Seit Beginn der Corona-Pandemie finden die Spiele im deutschen Profifußball größtenteils ohne Stadion-Publikum statt. Doch ewig wird dieser Zustand nicht anhalten. Die Vereine bereiten sich schon auf eine Rückkehr der Fans unter Pandemie-Bedingungen vor. Dabei geht es auch um die Frage: Wie könnten Ordner:innen potenziell infizierte Fans schon am Einlass ausmachen und isolieren.
Zum Ende der letzten Bundesliga-Saison testete Borussia Dortmund ein System der Firma g2k, das am Eingang die Körpertemperatur der Zuschauer:innen misst und erkennt, ob sie Masken tragen. Während eines Trainings und an einem Spieltag simulierten Statist:innen die Situation, um Daten für die Firma zu sammeln, wie Karsten Neugebauer, Mitgründer von g2k im Kicker erklärt.
Verarbeitung von Gesundheitsdaten
Borussia Dortmund wollte sich im Sommer nicht zum Einsatz der Software äußern. Auf erneute Nachfrage von netzpolitik.org im November heißt es aus der Kommunikationsabteilung: „Wir haben in der Tat einen Test durchgeführt und festgestellt, dass es sich bei dem von Ihnen genannten System um eine hervorragende Dienstleistung handelt, die für unsere Zwecke gegenwärtig aber nicht erforderlich ist.“ Alle weitergehenden Fragen, insbesondere zum Datenschutz, beantworten die Verantwortlichen nicht.
Dabei gibt es erhebliche Zweifel, ob die Vorgaben der Datenschutzgrundverordnung (DSGVO) hier eingehalten wurden. Auf Anfrage kündigte die nordrhein-westfälische Landesdatenschutzbehörde im September an, den Einsatz der Technologie zu prüfen. Dieser Vorgang dauert bis heute an, in einer allgemeinen Stellungnahme gibt Pressesprecher Daniel Strunk jedoch einen Einblick ist die Probleme, die eine solche Software aufwerfen könnte.
Insbesondere der Einsatz von Wärmekameras, die die Temperatur der Stadionbesucher messen und verarbeiten, bedarf einer genauen datenschutzrechtlichen Bewertung. Da die Zielsetzung der elektronischen Temperaturmessung darauf gerichtet ist, Personen zu identifizieren, die mit SARS-CoV-2 infiziert sind, handelt es sich um einer Verarbeitung von Gesundheitsdaten im Sinne des Art. 4 Nr. 15 DS-GVO.
Einwilligung durch Ticketkauf reicht nicht aus
Danach dürfen hochsensible, personenbezogene Daten, zu denen auch Gesundheitsdaten zählen, nur verarbeitet werden, wenn die Betroffenen ausdrücklich in die Verarbeitung eingewilligt haben. „Eine Messung der Körpertemperatur beim Betreten des Stadions durch eine große Anzahl von Menschen ist kaum geeignet, um eine wirksame Einwilligung abzugeben, die den oben genannten Anforderungen entspricht“, so der Pressesprecher der Behörde. Auch eine Einwilligung mit dem Ticketkauf ist für den Sprecher schwer denkbar, da sie auch für Dauerkarten und Sammelbestellungen gewährleistet sein müsse und es eine Möglichkeit zum Widerruf geben muss.
Eine andere Möglichkeit, Gesundheitsdaten erheben zu dürfen, wäre nach den Datenschutzregeln der EU die „Verfolgung eines berechtigten Interesses“. Das sieht die Datenschutzbehörde hier nicht, da eine erhöhte Körpertemperatur „nicht zwangsläufig als symptomatisch für eine SARS-CoV-2-Infektion angesehen werden“ kann.
