DSGVO und EU AI Act in der Verkehrssicherung

DSGVO und EU AI Act in der Praxis der Verkehrssicherung: wo mobile Kontrollen, Fotos, Standortdaten und KI-Auswertungen zusammenlaufen. Mittelständische Betriebe müssen nicht jeden digitalen Ablauf neu erfinden, aber Zwecke, Rollen, Speicherfristen und menschliche Freigaben belastbar organisieren. Entscheidend ist, ob KI nur unterstützt oder sicherheitsrelevante Entscheidungen und Beschäftigtensteuerung übernimmt.

Warum wird Datenschutz in der Verkehrssicherung zum betrieblichen Thema?

Verkehrssicherung war schon immer dokumentationsintensiv. Kontrollfahrten, Abnahmen, Verkehrszeichenpläne, verkehrsrechtliche Anordnungen, Auf- und Abbauprotokolle, Mängelmeldungen und Nachweise gegenüber Auftraggebern gehören zum Tagesgeschäft. Mit Smartphones, GPS-Daten, digitalen Projektmappen und KI-gestützter Bilderkennung verändert sich jedoch die Art, wie diese Informationen entstehen und weiterverarbeitet werden.

Ein Foto einer Absperrschranke kann gleichzeitig ein Kennzeichen, einen Passanten, einen Mitarbeiter oder ein angrenzendes Grundstück erfassen. Eine digitale Kontrollfahrt verbindet unter Umständen Projekt, Uhrzeit, Standort, Fahrzeug, Kolonne und Prüfer. Eine Spracheingabe kann Namen oder Angaben über einen Unfall enthalten. Selbst wenn der eigentliche Zweck ausschließlich in der Baustellendokumentation liegt, entstehen daher häufig personenbezogene Daten.

Die DSGVO greift nicht erst dann, wenn eine Überwachung beabsichtigt ist. Entscheidend ist, ob sich Informationen direkt oder indirekt auf eine identifizierte oder identifizierbare Person beziehen. Kennzeichen, Standortverläufe, Gesichter, Fahrzeugnummern und personalisierte Nutzerkonten können dafür ausreichen. Die digitale Dokumentation muss deshalb vom ersten Prozessschritt an berücksichtigen, welche Daten wirklich benötigt werden, wer sie sehen darf und wann sie wieder gelöscht werden. Wo endet Baustellendokumentation und wo beginnt Überwachung?

Die Grenze hängt weniger vom eingesetzten Gerät als vom Zweck und von der konkreten Nutzung ab. Ein Mitarbeiter, der während einer Kontrollfahrt drei projektbezogene Fotos aufnimmt, verarbeitet andere Informationen als ein System, das während der gesamten Schicht fortlaufend Standort, Geschwindigkeit, Aufenthaltsdauer und Abweichungen vom geplanten Fahrweg speichert.

Für die praktische Bewertung sind mehrere Fragen entscheidend: Wird nur dokumentiert, dass eine Absperrung ordnungsgemäß stand? Soll der Arbeitsfortschritt nachgewiesen werden? Werden Bewegungsprofile erstellt? Fließen die Daten in Leistungsbewertungen ein? Kann die Disposition später nachvollziehen, wie lange ein bestimmter Mitarbeiter an einem Ort geblieben ist?

Problematisch wird es regelmäßig, wenn Daten zunächst für Sicherheits- oder Nachweiszwecke erhoben und später ohne erneute Prüfung für Personalsteuerung, Produktivitätsvergleiche oder Sanktionen verwendet werden. Aus einem Kontrollnachweis entsteht dann eine Beschäftigtenüberwachung. Neben DSGVO und Bundesdatenschutzgesetz können Mitbestimmungsrechte betroffen sein. Eine vermeintlich praktische Zusatzfunktion kann dadurch wesentlich höhere Anforderungen auslösen als die ursprüngliche Baustellendokumentation. Wann wird KI in der Verkehrssicherung zum Hochrisiko-System?

Nicht jede KI-Funktion in einer Verkehrssicherungssoftware ist Hochrisiko-KI. Ein Sprachmodell, das aus freigegebenen Stichpunkten einen Kontrollbericht formuliert, oder eine Bilderkennung, die einem Prüfer mögliche Abweichungen markiert, kann eine unterstützende beziehungsweise vorbereitende Funktion erfüllen. Voraussetzung ist, dass das Ergebnis nicht selbst über die Zulässigkeit einer sicherheitsrelevanten Situation entscheidet und eine fachkundige Person die Bewertung übernimmt.

