Fotos anonymisieren: Pixel, Metadaten und Kontext

Häufige Fragen.

Wann gilt jemand auf einem Foto als erkennbar?

Nicht erst dann, wenn das Gesicht scharf zu sehen ist. Zuordnen lässt sich eine Person auch über Haltung, Kleidung, ein Tattoo, das Trikot mit dem Namen auf dem Rücken — oder darüber, wer sonst noch neben ihr steht. Genau hier setzt in Deutschland das Recht am eigenen Bild (§ 22 KUG) an: Wer auf einem Bild zu erkennen ist, soll über dessen Verbreitung mitentscheiden. Praktisch heißt das, die Abdeckung an der Erkennbarkeit auszurichten und nicht am Gesicht allein.

Was verrät die Bilddatei selbst?

Mehr als das Bild. In den EXIF-Daten eines Handyfotos stehen regelmäßig der Aufnahmeort als GPS-Koordinate, Datum und Uhrzeit auf die Sekunde genau sowie das Gerätemodell. Zusammengenommen ergibt das ein Wann und ein Wo — auch dann, wenn auf dem Bild selbst niemand mehr zu erkennen ist. Beim Export fällt dieser Block weg, weil die Datei dabei neu geschrieben wird.

Und der Kontext — Ort, Bildunterschrift, Verein?

Der Teil, den kein Werkzeug übernimmt. Ein abgedecktes Gesicht hilft wenig, wenn darunter steht, wer da gefeiert hat, wenn das Vereinsheim im Hintergrund eindeutig ist oder wenn dasselbe Bild unbearbeitet längst in der Gruppe kursiert. Anonym ist ein Foto erst, wenn sich die Person auch aus dem Drumherum nicht mehr ergibt — gemessen wird am Ergebnis, nicht am Aufwand.

Gruppenfoto vom Vereinsfest oder aus der Kita — wie gehe ich vor?

Zuerst die Frage, wer mit dem Bild einverstanden ist: Bei Kindern sind das die Eltern, und in Vereinen und Kitas wird das meist einmal pauschal eingeholt statt für jedes Foto neu. Alles, was danach übrig bleibt, wird abgedeckt — fremde Kinder, Gäste, Passanten im Hintergrund. Auf Gruppenfotos wird jedes Gesicht einzeln erkannt, sodass sich die Auswahl gezielt zusammenstellen lässt.

Fotos aus dem Betrieb — was ist daran anders?

Dass selten die Person entscheidet, die auf den Auslöser gedrückt hat. Für Bilder, die auf die Firmenwebsite, in den Newsletter oder ins Intranet gehen, ist im Betrieb meist geregelt, wer vorher gefragt wird — häufig die Personalabteilung, in größeren Betrieben auch der Betriebsrat. Am Handgriff ändert das nichts: Wer nicht auf dem Bild auftauchen soll, wird abgedeckt, bevor das Bild veröffentlicht oder weitergegeben wird.

Was kann Blurify dabei nicht?

Drei Dinge, und es ist besser, sie vorher zu wissen. Es retuschiert nicht — ein Bereich wird abgedeckt, nicht durch neuen Bildinhalt ersetzt. Es arbeitet nur mit Standbildern, also JPEG, PNG, WebP und HEIC/HEIF, nicht mit Video. Und den Kontext beurteilt es nicht — dafür braucht es deinen zweiten Blick.

Und wo werden die Fotos verarbeitet?

Auf einem Server. Das Bild wird dafür verschlüsselt hochgeladen. Dort läuft die Erkennung: Gesichter über Amazon Rekognition, Kennzeichen, Bildschirme und Text über Google Cloud Vision, personenbezogene Angaben im gelesenen Text über Amazon Comprehend. Spätestens nach einer Stunde wird alles zusammen mit dem Export gelöscht. Kein Konto, keine E-Mail-Adresse, kein Tracking-Pixel. Auf dem Gerät allein passiert das also nicht — wer genau das braucht, sollte es vorher wissen.