Trotz einer Weisung des Hamburgischen Datenschutzbeauftragten will die Polizei der Hansestadt nicht auf ihr neues Gesichtserkennungssystem verzichten. In vier Wochen verhandelt das Verwaltungsgericht über die eigens angelegte Lichtbilddatei. Ohne das Urteil abzuwarten entzieht die Landesregierung dem Datenschützer sein schärfstes Schwert.

Auch nach der Löschungsanordnung durch den Beauftragten für Datenschutz und Informationsfreiheit nutzt die Polizei in Hamburg weiterhin ein System zur Gesichtserkennung. Das schreibt der rot-grüne Senat in der Antwort auf eine Anfrage der Linksfraktion in der Hamburger Bürgerschaft. Seit dem 18. Dezember 2018 wurden weitere 92 Recherchen in Bild- und Videodateien durchgeführt. Damit summieren sich die gesamten Suchvorgänge nach Tatverdächtigen auf 782.

Nach dem G20-Gipfel hatte die Polizei eine „Sonderkommission Schwarzer Block“ eingerichtet. Zur Identifizierung mutmaßlicher StraftäterInnen hat die Abteilung 3,57 Terabyte polizeieigenes Bild- und Videomaterial in ein „System Gesichtserkennungssoftware“ eingespielt. Weitere 9,90 TB an polizeifremdem Material stammen aus einem Hinweisportal, das vom Bundeskriminalamt für den freiwilligen Upload eingerichtet wurde. Derzeit enthält das gesamte System mehr als 15.000 Videos und 16.000 Bilder.

Fotos von erkennungsdienstlicher Behandlung

Die in Hamburg genutzte Anlage stammt von der deutschen Firma Videmo. Beim Einspielen der Rohdaten berechnet die Software mithilfe von Augen- und Ohrabständen, Nasenform, Mundwinkel und Haaransatz alle darin enthaltenen Gesichter. Jedes einzelne Gesicht wird als bekannte oder unbekannte Identität der betreffenden Person in einer weiteren Datenbank gespeichert. Auf diese Referenzdatei bezieht sich die Anordnung zur Löschung des Datenschutzbeauftragten Johannes Caspar.

Zur Identifizierung von Personen verwendet die Polizei Lichtbilder von erkennungsdienstlichen (ED) Maßnahmen, die während des Gipfels erhoben wurden. Auch diese Fotos werden in die Referenzdatei eingespielt und in den Bild- und Videodaten gesucht. Auf diese Weise will die Polizei den Betroffenen weitere Straftaten nachweisen. Etwa ein Drittel aller Recherchen in dem Gesichtserkennungssystem erfolgten mit namentlich bekannten Tatverdächtigen.

Laut Caspar werden dabei auch ED-Bilder genutzt, die nicht im Rahmen des G20-Gipfels abgenommen wurden. Weitere Fotos stammen aus dem Auskunftssystem POLAS der Hamburger Polizei sowie der INPOL-Datei, die das Bundeskriminalamts (BKA) gemeinsam mit den Landeskriminalämtern betreibt.

Kaum Erfolg beim BKA

Um welche einzelnen INPOL-Datenbestände es sich dabei handelt, schreibt die Landesregierung nicht. Möglich wären Lichtbilder, die in der Kategorie „Politisch motivierte Kriminalität – Links“ gespeichert sind. Die Fotos aus INPOL seien jedoch manuell und nicht automatisiert in das Hamburger System übertragen worden, betont der Senat.

Die Identitäten unbekannter Tatverdächtiger haben die ErmittlerInnen anschließend auch im Gesichtserkennungssystem (GES) des BKA gesucht. Dabei wird ebenfalls die polizeiliche INPOL-Datei abgefragt. Dort sind rund 5,6 Millionen Lichtbilder von circa 5 Millionen Personen gespeichert.

Die Nutzung des GES steigt jedes Jahr deutlich an, in 2018 haben die Bundes- und Landesbehörden über 40.000 Recherchen durchgeführt und dabei rund 1.000 Personen identifiziert. Dem Senat zufolge hat die Hamburger Polizei das BKA mit 75 Suchvorgängen beauftragt. Nur in drei Fällen wurden allerdings Personentreffer erzielt. Jedes fünfte Bild war nicht für eine GES-Recherche geeignet und musste ausgesondert werden.

Kein Rechtsbehelf möglich

Im Interview mit Netzpolitik.org hatte Caspar die Technologie als „neue Dimension staatlicher Ermittlungs- und Kontrolloptionen“ bezeichnet. Das im öffentlichen Raum verdachtslos eingesammelte Bildmaterial erlaube „Schlüsse auf Verhaltensmuster und Präferenzen des Einzelnen“.

Seine Löschanordnung begründet der Datenschutzbeauftragte mit einem erheblichen Eingriff in die Rechte und Freiheiten einer Vielzahl von Betroffenen, die in dem System gespeichert werden. Die biometrische Erfassung betrifft demnach „massenhaft Personen, die nicht tatverdächtig sind und dies zu keinem Zeitpunkt waren“.

Ohne Kenntnis werden die Gesichtsmodelle der aufgezeichneten Personen mathematisch berechnet, gespeichert und durchsucht. Die Polizei erstellt daraus Profile über deren Standort, Verhalten und soziale Kontakte. Ein Rechtsbehelf ist nicht möglich, da die Betroffenen von der Verarbeitung ihrer Daten nicht erfahren.

Datenschützer soll nur noch warnen dürfen

Auch nach Auflösung der „Sonderkommission Schwarzer Block“ will die Polizei die Gesichtsbilder weiter verwenden. Die Innenbehörde der Stadt Hamburg hat deshalb im Januar eine Klage gegen die Anordnung von Caspar eingereicht, die mündliche Verhandlung vor dem Verwaltungsgericht ist für den 23. Oktober geplant. Das Verfahren ist von so großer Bedeutung, dass die unterlegene Partei in die Berufung gehen dürfte.

Ohne das Urteil abzuwarten, rächt sich der Senat auch politisch. Johannes Caspar hatte seine Weisungsbefugnis nach dem G20-Gipfel das erste und bisher einzige Mal genutzt. Obwohl er also behutsam und keineswegs inflationär mit diesem scharfen Schwert umgeht, soll ihm diese Kompetenz im neuen Polizeigesetz entzogen werden.

Im Entwurf des Gesetzes schreibt die Landesregierung, eine Letztentscheidungs- und Anordnungsbefugnis des Datenschutzbeauftragten lasse sich „nicht mit dem Bedürfnis nach ständiger Verfügbarkeit rechtmäßig erhobener Daten und Datenverarbeitungsanlagen in Einklang bringen“. Caspar möge sich zukünftig mit einer Beanstandung oder Warnung zufrieden geben.