Die Verantwortlichen können sich der Behörde zufolge auch nicht mit einer angeblichen Anonymisierung der Daten herausreden. Denn schon die Vermessung des Gesichts, um den optimalen Punkt für die Temperaturmessung zu finden, wäre eine automatisierte Verarbeitung personenbezogener Gesundheitsdaten: „Eine Verarbeitung personenbezogener Daten setzt nämlich nicht voraus, dass diese ‚zur eindeutigen Identifizierung einer natürlichen Person‘ erfolgt.“
Verknüpfung mit Datei „Gewalttäter Sport“?
Die vom BVB getesteten Funktionen werfen also datenschutzrechtliche Fragen auf. Eine kleine Anfrage der grünen Landtagsfraktion in Nordrhein-Westfalen deutet aber noch auf weitere Einsatzmöglichkeiten der Software hin, die auf Fußballfans zukommen könnten. Auf die Frage, ob der Einsatz automatisierter Einlasssysteme auch abseits der Corona-Maßnahmen denkbar ist, beispielsweise bei der Kontrolle personalisierter Tickets oder in Verknüpfung mit der vielfach kritisierten Datei „Gewalttäter Sport“, antwortete die Landesregierung:
Artikel auf der g2k-Facebookseite einsehbar) wird sogar schon davon geträumt, mit der Technik „vermummte Pyro-Chaoten“ zu identifizieren oder personalisierte Tickets zu kontrollieren.
Function Creep bei Pandemie-Maßnahmen
Angesichts dieser Überwachungsphantasien mutet die Aussage von g2k-Mitgründer Neugebauer im Kicker-Artikel seltsam an, dass es sich bei der Technologie nur um „Detection“ und nicht um „Recognition“ handele. Man bringe nicht das Gesicht mit den Daten einer eindeutig identifizierbaren Person zusammen, sondern suche nur den optimalen Punkt für die Temperaturmessung oder die Maskenkontrollen. Denkbar, dass er sich hier nur zu den in Dortmund getesteten Funktionen äußert und nicht zu allem, was die Technik sonst noch kann. Denn die Identifizierung einzelner Fans ist ohne besagte „Recognition“ nur schwer vorstellbar.
Josefine Paul, sportpolitische Sprecherin der grünen Landtagsfraktion in NRW warnt: „Wenn neue Überwachungstechnologien in Stadien über die Corona-Pandemie hinaus eingesetzt werden sollen, so muss sich der Umgang mit den erfassten Daten streng an die Vorgaben der DSGVO richten. Faktisch würde eine unausweichliche Massenüberwachung von intelligenter Technologie stattfinden. Deswegen braucht es eine breite und transparente Diskussion unter der Einbeziehung von Fanbeauftragten und Fanvertreterinnen und -vertretern. Jedoch stellt sich dennoch die Frage, welchen Zweck die Künstliche Intelligenz hier erfüllen würde. Es wäre bedauerlich, wenn ein Stadionbesuch seinen Charakter als Freizeithappening verliert und Fans sich dauerbeobachtet und anlasslos kriminalisiert fühlen.“
Dass die Befürchtung eines sogenannten Function Creeps, also die Ausweitung der eigentlichen Funktionen einer Technologie auf andere Bereiche, nicht völlig aus der Luft gegriffen ist, zeigt die Debatte um personalisierte Eintrittskarten, die während der Corona-Pandemie neuen Auftrieb bekommen hatte. Im Zuge der Kontaktverfolgung wurden sie zum Standard überall dort, wo im Sommer für kurze Zeit wieder Fans in den Stadien zugelassen waren. Das nahm der Präsident des sächsischen Fußballverbands Hermann Winkler damals zum Anlass, diese Personalisierung auch nach der Pandemie beibehalten zu wollen, um sie für die Verfolgung von „Pyro“ und „Gewaltexzessen“ zu nutzen. Fan-Verbände kritisierten damals diese Ankündigung, da sie Fans gesammelt als Sicherheitsproblem darstelle.
