Eine fehlende Datenschutz-Folgenabschätzung hat den Einsatz eines KI-Überwachungssystems im Bremer Westbad vorerst gestoppt. Der Vorgang zeigt, dass technische Innovationen ohne frühzeitige Datenschutzprüfung zum organisatorischen und operativen Risiko werden.
Ausgerechnet ein System, das Badegäste vor dem Ertrinken schützen soll, darf zunächst nicht in Betrieb gehen. Im Bremer Westbad in Walle fehlt nach Angaben des Landesdatenschutzes die erforderliche Datenschutz-Folgenabschätzung. Für Unternehmen und öffentliche Einrichtungen ist der Fall ein klares Signal: Datenschutz muss bereits vor der Einführung eines KI-Systems in die Projektplanung einfließen.
Der Bremer Fall macht sichtbar, dass eine fehlende Risikobewertung den Einsatz einer bereits beschafften Technologie unmittelbar ausbremsen kann.
Warum die KI-Überwachung im Bremer Schwimmbad gestoppt wurde
Das neu eröffnete Westbad verfügt über 19 Kameras, die auf den Schwimmbereich gerichtet sind. Das KI-System des israelischen Unternehmens Lynxight wertet die Bilder aus und soll erkennen, wenn Badegäste zu ertrinken drohen. In diesem Fall soll das Personal automatisch gewarnt werden.
Die Bremer Bäder GmbH teilte dem Landesbeauftragten für Datenschutz mit, dass die Einführung vorerst aufgeschoben wird. Der Grund: Dem Landesdatenschutz liegt bislang keine notwendige Datenschutz-Folgenabschätzung vor.
Die DSGVO verlangt eine solche Prüfung bei Verarbeitungen, die beispielsweise eine systematische und umfangreiche Überwachung öffentlich zugänglicher Bereiche ermöglichen. Nach Einschätzung des Bremer Landesbeauftragten hätte die DSFA vor der Inbetriebnahme erstellt werden müssen.
Datenschutz-Folgenabschätzung ist keine nachträgliche Formalität
Eine Datenschutz-Folgenabschätzung dient dazu, Risiken einer geplanten Verarbeitung frühzeitig zu erkennen und geeignete Schutzmaßnahmen festzulegen. Im Bremer Fall hätte sie deshalb nicht erst nach der technischen Installation oder nach einer behördlichen Rückfrage erstellt werden dürfen.
Für Entscheider liegt die zentrale Lehre in der Reihenfolge des Vorgehens: Erst müssen Verarbeitung, Zweck, Risiken und Schutzmaßnahmen bewertet und dokumentiert werden. Danach kann die Organisation über die Inbetriebnahme entscheiden.
- Welche Kameras und Systeme werden eingesetzt?
- Welchen Zweck verfolgt die Auswertung der Bilder?
- Welche Risiken entstehen durch die systematische Überwachung?
- Welche organisatorischen und technischen Maßnahmen begrenzen diese Risiken?
- Ist die Dokumentation vor dem Start vollständig und nachvollziehbar?
Dass das System bereits in schätzungsweise 200 deutschen Bädern eingesetzt wird, ersetzt diese Prüfung nicht. Genannt werden unter anderem das Nettebad in Osnabrück und das Billebad in Hamburg. Dort erfolgte die Einführung laut Bericht in enger Zusammenarbeit und mit fortlaufender Beratung durch die Hamburger Datenschutzaufsicht.
Die Verbreitung einer Technologie ist kein Nachweis für ihre datenschutzrechtliche Eignung im eigenen Einsatzumfeld.
Auch die Wirksamkeit von KI-Systemen muss überprüfbar bleiben
Bremen setzt KI-Überwachung nicht nur in Schwimmbädern ein. Die Verkehrsgesellschaft BSAG führte ein System namens „AI-Watch“ ein, das aggressives Verhalten in Straßenbahnen erkennen soll. Für die Entwicklung ist das Bremer Unternehmen JAAI verantwortlich.
Auch dort äußerte sich der Landesdatenschutzbeauftragte skeptisch zur Wirksamkeit des Einsatzes. Zum Ende der Pilotphase ist eine Evaluation vorgesehen. Entscheidend soll sein, wie viele Delikte erkannt, Gefährdungen abgewendet oder erfolgreiche Strafverfolgungsmaßnahmen ermöglicht wurden.
Damit wird ein zweiter Aspekt deutlich: Eine Risikobewertung sollte nicht bei der Datenschutzprüfung enden. Unternehmen und öffentliche Stellen müssen ebenso nachvollziehbar prüfen, ob ein KI-System seinen vorgesehenen Zweck tatsächlich erfüllt.
Fazit: Datenschutz-Folgenabschätzung vor dem KI-Einsatz
Der Fall im Bremer Westbad zeigt, warum eine Datenschutz-Folgenabschätzung bei KI-Überwachung frühzeitig eingeplant werden muss. Eine fehlende Bewertung kann die Inbetriebnahme stoppen, obwohl Technik und Einsatzkonzept bereits vorbereitet sind. Verantwortliche sollten geplante KI-Verarbeitungen daher vor dem Start prüfen, Risiken dokumentieren und die Wirksamkeit später evaluieren. Die Datenschutz-Folgenabschätzung ist damit ein Bestandteil belastbarer Projektsteuerung.
Wer KI verantwortungsvoll einsetzen will, muss Datenschutz, Risikobewertung und praktische Wirksamkeit gemeinsam betrachten.
Sprechen Sie mit den Experten von Tulos
Tulos unterstützt Unternehmen bei der praktischen Umsetzung von DSGVO-Anforderungen und der erforderlichen Dokumentation. Besonders bei neuen digitalen Abläufen können Datenschutz-Audits helfen, bestehende Lücken systematisch zu erfassen und einen priorisierten Maßnahmenkatalog abzuleiten.
Quelle: heise.de