Die automatisierte biometrische Gesichtserkennung im öffentlichen Raum wird zunehmend von staatlichen Behörden eingesetzt, etwa zur Unterstützung strafrechtlicher Ermittlungen. Dabei stützen sich die Behörden auf unspezifische strafprozessuale Normen, wie jüngst im Frühjahr 2024 bekannt wurde, als eine sächsische Polizeidirektion ein Gesichtserkennungssystem einsetzte. Als Rechtsgrundlagen wurden §§ 100h, 163f StPO für die Bildaufzeichnung und § 98a StPO für den Abgleich mittels Gesichtserkennung herangezogen. Allerdings erachtet die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) diese Normen als unzureichend, da sie den spezifischen Anforderungen der Grundrechte der betroffenen Personen nicht gerecht werden.

Grundrechtliche Dimension und Verhältnismäßigkeit

Der Einsatz von Gesichtserkennungstechnologien im öffentlichen Raum stellt einen erheblichen Eingriff in die Grundrechte der betroffenen Personen dar, insbesondere in das Recht auf informationelle Selbstbestimmung, das sich aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG ableitet. Die Intensität dieses Eingriffs hängt von verschiedenen Faktoren ab, etwa der Menge der erfassten Daten, dem Automatisierungsgrad und der Streubreite der Maßnahme. Wenn eine Maßnahme potenziell alle Bürgerinnen und Bürger erfasst, unabhängig davon, ob ein konkreter Anlass besteht, führt dies zu einem besonders schwerwiegenden Eingriff.

Von erheblicher Bedeutung ist hierbei auch das Risiko von Fehlidentifizierungen. Diese können unschuldige Personen betreffen und in schwerwiegende Folgeeingriffe münden, wie etwa Freiheitsentziehungen oder das Aufeinandertreffen mit Strafverfolgungsbehörden. Eine solche Maßnahme bedarf daher strikter verfassungsrechtlicher Grenzen, insbesondere im Hinblick auf die Verhältnismäßigkeit (Art. 20 Abs. 3 GG). Der Eingriff muss nicht nur geeignet und erforderlich, sondern auch verhältnismäßig im engeren Sinne sein, also den Betroffenen nicht übermäßig belasten.

Europarechtlicher Rahmen: Die KI-Verordnung

Auch das europäische Recht setzt strenge Maßstäbe für den Einsatz von Gesichtserkennungstechnologien. Die Verordnung zur Regulierung von künstlicher Intelligenz (KI-Verordnung) der Europäischen Union sieht für besonders risikobehaftete Anwendungen von KI, wie etwa biometrische Fernidentifizierung, strikte Beschränkungen vor. Der Gesetzgeber ist gehalten, bestimmte risikoreiche Anwendungen gänzlich auszuschließen oder nur unter eng gefassten Voraussetzungen zuzulassen. Insbesondere muss stets die Erforderlichkeit und Verhältnismäßigkeit der Maßnahme nachgewiesen werden.

Der Europäische Datenschutzausschuss (EDSA) hat Leitlinien für den Einsatz von Gesichtserkennungssystemen erlassen. Diese betonen, dass der Einsatz nur dann gerechtfertigt ist, wenn er mit dem geltenden rechtlichen Rahmen vollständig im Einklang steht. Auch der EDSA stellt die Anforderungen an die Erforderlichkeit und Verhältnismäßigkeit in den Vordergrund und fordert, dass jede Maßnahme streng geprüft wird.

Nationale Regelungen: Enger Gestaltungsspielraum für den Gesetzgeber

Soweit der nationale Gesetzgeber Spielraum für eine Regelung hat, muss er diesen verfassungskonform ausschöpfen. Der Einsatz von Gesichtserkennungssystemen darf nur in Fällen erfolgen, in denen er zwingend erforderlich ist und keine milderen Mittel zur Verfügung stehen. Für diesen Einsatz sind spezielle, verhältnismäßige Rechtsgrundlagen zu schaffen, die die besonderen Anforderungen an die Eingriffsintensität, den Schutz der Rechtsgüter und die betroffenen Grundrechte berücksichtigen. Dazu gehören insbesondere:

• Klar definierte Eingriffsschwellen: Der Einsatz biometrischer Technologien darf nur bei schwerwiegenden Straftaten und auf Grundlage eines konkreten Tatverdachts erfolgen. Eine generalisierte Überwachung ohne konkreten Anlass wäre verfassungswidrig.

• Hohe Anforderungen an den Schutz der Grundrechte: Die Maßnahme muss in jeder Phase durch wirksame rechtsstaatliche Kontrollmechanismen abgesichert werden. Dies schließt auch die Möglichkeit der gerichtlichen Überprüfung ein (Art. 19 Abs. 4 GG).

• Zusätzliche Schutzmechanismen: Insbesondere zur Vermeidung von Fehlidentifizierungen sind technische und organisatorische Maßnahmen zu treffen, um die Genauigkeit der Systeme zu gewährleisten. Fehlidentifizierungen können gravierende Folgen für unschuldige Personen haben und müssen durch spezifische Schutzvorkehrungen verhindert werden.

Die DSK fordert daher, dass der Gesetzgeber sich intensiv mit den verfassungsrechtlichen Vorgaben auseinandersetzt und diese in zukünftigen Regelungen stringent berücksichtigt. Nur so kann der Einsatz von Gesichtserkennungssystemen, der tief in die Grundrechte der betroffenen Personen eingreift, mit den europäischen und nationalen Grundrechten in Einklang gebracht werden.

Fazit: Klare rechtliche Grundlagen erforderlich

Der Einsatz automatisierter biometrischer Gesichtserkennungssysteme erfordert zwingend eine spezifische und eng gefasste gesetzliche Regelung. Die aktuell herangezogenen Vorschriften der Strafprozessordnung sind nicht hinreichend, um die weitreichenden Eingriffe in die Grundrechte der Bürgerinnen und Bürger zu rechtfertigen. Der Gesetzgeber steht daher in der Pflicht, spezifische und verhältnismäßige Regelungen zu schaffen, die sowohl die Sicherheitsinteressen des Staates als auch die Freiheitsrechte der Bürgerinnen und Bürger wahren. Nur so kann ein rechtlich belastbarer Rahmen für den Einsatz dieser Technologie geschaffen werden, der den Anforderungen des Grundgesetzes und des europäischen Rechts gerecht wird.