Schutzvorkehrungen und Bedingungen für die Ausnahmen (artikel 5 Absätze 2 Bis 7 der KI-Verordnung)

Die Verwendung von Systemen zur biometrischen Echtzeit-Fernidentifizierung für eines der in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii der KI-Verordnung aufgeführten Ziele unterliegt bestimmten Schutzvorkehrungen und Bedingungen, die in Artikel 5 Absätze 2 bis 7 der KI-Verordnung aufgeführt sind.

Erstens ist die Verwendung von biometrischen Echtzeit-Fernidentifizierungssystemen in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken nur „zur Bestätigung der Identität der speziell betroffenen Person zulässig“. Mit dieser ersten Bedingung wird das Ziel verfolgt, die Schwere der Situation und den Schaden, der sich aus der Nichtanwendung des Systems ergibt, gegen die Auswirkungen der Technik auf die Rechte und Freiheiten des Einzelnen abzuwägen. Ziel ist es, eine Massenüberwachung dadurch zu vermeiden, dass eine Person gezielt für den Einsatz von biometrischer Echtzeit-Fernidentifizierung ins Visier genommen wird. Daraus folgt, dass der Einsatz eines Systems zur biometrischen Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken nur für speziell betroffene Personen genehmigt werden sollte.

Die Verwendung des Begriffs „Bestätigung der Identität“ im Gegensatz zu „Identifizierung“ ist als zusätzlicher Schutz der Grundrechte gedacht, der das Risiko einer willkürlichen Überwachung begrenzt und impliziert, dass die Identifizierung einer Person im Sinne von Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung gezielt erfolgen muss. Dieser Ausdruck ist so zu verstehen, dass die Verwendung von biometrischer Echtzeit-Fernidentifizierung nur eingeleitet werden darf, um nach bestimmten Personen zu suchen, bei denen die Strafverfolgungsbehörden Grund zu der Annahme haben oder über Informationen darüber verfügen, dass sie Opfer der in Artikel 5 Absatz 1 Buchstabe h Ziffer i der KI-Verordnung aufgeführten Straftaten sind oder an einem der in Artikel 5 Absatz 1 Buchstabe h Ziffer ii oder Artikel 5 Absatz 1 Buchstabe h Ziffer iii der KI-Verordnung beschriebenen Szenarien beteiligt sind. In der Praxis bedeutet dies, dass die in Echtzeit erhobenen Daten mit denen in der Referenzdatenbank enthaltenen Daten verglichen werden. Was die Verwendung von biometrischen Echtzeit-Fernidentifizierungssystemen in den in Artikel 5 Absatz 1 Buchstabe h Ziffer ii der KI-Verordnung beschriebenen Szenarien und die Verwendung zur Durchführung strafrechtlicher Ermittlungen im Sinne von Artikel 5 Absatz 1 Buchstabe h Ziffer iii der KI-Verordnung betrifft, so müssen die Strafverfolgungsbehörden vor der Verwendung des Systems nicht unbedingt die Identität der Personen kennen, nach denen sie suchen. Liegen ihnen faktische Anhaltspunkte und Informationen über einen geplanten Terroranschlag einer terroristischen Vereinigung zu einem bestimmten Zeitpunkt und an einem bestimmten Ort vor (ohne zu wissen, wer den Plan durchführen wird), so kann das System zur biometrischen Echtzeit-Fernidentifizierung verwendet werden, um den Täter aus der terroristischen Vereinigung zu identifizieren, sofern die Strafverfolgungsbehörden eine Referenzdatenbank mit den biometrischen Daten der Personen, die Teil der terroristischen Vereinigung sind, eingerichtet haben. In allen drei in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii der KI-Verordnung beschriebenen Szenarien kann die „Bestätigung der Identität“ auch das Aufspüren der betreffenden Person umfassen.

Zweitens ist vor der Verwendung des Systems die Art der Situation, die zu einer möglichen Verwendung führt, insbesondere die Schwere, die Wahrscheinlichkeit und das Ausmaß des Schadens, für die natürlichen Personen, die Gesellschaft und die Strafverfolgungszwecke verursacht würde, wenn das System nicht genutzt würde, gegen die Folgen abzuwägen, die die Nutzung des Systems für die Rechte und Freiheiten der betroffenen Personen hätte, insbesondere die Schwere, die Wahrscheinlichkeit und das Ausmaß dieser Folgen. Dabei sollte auch bewertet werden, ob den Strafverfolgungsbehörden oder den in ihrem Namen handelnden Stellen weniger stark eingreifende alternative Lösungen zur Verfügung stehen.

So ist es den Strafverfolgungsbehörden beispielsweise untersagt, aus Gründen der allgemeinen Sicherheit, der Verbrechensverhütung und wegen Bedenken im Hinblick auf Überfüllung Echtzeit-Gesichtserkennungssysteme auf der Straße zu verwenden, da dies die ständige Beobachtung und Überwachung aller Personen umfassen würde, nicht zeitlich begrenzt ist und daher nicht die Kriterien für die Ausnahme von dem Verbot nach Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung erfüllen würde.

Das Kriterium der „Schwere“, das hier im Zusammenhang mit den möglichen Schäden und Folgen angewendet wird, impliziert unterschiedliche Grade des Eingriffs in die betreffenden Grundrechte, was mit dem Grundsatz der Verhältnismäßigkeit zusammenhängt. Was die Eingriffe in die Grundrechte betrifft, so werden einige Eingriffe als schwerwiegender angesehen als andere.

Das Kriterium des „Ausmaßes“ bezieht sich insbesondere auf die Zahl und die Kategorien der von dem Eingriff betroffenen Personen (einschließlich Kindern und schutzbedürftigen oder marginalisierten Personen).

Die „Wahrscheinlichkeit“ schließlich ist die Erwartbarkeit des Eintretens eines Ereignisses.

Die Bewertung der Schwere, des Ausmaßes und der Wahrscheinlichkeit des Schadens und der Folgen sollte Teil der Folgenabschätzung im Hinblick auf die Grundrechte sein, zu deren Durchführung die Strafverfolgungsbehörde verpflichtet ist (siehe unten). Diese Bewertung erfolgt auf Einzelfallbasis.

Drittens sollte die Echtzeit-Verwendung der biometrischen Fernidentifizierung hinsichtlich des geografischen Anwendungsbereichs, der Dauer und der betroffenen Person eindeutig begrenzt sein. Damit soll sichergestellt werden, dass das System zur biometrischen Fernidentifizierung nur genutzt wird, wenn dies unbedingt erforderlich ist.

Was die geografische Beschränkung betrifft, so kann sie auf der Grundlage „objektiver und nichtdiskriminierender Faktoren“ ein oder mehrere geografische Gebiete abdecken. Im Fall der biometrischen Identifizierung beinhaltet dies, dass die geografische Beschränkung für ein klar abgegrenztes Gebiet gilt, für das Hinweise auf das Eintreten des Ereignisses bestehen. Eine solche Abgrenzung sollte – unter normalen Umständen – nicht eine ganze Stadt oder ein ganzes Land umfassen, sondern zielgerichteter sein.

Eine weitere Sicherheitsvorkehrung bezieht sich auf den persönlichen Anwendungsbereich der Maßnahme, d. h. die Festlegung der Kategorien betroffener Personen. Dadurch würde die ungezielte, willkürliche Identifizierung von Personen ohne weitere Hinweise auf einen Vorfall ausgeschlossen werden.

Bei der Frist schließlich handelt es sich um einen Zeitraum, der auf die unbedingt erforderliche Dauer beschränkt ist, aber im Bedarfsfall im Einklang mit den geltenden Vorschriften verlängert werden kann. Die Verwendung von Systemen zur biometrischen Echtzeit-Fernidentifizierung kann daher nicht für einen unbestimmten oder vagen Zeitraum erfolgen. Der Zeitraum muss unter Berücksichtigung der konkreten Hinweise, die zur Verwendung von Systemen zur biometrischen Fernidentifizierung führen, festgelegt werden.

Viertens muss die Strafverfolgungsbehörde, die das System zur biometrischen Echtzeit- Fernidentifizierung einsetzt, vor deren Einsatz eine Folgenabschätzung im Hinblick auf die Grundrechte durchgeführt und das System in der EU-Datenbank registriert haben (außer in hinreichend begründeten Fällen).

10... Folgenabschätzung im Hinblick auf die Grundrechte

Grundrechte-Folgenabschätzungen, die in Anwendung von Artikel 5 Absatz 2 der KI- Verordnung durchgeführt werden, müssen die in Artikel 27 der KI-Verordnung festgelegten Bedingungen erfüllen. In dieser Bestimmung werden die für Hochrisiko- KI-Systeme geltenden Anforderungen an Grundrechte-Folgenabschätzungen dargelegt.

