Neues Urteil: KI-Videoanalyse unter strengen DSGVO-Auflagen erlaubt

Was ist passiert?

Das Oberlandesgericht München hat in einem richtungsweisenden Urteil KI-gestützte Videoanalyse im halböffentlichen Raum unter strengen Auflagen für zulässig erklärt. Das Urteil betrifft ein großes Einkaufszentrum in der Münchner Innenstadt, das seit 2024 ein KI-basiertes Videosicherheitssystem einsetzt, um verdächtige Bewegungsmuster zu erkennen und das Sicherheitspersonal in Echtzeit zu alarmieren.

Ein Datenschutzverein hatte gegen den Betreiber des Einkaufszentrums geklagt und argumentiert, die automatisierte Verhaltensanalyse verstoße gegen die DSGVO, insbesondere gegen Artikel 22 (automatisierte Einzelentscheidungen) und Artikel 9 (Verarbeitung besonderer Kategorien personenbezogener Daten). Das OLG München wies die Klage in zweiter Instanz ab – allerdings mit einer detaillierten Auflagenliste, die als Blaupause für künftige Implementierungen dienen dürfte.

Die Details des Urteils

Was das Gericht erlaubt hat

Das Gericht stellte klar, dass KI-gestützte Videoanalyse im halböffentlichen Raum – also in Einkaufszentren, Parkhäusern, Bahnhöfen oder Unternehmensgeländen – grundsätzlich datenschutzkonform betrieben werden kann. Die Technologie erkennt Anomalien im Bewegungsverhalten, etwa wenn sich eine Person auffällig lange an einem Schaufenster aufhält, Bereiche mehrfach passiert oder sich in Notausgängen aufhält. Bei Erkennung eines verdächtigen Musters wird das Sicherheitspersonal benachrichtigt, das dann eine menschliche Bewertung vornimmt.

Entscheidend für das Urteil war, dass das System keine biometrische Identifizierung der Personen vornimmt. Es erkennt Verhaltensmuster, kann aber nicht feststellen, WER sich verdächtig verhält – nur DASS sich jemand verdächtig verhält. Das Gericht sah darin einen wesentlichen Unterschied zur biometrischen Gesichtserkennung, die in der EU weitgehend verboten ist.

Die Voraussetzungen laut Urteil

• Datenschutz-Folgenabschätzung (DSFA): Vor Inbetriebnahme muss eine umfassende DSFA nach Art. 35 DSGVO durchgeführt und dokumentiert werden. Diese muss die Verhältnismäßigkeit der Maßnahme nachweisen und Alternativen prüfen.
• Keine biometrische Identifizierung: Das System darf ausschließlich Bewegungsmuster analysieren. Gesichtserkennung, Gangerkennung oder andere biometrische Verfahren sind ausdrücklich untersagt.
• Maximale Speicherdauer 72 Stunden: Video-Aufzeichnungen mit KI-Analyse dürfen maximal 72 Stunden gespeichert werden, es sei denn, ein konkreter Sicherheitsvorfall erfordert eine längere Aufbewahrung für Ermittlungszwecke.
• Transparente Beschilderung: Die Besucher müssen durch gut sichtbare Hinweisschilder über die KI-Analyse informiert werden – nicht nur über die Videoüberwachung selbst, sondern explizit über die automatisierte Verhaltensanalyse.
• Regelmäßige unabhängige Audits: Das System muss mindestens jährlich von einer unabhängigen Stelle (z.B. TÜV, VdS) auf Konformität mit den Auflagen geprüft werden.
• Menschliche Letztentscheidung: Die KI darf keine automatisierten Maßnahmen auslösen (z.B. Türen sperren). Jede Reaktion muss durch menschliches Personal erfolgen.

Warum das wichtig ist

Das Urteil schafft erstmals Rechtssicherheit für den Einsatz von KI-Videoanalyse in Deutschland. Bisher bewegten sich Betreiber in einer rechtlichen Grauzone – die DSGVO regelt KI-basierte Videoüberwachung nicht explizit, und die Datenschutzbehörden der Länder vertraten teilweise widersprüchliche Positionen. Mit dem OLG-Urteil liegt nun eine höchstrichterliche Entscheidung vor, an der sich Betreiber und Errichter orientieren können.

Für die Sicherheitsbranche eröffnet das Urteil einen Markt mit erheblichem Potenzial. KI-basierte Videoanalyse kann die Effizienz von Sicherheitspersonal um den Faktor 5-8 steigern: Statt 50 Kamerafeeds gleichzeitig zu beobachten, wird das Personal nur bei relevanten Ereignissen alarmiert. Der weltweite Markt für KI-Videoanalyse wird auf 18 Milliarden Dollar bis 2028 geschätzt.

