Ist Gesichts-Rückwärtssuche legal?
In den meisten Ländern ist die Durchführung einer Gesichts-Rückwärtssuche für sich genommen nicht illegal, was Sie mit dem Ergebnis tun, kann es aber sein. Gesichtsdaten gelten nach der DSGVO und mehreren US-Bundesstaatengesetzen als sensible biometrische Daten, und ausschlaggebend sind meist Ihr Zweck, Ihr Rechtsraum und ob die Person eingewilligt hat. Diese Seite erklärt die Struktur der Regeln. Sie ist keine Rechtsberatung, und wenn eine Entscheidung echte Folgen hat, holen Sie Rat für Ihren eigenen Rechtsraum ein.
Zuletzt geprüft
Kurz gefasst
- Die Suche selbst und die Verwendung des Ergebnisses werden getrennt reguliert.
- Die DSGVO behandelt Gesichtserkennungsdaten als besondere Kategorie mit ausdrücklicher Rechtsgrundlage.
- Illinois' BIPA ist das strengste US-Regime und eröffnet ein individuelles Klagerecht.
- Jemanden zu prüfen, mit dem man ohnehin zu tun hat, wird ganz anders behandelt als das Profiling einer fremden Person.
- Nachstellen, Belästigen und das Enttarnen gegen den Willen der Person sind fast überall rechtswidrig.
Was genau regulieren diese Gesetze?
Die meisten gesichtsbezogenen Datenschutzregeln betreffen die Verarbeitung biometrischer Identifikatoren, nicht das Betrachten einer Fotografie. Ein Gesichts-Embedding, der numerische Deskriptor, den eine Gesichtssuchmaschine berechnet, gilt in der Regel als biometrischer Identifikator, weil sich damit eine einzelne Person herausgreifen lässt. Diese Einordnung ist entscheidend: Eine Regel kann bereits durch das Berechnen und Speichern dieses Deskriptors ausgelöst werden, unabhängig davon, ob Sie auf das Ergebnis je reagieren.
Wie behandelt die DSGVO die Gesichtssuche in Europa?
Nach der DSGVO sind biometrische Daten, die zur eindeutigen Identifizierung einer Person verarbeitet werden, eine besondere Kategorie personenbezogener Daten nach Artikel 9, und ihre Verarbeitung ist untersagt, sofern keine spezifische Ausnahme greift, am häufigsten die ausdrückliche Einwilligung der Person. Die UK-DSGVO verfolgt einen inhaltlich gleichen Ansatz. Es gibt eine enge Haushaltsausnahme für rein persönliche Tätigkeiten, die Aufsichtsbehörden legen sie jedoch eng aus, und sie deckt nach allgemeinem Verständnis weder das Veröffentlichen von Ergebnissen über Dritte noch das Handeln danach ab.
Und in den Vereinigten Staaten?
Es gibt kein einheitliches Bundesgesetz zur biometrischen Privatsphäre, die Antwort fällt also je Bundesstaat aus, mit erheblichen Unterschieden.
- Illinois' BIPA verlangt eine informierte schriftliche Einwilligung vor der Erhebung biometrischer Identifikatoren und lässt Betroffene direkt klagen, weshalb dort die meisten Verfahren entstehen.
- Texas und Washington haben vergleichbare Biometriegesetze, die von der Generalstaatsanwaltschaft und nicht durch Privatklagen durchgesetzt werden.
- Kaliforniens CCPA und CPRA stufen biometrische Informationen als sensible personenbezogene Daten ein, mit Rechten auf Auskunft, Löschung und Nutzungsbeschränkung.
- Mehrere weitere Bundesstaaten haben umfassende Verbraucherdatenschutzgesetze erlassen, die biometrische Daten als sensibel behandeln und eine Einwilligung verlangen.
Was trennt rechtmäßige von unrechtmäßiger Nutzung?
Meist entscheidet der Zweck. Zu prüfen, ob eine Person, mit der Sie ohnehin zu tun haben, die ist, für die sie sich ausgibt, oder herauszufinden, wo die eigenen Fotografien erneut gepostet wurden, sind die Verwendungen, die Aufsichtsbehörden und Plattformbedingungen am wohlwollendsten behandeln. Ein Dossier über eine fremde Person anzulegen, jemandes Bewegungen zu verfolgen, die Identität einer anonymen Person offenzulegen oder Ergebnisse in Entscheidungen über Beschäftigung, Wohnraum, Kredit oder Versicherung einfließen zu lassen, ist der Bereich, in dem sich das rechtliche Risiko bündelt, und einige dieser Verwendungen sind unabhängig von der Datenquelle gesondert reguliert.
Was verlangt FaceSearch von Ihnen?
Unsere Bedingungen verlangen, dass Sie das Recht haben, jedes hochgeladene Bild zu durchsuchen, und dass Sie das an Ihrem Ort geltende Recht einhalten. Den Dienst zum Nachstellen, Belästigen, Einschüchtern oder Enttarnen einer Person gegen deren Willen zu nutzen, ist untersagt und ein Kündigungsgrund. Eine Nutzung für automatisierte Entscheidungen über Beschäftigung, Wohnraum, Kredit oder Versicherung gestatten wir nicht. Hochgeladene Fotos werden innerhalb von 24 Stunden nach Abschluss der Suche gelöscht, und Gesichtsdeskriptoren werden nach der Löschung nicht aufbewahrt.
Quellen
- Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex, Publications Office of the European Union
- Special category data, Information Commissioner's Office
- Biometric Information Privacy Act (740 ILCS 14), Illinois General Assembly
- California Consumer Privacy Act (CCPA), California Office of the Attorney General
- Business and Commerce Code Chapter 503, Biometric Identifiers, Texas Legislature
- RCW 19.375, Biometric Identifiers, Washington State Legislature