Nachträgliche biometrische Identifizierung zur Strafverfolgung: Risikoklasse und Pflichten im EU-KI-Recht

Nachträgliche Remote-RBI (Identifizierung aus gespeicherten Bildern/Videos, nicht live) ist nach Anhang III Nr. 1 hochriskant. Sie dient der Aufklärung bereits begangener Straftaten (z. B. Match gegen Watchlist nach Bankraub). Biometrische Hochrisiko-KI fällt unter Art. 43 Abs. 1 — notifizierte Stelle nur zwingend, wenn keine harmonisierten Standards angewendet werden. Volles Pflichtenbündel aus Art. 8–15 spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026), mit Aufzeichnung (Art. 12) und strenger Cybersecurity (Art. 15).

Scharfe Abgrenzung: Echtzeit-RBI im öffentlich zugänglichen Raum durch Strafverfolgung ist verboten (Art. 5 Abs. 1 lit. h), außer in engen Ausnahmen. Nachträgliche RBI (aus gespeicherten Aufnahmen) ist erlaubt, aber hochriskant. Die Grenze ist der zeitliche Bezug (live vs. nachträglich) und der Kontext (Echtzeit-Öffentlicher-Raum vs. Aufklärung). In der Praxis muss klar dokumentiert sein, dass keine Echtzeit-Erfassung stattfindet — eine „fast-Echtzeit"-Auswertung kann in den Verbotsbereich rutschen.

Überlagert: Art. 9 DSGVO (biometrische Daten als besondere Kategorie — Verarbeitung nur unter engen Ausnahmen: erhebliches öffentliches Interesse, Geltendmachung von Rechtsansprüchen). Nationales Polizeirecht — in Deutschland BKA-Gesetz, Polizeirecht der Länder; das BVerfG hat Gesichtserkennung im öffentlichen Raum eng begrenzt (Volkszählungsurteil-Tradition). Einsatzbedingungen: konkreter Tatverdacht, Verhältnismäßigkeit, Dokumentation, Löschpflicht, richterliche Kontrolle bei tiefgreifenden Eingriffen. Die DSGVO-/Verfassungshürde ist in der Praxis oft höher als der AI Act.