Was sind Emotionserkennung und biometrische Fernidentifizierung?
Emotionserkennung stellt Emotionen oder Absichten natürlicher Personen anhand biometrischer Daten fest oder leitet sie daraus ab; biometrische Fernidentifizierung identifiziert natürliche Personen ohne aktive Einbeziehung und typischerweise aus der Ferne durch Abgleich biometrischer Daten mit einer Referenzdatenbank.
Rechtliche Definition: Maßgeblich sind Zweckbestimmung und Funktion des Systems. Bei Echtzeit-Fernidentifizierung erfolgen Erfassung, Abgleich und Identifizierung ohne erhebliche Verzögerung; jedes andere biometrische Fernidentifizierungssystem ist nachträglich.
Der Normwortlaut
„das Inverkehrbringen, die Inbetriebnahme für diesen spezifischen Zweck oder die Verwendung von KI-Systemen zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz und in Bildungseinrichtungen, es sei denn, die Verwendung des KI-Systems soll aus medizinischen Gründen oder Sicherheitsgründen eingeführt oder auf den Markt gebracht werden;“
Amtliche Fundstelle: Verordnung (EU) 2024/1689, Artikel 5 Absatz 1 Buchstabe f, konsolidierte Fassung vom 27. Juli 2026. Der Wortlaut verbietet die genannten Handlungen im Arbeits- und Bildungsbereich und enthält unmittelbar die medizinische oder sicherheitsbezogene Ausnahme.
Wann ist biometrische Echtzeit-Fernidentifizierung verboten?
Norminhalt: Artikel 5 Absatz 1 Buchstabe h verbietet ihre Verwendung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, außer wenn und insoweit sie für eines von drei abschließenden Zielen unbedingt erforderlich ist: erstens die gezielte Suche nach bestimmten Opfern von Entführung, Menschenhandel oder sexueller Ausbeutung von Menschen sowie die Suche nach vermissten Personen; zweitens das Abwenden einer konkreten, erheblichen und unmittelbaren Gefahr für das Leben oder die körperliche Unversehrtheit natürlicher Personen oder einer tatsächlichen und gegenwärtigen oder tatsächlichen und vorhersehbaren Gefahr eines Terroranschlags; drittens das Aufspüren oder Identifizieren einer Person, die verdächtigt wird, eine Straftat begangen zu haben, zum Zweck strafrechtlicher Ermittlungen, der Strafverfolgung oder der Vollstreckung einer strafrechtlichen Sanktion wegen einer in Anhang II genannten Straftat, die im betreffenden Mitgliedstaat im Höchstmaß mit mindestens vier Jahren Freiheitsstrafe oder einer freiheitsentziehenden Maßregel der Sicherung bedroht ist.
Auslegung der Bedingungen: Die Ausnahme erlaubt nur die Bestätigung der Identität der speziell betroffenen Person. Der Einsatz muss erforderlich, verhältnismäßig sowie zeitlich, geografisch und personell auf das unbedingt erforderliche Maß beschränkt sein. Grundrechte-Folgenabschätzung und Registrierung müssen grundsätzlich vor der Verwendung vorliegen; in einem hinreichend begründeten dringenden Fall darf allein die Registrierung ohne ungebührliche Verzögerung nach Beginn nachgeholt werden. Grundsätzlich ist außerdem eine vorherige bindende Genehmigung erforderlich. Die Genehmigungsstelle darf sie nur erteilen, wenn sie aufgrund objektiver Nachweise oder eindeutiger Hinweise feststellt, dass der Einsatz erforderlich und verhältnismäßig ist. Außerdem bedarf es einer nationalen Ermächtigungsgrundlage innerhalb der unionsrechtlichen Grenzen; Mitgliedstaaten dürfen strengere Regeln vorsehen.
Für wen und in welchem räumlichen Bereich gelten diese Regeln?
