Großbritannien: Millionenstrafe für Clearview
Die britische Datenschutzbehörde ICO hat am Montag eine Strafe in Höhe von umgerechnet etwa 8,9 Millionen Euro gegen Clearview AI verhängt. Das US-amerikanische Unternehmen sammelt Fotos von Menschen im Internet und soll inzwischen eine Gesichtserkennungsdatenbank mit mehreren Milliarden Einträgen zusammengestellt haben. Daten von Einwohnern Großbritanniens muss das Unternehmen nun löschen.
Die Behörde wirft Clearview mehrere Datenschutzverstöße vor: So habe die Firma “eine beträchtliche Menge” personenbezogener Daten von Menschen aus Großbritannien verarbeitet, ohne diese darüber zu informieren. Clearview habe keinen rechtmäßigen Grund gehabt, die Daten zu sammeln.
Das Unternehmen verwendet im Internet veröffentlichte Fotos für seine biometrische Gesichtserkennung. Die Behörde kritisiert, Betroffene würden nicht erwarten, dass ihre Daten auf diese Weise genutzt werden. Biometrische Daten sind besonders sensibel, da sie sich nicht verändern lassen und Personen ein Leben lang über sie identifiziert werden können. Daher schützt das britische Datenschutzrecht solche Daten besonders – diese höheren Standards habe das Unternehmen aber nicht eingehalten.
Die Behörde moniert außerdem, es fehle ein Verfahren, um die Speicherung der eigenen Daten durch Clearview zu verhindern. Wenn Personen bei dem Unternehmen anfragen, ob ihre Daten gespeichert sind, würde Clearview persönliche Informationen und ein Foto verlangen. Die ICO kritisiert, dies könne eine abschreckende Wirkung haben.
Clearview muss Daten löschen
Außer der verhängten Geldstrafe haben die britischen Datenschützer auch angeordnet, dass Clearview Daten von britischen Bürgern nicht mehr sammeln darf. Bereits in die Datenbank aufgenommene Informationen müssen gelöscht werden.
Die Entscheidung ist das Ergebnis einer gemeinsamen Untersuchung der britischen und australischen Datenschutzbehörden. Die australische Behörde hatte bereits im November festgestellt, dass Clearview die Privatsphäre verletzt hat und eine Datenlöschung angeordnet.
Die britische Behörde hatte im November ihre vorläufige Entscheidung veröffentlicht. Die Behörde ist nun unter ihrem ursprünglich angekündigten Strafmaß geblieben: Damals hatte sie noch eine Strafe von umgerechnet 20 Millionen Euro angedroht. Clearview hatte die Möglichkeit bekommen, sich zu den Vorwürfen zu äußern – und angekündigt, Einspruch einzulegen.
Clearview war im Jahr 2020 durch eine Recherche der New York Times in den Fokus der Öffentlichkeit geraten: Das Unternehmen sammelt automatisiert öffentlich zugängliche Bilder in den sozialen Medien und auf Internetseiten und hat so eine umfassende Datenbank zur Gesichtserkennung aufgebaut. Nach Angaben der britischen Datenschützer befinden sich inzwischen mehr als 20 Milliarden Fotos darin.
Die eigene Software verkauft das Unternehmen an Strafverfolgungsbehörden. Allerdings hatte die New York Times damals berichtet, auch private Unternehmen setzten sie ein. Kunden können ein Foto über die App der Firma hochladen und bekommen dann alle verfügbaren Daten zu einer Person angezeigt.
Überwachung als “kommerzielle Dienstleistung”
Der britische Datenschutzbeauftragte John Edwards kommentierte: “Clearview AI hat Bilder von Menschen auf der ganzen Welt, einschließlich des Vereinigten Königreichs, von einer Vielzahl von Websites und Social-Media-Plattformen gesammelt und so eine Datenbank mit mehr als 20 Milliarden Bildern erstellt. Das Unternehmen ermöglicht nicht nur die Identifizierung dieser Personen, sondern überwacht tatsächlich auch ihr Verhalten und bietet dies als kommerzielle Dienstleistung an. Das ist inakzeptabel.”
Ein Clearview-Anwalt sagte gegenüber der BBC, das Unternehmen sei derzeit nicht in Großbritannien tätig und falle daher nicht in die Zuständigkeit der ICO. Die Behörde teilte jedoch mit, obwohl Clearview seine Dienste nicht mehr in Großbritannien anbiete, verarbeite es weiterhin personenbezogene Daten von Menschen aus Großbritannien. Zwischenzeitlich hatten auch britische Strafverfolgungsbehörden kostenlose Testversionen der Gesichtserkennungssoftware eingesetzt.
Die Organisation Privacy International begrüßte die Entscheidung. Sie hatte im Mai 2021 Beschwerden gegen Clearview bei den zuständigen Behörden in Großbritannien, Griechenland, Frankreich, Italien und Österreich eingereicht.
Die französische Datenschutzbehörde hatte das Unternehmen im Dezember angewiesen, alle gespeicherten Daten von Einwohnern Frankreichs zu löschen. Im März hatte dann die italienische Datenschutzbehörde eine Strafe in Höhe von 20 Millionen Euro gegen Clearview verhängt, weil die Firma Daten ohne Rechtsgrundlage verarbeitet hatte.
Kanadische Datenschutzbehörden hatten Ende vergangenen Jahres ebenfalls verfügt, das Unternehmen müsse alle Daten löschen, die von Bewohnerinnen und Bewohnern aus drei Provinzen erhoben wurden. In den USA hatte Clearview Anfang Mai einen Vergleich mit der Bürgerrechtsorganisation American Civil Liberties Union geschlossen und zugestimmt, Unternehmen und anderen privaten Einrichtungen in den USA keinen Zugang zu der Gesichtserkennungsdatenbank zu gewähren. Außerdem darf das Unternehmen im US-Bundesstaat Illinois fünf Jahre lang nicht mit Behörden zusammenarbeiten. In den USA sind zudem noch weitere Gerichtsverfahren gegen das Unternehmen anhängig. (js)