Auch der FC Köln und der FC Bayern testen Software
Nicht nur der BVB beschäftigt sich mit der Technik von g2k. Auch der 1. FC Köln versuchte, sein Hygienekonzept mit Künstlicher Intelligenz aufzuwerten. Doch auch hier fand die Lösung ihren Weg nicht in das endgültige Konzept. Aktuell sei auch nicht geplant, ein neues System zu testen oder zu implementieren, so ein Sprecher des Vereins.
Beim FC Bayern München ist die Software noch nicht aus dem Rennen. Der Verein sammelte erste Erfahrungen beim UEFA-Supercup-Spiel in Budapest gegen den FC Sevilla, das im September vor Zuschauer:innen ausgetragen wurde. Noch im November hoffte man beim FC Bayern der SportBild zufolge (einsehbar auf der g2k-Facebookseite) auf eine baldige Rückkehr der Fans in die Stadien.
Diese dürfte mit dem verschärften Lockdown nun erst mal vom Tisch sein. Dennoch ist man beim FC Bayern der Meinung, bereits ein „erstklassiges Hygiene-Konzept für die Allianz-Arena“ erarbeitet zu haben. Weiter heißt es: „Hierbei ist G2K ein weiterer Baustein, der uns dabei helfen kann, die Gesundheit unserer Stadionbesucher auf bestmögliche Art und Weise zu schützen.“ Weitere Infos, auch zur Datenschutzfrage, gab es auch hier auf Anfrage nicht.
Vertrauen gefährdet
Das bayerische Landesamt für Datenschutzaufsicht (LDA) äußert sich eher skeptisch zum Einsatz der Technologie. Für die angedachten Datenverarbeitungen sei eine Datenschutzfolgeabschätzung nötig: „Ob es gelingt, sowohl den Datenschutz als auch die berechtigten Interessen wie die Ermöglichung von Fußballspielen in Einklang zu bringen, etwa auf Grund einer datenschutzfreundlichen technischen Ausgestaltung, ist offen.“, sagt der LDA-Präsident Michael Will auf Anfrage von netzpolitik.org.
Ihm seien auch keine Praxisbeispiele bekannt, bei denen biometrische und gesundheitsbezogene Daten europarechtskonform miteinander kombiniert worden seien. Die Bedingungen der Pandemie-Bekämpfung würden allgemeine datenschutzrechtliche Anforderungen weder außer Kraft setzen noch relativieren.
Die Sehnsucht der Fußballfans und Vereine nach dem gemeinsamen Stadionerlebnis ist verständlicherweise groß. Neben dem finanziellen Aspekt für die Vereine spielt Fußball und Fankultur im Leben vieler Menschen eine große Rolle. Das rechtfertigt aber nicht alle Mittel.
Maßnahmen beizubehalten, die eigentlich zum Infektionsschutz in einer Pandemie gedacht sind, ist nicht nur den Fans gegenüber beleidigend, die mal wieder als Chaoten und Krawallmacher gebrandmarkt werden. Es schmälert auch das Vertrauen in Maßnahmen, die zur Pandemie-Bekämpfung eingeführt wurden, wenn man fürchten muss, dass damit Überwachung durch die Hintertür normalisiert werden könnte.
Ich kann es Borussia Dortmund nicht verübeln, hier sehr schmallippig zu antworten.
Dieses System ist eindeutig zum Wohl aller Stadionbesucher und im Rahmen eines umfangreichen Hygienekonzeptes begrüßenswert. Auch bei anderen Veranstaltungen wird die Körpertemperatur gemessen und eben nicht – wie hier kritisiert – verarbeitet. Im dem Text oben wird nicht deutlich, wo denn hier etwas „verarbeitet“ werden soll. Das Gerät zeigt scheinbar lediglich die gemessene Temperatur an.
So richtig nachvollziehen kann ich diesen Artikel also nicht. Ganz im Gegenteil ist es ein sehr gutes Beispiel davon, dass ein von hypothetischen Nutzungsszenarien ausgehender Datenschutz einer pragmatischen und für alle hilfreichen Lösung im Wege stehen kann.
