DSFA-Vorlage: Gesichtserkennung (Art. 35 DSGVO)

Die Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO trifft den Verantwortlichen — also eure Trägerorganisation, nicht den Anbieter dieser Software. Diese Vorlage nimmt euch die Beschreibung der Verarbeitung, der Schutzmaßnahmen und der Risikobewertung ab, weil nur der Anbieter sie belegen kann. Was sie nicht abnimmt: die Bewertung und Entscheidung im eigenen Haus — das bleibt bei euch.

1. Systematische Beschreibung der Verarbeitung

Gegenstand: Automatische Gesichtserkennung zur Zuordnung von Freizeitfotos zu registrierten Teilnehmern und Betreuern.

Datenfluss:

1. Teilnehmer- bzw. Betreuer-Profilfoto wird in die Plattform hochgeladen.
2. Bei vorliegender Einwilligung werden biometrische Merkmale (Face Embeddings) lokal und verschlüsselt auf dem eigenen Server extrahiert.
3. Die Merkmale werden zum Abgleich mit Freizeitfotos verwendet, um Teilnehmer und Betreuer auf Fotos zu identifizieren.
4. Nach der Zuordnung der Bilder werden die biometrischen Daten unverzüglich gelöscht. Es findet keine dauerhafte Speicherung statt.

Beteiligte Systeme: Webanwendung, lokaler Gesichtserkennungsdienst auf demselben Server, Datenbank, Hosting bei netcup GmbH (Rechenzentrum Nürnberg, Deutschland, innerhalb der EU). Es findet kein Zugriff von außerhalb statt.

Betroffene Personen:

• Teilnehmer von Jugendfreizeiten, überwiegend minderjährig. Die Einwilligung wird von den gesetzlichen Vertretern nach Art. 9 Abs. 2 lit. a i. V. m. Art. 8 DSGVO erteilt.
• Betreuer (volljährig, eigener Account). Die Einwilligung wird selbst nach Art. 7 DSGVO erteilt und kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO). Der gespeicherte Ausgangswert jedes neuen Kontos ist „nein" (Opt-in, keine Widerspruchsmöglichkeit gegen eine bereits laufende Verarbeitung).

2. Notwendigkeit und Verhältnismäßigkeit

Notwendigkeit: Die Gesichtserkennung erleichtert die Zuordnung von häufig mehreren hundert Freizeitfotos zu den richtigen Teilnehmern erheblich. Ohne automatische Erkennung müsste dies manuell durch Betreuer erfolgen, was bei großen Freizeiten unverhältnismäßig zeitaufwendig wäre.

Verhältnismäßigkeit: Die Verarbeitung ist verhältnismäßig, da:

• Die Funktion vollständig optional ist (Opt-in).
• Ohne Einwilligung findet keine biometrische Verarbeitung statt.
• Die Einwilligung jederzeit widerrufbar ist, mit sofortiger Löschung der Merkmale.
• Keine weniger eingriffsintensive Alternative den gleichen Zweck mit vertretbarem Aufwand erfüllen kann.

Mildere Mittel: Manuelle Zuordnung wurde als Alternative geprüft, ist jedoch bei typischen Freizeiten mit 50 bis 150 Teilnehmern und mehreren hundert Fotos nicht praktikabel.

3. Risikobewertung

4. Maßnahmen zur Risikominderung

1. Zustimmungssperre: Technische Sperre verhindert jegliche biometrische Verarbeitung ohne vorliegende, aktive Einwilligung.
2. Lokale Verarbeitung: Die gesamte Gesichtserkennung erfolgt ausschließlich auf dem eigenen Server, ohne Übermittlung an externe Dienste.
3. Sofortige Löschung: Biometrische Daten werden nach der Zuordnung der Bilder unverzüglich gelöscht. Es findet keine dauerhafte Speicherung statt.
4. Zugriffskontrolle: Nur autorisierte Betreuer mit entsprechender Rolle innerhalb der zugehörigen Organisation haben Zugriff.
5. Protokollierung: Alle Zugriffe auf biometrische Daten und Gesichtserkennungsvorgänge werden protokolliert und sind nachvollziehbar.
6. Löschung bei Widerruf: Bei Widerruf der Einwilligung werden die Merkmale unverzüglich und unwiederbringlich gelöscht.
7. Verschlüsselung: Die Verarbeitung biometrischer Daten erfolgt verschlüsselt (AES-256-GCM).
8. Gehärtete Serverkonfiguration: Der Gesichtserkennungsdienst ist ausschließlich lokal erreichbar, externer Netzwerkzugriff ist durch Firewall-Regeln gesperrt.

5. Von der Trägerorganisation auszufüllen

• Verantwortlicher (Name, Anschrift): _________
• Datenschutzbeauftragte Person: _________
• Datum der Bewertung: TT.MM.JJJJ
• Ergebnis der Bewertung: _________
• Stellungnahme der Datenschutzbeauftragten Person: _________
• Entscheidung über eine vorherige Konsultation der Aufsichtsbehörde (Art. 36 Abs. 1 DSGVO): Nötig, wenn die Restrisiken nach den getroffenen Maßnahmen weiterhin als hoch bewertet werden. _________
• Datum der Wiedervorlage: TT.MM.JJJJ

6. So nutzt ihr diese Vorlage

1. Inhalt der Abschnitte 1 bis 4 übernehmen.
2. Abschnitt 5 im eigenen Haus ausfüllen.
3. Der eigenen datenschutzbeauftragten Person vorlegen.

Änderungen an der Plattform werden hier nachgeführt; das Stand-Datum oben weist die jeweils aktuelle Fassung aus.