Gemeinsam Gesichter-Suchmaschinen stoppen

Gesichter-Suchmaschinen wie Clearview AI und Pimeyes sammeln Milliarden von Fotos im Internet. Mit den Bildern füttern sie ihren biometrischen Suchindex, um uns alle immer und überall identifizierbar zu machen. Eigentlich sollte die DSGVO diesen Überwachungsmonstern Steine in den Weg legen. Praktisch tut sie das aber kaum. Gemeinsam verlangen wir Datenauskünfte von solchen Firmen und bereiten Beschwerden bei den zuständigen Datenschutz-Ausichtsbehörden vor.

Zunächst muss über eine Auskunftsanfrage festgestellt werden, ob die Gesichter-Suchmaschine die eigenen Daten verarbeitet. Wenn die Auskunft ergibt, dass das eigene Gesicht verarbeitet wurde oder wenn keine Auskunft erteilt wird, kann im zweiten Schritt eine Beschwerde bei einer Landesdatenschutzbehörde erfolgen ‒ vorzugsweise in dem Bundesland, in dem du wohnst. Für Auskunftsanfrage und Beschwerde stellen wir hier Vorlagen zur Verfügung.

1. Auskunftsanfrage

Die folgende Anfrage kann an Clearview AI und Pimeyes gesandt werden. Der E-Mail muss ein Foto vom eigenen Gesicht angehängt werden. Das Foto braucht nicht von bester Qualität und nicht aktuell zu sein.

• Betreff: Privacy Request
• An: privacy@clearview.ai bzw. office@pimeyes.com

Dear sir or madam,

I am writing to obtain the following information that I am entitled to receive. Please provide access to my personal data, and the following information:

• the purposes of the processing;
• the categories of personal data concerned;
• the recipients or categories of recipient to whom the personal data have been or will be disclosed;
• where possible, the envisaged period for which the personal data will be stored, or, if not possible, the criteria used to determine that period;
• where the personal data are not collected from me, any available information as to their source;
• the existence of automated decision-making, including profiling, and at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for me.

After providing access to my personal data, please erase all personal data concerning me. I am objecting to the processing of personal data concerning me. If you do not comply with my erasure request, you have to provide me with the reasons for doing so.

If you need any more information from me, please let me know as soon as possible. Please note that I have the right to receive this information in a standardized format within 30 days of your receipt of this request. You have to confirm the erasure to me without undue delay and in any event within one month of receipt of the request. My request explicitly includes any other services and companies for which you are the controller.

I am including the following data necessary to identify me: A photo of my face. When you are done finding and/or removing any images of me, please delete the photo I shared to facilitate the request.

If you do not normally deal with these requests, please pass along this letter to your Data Protection Officer. I can be contacted by email.

Regards,

Länger als 30 Tagen brauchst du nicht auf Auskunft zu warten. Dann kannst du dich bei deiner Datenschutzbehörde beschweren, da keine Auskunft erteilt wurde.

2. Beschwerde

Wird keine Auskunft erteilt oder wenn die Gesichter-Suchmaschine dein Gesicht verarbeitet, kannst du dich bei deiner Landesdatenschutzbehörde beschweren. Die Behörden erreichst du hier:

• Baden-Württemberg,
• Bayern,
• Berlin,
• Brandenburg,
• Bremen,
• Hamburg,
• Hessen,
• Mecklenburg-Vorpommern,
• Niedersachsen,
• Nordrhein-Westfalen,
• Rheinland-Pfalz,
• Saarland,
• Sachsen,
• Sachsen-Anhalt,
• Schleswig-Holstein
• Thüringen

Die meisten Behörden stellen ein Online-Formular zum Einreichen bereit.

Innerhalb einer angemessenen Frist (maximal drei Monate) muss die Behörde über den Stand bzw. das Ergebnis deiner Beschwerde berichten. Bitte benachrichtige uns über den Ausgang deiner Beschwerde und auch dann, wenn die Behörde nicht innerhalb von drei Monaten reagiert.

a) Beschwerde Pimeyes “Keine Auskunft erteilt”

Pimeyes ist eine Gesichtersuchmaschine, bei der man durch Hochladen eines Gesichts Fundstellen gleicher oder ähnlicher Gesichter im Internet erfährt. Wenn man mit einem Bild meines Gesichts bei Pimeyes sucht, findet man andere Bilder meines Gesichts. Insofern muss ich davon ausgehen, dass Pimeyes, um seinen Dienst anbieten zu können, ohne meine Einwilligung biometrische Daten meines Gesichts verarbeitet.

Pimeyes hat mein Auskunftsersuchen nicht beantwortet und hat Daten zu meiner Person nicht gelöscht. Pimeyes teilte mit, dass sie meine Zustimmung (Einwilligung?) zur Verarbeitung meiner biometrischen Daten benötigen würden, um mein Auskunftsersuchen zu beantworten.

Pimeyes teilte auch mit, dass sie das Internet crawlen, um “fingerprints” von Gesichtern und “thumbnails” der Bildausschnitte mit Gesichtern sowie dazugehörige URLs zu speichern. D.h., wenn Pimeyes also Bilder mit meinem Gesicht crawlte, dann haben sie bereits – ohne meine Einwilligung – zur Erlangung des “fingerprints” mich betreffende biometrische Daten verarbeitet.

Ich bin der Ansicht, dass die Verarbeitung meiner biometrischen Daten durch Pimeyes gegen die DSGVO verstößt, insbesondere gegen Artikel 6 Abs. 1 sowie 9 Abs. 1 DSGVO.

b) Beschwerde Clearview AI “Bild gefunden”

Clearview AI ist eine Gesichtersuchmaschine, bei der man durch Hochladen eines Gesichts Fundstellen gleicher oder ähnlicher Gesichter im Internet erfährt. Eine Auskunftsanfrage bei Clearview AI hat ergeben, dass die Firma ohne meine Einwilligung biometrische Daten meines Gesichts verarbeitet. Ich bin der Ansicht, dass diese Verarbeitung gegen die DSGVO verstößt.

3. Dran bleiben

Wenn du dich zu Gesichter-Suchmaschinen, deinem Auskunftsersuchen oder deiner Beschwerde mit anderen austauschen möchtest, kannst du der Mailingliste gesichter@hamburg.ccc.de beitreten (schreibe einfach eine Mail an gesichter-request@lists.hamburg.ccc.de mit dem Betreff “subscribe”), oder abonniere die Liste über dieses Formular. Wir freuen uns über jeden Bericht über erfolgreiche und erfolglose Auskunftsersuchen und Beschwerden.