Biometrische Daten sind besonders schutzwürdig
Biometrische Daten sind persönliche Merkmale – wie Gesichtsform, Augenfarbe oder Abstand von Mund zu Nase – „mit denen sich jeder Mensch treffsicher identifizieren lässt“.
Das erklärt Dr. Stefan Brink, oberster Datenschützer von Baden-Württemberg, in einer Pressemitteilung und betont, dass es sich bei jedem „Foto, auf dem eine Person abgebildet ist oder über welches ein Bezug zu einer Person hergestellt werden kann“ um besonders schutzwürdige personenbezogene Daten im Sinne der DSGVO handelt.
PimEyes sucht nach Gesichtern
Genau nach solchen Fotos von Personen durchsucht die Bildersuchmaschine PimEyes das gesamte Internet und ist auf die Gesichtserkennung über biometrische Daten spezialisiert. Wer das Foto einer Person bei PimEyes hochlädt, bekommt Links zu ähnlichen oder identischen Gesichtern im Netz angezeigt.
Dafür hat die Suchmaschine in ihrer Datenbank inzwischen rund „2,1 Milliarden Gesichter“ gespeichert, wie der neue Geschäftsführer Giorgi Gobronidze in einem Interview mit netzpolitik.org erklärte. Er hat die ursprünglich polnische Firma, die ihren Firmensitz nach Angaben im Impressum aktuell in der mittelamerikanischen Stadt Belize City hat, Anfang 2022 gekauft.
DSGVO fordert ausdrückliche Einwilligung
Von allen Personen, die hinter diesen „2,1 Milliarden Gesichtern“ stehen, braucht PimEyes – laut dem Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg, der sich auf Artikel 9 der DSGVO beruft – eine „ausdrückliche Einwilligung“ für die Verarbeitung ihrer personenbezogenen Daten.
Wenn personenbezogenen Daten für eine biometrische Gesichtserkennung verarbeitet werden, finde eine „Verarbeitung besonderer Kategorien personenbezogener Daten statt“ – und die sei ohne ausdrückliche Einwilligung „prinzipiell untersagt“.
Datenschützer leitet Verfahren gegen PimEyes ein
Schon im Mai 2021 hatte der baden-württembergische LfDI deshalb ein Verfahren gegen PimEyes eingeleitet und dem Unternehmen einen umfangreichen Fragenkatalog zugeschickt.
Die Stellungnahme von PimEyes ging Anfang November 2022 bei der Behörde ein. Darin zieht sich das Unternehmen laut Dr. Stefan Brink auf die Position zurück, dass es „lediglich öffentlich verfügbare Bilder“ verarbeite und „diese selbst nicht Personen zuordnen“ könne. Es fehle an „einer Verarbeitung personenbezogener Daten.“
PimEyes droht Bußgeld
Dieser Auffassung tritt Brink „wegen der massiven Gefährdung der Rechte und Freiheiten der Bürger (…) energisch entgegen“ und eröffnete Ende Dezember 2022 nun auch ein Bußgeldverfahren gegen PimEyes.
