Antwort: KI-Videoüberwachung des Hansaplatzes

Antwort: KI-Videoüberwachung des Hansaplatzes (Anfrage der Fraktion DIE LINKE)
 

Fragestellerinnen und Fragesteller: Antonia-Luise Ivankovic, Theresa Jakob, Steffen Leipnitz, Susanne Morgenstern, Maureen Schwalke, Carina Sickau, Nora Stärz, Marinus Stehmeier, Ronald Wilken
 

Sachverhalt:
 

Seit 2019 überwacht die Polizei Hamburg den Hansaplatz und angrenzende Straßen im Stadtteil St. Georg zu bestimmten Zeiten mittels einer Videoüberwachungsanlage. Die Anlage wurde technisch um ein KI-System ergänzt, das die Videodaten analysiert, um bestimmte Bewegungsmuster wie Schläge, Tritte oder Stürze zu erkennen. Um das dem System zu Grunde liegende KI-Modell an die spezifischen Bedingungen des Hansaplatzes anzupassen, wird dieses seit dem 01. September 2025 mit weiteren Videodaten nachtrainiert wird (sog. Finetuning). Es handelt sich hierbei um Videodaten, die mittel der Videoüberwachungsanlage gewonnen wurden.
 

Durch die Videoüberwachung sowie die Verwendung von Videoaufnahmen zum Training eines KI-Modells werden personenbezogene Daten verarbeitet. Eine solche Datenverarbeitung durch die Polizei im Hamburg den Vorgaben des Gesetzes über die Datenverarbeitung der Polizei (PolDVG) genügen.
Es besteht das Risiko, dass es durch die beschriebene Datenverarbeitung die Grundrechte der durch die Kameras erfassten Personen empfindlich beeinträchtigt werden. Dies kann grundsätzlich alle Personen betreffen, die von den eingesetzten Kameras erfasst werden. Eine besondere Belastung stellt die Videoüberwachung allerding für die Anwohnenden und die übrige Bevölkerung im Stadtteil St. Georg dar. Wegen dieser erheblichen Betroffenheit der lokalen Bevölkerung ist diese Angelegenheit für den Bezirk Hamburg-Mitte von Bedeutung.
 

Vor diesem Hintergrund bitten wir die Behörde für Inneres und Sport um Auskunft zu den folgenden Punkten:
 

Die Behörde für Inneres und Sport (BIS) beantwortet die Fragen wie folgt:
 

Der Senat der Freien und Hansestadt Hamburg hat zu den von den Fragestellungen umfassten Themen in der Vergangenheit bereits umfassend auf Anfragen aus der Hamburgischen Bürgerschaft geantwortet. Siehe hierzu Drs. 21/16099, 21/16589, 22/12180, 22/12180, 22/12339, 22/12356, 22/12984, 22/13988, 22/14472, 22/14738 und 22/17455.

1) Welche Stelle ist der datenschutzrechtliche Verantwortliche gem. § 2 Nr. 4 PolDVG für die Verarbeitung personenbezogener Daten im Rahmen der folgenden Verarbeitungstätigkeiten:
a) der Videoüberwachung,
b) des Trainings des KI-Modells?
 

Die Polizei Hamburg.

2) Wurden die Verarbeitungstätigkeiten im Zusammenhang mit der Videoüberwachung und dem Training des KI-Modells in das gem. § 55 PolDVG zu führendes Verzeichnis der Verarbeitungstätigkeiten aufgenommen? Wenn nein, warum nicht?

Ja.

3) Liegen für die Videoüberwachung und das Training des KI-Modells jeweils Angaben vor zu
a) dem Zweck der Verarbeitung,

 Zwecke der Videoüberwachung gemäß § 18 Absatz 3 Gesetz über die Datenverarbeitung der Polizei (PolDVG) sind die Aufrechterhaltung der öffentlichen Sicherheit und Ordnung, die
Verhütung von Straftaten sowie die Eigensicherung.

Beim Trainieren des KI-Systems gemäß § 37 a PolDVG ist der Zweck die Verbesserung der Detektionsqualität der intelligenten Aktivitätserkennung im Rahmen der präventiven Videobeobachtungsmaßnahmen an Kriminalitätsbrennpunkten i.S. des § 18 Absatz 3 PolDVG.

b) den Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden sollen,
 

Dieses sind bei der Videoüberwachung gegebenenfalls die Staatsanwaltschaft und die Bußgeldstelle in Fällen der Verfolgung von Straftaten und Ordnungswidrigkeiten sowie beim Training des KI-Systems das Fraunhofer Institut (IOSB) als auftragsverarbeitende Stelle.

