Englische Schule hat Gesichtserkennung rechtswidrig eingesetzt
Eine Schule in der englischen Grafschaft Essex hat gegen das Datenschutzrecht verstoßen, als sie in ihrer Kantine Gesichtserkennungstechnik eingesetzt hat. Die Schule hatte anders als vorgeschrieben zuvor keine Datenschutz-Folgenabschätzung erstellt. Zu diesem Ergebnis ist die britische Datenschutzaufsicht ICO nach einer Untersuchung gelangt – und hat die Schule verwarnt.
Die Chelmer Valley High School in Chelmsford hatte im März 2023 damit begonnen, Gesichtserkennungstechnik verbunden mit einem Bezahlsystem in ihrer Kantine zu verwenden. Zuvor hatte die Schule bereits Fingerabdruckscanner genutzt, damit die etwa 1200 Schülerinnen und Schüler bargeldlos für ihr Mittagessen bezahlen können.
Die Schule habe mithilfe der Gesichtserkennung etwa die Warteschlangen bei der Essensausgabe reduzieren wollen, berichtet die Zeitung The Telegraph.
Risiken nicht untersucht
Wie die britische Datenschutzbehörde am Dienstag mitteilte, war der Einsatz der Gesichtserkennung jedoch rechtswidrig. Denn die Schule hatte vor Beginn der Nutzung keine Datenschutz-Folgenabschätzung durchgeführt. Die Behörde erklärte, somit seien die Risiken für die Daten der betroffenen Kinder nicht bewertet worden.
Beim Einsatz von Gesichtserkennung werden biometrische Daten verarbeitet, mit denen sich Personen eindeutig identifizieren lassen. Solche Daten gelten als besonders sensibel – ihre Verarbeitung berge daher hohe Risiken, so die britische Behörde. Eine Folgenabschätzung sei notwendig, um entsprechende Risiken zu ermitteln und zu kontrollieren.
Lynne Currie von der ICO sagte: “Der korrekte Umgang mit personenbezogenen Daten in einer Schulkantine ist genauso wichtig wie der Umgang mit dem Essen selbst. Wir erwarten von allen Organisationen, dass sie bei der Einführung einer neuen Technologie die erforderlichen Bewertungen durchführen, um etwaige Datenschutzrisiken zu mindern und die Einhaltung der Datenschutzgesetze zu gewährleisten.”
Currie erklärte weiter, eine Folgenabschätzung sei gesetzlich vorgeschrieben und ein wichtiges Instrument, um die Rechte der Betroffenen zu schützen. Organisationen würden dadurch dazu gebracht, bereits zu Beginn ihres Projektes über den Datenschutz nachzudenken.
Widerspruch statt Einwilligung
Die Behörde bemängelt außerdem, die Schule habe zunächst keine gültige Einwilligung in die Datenverarbeitung eingeholt. So seien die Eltern der Schülerinnen und Schüler im März 2023 schriftlich über die neue Technik informiert worden – und hätten die Möglichkeit bekommen, zu widersprechen. Gesetzlich sei aber vorgeschrieben, dass die ausdrückliche Einwilligung eingeholt wird, so die Datenschutzbehörde. Das sogenannte “Opt-out” war nicht rechtmäßig.
Zudem seien die meisten betroffenen Schüler alt genug gewesen, um selbst ihre Zustimmung zu geben. Durch den elterlichen Widerspruch sei ihnen die Möglichkeit genommen worden, ihre Rechte und Freiheiten wahrzunehmen. Vorab seien Eltern oder Schüler nicht in den Entscheidungsprozess über den Einsatz der Technologie einbezogen worden.
Die Schule hatte zwar nachträglich im November 2023 die Zustimmung der Betroffenen eingeholt. Auch eine Datenschutz-Folgenabschätzung sei zu diesem Zeitpunkt durchgeführt worden – dennoch handele es sich um einen Verstoß gegen das Datenschutzrecht, weil beides im Vorfeld hätte durchgeführt werden müssen. Die bis dahin durchgeführten Maßnahmen der Schule hat die Behörde auch bei ihrer Entscheidung berücksichtigt und lediglich eine Verwarnung ausgesprochen. Sollte die Schule in der Zukunft erneut gegen Datenschutzbestimmungen verstoßen, seien jedoch auch andere Maßnahmen möglich.
Currie sagte: “Wir sind gegen diese Schule vorgegangen, um zu zeigen, dass die Einführung von Maßnahmen wie Gesichtserkennung nicht auf die leichte Schulter genommen werden sollte – insbesondere wenn es um Kinder geht.”
Die Behörde wolle Schulen nicht davon abhalten, neue Technologien zu verwenden. Dabei müsse der Datenschutz aber an erster Stelle stehen, um Vertrauen zu schaffen und die Privatsphäre der Kinder zu schützen.
Die Behörde hat auch rechtlich nicht verbindliche Empfehlungen an die Chelmer Valley High School ausgesprochen. So soll sie beispielsweise den Leitlinien der Behörde zur Videoüberwachung folgen – Teil davon ist auch eine Fallstudie zu Gesichtserkennung an Schulen. Darin warnt sie, der Einsatz von Gesichtserkennung berge insbesondere das Risiko von Diskriminierung. Schulen müssten daher prüfen, ob es Alternativen gibt, die weniger in die Rechte der Betroffenen eingreifen.
Kritik an Kontrollen wie an der Grenze
Mark Johnson von der britischen Bürgerrechtsorganisation Big Brother Watch kritisierte in Hinblick auf den aktuellen Fall: “Die von diesen Systemen aufgenommenen Gesichtsbilder enthalten hochsensible biometrische Daten. Kein Kind sollte solche Identitätskontrollen wie an Landesgrenzen über sich ergehen lassen müssen, nur um ein Schulessen zu erhalten.” Er forderte: “Kinder sollten lernen, mit ihren persönlichen Daten umzugehen, und nicht von ihren eigenen Schulen wie wandelnde Strichcodes behandelt und aufgefordert werden, ihre biometrischen Daten aus einer Laune heraus preiszugeben.”
Nach Angaben der BBC setzen viele britische Schulen Bezahlsysteme ein, die mit Fingerabdrucklesegeräten arbeiten. Der Einsatz von Gesichtserkennung sei noch unüblich.
Im Jahr 2021 war beispielsweise bekannt geworden, dass neun Schulen im schottischen North Ayrshire Gesichtserkennung in ihren Kantinen installiert hatten. Die auf die digitalen Rechte von Kindern spezialisierte Organisation Defend Digital Me hatte daraufhin ein Verbot von biometrischen Erkennungstechniken in Schulen gefordert. Es handle sich um einen “übermäßigen Eingriff in das Recht der Kinder auf Schutz ihrer Privatsphäre”, der in einer demokratischen Gesellschaft nicht notwendig sei.
Die Schule hatte das Projekt schließlich wieder eingestellt. Auch die Datenschutzbehörde hatte sich damals eingeschaltet. Nach einer Untersuchung hatten die Datenschützer im Jahr 2023 erklärt, die Schule Einsatz habe wahrscheinlich gegen den Datenschutz verstoßen. (js)