Baustellenkamera und DSG: Warum Verpixelung nicht reicht
Teil 1 der Serie «Datenschutz bei Baustellenkameras: Der komplette Leitfaden»
Verpixelung macht Gesichter unkenntlich. Viele Bauleiter halten das für ausreichend. Doch für das Schweizer Datenschutzgesetz (DSG) ist nicht nur das Gesicht relevant, sondern ob eine Person im Bild noch bestimmbar ist.
Selbst stark verpixelte Bilder bestehen diesen Test teilweise nicht. Die verantwortliche Person haftet persönlich mit bis zu 250’000 CHF.
Planst du ein Bauprojekt
und willst beim Datenschutz keine Kompromisse eingehen?
Setze von Anfang an auf die sicherste Anonymisierung am Markt. Gemeinsam definieren wir das passende Setup, damit deine Baudokumentation vom ersten Tag an rechtssicher und Datenschutzkonform läuft.
Verpixelt heisst nicht anonymisiert
Ein Bauleiter öffnet morgens den Projektbericht. 30 Arbeiter auf dem Baustellenbild, alle Gesichter verpixelt. Ein Drittel des Bildes besteht aus Pixelbrei, vom Baufortschritt ist kaum etwas zu erkennen. Aber egal, Hauptsache datenschutzkonform. So denken die meisten.
Das Problem: Verpixelung schützt besser als nichts. Aber sie schützt nicht gut genug. Denn nach DSG ist die Frage nicht, ob ein Gesicht erkennbar ist. Sondern, ob eine Person bestimmbar ist. Direkt oder indirekt, auch über Umwege. Und auf einer Baustelle gibt es viele solcher Umwege: Kleidung, Körperhaltung, Standort, Funktion im Projekt, Uhrzeit.
Ein Polier mit rotem Helm, der jeden Morgen um 6:45 an derselben Stelle steht? Für sein Team ist er auch ohne sichtbares Gesicht sofort erkennbar.
Warum bei Verpixelung ein Restrisiko bleibt
Stell dir vor, du verpixelst ein Baustellenbild sorgfältig. Jedes Gesicht ist unkenntlich. Trotzdem erkennt ein Projektbeteiligter den Polier an seiner roten Jacke, seiner Körperhaltung und der Tatsache, dass er jeden Morgen an derselben Stelle steht. Für das DSG reicht das: Die Person ist bestimmbar, also enthält das Bild Personendaten.
Verpixelung reduziert die Erkennbarkeit. Aber sie beseitigt sie nicht zuverlässig. Und solange eine Person bestimmbar bleibt, auch nur für einen begrenzten Personenkreis mit Zusatzwissen, gelten sämtliche Datenschutzpflichten weiterhin.
Deshalb lohnt sich der Blick auf den Unterschied zwischen Verpixelung und vollständiger Entfernung:
- Verpixelung verdeckt das Gesicht. Die Originaldaten existieren weiter. Kleidung, Haltung und Kontext bleiben sichtbar. Das Bild enthält weiterhin Personendaten und das DSG gilt vollständig (Art. 5 lit. a DSG).
- Irreversible Entfernung ersetzt die Person durch Hintergrund-Pixel aus früheren Aufnahmen. Keine Kleidung, kein Umriss, kein Schatten. Die ursprünglichen Bilddaten existieren im veröffentlichten Bild nicht mehr. Damit fallen auch die Datenschutzpflichten weg (Art. 2 Abs. 1 DSG).
| Verpixelung | Entfernung | |
|---|---|---|
| Was geschieht? | Gesicht wird verdeckt | Person wird vollständig durch Hintergrundbild ersetzt |
| Reversibel? | Ja, unter bestimmten umständen schon | Nein, keine Pixel zur Analyse vorhanden |
| Personendaten im Bild? | Ja (Art. 5 lit. a DSG) | Nein (Art. 2 Abs. 1 DSG) |
| Gilt das DSG? | Ja | Nein |
| Bildqualität bei 30 Personen | Stark eingeschränkt | Unverändert: Baufortschritt klar sichtbar |
In der Praxis heisst das für den Bauleiter: Bei verpixelten Bildern muss er vor jeder Veröffentlichung prüfen, ob jemand trotzdem erkennbar ist. Stimmt der Kontext? Liefert der Begleittext Hinweise? Sind Kennzeichen oder Namensschilder sichtbar? Das erzeugt laufend Aufwand und laufend Unsicherheit.