c) der Kategorien betroffener Personen und der Kategorien personenbezogener Daten,

Die erfragten Kategorien sind
 

bei der Videoüberwachung: Angehörige der Polizei Hamburg, Beteiligte im Rahmen eines Gefahrenerforschungs- oder Gefahrenabwehrverfahrens, Beteiligte im Rahmen eines Ordnungswidrigkeitenverfahrens, Beteiligte im Rahmen eines Strafverfahrens und unbeteiligte Dritte, insbesondere Ort, Zeit und Dauer des Aufenthaltes, Erscheinungsbild/ Bekleidung, Handlungen/ Bewegungen.

beim Training des KI-Systems: Beteiligte im Rahmen eines Gefahrenerforschungs- oder Gefahrenabwehrverfahrens. Die Bildaufnahmen können jegliche Art personenbezogener Daten enthalten, sind aber nicht Ziel der Datenverarbeitung.

d) der Verwendung von Profiling,

e) den Kategorien von Übermittlungen personenbezogener Daten an Stellen in einem Drittstaat oder an eine internationale Organisation,

Maßnahmen im Sinne der Fragestellungen erfolgen sowohl bei der Videoüberwachung als auch dem Training des KI-Systems nicht.

f) der Rechtsgrundlage der Verarbeitung,

Siehe Antwort zu 3a).

g) den vorgesehenen Fristen für die Löschung oder die Überprüfung der der Speicherung der verschiedenen Kategorien personenbezogener Daten?
Wenn ja, bitten jeweils einzeln für beide Verarbeitungstätigkeiten benennen.
Wenn nein, warum nicht?

Zur Videoüberwachung siehe § 18 Absatz 1 PolDVG.

Die Löschung der für das Training des KI-Systems geeigneten und ausgewählten und an den IOSB übermittelten Videosequenzen erfolgt, sofern diese für den betreffenden Zweck nicht mehr erforderlich sind bzw. spätestens zum Ende des Projektes IVBeo2.

4) Welche Maßnahmen wurden hinsichtlich der Videoüberwachung und dem Training des KI-Modells jeweils getroffen, um gem. § 54 PolDVG ein dem Risiko angemessenes Schutzniveau zu gewährleisten?

Im Sinne der Fragestellung hat die Polizei Maßnahmen zur Sensibilisierung der Beschäftigten, gezieltes Training sowie die konsequente Trennung von Aufgaben implementiert. Der
Schutz vor unberechtigtem physischem Zugang wird durch entsprechende Sicherheitsvorkehrungen gewährleistet.

Zugriffsberechtigungen auf personenbezogene Daten werden durch ein differenziertes Rechte- und Rollenkonzept geregelt, welches eine autorisierte Nutzung gewährleistet. Die Zugriffskontrolle wird durch klare Vertretungsregelungen für abwesende Mitarbeitende ergänzt, um sicherzustellen, dass jederzeit eine verantwortliche Person für den Zugriff auf die Daten benannt ist und somit keine unkontrollierten Zugriffe erfolgen können. Sämtliche Datenverarbeitungsprozesse werden dokumentiert, wobei die Auskunftsrechte der Betroffenen gemäß den polizeiinternen Vorschriften berücksichtigt und geregelt sind.

Im Übrigen siehe Drs. 22/17455.

5) Wurde hinsichtlich der Videoüberwachung und dem Training des KI-Modells jeweils vorab eine Datenschutz-Folgeabschätzung (DSFA) gem. § 57 PolDVG durchgeführt?
Wenn nein, warum nicht? Wenn ja, zu welchem Zeitpunkt wurde die DSFA jeweils abgeschlossen? Wenn ja, enthält diese jeweils
a) eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung,
b) eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf deren Zweck,
c) eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen,
d) die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen?
e) Wenn ja, bitte jeweils angeben oder beifügen. Wenn nein, warum nicht?

Die DSFA zur Videobeobachtung gemäß § 18 Absatz 3 PolDVG am Hansaplatz wurde am 17. September 2019 durchgeführt und wurde seitdem bedarfsorientiert aktualisiert. Sie enthält eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf deren Zweck, eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen sowie die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen. Im Übrigen siehe Antwort zu 4.

Die Prüfung der Notwendigkeit einer DSFA nach § 57 PolDVG für die Verarbeitungstätigkeit Training und Testung des KI-Systems IVBeo gemäß § 37a PolDVG hat ergeben, dass aufgrund der nichtzutreffenden Kriterien die Durchführung einer DSFA nicht erforderlich ist. Es ist von keinem hohen Risiko für die Rechte und Freiheit natürlicher Personen auszugehen.