Anders kann die Einstufung ausfallen, wenn ein KI-System als Sicherheitskomponente den Straßenverkehr steuert oder den Betrieb verkehrstechnischer Infrastruktur beeinflusst. Anhang III des EU AI Act nennt ausdrücklich KI-Systeme, die als Sicherheitskomponenten bei der Verwaltung und dem Betrieb des Straßenverkehrs eingesetzt werden. Dazu könnten je nach Ausgestaltung Systeme gehören, die Fahrstreifenfreigaben, Wechselverkehrszeichen, Lichtsignalanlagen oder verkehrsabhängige Sperrungen eigenständig beeinflussen. e weitere Risikozone entsteht bei der Beschäftigtensteuerung. KI-Systeme können als Hochrisiko-Systeme gelten, wenn sie Aufgaben auf Grundlage persönlichen Verhaltens oder persönlicher Merkmale zuweisen oder wenn sie Leistung und Verhalten von Beschäftigten überwachen und bewerten. Eine reine Dispositionshilfe, die Qualifikation, Arbeitszeit, Fahrzeugverfügbarkeit und Entfernung berücksichtigt, ist deshalb anders zu beurteilen als ein System, das aus Fahrverhalten, Pausenzeiten oder Reaktionsgeschwindigkeit einen Leistungsscore berechnet. AI Act sieht Ausnahmen für bestimmte unterstützende, eng begrenzte oder vorbereitende Anwendungen vor. Der Anbieter muss eine solche Einstufung jedoch dokumentieren. Sobald Profiling natürlicher Personen eingesetzt wird, greift diese Ausnahme nicht. Für Verkehrssicherungsunternehmen bedeutet das: Nicht die Produktbezeichnung entscheidet, sondern der vorgesehene Zweck, die tatsächliche Funktionsweise und der Einfluss auf das Arbeitsergebnis. Welche Anforderungen des EU AI Act gelten bereits?

Am 2. August 2026 befindet sich der EU AI Act in einer gestaffelten Einführungsphase. Verbote bestimmter KI-Praktiken, Anforderungen an KI-Kompetenz, Vorschriften für Modelle mit allgemeinem Verwendungszweck sowie weitere Transparenz- und Aufsichtsregeln sind bereits relevant. Die Bundesnetzagentur (https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/start_ki.html) übernimmt nach dem deutschen Durchführungsgesetz eine zentrale Rolle, während bestehende Fach- und Datenschutzaufsichten weiterhin eingebunden bleiben. Anforderungen aus den Hochrisiko-Kapiteln für Systeme nach Anhang III sollen nach der Verordnung (EU) 2026/1744 grundsätzlich ab dem 2. Dezember 2027 gelten. Für bestimmte Hochrisiko-Systeme, die als Sicherheitskomponenten in regulierte Produkte eingebettet sind, ist der 2. August 2028 maßgeblich. Diese Verschiebung ist kein Grund, Klassifikation, Beschaffung und technische Architektur aufzuschieben. Systeme, die heute eingeführt werden, bleiben oft mehrere Jahre im Einsatz. eits bei der Beschaffung sollte dokumentiert werden, welche KI-Funktionen ein Produkt enthält, wer als Anbieter und wer als Betreiber handelt, welche Modelle verwendet werden und welche Entscheidungen die Software lediglich vorbereitet. Ergänzend sind Maßnahmen zur Entwicklung von KI-Kompetenz erforderlich. Der AI Act verlangt dabei kein pauschales Zertifikat für jeden Mitarbeiter, sondern angemessene Maßnahmen, die Vorkenntnisse, Einsatzkontext und Risiken berücksichtigen. Wie unterscheiden sich DSGVO und EU AI Act im Betriebsalltag?

Die DSGVO und der EU AI Act verfolgen unterschiedliche Regelungsziele. Die DSGVO schützt natürliche Personen bei der Verarbeitung ihrer Daten. Der AI Act betrachtet Risiken, Rollen und Qualitätsanforderungen von KI-Systemen. Beide Regelwerke können gleichzeitig gelten, müssen aber getrennt geprüft werden.

