Gemeinsam Gesichter-Suchmaschinen stoppen
Gesichter-Suchmaschinen wie Clearview AI und Pimeyes
sammeln Milliarden von Fotos im Internet. Mit den Bildern füttern sie
ihren biometrischen Suchindex, um uns alle immer und überall
identifizierbar zu machen. Eigentlich sollte die DSGVO diesen
Überwachungsmonstern Steine in den Weg legen. Praktisch tut sie das aber
kaum. Gemeinsam verlangen wir Datenauskünfte von solchen Firmen und
bereiten Beschwerden bei den zuständigen Datenschutz-Ausichtsbehörden
vor.
Zunächst muss über eine Auskunftsanfrage festgestellt
werden, ob die Gesichter-Suchmaschine die eigenen Daten verarbeitet.
Wenn die Auskunft ergibt, dass das eigene Gesicht verarbeitet wurde oder
wenn keine Auskunft erteilt wird, kann im zweiten Schritt eine
Beschwerde bei einer Landesdatenschutzbehörde erfolgen ‒ vorzugsweise in
dem Bundesland, in dem du wohnst. Für Auskunftsanfrage und Beschwerde
stellen wir hier Vorlagen zur Verfügung.
1. Auskunftsanfrage
Die folgende Anfrage kann an Clearview AI und Pimeyes
gesandt werden. Der E-Mail muss ein Foto vom eigenen Gesicht angehängt
werden. Das Foto braucht nicht von bester Qualität und nicht aktuell zu
sein.
- Betreff: Privacy Request
- An: privacy@clearview.ai bzw. office@pimeyes.com
Dear sir or madam,
I am writing to obtain the following information that I
am entitled to receive. Please provide access to my personal data, and
the following information:
- the purposes of the
processing;
- the categories of personal
data concerned;
- the recipients or
categories of recipient to whom the personal data have been or will
be disclosed;
- where possible, the
envisaged period for which the personal data will be stored, or, if
not possible, the criteria used to determine that period;
- where the personal data are
not collected from me, any available information as to their
source;
- the existence of automated
decision-making, including profiling, and at least in those cases,
meaningful information about the logic involved, as well as the
significance and the envisaged consequences of such processing for
me.
After providing access to my personal data, please
erase all personal data concerning me. I am objecting to the processing
of personal data concerning me. If you do not comply with my erasure
request, you have to provide me with the reasons for doing so.
If you need any more information from me, please let me
know as soon as possible. Please note that I have the right to receive
this information in a standardized format within 30 days of your receipt
of this request. You have to confirm the erasure to me without undue
delay and in any event within one month of receipt of the request. My
request explicitly includes any other services and companies for which
you are the controller.
I am including the following data necessary to identify
me: A photo of my face. When you are done finding and/or removing any
images of me, please delete the photo I shared to facilitate the
request.
If you do not normally deal with these requests, please
pass along this letter to your Data Protection Officer. I can be
contacted by email.
Regards,
Länger als 30 Tagen brauchst du nicht auf Auskunft zu
warten. Dann kannst du dich bei deiner Datenschutzbehörde beschweren, da
keine Auskunft erteilt wurde.
2. Beschwerde
Wird keine Auskunft erteilt oder wenn die
Gesichter-Suchmaschine dein Gesicht verarbeitet, kannst du dich bei
deiner Landesdatenschutzbehörde beschweren. Die Behörden erreichst du
hier:
- Baden-Württemberg,
- Bayern,
- Berlin,
- Brandenburg,
- Bremen,
- Hamburg,
- Hessen,
- Mecklenburg-Vorpommern,
- Niedersachsen,
- Nordrhein-Westfalen,
- Rheinland-Pfalz,
- Saarland,
- Sachsen,
- Sachsen-Anhalt,
- Schleswig-Holstein
- Thüringen
Die meisten Behörden stellen ein Online-Formular zum Einreichen
bereit.
Innerhalb einer angemessenen Frist (maximal drei
Monate) muss die Behörde über den Stand bzw. das Ergebnis deiner
Beschwerde berichten. Bitte benachrichtige uns über den Ausgang deiner
Beschwerde und auch dann, wenn die Behörde nicht innerhalb von drei
Monaten reagiert.
a) Beschwerde Pimeyes "Keine Auskunft erteilt"
Pimeyes ist eine Gesichtersuchmaschine, bei der man
durch Hochladen eines Gesichts Fundstellen gleicher oder ähnlicher
Gesichter im Internet erfährt. Wenn man mit einem Bild meines Gesichts
bei Pimeyes sucht, findet man andere Bilder meines Gesichts. Insofern
muss ich davon ausgehen, dass Pimeyes, um seinen Dienst anbieten zu
können, ohne meine Einwilligung biometrische Daten meines Gesichts
verarbeitet.
Pimeyes hat mein Auskunftsersuchen nicht beantwortet
und hat Daten zu meiner Person nicht gelöscht. Pimeyes teilte mit, dass
sie meine Zustimmung (Einwilligung?) zur Verarbeitung meiner
biometrischen Daten benötigen würden, um mein Auskunftsersuchen zu
beantworten.
Pimeyes teilte auch mit, dass sie das Internet crawlen,
um “fingerprints” von Gesichtern und “thumbnails” der Bildausschnitte
mit Gesichtern sowie dazugehörige URLs zu speichern. D.h., wenn Pimeyes
also Bilder mit meinem Gesicht crawlte, dann haben sie bereits – ohne
meine Einwilligung – zur Erlangung des “fingerprints” mich betreffende
biometrische Daten verarbeitet.
Ich bin der Ansicht, dass die Verarbeitung meiner
biometrischen Daten durch Pimeyes gegen die DSGVO verstößt, insbesondere
gegen Artikel 6 Abs. 1 sowie 9 Abs. 1 DSGVO.
b) Beschwerde Clearview AI "Bild gefunden"
Clearview AI ist eine Gesichtersuchmaschine, bei der
man durch Hochladen eines Gesichts Fundstellen gleicher oder ähnlicher
Gesichter im Internet erfährt. Eine Auskunftsanfrage bei Clearview AI
hat ergeben, dass die Firma ohne meine Einwilligung biometrische Daten
meines Gesichts verarbeitet. Ich bin der Ansicht, dass diese
Verarbeitung gegen die DSGVO verstößt.
3. Dran bleiben
Wenn du dich zu Gesichter-Suchmaschinen, deinem
Auskunftsersuchen oder deiner Beschwerde mit anderen austauschen
möchtest, kannst du der Mailingliste gesichter@hamburg.ccc.de beitreten (schreibe einfach eine Mail an gesichter-request@hamburg.ccc.de mit dem Betreff "subscribe"). Wir freuen uns über
jeden Bericht über erfolgreiche und erfolglose Auskunftsersuchen und
Beschwerden.