Datenschutz-Verstoss: Persönliche Haftung droht
Was viele überrascht: Das revidierte DSG richtet sich nicht an Unternehmen, sondern an natürliche Personen. Bei Verstössen drohen Bussen bis 250’000 CHF plus Strafregistereintrag. Betroffen ist, wer die Verantwortung trägt: Bauleiter, Projektleiter oder GU-Geschäftsführer.
Dazu kommt: Betroffene Personen können Auskunft, Berichtigung oder Löschung verlangen (Art. 25 ff. DSG). Wer ein Bild erst korrigieren muss, nachdem es bereits veröffentlicht wurde, hat ein Problem.
Warum KI-basierte Gesichtserkennung das Problem verschärft
Eine naheliegende Idee: Gesichtserkennung per KI, automatische Verpixelung, fertig. Viele Anbieter gehen diesen Weg. Auf einer Baustelle stösst er allerdings schnell an Grenzen.
Die KI übersieht Menschen
Ein KI-Tool scannt ein Baustellenbild und findet 12 Gesichter. Was es nicht findet: die Person mit Helm, Schutzbrille und Staubmaske. Die Person, die sich gerade bückt. Die Person hinter dem Gerüst, von der nur die Beine sichtbar sind. Drei Personen bleiben identifizierbar im veröffentlichten Bild, weil das System auf Gesichter trainiert ist.
Auf einer Baustelle tragen fast alle Schutzausrüstung. Helme, Brillen, Masken und Warnwesten verändern das Erscheinungsbild massiv. Genau diese Bedingungen machen Gesichtserkennung unzuverlässig. Eine einzige übersehene Person reicht für einen Datenschutzverstoss.
Gesichtserkennung erzeugt selbst Datenschutzprobleme
Um ein Gesicht zu verpixeln, muss das System es zuerst erkennen. Dafür analysiert es biometrische Merkmale: Augenabstand, Gesichtsgeometrie, Konturen. Das erzeugt einen Widerspruch: Um den Datenschutz zu lösen, verarbeitet das Tool eine der heikelsten Datenkategorien — biometrische Daten, die das DSG als besonders schützenswert einstuft (Art. 5 lit. c).
Wer KI-basierte Verpixelung einsetzt, muss also zusätzliche Anforderungen erfüllen: strengere Dokumentation, höhere Schutzmassnahmen, unter Umständen eine Datenschutz-Folgenabschätzung.
Externe Abhängigkeiten
KI-basierte Tools nutzen oft externe Cloud-Modelle. Baustellenbilder mit erkennbaren Personen werden dabei an Drittanbieter übertragen. Das ist ein zusätzliches Datenschutzrisiko und eine weitere Vertragsbeziehung.
Detektieren statt Identifizieren: So bleibst du unter dem Radar des DSG
Nicht jedes System verarbeitet Bilddaten gleich tief. Für die Einordnung hilft eine Unterscheidung in drei Ebenen:
| Detailschärfe | Datenschutz-Anfoderung | |
|---|---|---|
| Detektion | «Da hat sich etwas bewegt» | Minimal: keine biometrische Verarbeitung |
| Erkennung | «Das ist ein Gesicht / eine Person» | Mittel: verarbeitet besonders schützenswerte Daten (Art. 5 lit. c DSG) |
| Identifikation | «Das ist Max Müller» | Hoch: DSFA zwingend, strenge Löschfristen |
Für die Baudokumentation reicht die Detektions-Ebene. Der Bauherr muss wissen, dass auf der Baustelle gearbeitet wird, nicht wer den Bagger bedient. Es reicht, alles zu entfernen, was sich bewegt.
