Gesichtserkennungssysteme in Sportstadien

Wir wurden angefragt, zu zwei Teilaspekten des Projekts «Sicherheit im Sport» Stellung zu nehmen. Dabei handelte es sich vor um allem die Themen «Einsatz von Biometrie resp. von Gesichtserkennungsgeräten bei den Eingängen eines Stadions» und «Verknüpfung von Videoaufnahmen in den Stadien und Biometrie resp. Gesichtserkennung». Der Einsatz von Gesichtserkennungssystemen in Stadien ist datenschutzrechtlich zulässig, wenn bestimmte Voraussetzungen eingehalten werden.

Vertreter von Bund, Kantonen und Sportverbänden setzten sich zu einem «Runden Tisch zur Bekämpfung von Gewalt im und um den Sport» zusammen. In diesem Zusammenhang wurden wir von einer Arbeitsgruppe des runden Tischs angefragt, zu zwei Teilaspekten des Projekts «Sicherheit im Sport» Stellung zu nehmen. Dabei handelte es sich vor allem um die Themen «Einsatz von Biometrie resp. von Gesichtserkennungsgeräten bei den Eingängen eines Stadions» und «Verknüpfung von Videoaufnahmen in den Stadien und Biometrie resp. Gesichtserkennung».

Wir wiesen darauf hin, dass das Bundesgesetz über den Datenschutz gilt, wenn Personendaten von privaten Personen (private Stadionbetreiber) oder Bundesorganen (Bundesamt für Polizei) bearbeitet werden. Dagegen finden die kantonalen Datenschutzgesetze Anwendung bei der Datenbearbeitung durch kantonale Organe (z.B. Kantonspolizei, Stadtpolizei). Für die datenschutzrechtliche Beurteilung ist in solchen Fällen der jeweilige kantonale (resp. städtische) Datenschutzbeauftragte zuständig. Folglich bezog sich unsere (nachfolgende) Stellungnahme einzig auf die Datenbearbeitung durch private Personen und Bundesorgane.

Generell gilt, dass die allgemeinen Datenschutzgrundsätze (Rechtmässigkeit, Verhältnismässigkeit, Zweckbindung, usw.) zu beachten sind. Sodann brauchen private Personen für die Bearbeitung von Personendaten einen Rechtfertigungsgrund, nämlich die Einwilligung der betroffenen Person, ein überwiegendes privates oder öffentliches Interesse oder ein Gesetz. Bundesorgane ihrerseits dürfen dann Personendaten bearbeiten, wenn dafür eine gesetzliche Grundlage besteht.

Zum Einsatz von Biometrie resp. von Gesichtserkennungsgeräten bei den Eingängen eines Stadions gab uns die Arbeitsgruppe für das Pilotprojekt Rahmenbedingungen an. Ziel des Projekts ist es, Gewalt zu verhindern, indem möglichst viele Personen mit Stadionverbot oder einer anderen Massnahme nach Art. 24a ff. des Bundesgesetzes über Massnahmen zur Wahrung der inneren Sicherheit (BWIS; Rayonverbot, Ausreisebeschränkung, Meldeauflage, Polizeigewahrsam) erkannt und am Eintritt ins Stadion gehindert werden.

Bei den eingesetzten Gesichtserkennungsinstallationen handelt es sich um semi-mobile Geräte, die an verschiedenen Eingängen des Stadions aufgestellt werden, ohne dass die Zuschauer im Voraus wissen, an welchen. Dabei erfolgt die Gesichtskontrolle mehr oder weniger gleichzeitig mit der Personenkontrolle und für die betroffenen Personen erkennbar. Bei der Gesichtserkennung ist jeweils eine Fachperson anwesend.

Die Fotos, die in die Gesichtserkennungsinstallationen eingegeben werden, stammen einerseits aus der Datenbank des Bundesamtes für Polizei HOOGAN, andererseits aus den Stadionverbotslisten der Sportclubs und/oder Sportverbände. Die Daten bleiben immer nach Herkunft getrennt. Es werden insbesondere keine Daten aus HOOGAN in die Stadionverbotslisten kopiert; die Daten werden auf separaten chiffrierten USB-Sticks übergeben und in zwei gesonderte Galerien eingelesen.