Ein System kann datenschutzrechtlich relevant sein, ohne unter eine Hochrisiko-Kategorie des AI Act zu fallen. Umgekehrt kann ein KI-System hohe sicherheitsbezogene Anforderungen auslösen, obwohl es kaum personenbezogene Daten verarbeitet. Ein System zur verkehrsabhängigen Steuerung einer Fahrstreifensperrung wäre dafür ein mögliches Beispiel.

Welche Rechtsgrundlage trägt Fotos, Geodaten und Kennzeichen?

Eine Einwilligung ist in der Verkehrssicherung häufig nicht die geeignete Standardlösung. Passanten können vor einer Dokumentationsaufnahme kaum praktikabel um Zustimmung gebeten werden. Im Beschäftigungsverhältnis ist zudem zu prüfen, ob eine Einwilligung angesichts des Abhängigkeitsverhältnisses tatsächlich freiwillig wäre.

Abhängig vom Auftrag können gesetzliche Verpflichtungen, die Durchführung eines Vertrags, berechtigte Interessen oder die Wahrnehmung einer öffentlichen Aufgabe in Betracht kommen. Ein privates Verkehrssicherungsunternehmen kann beispielsweise ein berechtigtes Interesse daran haben, den vertragsgemäßen Zustand einer Arbeitsstelle, die Durchführung einer Kontrolle oder die Beseitigung eines Mangels nachzuweisen. Dieses Interesse ersetzt jedoch nicht die notwendige Abwägung.

Bei einer Verarbeitung auf Grundlage berechtigter Interessen sind drei Elemente zu dokumentieren: das konkrete Interesse, die Erforderlichkeit der Verarbeitung und die Abwägung gegenüber den Rechten der betroffenen Personen. Weniger eingriffsintensive Alternativen müssen einbezogen werden. So kann ein enger Bildausschnitt ausreichen, während eine dauerhafte Rundumaufnahme der Umgebung nicht erforderlich wäre. jede Datenart sollte deshalb feststehen, welchem Zweck sie dient. Der Standort kann für den Nachweis des Kontrollorts notwendig sein, ohne dass daraus ein vollständiger Tagesverlauf entstehen muss. Ein Kennzeichen kann für die Beweissicherung relevant sein oder ohne Informationsverlust automatisch verpixelt werden. Die passende Lösung hängt von Auftrag, Gefahrenlage und Nachweisinteresse ab.

Wann braucht ein Verkehrssicherungsunternehmen eine Datenschutz-Folgenabschätzung?

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine geplante Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Die DSGVO nennt insbesondere neue Technologien, umfangreiche systematische Bewertungen und die großflächige systematische Überwachung öffentlich zugänglicher Bereiche. ht jede mobile Kontrollfahrt löst automatisch eine Datenschutz-Folgenabschätzung aus. Sie sollte jedoch früh geprüft werden, wenn mehrere risikosteigernde Merkmale zusammenkommen. Dazu gehören fortlaufende Videoaufnahmen, automatische Kennzeichenerkennung, dauerhafte Geolokalisierung von Mitarbeitern, biometrische Analyse, Verknüpfung verschiedener Datenbestände oder KI-basierte Leistungsbewertungen.

In der Praxis erfolgt diese Prüfung häufig zu spät. Die mobile Anwendung ist bereits ausgewählt, der Cloud-Vertrag unterschrieben und die ersten Bilder wurden gespeichert. Erst kurz vor dem Rollout stellt sich heraus, dass technische Schutzmaßnahmen fehlen oder notwendige Angaben des Anbieters nicht verfügbar sind. Besser ist es, die Vorprüfung in Lastenheft, Anbieterbewertung und Pilotplanung zu integrieren.

Eine Datenschutz-Folgenabschätzung ist dabei kein Formular, das lediglich für die Projektakte ausgefüllt wird. Sie beschreibt den Verarbeitungsvorgang, bewertet Notwendigkeit und Verhältnismäßigkeit, untersucht Risiken und legt Schutzmaßnahmen fest. Dazu können automatische Verpixelung, kurze Speicherfristen, rollenbasierte Zugriffe, Verschlüsselung, Protokollierung und verbindliche menschliche Freigaben gehören.