In dem Zeitraum zwischen dem Zeitpunkt, ab dem die Verbote in Artikel 5 der KI- Verordnung (2. Februar 2025) in Kraft treten, die Bestimmungen über Hochrisiko-KI- Systeme jedoch noch nicht anwendbar sind (vor dem 2. August 2026), sollten Betreiber von biometrischen Echtzeit Fernidentifizierungssystemen, die die Bedingungen für die Inanspruchnahme einer oder mehrerer der Ausnahmen nach Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung erfüllen, die in Artikel 27 der KI-Verordnung festgelegten Anforderungen an Grundrechte-Folgenabschätzungen umsetzen. Die folgenden vorläufigen Leitlinien beziehen sich nur auf die Verwendung biometrischer Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken für den Zeitraum, bevor die Pflichten in Bezug auf Hochrisiko-KI-Systeme in Kraft treten und die Kommission die Vorlage für Grundrechte-Folgenabschätzungen einführt und weitere Leitlinien für die Pflichten nach Artikel 27 der KI-Verordnung bereitstellt.

Bei der Grundrechte-Folgenabschätzung handelt es sich um eine neue Art von Folgenabschätzung, mit der ermittelt werden soll, welche Auswirkungen bestimmte Hochrisiko-KI-Systeme, einschließlich Systemen zur biometrischen Fernidentifizierung, auf die Grundrechte haben können. Eine Grundrechte- Folgenabschätzung ist ein Instrument der Rechenschaftslegung. Die Grundrechte- Folgenabschätzung ersetzt nicht die bestehende Datenschutz-Folgenabschätzung, die Verantwortliche (d. h. diejenigen, die für die Verarbeitung personenbezogener Daten verantwortlich sind) gemäß Artikel 27 der Richtlinie zum Datenschutz bei der Strafverfolgung, Artikel 35 DSGVO oder Artikel 39 EU-DSVO durchführen müssen. Beispielsweise muss eine Datenschutz-Folgenabschätzung durchgeführt werden, wenn biometrische Daten mithilfe neuer Technologien (wie Videoüberwachung, KI- Gesichtserkennung oder am Körper getragener Kameras) verarbeitet werden, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen in öffentlich zugänglichen Räumen mit sich bringen können.

Während sich eine Datenschutz-Folgenabschätzung auf die Risiken für die Rechte und Freiheiten natürlicher Personen konzentriert, die sich aus der Verarbeitung ihrer personenbezogenen Daten ergeben, deckt eine Grundrechte-Folgenabschätzung die möglichen Auswirkungen von KI-Systemen auf die Grundrechte des Einzelnen im allgemeineren Sinn ab. Der Anwendungsbereich einer Grundrechte-Folgenabschätzung ist daher im Hinblick auf die in die Bewertung einbezogenen Tätigkeiten und Grundrechte weiter gefasst. Verarbeitet das KI-System personenbezogene Daten (was bei Systemen zur biometrischen Fernidentifizierung der Fall ist), sollte die Grundrechte-Folgenabschätzung die vom Betreiber als für die Verarbeitung Verantwortlichem durchgeführte Datenschutz-Folgenabschätzung ergänzen; dabei sollten keine bereits in der Datenschutz-Folgenabschätzung behandelten Aspekte abgedeckt werden und Überschneidungen sind zu vermeiden. Die Analyse der Grundrechte-Folgenabschätzung in diesen Leitlinien beschränkt sich auf die zugelassene Verwendung biometrischer Echtzeit-Fernidentifizierung und soll als vorläufige Orientierungshilfe für Betreiber in dieser Übergangszeit dienen, bevor das Büro für künstliche Intelligenz eine Vorlage bereitstellt.

Die Verpflichtung zur Durchführung der Grundrechte-Folgenabschätzung nach Artikel 5 Absatz 2 der KI-Verordnung wird den Betreibern des biometrischen Fernidentifizierungssystems auferlegt, nicht aber Einrichtungen, Stellen oder Anderen, die in ihrem Namen handeln. Handeln andere Akteure im Namen des Betreibers/der Strafverfolgungsbehörde, müssen sie mit allen relevanten Informationen zur Vorbereitung der Grundrechte-Folgenabschätzung beitragen, um sicherzustellen, dass diese ordnungsgemäß durchgeführt wird.

Die Grundrechte-Folgenabschätzung muss vor dem Einsatz eines zugelassenen Systems zur biometrischen Echtzeit- Fernidentifizierung durchgeführt werden.

Nach Artikel 27 der KI-Verordnung sollte eine Grundrechte-Folgenabschätzung folgende Informationen enthalten:

• Eine Beschreibung der Verwendung der biometrischen Fernidentifizierung und der Verfahren des Betreibers für die Verwendung sowie die Zweckbestimmung. Dabei sind anzugeben:

– der Name des Betreibers;

– die Strafverfolgungszwecke, für die das System zur biometrischen Echtzeit- Fernidentifizierung verwendet wird;

– die Beschreibung der Referenzdatenbank, mit der die biometrische Identifizierung verglichen wird, einschließlich der Quellen der verwendeten biometrischen Daten (Gesichtsbilder, Proben menschlicher Stimmen usw.);

– die Beschreibung der dem System zugrunde liegenden Technologie zum Zweck der Erläuterung seiner Funktionsweise (mittels Verweis auf die vom Anbieter bereitgestellte verfügbare Dokumentation und den Namen);

– die Rechtsgrundlage für den Einsatz der biometrischen Echtzeit-Fernidentifizierung.

• Nutzungsdauer und -häufigkeit Jede einzelne Verwendung eines biometrischen Echtzeit-Fernidentifizierungssystems für eine der zulässigen Ausnahmen muss gemäß Artikel 5 Absatz 3 der KI-Verordnung vor dem Einsatz durch eine Justizbehörde oder eine andere unabhängige Behörde genehmigt werden. Für die Grundrechte-Folgenabschätzung hingegen müssen die Betreiber einen allgemeinen Hinweis auf die beabsichtigte Nutzungsdauer und die erwartete Häufigkeit geben.

• Kategorien von Personen und Gruppen von Personen, die von dem System betroffen sind Für die Zwecke der Ausnahme in Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung sollte in der Grundrechte-Folgenabschätzung zwischen Folgendem unterschieden werden:

– der betroffenen Person, die Opfer einer Straftat, ein Täter oder ein Verdächtiger sein kann, – den Personen, deren biometrische Daten in der Referenzdatenbank enthalten sind, und – den Kategorien von Personen, die sich in der Umgebung des Bereichs aufhalten, in dem das System zur biometrischen Fernidentifizierung eingesetzt wird. Die Verwendung von Systemen zur biometrischen Echtzeit-Fernidentifizierung wirkt sich nicht nur auf die Grundrechte der betroffenen Person aus. Auch die Rechte anderer Einzelpersonen, deren biometrische Daten für Vergleichszwecke herangezogen werden, sowie die Rechte von Passanten und Personen, die sich zufällig im Suchbereich aufhalten, sind ebenfalls betroffen. Die Beschreibung des geografischen Umfangs der vom System zur biometrischen Echtzeit-Fernidentifizierung abgedeckten Suchgebiete hat Auswirkungen auf die Anzahl der von dem System betroffenen Personen.

• Die spezifischen Schadensrisiken für die betroffenen Personen.

Zu den Grundrechten, die von der Verwendung biometrischer Echtzeit- Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken betroffen sein können, gehören insbesondere:

- das Recht auf Privat- und Familienleben, einschließlich der berechtigten Erwartung von Anonymität im öffentlichen Raum;

- das Recht auf Datenschutz, da sich biometrische Fernidentifizierungssysteme auf die Verarbeitung biometrischer Daten und anderer personenbezogener Daten (z. B. Namen, ID-Nummern sowie sensible Daten wie ethnische Zugehörigkeit) stützen, um bestimmte Einzelpersonen zu identifizieren;

- Gedanken-, Gewissens- und Religionsfreiheit, Meinungsfreiheit und Versammlungs- und Vereinigungsfreiheit in den durchsuchten öffentlichen Räumen, hinsichtlich derer die Verwendung von biometrischen Fernidentifizierungssystemen eine abschreckende Wirkung haben und Einzelpersonen daran hindern könnten, ihre Rechte und Freiheiten in vollem Umfang wahrzunehmen, da Einzelpersonen, wenn sie wissen, dass sie überwacht werden, ihr Verhalten ändern oder sogar davon abgehalten werden könnten, sich in einer bestimmten Weise zu verhalten;

- das Recht auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht; - das Recht auf Nichtdiskriminierung, wenn in das System Verzerrungen (wie geschlechtsspezifische, ethnische oder rassische Verzerrungen) eingebettet sind und dies zur falschen Identifizierung eines Verdächtigen oder Täters führt; - das Recht auf Menschenwürde durch das Gefühl, auf einen Gegenstand des Systems reduziert zu werden;

- die Unschuldsvermutung und die Verteidigungsrechte, da keine Entscheidung mit nachteiligen Wirkungen für eine Einzelperson allein auf der Grundlage der Ausgabe des Systems zur biometrischen Echtzeit-Fernidentifizierung getroffen werden darf; - die Rechte des Kindes, wenn das Opfer, die vermisste Person oder der Verdächtige minderjährig ist;

- die Rechte älterer Menschen bei Vermisstenfällen.

