Quellen-Tabelle

Schrems: "Die unkontrollierte Verbreitung von Gesichtserkennungs-Tools wie PimEyes ist verheerend für die Privatsphäre: Stalking und Massenüberwachung von Millionen Menschen lassen sich binnen Sekunden durchführen. PimEyes hat Milliarden biometrischer Datenpunkte unschuldiger Menschen ohne deren Wissen gesammelt und macht diese Daten für jeden verfügbar." Die Hamburger Behörde selbst stuft die Praktiken als rechtswidrig ein, sieht sich aber laut noyb nicht in der Lage, wirksam durchzugreifen.

Bemerkenswerter Fall: Selbst die zuständige Aufsichtsbehörde hält PimEyes für rechtswidrig — trotzdem passiert seit Jahren nichts. Das ist kein Fall von unklarer Rechtslage, sondern von Durchsetzungsversagen bei eindeutig als illegal eingestufter Praxis. Wichtig für Blackstones Argumentation: Manchmal ist nicht das Gesetz das Problem, sondern die fehlende Durchsetzung — eine wichtige Nuance gegenüber Dossiers, die neue Gesetze kritisieren.

Laut noyb hat die Aufsichtsbehörde das Unternehmen zwar per Brief kontaktiert, weigert sich aber, weitere Maßnahmen zu ergreifen, weil der Firmensitz offenbar in Dubai liegt — obwohl sie die Praktiken von PimEyes selbst für illegal hält.

Konkreter Grund für die Untätigkeit: Die Behörde begründet ihre Passivität mit dem Auslandssitz des Unternehmens. Wichtig für Blackstones Präzision: Der CCC (Batch 78-Kontext) stellt dazu klar, dass die DSGVO nach dem Marktortprinzip trotzdem anwendbar wäre — der Sitz in Dubai wäre demnach keine wirkliche rechtliche Ausrede, sondern eher eine Bequemlichkeits-Begründung.

Ob PimEyes oder andere Anbieter in der EU, auf den Seychellen oder sonstwo niedergelassen sind, spielt keine Rolle — die DSGVO ist nach dem Marktortprinzip anwendbar. An den aktuellen Plänen der Bundesregierung zur biometrischen Massenüberwachung wird sichtbar, dass jahrelange behördliche Inaktivität gegenüber offensichtlich rechtswidrigen Anbietern nicht nur deren Weiterexistenz ermöglicht, sondern solche Praktiken so weit normalisiert, dass sie nun quasi Vorbild für ein grundrechtsfeindliches Gesetz werden sollen.

Sehr wichtige Verbindung zwischen D4 und D5: Der CCC argumentiert, dass die jahrelange Duldung von PimEyes durch die Behörden die gesellschaftliche Normalisierung biometrischer Gesichtserkennung vorangetrieben hat — und damit indirekt den Weg für die in D4 dokumentierte staatliche Gesichtserkennung (Frankfurt, Bundespolizeigesetz-Reform) bereitet haben könnte. Diese These ist eine Einordnung, keine bewiesene Kausalität — sollte im Blackstone-Artikel entsprechend als Interpretation gekennzeichnet werden, aber als plausibler thematischer Zusammenhang zwischen den beiden Dossiers erwähnt werden.

Bereits im Dezember 2022 eröffnete der Landesbeauftragte für Datenschutz Baden-Württemberg ein Bußgeldverfahren gegen PimEyes — parallel gab es bereits seit Mai 2021 Prüfverfahren in Hamburg. Über vier Jahre später (Stand dieser Recherche, 2026) ist noch immer keine wirksame Maßnahme umgesetzt.

Sehr wichtiger Zeitfakt: Es geht hier nicht um ein neues Problem — bereits 2021/2022 begannen zwei verschiedene deutsche Landesbehörden Verfahren gegen PimEyes. Über vier Jahre später läuft das Unternehmen weiterhin ungehindert. Das ist ein außergewöhnlich langer Zeitraum behördlicher Untätigkeit trotz erkannter Rechtswidrigkeit — ein sehr konkretes Beispiel für strukturelles Durchsetzungsversagen im deutschen/europäischen Datenschutzrecht.

Der EDPB-Jahresbericht 2025 verzeichnete insgesamt 1.145.760.374 Euro an DSGVO-Bußgeldern durch nationale Datenschutzbehörden europaweit in nur einem Jahr; Deutschlands kombinierte Behördenmaßnahmen ergaben 499 Bußgelder mit einer Gesamtsumme von 48.117.083 Euro.