Wie sollte der Datenfluss einer digitalen Kontrollfahrt aufgebaut sein?

Ein belastbarer Datenfluss beginnt nicht beim KI-Modell, sondern bei der Aufnahme vor Ort. Für jeden Verarbeitungsschritt sollte nachvollziehbar sein, welche Daten entstehen, wo sie gespeichert werden, wer sie erhält und welche Folgeprozesse ausgelöst werden.

Ein typischer Ablauf kann mit der Auswahl der Baustelle über einen QR-Code beginnen. Die Anwendung lädt nur die zugehörige Checkliste und die erforderlichen Projektdaten. Fotos erhalten Zeit- und Ortsbezug, wobei unnötige Hintergrundbereiche bereits auf dem Endgerät reduziert oder verpixelt werden können. Die Spracheingabe wird transkribiert, danach strukturiert die KI Beobachtungen, vorgeschlagene Mängelkategorien und offene Punkte.

Der Kontrollbericht bleibt zunächst ein Entwurf. Ein qualifizierter Prüfer vergleicht ihn mit Bildern, Checkliste, verkehrsrechtlicher Anordnung und tatsächlicher Situation. Erst nach der fachlichen Freigabe wird der Bericht Teil der Projektakte oder an den Auftraggeber übertragen. Kritische Feststellungen können sofort an Disposition oder Bauleitung eskaliert werden, die Entscheidung über Sicherungsmaßnahmen bleibt jedoch beim zuständigen Mitarbeiter.

Im Hintergrund müssen Berechtigungen, Änderungsverlauf, Modellversion, Zeitpunkt der Verarbeitung und Freigabe protokolliert werden. Werden externe Cloud- oder KI-Dienstleister eingesetzt, ist zu prüfen, ob sie Auftragsverarbeiter sind, welche Unterauftragnehmer beteiligt sind und ob Zugriffe aus Drittstaaten möglich sind. Artikel 28 DSGVO verlangt den Einsatz von Auftragsverarbeitern mit ausreichenden Garantien und eine entsprechende vertragliche Regelung. Was geht bei Datenschutz- und KI-Projekten üblicherweise schief?

Ein häufiger Fehler besteht darin, zunächst möglichst viele Daten zu sammeln und den Zweck später zu definieren. Die Bilder werden unbegrenzt gespeichert, weil sie vielleicht noch benötigt werden könnten. Standortdaten bleiben im System, obwohl der Kontrollnachweis längst abgeschlossen ist. Berechtigungen wachsen mit jedem Projekt, werden beim Personalwechsel aber nicht angepasst.

Auch die Rollenverteilung zwischen Softwareanbieter, KI-Anbieter, Betreiber und Auftraggeber bleibt oft lückenhaft. Der Hinweis auf ein Rechenzentrum in der EU beantwortet nicht, wer administrativen Zugriff besitzt, welche Telemetriedaten übertragen werden oder ob ein Modellanbieter Eingaben für eigene Zwecke nutzt. Ohne Datenflussübersicht und vertragliche Prüfung wird aus einer scheinbar einfachen App eine schwer beherrschbare Lieferkette.

Ein weiterer Schwachpunkt ist die Vermischung von Sicherheitsunterstützung und Mitarbeiterbewertung. Ein System, das ursprünglich nur prüfen sollte, ob eine Kontrollfahrt durchgeführt wurde, erzeugt später Ranglisten über Dauer, Reaktionszeit oder Zahl gemeldeter Mängel. Damit verändert sich nicht nur der Datenschutzkontext. Auch die AI-Act-Einstufung kann neu zu bewerten sein.

Schließlich werden KI-Ergebnisse zu häufig wie feststehende Tatsachen in Berichte übernommen. Bilderkennung kann Absperrschranken übersehen, Verkehrszeichen verwechseln oder durch Dunkelheit, Regen und Baustellenbeleuchtung beeinträchtigt werden. Eine technische Wahrscheinlichkeitsausgabe ersetzt keine fachliche Beurteilung nach Anordnung, Verkehrszeichenplan, RSA und konkreter Verkehrslage.

Wie sieht ein praxistauglicher KI-Anwendungsfall aus?

