Das britische Berufungsgericht Upper Tribunal (UT) hat eine wegweisende Entscheidung im Fall der seit Jahren umstrittenen, auf biometrische Gesichtserkennung spezialisierten US-Firma Clearview AI getroffen. Die Londoner Richter best\u00e4tigten in einem Urteil die Zust\u00e4ndigkeit der britischen Datenschutzbeh\u00f6rde f\u00fcr den Fall. Das Information Commissioner’s Office (ICO) ist demnach f\u00fcr die Verh\u00e4ngung einer Geldstrafe in Millionenh\u00f6he und eine Anweisung zu deren Durchsetzung gegen das Unternehmen zust\u00e4ndig.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Clearview entnahm durch sogenanntes Scraping Milliarden von Fotos aus dem Internet und von sozialen Medien. Davon sind auch zahlreiche britische B\u00fcrger betroffen. Das Start-up lud die Bilder in eine globale, kommerziell genutzte Gesichtserkennungsdatenbank. Diese bietet es zur Identifizierung und zur \u00dcberwachung des Verhaltens von Personen unter anderem Strafverfolgungsbeh\u00f6rden an.<\/p>\n
Im Mai 2022 sanktionierte das ICO Clearview<\/a> mit einer Geldbu\u00dfe in H\u00f6he von knapp 7,6 Millionen Pfund (8,75 Millionen Euro). Die Aufsichtsinstanz wies die Firma zugleich an, ihr Verhalten zu unterlassen. Clearview legte Berufung ein, woraufhin der Fall durch die Instanzen ging. Jetzt entschied das Upper Tribunal zugunsten der Datenschutzbeh\u00f6rde<\/a> und stellte klar: Die Verarbeitung personenbezogener Daten durch Clearview dient der \u00dcberwachung des Verhaltens von in Gro\u00dfbritannien ans\u00e4ssigen Personen.<\/p>\n Clearview zur Rechenschaft ziehen<\/p>\n Weiter heben die Berufungsrichter hervor: Clearview f\u00e4llt nicht aus dem Anwendungsbereich des britischen Datenschutzrechts heraus, nur weil es seine Dienste haupts\u00e4chlich ausl\u00e4ndischen Strafverfolgungs- und Regierungsbeh\u00f6rden anbietet. Die Vorinstanz, das First-tier Tribunal (FTT), hatte gemeint, die britischen, an die Datenschutz-Grundverordnung (DSGVO<\/a>) angelehnten Vorschriften griffen in so einem Fall nicht<\/a>.<\/p>\n Die Entscheidung des UT ist f\u00fcr k\u00fcnftige F\u00e4lle mit \u00e4hnlichen Zust\u00e4ndigkeitsfragen rechtsverbindlich. Sie best\u00e4tigt den territorialen und sachlichen Geltungsbereich der „UK-DSGVO<\/a>„. Der britische Datenschutzbeauftragte John Edwards begr\u00fc\u00dft das Urteil<\/a>. Es gew\u00e4hrleiste die Handlungsf\u00e4higkeit der Beh\u00f6rde, B\u00fcrger vor dem unrechtm\u00e4\u00dfigen Sammeln ihrer personenbezogenen Informationen zu sch\u00fctzen \u2013 unabh\u00e4ngig davon, wo Verantwortliche ihren Sitz haben. Auch ausl\u00e4ndische Organisationen, deren Technologien die Freiheiten von Personen in Gro\u00dfbritannien beeintr\u00e4chtigen, m\u00fcssten zur Rechenschaft gezogen werden.<\/p>\n Implikationen und internationale Dimension<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Das UT arbeitete heraus, dass die Aktivit\u00e4ten von Clearview eine „Verhaltens\u00fcberwachung“ darstellen. Es entschied sich f\u00fcr eine weitreichende Interpretation dieses Begriffs, die auch die automatisierte Verarbeitung von Daten klar umfasst. Die B\u00fcrgerrechtsorganisation Privacy International unterstreicht, dass mit dem Beschluss ein „Outsourcen“ tief in die Grundrechte einschneidender \u00dcberwachungsma\u00dfnahmen an private Akteure nicht mehr m\u00f6glich sei.<\/p>\n Der Streit geht nun zur\u00fcck an die niedere Instanz, um die Eingaben von Clearview auf Basis der nun gekl\u00e4rten Zust\u00e4ndigkeit des ICO noch einmal zu pr\u00fcfen. Das Unternehmen kann noch Berufung gegen das UT-Urteil einlegen. Auch die Datenschutzbeh\u00f6rden von EU-L\u00e4ndern wie Frankreich<\/a>, Italien, den Niederlanden<\/a>, \u00d6sterreich und Griechenland werteten Clearviews Praktiken bereits als Versto\u00df gegen die DSGVO. Sie verh\u00e4ngten Geldbu\u00dfen in H\u00f6he von insgesamt 65,2 Millionen Euro. Privacy International zufolge hat die Firma die Strafen aber noch nirgends bezahlt.<\/p>\n