Clearview AIs biometrische Fotodatenbank in der EU illegal, aber nur begrenzte Löschungsanordnung
Clearview AI ist ein US-Unternehmen, das Fotos von Websites sammelt und damit eine durchsuchbare Datenbank mit biometrischen Profilen erstellt. US Behörden können diese Daten nutzen um Personen in Fotos oder Videos zu erkennen. Nach Stellungnahmen von noyb hat die Hamburgische Datenschutzbehörde heute das Erstellen von biometrischen Profilen von EU-Bürgern vorläufig als rechtswidrig eingestuft und Clearview AI angewiesen, das Profil des Beschwerdeführers zu löschen.
„Das Recht am eigenen Bild“. Der Hamburger und Mitglied im Chaos Computer Club, Matthias Marx, entdeckte sein biometrisches Profil in der durchsuchbaren Datenbank der US-amerikanischen Firma Clearview AI. Das System von Clearview AI kann zum Aufspüren und Verfolgen von Personen in Überwachungsvideos, Bildern und ähnlichem verwendet werden – was zu einem Orwellschen Überwachungssystem führt. Der Zugang zur Datenbank wurde an private Unternehmen verkauft und wird nun den US-Strafverfolgungsbehörden zur Verfügung gestellt. Die Datenbank soll über 3 Milliarden Bilder enthalten, zum Teil aus Quellen wie Webseiten und Sozialen Medien und grundsätzlich ohne das Wissen der betroffenen Personen.
Herr Marx reichte eine Beschwerde beim Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) ein. Nach einer elf Monate andauernden Untersuchung und nach Stellungnahmen von noyb hat der HmbBfDI heute das Recht eines jeden EU-Bürgers vorläufig bestätigt, nicht in der Datenbank von Clearview AI erfasst zu werden. Der HmbBfDI wies Clearview AI im Rahmen einer Anhörung vor Erlass einer Anordnung jedoch nur an, den Hash-Wert, der das biometrische Profil mathematisch darstellt, zu löschen und die Löschung zu bestätigen. Die Löschung der gesammelten Fotos findet sich in die Anhörung nicht. Clearview AI soll die Löschung bis zum 12. Februar 2021 umsetzen, hat aber Gelegenheit, bis dahin nochmals vom HmbBfDI angehört zu werden.
„Eine Welt, in der jedes Mal, wenn Sie von einer Videokamera erfasst werden, die Systeme nicht nur Ihr Bild haben, sondern Sie direkt identifizieren können, ist mehr als erschreckend.“ – Alan Dahi, Datenschutzjurist bei noyb.eu
DSGVO geht über Grenzen der EU hinaus. Die DSGVO gilt für alle, die personenbezogene Daten auf dem europäischen Markt verarbeiten. Obwohl Clearview AI ausschließlich in den USA ansässig ist, gilt die DSGVO für sämtliche Aktivitäten, die Europäer betreffen - etwa wenn ihre Fotos gesammelt werden. Während das Unternehmen die Anwendbarkeit von EU-Recht bestritt, hat der der HmbBfDI die Anwendbarkeit von EU-Recht bestätigt und eine Entscheidung getroffen.
“Wenn die Aktivitäten eines US-Unternehmens Auswirkungen auf Europäer haben, muss sich das Unternehmen an europäische Regeln halten. Das ist vergleichbar mit einem amerikanischen Touristen, der auf einer deutschen Autobahn fährt – dabei muss er auch deutsche Gesetze befolgen." – Alan Dahi, Datenschutzjurist bei noyb.eu
HmbBfDI fällt Minimalentscheidung. Leider intendiert der HmbBfDI eine sehr enge Anordnung zu erlassen, die nur den Beschwerdeführer schützt, aber nicht das Sammeln von Fotos aller Europäern verbietet, wie von noyb gefordert. Generell hat jede europäische Behörde auch das Recht allgemeine Anordnungen zu erlassen, die über eine konkrete Beschwerde hinausgehen. Da eine solche breite Anordnung fehlt, muss nun jeder Europäer seine eigene Beschwerde gegen Clearview AI einreichen, um nicht in den Suchergebnissen der biometrischen Datenbank aufzutauchen. Das ist nicht nur ineffizient sondern auch eine unnötige Belastung für Nutzer, die jeweils selbst handeln müssten, um nicht ungewollterweise in der biometrischen Datenbank von Clearview AI aufzuscheinen. Zudem hat der HmbBfDI es versäumt, die Löschung der Fotos des Beschwerdeführers anzuordnen, sondern beschränkt sich auf den den Hash-Wert, der das biometrische Profil von Herrn Marx mathematisch darstellt.
„Die Existenz einer solchen Überwachungsmaschine ist erschreckend. Fast ein Jahr nach meiner ursprünglichen Beschwerde muss Clearview AI nicht einmal die Fotos löschen, die mich zeigen. Schlimmer noch, jede:r einzelne Betroffene muss nun selbst Beschwerde einlegen. Das zeigt, dass unsere Daten noch nicht ausreichend geschützt werden und Handlungsbedarf gegen biometrische Überwachung besteht.“ – Matthias Marx, Beschwerdeführer
Was jeder machen kann. Wir ermutigen jeden, bei Clearview AI um eine Kopie seiner Daten anzufragen, eine Löschung aller erhobenen Daten zu verlangen, und der Aufnahme in die Datenbank von Clearview AI zu widersprechen. Die entsprechenden Formulare sind auf der Website von Clearview AI zu finden. Jeder kann auch eine Beschwerde gegen Clearview AI bei seiner Datenschutzbehörde einreichen, sollte man sich in der Datenbank von Clearview AI wiederfinden.
Weiter Schritte. Clearview AI und der Beschwerdeführer können bei Erlass einer Anordnung Rechtsmittel vor Gericht einlegen. noyb überprüft diese Möglichkeit, um sicherzustellen, dass alle Daten des Betroffenen gelöscht werden - nicht nur die Hash-Werte.