Zur Bewertung der spezifischen Schadensrisiken, bei denen die Wahrscheinlichkeit besteht, dass sie sich auf die identifizierten Personen oder Gruppen von Personen auswirken, müssen in der Grundrechte-Folgenabschätzung die Grundrechte dieser Personen ermittelt und die Auswirkungen auf ihre Grundrechte bewertet werden, wobei dies die Schwere der Auswirkungen und ihres Ausmaßes, unter Berücksichtigung der potenziell betroffenen Personen einschließt.

In diesem Teil der Grundrechte-Folgenabschätzung sollte auch bewertet werden, ob die Nutzung eines Systems zur biometrischen Echtzeit-Fernidentifizierung angesichts der Ziele und Umstände, unter denen es verwendet werden soll, notwendig und verhältnismäßig ist, wobei dies auch beinhaltet, ob es weniger stark eingreifende Alternativen gibt oder nicht. Im Rahmen der Grundrechte-Folgenabschätzung sollten die Leistung und die Genauigkeit des Systems auf der Grundlage der technischen Dokumentation und, sofern verfügbar, der Trainingsdaten beschrieben werden, anhand derer die Technologie getestet und entwickelt wurde, um Verzerrungen und Diskriminierungen zu verhindern.

In der Grundrechte-Folgenabschätzung sollten auch die Auswirkungen der Verwendung eines biometrischen Echtzeit-Fernidentifizierungssystems auf die Grundrechte aller potenziell betroffenen Personen ermittelt werden, insbesondere des Verdächtigen oder Täters, des gesuchten Opfers sowie anderer Personen, die sich in den öffentlich zugänglichen Räumen, die Gegenstand der Suche sind, befinden. Soweit das System die biometrischen Daten dieser Einzelpersonen verarbeitet, werden ihre Rechte auf Privat- und Familienleben und Datenschutz beeinträchtigt, was im Rahmen der Datenschutz-Folgenabschätzung bewertet wird, insoweit es die Datenverarbeitung betrifft. Bei anderen Tätigkeiten im Zusammenhang mit der Verwendung von biometrischen Echtzeit-Fernidentifizierungssystemen und den Auswirkungen auf andere Grundrechte wird die Datenschutz-Folgenabschätzung durch die Grundrechte- Folgenabschätzung ergänzt. Je nach Kontext des Einsatzes können andere Grundrechte der Personen beeinträchtigt werden, wie ihr Recht auf Menschenwürde, Gedanken-, Gewissens- und Religionsfreiheit, Versammlungs- oder Meinungsfreiheit, das Recht auf einen wirksamen Rechtsbehelf und ein unparteiisches Gericht, die Unschuldsvermutung und das Recht auf Verteidigung sowie die Rechte des Kindes. Die Bewertung im Rahmen der Grundrechte-Folgenabschätzung sollte auf abstrakter Ebene erfolgen, bevor das KI-System erstmals in Betrieb genommen wird. Spezifische kontextabhängige Erwägungen, die die Auswirkungen der Verwendung in jedem einzelnen Fall, in dem ein biometrisches Echtzeit Fernidentifizierungssystem verwendet wird, bestimmen, sollten in den individuellen Anträgen auf Genehmigung jeder einzelnen Verwendung des biometrischen Fernidentifizierungssystems durch eine Justizbehörde oder eine andere unabhängige Verwaltungsbehörde näher ausgeführt werden (siehe Abschnitt 10....).

• Maßnahmen der menschlichen Aufsicht Nach Artikel 5 Absatz 3 der KI-Verordnung darf keine Entscheidung, die sich nachteilig auf eine Person auswirken würde, ausschließlich auf der Grundlage der Ausgabe des biometrischen Echtzeit-Fernidentifizierungssystems getroffen werden. Folglich sollten in der Grundrechte-Folgenabschätzung die Verfahren beschrieben werden, die während des Betriebs des Systems befolgt werden, und wie die Ausgaben im Kontext des Entscheidungsprozesses interpretiert werden. Die Verfahren sollten Anweisungen für den Einsatz des biometrischen Echtzeit- Fernidentifizierungssystems enthalten, die Rolle menschlicher Akteure bei der Überprüfung und Interpretation der Ausgabe klarstellen und Schulungen für den Betrieb des Systems anbieten. Die für die menschliche Aufsicht zuständige Person sollte über ausreichende „KI-Kompetenz, Schulung und Befugnis“216 verfügen, um zu verstehen, wie das System funktioniert und wann es unterdurchschnittlich funktioniert oder Fehlfunktionen aufweist. Andere Erwägungen bezüglich der menschlichen Aufsicht und Überwachung nach den Artikeln 14 und 26 der KI-Verordnung sind ebenfalls maßgeblich und sollten beschrieben werden.

• Risikominderungsmaßnahmen Über die Umsetzung von Maßnahmen der menschlichen Aufsicht (auch zur Vermeidung diskriminierender Maßnahmen) hinaus sollte der Betreiber Abhilfemaßnahmen für den Fall beschreiben, dass ein Risiko eintritt, einschließlich der Governance-Verfahren und der Beschwerdemechanismen (z. B. im Falle einer falschen Identifizierung).

10... Registrierung der zugelassenen Systeme zur biometrischen Fernidentifizierung

Nach Artikel 5 Absatz 2 der KI-Verordnung ist der Betreiber eines biometrischen Echtzeit-Fernidentifizierungssystems, das in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken verwendet wird, auch zur Registrierung des Systems in der in Artikel 49 der KI-Verordnung vorgesehenen EU-Datenbank verpflichtet. In hinreichend begründeten Notfällen (z. B. einer unmittelbaren Bedrohung) kann der Einsatz jedoch auch vor der Registrierung beginnen, sofern die Strafverfolgungsbehörde das System unverzüglich registriert. Unter „unverzüglich“ ist – unter Berücksichtigung der Umstände des Notfalls, die die Registrierung des Systems vor seiner Verwendung verhindern – „so bald wie möglich“ zu verstehen. Ob die Registrierung dieses Kriterium erfüllt, muss von Fall zu Fall eingeschätzt werden. Es kann nicht a priori mit einer genauen Frist definiert werden. Die Verzögerung darf nicht durch eine vorsätzliche Handlung verursacht werden. Nach Artikel 49 Absatz 4 der KI- Verordnung werden biometrische Fernidentifizierungssysteme, die für Strafverfolgungszwecke verwendet werden, in einem sicheren nicht öffentlichen Teil der Datenbank mit begrenzten Informationen und begrenztem Zugang zu diesen Informationen registriert.

Beispielsweise könnte die Beantragung der Registrierung des biometrischen Fernidentifizierungssystems bei Strafverfolgungsbehörden innerhalb von 24 Stunden nach der Verwendung als angemessene Verzögerung angesehen werden, wenn das System in einer unmittelbar lebensbedrohlichen Situation eingesetzt wurde, wie etwa im Szenario einer Person, die aktiv von einer Schusswaffe Gebrauch macht.

In Artikel 5 Absatz 3 der KI-Verordnung wird für jede Verwendung eines biometrischen Echtzeit-Fernidentifizierungssystems in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken eine vorherige Genehmigung vorgeschrieben und eine automatisierte Entscheidungsfindung, die ausschließlich auf der Ausgabe eines solchen Systems beruht, aus der sich eine nachteilige Rechtsfolge für eine Person ergibt, verboten.