Wichtiger Kontext zur Einordnung: DSGVO-Durchsetzung findet grundsätzlich statt — über eine Milliarde Euro Bußgelder EU-weit in einem Jahr ist keine kleine Zahl. Das relativiert den PimEyes-Fall: Es ist nicht so, dass Datenschutzbehörden generell untätig wären, sondern dass ausgerechnet bei diesem konkreten, besonders eingriffsintensiven Fall eine Lücke besteht — eine wichtige Differenzierung für einen fairen Blackstone-Artikel.

Bereits unter der Ampelregierung wurde das Vorhaben, biometrische Daten mit Internetdaten abzugleichen, aus der Zivilgesellschaft kritisiert — Innenminister Dobrindt und Justizministerin Hubig legen nun ein entsprechendes Sicherheitspaket vor.

Sehr wichtige Einordnung für Blackstones Präzision: Der Titel "PimEyes für Behörden" ist eine journalistische Zuspitzung, aber inhaltlich treffend — der Vorschlag würde Sicherheitsbehörden genau die Fähigkeit geben, die bei PimEyes (D5) als privatwirtschaftliche Praxis kritisiert wird. Wichtig: Das Grundvorhaben reicht bis in die Vorgängerregierung zurück — es ist keine reine "neue Regierung, neue Überwachung"-Geschichte, sondern eine Kontinuität über Koalitionswechsel hinweg.

Das Gesetzespaket soll BKA und Bundespolizei erlauben, Personen anhand biometrischer Daten in "öffentlich zugänglichen Daten aus dem Internet" zu suchen — nicht nur Verdächtige, sondern auch "Kontaktpersonen, Opfer und Zeugen". Auch das BAMF soll Fotos von Asylsuchenden mit Gesichter-Suchmaschinen im Internet abgleichen. dju-Co-Vorsitzender Hansen warnt zudem um das Redaktionsgeheimnis der Medien als Voraussetzung für demokratische Kontrolle.

Sehr wichtiger Fund, direkt vergleichbar mit der D3-Kritik (Palantir-Verfassungsbeschwerde): Auch hier sollen nicht nur Verdächtige, sondern ausdrücklich auch Opfer und Zeugen erfasst werden können — dasselbe Muster wie beim GFF-Vorwurf gegen Palantir in Bayern. Neuer, noch nicht dokumentierter Aspekt: Eine besondere Betroffenengruppe sind Asylsuchende, deren Fotos vom BAMF mit Internet-Gesichtssuchmaschinen abgeglichen werden sollen — eine Bevölkerungsgruppe mit typischerweise eingeschränkteren Möglichkeiten, sich rechtlich zu wehren.

Das Sicherheitspaket 2.0 wurde Ende April 2026 vom Bundeskabinett beschlossen und bündelt drei Gesetzentwürfe: automatisierte Datenanalyse, biometrischer Internetabgleich, und "Testen und Trainieren" von KI-Systemen — dafür werden BKA-Gesetz und Bundespolizeigesetz angepasst. Besonders brisant: präventive Quellen-TKÜ (Staatstrojaner) sowie biometrische Videoüberwachung, offiziell unter Ausschluss von Online-Durchsuchungen — was der Artikel als "reine Farce" bezeichnet.

Wichtigster struktureller Fund dieses Batches: Das Sicherheitspaket 2.0 ist der Dachbegriff, unter dem sich mehrere bereits einzeln dokumentierte Blackstone-Themen bündeln — A8 (Staatstrojaner/Quellen-TKÜ), D3 (automatisierte Datenanalyse à la Palantir), D4 (biometrische Videoüberwachung) und D5 (biometrischer Internetabgleich à la PimEyes) sind hier alle Teil EINES zusammenhängenden Gesetzespakets, nicht vier unabhängige Entwicklungen. Wichtig: Die reißerische "reine Farce"-Bewertung zur Ausnahme für Online-Durchsuchungen ist eine Meinung der Quelle und sollte nicht unreflektiert übernommen werden — der Fakt selbst (Ausschluss von Online-Durchsuchungen im Gesetzestext) ist aber verwendbar.

