Informationelles Selbstbestimmungsrecht verletzt

Automatische Gesichtserkennung: Verfahren gegen Facebook wieder aufgenommen
Hamburgische Beauftragte für Datenschutz und Informationsfreiheit: Facebooks bestehende Datenbank biometrischer Muster, die ohne Einwilligung der Betroffenen angelegt wurde, bleibt rechtswidrig

(22.08.12) - Anfang Juni hatte der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) den Erlass einer Anordnung gegen Facebook zurückgestellt. Hintergrund dafür war eine Mitteilung von Facebook, dass die Verhandlungen mit der irischen Datenschutzbehörde zur automatischen Gesichtserkennung kurz vor einer rechtlich tragfähigen Einigung stünden.

Auf Nachfrage des HmbBfDI kündigte Facebook nun an, vorerst auf die Erstellung weiterer Gesichtsmodelle von neuen Nutzern zu verzichten. Weitergehende Verpflichtungen lehnt Facebook allerdings ab. Damit ist und bleibt die bestehende Datenbank biometrischer Muster, die ohne Einwilligung der Betroffenen angelegt wurde, rechtswidrig.

Mit dem Aussetzen des Verfahrens im Juni verband der HmbBfDI die Hoffnung, dass Facebook den datenschutzrechtlichen Forderungen nun doch noch auf dem Verhandlungswege nachkommen würde. Diese Hoffnung hat sich nur zum Teil erfüllt. Das Risiko- und Missbrauchspotential, das von einer Biometrie-Datenbank ausgeht, die millionenfach Gesichtsabdrücke Betroffener enthält, ist immens. Eine Wiederaufnahme des unterbrochenen Verfahrens mit dem Ziel, auch eine tragfähige Lösung für die ohne Einwilligung erstellten biometrischen Erkennungsmuster durchzusetzen, ist daher unumgänglich. Als Mindestvoraussetzung kommt nur eine Einwilligungslösung für bereits biometrisch erfasste Nutzer in Betracht, anderenfalls sind die Daten zu löschen.

Dazu sagt Johannes Caspar, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit:

"Zunächst ist zu begrüßen, dass Facebook offenbar mittlerweile selbst erkennt, dass das vom Netzwerk derzeit eingesetzte Verfahren der Sammlung biometrischer Gesichtsmodelle zumindest in Europa nicht mit dem Datenschutzrecht vereinbar ist. Facebook darf jetzt aber nicht auf halbem Weg stehen bleiben. Den Anforderungen der Art. 29-Gruppe der Europäischen Datenschutzbeauftragten zur Gesichtserkennung ist gerade hinsichtlich der bereits erhobenen Daten nachzukommen.

Das informationelle Selbstbestimmungsrecht gilt nicht nur für die neuen, sondern auch für die existierenden Nutzer. Die bereits erhobenen Daten der Betroffenen sind zu löschen oder es ist zumindest sicherzustellen, dass die Betroffenen einer weiteren Speicherung und Verwendung ihrer Gesichtsdaten nachträglich ausdrücklich zustimmen können. Bedauerlich ist, dass Facebook die Chance für eine einvernehmliche Lösung nicht genutzt hat und offenbar in dieser Frage auch weiterhin auf Zeit spielt. Facebook kennt unsere Rechtsauffassung und kann uns jederzeit über die Einführung eines Einwilligungsmodells oder über die Löschung der gesammelten Daten unterrichten."
(HmbBfDI: ra)

Meldungen: Datenschutz und Compliance