9 Mio. Euro Bußgeld gegen Clearview AI Inc.
Unrechtmäßige Erstellung biometrischer Profile von Personen im Vereinigten Königreich.

Das vorliegende Bußgeld steht mit biometrischen Profilen im Zusammenhang, welche das US-amerikanische Unternehmen unrechtmäßig von Personen im Vereinigten Königreich angefertigt hatte. 

Clearview AI bietet einen Service an, mit dem mittels künstlicher Intelligenz biometrische Profile von Personen erstellt werden können. Die dafür benötigten Daten werden dabei aus Fotos der Betroffenen extrahiert. Zu diesem Zweck unterhielt das Unternehmen eine Datenbank mit aktuell ca. 20 Milliarden Bildern von Gesichtern, die durch Web-Scraping aus öffentlichen Internetquellen (u.a. soziale Medien und Online-Videos) aus aller Welt zusammengetragen wurden. Die so erstellten Profile können dabei zusätzlich mit Informationen angereichert werden, die mit diesen Bildern verknüpft sind (z. B. Tag, Standorte, Websites). 

Wie viele der von Clearview AI erstellten Profile Personen im Vereinigten Königreich zuzuordnen waren, ist nicht bekannt. Der Bußgeldempfänger hatte gegenüber der britischen Datenschutzbehörde ICO erklärt, dass er nicht in der Lage ist, diese Information bereitzustellen. Da der Service des Unternehmens im Rahmen einer Testphase zwischenzeitlich von Klienten im Vereinigten Königreich genutzt worden war, ging die Behörde allerdings von einer großen Anzahl britischer Betroffener aus. So war der Behörde bspw. bekannt, dass mindestens fünf britische Strafverfolgungsbehörden Dienste von Clearview AI in Anspruch genommen hatten.

Zentral gelangte die ICO zu der Auffassung, dass die die im Zusammenhang mit der Erstellung biometrischer Profile erfolgte Verarbeitung der Daten von Personen im Vereinigten Königreich ohne Rechtsgrundlage und somit unrechtmäßig erfolgt war. Des Weiteren hatte Clearview AI gegen den Grundsatz der Speicherbegrenzung verstoßen, indem es keine Löschfristen für die Daten definiert hatte. Wie die Behörde feststellte, gab es keine Hinweise darauf, unter welchen Bedingungen und ob überhaupt einmal gesammelte Daten wieder gelöscht wurden. Im Gegenteil konnte ein ständiges Anwachsen der Datenbank verzeichnet werden. Trotz des hohen Risikos für die Betroffenen war dabei keine Datenschutz-Folgenabschätzung durchgeführt worden. 

Clearview AI hatte Betroffene zudem nicht ordnungsgemäß über die Verarbeitung ihrer Daten informiert. Die einzige Möglichkeit für Betroffene, Informationen dazu erhalten, bestand darin, das Unternehmen von sich aus zu kontaktieren. Hierfür mussten sie dem Unternehmen erst noch ein Foto von sich mitschicken, welches dann mit der Datenbank abgeglichen wurde. Dadurch hatte der Bußgeldempfänger nach Ansicht der Datenschutzbehörde nicht nur seine Informationspflicht verletzt, sondern es den Betroffenen auch erschwert, ihre Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch und nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht, wahrzunehmen.

Neben dem Bußgeld verbot die ICO dem Unternehmen die weitere Sammlung öffentlich online verfügbarer Daten von Personen im Vereinigten Königreich. Ebenso ordnete die Behörde an, dass das Unternehmen die von diesen bereits zusammengetragenen Daten wieder löscht.

Die italienische Datenschutzbehörde hatte gegen Clearview AI aufgrund der unberechtigten Erstellung biometrischer Profile von Personen in Italien am 10. Februar 2022 bereits ein Bußgeld in Höhe von 20 Mio. EUR verhängt.