Australische Baumarktkette hat Gesichtserkennung unrechtmäßig eingesetzt
Die australische Baumarktkette Bunnings hat mit ihrem Einsatz von Gesichtserkennung gegen das australische Datenschutzgesetz verstoßen. Das hat eine Untersuchung der nationalen Datenschutzaufsicht ergeben, wie die Behörde am Dienstag mitteilte. Das Unternehmen hat demnach sensible persönliche Daten von potenziell Hunderttausenden Menschen erfasst.
Die australische Datenschutzbeauftragte Carly Kind erklärte, Bunnings habe die Technik zwischen November 2018 und November 2021 in 63 Geschäften in den Bundesstaaten Victoria und New South Wales eingesetzt.
Kameras hätten das Gesicht jeder Person erfasst, die einen dieser Läden betrat – es sei daher wahrscheinlich in die Privatsphäre Hunderttausender Menschen eingegriffen worden. Die Bilder wurden mit einer Datenbank des Einzelhändlers abgeglichen: In dieser waren Fotos von Menschen mit Hausverbot gespeichert.
Sensible Daten
Gesichtserkennungstechnologie verarbeitet biometrische Daten, die nach dem australischen Privacy Act als sensible Informationen gelten – und besonders geschützt werden müssen. Bunnings aber habe diese sensiblen Daten verarbeitet, ohne die Zustimmung der Betroffenen einzuholen. Auch seien sie nicht ausreichend über die Datenverarbeitung informiert worden.
Die Datenschutzbeauftragte Kind erklärte: “Wir können unser Gesicht nicht verändern. Der Privacy Act berücksichtigt dies und stuft Gesichtsbilder und andere biometrische Daten als sensible Daten ein, die ein hohes Maß an Datenschutz genießen. Dazu zählt, dass für ihre Erfassung die Zustimmung [der Betroffenen] erforderlich ist.”
Bunnings-Geschäftsführer Mike Schneider argumentierte, das Unternehmen habe Gesichtserkennung eingesetzt, um Mitarbeitende und Kunden beispielsweise vor dem aggressiven Verhalten Einzelner zu schützen.
Die australische Datenschutzaufsicht erklärte hingegen, sie erkenne zwar an, dass Gesichtserkennung beim Schutz vor gewalttätigem Verhalten einen Beitrag leisten könne – mögliche Vorteile müssten jedoch gegen die Auswirkungen auf die Privatsphäre und “unsere gemeinsamen Werte als Gesellschaft” abgewogen werden.
Kind sagte dazu, nur weil eine Technologie hilfreich und praktisch sein möge, bedeute das nicht, dass ihr Einsatz auch gerechtfertigt ist. In diesem Fall sei es die Option gewesen, die am stärksten in die Privatsphäre aller Kundinnen und Kunden eingegriffen habe.
Die Behörde hat Bunnings angewiesen, alle noch vorhandenen Gesichtserkennungsdaten zu löschen. Das Unternehmen muss außerdem eine Stellungnahme zu dem Vorfall veröffentlichen.
Bunnings kündigte bereits an, eine Überprüfung der Entscheidung beantragen zu wollen.
Verbraucherschützer fordern überarbeitetes Datenschutzrecht
Australische Medien sprechen von einer “bahnbrechenden Entscheidung” der Behörde, die erhebliche Auswirkungen auf den künftigen Einsatz von Gesichtserkennung durch Unternehmen haben werde.
Die australische Verbraucherschutzorganisation CHOICE hatte im Jahr 2022 große australische Einzelhändler zu ihrem Einsatz von Gesichtserkennung befragt und deren Datenschutzbestimmungen untersucht. Neben Bunnings hatten auch die Kaufhauskette Kmart und der Elektronikfachhändler The Good Guys die umstrittene Überwachungstechnik in ihren Geschäften genutzt. CHOICE hatte kritisiert, Kundinnen und Kunden würden über die Maßnahme nicht ausreichend informiert – und Beschwerde bei der Datenschutzbehörde eingereicht.
Die Behörde hatte daraufhin eine Untersuchung zu Bunnings und Kmart eingeleitet, die deswegen den Einsatz der Technik vorerst ausgesetzt hatten. Ein Ergebnis der Kmart-Untersuchung wurde bisher nicht veröffentlicht.
The Good Guys hatte die Technik bereits zuvor wieder abgeschaltet. Medienberichten zufolge wurde keine Untersuchung gegen das Unternehmen eingeleitet.
CHOICE begrüßte die nun ergangene Entscheidung. Rafi Alam von der Organisation sagte: “Dies ist eine bahnbrechende Entscheidung, die alle Unternehmen dazu veranlassen wird, den Einsatz von Gesichtserkennung in Australien künftig sorgfältig zu überdenken.” Er fügte hinzu, Australierinnen und Australier seien schockiert und verärgert über die Verwendung in Gesichtserkennung bei großen Einzelhändlern – aber auch bei Sportveranstaltungen, Konzerten, in Pubs und Clubs.
Kate Bower von CHOICE sagte gegenüber ABC News, die Entscheidung sei ein “Warnschuss” für andere Unternehmen – sie sei jedoch enttäuscht, dass die Datenschutzbehörde keine Geldstrafe gegen Bunnings verhängt hat.
CHOICE kritisiert zudem, das derzeitige australische Datenschutzrecht sei “verwirrend, veraltet und schwer durchzusetzen”. Die Organisation fordert daher eine überarbeitete Gesetzgebung. (js)