In Artikel 5 Absatz 3 der KI-Verordnung wird Folgendes bestimmt: Für die Zwecke des Absatzes 1 Unterabsatz 1 Buchstabe h und des Absatzes 2 ist für jede Verwendung eines biometrischen Echtzeit-Fernidentifizierungssystems in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken eine vorherige Genehmigung erforderlich, die von einer Justizbehörde oder einer unabhängigen Verwaltungsbehörde des Mitgliedstaats, in dem die Verwendung erfolgen soll, auf begründeten Antrag und gemäß den in Absatz 5 genannten detaillierten nationalen Rechtsvorschriften erteilt wird, wobei deren Entscheidung bindend ist. In hinreichend begründeten dringenden Fällen kann jedoch mit der Verwendung eines solchen Systems zunächst ohne Genehmigung begonnen werden, sofern eine solche Genehmigung unverzüglich, spätestens jedoch innerhalb von 24 Stunden beantragt wird. Wird eine solche Genehmigung abgelehnt, so wird die Verwendung mit sofortiger Wirkung eingestellt und werden alle Daten sowie die Ergebnisse und Ausgaben dieser Verwendung unverzüglich verworfen und gelöscht. Die zuständige Justizbehörde oder eine unabhängige Verwaltungsbehörde, deren Entscheidung bindend ist, erteilt die Genehmigung nur dann, wenn sie auf der Grundlage objektiver Nachweise oder eindeutiger Hinweise, die ihr vorgelegt werden, davon überzeugt ist, dass die Verwendung des betreffenden biometrischen Echtzeit-Fernidentifizierungssystems für das Erreichen eines der in Absatz 1 Unterabsatz 1 Buchstabe h genannten Ziele – wie im Antrag angegeben – notwendig und verhältnismäßig ist und insbesondere auf das in Bezug auf den Zeitraum sowie den geografischen und persönlichen Anwendungsbereich unbedingt erforderliche Maß beschränkt bleibt. Bei ihrer Entscheidung über den Antrag berücksichtigt diese Behörde die in Absatz 2 genannten Elemente. Eine Entscheidung, aus der sich eine nachteilige Rechtsfolge für eine Person ergibt, darf nicht ausschließlich auf der Grundlage der Ausgabe des biometrischen Echtzeit-Fernidentifizierungssystems getroffen werden.

10... Ziel

Ziel der Anforderung, für jede Verwendung eines biometrischen „Echtzeit“- Fernidentifizierungssystems in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken eine vorherige Genehmigung („Ex-ante-Genehmigung“) zu beantragen, ist die Notwendigkeit einer Bewertung und einer Entscheidung darüber, ob eine geplante Verwendung eines solchen Systems für solche Zwecke – erforderlich und verhältnismäßig ist, um eines der in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii aufgeführten Ziele zu erreichen, d. h. für die gezielte Suche nach bestimmten Opfern, das Abwenden konkreter Gefahren oder das Aufspüren und Identifizieren von Straftätern, und – auf das in Bezug auf den Zeitraum sowie den geografischen und persönlichen Anwendungsbereich unbedingt erforderliche Maß beschränkt ist.

Diese Anforderungen haben zur Folge, dass vor dem Einsatz eines biometrischen Echtzeit-Fernidentifizierungssystems in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken eine doppelte Bewertung der Notwendigkeit und Verhältnismäßigkeit erfolgen sollte. Erstens sollte der Nutzer bei der Durchführung einer Grundrechte-Folgenabschätzung nach Artikel 5 Absatz 2 der KI-Verordnung eine Bewertung vornehmen. Zweitens muss gemäß Artikel 5 Absatz 3 der KI-Verordnung eine Justiz- oder unabhängige Verwaltungsbehörde ebenfalls die Notwendigkeit und Verhältnismäßigkeit der Verwendung eines solchen Systems innerhalb der Grenzen des nationalen Rechts, das die Rechtsgrundlage für eine solche Verwendung bildet, bewerten und dabei die Charta und andere Rechtsvorschriften der Union berücksichtigen. Folglich darf ein solches System nur verwendet werden, wenn 1. eine Grundrechte-Folgenabschätzung erfolgt ist und 2. die zuständige nationale Behörde eine solche Verwendung genehmigt hat.

Artikel 5 Absatz 3 der KI-Verordnung ist in Verbindung mit Artikel 5 Absatz 5 der KI- Verordnung zu lesen und zu verstehen: damit die Verwendung eines biometrischen Echtzeit-Fernidentifizierungssystems genehmigt werden kann, muss es in den betreffenden Mitgliedstaaten eine nationale Rechtsvorschrift geben, die eine solche Verwendung zulässt. Einige Mitgliedstaaten verfügen bereits über ein System der vorherigen Genehmigung der Verwendung biometrischer Systeme im Rahmen anderer Rechtsvorschriften der Union oder der Mitgliedstaaten, wie z. B. des Datenschutzrechts.

10... Der Hauptgrundsatz: Vorherige Genehmigung durch eine Justizbehörde oder eine unabhängige Verwaltungsbehörde

Biometrische Echtzeit-Fernidentifizierungssysteme, mit denen eines der in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii der KI-Verordnung aufgeführten Ziele verfolgt wird und deren Verwendung im nationalen Recht der betreffenden Mitgliedstaaten vorgesehen ist, müssen vor ihrer Verwendung von einer Justizbehörde oder einer unabhängigen Verwaltungsbehörde genehmigt werden. Dies ist der Hauptgrundsatz.

In dringenden Fällen gibt es jedoch eine Ausnahme. Diese ist hinreichend zu begründen. Dringlichkeit wird beschrieben als „Situationen, in denen es wegen der Notwendigkeit der Verwendung der betreffenden Systeme tatsächlich und objektiv unmöglich ist, vor dem Beginn der Verwendung des KI-Systems eine Genehmigung einzuholen“219. In solchen dringenden Fällen sollte die Verwendung des KI-Systems auf das absolut notwendige Mindestmaß beschränkt werden und angemessenen Schutzvorkehrungen und Bedingungen unterliegen, die im nationalen Recht festgelegt sind und im Zusammenhang mit jedem einzelnen dringenden Anwendungsfall von der Strafverfolgungsbehörde selbst präzisiert werden. 10.... Vorheriger, begründeter Antrag gemäß den nationalen Verfahrensvorschriften a) Antrag von wem?

Auch wenn dies nicht konkret angegeben wird, ist davon auszugehen, dass der Antrag in der Regel vom Betreiber, d. h. von der zuständigen (Strafverfolgungs-)Behörde, eingeleitet wird. Laut der Definition einer Strafverfolgungsbehörde nach Artikel 3 Nummer 45 Buchstabe b der KI-Verordnung gilt jede „andere Stelle oder Einrichtung, der durch nationales Recht die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, übertragen wurde“, als Strafverfolgungsbehörde und könnte auch als „zuständige Behörde“ für die Einreichung des Antrags auf vorherige Genehmigung zuständig sein.

Die Verwendung eines biometrischen Echtzeit-Fernidentifizierungssystems für Tätigkeiten, die nicht in den Anwendungsbereich der KI-Verordnung fallen, muss nicht gemäß Artikel 5 Absatz 3 der KI-Verordnung genehmigt werden. Wird ein solches System anschließend für Strafverfolgungszwecke verwendet, würde die Verwendung in den Anwendungsbereich der KI-Verordnung fallen und es wäre eine Genehmigung erforderlich, sofern die Anforderungen des Artikels 5 Absatz 1 Buchstabe h der KI- Verordnung erfüllt sind.

b) Antrag für welche Verwendung?

Für die Verwendung von biometrischen „Echtzeit“-Fernidentifizierungssystemen in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken ist eine vorherige Genehmigung erforderlich, auch wenn die Systeme im Namen von Strafverfolgungsbehörden von anderen Parteien, z. B. Sportvereinen oder Einkaufszentren, betrieben werden.

Beispiele:

– Eine Organisation, der Mittel für die Suche nach vermissten Kindern anvertraut wurden, beschließt, ein biometrisches Echtzeit-Fernidentifizierungssystem zu nutzen. Sie hat kein Mandat zur Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung von Straftaten und ist nicht mit Aufgaben zur Abwehr von Gefahren für die öffentliche Sicherheit betraut. Eine solche Verwendung fällt nicht unter das Verbot nach Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung, da sie nicht zu Strafverfolgungszwecken erfolgt. Dieses System wird jedoch als „Hochrisiko- System“ eingestuft (Anhang III Nummer 1 Buchstabe a), und gemäß Artikel 36 DSGVO kann eine vorherige Konsultation der Datenschutzaufsichtsbehörde erforderlich sein. Je nachdem, welches nationale Recht anwendbar ist und ob eine der Ausnahmen von Artikel 9 Absatz 1 DSGVO Anwendung findet, kann für eine solche Verarbeitung ebenfalls eine vorherige Genehmigung erforderlich sein. Würde hingegen dieselbe Organisation von Strafverfolgungsbehörden aufgefordert, in ihrem Namen für die Suche nach vermissten Kindern in einem Strafverfolgungskontext und unter der Aufsicht und den Anweisungen der zuständigen Strafverfolgungsbehörden tätig zu werden, wäre eine vorherige Genehmigung gemäß Artikel 5 Absatz 3 der KI- Verordnung erforderlich.