Ein mittelständisches Verkehrssicherungsunternehmen erhält den Auftrag, mehrere Arbeitsstellen im öffentlichen Verkehrsraum regelmäßig zu kontrollieren. Der Mitarbeiter wählt die Baustelle über einen QR-Code aus. Dadurch werden Projekt, Kontrollintervall, Verkehrszeichenplan, Auflagen und Checkliste zugeordnet, ohne dass umfangreiche Daten manuell gesucht werden müssen.

Während der Kontrollfahrt nimmt der Mitarbeiter nur die für den Nachweis erforderlichen Bilder auf. Die Anwendung versieht sie mit Zeitstempel und projektbezogenem Standort. Gesichter und Kennzeichen werden automatisiert erkannt und verpixelt, soweit sie für den jeweiligen Nachweis nicht benötigt werden. Der ursprüngliche Datensatz wird nur so lange vorgehalten, wie es für Prüfung, Fehlerbehandlung oder Beweissicherung erforderlich ist.

Mängel können per Sprache erfasst werden. Die KI ordnet die Aussage einer Kategorie zu, übernimmt die Position in den Bericht und formuliert eine sachliche Beschreibung. Bei einem möglichen sicherheitskritischen Mangel erzeugt sie einen Eskalationshinweis. Sie entscheidet jedoch weder über die Zulässigkeit der Arbeitsstelle noch über die notwendige Sofortmaßnahme.

Der Prüfer bestätigt oder korrigiert die Einordnung. Das System dokumentiert Ausgangsdaten, KI-Vorschlag, Änderung und Freigabe. Der fertige Bericht wird anschließend in der digitalen Projektakte gespeichert und kann dem Auftraggeber als PDF bereitgestellt werden. So entsteht ein Arbeitsablauf, der Dokumentation beschleunigt, ohne Verantwortlichkeit an ein Modell abzugeben.

Wie lässt sich eine geeignete Governance im Mittelstand aufbauen?

Der Einstieg muss nicht mit einem umfangreichen Konzernprogramm beginnen. Für mittelständische Verkehrssicherungsunternehmen ist ein anwendungsbezogener Ansatz meist praktikabler. Ausgangspunkt ist ein Verzeichnis der tatsächlich eingesetzten KI-Funktionen. Darin werden Zweck, Nutzer, Daten, Anbieter, Modell, betroffene Prozesse und fachlicher Verantwortlicher festgehalten.

Danach folgt die Risikoeinstufung. Unterstützt die KI nur beim Formulieren? Erkennt sie Objekte? Priorisiert sie Mängel? Steuert sie Verkehrsabläufe? Bewertet sie Beschäftigte? Jede zusätzliche Funktion kann die rechtliche und technische Bewertung verändern. Produktmodule sollten deshalb getrennt betrachtet werden, anstatt das gesamte System pauschal als unkritisch oder hochriskant einzuordnen.

Für jede Anwendung braucht es festgelegte Freigabepunkte. Bei sicherheitsrelevanten Kontrollen sollte dokumentiert sein, welche Qualifikation der Freigeber benötigt, welche Informationen er prüfen muss und wie bei Zweifeln oder einem Systemausfall vorzugehen ist. Die Datenschutzkonferenz (https://www.datenschutzkonferenz-online.de/orientierungshilfen.html) empfiehlt ebenfalls, Zweck, Rechtsgrundlage und Verantwortlichkeiten vor dem Einsatz festzulegen und automatisierte Letztentscheidungen kritisch zu prüfen. ulungen sollten sich am tatsächlichen Einsatz orientieren. Ein Disponent benötigt anderes Wissen als ein Administrator oder ein Mitarbeiter auf Kontrollfahrt. Wichtig sind insbesondere Grenzen der automatischen Auswertung, Umgang mit Fehlmeldungen, Schutz personenbezogener Daten, zulässige Nutzung von Fotos und die Pflicht zur fachlichen Prüfung.

Welche wirtschaftlichen Risiken entstehen bei Verstößen?

Datenschutz und AI-Act-Compliance werden gelegentlich als reine Dokumentationskosten betrachtet. In der Verkehrssicherung betreffen sie jedoch auch die Verwertbarkeit von Nachweisen, die Steuerung von Haftungsfällen, die Akzeptanz bei Beschäftigten und die Fähigkeit, Anforderungen öffentlicher oder industrieller Auftraggeber zu erfüllen.