Was bedeutet das für die DACH-Region?

Das Urteil hat zunächst nur für Deutschland Geltung, wird aber als Leitentscheidung auch in Österreich und der Schweiz beachtet werden. In Österreich ist die Rechtslage ähnlich, die österreichische Datenschutzbehörde hat sich bisher nicht explizit zur KI-Videoanalyse geäußert. In der Schweiz gilt das Bundesgesetz über den Datenschutz (nDSG), das seit 2023 ähnliche Anforderungen wie die DSGVO stellt.

Auf EU-Ebene wird der AI Act ab 2027 zusätzliche Regeln für KI-basierte Videoüberwachung schaffen. Systeme zur Verhaltenserkennung im öffentlichen Raum werden als „Hochrisiko-KI" eingestuft und unterliegen dann besonderen Transparenz- und Dokumentationspflichten. Das Münchner Urteil steht im Einklang mit dem AI Act und könnte als nationale Referenz dienen.

Praxis-Tipps für Errichter und Betreiber

• DSFA ist Pflicht – keine Ausnahme: Vor jeder Installation einer KI-Videoanalyse muss eine Datenschutz-Folgenabschätzung durchgeführt werden. Ohne DSFA ist der Betrieb rechtswidrig. Ziehen Sie einen spezialisierten Datenschutzberater hinzu.
• Datenschutzbeauftragten einbinden: Der betriebliche Datenschutzbeauftragte muss in Planung und Betrieb einbezogen werden. Bei Unternehmen ohne DSB ist die Bestellung eines externen DSB ratsam.
• Privacy-by-Design: Planen Sie den Datenschutz von Anfang an in die Systemarchitektur ein. Anonymisierung nicht relevanter Bereiche (Privacy Masking), automatische Löschung nach 72 Stunden und Zugriffsprotokollierung sind keine Optionen, sondern Pflicht.
• Beschilderung anpassen: Die Standard-Videoüberwachungsschilder reichen nicht aus. Erstellen Sie spezielle Hinweisschilder, die explizit auf die KI-gestützte Verhaltensanalyse hinweisen und auf eine ausführliche Datenschutzinformation verlinken (QR-Code).
• Audit-Prozess etablieren: Planen Sie von Beginn an jährliche Audits ein. Die Kosten für einen unabhängigen Audit liegen bei 3.000-8.000 Euro – ein überschaubarer Betrag im Verhältnis zur Rechtssicherheit.
• Schulung des Sicherheitspersonals: Die menschliche Letztentscheidung erfordert geschultes Personal, das die KI-Alerts bewerten und angemessen reagieren kann. Investieren Sie in regelmäßige Schulungen.

Hintergrund und Statistiken

In Deutschland sind aktuell schätzungsweise 5,5 Millionen Überwachungskameras im Einsatz, davon etwa 800.000 im halböffentlichen Raum. Der Anteil der Kameras mit KI-Analyse liegt derzeit bei unter 5%, wird aber bis 2028 auf 25-30% prognostiziert. Der deutsche Markt für Videoüberwachung hat ein Volumen von 1,8 Milliarden Euro pro Jahr.

Laut einer Studie des Fraunhofer-Instituts konnte die KI-gestützte Videoanalyse in Pilotprojekten die Reaktionszeit auf Sicherheitsvorfälle um 68% reduzieren und die Erkennung verdächtiger Situationen um 340% steigern. Gleichzeitig sank die Zahl der Fehlalarme um 85% im Vergleich zu bewegungsgesteuerten Systemen.

Ausblick

Rechtsexperten erwarten, dass das Münchner Urteil als Referenz für weitere Verfahren dient und schrittweise zu einer gefestigten Rechtsprechung führt. Der nächste Testfall dürfte die KI-Videoanalyse im öffentlichen Raum betreffen – etwa auf öffentlichen Plätzen oder in Bahnhöfen. Hier gelten strengere Maßstäbe, und die Verhältnismäßigkeit ist schwieriger nachzuweisen.

Die Sicherheitsbranche sollte die Entwicklung der EU-KI-Verordnung (AI Act) aufmerksam verfolgen. Ab 2027 werden Anbieter von KI-Videoanalyse-Systemen umfangreiche Dokumentations-, Transparenz- und Konformitätsbewertungspflichten erfüllen müssen. Wer sich frühzeitig darauf einstellt, hat einen Wettbewerbsvorteil.