Die im Juli 2026 verabschiedete Bundespolizeigesetz-Novelle erlaubt KI-basierte Videotechnik zur Personensuche, biometrische Erkennungssysteme sowie Quellen-Telekommunikationsüberwachung für die Bundespolizei — ergänzt um mobile Sensoreinheiten und erweiterte Meldeauflagen. Die Reform folgt zeitlich auf sicherheitspolitische Ankündigungen beim NATO-Gipfel in Ankara, wo Bundeskanzler Merz am 9. Juli die Beschaffung von US-Tomahawk-Marschflugkörpern verkündete.

Wichtige Verbindung: Die in D4 bereits dokumentierte Bundespolizeigesetz-Reform (Batch 71) enthält laut dieser Quelle AUCH Quellen-TKÜ-Befugnisse für die Bundespolizei — bisher war A8 (Staatstrojaner) nur auf Landesebene/allgemeine Strafverfolgung bezogen dokumentiert. Das zeigt: Auch der Staatstrojaner-Bereich wird auf eine neue Bundesbehörde ausgeweitet. Der NATO-Kontext (Aufrüstung) verdeutlicht zudem, dass diese innenpolitischen Maßnahmen in eine breitere sicherheitspolitische Zeitenwende eingebettet sind.

Das Budget des Bundesinnenministeriums soll 2026 auf rund 15,4 Milliarden Euro steigen — über 1 Milliarde Euro mehr als im Vorjahr, mit weiteren rund 2,6 Milliarden Euro jährlich in den Folgejahren. Für Innere Sicherheit sind rund 7,6 Milliarden Euro vorgesehen (plus 778 Mio. Euro), die Bundespolizei erhält 113 Millionen Euro zusätzlich; fast 1.700 neue Stellen sind geplant.

Wichtige finanzielle Größenordnung für A9: Diese Zahlen zeigen, dass die in A8/D3/D4/D5/A9 dokumentierten Befugnis-Erweiterungen mit einer sehr realen, milliardenschweren Haushaltsausweitung einhergehen — nicht nur rechtliche, sondern auch massive finanzielle Verstärkung der Sicherheitsbehörden. Für Blackstones Artikel wichtig als Kontext: Diese Gesetze werden nicht im Vakuum beschlossen, sondern parallel zu einer der größten Sicherheitsbehörden-Haushaltssteigerungen der letzten Jahre.

127 zivilgesellschaftliche Organisationen, Gewerkschaften und Vertreter*innen des öffentlichen Interesses warnen: "Was als 'technische Vereinfachung' der EU-Digitalrechte dargestellt wird, ist in Wahrheit ein Versuch, Europas stärkste Schutzregeln gegen digitale Bedrohungen schrittweise und verdeckt abzubauen." Genannter Vorwurf: Dies geschehe "unter dem Radar, unter Verwendung von überstürzten und undurchsichtigen Verfahren, die darauf abzielen, eine demokratische Kontrolle zu umgehen."

Das ist der Original-Wortlaut des zentralen Protestbriefs, den Batch 58 nur über eine Sekundärquelle referenziert hatte — jetzt direkt verfügbar. Wichtig: Die Anzahl der Unterzeichner wuchs zwischen den verschiedenen Berichterstattungszeitpunkten (127 → später über 130) — normal bei einer offenen Unterschriftenliste, sollte im Artikel als "über 125" oder mit Datum angegeben werden, nicht als feste Zahl.

Die im Vorfeld geäußerten Befürchtungen haben sich laut ersten Analysen nach der offiziellen Vorstellung des Omnibus weitgehend bewahrheitet — die im Vorfeld befürchtete "Wunschliste" der großen Tech-Konzerne wurde demnach in wesentlichen Teilen tatsächlich übernommen.

Wichtiger Nachtrag zur zeitlichen Entwicklung: Die im November 2025 geäußerten Warnungen (127-Organisationen-Brief) waren zunächst Reaktionen auf einen geleakten Entwurf — dieser Artikel bestätigt aus Sicht der Kritiker, dass die finale, offizielle Fassung (19.11.2025 vorgestellt) die Befürchtungen weitgehend bestätigt statt entkräftet hat. Wichtig: Auch das ist eine Einschätzung von netzpolitik.org, keine neutrale Feststellung — sollte entsprechend attribuiert werden.

Deutsche Industrieverbände wie Bitkom, BDI und ZVEI begrüßen die Bemühungen um Bürokratieabbau und fordern teilweise noch weitergehende Erleichterungen. Die vorgeschlagenen Änderungen sollen zudem das Ende der Cookie-Banner einläuten, indem Einwilligungen künftig über Browser oder Betriebssysteme standardisiert verwaltet werden könnten.

