Schon seitdem bekannt wurde, dass das US-Unternehmen "Clearview" eine Datenbank mit Milliarden von Gesichtsfotos angelegt hat, die es heimlich aus frei zugänglichen Quellen im Web sammelt und Wirtschaft und Behörden zur Verfügung stellt, regt sich bei Datenschutzbehörden Widerstand gegen dieses Vorgehen. Nun klagen auch europäische Bürgerrechtler vor europäischen Datenschutzbehörden.
Anfang 2020 hatten erste Presseberichte über die Aktivitäten des Unternehmens Clearview für einiges Aufssehen und auch Empörung gesorgt: Das Startup hatte
- Milliarden von Gesichtsfotos aus öffentlich zugänglichen Quellen, insbesondere aus Sozialen Netzwerken wie Facebook, Instagram und ähnlichen Diensten gesammelt
- und die damit erstellte Datenbank zur Basis eines automatisierten Gesichtserkennungssystems gemacht.
- Die betroffenen Personen wurden über die Erfassung und Nutzung ihrer Daten dabei nicht informiert.
Clearview sammelt im großen Stil Nutzerporträts als Datenbank für Behörden und Unternehmen
Clearview AI stellte dieses System dann Behörden und Strafverfolgern in den USA aber auch Privatfirmen zur Verfügung, die darüber Personen identifizieren konnten. Weit über 2.000 Kunden konnte das Startup bislang verzeichnen, die Liste reicht von der
- amerikanischen Bundespolizei FBI
- und lokalen Polizeibehörden
- über Universitäten und Schulen
- bis zu Supermarktketten wie Walmart,
aber auch in einigen europäischen Ländern sollen Behörden die Dienste von Clearview AI zumindest getestet haben.
Beschwerden von Bürgerrechtlern gegen Clearview bei verschiedenen Datenschutzbehörden
Nachdem bereits in Nordamerika verschiedene Beschwerden gegen das Unternehmen laufen und etwa die kanadischen Datenschutzbehörden die Aktivitäten von Clearview als unzulässig eingestuft hatten oder in mehreren US-Bundesstaaten Beschwerden gegen diese Praxis eingereicht wurden, erhöht sich nun auch in Europa der Druck auf Clearview, denn schließlich sind auch europäische Bürger in der Datenbank erfasst.
Mehrere Bürgerrechtsorganisationen haben daher jetzt Beschwerden bei den nationalen Datenschutzbehörden von Staaten wie Frankreich, Italien, Griechenland, Österreich oder auch Großbritannien eingereicht. Zu den Beschwerdeführern gehören Einrichtungen wie Privacy International, Homo Digitalis oder auch der bekannte Verein noyb (none of your business).
Die Beschwerdeführer sehen in der Datensammlung schwerwiegende Verstöße gegen diverse Artikel der europäischen Datenschutzverordnung und weisen in ihren Stellungnahmen zudem auch darauf hin, dass die Verwendung dieser Datenbank durch staatliche Behörden nicht gesetzeskonform sei.
Klare Entscheidung zu Clearview gefordert
Mit ihren Aktionen wollen die Bürgerrechtler eine klare Stellungnahme der europäischen Datenschutzbehörden erreichen, mit der die Dienste von Clearview zumindest in der bisherigen Form als eindeutig illegal innerhalb der EU eingestuft werden. Die Praktiken von Clearview dürften in Europa keinen Platz haben, sie seien weder moralisch noch rechtlich zulässig und die Datenschutzbehörden müssten aktiv werden und Clearview und ähnliche Organisationen daran hindern, die persönlichen Daten von EU-Bürgern abzugreifen, fasste Alan Dahli, Datenschutzjurist bei noyb, die Forderungen zusammen. Die Regulierungsbehörden haben nach Einreichung der Beschwerden nun drei Monate Zeit, eine erste Antwort darauf zu geben.
Nicht die ersten Aktionen von Datenschutzbehörden
Schon vor den jetzt eingereichten Beschwerden hatten sich Datenschutzbehörden gegen Clearview in Stellung gebracht. In Kanada etwa hatten Behörden aus mehreren Provinzen und der Privacy Commissioner, was in etwa mit dem hiesigen Bundesdatenschutzbeauftragten vergleichbar ist, die Aktivitäten explizit als Massenüberwachung sowie als eine Beleidigung der Datenschutzrechte der Betroffenen erklärt und stufte sie als „völlig inakzeptabel“ ein. In einer Stellungnahme führten sie beispielsweise aus, dass selbst bei einer Zustimmung der Betroffenen das Unternehmen sein Geschäftsmodell nicht weiter fortführen dürfe, weil der Zweck der Datenverarbeitung unzulässig sei. Bereits das unterschiedslose Sammeln von Bildern auf öffentlichen Webseiten sei nicht zu vertreten.
Auch in Schweden war die dortige Datenschutzbehörde IMY im Februar 2021 wegen der Clearview-Datenbank aktiv geworden. Dort wurde eine Polizeibehörde zu einer Geldbuße verurteilt, weil nach Ansicht der Datenschützer die Verwendung der Datenbank durch die Polizei einen Rechtsverstoß gegen das schwedische Strafdatengesetz dargestellt habe.
