Gesichtserkennung an der Kasse: Vor­sicht, Kamera!

Wie individualisierte Videowerbung funktioniert

Das Verfahren klingt futuristisch, ist technisch aber schon heute machbar: Kameras erfassen die Blicke der Kunden, die an der Kasse warten und auf einen Videobildschirm mit Werbung schauen. Die passende Auswertungssoftware stellt fest, welches Alter die Person ungefähr hat und welches Geschlecht sie besitzt. Auf dieser Grundlage wird sodann individualisierte Werbung ausgespielt: Für einen älteren Herren folgt Bierwerbung, für eine junge Dame werden neue Pflegeprodukte beworben. Nach Medienberichten erprobt die Deutsche Post diese Technik aktuell in 25 Partnerfilialen, bei der Supermarktkette Real kommt sie demnach in 40 Filialen zum Einsatz.

Anders als im Einzelhandel ist das Ausspielen personalisierter Werbung im Internet seit jeher eine Selbstverständlichkeit. Fernab jeglicher datenschutzrechtlicher Diskussionen haben sich Nutzer längst daran gewöhnt, dass der Einsatz von Cookies es den Seitenbetreibern ermöglicht, den Weg des Kunden durchs Netz zu verfolgen und so auf ihn zugeschnittene Werbung anzuzeigen. Individualisierte Videowerbung ist weitaus seltener, besonders in Deutschland. Die im internationalen Vergleich strengen deutschen Datenschutzvorschriften und das (vermutete) Unbehagen der Kunden dürften die Unternehmen bislang abgeschreckt haben.

Technisch ginge noch viel mehr

Die Technik dazu gibt es seit Langem, sie wurde bislang vor allem für wissenschaftliche Studien oder eben im Ausland eingesetzt. Die genaue Funktionsweise ist das Geheimnis der Anbieter dieser Werbesysteme. Alle Systeme arbeiten mit einer Gesichtserkennungssoftware, bei der jedenfalls Teile des Gesichts erfasst und anschließend in einem Algorithmus umgewandelt werden. Dieser ermittelt nach einem Abgleich mit bereits vorliegenden Daten die Eigenschaften des gefilmten Kunden, die für individualisierte Werbung relevant sein können.

Nach Angaben der Betreiber werden die Daten nur anonymisiert verarbeitet und gespeichert, Rückschlüsse auf die Person seien nicht möglich. Die Anbieter versuchen den datenschutzrechtlichen Anforderungen dadurch Rechnung zu tragen, dass sie den Aufnahmebereich der Kamera auf den zentralen Gesichtsbereich beschränken.

Technisch geht noch viel mehr. So wäre es auch möglich, nicht nur Geschlecht und Alter, sondern auch den Gesichtsausdruck und so die Gefühlslage des Kunden zu erfassen oder einen Abgleich mit bekannten Daten durchzuführen, um etwa auf eine bestimmte Person rückschließen zu können. Da solche Funktionsweisen aber klar rechtswidrig sind, können sie in Deutschland nicht legal eingesetzt werden.

BDSG-Reform macht grenzwertige Verfahren riskanter

Kunden stehen derartigen Systemen trotz zugesicherter Anonymität kritisch gegenüber. Denn wenn die Infrastruktur für eine Gesichtsanalyse erst einmal installiert ist, bedarf es nur eines Softwareupdates, um eine Identifizierungsfunktion nachzurüsten. Zudem hatten die Unternehmen angesichts der dünnen personellen Ausstattung der Datenschutzbehörden und des geringen Bußgeldrahmens des Bundesdatenschutzgesetztes (BDSG) kaum etwas zu befürchten.

Dies ändert sich nun. Zum 25. Mai 2018 wird das Datenschutzrecht durch die Datenschutzgrundverordnung (DS-GVO) europaweit vereinheitlicht. Zukünftig drohen bei Datenschutzverstößen Bußgelder in Höhe von bis zu 20 Millionen Euro oder 4 Prozent des weltweit erzielten (Konzern-)Umsatzes.

Ob derartige "neue" Werbemaßnahmen in Deutschland tatsächlich zulässig sind, ist derzeit noch ungeklärt und hängt vor allem auch von der genauen technischen Ausgestaltung der jeweils eingesetzten Video-Werbesysteme ab.

Und wovon ihre rechtliche Zulässigkeit abhängt

2/2: Werden überhaupt personenbezogene Daten erfasst?

Der Landesdatenschutzbeauftragte von Nordrhein-Westfalen hat personalisierte Video-Werbesysteme als "grundsätzlich kritisch" bezeichnet und auch der Hamburger Datenschutzbeauftragte Johannes Caspar verlangt zumindest eine genaue Bezeichnung der Art der Videotechnik. Beide gehen davon aus, dass es sich um eine Videoüberwachung handelt, auf die der Kunde ausdrücklich hingewiesen werden muss.

Darüber, ob tatsächlich personenbezogene Daten erfasst werden und ob dies eine Form der Videoüberwachung im Sinne des BDSG darstellt, kann man indes unterschiedlicher Auffassung sein.