Wichtiger, bisher nicht dokumentierter Aspekt: Der Digital Omnibus enthält offenbar auch einen Vorschlag, das in F10 (Batch 26) bereits dokumentierte "1.020 Cookie-Klicks pro Jahr"-Problem strukturell zu lösen — durch zentrale Einwilligungsverwaltung auf Browser-/Betriebssystem-Ebene statt Einzelbanner pro Website. Das wäre eine der wenigen Digital-Omnibus-Änderungen, die Blackstones eigenen Kritikpunkten (Cookie-Banner-Übermaß) tatsächlich entgegenkäme — wichtig für eine ausgewogene Darstellung: Nicht alles am Digital Omnibus ist aus Privacy-Sicht schlecht. Zusätzlich bestätigt hier erneut die bereits in Batch 22-23 dokumentierte Bitkom-Position (Regulierung als Innovationsbremse).

Auch wenn ein paar Regeln weniger unter die Räder kommen als ursprünglich befürchtet, ist der digitale Omnibus laut dieser Einschätzung tatsächlich auf Crash-Kurs mit digitalen Grundrechten — allerdings weniger drastisch als der ursprünglich geleakte Entwurf befürchten ließ.

Wichtige Nuance: Die finale Fassung war offenbar etwas weniger einschneidend als der ursprünglich geleakte Entwurf — ein Hinweis darauf, dass der öffentliche Protest (127-Organisationen-Brief, Parlaments-Widerstand) zumindest teilweise Wirkung gezeigt haben könnte, auch wenn die Grundrichtung nach dieser Einschätzung bestehen bleibt. Diese Differenzierung (schlimmer befürchtet als tatsächlich gekommen, aber immer noch problematisch) ist wichtig für Blackstones Präzisionsanspruch.

US-Präsident Donald Trump versucht seit Monaten, die EU-Regeln zu "knacken" — ein geopolitischer Kontext, den auch Max Schrems in seiner Kritik am Digital Omnibus anspricht.

Wichtiger geopolitischer Zusatzkontext: Die Deregulierungsdebatte findet nicht im luftleeren Raum statt, sondern auch vor dem Hintergrund transatlantischen politischen Drucks (USA) auf die EU-Digitalregulierung — ein Aspekt, der die Debatte über reine Innen-EU-Politik hinaus einordnet und für ein vertieftes Verständnis der Hintergründe relevant ist.

Bundeskanzler Friedrich Merz forderte am politischen Aschermittwoch der CDU: "Ich möchte wissen, wer sich da zu Wort meldet." Der Artikel selbst ordnet dies polemisch als "Ich verkrafte keine Kritik aus dem Internet" ein — betont aber auch, dass Opferschutz und Bekämpfung von Hass legitime Ziele seien.

Wichtiger Ausgangspunkt für A10: Die aktuelle Debatte geht direkt auf eine konkrete Aussage des amtierenden Bundeskanzlers zurück — kein abstraktes Verwaltungsvorhaben, sondern eine öffentliche politische Forderung. Wichtig für Blackstones Neutralität: Die süffisante "Ich verkrafte keine Kritik"-Interpretation ist eine Zuspitzung der Autorin, nicht Merz' eigene Aussage — im Artikel sollte das originale Zitat von der journalistischen Interpretation getrennt werden.

Facebook verlangte früher von Nutzern die Verwendung echter Namen; deutsche Datenschützer argumentierten, dies verstoße gegen nationales Datenschutzrecht, da Nutzer ein Recht auf Anonymität hätten. Das Oberverwaltungsgericht Hamburg entschied 2018, dass die Klarnamenpflicht von Facebook unzulässig ist.

Wichtige rechtliche Vorgeschichte: Es gibt bereits ein rechtskräftiges deutsches Gerichtsurteil, das eine private Klarnamenpflicht (durch Facebook) für unzulässig erklärt hat — das Recht auf Anonymität ist damit nicht nur eine politische Position, sondern bereits gerichtlich bestätigtes Recht. Eine heutige gesetzliche Klarnamenpflicht müsste sich also gegen diese bestehende Rechtsprechung durchsetzen, nicht auf einer rechtlichen Leerstelle aufbauen.