Artikel 2 Absatz 1 erfasst unter anderem Anbieter, Betreiber, Einführer, Händler, Produkthersteller und Bevollmächtigte mit dem dort bestimmten Unionsbezug. Auch Drittlandsanbieter und -betreiber können erfasst sein, wenn die Ausgabe des Systems in der Union verwendet wird. Die Verordnung gilt nur in Bereichen, die dem Unionsrecht unterliegen; insbesondere sind Systeme ausgenommen, soweit sie ausschließlich militärischen, verteidigungsbezogenen oder nationalen Sicherheitszwecken dienen.
Wann gelten die Systeme als Hochrisiko-KI?
Soweit der Einsatz nach Unions- oder nationalem Recht zulässig ist, führt Anhang III Nummer 1 biometrische Fernidentifizierung und bestimmungsgemäße Emotionserkennung grundsätzlich als Hochrisiko-KI auf. Nach Artikel 6 Absatz 3 kann ein Anhang-III-System ausnahmsweise nicht hochriskant sein, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt und eine der dort abschließend geregelten Bedingungen erfüllt. Nimmt es Profiling natürlicher Personen vor, gilt es stets als hochriskant.
Wie unterscheiden sich Fernidentifizierung und biometrische Verifizierung?
Technische Einordnung: Fernidentifizierung sucht eine Identität durch Abgleich biometrischer Daten mit einer Referenzdatenbank, ohne aktive Einbeziehung der Person und typischerweise aus der Ferne. Eine Eins-zu-eins-Verifizierung bestätigt dagegen lediglich, ob eine bestimmte Person diejenige ist, für die sie sich ausgibt. Diese reine Verifizierung fällt nicht unter Anhang III Nummer 1 Buchstabe a.
Welches Spezialregime gilt für nachträgliche Fernidentifizierung?
Das Echtzeit-Verbot des Artikels 5 Absatz 1 Buchstabe h erfasst nachträgliche Fernidentifizierung nicht. Sie kann dennoch hochriskant sein. Nutzt eine Strafverfolgungsbehörde sie zur gezielten Suche nach einer wegen einer Straftat verdächtigten oder verurteilten Person, verlangt Artikel 26 Absatz 10 grundsätzlich eine vorherige Genehmigung; wird sie nicht vorher eingeholt, ist sie unverzüglich und spätestens binnen 48 Stunden zu beantragen. Die Nutzung ist auf das für die Ermittlung einer bestimmten Straftat unbedingt erforderliche Maß zu beschränken.
Die erstmalige Identifizierung eines potenziellen Verdächtigen anhand objektiver und nachprüfbarer Tatsachen mit unmittelbarem Bezug zur Straftat ist von dieser Genehmigungsvorgabe ausgenommen. Bei Ablehnung sind die Nutzung sofort einzustellen und die damit verbundenen personenbezogenen Daten zu löschen.
Welche Fristen und Schwellenwerte gelten?
Kapitel II mit Artikel 5 gilt seit dem 2. Februar 2025; die KI-Verordnung gilt grundsätzlich seit dem 2. August 2026. In einem hinreichend begründeten dringenden Echtzeitfall darf die Verwendung vor der Genehmigung beginnen, doch muss der Antrag unverzüglich und spätestens binnen 24 Stunden folgen. Bei Ablehnung sind Verwendung, Daten, Ergebnisse und Ausgaben unverzüglich einzustellen beziehungsweise zu verwerfen und zu löschen.
Die Ausnahme zur Verfolgung einer Anhang-II-Straftat greift nur, wenn diese nach nationalem Recht im Höchstmaß mit mindestens vier Jahren Freiheitsstrafe oder einer freiheitsentziehenden Maßregel der Sicherung bedroht ist. Die 24-Stunden-, 48-Stunden- und Vierjahresvorgaben gelten jeweils nur in den beschriebenen Konstellationen.
Häufige Fehlannahmen
- „Jede Gesichtserkennung ist Fernidentifizierung.“ Nein. Eine reine Eins-zu-eins-Verifizierung einer behaupteten Identität ist abzugrenzen.