– Eine private Einrichtung, die mit der Bereitstellung von Mitteln für Personen betraut ist, die Gefahr laufen, Opfer einer Naturkatastrophe zu werden, beschließt, zu diesem Zweck ein biometrisches Echtzeit-Fernidentifizierungssystem zu verwenden. Eine solche Verwendung fällt nicht unter das Verbot nach Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung, da sie nicht zu Strafverfolgungszwecken erfolgt. Dieses System wird jedoch als „Hochrisiko-System“ eingestuft (Anhang III Nummer 1 Buchstabe a), und gemäß Artikel 36 DSGVO kann eine vorherige Konsultation der Datenschutzaufsichtsbehörde erforderlich sein. Je nachdem, welches nationale Recht anwendbar ist und ob eine der Ausnahmen von Artikel 9 Absatz 1 DSGVO Anwendung findet, kann für eine solche Verarbeitung ebenfalls eine vorherige Genehmigung erforderlich sein.

c) Wann? „Jede Verwendung“

Gemäß Artikel 5 Absatz 3 der KI-Verordnung ist für „jede Verwendung“ eine vorherige Genehmigung erforderlich. Dies beinhaltet, dass der entscheidende Zeitpunkt für die Erteilung einer solchen Genehmigung nicht der Zeitpunkt vor der Installation von biometrischen Echtzeit-Fernidentifizierungssystemen ist, sondern jede konkrete Nutzung dieser Systeme.

Beispiele:

– die Polizei installiert am Hauptbahnhof einer Stadt für Biometrie geeignete Videoüberwachungskameras (es ist keine Genehmigung nach der KI-Verordnung erforderlich, das biometrische System muss jedoch die Anforderungen an Hochrisikosysteme erfüllen, vor der ersten Verwendung muss eine Grundrechte- Folgenabschätzung erstellt werden und vor jeder einzelnen Verwendung des Systems ist eine individuelle Genehmigung durch eine Justiz- oder unabhängige Verwaltungsbehörde erforderlich).

Die Polizei hat konkrete Hinweise darauf, dass ein Terrorist mit dem Zug in der Stadt ankommen wird (für die Echtzeit-Identifizierung ist eine vorherige Genehmigung erforderlich).

d) Begründeter Antrag

Nach Artikel 5 Absatz 3 der KI-Verordnung muss jeder einzelne Antrag auf Verwendung von biometrischer Echtzeit-Fernidentifizierung „begründet“ und somit dokumentiert und mit Gründen versehen sein.

Einige Mitgliedstaaten lassen die Online-Einreichung solcher Anträge zu. Im Einklang mit Artikel 5 Absatz 5 der KI-Verordnung sollten in den nationalen Rechtsvorschriften Anforderungen an den genauen Inhalt des Antrags festgelegt werden, wobei die oben dargelegten Anforderungen in vollem Umfang zu berücksichtigen sind, einschließlich ausreichender Nachweise zur Feststellung der absoluten Notwendigkeit und Verhältnismäßigkeit der Verwendung biometrischer Echtzeit-Fernidentifizierung sowie anderer maßgeblicher Aspekte, die den Ausnahmecharakter der Genehmigung einer solchen Verwendung widerspiegeln. 10.... Genehmigung durch eine Justizbehörde oder eine unabhängige Verwaltungsbehörde

Die Genehmigung kann nur von einer Justizbehörde oder einer unabhängigen Verwaltungsbehörde erteilt werden, deren Entscheidung bindend ist. a) Unabhängige Behörde

Der EuGH hat den Begriff „Unabhängigkeit“ in unterschiedlichen Zusammenhängen ausgelegt. In der Rechtssache HK/Prokuratuur hat der EuGH beispielsweise erläutert, dass Unabhängigkeit bedeutet, dass die Behörde „eine Position der Neutralität“ einnimmt. Der EuGH stellte fest, dass eine an vorherigen Ermittlungen beteiligte Behörde, in diesem Fall der Staatsanwalt, keine solche Unabhängigkeit besitzt. Ähnliche Erwägungen können in Bezug auf die in Artikel 5 Absatz 3 der KI- Verordnung geforderte Unabhängigkeit gelten, was bedeutet, dass die Genehmigungsbehörde von der Behörde, die das biometrische Echtzeit- Fernidentifizierungssystem verwendet, unabhängig sein muss. Dies würde nicht nur für die Polizei gelten, sondern auch für Ermittlungsrichter oder Staatsanwälte, die die Arbeit der Polizei und den Einsatz biometrischer Fernidentifizierung, für die eine Genehmigung beantragt wird, überwachen.

In der Rechtssache Kommission/Polen, in der es um die Frage ging, wann eine Stelle im Zusammenhang mit der Eisenbahnsicherheit als unabhängig angesehen werden kann, stellte der EuGH Folgendes fest: „In Bezug auf öffentliche Stellen bezeichnet der Begriff der Unabhängigkeit in der Regel eine Stellung, die garantiert, dass die betreffende Stelle völlig frei von Weisungen und Druck der Einrichtungen handeln kann, denen gegenüber ihre Unabhängigkeit zu wahren ist“223. Ähnliche Angaben können auch im Zusammenhang mit Artikel 5 Absatz 3 der KI-Verordnung gelten.

Die Justizbehörden in einer demokratischen Gesellschaft sind im Allgemeinen ebenfalls unabhängige Behörden. Die Justiz spielt eine wichtige Rolle, wenn sie von der/den Exekutivregierung(en) und dem Gesetzgeber unabhängig ist und die Anwendung der Rechtsvorschriften sowie der Grundrechte und Grundfreiheiten eigenständig und unabhängig erfasst und überprüft. Die Unabhängigkeit der Justiz zählt zu den wesentlichen Aspekten der Rechtsstaatlichkeit und wird durch Artikel 47 (Charta) und Artikel 6 Absatz 1 der Europäischen Menschenrechtskonvention garantiert.

b) Behörde des Ortes, an dem die Verwendung stattfinden wird

Die Genehmigung ist an die nach nationalem Recht zuständige Behörde zu richten. c) Genehmigung nur dann, wenn sie „erforderlich und verhältnismäßig“ ist, um eines der in den Ausnahmen genannten Ziele zu erreichen

Bei jeder Genehmigung der Verwendung biometrischer Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken muss bewertet werden, ob die Anforderungen des Artikels 5 Absatz 3 der KI-Verordnung erfüllt sind. Stark eingreifend

Im Zusammenhang mit dem Datenschutz wurde die Verwendung biometrischer Daten, insbesondere der Gesichtserkennungstechnik, sowohl vom Europäischen Datenschutzausschuss (EDSA) in seinen Leitlinien 5/2022 als auch vom Europäischen Datenschutzbeauftragten (EDSB) als mehrere Grundrechte und Grundfreiheiten beeinträchtigend eingestuft. Diese Auffassung wird von der Agentur der Europäischen Union für Grundrechte und vom Europarat geteilt. Sowohl der EuGH als auch der EGMR haben den sensiblen Charakter der Verarbeitung biometrischer Daten bestätigt.

Jeder Eingriff in Grundrechte und Grundfreiheiten muss stets den Wesensgehalt der Rechte und Freiheiten achten. Dies ergibt sich aus Artikel 52 Absatz 1 der Charta.

