Schlagwort: Gesichtsbilder

Bußgeldverfahren gegen PimEyes eröffnet

26. Januar 2023

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI BaWü) leitete ein Bußgeldverfahren gegen das Unternehmen “PimEyes” ein. Grund hierfür sei, so der LfDI BaWü die datenschutzwidrige Speicherung biometrischer Daten durch das Unternehmen.

Verarbeitung durch PimEyes

PimEyes ist eine sog. Reverse Suchmaschine. Die Nutzer können alle möglichen Webseiten nach vorhandenen Bildern der eigenen Person durchsuchen lassen. Der LfDI BaWü betonte, dass es sich bei den verarbeiteten Bildern um personenbezogene Daten handele. Diese seien überdies personenbezogene Daten besonderer Kategorie gem. Art. 9 DSGVO. Konkret verarbeite PimEyes biometrische Daten, d.h. persönliche Erkennungsmerkmale, wie etwa die Gesichtsform oder Augenfarbe.

Zur Datenschutzkonformität seiner Dienstleistung, konnte sich PimEyes zunächst ausführlich äußern. Der LfDI BaWü gab bekannt, dass er im Rahmen der Untersuchung unteranderem Fragen zu den implementierten technischen und organisatorischen Maßnahmen gestellt habe.

Das Unternehmen habe vorgebracht, dass es nur Bilder verwende, die im Internet öffentlich zugänglich seien. Mit Hilfe der Bilder seien keine Personen identifizierbar, sodass es an einem Personenbezug fehle. Darüber hinaus sei es möglich betroffene Personen, sofern sie dies wollen, aus der Fotodatenbank auszuschließen. Um diese sog. „Opt-Out“ Möglichkeit wahrzunehmen, müssen die betroffenen Person einen Identitätsnachweis und ein Bild vorlegen. Der Missbrauch von Bildern durch Dritte, verbiete das Unternehmen in seinen Allgemeinen Geschäftsbedingungen.

Biometrische Daten

In seiner Pressemitteilung betonte der LfDI BaWü, dass die Verarbeitung personenbezogener Daten besonderer Kategorie verboten sei. Ausschließlich in den nach Art. 9 Abs. 2 DSGVO normierten Fällen sei die Verarbeitung ausnahmsweise erlaubt.

Demnach habe sich die Frage gestellt, auf welcher Rechtsgrundlage PimEyes die Bilder verarbeite. Für eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO fehle es schon an der Einwilligung der betroffenen Personen. Soweit PimEyes freizugängliche Bilder von Internetseiten verarbeite, stelle sich insoweit die Frage, wann und wie es eine Einwilligung der betroffenen Person einhole. Sofern die betroffenen Person ihre Bilder selbst öffentlich gemacht habe, könne die Ausnahme nach Art. 9 Abs. 2 lit. e DSGVO in Betracht kommen. Allerdings sei es wahrscheinlicher, dass Dritte die Bilder betroffenen Personen veröffentlicht haben. Für eine Verarbeitung im öffentlichen Interesse nach Art. 9 Abs. 2 lit. g DSGVO fehle die erforderliche Beauftragung durch eine öffentliche Stelle.

Fazit

Aus Sicht der Landesbehörde seien viele Fragen im Rahmen der Untersuchung offen geblieben, sodass sie im Ergebnis ein Bußgeldverfahren gegen PimEyes eröffnet habe.

 

Kategorien: Allgemein · Aufsichtsbehördliche Maßnahmen
Schlagwörter: , , , , ,

Lichtbild als biometrisches Datum

11. Dezember 2018

Gemäß Art. 9 Abs. 1 DSGVO zählen biometrische Daten zu den besonderen Kategorien personenbezogener Daten und unterliegen einem besonderen Schutz. Für solche Daten gilt ein strenges Verarbeitungsverbot mit Erlaubnisvorbehalt. Das bedeutet, biometrische Daten dürfen grundsätzlich nicht verarbeitet werden, es sei denn, es wird ausnahmsweise ausdrücklich durch das Gesetz erlaubt. Der zentrale Erlaubnistatbestand für Unternehmen ist die Einwilligung des Betroffenen.

Gemäß Art. 4 Nr. 14 DSGVO sind biometrische Daten „mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten“. Damit können auch Lichtbilder von Personen zu den biometrischen Daten zählen mit der Folge, dass diese nur bei einer ausdrücklichen gesetzlichen Erlaubnis, insbesondere der Einwilligung des Betroffenen verarbeitet werden dürfen.

Wann genau ein Lichtbild ein biometrisches Datum darstellt, ist nicht immer eindeutig zu beantworten und hängt von einer Abwägung im Einzelfall ab. Nach dem Erwägungsgrund 51 der DSGVO sollte die Verarbeitung von Lichtbildern nicht grundsätzlich als Verarbeitung besonderer Kategorien von personenbezogenen Daten angesehen werden, da Lichtbilder nur dann von der Definition des Begriffs „biometrische Daten“ erfasst werden, wenn sie mit speziellen technischen Mitteln verarbeitet werden, die die eindeutige Identifizierung oder Authentifizierung einer natürlichen Person ermöglichen. Entscheidend sind daher die technischen Mittel und die Analyseverfahren mit denen die Lichtbilder aufgenommen und verarbeitet werden. Zweifelsfrei sind die Lichtbilder im Personalausweis / Reisepass biometrische Daten, da diese für einen automatisierten Abgleich mit der Person geeignet sind.

Werden Lichtbilder für bestimmte Verarbeitungsprozesse eingesetzt, insbesondere wenn diese mit speziellen Verfahren verarbeitet werden, sollte zwingend der Datenschutzbeauftragte einbezogen werden, um zu prüfen, ob es sich in diesem Fall um ein biometrisches Datum handelt und um zu klären, ob der Verarbeitungsvorgang eventuell anzupassen ist. In diesem Zusammenhang sollte auch geprüft werden, ob ggf. eine Datenschutzfolgenabschätzung gemäß Art. 35 DSGVO durchzuführen ist. Zudem ist das Verfahren zwingend in das Verarbeitungsverzeichnis gemäß Art. 30 Abs. 1 DSGVO aufzunehmen. Zu empfehlen ist, in diesem zu dokumentieren, auf welcher Grundlage die Einschätzung, ob es sich um ein biometrisches Datum handelt oder nicht, erfolgte. Werden Dienstleister zu der Verarbeitung der Lichtbilder eingesetzt, ist ggf. ein Auftragsverarbeitungsvertrag abzuschließen.

Kategorien: Allgemein
Schlagwörter: , , ,