- „Emotionserkennung ist überall verboten.“ Nein. Artikel 5 Absatz 1 Buchstabe f betrifft den Arbeits- und Bildungsbereich und enthält eine medizinische oder sicherheitsbezogene Ausnahme; andere Anforderungen können trotzdem gelten.
- „Das Echtzeit-Verbot erfasst auch jede nachträgliche Suche.“ Nein. Für nachträgliche Fernidentifizierung gelten andere Regeln, darunter in bestimmten Strafverfolgungsfällen Artikel 26 Absatz 10.
- „Ein Ausnahmeziel genügt für den Echtzeiteinsatz.“ Nein. Zusätzlich gelten Identitätsbestätigung, unbedingte Erforderlichkeit, Verhältnismäßigkeit, Beschränkungen, Folgenabschätzung, Registrierung, Genehmigung und nationales Ermächtigungsrecht.
- „Die medizinische oder sicherheitsbezogene Ausnahme macht das System automatisch zulässig.“ Nein. Sie beseitigt nur dieses konkrete Verbot, nicht sonstige anwendbare Anforderungen.
Was die Geschäftsleitung tun sollte
Praxisempfehlung:
- Systeme, Zweckbestimmungen, Funktionen, Einsatzorte und die eigene Rolle als Anbieter oder Betreiber vollständig inventarisieren.
- Vor Beschaffung und Freigabe prüfen, ob ein Verbot greift oder eine eng begrenzte Ausnahme samt Nachweisen vorliegt.
- Zulässige Hochrisiko-Systeme in Freigabe-, Risiko-, Aufsichts- und Compliance-Prozesse aufnehmen; Betreiber müssen insbesondere die anleitungsgemäße Nutzung organisatorisch absichern und die menschliche Aufsicht natürlichen Personen zuweisen, die über die erforderliche Kompetenz, Schulung und Befugnis verfügen, sowie diesen Personen die erforderliche Unterstützung gewähren.
- Genehmigungen, Folgenabschätzungen, Registrierungen, zeitliche und geografische Grenzen sowie Löschentscheidungen nachvollziehbar dokumentieren.
- Bei Emotionserkennung Artikel 50 Absatz 3 umsetzen: Betreiber müssen betroffene Personen über den Betrieb informieren und Datenschutzrecht beachten. Die Pflicht nennt außerdem biometrische Kategorisierung, nicht jedoch Fernidentifizierung als solche; ausgenommen sind Systeme zur biometrischen Kategorisierung oder Emotionserkennung, die gesetzlich zur Aufdeckung, Verhütung oder Ermittlung von Straftaten zugelassen sind, sofern sie im Einklang mit dem Unionsrecht und mit geeigneten Schutzvorkehrungen für die Rechte und Freiheiten Dritter eingesetzt werden.
Für die Geschäftsleitung
Entscheidend sind nicht Etiketten wie „Gesichtsanalyse“, sondern Zweck, Funktion, Ort und Einsatzkontext. Die Leitung sollte verbotene Einsätze stoppen, Ausnahmen nur mit vollständig belegten Voraussetzungen freigeben und zulässige Hochrisiko-Systeme kontrolliert betreiben. Der Nachweis sollte Klassifizierung, Rechtsgrundlage, Genehmigungen, Folgenabschätzung, Registrierung, Aufsicht, Information Betroffener und erforderliche Löschungen abdecken.
Quellen
- Verordnung (EU) 2024/1689, amtlicher EUR-Lex-Text, konsolidierte Fassung vom 27. Juli 2026: insbesondere Artikel 2, Artikel 3 Nummern 35, 36, 39 und 41 bis 44, Artikel 5 Absätze 1 bis 5, Artikel 6 Absätze 2 und 3, Artikel 26 Absätze 1, 2 und 10, Artikel 50 Absatz 3, Artikel 113 sowie Anhänge II und III.
