beobachtung
• VPN-Logging – die Löschfrage bei Netzdiensten

Summary in English

Automated relevancy assessment in video surveillance moves a judgement, namely what counts as suspicious behaviour, from a person into a configuration file. This page discusses who writes those rules, who is able to verify that deletion actually happens, and what occurs when a system built for security is repurposed. It refers to the ethics advisory board of the EU FP7 project ADDPRIV (grant agreement 261653, 2011 to 2014), based at Lancaster University, whose central finding was that translating ethical principles into actionable engineering guidance is considerably harder than it appears. The original advisory board deliverable is no longer hosted here and can be located through the European Commission's CORDIS database. The technical counterpart is described under Videoüberwachung und Datenminimierung.