Die vom Bundesamt für Polizei vorselektionierten Daten aus HOOGAN werden erst kurz vor der Sportveranstaltung eingelesen und kurz nach der Veranstaltung unter Beaufsichtigung des zuständigen Polizeivertreters wieder vernichtet. Es gelten also die gleichen Bedingungen wie bereits heute, mit dem Unterschied, dass die Daten nicht auf Papier, sondern auf einem chiffrierten USB-Stick geliefert werden. Das Bundesamt für Polizei wird das Bearbeitungsreglement HOOGAN sowie die HOOGAN-Richtlinie entsprechend anpassen.

Die eingelesenen Fotos werden mit den hereinkommenden Stadionbesuchern verglichen (facetracking). Ergibt sich kein Treffer, erfolgt auch keinerlei Speicherung der Bilder der hereinkommenden Personen. Was bei einem Treffer geschieht, kann noch konfiguriert werden, auf jeden Fall sollte aus Beweisgründen in diesen Fällen ein Ausdruck erfolgen. Im Pilotprojekt wird es auch keine eigene «Datenbank Biometrie» geben.

Unter diesen Voraussetzungen gaben wir folgende datenschutzrechtliche Beurteilung ab: Für die Weitergabe von Daten aus HOOGAN an die Organisatoren und Sicherheitsverantwortlichen sind gesetzliche Grundlagen gegeben (BWIS und die entsprechende Verordnung). Zudem dürfen die Daten gemäss den gesetzlichen Grundlagen in elektronischen Personenerkennungssystemen bearbeitet werden. Allerdings wären noch das Bearbeitungsreglement sowie die Richtlinie zu HOOGAN anzupassen, da dort eine Weitergabe auf Papier und nicht in elektronischer Form vorgesehen ist. Wichtig ist dabei weiterhin die Sicherstellung, dass erstens die herausgegebenen Daten protokolliert werden, und dass zweitens die Daten nach der Sportveranstaltung sicher gelöscht und nicht weiterverwendet werden. Wir halten fest, dass die Übergabe der Daten auf einem chiffrierten USB-Stick gegenüber einer Datenübergabe auf Papier aus datenschutzrechtlicher Sicht mindestens als gleichwertig einzustufen ist.

Für die Weitergabe von Daten aus den Stadionverbotslisten der Sportclubs oder Sportverbände an die Organisatoren und Sicherheitsverantwortlichen kann grundsätzlich das Vorliegen eines Rechtfertigungsgrundes (überwiegendes privates oder öffentliches Interesse) bejaht werden. Allerdings müssen auch hier die allgemeinen Datenschutzprinzipien eingehalten werden. Insbesondere dürfen die Personendaten nur dann bearbeitet werden, wenn sie rechtmässig erhoben wurden. Als Beispiel sei genannt, dass Fotos von Personen mit Stadionverboten nur dann bearbeitet werden dürfen, wenn die Fotos rechtmässig gemacht wurden. Dies ist dann der Fall, wenn die Bilder im Rahmen einer Videoüberwachung zu Sicherheitszwecken im Stadion gemacht wurden und das gespeicherte Bildmaterial sicherheitsrelevant ist (etwa im Falle von Ausschreitungen).