Auch deutsche Datenschutzbehörden gehen gegen Clearview vor
Auch bei den hiesigen Datenschutzbehörden sieht man das Vorgehen von Clearview mehr als skeptisch. Der Hamburgische Datenschutzbeauftragte Johannes Caspar sieht in der Praxis eine Verletzung der Rechte von EU-Bürgern und hat daher jetzt eine Anordnung gegen das in New York ansässige Unternehmen erlassen. Mit dieser Anordnung vom 27. Januar 2021 soll erreicht werden, dass Clearview die biometrischen Daten des Hamburgers Matthias M. löscht, der sich mit einer Beschwerde gegen Clearview an den Datenschutzbeauftragten der Hansestadt gewendet hatte. Begründet wird die Forderung nach Löschen der als Hash-Wert gespeicherten biometrischen Daten mit einem Verstoß gegen die DSGVO. So ignoriere Clearview etwa den besonderen Schutzbedarf für biometrische Daten, deren Verarbeitung die Betroffenen ausdrücklich zustimmen müssten. Problematisch beim Fall Clearview ist allerdings, dass die DSGVO nur für solche Unternehmen Bedeutung hat, die zumindest auch eine Niederlassung in der EU haben, was bei dem US-Startup nicht der Fall ist.
Die gesammelten Fotos werden mit Zusatzinformationen versehen
Allerdings stuft der Datenschutzbeauftragte in seiner Anordnung die Sammlung und Archivierung von Fotos als eine Form der Verhaltensbeobachtung ein, da Clearview Fotos des Klägers aus einem längeren Zeitraum gesammelt haben und diese Fotos auch mit Zusatzinformationen versehen waren. In solchen Fällen kann der Schutz von EU-Bürgern nach der DSGVO auch gegenüber Unternehmen angewendet werden, die wie Clearview ihren Sitz ausschließlich im Ausland haben, zumal es für die Betroffenen in diesem Fall faktisch unmöglich wäre, ihre Rechte in den USA geltend zu machen.
noyb Kritisiert Begrenztheit der Anordnung: Jeder Einzelne müsste dann gegen Clearview Beschwerde einreichen
Die Datenschutzorganisation noyb, die die Beschwerde von Matthias M. unterstützt hatte, zeigte sich mit der Anordnung nicht völlig einverstanden. Insbesondere stört es die Datenschutzaktivisten, dass die Behörde nur eine sehr begrenzte Anordnung erlassen habe, die ausschließlich auf den konkreten Einzelfall beschränkt bleibe. Letztlich müsse daher jeder EU-Bürger eine eigene Beschwerde bei den Datenschutzbehörden einreichen, wenn er nicht in der Clearview-Datenbank auftauchen wolle.
Wenn Sie wissen möchten, ob Clearview auch Fotos von Ihnen aus dem Web kopiert und in seine Datenbank aufgenommen hat, können Sie über eine E-Mail an das Unternehmen eine Auskunft anfordern, die entsprechende Adresse lautet privacy@clearview.ai. Ob es allerdings unbedingt ratsam ist, über E-Mail Kontakt zu einem datensammelnden Unternehmen aufzunehmen, dass bereits bewiesen hat, bei seinen Aktivitäten eher nicht um Datenschutzbelange zu kümmern, müssen Sie selbst entscheiden.
Weitere News zum Thema
Streitthema Gesichtskennung: US-Firmen bauen Riesen Datenbanken auf
Pilotprojekt zur Gesichtskennung an öffentlichen Plätzen
Hintergrund: Datenschutzbehörden und Soziale Netzwerke stehen ausnahmsweise einmal auf derselben Seite
Die bislang wohl einzigartige Sammlung von ca. 3 Milliarden Fotos der Firma Clearview AI und die Nutzung dieser Datenbank für eine biometrische Identifikation der Personen ist nicht nur bei den Datenschutzbehörden vieler Länder auf Ablehnung gestoßen, auch die Datenquellen, bei denen sich das Unternehmen bedient hatte, wehren sich gegen diesen ungefragten Zugriff auf die Daten ihrer Nutzer. So gingen etwa Twitter oder Facebook mit Abmahnungen gegen Clearview vor und wollten dem Unternehmen verbieten, weiterhin Daten zu sammeln. Auch in vielen anderen europäischen Staaten haben die dortigen Datenschutzbehörden angekündigt, gegen Clearvew zu ermitteln.
Hintergrund: Noyb (None of your Business)
Der österreichische Datenschutzaktivist Max Schrems, der große Konzerne schon lange wegen seine Datenschutzmängel angreift, hat eine Organisation auf die Beine gestellt, mit der Datenschutzrechte besser geschützt werden sollen. Der Datenschützer Max Schrems ist vor allem durch seine Klagen gegen Facebook bekannt geworden, in deren Folge die Datenschutzabkommen Safe Harbor zwischen der EU und den USA gekippt wurde. Später kippte er vor dem EuGH Privacy Shield.
Mit Inkrafttreten der Datenschutzgrundverordnung (DSGVO) haben auch Verbände ein Klagerecht bekommen. Mit dem von ihm mitbegründeten Verein namens Noyb (None of your Business – Geht Dich nichts an) können Ansprüche mehrerer Personen gebündelt werden. Noyb (None of your Business) ging als Crowdfunding-Projekt an den Start, um die erweiterten Rechte und verschärften Sanktionen der Datenschutzgrundverordnung zu nutzen. Nun hat sich der Verein auch gegen "Clearview" stark gemacht.