Videoüberwachung und Datenminimierung

Das Grundproblem: Speichern ist billiger als Entscheiden

Videoüberwachung ist in den letzten zwanzig Jahren vor allem deshalb ausgeweitet worden, weil Speicherplatz billig geworden ist. Solange eine Anlage nur ein paar Tage vorhielt und danach überschrieb, war der Eingriff zeitlich begrenzt. Mit günstigen Festplatten und Cloud-Anbindung entstand aus derselben Technik ein durchsuchbares Archiv, das rückwirkend Bewegungsprofile hergibt.

Der Datenschutz hat darauf mit einem Grundsatz geantwortet, der leicht zu formulieren und schwer umzusetzen ist: Es dürfen nur die Daten verarbeitet werden, die für den Zweck erforderlich sind. Bei einer Kamera an einem Bahnsteig heißt das konkret: Die Aufnahme eines Vorfalls ist erforderlich, die Aufnahme der 40.000 Menschen, die an diesem Tag vorbeigegangen sind, ist es nicht.

Das Problem ist, dass man den Vorfall erst kennt, wenn er passiert ist. Ein System, das Datenminimierung ernst nimmt, muss also im laufenden Betrieb entscheiden, welche Sequenzen aufbewahrungswürdig sind und welche gelöscht werden können, bevor irgendjemand sie gesehen hat.

Wie Relevanzbewertung technisch funktioniert

Der Ansatz, der in der Forschung verfolgt wurde, verlässt die Idee der Einzelkamera. Statt jede Kamera für sich aufzeichnen zu lassen, wird das Kameranetz als zusammenhängendes System betrachtet. Erkennt ein Sensor ein Ereignis, das nach den definierten Regeln relevant ist, kann das System rückwärts und vorwärts durch die Aufnahmen benachbarter Kameras verfolgen, welche Sequenzen zu diesem Ereignis gehören.

Alles, was nicht zu einem solchen Ereignis gehört, wird nach kurzer Vorhaltezeit gelöscht. Nicht überschrieben oder als gelöscht markiert, sondern so entfernt, dass eine spätere Rekonstruktion ausscheidet. Dafür braucht es Speicherverfahren, die gezielte Löschung einzelner Segmente erlauben, was bei klassischen Ringpuffern und bei verteilten Dateisystemen keineswegs selbstverständlich ist.

Ein zweiter Baustein ist die Unkenntlichmachung: Gesichter und andere identifizierende Merkmale werden verpixelt oder verschlüsselt abgelegt, sodass eine Zuordnung nur mit einem gesondert verwahrten Schlüssel möglich ist. Damit wird die Frage, wer eine Aufnahme entschlüsseln darf, zu einer organisatorischen statt einer technischen.

Die Forschung dahinter

Zwischen 2011 und 2014 hat die EU im 7. Forschungsrahmenprogramm ein Projekt mit dem Namen ADDPRIV gefördert, ausgeschrieben als Automatic Data relevancy Discrimination for a Privacy-sensitive video surveillance. Beteiligt waren unter anderem die Politechnika Gdańska, die Lancaster University, die Kingston University, das Trinity College Dublin sowie der Flughafenbetreiber SEA in Mailand und die spanische Bahngesellschaft Renfe. Erprobt wurde der Aufbau in realen Umgebungen, unter anderem am Flughafen Mailand-Linate.

Der erklärte Zweck war ausdrücklich doppelt: die Akzeptanz von Videoüberwachung erhöhen, indem der von den Projektbeteiligten so genannte Big-Brother-Effekt reduziert wird, und gleichzeitig den Grundsatz der Datenminimierung technisch umsetzen. Genau diese Doppelbegründung ist der Punkt, an dem die Kritik ansetzt, und darum geht es auf der Seite zur Ethik der Videoüberwachung.

Die Ergebnisse der öffentlichen Arbeitspakete sind seinerzeit als Berichte veröffentlicht worden. Diese Dateien sind heute nicht mehr abrufbar; wer die Originaldokumente sucht, findet sie über die Projektdatenbank CORDIS der Europäischen Kommission unter der Fördernummer 261653.

Was die überwachte Zone für Betroffene bedeutet

Aus Sicht der Menschen, die eine überwachte Fläche betreten, ändert eine Relevanzbewertung zunächst nichts Sichtbares. Die Kamera hängt dort, wo sie vorher hing, und sie nimmt weiter auf. Der Unterschied liegt in dem, was nach zwei Tagen noch existiert.

Daraus folgt eine praktische Forderung, die in der Diskussion um solche Systeme regelmäßig auftaucht: Wer eine Zone betritt, in der ein automatisch bewertendes Kamerasystem läuft, sollte darüber informiert werden, und zwar nicht nur mit einem Piktogramm, sondern mit einer Angabe dazu, wie lange Aufnahmen vorgehalten werden und wer sie unter welchen Bedingungen einsehen kann. Die Hinweispflicht nach Artikel 13 DSGVO verlangt genau das, wird in der Praxis aber meist mit einem Kameraschild abgehandelt.

Die Parallele zu VPN-Anbietern

Der Gedanke, Daten gar nicht erst entstehen zu lassen, statt sie hinterher zu schützen, taucht in der Netztechnik an einer bekannten Stelle wieder auf. Wenn ein VPN-Anbieter erklärt, keine Verbindungsprotokolle zu führen, ist das dieselbe Argumentation: Was nicht gespeichert ist, kann weder herausgegeben noch gestohlen werden.

Und es gibt dieselbe Schwachstelle. So wie bei einem Kamerasystem die Löschregeln vom Betreiber konfiguriert werden, hängt die No-Logs-Aussage eines VPN-Anbieters davon ab, was er tatsächlich tut, nicht davon, was in den Nutzungsbedingungen steht. Deshalb ist die entscheidende Frage in beiden Fällen dieselbe: Hat jemand von außen nachgesehen? Was das für die Anbieterauswahl heißt, steht unter VPN-Logging und im Anbieter-Vergleich.

Weiterlesen

• Ethik der Videoüberwachung – wer entscheidet, was ein System als relevant behandelt
• Datenanonymisierung – Verfahren, mit denen Daten ihren Personenbezug verlieren
• Datenschutzlösungen – der rechtliche Rahmen dazu
• Datenschutzgesetze in Europa – Leitfaden zur DSGVO
• Wie ein VPN die Privatsphäre schützt – die Netzseite desselben Prinzips

Summary in English

This page explains how video surveillance systems can be built to discard footage instead of archiving it. Rather than treating each camera as a separate recorder, the network is evaluated as a whole: when an event is classified as relevant, the system retains the related sequences across neighbouring cameras and securely deletes everything else after a short retention window. Between 2011 and 2014 the EU-funded FP7 project ADDPRIV (grant agreement 261653) researched exactly this approach, with partners including Gdańsk University of Technology, Lancaster University, Kingston University and Trinity College Dublin, and field trials at Milan Linate airport. The original project deliverables are no longer hosted here; they can be located through the European Commission's CORDIS database. For the ethical debate around such systems, see Ethik der Videoüberwachung.