Wie Datenschutzprüfung und Provenienz in der Pipeline tatsächlich funktionieren
Ein technischer Durchgang durch die Verarbeitungsstufen zwischen Rohmaterial und lizenziertem Release.
„Privacy-by-Design" und „rechtlich geklärte Daten" werden häufig als Marketingphrasen ohne technischen Inhalt verwendet. Dieser Beitrag beschreibt, was die Begriffe im Kontext der Aufnahme- und Verarbeitungspipeline tatsächlich bedeuten — und was nicht.
Eingang und Zugriffskontrolle
Rohmaterial gelangt über einen verschlüsselten Upload-Kanal in die Pipeline. Ab dem Zeitpunkt, an dem es im Speicher liegt, ist der Zugriff auf Verarbeitungs- und Prüfrollen beschränkt, die auf dieses Projekt beschränkt sind. Analystinnen, Annotierende oder externe Prüfende erhalten standardmäßig keinen Zugriff auf Rohmaterial; Zugriff wird je Rolle und Projekt vergeben und protokolliert.
Die Speicherregion ist ausschließlich EU-Region. Rohmaterial verlässt diese Grenze im regulären Verarbeitungsbetrieb nicht.
Automatische Datenschutzerkennung
Jedes Bild jedes Clips durchläuft eine automatische Erkennung. Die Erkennungspipeline zielt auf:
- Gesichter (Mitwirkende und Unbeteiligte) - Dritte Personen, die in die Szene gelaufen sind - Bildschirme, Monitore und Dokumentenoberflächen - Fahrzeugkennzeichen - Ausweisdokumente, Badges und Lanyards - Identifizierbare Beschilderung (Firmennamen, Adressen, markierte Oberflächen, die den Ort erkennbar machen)
Erkennungen werden je Frame protokolliert. Das Erkennungsprotokoll wird nach der Verarbeitung nicht verworfen: Es reist mit dem Clip mit und wird Teil seines Provenienzeintrags.
Menschliche Datenschutzprüfung
Automatische Erkennung hat eine bekannte Obergrenze. Hochbewegungsframes, teilweise Verdeckungen und ungewöhnliche Darstellungsformate produzieren Lücken. Jeder Clip wird nach der automatischen Verarbeitung von einer Person geprüft.
Die prüfende Person sucht nach Erkennungslücken, nach neu erkennbarem Kontext, der einen Ort oder eine Person identifiziert, und nach standortvertraulichem Material, das die verantwortliche Stelle markiert hat. Clips, die nicht freigegeben werden können, werden aus dem Projekt entfernt. Sie werden nicht mit Vorbehalten oder Disclaimern ausgeliefert — sie werden entfernt.
Das ist keine bequeme Politik für den Durchsatz. Ein Clip mit 40 Minuten nutzbarem Material, der ein nicht auflösbares identifizierbares Element enthält, wird zu null Minuten abgenommenem Filmmaterial. Die Alternative — markiertes Material zu liefern und den Kunden entscheiden zu lassen — würde das Datenschutzrisiko verlagern statt auflösen.
Einwilligungskette
Jede Aufnahme ist mit einem expliziten Einwilligungsnachweis verknüpft. Der Einwilligungsnachweis benennt die mitwirkende Person, das Projekt, den Aufgabenumfang, die erlaubten Verwendungen, die Aufbewahrungsfrist und den Widerrufsmechanismus. Einwilligung wird je Projekt eingeholt, nicht einmalig für alle zukünftigen Projekte.
Die Standortfreigabe ist davon getrennt. Die für den Aufnahmeort verantwortliche Stelle unterzeichnet eine Standortfreigabe, die die Aufzeichnung an diesem Ort, für diesen Aufgabenumfang, für dieses Projekt genehmigt. Standortfreigabe und Mitwirkenden-Einwilligung werden beide den betreffenden Episoden zugeordnet gespeichert.
Provenienznachweise
Nachdem ein Clip die Datenschutzprüfung bestanden hat, erhält er einen Provenienznachweis, bevor er in ein Release aufgenommen werden kann. Der Provenienznachweis erfasst:
- Aufnahmezeitraum (aus Datenschutzgründen keine genauen Zeitstempel) - Umgebungsklasse (Werkstatt, Baustelle, Wohnbereich, Industrieanlage) - Protokollversion, die bei der Aufnahme angewendet wurde - Version der Verarbeitungspipeline, die bei der Datenschutzverarbeitung angewendet wurde - Version des Annotationsschemas, die bei der Annotation angewendet wurde - Ob Mitwirkenden-Einwilligung und Standortfreigabe vorliegen
Der Provenienznachweis ist nach dem Schreiben unveränderlich. Ist eine Korrektur notwendig, wird ein neuer Eintrag geschrieben und der alte wird aufbewahrt — die vollständige Geschichte bleibt erhalten.
Was das nicht bedeutet
Das bedeutet nicht, dass der resultierende Datensatz als DSGVO-konform zertifiziert ist. Die Pipeline ist für DSGVO-bewusste Erhebung physischer Daten ausgelegt; Konformität ist ein laufender Betriebszustand, keine einmal erteilte Auszeichnung.
Das bedeutet nicht, dass der Datensatz vollständig anonym ist. Anonymität ist ein technischer Standard mit einer präzisen Definition, und professionelle Aufnahmen von Händen bei der Arbeit tragen ein Restrisiko der Re-Identifizierung, das die Verarbeitungspipeline verringert, aber nicht beseitigt. Kein Datensatz wird als vollständig anonym dargestellt.
Was es bedeutet: Die Rechtekette hinter jeder Episode ist dokumentiert, die Datenschutzverarbeitung hat eine automatische und eine menschliche Stufe, und der Provenienznachweis reist mit den Daten mit, sodass nachgelagerte Nutzer ihn befragen können.