Denn das BDSG findet prinzipiell nur dann Anwendung, wenn personenbezogene Daten verarbeitet werden. Dies ist allerdings von vorneherein zweifelhaft, wenn etwa nur Teile des Gesichts gefilmt (oder nur fotografiert) und diese Aufnahmen zudem nicht gespeichert werden. Allerdings neigt die Rechtsprechung dazu, den Begriff der personenbezogene Daten sehr weit auszulegen, wie u.a. ein aktuelles Urteil des Bundesgerichtshofs zeigt, demzufolge selbst dynamische IP-Adressen einen Personenbezug aufweisen (v. 16.05.2017, Az. VI ZR 135/13).

Gesichtserkennung als Form der Videoüberwachung?

Einen Sonderfall im BDSG nimmt die Regelung zur Videoüberwachung ein, die nach überwiegender Auffassung sogar dann anwendbar ist, wenn mit der Videoüberwachung gar keine Daten erhoben werden. Nach § 6b Abs. 1 BDSG ist die Beobachtung öffentlich zugänglicher Räume mit optisch-elektronischen Einrichtungen (Videoüberwachung) datenschutzrechtlich auch dann relevant, wenn gar keine Daten erfasst werden.

Beobachten heißt aber mehr als nur ein punktuelles optisches Erfassen und setzt immer eine gewisse Dauer voraus. Eine einmalige Bilderfassung und das kurzzeitige Fokussieren wie bei einer Fotografie zählen gerade nicht dazu. Die Einzelaufnahme eines Bildes wird daher nicht unter den Begriff "Beobachtung" im Sinne einer Videoüberwachung gefasst. Etwas anderes gilt dann wieder für eine Aneinanderreihung solcher Einzelaufnahmen in engem zeitlichem Zusammenhang, die eine Videoüberwachung darstellen würden.

Beschränkt sich die Software also darauf, einen Teilbereich des Gesichts mittels einer einzigen Aufnahme zu erfassen und diesen ohne Speicherung in einen Algorithmus umzuwandeln, der nicht in einen konkreten Gesichtsteil rückübersetzbar ist, läge weder eine Verarbeitung von personenbezogenen Daten im Sinne des BDSG vor noch könnte von einer Videoüberwachung ausgegangen werden. Personalisierte Werbesysteme wären damit aus datenschutzrechtlicher Sicht rechtmäßig.

Die Datenschutzbehörden werden hiergegen sicherlich einwenden, dass die Auswertung eines Gesichtsteils durch die Software eine Übertragung in den Zwischenspeicher des Werbesystems erforderlich macht und damit eine Datenverarbeitung vorläge. Ob eine solche Zwischenspeicherung, die sich im Bereich von Millisekunden bewegt, datenschutzrechtlich relevant ist, ist noch ungeklärt. Im Urheberrecht (§ 44a UrhG) hat der Gesetzgeber derartige flüchtig Speicherungen, die nur Teil eines technischen Verfahrens sind, ausdrücklich für zulässig erachtet.

Gerichtliche Bewertung kaum vorhersagbar

Aber selbst die Annahme einer Datenverarbeitung würde personalisierte Video-Werbesysteme nicht per se unzulässig machen. Es käme dann darauf an, ob von einem Überwiegen der berechtigten wirtschaftlichen Interessen an derartiger individualisierter Werbung gegenüber den Interessen der betroffenen Kunden auszugehen ist. Zu welchem Abwägungsergebnis deutsche Gerichte bis dahin kommen, lässt sich nicht sicher prognostizieren.

Vielleicht kommt es auf die Frage der Datenerhebung aber gar nicht mehr an: Sollten sich jene Stimmen durchsetzen, die im datenschutzrechtlichen Sinne selbst dann eine "Videoüberwachung" annehmen, wenn derartige Werbesysteme mit einem einzelnen "Shot" auskommen, wäre das womöglich das faktische Ende für diese Form der personalisierten Werbung im Handel. Denn § 6 Abs. 2 BDSG verlangt, dass die Videoüberwachung durch geeignete Maßnahmen erkennbar gemacht wird. Ein allgemeines Schild am Eingang eines Marktes mit einem Hinweis auf eine Videoüberwachung dürfte hierfür keinesfalls ausreichend sein. Ein Hinweis über dem Werbebildschirm an der Kasse "Dieser Bereich wird durch ein personalisiertes Werbesystem mit Gesichtsanalyse beobachtet" würde hingegen vermutlich in einem Ausmaß abschreckend wirken, das den wirtschaftlichen Nutzen des Verfahrens übersteigt. Gerade im Kassenbereich hätten die Kunden keine Möglichkeit, der Beobachtung zu entgehen und würden entsprechende Geschäfte womöglich meiden. Im Netz lassen sich bereits jetzt entsprechende Aufrufe von Verbrauchern finden. 

Der Autor Markus Dinnes ist Fachanwalt für Urheber- und Medienrecht sowie Gewerblichen Rechtsschutz bei FPS Rechtsanwälte, der Autor Hauke Hansen ist Fachanwalt für IT-Recht sowie Urheber- und Medienrecht bei FPS Rechtsanwälte.