Der Begriff „Wesensgehalt“ der Grundrechte und Grundfreiheiten wurde in der Rechtsprechung des EuGH entwickelt und ist ein eigenständiger Wert in der Rechtsordnung der Union. Wird der Wesensgehalt eines Grundrechts oder einer Grundfreiheit nicht geachtet, bedeutet dies, dass ein Recht oder eine Freiheit durch eine Maßnahme zu Unrecht berührt wird, sodass im Voraus kein Eingriff zulässig ist. Nur „wenn erforderlich und verhältnismäßig“

Jeder Eingriff in die Grundrechte und Grundfreiheiten erfordert ein „Gesetz“, das grundsätzlich die Erforderlichkeit und Verhältnismäßigkeit gemäß Artikel 52 der Charta wahren sollte. (Siehe Artikel 5 Absatz 5 der KI-Verordnung.) Nach Artikel 5 Absatz 3 der KI-Verordnung muss im nationalen Recht, das die Verwendung biometrischer Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken gestattet, vorgesehen sein, dass eine Genehmigung für eine solche Verwendung nur zulässig ist, „wenn sie [die Behörde] … davon überzeugt ist, dass die Verwendung … für das Erreichen eines der in Absatz 1 Unterabsatz 1 Buchstabe h genannten Ziele … notwendig und verhältnismäßig ist“. Die nationalen Behörden müssen überprüfen, ob die biometrische Identifizierung unbedingt erforderlich ist. Diese Bewertung sollte sich auf die Grundrechte-Folgenabschätzung stützen, die bereits eine allgemeine Bewertung der Erforderlichkeit und Verhältnismäßigkeit umfassen sollte, bevor die Genehmigung für jede einzelne Verwendung unter den jeweiligen besonderen Umständen beantragt wird. 10.... Ausnahme vom Erfordernis der vorherigen Genehmigung: Antrag innerhalb von 24 Stunden und Folgen bei Ablehnung

In dringenden Fällen kann ein Nutzer innerhalb von 24 Stunden ab dem Zeitpunkt, zu dem das biometrische Echtzeit-Fernidentifizierungssystem verwendet wird, einen Genehmigungsantrag stellen. In der Praxis wird dies in der Regel der Zeitpunkt sein, an dem die für Biometrie geeigneten oder fähigen Kameras eingeschaltet und eingesetzt werden und mit dem System der erste biometrische Abgleich durchgeführt wird. Zur Begründung der Aktualität des Antrags sind der Behörde die Aufzeichnungen der Verarbeitungstätigkeiten zur Verfügung zu stellen.

In einem solchen Fall sollte im Antrag begründet werden, warum vor dem Beginn der Verwendung des Systems kein Antrag gestellt wurde.

10.... Sofortige Einstellung bei Ablehnung des Genehmigungsantrags und Löschung der Daten

In Artikel 5 Absatz 3 der KI-Verordnung wird ferner bestimmt, dass im Falle der Ablehnung eines in einem dringenden Fall gestellten Genehmigungsantrags die Verwendung des biometrischen Echtzeit-Fernidentifizierungssystems mit sofortiger Wirkung einzustellen ist. In solchen Fällen müssen alle Daten, einschließlich der Ergebnisse und Ausgaben dieser Verwendung, unverzüglich verworfen und gelöscht werden. Artikel 5 Absatz 3 der KI-Verordnung ist in dieser Hinsicht eindeutig und ohne Ausnahmen. Der Betreiber verfügt über a) eine Referenzdatenbank, die die biometrischen Informationen (z. B. Gesichtsbilder, Ausschnitte von Proben menschlicher Stimmen usw.) und gegebenenfalls damit zusammenhängende Identifizierungsdaten enthält, mit denen b) die erfassten biometrischen Informationen von Personen, die sich im öffentlich zugänglichen Raum befinden, verglichen werden, um diese Personen zu identifizieren und herauszugreifen.

c) Dieser Vergleich führt zum Vergleichsergebnis.

Die Anforderung, die erhobenen und verarbeiteten Daten zu verwerfen und zu löschen, bedeutet auch, dass die für die nicht genehmigte biometrische Identifizierung verwendete(n) Referenzdatenbank(en) entfernt und gelöscht werden muss/müssen, wenn sie speziell für die beanstandete Abfrage erstellt wurde. Nur wenn die Strafverfolgungsbehörden die zur Identifizierung verwendete Datenbank in rechtmäßiger Weise für andere legitime Zwecke als die nicht genehmigte Verwendung biometrischer Echtzeit-Fernidentifizierung aufgebaut und verwaltet hatten, darf die Datenbank aufrechterhalten werden.

Neben der Löschung (rechtswidriger) Datenbanken mit biometrischen Informationen müssen auch alle erfassten Bilder und sonstigen personenbezogenen Daten, einschließlich der Metadaten, der technischen Verarbeitungsdaten, einschließlich der Muster und anderer personenbezogener Daten, sowie anderer Abgleich- und Ausgabedaten, die bei der unrechtmäßigen Verwendung des biometrischen Echtzeit- Fernidentifizierungssystems erlangt wurden, gelöscht werden.

Erhebt die Strafverfolgungsbehörde Einwände gegen die Ablehnung, so können die Daten von einem Treuhänder aufbewahrt werden, bis eine endgültige Entscheidung über den Antrag getroffen worden ist. Während dieses Zeitraums sollten diese Daten in der Regel der Strafverfolgungsbehörde nicht zur Verfügung gestellt werden. 10.... Keine Entscheidungsfindung ausschließlich auf der Grundlage der Ausgabe des biometrischen Echtzeit-Fernidentifizierungssystems

Gemäß Artikel 5 Absatz 3 der KI-Verordnung darf selbst dann, wenn der Betreiber eines biometrischen Echtzeit-Fernidentifizierungssystems eine Genehmigung erhält, keine Entscheidung, die eine nachteilige Rechtswirkung für eine Person hat, ausschließlich auf der Grundlage der Ausgabe des biometrischen Echtzeit- Fernidentifizierungssystems getroffen werden.

Beispiele:

– Eine Person wird wegen einer schweren Straftat ausschließlich auf der Grundlage der Identifizierung durch ein Gesichtserkennungssystem ohne weitere Kontrollen festgenommen und inhaftiert. Dies ist zusätzlich zu der Anforderung nach Artikel 14 der KI-Verordnung an die menschliche Aufsicht erforderlich. Überprüfungen könnten sich beispielsweise auf die Frage beziehen, ob sich eine bestimmte Person an einem anderen Ort befand oder auch, ob es andere Gründe dafür gibt, dass die Person nicht die gesuchte Person sein kann.

Anforderungen des Artikels 14 der KI-Verordnung an die menschliche Aufsicht

Die Verwendung biometrischer Echtzeit-Fernidentifizierung, die zulässig ist, weil sie eines der in Artikel 5 Absatz 1 Buchstabe h aufgeführten Ziele verfolgt und mit Artikel 5 Absätze 2 bis 6 der KI-Verordnung im Einklang steht, fällt dennoch unter die Vorschriften für Hochrisikosysteme. Nach Artikel 14 der KI-Verordnung werden Hochrisiko-KI-Systeme „so konzipiert und entwickelt, dass sie während der Dauer ihrer Verwendung – auch mit geeigneten Instrumenten einer Mensch-Maschine-Schnittstelle – von natürlichen Personen wirksam beaufsichtigt werden können“. Nach Artikel 14 Absatz 5 der KI-Verordnung darf der Betreiber keine Maßnahme oder Entscheidung auf der Grundlage der sich aus dem System ergebenden Identifizierung treffen, „solange diese Identifizierung nicht von mindestens zwei natürlichen Personen, die die notwendige Kompetenz, Ausbildung und Befugnis besitzen, getrennt überprüft und bestätigt wurde“ oder „wenn die Anwendung dieser Anforderung nach Unionsrecht oder nationalem Recht unverhältnismäßig wäre“. Artikel 4 der KI-Verordnung schreibt für Anbieter und Verwender von KI-Systemen Maßnahmen zum Aufbau von KI- Kompetenzen vor, um „sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen“, wobei die Personen, bei denen die Systeme eingesetzt werden sollen, zu berücksichtigen sind.

Wie der EDSA im Datenschutzkontext festgestellt hat, ist es für eine wirksame menschliche Aufsicht „von entscheidender Bedeutung, dafür zu sorgen, dass die Person das Gesichtserkennungssystem und seine Grenzen versteht und die Ergebnisse des Systems richtig auslegen kann. Es ist auch erforderlich, dafür zu sorgen, dass Arbeitsumfeld und -organisation der Maschinengläubigkeit und ihren Auswirkungen entgegenwirken, indem man Faktoren, die eine unkritische Übernahme der Ergebnisse begünstigen (z. B. Zeitdruck, umständliche Verfahren, etwaige Karrierenachteile usw.) vermeidet“232. Ähnliche Überlegungen können im Zusammenhang mit der KI- Verordnung gelten.

Jede Verwendung eines biometrischen Fernidentifizierungssystems mit einem der in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii der KI-Verordnung aufgeführten Ziele, muss der zuständigen Marktüberwachungsbehörde und der nationalen Datenschutzbehörde mitgeteilt werden. Die Mitteilung muss nach jeder Verwendung erfolgen, um über die Anzahl der Genehmigungen und deren Ergebnisse berichten zu können. Die Mitteilung muss keine sensiblen operativen Daten enthalten. Nach Artikel 3 Absatz 38 der KI-Verordnung sind unter dem Begriff „sensible operative Daten“ operative Daten im Zusammenhang mit Tätigkeiten zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten, deren Offenlegung die Integrität von Strafverfahren gefährden könnte, zu verstehen.

