(PM) Potsdam, 09.01.2012 - Steht etwa ein junger Mann davor, erkennt das System dessen werberelevante Attribute (Mann, jung) und zeigt die entsprechende Werbung. Dieser Trend überrollt gerade die USA. Auch wenn es heißt, dass die Identität der „Beobachteten“ nicht ermittelt wird, sollte bei der Entwicklung dieser System einiges beachtet werden.

1. Was sind Gesichtsanalysesysteme?

Gesichtsanalysesysteme erfassen Gesichter, werten diese aus und ziehen hieraus Rückschlüsse auf die dahinter stehenden Personen. Spiegel-Online berichtet über das System des New Yorker Unternehmens Immersive Labs. Glaube man dem Unternehmen, so der Beitrag, könne die Software das Geschlecht, das ungefähre Alter und die Aufmerksamkeit der Passanten einschätzen. Aufgrund einer angeblich hohen Zuverlässigkeit solcher Systeme, die der Informatiker Ralph Gross von der Carnegie Mellon University bejaht, sind die Einsatzmöglichkeiten sehr groß.

2. Privacy by design – was müssen die Entwickler beachten?

Die europäische IT-Branche wird dieses Phänomen aufgreifen, wenn das nicht längst schon geschehen ist. Oftmals sind es mittelständische Unternehmen, die derartige Produkte entwickeln und dann rasch zu Marktführern werden.

Stammen diese Unternehmen aus einem EU-Land, lohnt es sich, bereits in der Entwicklungsphase eine datenschutzrechtliche Expertise hinzuziehen. Dieses erfolgreiche Konzept nennt man „Privacy by design“. Gerade in Europa, wo der datenschutzrechtliche Mindeststandard höher als in den USA ist, kann dieser Ansatz zu einem entscheidenden Wettbewerbsvorteil werden. Denn sowohl für den kleinen Ladeninhaber als auch den großen DAX-Konzern gilt: Effektive Produkte, die eine rechtskonforme Nutzung ermöglichen werden gleich effektiven Produkten, die keine rechtskonforme Nutzung ermöglichen, vorgezogen.

Bei einer datenschutzrechtliche Entwicklungsanalyse wird zunächst zu beachten sein, dass das Filmen von Gesichtern – auch wenn Name und Anschrift nicht sofort ermittelt werden können – dennoch datenschutzrechtlich relevant ist. Dies zeigt bereits § 6b BDSG. Daneben sollten sich die Entwickler auch nicht täuschen lassen; wenn selbst anonyme IP-Adressen als personenbezogene Daten gelten, dann wohl erst Recht derartige Gesichtsaufnahmen.

Erkennt man also im Entwicklungsprozess, dass das Datenschutzrecht auf die Gesichtsanalyse anwendbar ist, muss das Entwicklerteam auf eines dringend hingewiesen werden: Nach § 4 Abs. 1 BDSG ist jede Erhebung, Verarbeitung und/oder Nutzung personenbezogener Daten verboten (=Regel), es sei denn eine Rechtsgrundlage oder die Einwilligung des Betroffenen legalisieren diesen Vorgang (=Ausnahme). Übersetzt man dieses Verbot mit Erlaubnisvorbehalt heißt dies: An sich ist die Aufnahme und Auswertung der Gesichter verboten, es sei denn es gibt hierfür eine Rechtsgrundlage oder die Passanten willigen ein.

Also sollte man schon bei Entwicklung darauf achten, dass es eine Rechtsgrundlage für die Verwendung des Gesichtsanalysetools gibt.

Hierbei könnte man etwa differenzieren zwischen Geräten, die die Daten nur beim Verwender belassen, um damit zielgruppengetreue Werbung zu zeigen (Kategorie 1), und solchen Geräten, die diese Daten noch an einen dahinterstehenden Dienstleister senden, der eine Analyse vornimmt und etwa die Frage klärt, welche Produkte im Schaufenster am längsten angesehen wurden (Kategorie 2).

Soll nur ein Gerät der Kategorie 1 entwickelt werden, ist nachhaltig zu prüfen, ob § 29 Abs. 1 Nr. 1 oder Nr. 2 BDSG als Ermächtigungsgrundlage in Betracht kommt. Aufgrund der Tatsache, dass die Passanten auch anderen Menschen auf der Straße ihre Gesichter zeigen und ihre Identitäten nicht ermittelt werden, könnte man eine Rechtfertigung nach dieser Norm vertreten. Denn es scheint als würden die schutzwürdigen Belange nicht übermäßig beeinträchtigt. Allerdings müsste in diesem Zusammenhang das Gerät genau geprüft und jede Übermittlungs- oder Missbrauchsmöglichkeit ausgeschaltet werden, etwa durch eine Löschfunktion.

Problematisch wäre ein Gerät der Kategorie 2, denn § 29 Abs. 1 BDSG rechtfertigt keine Übermittlung. Auch hier sieht das Gesetz Möglichkeiten vor, etwa in § 28 BDSG. Doch hier wird es noch komplizierter.

Die gesamte Thematik erinnert – hierauf weist auch Spiegel Online hin – an das Tool Google-Analytics. Also stellt sich sowohl für Juristen als auch Entwickler die spannende Frage: Wie könnte ein Passant der Aufnahme seines Gesichtes widersprechen? Ist dies technisch überhaupt realisierbar? An dieser Stelle wird Kreativität gefragt sein.

3. Fazit

Denkbar sind weitere Einsatzmöglichkeiten und damit weitere Kategorien. Die vorangestellte Analyse ist nur ein Problemaufriss und ersetzt kein umfangreiches Gutachten. Doch sie zeigt, wie komplex die datenschutzrechtlichen Fragen sind. Es spricht im Grunde nichts gegen die Entwicklung derartiger Produkte. Doch eine datenschutzrechtliche Expertise kann den entscheidenden Wettbewerbsvorteil bringen.