Eine Klarnamenpflicht ist bislang vor allem als Unterdrückungsinstrument autoritärer Länder wie China bekannt. Südkorea führte ein solches System 2007 ein und schaffte es bereits 2012 wieder ab — nach nur fünf Jahren.

Wichtiger internationaler Vergleichsfall, sehr konkret und überprüfbar: Südkorea ist ein seltenes Beispiel eines demokratischen Landes, das eine Klarnamenpflicht tatsächlich einführte UND nach wenigen Jahren wieder abschaffte — ideal für Blackstones Argumentation, da es ein "real getestetes, dann verworfenes" Beispiel liefert, nicht nur Theorie. Für ein vollständiges Dossier sollte in einem künftigen Batch der genaue Abschaffungsgrund (vermutlich Wirksamkeits- oder Verfassungsprobleme) noch recherchiert werden.

Anna Lührmann (Grüne) kritisierte im Bundestag: Eine Altersverifikation würde die Anonymität im Netz faktisch abschaffen und zu einer massiven Anhäufung privater Daten bei Plattformbetreibern führen. Bemerkenswert: Auch ein AfD-Vertreter (Rupp) betonte, mit seiner Partei werde es "keine Klarnamenpflicht" geben und bezeichnete ein Social-Media-Verbot für unter 14-Jährige als "unsäglich" — schlug stattdessen einen technischen Altersverifikations-Schlüssel für Eltern vor.

Bemerkenswerter Fund für Blackstones Neutralitätsprinzip: Bei diesem Thema gibt es eine parteiübergreifende Ablehnung, die von Grünen bis AfD reicht — wenn auch aus unterschiedlichen Motiven (die im Bundestagsprotokoll dokumentierte Vermutung, es gehe darum, den "Erfolg alternativer Medien" zu schwächen, ist eine Einschätzung des AfD-Vertreters selbst, keine neutrale Feststellung, und sollte entsprechend gekennzeichnet werden). Wichtig für Blackstone: Anders als bei vielen anderen Dossiers ist Anonymität im Netz hier kein Lagerthema zwischen "progressiv" und "konservativ", sondern wird von sehr unterschiedlichen politischen Seiten verteidigt.

Das SPD-Impulspapier von Februar 2026 sieht ein vollständiges Social-Media-Verbot für unter 14-Jährige vor und eine eingeschränkte Jugendversion für 14- bis 16-Jährige. Vorbild ist Australien: Seit dem 10. Dezember 2025 dürfen unter 16-Jährige dort keine eigenen Konten mehr bei großen Plattformen führen — betroffen sind rund 4,7 Millionen junge Menschen, erste Erfahrungen zeigen aber bereits verbreitete Umgehung über VPN.

Wichtige Verbindung zu B2 (Altersverifikation) und dem Masterplan (VPN-Kapitel): Die Klarnamen-Debatte ist eng mit der Altersverifikations-Debatte (B2) verwoben — beide zielen strukturell auf dieselbe Frage: Wie anonym darf das Internet bleiben? Sehr interessant für Blackstones eigene VPN-Empfehlungen: Das australische Vorbild zeigt in der Praxis bereits, dass technisch versierte Jugendliche solche Verbote über VPN umgehen — ein Beleg dafür, dass Verbote allein oft nicht die erhoffte Wirkung erzielen, sondern eher zu Ausweichverhalten führen (Muster ähnlich der Monero-Delisting-Erfahrung aus C4/Batch 51).

Das Verfassungsgericht entschied einstimmig (8 von 8 Richtern): "Um die Meinungsfreiheit vorsorglich einzuschränken, muss ein klarer Effekt für das Gemeinwohl vorliegen. Nach Einführung des Systems ging die Menge illegaler Postings nicht signifikant zurück — stattdessen wichen Nutzer auf ausländische Websites aus, was zu einer Umkehr-Diskriminierung zwischen inländischen und ausländischen Diensteanbietern führte."

Das ist die exakte Original-Urteilsbegründung, verifiziert an der Primärquelle: Das höchste südkoreanische Gericht stellte fest, dass die Klarnamenpflicht ihr erklärtes Ziel (weniger illegale/schädliche Postings) NICHT nachweisbar erreichte — stattdessen wichen Nutzer einfach auf ausländische Plattformen aus, was einheimische Anbieter gegenüber ausländischen benachteiligte. Das ist strukturell identisch mit dem bereits in F4 dokumentierten Muster (MPI-Studie, BKA-Positionspapier): Eine einschneidende Überwachungsmaßnahme ohne nachweisbare Wirksamkeit wurde gerichtlich gekippt.

