Symbolbild für Fahndung, kein Bild eines Polizeieinsatzes. Pexels · Foto 5537640 · CC0-Lizenz

Ein Mitarbeiterfoto auf der Firmenwebsite soll Kunden zeigen, wer ihr Ansprechpartner ist. Für eine automatisierte Gesichtssuche kann dasselbe Bild zum Suchtreffer werden. Wie weit Polizeibehörden solche öffentlich erreichbaren Daten auswerten dürfen, war heute Gegenstand einer Anhörung im Innenausschuss des Bundestages. Die geplanten Befugnisse stoßen auf erhebliche Einwände von Datenschutz- und Rechtsexperten. Das Bundeskriminalamt hält neue technische Möglichkeiten dagegen für notwendig und verweist auf gesetzliche Grenzen.

Die Anhörung vom 21. September betrifft Gesetzentwürfe für digitale Ermittlungen. Sie sollen unter anderem den biometrischen Abgleich mit Internetdaten und die automatisierte Analyse vorhandener Datenbestände regeln. Dabei werden Gesichter anhand ihrer Merkmale verglichen oder Informationen aus mehreren Beständen miteinander verknüpft. Eine Anhörung schafft noch keine neue Befugnis. Für Unternehmen besteht deshalb heute keine neue Pflicht, Mitarbeiterfotos oder Kundendaten für solche Verfahren bereitzustellen.

Öffentlich sichtbar heißt noch lange nicht beliebig durchsuchbar

netzpolitik.org berichtet aus der Anhörung, dass mehrere Sachverständige die Entwürfe für zu weitreichend halten. Die Bundesdatenschutzbeauftragte fordert eine grundlegende Überarbeitung. Zu ihren Einwänden gehören niedrige Eingriffsschwellen und ein zu großer Kreis möglicher Betroffener. Der Konflikt betrifft damit auch Menschen, gegen die sich keine gezielte Fahndung richtet.

In ihrer beim Ausschuss hinterlegten schriftlichen Stellungnahme vom 2. Juni erläutert die Bundesdatenschutzbeauftragte das anhand von Daten über Opfer und Zeugen. Auch solche Informationen können in behördlichen Beständen liegen. Aus ihrer Sicht begrenzen die vorgesehenen Regeln nicht ausreichend, welche Personen und Daten in einen Abgleich einbezogen werden. Die ältere Stellungnahme ist Grundlage der heutigen Debatte, keine heute veröffentlichte Gerichtsentscheidung.

Ein frei abrufbares Porträt und seine Verwendung als biometrischer Suchschlüssel sind unterschiedliche Verarbeitungsvorgänge. Für die betroffene Person ändert sich der Kontext: Ein Bild kann sie mit anderen Aufnahmen oder Fundstellen verbinden. Die Frage nach der Zulässigkeit lässt sich daher nicht allein damit beantworten, dass die Ausgangsseite ohne Anmeldung erreichbar ist.

Das BKA verweist auf rechtmäßig vorhandene Daten

Die Gegenposition verdient eine genaue Unterscheidung zwischen Gesichtssuche und allgemeiner Datenanalyse. In ihrer Stellungnahme für die Anhörung beschreibt BKA-Vizepräsidentin Martina Link die automatisierte Analyse als Auswertung bereits rechtmäßig gespeicherter oder rechtmäßig zugänglicher Daten. Die Prüfung der Verhältnismäßigkeit durch Ermittler bleibe erforderlich. Eine direkte Anbindung der Analyseanwendung an bestimmte externe Register und Internetdienste sei ausdrücklich ausgeschlossen.

Bei der Gesichtssuche befürwortet Link laut netzpolitik.org dagegen die Möglichkeit, Drittanbieter zu nutzen. Genau hier setzen weitere Einwände an. Die Bundesdatenschutzbeauftragte hält kommerzielle Gesichtssuchdatenbanken für datenschutzrechtlich höchst bedenklich. AlgorithmWatch verweist auf das Verbot des ungezielten Sammelns von Gesichtsbildern zum Aufbau solcher Datenbanken in der europäischen KI-Verordnung. Ein technischer Dienstleister nimmt dem Auftraggeber die Prüfung der Datenherkunft also nicht ab. Ob die konkreten Gesetzesvorschläge den rechtlichen Anforderungen genügen, bleibt umstritten.

Was Firmen bei eigenen Bildern und Behördenanfragen prüfen sollten

Für Datenschutzverantwortliche beginnt die praktische Arbeit beim eigenen Veröffentlichungszweck. Welche Mitarbeiterporträts sind für Kundenkontakte erforderlich, welche ehemaligen Beschäftigten stehen noch auf der Website? Eine Bestandsprüfung kann überholte Veröffentlichungen aufdecken. Sie sollte mit den Zuständigen für Personal und Website abgestimmt werden. Bereits verbreitete Kopien verschwinden allerdings nicht automatisch, wenn das Original gelöscht wird.

Bei einer behördlichen Anfrage braucht es weiterhin eine Prüfung des konkreten Ersuchens. Zuständigkeit, verlangter Umfang und angegebene Rechtsgrundlage gehören in die Dokumentation. Der politische Wunsch nach leistungsfähigeren Analysen ersetzt diese Prüfung nicht. Ebenso wenig rechtfertigt die Anhörung, vorsorglich größere Datenpakete zu übermitteln, als tatsächlich verlangt und rechtlich gedeckt sind.

Wer selbst eine Gesichtssuche einkaufen will, sollte vor einem Test mit Beschäftigtenfotos die Herkunft der Vergleichsbilder und den vorgesehenen Zweck klären lassen. Ein Anbieterhinweis auf öffentlich zugängliche Quellen reicht dafür nicht. Solange diese Fragen offen sind, gehören reale Mitarbeiterbilder nicht in einen unverbindlichen Produktversuch.

Stand: 21.09.2026