Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat das in den USA ansässige Unternehmen Clearview AI mittels eines formalen Bescheids angewiesen, ihm Auskunft zu einer Reihe von Fragen zur dortigen Verarbeitung personenbezogener Daten zu geben.
Clearview AI bietet eine Gesichtserkennungs-App an, die es Kunden ermöglicht, nach Hochladen eines Fotos einer Person sämtliche öffentlich verfügbaren Fotos, auf denen diese Person zu erkennen ist – bspw. aus Profilen in sozialen Netzwerken und von sonstigen Internetseiten –, zu ermitteln, zusammenzustellen und auszuwerten. Dazu hat das Unternehmen offenbar mehrere Milliarden von Fotos von Nutzern weltweit aus dem Internet kopiert und diese Daten zu einem gigantischen, leicht durchsuchbaren Archiv von Gesichtern ausgebaut. Die Rechtmäßigkeit dieser Verarbeitung ist in Bezug auf europäische Betroffene angesichts der fehlenden Einwilligung in die Verarbeitung gerade biometrischer Daten überaus zweifelhaft.
Ausgehend von einer Beschwerde gegen Clearview, die beim HmbBfDI im Februar 2020 eingereicht wurde, hat dieser mit dem Unternehmen bereits mehrfach Kontakt aufgenommen. Fragen zum Geschäftsmodell und zu den Umständen, die der Beschwerde zugrunde liegen, hat Clearview bislang lediglich ausweichend beantwortet. Dabei wurde die rechtliche Position vertreten, die Datenschutzgrundverordnung (DSGVO) sei für die Verarbeitung durch Clearview insgesamt nicht anwendbar, so dass auch keine Pflicht zur Antwort in der Sache bestehe.
Dieser Auffassung tritt der HmbBfDI entgegen. Der räumliche Anwendungsbereich der DSGVO ist über Art. 3 (2) b eröffnet, da die spätere Verhaltensbeobachtung nicht nur die Betroffenen, sondern auch die Kunden von Clearview betrifft. Gerade auch die App-Nutzer, die letztlich im Rahmen ihres Beschäftigungsverhältnisses für Clearview-Kunden, etwa Sicherheitsbehörden oder private Unternehmen, tätig sind, werden durch Cookie-Setzung zu unterschiedlichen Zwecken beobachtet, so z.B. zur Überprüfung ihrer Benutzeraktivitäten oder zur Verbesserung der Benutzererfahrung. Beschäftigte, die sich dabei in der Europäischen Union befinden, genießen ebenfalls den Schutz der DSGVO und sind somit Betroffene nach Maßgabe dieser Vorschrift.
Das Unternehmen ist nun verpflichtet, der Aufsichtsbehörde bis Mitte September umfassend und aussagekräftig Auskunft zu geben. Für den Fall der Nichtbereitstellung der geforderten Informationen wurde ein Zwangsgeld in Höhe von je 10.000 € für jeden Einzelfall der insgesamt siebzehn Fragekomplexe angedroht.
Hierzu Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: „Geschäftsmodelle, die darin bestehen, massenhaft und anlasslos Bilder im Netz zu sammeln und die Gesichter von Personen durch biometrische Analyse identifizierbar zu machen, gefährden die Privatsphäre im globalen Maßstab. Zum Schutz Betroffener unter der EU-Grundrechtecharta müssen sie anhand der Datenschutzgrundverordnung kontrolliert, reguliert und nötigenfalls gestoppt werden. In Europa darf es keinen Raum für düstere digitale Dystopien geben, in denen der Einsatz von Gesichtserkennungssoftware und biometrische Datenbanken staatlichen, aber auch privaten Stellen eine neue, kaum mehr kontrollierbare Form der Herrschaft über Menschen verschafft. Die Datenschutzaufsichtsbehörden haben den Auftrag, hierüber zu wachen. Das gilt auch gegenüber Unternehmen, die entsprechende Geschäftszwecke von außerhalb der EU verfolgen und damit die Privatsphäre und die informationelle Selbstbestimmung von Menschen in der EU in Frage stellen. Um eine datenschutzrechtliche Kontrolle zu ermöglichen, gehe ich davon aus, dass Clearview die dem Unternehmen gestellten Fragen beantworten oder zumindest gegen den Heranziehungsbescheid Rechtsmittel einlegen wird, um so eine rechtliche Entscheidung zu ermöglichen.“
Quelle: Pressemitteilung des HambBfDI vom 18.08.2020