Wo behindert netzpolitik.org denn irgendetwas? Manche Sachen gehören eben beleuchtet, dann gucken auch andere Leute außer Funktionären und Nutznießern drauf. Das ist die Idee mit der Presse. Ob Kritik angebracht ist… vielleicht.
Beleuchtet: ja!
Demokratie verstanden: vielleicht?
Also auch nur Leuchten?
Ich bin kein Fußballfan, daher wäre mir das Problem im Prinzip egal. Die Erfahrung zeigt allerdings, dass für den Einsatz solcher Technik bald andere Szenarien ins Spiel gebracht würden: Eintritt in Tierpark, Museum, Diskothek oder was noch alles.
„Auch bei anderen Veranstaltungen wird die Körpertemperatur gemessen und eben nicht – wie hier kritisiert – verarbeitet.“ – Woher wissen Sie das? Was bedeutet „gemessen“ und „verarbeitet“? Wer kontrolliert die entsprechende Technik?
Solange z.B. an einem Flughafen Personen mit kontaktlosem Thermometer stehen und die Temperatur der Einreisenden messen, stellt das kein Problem dar: Gerät zeigt zu hohe Temperatur an, Person entscheidet – „Du kommst hier nicht rein!“ ;-) Das beschriebene System soll aber automatisch arbeiten – mit einer Kamera, die ein Gesichtsbild erzeugt, um den optimalen Messpunkt für die Temperatur zu ermitteln. Damit gibt es a) biometrische Daten und b) medizinische Daten. In Verbindung mit einer personalisierten Eintrittskarte könnte der Stadionbesucher eindeutig identifiziert und ihm medizinische Daten zugeordnet werden!
„Im dem Text oben wird nicht deutlich, wo denn hier etwas „verarbeitet“ werden soll. Das Gerät zeigt scheinbar lediglich die gemessene Temperatur an.“ – Nein, es verarbeitet die o.g. Daten, denn der Einlass soll automatisiert erfolgen. Wäre dem nicht so, könnte man die Karten-Kontrolleure auch mit einem konventionellen (kontaktlosen) Thermometer ausstatten, das würde denselben Zweck erfüllen.
Meiner Ansicht nach soll Geld gespart werden (für Personal). Die Äußerung aus Sachsen zeigt zudem, wohin es gehen soll: Massenüberwachung der Fans mit der Begründung, paar Idioten herausfischen zu wollen.
Mit Verlaub, nur nicht erhobene Daten entsprechen dem Datenschutz. Deshalb ist es wichtig, das Erheben und Verarbeiten von personenbezogenen Daten auf das absolut notwendige Maß zu beschränken! Corona soll missbraucht werden, um fragwürdige Technik einführen zu können.
In meinen Augen ist der Profifußball sowieso zur Gelddruckmaschine verkommen. Warum finden überhaupt Spiele statt, während andere Branchen praktisch Berufsverbot haben? Ja, für die echten Fans und die begeisterten Fußballer ist es bitter, auf Spiele (mit Zuschauern) verzichten zu müssen. Wer fragt denn die Kunst- und Kulturschaffenden?
Ohne Spiele mit Zuschauern während einer Pandemie gibt es keinen Bedarf an solcher Technik, die durchaus zur Überwachung missbraucht werden könnte. Wer es als normal empfindet, nicht mal mehr „anonym“ ein Fußballspiel besuchen zu dürfen, wird auch in anderen Bereichen des Lebens eine Überwachung akzeptieren. Ich finde das erschreckend.
https://www.datenschutzkonferenz-online.de/media/dskb/20200910_beschluss_waeremebildkameras.pdf
Ich verstehe nicht so richtig, was der LfD da so lange prüfen muss, wenn er im September noch mitbeschlossen hat, dass Temperaturmessungen en masse nicht dem Stand der Wissenschaft entsprechen und daher datenschutzrechtlich nicht rechtfertigt werden können.