Einzelheiten zur Meldepflicht sind Abschnitt 10. zu entnehmen.

Für die praktische Umsetzung der Verwendung biometrischer Echtzeit- Fernidentifizierungssysteme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken sind nationale Rechtsvorschriften erforderlich. Gleichzeitig sieht Artikel 5 Absatz 5 der KI-Verordnung vor, dass es den Mitgliedstaaten weiterhin freisteht, zu entscheiden, ob sie solche nationalen Rechtsvorschriften erlassen. Für den Fall, dass ein nationales Gesetz angenommen wird, das zur Verwendung biometrischer Echtzeit-Fernidentifizierung ermächtigt, präzisiert die KI-Verordnung die wesentlichen Elemente, die die nationalen Rechtsvorschriften enthalten müssen, damit die Anforderungen der KI-Verordnung erfüllt werden.

Artikel 5 Absatz 5 der KI-Verordnung Ein Mitgliedstaat kann die Möglichkeit einer vollständigen oder teilweisen Ermächtigung zur Verwendung biometrischer Echtzeit-Fernidentifizierungssysteme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken innerhalb der in Absatz 1 Unterabsatz 1 Buchstabe h sowie Absätze 2 und 3 aufgeführten Grenzen und unter den dort genannten Bedingungen vorsehen. Die betreffenden Mitgliedstaaten legen in ihrem nationalen Recht die erforderlichen detaillierten Vorschriften für die Beantragung, Erteilung und Ausübung der in Absatz 3 genannten Genehmigungen sowie für die entsprechende Beaufsichtigung und Berichterstattung fest. In diesen Vorschriften wird auch festgelegt, im Hinblick auf welche der in Absatz 1 Unterabsatz 1 Buchstabe h aufgeführten Ziele und welche der unter Buchstabe h Ziffer iii genannten Straftaten die zuständigen Behörden ermächtigt werden können, diese Systeme zu Strafverfolgungszwecken zu verwenden. Die Mitgliedstaaten teilen der Kommission diese Vorschriften spätestens 30 Tage nach ihrem Erlass mit. Die Mitgliedstaaten können im Einklang mit dem Unionsrecht strengere Rechtsvorschriften für die Verwendung biometrischer Fernidentifizierungssysteme erlassen. 10... Das nationale Recht muss die Grenzen und Bedingungen des Artikels 5 Absatz 1 Buchstabe h der KI-Verordnung einhalten

Da die Verwendung biometrischer Echtzeit-Fernidentifizierungssysteme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken als Eingriff in die Grundrechte betrachtet wird, sieht Artikel 5 Absatz 5 der KI-Verordnung vor, dass eine solche Verwendung durch nationales Recht der Mitgliedstaaten festgelegt wird. Diese nationalen Rechtsvorschriften bilden die Rechtsgrundlage für die Verwendung solcher Systeme.

Die nationalen Rechtsvorschriften dürfen die in Artikel 5 Absatz 1 Buchstabe h der KI- Verordnung festgelegten Grenzen nicht überschreiten und müssen allen weiteren damit zusammenhängenden Bedingungen der KI-Verordnung entsprechen. Dies beinhaltet, dass die Mitgliedstaaten die Ziele, für die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken genutzt werden darf, nicht über die in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii der KI-Verordnung aufgeführten Ziele hinaus ausweiten dürfen.

Die Mitgliedstaaten teilen der Kommission ihre nationalen Rechtsvorschriften spätestens 30 Tage nach ihrem Erlass mit. Eine solche Mitteilung begründet keine Konformitätsvermutung der Rechtsvorschriften der Mitgliedstaaten mit der KI- Verordnung. Das Büro für Künstliche Intelligenz übermittelt nach Erhalt der Benachrichtigung eine Empfangsbestätigung. Die Mitgliedstaaten werden darüber hinaus aufgefordert, dem Büro für Künstliche Intelligenz eine vorläufige Fassung des nationalen (oder regionalen) Gesetzes zu übermitteln, bevor dieses erlassen wird. In jedem Fall kann die Nichtmitteilung an das Büro für Künstliche Intelligenz innerhalb der gesetzlichen Frist von 30 Tagen nach dem Erlass gemäß Artikel 5 Absatz 5 bedeuten, dass das nationale Recht in Gerichtsverfahren nicht durchsetzbar ist, wie in verschiedenen Zusammenhängen festgestellt wurde. Die Kommission veröffentlicht die Rechtsvorschriften der Mitgliedstaaten auf einer öffentlichen Website.

Die Mitgliedstaaten können im Einklang mit dem Unionsrecht strengere Rechtsvorschriften erlassen, d. h. Rechtsvorschriften mit schärferen Anforderungen als die in Artikel 5 Absatz 1 Buchstabe h und Absätze 2 bis 7 der KI-Verordnung festgelegten Anforderungen.

10... Detaillierte nationale Rechtsvorschriften für die Beantragung, Erteilung und Ausübung von Genehmigungen

Was die detaillierten Vorschriften für die Beantragung, Erteilung und Ausübung der Genehmigung betrifft, so sind diese nach nationalem Recht festzulegen. Jeder Mitgliedstaat, der die Verwendung der in Rede stehenden Systeme zulassen möchte, muss in seinen nationalen Rechtsvorschriften entsprechende Vorschriften festlegen, deren Zweck darin besteht, der Genehmigungsbehörde einschlägige, vollständige Informationen über die Nutzung biometrischer Echtzeit-Fernidentifizierungssysteme zur Verfügung zu stellen, damit diese über die absolute Notwendigkeit und Verhältnismäßigkeit einer solchen Verwendung entscheiden kann.

Das nationale Recht, das die Verwendung biometrischer Echtzeit- Fernidentifizierungssysteme zulässt, kann beispielsweise Folgendes regeln: – welche die zuständigen, Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung unterliegenden Behörden sind und welche unabhängigen Behörden des Mitgliedstaats für die Erteilung (oder Verweigerung) einer Genehmigung zuständig sind; – den genauen Umfang der Ziele, für die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen für Strafverfolgungszwecke genutzt werden darf (ohne über die in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii genannten Ziele hinauszugehen, sie aber möglicherweise weiter einzuschränken); – die Bestimmung, dass die Anträge schriftlich erfolgen und eine ausführliche Erläuterung der konkreten Verwendung und der Zweckbestimmung zur Verwendung für eine bestimmte Straftat/Situation enthalten müssen, die ihre Verwendung rechtfertigt;

– das Erfordernis der Begründung und der Vorlage von Beweisen (und gegebenenfalls der Notwendigkeit einer Übersetzung) zur Rechtfertigung der Verwendung des Systems zur Verfolgung der in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii der KI- Verordnung aufgeführten Ziele, insbesondere bezüglich des Ortes, des Zeitraums und des persönlichen Geltungsbereichs und zur Rechtfertigung der absoluten Notwendigkeit und Verhältnismäßigkeit, einschließlich der Relevanz, Hinlänglichkeit und Effizienz der Verwendung des Systems und des Fehlens weniger stark eingreifender Mittel;

– die Beschreibung der eingesetzten Technologie und der Orte, an denen die Daten erhoben werden;

– der Mindestwert für die Zuverlässigkeit, die verwendeten Schwellenwerte und die Trefferquoten der verwendeten Systeme;

– die Möglichkeit, die übermittelten Informationen, einschließlich der technischen Einzelheiten und der Genauigkeitskriterien, jederzeit ex ante und ex post durch die Genehmigungsbehörde zu prüfen;

– die Angabe der verwendeten Referenzdatenbanken;

– die Dauer der Speicherung der erfassten Daten und aller anderen verwendeten damit zusammenhängenden personenbezogenen Daten;

– die Sicherheitsmaßnahmen, auch gegen unrechtmäßigen Zugriff auf die Daten; – sonstige Schutzvorkehrungen (falls zutreffend);

– die Beschreibung der Zusammenarbeit mit privaten oder öffentlichen Stellen, auch in anderen Ländern, sowie der Datenübertragung und des Datenaustauschs; – die Rückverfolgbarkeit des Verfahrens;

– die Namen der verantwortlichen Personen der Betreiber;

Für die Genehmigungserteilung in Bezug auf andere formale Elemente – die Möglichkeit eines schriftlichen Verfahrens, das durch eine mündliche Verhandlung ergänzt wird;

– die Ablehnungsgründe;

– die Rechte der Personen, nach denen gesucht wird, die Rechte der Personen, deren Daten erfasst werden, und die möglichen Rechte Dritter;

– die Wartezeiten, innerhalb derer die Behörden ihre Entscheidung treffen müssen; – die Notwendigkeit förmlicher Mitteilungen bei Erteilung bzw. Verweigerung der Genehmigung;

– Sanktionen bei Nichteinhaltung von (formalen und wesentlichen) Anforderungen; – das Recht, gegen eine verweigerte Genehmigung Beschwerde einzulegen; Für die Ausübung – die Registrierung der Verwendung biometrischer Echtzeit- Fernidentifizierungssysteme in einem zentralen Register mit einer Zusammenfassung der wesentlichen Elemente;

– mögliche weitere Berichtspflichten;

– Verfahren zur Verlängerung oder Änderung der Genehmigung.

