Gesichtserkennung PimEyes droht Datenschutzstrafe
Der baden-württembergische Landesdatenschutzbeauftragte Stefan Brink hat ein Bußgeldverfahren gegen die Gesichtserkennungssuchmaschine PimEyes eröffnet. Die Behörde begründete diesen Schritt mit der “offenbar fehlenden Datenschutzkonformität” des Dienstes.
PimEyes sammelt im Internet massenhaft Gesichtsbilder, analysiert diese nach individuellen Merkmalen und speichert die biometrischen Daten. Die Suchmaschine ermöglicht es jedem, ein Foto hochzuladen und nach Treffern im Internet zu suchen. Zahlenden Kunden zeigt die Suchmaschine übereinstimmende Fotos zusammen mit Fundstellen im Internet an.
Der baden-württembergische Datenschützer hatte bereits im Mai 2021 ein Verfahren gegen PimEyes eröffnet. “Es droht nicht weniger als der Verlust der Anonymität”, hatte Brink damals gewarnt und PimEyes zu einer Stellungnahme aufgefordert.
Stellungnahme nach eineinhalb Jahren
Wie die Behörde nun mitteilte, ist die Antwort des Unternehmens erst Anfang November 2022 eingegangen. Der Landesdatenschutzbeauftragte bemängelt, diese reiche “keineswegs aus” und lasse “entscheidende” Fragen weiterhin offen.
In der Stellungnahme erklärte PimEyes, keine personenbezogenen Daten zu verarbeiten und die öffentlich verfügbaren Bilder auch keinen Personen zuordnen zu können. Dem folgt der Datenschützer nicht: Er sieht eine “massive Gefährdung der Rechte und Freiheiten” von Bürgerinnen und Bürgern, auch in Baden-Württemberg. Es handle sich bei den Fotos um personenbezogene Daten – für die Verarbeitung sei nach den Bestimmungen der Datenschutzgrundordnung (DSGVO) eine Rechtsgrundlage erforderlich.
Die Verarbeitung biometrischer Daten sei außerdem nur in bestimmten Ausnahmefällen zulässig, etwa wenn Betroffene ausdrücklich einwilligen. Biometrische Daten gelten als besonders sensibel, weil sie sich nicht verändern lassen. Personen können ein Leben lang darüber identifiziert werden.
Der Datenschutzbeauftragte kritisiert zudem, um die Verarbeitung der eigenen Daten durch PimEyes zu verhindern, fordere das Unternehmen ein Foto und einen Identitätsnachweis von Betroffenen. Das sei “widersprüchlich”. Auch habe die Firma keine ausreichenden Maßnahmen ergriffen, um einen Missbrauch der gespeicherten Daten durch Dritte nicht verhindert.
Brink weist darauf hin, dass er PimEyes im Rahmen des Bußgeldverfahrens verwarnen, aber auch die Löschung von personenbezogenen Daten anordnen kann. Auch ein Bußgeld in Höhe von bis zu 4 Prozent des Jahresumsatzes beziehungsweise maximal 20 Millionen Euro ist möglich.
Verbot gefordert
Das Angebot von PimEyes war im Sommer 2020 durch eine Recherche der Nachrichtenseite netzpolitik.org bekannt geworden. Damals war das Angebot noch komplett kostenlos.
An dem Dienst hatte es massive Kritik gegeben: So hatte die netzpolitische Sprecherin der Linken im Bundestag, Anke Domscheit-Berg, PimEyes etwa als “hochgefährlich” bezeichnet. Frauen, die sich anonym im öffentlichen Raum bewegen möchten, könnten leichter identifiziert und Belästigungen ausgesetzt werden, sagte Domscheit-Berg.
Hagen Husgen aus dem Bundesvorstand der Gewerkschaft der Polizei (GdP) hatte damals gewarnt: “Solch eine Suchmaschine birgt riesige Gefahren für die Anonymität der Bürgerinnen und Bürger und hat in privaten Händen nichts zu suchen.” Er nannte die Software gefährlich, sie müsse verboten werden.
Im Jahr 2021 war das Unternehmen von Polen auf die Seychellen umgezogen. Inzwischen wurde PimEyes verkauft und auf der Internetseite ist eine Adresse im zentralamerikanischen Belize zu finden. Der neue Besitzer Giorgi Gobronidze unterhält nach Angaben der New York Times auch ein Büro in Georgien.
Recherchen zeigen Missbrauchspotenzial
Wie Gobronidze im September gegenüber netzpolitik.org sagte, umfasst die Gesichtserkennungsdatenbank inzwischen etwa 2,1 Milliarden Gesichter. Das Unternehmen behauptet, die Suchmaschine sei dazu gedacht, dass Nutzerinnen und Nutzer nach eigenen Bildern im Internet suchen.
Die Neue Zürcher Zeitung hatte jedoch erst im September gezeigt, dass sich mit PimEyes auch Teilnehmerinnen und Teilnehmer einer Demonstration identifizieren lassen. Einer Recherche von netzpolitik.org zufolge nutzen Männer die Suchmaschine zudem, um fremde Frauen aufzuspüren.
Anfang November hatte die Bürgerrechtsorganisation Big Brother Watch in Großbritannien eine Datenschutzbeschwerde in Großbritannien eingereicht. Die Organisation warnt, der Dienst könne genutzt werden, um andere Menschen zu überwachen und zu belästigen. PimEyes greife “stark in die Privatsphäre ein”. (js)