Gesichtserkennungsfunktion von Facebook verstößt gegen europäisches und deutsches Datenschutzrecht

- August 6, 2011

Quelle: datenschutz.de, 02.08.2011

Löschung biometrischer Daten bei Facebook gefordert

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat Facebook aufgefordert, die über die Gesichtserkennung gespeicherten biometrischen Daten der Nutzer zu löschen. Die Funktion der Gesichtserkennung ist an europäische und nationale Datenschutzstandards anzupassen oder abzuschalten.

Die Gesichtserkennung dient zur automatischen Erkennung von Freunden, die auf Fotos der Nutzer abgebildet sind. Hierfür wertet Facebook die von Nutzern auf ihren Fotos markierten Gesichter nach biometrischen Merkmalen aus und speichert sie. So entsteht die vermutlich weltweit größte Datenbank mit biometrischen Merkmalen einzelner Personen. Lädt ein Nutzer neue Fotos hoch, folgt ein Abgleich mit diesen Informationen. Sobald die Software auf diesen Fotos Übereinstimmungen mit Freunden erkennt, wird automatisch ein Vorschlag für die namentliche Markierung der erkannten Person generiert.

Dabei ist nicht der Einsatz der Gesichtserkennungssoftware zur Erleichterung des sogenannten Foto-Taggings von Freunden das Problem. Vielmehr ist bedenklich, dass Facebook für diese Funktion im Hintergrund eine Datenbank zur Gesichtserkennung mit Millionen von Nutzern aufbaut. Bei einer Gesamtzahl von über 75 Milliarden hochgeladener Fotos wurden bisher nach Angaben von Facebook mehr als 450 Millionen Personen getaggt. Schätzungen zu Folge werden pro Sekunde mehr als 1.000 Namens-Taggs eingetragen. Die Risiken einer derartigen Ansammlung biometrischer Daten sind immens.

Derzeit wird jeder auf einem Foto markierte Nutzer in der Datenbank erfasst, der der Speicherung seiner Fotoinformationen nicht ausdrücklich widerspricht. Das derzeitige Opt-Out durch Facebook ist dabei irreführend.

Unter den Privatsphäre-Einstellungen bietet Facebook den Nutzern an, das Unterbreiten von Markierungsvorschlägen zu unterbinden (unter „Freunden Fotos von mir vorschlagen“). Facebook hat dazu schriftlich mitgeteilt, dass nach Abschalten dieser Funktion auch eine Löschung der biometrischen Daten erfolge. Laut Facebooks Online-Hilfesystem werden damit aber lediglich die Markierungsvorschläge unterdrückt. Es ist davon auszugehen, dass die biometrischen Daten gespeichert bleiben. Wenn Nutzer ihre bereits gespeicherten biometrischen Informationen löschen wollen, müssen sie zunächst das Online-Hilfesystem durcharbeiten. Darin wird zur Löschung der biometrischen Daten ein Weg über die Privatsphäre-Einstellungen gewiesen.

Die entsprechende Funktion („Daten aus Fotovergleich löschen“) existiert jedoch nicht. An einer anderen Stelle im Hilfesystem findet sich ein Link, über den der Nutzer das „Facebook Foto-Team“ kontaktieren kann. Dort soll er um die Entfernung aller bisher über ihn selbst in der biometrischen Datenbank gespeicherten Fotoinformationen bitten. Eine Opt-Out-Möglichkeit ist damit zwar vorhanden, für den normalen Nutzer aber kaum zu finden. Angesichts dessen scheint besonders bedenklich, dass sogar für minderjährige Nutzer die Gesichtserkennung voreingestellt ist.

Aber selbst wenn Facebook ein nutzerfreundliches Verfahren zum Opt-Out anböte, würde es weder nationalen noch europäischen Datenschutzanforderungen genügen. Für eine Speicherung von biometrischen Merkmalen ist eine vorab erteilte, unmissverständliche Einwilligung der Betroffenen erforderlich. Zu unterstellen, durch bloßes Nichteinlegen eines Widerspruchs läge eine Zustimmung vor, reicht hierfür nicht aus. Auch die Art.-29-Gruppe, der Zusammenschluss der Datenschutzbeauftragten Europas, hat deutlich gemacht, dass die Beibehaltung von Voreinstellungen in sozialen Netzwerken keinen eindeutigen Erklärungsgehalt hat.

Dazu Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: „Wir haben Facebook wiederholt aufgefordert, die Funktion der Gesichtserkennung abzuschalten und die bereits gespeicherten Daten zu löschen. Sollte Facebook diese Funktion weiterhin aufrechterhalten, muss sichergestellt werden, dass nur Daten von Personen in die Datenbank eingehen, die zuvor wirksam ihre Einwilligung zur Speicherung ihrer biometrischen Gesichtsprofile erklärt haben. Die automatische Gesichtserkennung ist ein schwerer Eingriff in das informationelle Selbstbestimmungsrecht des Einzelnen. Das muss auch ein global agierendes Unternehmen berücksichtigen. Daher darf Facebook nicht lediglich auf ein intransparentes Widerspruchsverfahren verweisen. Eine selbstbestimmte Entscheidung macht die Einwilligung des informierten Nutzers erforderlich. Facebook sollte dies erkennen und unseren Forderungen schnell nachkommen.“

 

Sie haben ein Thema ‚auf dem Herzen‘, das soziale Verantwortung verlangt?
Read More

Wir erarbeiten Sicherheitskonzepte und übernehmen für Sie den externen betrieblichen Datenschutz.