Auch bei der Gesichtserkennung bei der Personenkontrolle durch die privaten Stadionbetreiber resp. deren Sicherheitsverantwortliche lässt sich grundsätzlich das Vorliegen eines Rechtfertigungsgrundes (überwiegendes privates oder öffentliches Interesse) bejahen. Auch hier gelten die allgemeinen Datenschutzprinzipien. So dürfen nach dem Verhältnismässigkeitsprinzip nur diejenigen Daten bearbeitet werden, die für den verfolgten Zweck tatsächlich geeignet und notwendig sind. Weiter ist die Datensicherheit nach DSG zu gewährleisten. Aufgrund von BWIS muss zudem sichergestellt werden, dass die Daten aus HOOGAN nicht mit den anderen Daten vermischt und nach der Veranstaltung wieder gelöscht werden. Weiter wären die Zuschauer über die Gesichtserkennung zu informieren, mit Hinweisschildern und eventuell einer Mitteilung auf der Eintrittskarte. Aus Beweiszwecken ist der Ausdruck eines Treffers sicher zulässig. Wird der Fall der Kantonspolizei übergeben, richtet sich die Datenbearbeitung wie erwähnt nach kantonalem Recht.

Wir wiesen die Arbeitsgruppe darauf hin, dass nicht der EDÖB, sondern die jeweiligen Datenbearbeiter (Bundesamt für Polizei, Organisatoren gemäss BWIS usw.) für die Einhaltung der Datenschutzgesetzgebung verantwortlich bleiben. Schliesslich erlaubten wir uns die Bemerkung, dass für uns immer noch fraglich ist, ob angesichts der geplanten Datenbearbeitungen die effektive Trefferquote der Gesichtserkennungsanlage wirklich gross genug und damit die Zweckmässigkeit der Massnahme gegeben ist. Wir zweifelten an der Effizienz der Anlage.

Schliesslich wiesen wir darauf hin, dass die Gesichtserkennung nur etwas bringen könne, wenn sie mit anderen Massnahmen (Fanbetreuer, Beizug der Polizei usw.) verbunden werde.

Für die Verknüpfung von Videoaufnahmen in den Stadien mit Biometrie resp. Gesichtserkennung gaben wir folgende Beurteilung ab:

Gemäss den Angaben der Arbeitsgruppe war ebenfalls geplant, die Gesichtserkennung (nach der Eingangskontrolle) während des Spiels weiterzuführen. Dabei würden die Gesichtserkennungsgeräte mit in den Stadien bereits vorhandenen Videoeinrichtungen verknüpft. Auch hier würden die «Nichttreffer» nicht gespeichert. Ziel wäre es, allfällige Treffer der Kantonspolizei zu melden, die danach die Personen aufsuchen würde.

Diesbezüglich stellt sich die Frage der Verhältnismässigkeit. Auf jeden Fall gelten auch hier die oben genannten Voraussetzungen. Wiederum ist der EDÖB für die Beurteilung der Datenbearbeitung durch die Kantonspolizei nicht zuständig.

Erneut ersuchten wir die Arbeitsgruppe, sicherzustellen, dass im Rahmen ihres Projekts die vorgenannten Datenschutzvoraussetzungen eingehalten werden. Wie bereits erwähnt, sind die jeweiligen Datenbearbeiter (Bundesamt für Polizei, Organisatoren gemäss BWIS usw.) für die Einhaltung der Datenschutzgesetzgebung verantwortlich. Allerdings ist nach einer bestimmten Zeit die Gesichtserkennung durch die Organisatoren resp. Sicherheitsverantwortlichen einer Evaluation zu unterziehen und die datenschutzrechtliche Situation im Hinblick auf die Zweckmässigkeit und die Verhältnismässigkeit der Massnahme nochmals abzuklären.

Zu allen anderen Punkten des Pilotprojekts, zum Beispiel zur Frage der Gesichtserkennung an öffentlichen Orten, haben wir nicht Stellung genommen, da dies von der Arbeitsgruppe nur am Rande erwähnt wurde und das Vorhaben für uns noch zu wenig konkretisiert war. Dort stellen sich weitere und viel heiklere Datenschutzprobleme, die noch abgeklärt werden müssten.

https://www.edoeb.admin.ch/content/edoeb/de/home/dokumentation/taetigkeitsberichte/aeltere-berichte/16--taetigkeitsbericht-2008-2009/gesichtserkennungssysteme-in-sportstadien.html