Großbritannien: Clearview geht erfolgreich gegen Datenschutzstrafe vor
Das umstrittene US-Unternehmen Clearview AI muss in Großbritannien vorerst keine Datenschutzstrafe in Millionenhöhe zahlen. Das hat ein Gericht am Dienstag entschieden, weil das Unternehmen ausschließlich mit ausländischen Behörden zusammenarbeite. Die britische Datenschutzbehörde ICO prüft nun ihr weiteres Vorgehen.
Clearview hat massenhaft Fotos von Menschen im Internet gesammelt und damit eine Gesichtserkennungsdatenbank aufgebaut. Darin sollen sich inzwischen mehr als 30 Milliarden Einträge befinden. Eigenen Angaben zufolge verkauft Clearview die Software nur an Strafverfolgungs- und Sicherheitsbehörden.
Clearview sollte über 8 Millionen Euro zahlen
Die britischen Datenschützer werfen Clearview mehrere Datenschutzverstöße vor und hatten deshalb im Mai 2022 eine Strafe in Höhe von 7,5 Millionen britischen Pfund (etwa 8,6 Millionen Euro) gegen das Unternehmen verhängt. Unter anderem habe Clearview “eine beträchtliche Menge” personenbezogener Daten von Menschen aus Großbritannien verarbeitet, ohne diese darüber zu informieren. Die Behörde hatte auch angeordnet, dass Clearview Daten von britischen Bürgern nicht mehr sammeln darf und bereits in die Datenbank aufgenommene Informationen gelöscht werden müssen.
Clearview hatte gegen die Entscheidung allerdings Berufung eingelegt – und nun in erster Instanz Recht bekommen.
Zwar habe Clearview Daten von Personen aus Großbritannien verarbeitet, heißt es im Urteil. Es sei auch unstrittig, dass die Gesichtsbilder für eine biometrische Gesichtserkennung genutzt werden – und biometrische Daten besonders schützenswert sind. Biometrische Daten gelten als besonders sensibel, weil sich Personen damit sich ein Leben lang eindeutig identifizieren lassen.
In diesem Fall sei die britische Datenschutzbehörde jedoch nicht befugt gewesen, eine Geldstrafe zu verhängen und die Datenlöschung anzuordnen. Denn das britische Datenschutzrecht finde keine Anwendung in Bezug auf ausländische Strafverfolgungsbehörden. Clearview hatte argumentiert, seine Dienste nur ausländischen Regierungen und Behörden für die Strafverfolgung und Zwecke der nationalen Sicherheit zur Verfügung zu stellen. Ob das Unternehmen dabei gegen Datenschutzrecht verstoßen hat, war laut Urteil nicht Gegenstand des Verfahrens – diese Frage könne bei einer Fortsetzung des Rechtsstreits geklärt werden.
Keine Kunden in Großbritannien
Laut dem Urteil hat Clearview AI weder Kunden in Großbritannien noch innerhalb der Europäischen Union. In der Vergangenheit hätten zwar auch Unternehmen die Gesichtserkennung eingesetzt, inzwischen werde die Software aber nur noch an Strafverfolgungsbehörden verkauft. Clearview arbeitet demnach mit Behörden in den USA sowie in anderen Ländern zusammen, darunter Brasilien, die Dominikanische Republik, Mexiko und Panama.
Eine Sprecherin der britischen Datenschutzbehörde teilte auf Anfrage von Posteo mit, man prüfe das Urteil aktuell und wäge die nächsten Schritte ab. Laut dem Online-Magazin TechCrunch hat die Behörde 28 Tage lang Zeit, um in Berufung zu gehen.
Die Behördensprecherin betonte außerdem, das Urteil schränke nicht die Möglichkeit ein, gegen Unternehmen mit Sitz im Ausland vorzugehen, die Daten von Personen aus Großbritannien verarbeiten oder sammeln – es gehe stattdessen um “eine spezielle Ausnahmeregelung für ausländische Strafverfolgungsbehörden”.
Auch der Datenschutzanwalt Will Richmond-Coggan erklärte gegenüber der BBC, die Berufung habe sich nur darauf bezogen, dass Clearview seine Software ausschließlich ausländischen Sicherheits- und Strafverfolgungsbehörden anbiete. Es handle sich nicht um eine generelle Erlaubnis von sogenanntem Scraping, also dem automatisierten Abgreifen von Daten beispielsweise aus öffentlichen Nutzerprofilen in den sozialen Netzwerken.
Die britischen Datenschützer hatten bei Verhängung der Strafe bemängelt, Nutzerinnen und Nutzer würden nicht erwarten, dass ihre im Internet veröffentlichten Fotos für eine Gesichtserkennung verwendet werden, die an staatliche Stellen verkauft und zu Strafverfolgungszwecken eingesetzt wird.
Großbritannien ist nicht das einzige Land, in dem die Datenschutzbehörden gegen Clearview vorgegangen sind. Unter anderem auch in Italien und Frankreich hatten die Behörden Millionenstrafen verhängt.
Die französischen Datenschützer hatten im Mai zudem eine weitere Millionenstrafe gegen Clearview verhängt – weil das Unternehmen einer Anordnung nicht nachgekommen war. Gegenüber TechCrunch bestätigte ein Behördensprecher, dass Clearview die Strafen auch weiterhin nicht gezahlt habe. Allerdings habe das Unternehmen in Frankreich auch keinen Einspruch gegen die Entscheidung eingelegt. (js)