Für schwerwiegende DSGVO-Verstöße können Geldbußen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vorgesehen sein. Der AI Act ermöglicht bei Verstößen gegen verbotene KI-Praktiken Geldbußen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen gelten bei der konkreten Obergrenze besondere Begrenzungsregeln. Mittelstand sind allerdings nicht nur die gesetzlichen Höchstbeträge relevant. Ein ungeklärter Datenfluss kann einen Rollout verzögern. Fehlende Protokolle können die Beweiskraft einer Dokumentation schwächen. Ein nicht kontrollierter Modellwechsel kann bereits geprüfte Ergebnisse infrage stellen. Und ein System, das von den Mitarbeitern als verdeckte Leistungsüberwachung wahrgenommen wird, wird trotz technischer Qualität kaum zuverlässig genutzt.

Der wirtschaftlich sinnvollste Ansatz besteht deshalb nicht darin, KI möglichst weit aus den Prozessen herauszuhalten. Erfolgversprechender ist eine Architektur, bei der Datensparsamkeit, fachliche Freigabe, Protokollierung und Systemklassifikation bereits Bestandteil des Produktdesigns sind.

Dieser Beitrag dient der fachlichen Orientierung und ersetzt keine rechtliche Prüfung des konkreten Einsatzfalls.

Häufige Fragen

Gilt die DSGVO auch für reine Straßenfotos?

Die DSGVO gilt, sobald auf einem Foto personenbezogene Informationen enthalten sind oder mit vertretbarem Aufwand zugeordnet werden können. Dazu gehören beispielsweise Gesichter, Kennzeichen, Namensschilder oder Mitarbeiter in Verbindung mit einem Projekt. Enthält das Bild ausschließlich Fahrbahn, Beschilderung und Absperrmaterial ohne Personenbezug, kann es außerhalb des Anwendungsbereichs liegen.

Sind Kfz-Kennzeichen personenbezogene Daten?

Kennzeichen gelten regelmäßig als personenbezogene Daten, weil sie über Halterdaten oder zusätzliche Informationen einer Person zugeordnet werden können. Ob sie gespeichert werden dürfen, hängt vom konkreten Zweck und der Rechtsgrundlage ab. Sind sie für den Kontrollnachweis nicht erforderlich, sollten sie bereits bei der Aufnahme oder unmittelbar danach verpixelt werden.

Darf KI Schäden an Fahrbahn und Beschilderung automatisch erkennen?

Eine KI darf Bilder analysieren und mögliche Schäden, fehlende Verkehrszeichen oder verschobene Absperrelemente markieren. Das Ergebnis sollte jedoch als Vorschlag behandelt werden. Bei sicherheitsrelevanten Feststellungen muss ein qualifizierter Mitarbeiter die Situation anhand der Originalaufnahme, der Anordnung, des Verkehrszeichenplans und der tatsächlichen Einsatzbedingungen fachlich bewerten.

Wann ist ein System für Verkehrssicherung Hochrisiko-KI?

Eine Hochrisiko-Einstufung kommt insbesondere in Betracht, wenn KI als Sicherheitskomponente den Straßenverkehr oder verkehrstechnische Infrastruktur steuert. Auch Systeme zur Überwachung oder Bewertung von Beschäftigten können betroffen sein. Eine reine Formulierungshilfe oder vorbereitende Mängelklassifikation fällt nicht automatisch darunter, sofern sie Entscheidungen nicht wesentlich bestimmt und kein Profiling verwendet.

Muss jeder KI-generierte Kontrollbericht gekennzeichnet werden?

Für rein interne Kontrollberichte besteht nicht automatisch eine allgemeine Veröffentlichungspflicht. Dennoch sollte intern dokumentiert werden, dass und mit welcher Modellversion KI beteiligt war. Werden KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse veröffentlicht, können Transparenzpflichten gelten. Eine Ausnahme kann bei menschlicher Prüfung und übernommener redaktioneller Verantwortung greifen. Ist eine Einwilligung von Passanten erforderlich?

Eine Einwilligung ist bei Baustellen- und Kontrollaufnahmen meist weder praktikabel noch die bevorzugte Rechtsgrundlage. Häufig kommen berechtigte Interessen, gesetzliche Pflichten oder öffentliche Aufgaben in Betracht. Das Unternehmen muss dennoch prüfen, ob die Aufnahme erforderlich ist, den Bildausschnitt begrenzen, Informationspflichten erfüllen und nicht benötigte Identifikationsmerkmale entfernen.