10... Detaillierte nationale Rechtsvorschriften über die Aufsicht und die Berichterstattung im Zusammenhang mit der Genehmigung

Nach Artikel 70 der KI-Verordnung müssen die Mitgliedstaaten „mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde … einrichten“. In Artikel 74 Absatz 8 der KI-Verordnung wird bestimmt, dass „die Mitgliedstaaten für die Zwecke dieser Verordnung als Marktüberwachungsbehörden entweder die nach der Verordnung (EU) 2016/679 oder der Richtlinie (EU) 2016/680 für den Datenschutz zuständigen Aufsichtsbehörden oder jede andere gemäß denselben Bedingungen wie den in den Artikeln 41 bis 44 der Richtlinie (EU) 2016/680 festgelegten benannte Behörde“ benennen.

Dies kommt zu der Benennung der Genehmigungsbehörde hinzu, die der Mitgliedstaat einrichten muss, bevor er die Verwendung biometrischer Echtzeit- Fernidentifizierungssysteme für eines der in Artikel 5 Absatz 1 Buchstabe h Ziffern i bis iii der KI-Verordnung aufgeführten Ziele genehmigen kann.

Die nationalen Marktüberwachungsbehörden und die nationalen Datenschutzbehörden der Mitgliedstaaten, die von den Betreibern über die Verwendung biometrischer Echtzeit-Fernidentifizierungssysteme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken informiert wurden (siehe Artikel 5 Absatz 4), müssen der Kommission Jahresberichte über diese Verwendung vorlegen. Diese Berichte werden anhand einer von der Kommission bereitgestellten Vorlage erstellt. Diese Vorlage wird zu gegebener Zeit erstellt.

Handelt es sich bei dem Betreiber um ein Organ, eine Einrichtung oder eine sonstige Stelle der EU, so ist der EDSB verpflichtet, die Kommission jährlich über die in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken verwendeten biometrischen Echtzeit-Fernidentifizierungssysteme zu unterrichten.

Nur der Bericht der nationalen Datenschutzbehörde wird den Zeitraum vom 2. Februar 2025 bis zum 2. August 2025 abdecken, da die Mitgliedstaaten nach der KI-Verordnung nicht verpflichtet sind, vor dem zuletzt genannten Datum eine nationale Marktüberwachungsbehörde zu benennen.

Die nationalen Marktüberwachungsbehörden und die nationalen Datenschutzbehörden können frei entscheiden, ob sie Einzelberichte oder einen gemeinsamen Bericht pro Mitgliedstaat vorlegen wollen.

Nach der KI-Verordnung muss die Kommission auf der Grundlage aggregierter Daten Jahresberichte über die Verwendungen biometrischer Echtzeit- Fernidentifizierungssysteme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken in den Mitgliedstaaten und durch die öffentlichen Stellen und Organe, Einrichtungen und sonstige Stellen der Union veröffentlichen. Diese Berichte werden sich auf die von den nationalen Behörden gemäß Artikel 5 Absatz 6 der KI- Verordnung übermittelten Informationen stützen.

Der Jahresbericht der Kommission enthält keine sensiblen operativen Daten. „Sensible operative Daten“ sind „operative Daten im Zusammenhang mit Tätigkeiten zur Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten, deren Offenlegung die Integrität von Strafverfahren gefährden könnte“236. Dies könnte bedeuten, dass bestimmte Einzelheiten, aus denen laufende oder frühere Untersuchungen hervorgehen, wie z. B. Standorte oder verwendete Kameras, nicht veröffentlicht werden dürfen.

Alle anderen Verwendungen biometrischer Fernidentifizierungssysteme, die nicht unter das Verbot nach Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung fallen, werden durch die Kategorie der Hochrisiko-KI-Systeme im Sinne des Artikels 6 abgedeckt und sind in Anhang III Nummer 1 Buchstabe a der KI-Verordnung aufgeführt, sofern sie in den Anwendungsbereich der KI-Verordnung fallen.

Biometrische Fernidentifizierungssysteme, die nicht in den Anwendungsbereich des Verbots nach Artikel 5 Absatz 1 Buchstabe h der KI-Verordnung fallen, umfassen biometrische Verifizierungs-/Authentifizierungssysteme und die nachträgliche Verwendung biometrischer Fernidentifizierungssysteme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken. Beispielsweise könnten Polizeibehörden nach nationalem Recht befugt sein, eine nachträgliche Gesichtserkennung durchzuführen, um Bilder von Verdächtigen mit in einer Kriminaldatenbank gespeicherten Gesichtsbildern zu vergleichen. Eine weitere Verwendung, die nicht in den Anwendungsbereich des Verbots fällt, ist die Verwendung biometrischer Echtzeit- Fernidentifizierungssysteme zu Strafverfolgungszwecken entweder in einem privaten Raum (z. B. der Wohnung einer Person) oder in einem Online-Raum (z. B. die Nutzung eines Chatrooms oder eines Online-Spiels zur Identifizierung einer Person, die der Verbreitung von Darstellungen sexuellen Kindesmissbrauchs verdächtigt wird). Schließlich fällt der Einsatz biometrischer Fernidentifizierungssysteme durch private Akteure sowohl in Echtzeit als auch nachträglich nicht unter das Verbot (beispielsweise der Einsatz von Techniken zur Live-Gesichtserkennung durch einen Supermarkt zur Identifizierung bekannter Ladendiebe, der Einsatz von Techniken zur Live- Gesichtserkennung durch ein Stadion zur Identifizierung von Personen, denen der Zugang zum Stadion untersagt ist, oder der Einsatz von Live- Gesichtserkennungstechniken in Schulen zu Sicherheitszwecken und zur Überprüfung des Schulbesuchs).

Zusätzlich zu den Vorschriften, die für Hochrisiko-KI-Systeme im Allgemeinen gelten, unterliegt die nachträgliche Verwendung biometrischer Fernidentifizierungssysteme zu Strafverfolgungszwecken zusätzlichen Bedingungen und Schutzvorkehrungen gemäß Artikel 26 Absatz 10 der KI-Verordnung (ab 2. August 2026 anwendbar).

Verwendungen zu anderen Zwecken als Strafverfolgungszwecken müssen in jedem Fall den Datenschutzvorschriften entsprechen. Die folgenden Fallbeispiele veranschaulichen die Auslegung von Artikel 9 Absatz 2 DSGVO in Fällen einer solchen Verwendung und die Ausnahmen für die Verarbeitung biometrischer Daten. Beispiele:

– Ein französisches Verwaltungsgericht stellte fest, dass die Erprobung von Live- Gesichtserkennungstechnik in zwei öffentlichen Schulen zu Zwecken der Zugangskontrolle und der Sicherheit weder notwendig noch verhältnismäßig war (nach den Datenschutzvorschriften). Es standen alternative, für die Schüler weniger einschneidende Lösungen zur Verfügung, z. B. die Verwendung von Zugangsausweisen. Darüber hinaus wurden die Bedingungen der ausdrücklichen Zustimmung nicht erfüllt. Daher konnte die Einwilligung nicht als gültige Rechtsgrundlage für die Erprobung von Gesichtserkennungstechnik in weiterführenden Schulen verwendet werden.

– In den Niederlanden war es einem Supermarkt nicht gestattet, Live- Gesichtserkennungstechnik zu verwenden, um Ladendiebstahl zu verhindern. Ohne die ausdrückliche Einwilligung des Kunden oder eine Rechtsgrundlage, die die Verarbeitung für ein erhebliches öffentliches Interesse (z. B. Sicherheitszwecke) zulässt, konnte der Supermarkt keine biometrischen Daten verarbeiten und somit keine Gesichtserkennungstechnik einsetzen.

– Der Einsatz von Live-Gesichtserkennungstechnik am Eingang eines Fußballstadions zur Identifizierung von Fans wurde in Frankreich untersagt und ihr Einsatz zur Gewährleistung der Sicherheit der Zuschauer wurde in Spanien verboten.