Ursprünglich 2004 als Teil einer Wahlrechtsreform eingeführt (Sorge vor unregulierter Online-Meinung bei Wahlen), wurde das System 2007 auf alle Websites mit über 100.000 täglichen Besuchern ausgeweitet. Das Gericht stellte 2012 fest: Die vorgelegten Beweise reichten nicht aus, um einen Rückgang von Hasskommentaren, Verleumdung und Beleidigungen im Internet als Folge des Systems zu belegen.

Wichtige historische Präzisierung: Das System wuchs über acht Jahre (2004→2007→2012-Ende) von einem engen Wahlrecht-Kontext zu einer allgemeinen Internetregel — ein Function-Creep-Muster in umgekehrter Zeitrichtung zu vielen anderen Blackstone-Dossiers (hier: Ausweitung, dann gerichtliche Rücknahme, nicht dauerhafte Verfestigung). Das Kern-Urteilsargument bleibt: kein belegter Wirksamkeitsnachweis.

Als Folge der Klarnamenpflicht wurden südkoreanische Websites zu bevorzugten Zielen für Hacking-Angriffe aus dem In- und Ausland. Im prominentesten Fall wurden bei SK Communications' Sozialnetzwerk Cyworld personenbezogene Daten von über 35 Millionen Koreanern geleakt — mehr als die Hälfte der gesamten Landesbevölkerung.

Sehr starker, konkreter Honeypot-Beleg — passt exakt zu Blackstones bereits etabliertem F3-Argument: Die Klarnamenpflicht zwang Plattformen, echte Identitätsdaten aller Nutzer zentral zu speichern — genau diese Datenbank wurde gehackt und betraf über die Hälfte der südkoreanischen Bevölkerung. Das ist einer der eindrücklichsten internationalen Belege im gesamten Projekt dafür, dass zentrale Identitätsspeicher selbst zum Sicherheitsrisiko werden — nicht nur eine theoretische Sorge, sondern ein Fall mit realen 35 Millionen Betroffenen.

Im Jahr 2025 wurden rund 35,11 Millionen Ersuchen über das Automatisierte Auskunftsverfahren bei der Bundesnetzagentur beantwortet — ein neues Allzeithoch. Staatliche Stellen wie Polizei, Geheimdienste und Zoll erhielten damit im Schnitt fast jede Sekunde einen Datensatz mit Name, Anschrift und weiteren Bestandsdaten. Diese nummernbasierten Ersuchen haben sich innerhalb von fünf Jahren verdoppelt.

Eine der einprägsamsten Zahlen im gesamten Projekt: "Öfter als jede Sekunde" ist ein extrem griffiges Bild für Community-Content — und die Verdopplung innerhalb von nur fünf Jahren zeigt einen sehr steilen, ungebremsten Wachstumstrend, kein Plateau. Wichtig für die technische Präzision: Es handelt sich um Bestandsdaten (Name, Adresse zu einer Nummer), nicht um Kommunikationsinhalte — trotzdem eine gewaltige Overwachungs-Infrastruktur allein für diese vergleichsweise "kleine" Datenkategorie.

Das BKA nutzte sein Gesichtserkennungssystem 2025 mit insgesamt rund 343.856 Suchanfragen — mehr als doppelt so oft wie im Vorjahr. Landeskriminalämter allein generierten 2024 noch rund 121.000 Anfragen, 2025 aber über 313.500. Die Bundespolizei griff zusätzlich rund 30.000 Mal auf die zentrale Fotodatenbank zu — ein Anstieg von etwa 50%.

Sehr wichtiger, hochaktueller Fund mit direktem Bezug zu D4 (Gesichtserkennung): Während D4 bisher vor allem den Frankfurt-Einzelfall und die neue Bundespolizeigesetz-Reform dokumentiert, zeigt dieser Fund die bereits *bestehende* bundesweite Nutzung der zentralen BKA-Fotodatenbank — mit einer Verdopplung allein von 2024 auf 2025. Das ist ein noch nicht in D4 erfasster, aber sehr wichtiger quantitativer Beleg für die tatsächliche Ausbreitung von Gesichtserkennung in Deutschland, unabhängig von der geplanten Reform.