Deterministische Entfernung statt KI-basierter Verpixelung
Der avisec Privacy Protector arbeitet auf dieser Detektions-Ebene. Er vergleicht aufeinanderfolgende Bilder. Was sich zwischen den Aufnahmen verändert hat, wird als bewegtes Objekt erkannt und durch Bilddaten aus früheren Aufnahmen ersetzt.
Der Algorithmus ist deterministisch: feste Regeln, kein trainiertes Modell. Er analysiert keine Gesichtsgeometrie und erkennt keine Körpermuster. Auf Pixelebene misst er schnelle Veränderungen und ersetzt diese Bereiche durch Referenzbilder.
Das hat vier konkrete Vorteile:
- Keine biometrische Verarbeitung. Keine Gesichtserkennung, keine besonders schützenswerten Personendaten. Die Verarbeitung bleibt auf der Detektions-Ebene.
- Keine externe Abhängigkeit. Kein Cloud-KI-Modell, kein Drittanbieter, kein Datenabfluss. Schweizer Eigenentwicklung.
- Sehr geringe Fehlerquote. Weil nicht einzelne Gesichter gesucht werden, sondern alles Bewegte entfernt wird, gibt es kein «übersehenes Gesicht». Die Person mit Helm und Maske wird genauso entfernt wie die ohne.
- Volle Bildqualität. Bei Verpixelung sinkt die Bildqualität mit jeder Person auf der Baustelle. Bei der Entfernung bleibt der Baufortschritt vollständig sichtbar.
| KI-Gesichtserkennung | Deterministische entfernung | |
|---|---|---|
| Reversibel | Ja (Original bleibt) | Nein (keine Bilder vorhanden) |
| Personendaten im Bild? | Ja | Nein |
| Biometrische Verarbeitung | Ja (Art. 5 lit. a DSG) | Nein |
| Fehlerrisiko | Hoch (Helm, Maske, Bücken) | Sehr gering |
| Externe Abhängigkeit | Oft Cloud-KI | Nein |
| Bildqualität | Sinkt mit jeder Person | Unverändert |
Der seltene Grenzfall: In Einzelfällen wird mit dem avisec Privacy Protector ein sich bewegendes Bauteil, etwa ein schwenkender Kran, kurzzeitig entfernt. Die Erfahrung aus über 8’000 Projekten zeigt aber: Das kommt selten vor und beeinträchtigt die Dokumentationsqualität nicht.
Der Zusatzvorteil: Bessere Bilder für Marketing und Projektsteuerung
Verpixelung erzeugt neben dem Datenschutzproblem auch ein Qualitätsproblem. Bei 30 verpixelten Personen besteht ein Drittel des Bildes aus Pixelblöcken. Für Fortschrittsberichte, Investorenpräsentationen oder die Unternehmenswebsite sind solche Bilder kaum brauchbar.
Nach der deterministischen Entfernung zeigt das Bild den reinen Baufortschritt datenschutzkonform und visuell vollständig. Tauglich für Baudokumentation, Marketing-Zeitraffer und öffentliche Kommunikation.
FAQ
Planst du ein Bauprojekt
und willst beim Datenschutz keine Kompromisse eingehen?
Setze von Anfang an auf die sicherste Anonymisierung am Markt. Gemeinsam definieren wir das passende Setup, damit deine Baudokumentation vom ersten Tag an rechtssicher und Datenschutzkonform läuft.
Begriffsdefinition
Im Schweizer Datenschutzrecht (DSG) ist zwischen Unkenntlichmachung und Entfernung zu unterscheiden. Unkenntlichmachung (z. B. Verpixelung) verdeckt Personendaten visuell, hebt aber deren Status als Personendaten gemäss Art. 5 lit. a DSG nicht auf. KI-basierte Gesichtserkennung verpixelt auf Erkennungs-Ebene und verarbeitet dabei selbst biometrische Daten (Art. 5 lit. c DSG). Entfernung auf Detektions-Ebene hingegen ersetzt bewegte Objekte irreversibel durch Hintergrundinformation mittels deterministischem Bildvergleich ohne biometrische Verarbeitung. Das bearbeitete Bild enthält keine Personendaten mehr und fällt aus dem Geltungsbereich des DSG (Art. 2 Abs. 1).