6) Welche Vorkehrungen wurden jeweils getroffen, um gem. § 56 Abs. 1 PolDVG im Zusammenhang mit der Videoüberwachung und dem Training des KI-Modells die Datenschutzgrundsätze wie etwa die Datensparsamkeit wirksam umzusetzen und sicherzustellen, dass die gesetzlichen Anforderungen eingehalten und die Rechte der betroffenen Personen geschützt werden?

Im Sinne der Fragestellung achtet die Polizei auf Einhaltung aller gemäß Artikel 5 der Datenschutz-Grundverordnung (DSGVO) relevanten Datenschutzziele.
Die Verarbeitung personenbezogener Daten erfolgt stets rechtmäßig. Die Erhebung und Nutzung der Daten beschränken sich auf festgelegte, eindeutige und legitime Zwecke, wobei eine Weiterverarbeitung nur im Einklang mit diesen Zwecken stattfindet. Zudem wird die Datenverarbeitung auf das notwendige Maß begrenzt, um den Grundsatz der Datenminimierung zu gewährleisten. Die Richtigkeit der Daten wird durch geeignete Maßnahmen sichergestellt, sodass unrichtige Daten unverzüglich berichtigt oder gelöscht werden. Die Speicherung der personenbezogenen Daten erfolgt nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist, wobei technische und organisatorische Maßnahmen implementiert sind, um die Identifizierbarkeit betroffener Personen zu beschränken. Darüber hinaus wird durch angemessene Sicherheitsvorkehrungen der Schutz der Daten vor unbefugtem Zugriff, Verlust oder Beschädigung gewährleistet. Die Einhaltung dieser Grundsätze wird kontinuierlich überwacht und die entsprechenden Dokumente aktualisiert.

7) Werden personenbezogene Daten zum Zweck des Trainings des KI-Modells an weitere Verantwortlich oder Auftragsverarbeiter weitergegeben? Wenn ja, an welche?

Siehe Antworten zu 3b) und 3c)

8) Werden die zum Training des KI-Modells verwendeten personenbezogenen Daten anonymisiert? Wenn nein, warum nicht?

9) Werden die zum Training des KI-Modells verwendeten personenbezogenen Daten pseudonymisiert? Wenn nein, warum nicht?

Nein. Für das Training sind klare und scharfe Bildaufnahmen (Klarbilder) erforderlich und unerlässlich, um die Bewegungsabläufe exakt erfassen und analysieren zu können. Um aus den aufgenommenen Sequenzen geeignete Trainingsdaten zu generieren, ist das Verfahren auf eindeutige Orientierungspunkte angewiesen, die eine möglichst präzise Bestimmung der Position einzelner Körperteile ermöglichen und diese korrekt der jeweiligen Person zuordnen. Dabei kommt insbesondere der Erfassung definierter Fixpunkte des Kopfes spezifischer Gesichtspartien (wie Stirn-, Ohren-, Kinnposition) eine zentrale Bedeutung zu; individuelle Merkmale sind nicht relevant und auch nicht Ziel der Datenverarbeitung. Eine Anonymisierung ebenso wie eine Pseudonymisierung der Daten ist daher nicht durchführbar, da sie dem Zweck der Verarbeitung entgegenstehen würde.

10) Werden die personenbezogenen Daten zum Training des KI-Modells ans Auftrags- und Drittverarbeiter übermittelt? Wenn ja, bitte konkret benennen.

Siehe Antworten zu 3b) und 3c)

11) Erfolgt das Training des KI-Modells auf der Grundlage einer Verwaltungsvorschrift gem. § 37a Abs. 5 PolDVG?

Ja.

12) Auf welche Weise werden betroffene Personen über die Erhebung der der personenbezogenen Daten zum Zweck der Videoüberwachung und dem Training des KI-Modells
gem. § 69 PolDVG informiert.

Auf den am Hansaplatz angebrachten Hinweisschildern zur Videoüberwachung befindet sich zusätzlich ein QR-Code, der Betroffene direkt auf die unten genannte Website zur Videoüberwachung weiterleitet.

Darüber hinaus werden Informationen zur Datenverarbeitung bei der Polizei Betroffenen grundsätzlich im Internet auf der Website der Polizei Hamburg unter www.polizei.hamburg zur Verfügung gestellt.

Ebenfalls sind auf der Website unter den Punkten

 „Videoüberwachung Hansaplatz“ Informationen zur Datenverarbeitung im Rahmen der Videoüberwachung
Hansaplatz,
 „IVBeo2-Intelligente Videobeobachtung" Informationen zu IVBeo2 und der intelligenten Videoüberwachung sowie
 die „Verwaltungsvorschrift zum KI-Training“

zur Verfügung gestellt.