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Eine Datenschutz-Folgenabschätzung wird notwendig, wenn die Verarbeitung voraussichtlich ein hohes Risiko verursacht. Hinweise darauf sind umfangreiche Videoüberwachung öffentlich zugänglicher Bereiche, automatische Kennzeichenerkennung, dauerhafte Mitarbeiterortung, biometrische Analysen oder die Verknüpfung mehrerer Datenbestände. Die Prüfung sollte vor Produktauswahl und Pilotbetrieb erfolgen, nicht erst unmittelbar vor dem Rollout.

Welche Rolle spielt der Betriebsrat bei KI-Systemen?

Ein Betriebsrat kann zu beteiligen sein, wenn technische Einrichtungen Verhalten oder Leistung von Beschäftigten überwachen können. Das gilt auch dann, wenn der Anbieter die Funktion lediglich als Analyse, Tourenoptimierung oder Produktivitätsauswertung bezeichnet. Zweck, verfügbare Daten, Auswertungsmöglichkeiten, Zugriffsrechte und spätere Erweiterungen sollten vor der Einführung vollständig betrachtet werden.

Wie lange dürfen Bild- und Standortdaten gespeichert werden?

Die DSGVO nennt keine allgemeine Speicherfrist für Baustellenfotos oder Standortdaten. Die Dauer richtet sich nach Zweck, vertraglichen Nachweispflichten, möglichen Ansprüchen und gesetzlichen Aufbewahrungsanforderungen. Unterschiedliche Datenarten benötigen häufig unterschiedliche Fristen. Eine pauschale unbegrenzte Speicherung aus Vorsicht entspricht nicht dem Grundsatz der Speicherbegrenzung.

Braucht ein Cloud-Anbieter einen Auftragsverarbeitungsvertrag?

Verarbeitet der Cloud- oder KI-Anbieter personenbezogene Daten ausschließlich nach Weisung des Verkehrssicherungsunternehmens, ist regelmäßig ein Vertrag nach Artikel 28 DSGVO erforderlich. Zusätzlich sollten technische Maßnahmen, Löschung, Unterstützung bei Betroffenenrechten, Unterauftragnehmer, Administrationszugriffe und Datenstandorte geprüft werden. Die Bezeichnung „EU-Hosting“ beantwortet diese Fragen allein nicht.

Darf ein US-amerikanischer KI-Anbieter eingesetzt werden?

Ein Anbieter aus den USA ist nicht grundsätzlich ausgeschlossen. Zu prüfen sind jedoch sämtliche Datenflüsse, beteiligte Gesellschaften, Unterauftragnehmer und mögliche Fernzugriffe. Für Übermittlungen in Drittländer muss ein zulässiger Mechanismus nach Kapitel V DSGVO bestehen. Besonders sensible Kontroll- oder Beschäftigtendaten sollten nur nach dokumentierter Risiko- und Vertragsprüfung übertragen werden.

Wer trägt die Verantwortung bei einer falschen KI-Klassifikation?

Die Verantwortung lässt sich nicht pauschal auf den Softwareanbieter übertragen. Anbieter und Betreiber haben nach dem AI Act unterschiedliche Pflichten. Zusätzlich können vertragliche, deliktische und arbeitsschutzbezogene Verantwortlichkeiten bestehen. Im Betrieb sollte festgelegt sein, wer KI-Ergebnisse prüft, wer sicherheitsrelevante Entscheidungen trifft und wie Fehler, Modelländerungen und Freigaben dokumentiert werden.

Quellen der verwendeten Kennzahlen

Datenschutz-Grundverordnung – Artikel 83, Geldbußen:
https://eur-lex.europa.eu/eli/reg/2016/679/2016-05-04/eng

Verordnung (EU) 2024/1689 – EU AI Act, Artikel 99:
https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ%3AL_202401689

Interessante Links

KI-Service Desk der Bundesnetzagentur:
https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/start_ki.html

Leitlinien der Europäischen Kommission zu Hochrisiko-KI-Systemen:
https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-high-risk-systems

Leitlinien des Europäischen Datenschutzausschusses zur Verarbeitung durch Videogeräte:
https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_en