Gesichtserkennung verbinden viele vor allem mit Science-Fiction-Filmen. Eine irgendwie gruselig anmutende Technologie, basierend auf künstlicher Intelligenz, die Menschen in Zukunftsszenarien durchleuchtet und uns auf Schritt und Tritt verfolgt. Dabei ist das reconocimiento facial auf Mallorca bereits Alltag. Ob in Supermärkten, an Bankautomaten oder am Flughafen der Nachbarinsel Menorca: Die Technologie hat begonnen, das Inselleben zu durchdringen - und nicht immer bekommt die Bevölkerung es mit. Was für die einen ein großer Fortschritt ist, bereitet Datenschützern Sorgen. Zu Recht?

Erkannt im Supermarkt

Es ist Samstagmittag (1.8.) und in der Mercadona-Filiale in Cala Ratjada bringen Einheimische und Touristen ihre Einkäufe hinter sich. Schnell, um möglichst bald wieder am Strand oder im klimatisierten Wohnzimmer zu sein. Keiner der Kunden schenkt dem kleinen gelben Aushang am Eingang Beachtung. Nur wer das Kleingedruckte liest, wird - ebenso wie auf der Mercadona-Website - auf Spanisch und Katalanisch darüber informiert, dass die

Supermarktkette neuerdings die Technologie der Gesichtserkennung einsetzt. „Ausschließlich um Personen zu erfassen, die ein Hausverbot haben", steht dort. Diebe oder Störenfriede, die auf der schwarzen Liste stehen. Die Daten blieben nur „einige Zehntelsekunden" zum Abgleich im System und würden nicht gespeichert, ist ebenfalls dort zu lesen. Der Konzern startete die Überwachungsmaßnahme am 1. Juli in 40 Filialen auf Mallorca, in Zaragoza und in Valencia - und das, ohne großes Aufheben darum zu machen.

Erfasst wird jeder, der den Laden betritt. Kinder, Urlauber, Residenten. „Das wusste ich gar nicht", sagt eine ältere Kundin etwas erschrocken, als die MZ-Reporterin sie darauf anspricht. „Mir ist es egal", beteuert indes eine junge Frau aus dem Ort. „Ich bin ja keine Diebin." Ihr Partner sieht das anders. „Also, ich möchte nicht, dass sie mich überall erkennen, ohne mich zu fragen", sagt er und zieht sich seine Corona-Maske noch weiter ins Gesicht - nicht wissend, dass die Technologie ihn so trotzdem erfassen kann.

Wie funktioniert es?

Wolfgang Wahlster, Informatikprofessor und Gründungsdirektor des Deutschen Forschungszentrums für Künstliche Intelligenz (DFKI) sowie Mitglied der Datenethikkommission der Bundesregierung hat selbst an der Entwicklung von Systemen zur Gesichtserkennung gearbeitet. „Eine Corona-Maske ist kein zuverlässiger Schutz vor Erkennung", sagt er und holt weiter aus. „Bereits vor 15 Jahren gab es erste Verfahren der Gesichtserkennung, doch erst in den vergangenen zwei bis drei Jahren hat sich die Technologie so sehr verbessert, dass sie nun auch zunehmend für Unternehmen interessant ist." Entscheidend sei vor allem, wie viele Bilder des zu erkennenden Menschen dem Programm vorliegen. „Je mehr Bilder aus verschiedenen Blickwinkeln und mit unterschiedlicher Belichtung vorhanden sind, desto leichter fällt es dem Programm, die Merkmale zu erkennen und mit dem vorliegenden Unbekannten zu vergleichen."

Zunächst gehe das Programm in ein Trainingsverfahren, in dem Bilder einer identifizierten Person mit vielen Fotos anderer Menschen vermischt werden. In einem großen Rechenzentrum würden 10.000 bis 100.000 solcher Versuche gestartet. „Das System abstrahiert dabei Merkmale des Gesichts. Es geht nicht um die Augenfarbe oder die Frisur und auch nicht um die Vermessung des Gesichts, sondern um das Verhältnis von Bildpunkten, also Pixeln, zu anderen Pixeln im digitalen Bild." Deshalb reiche es auch, wenn nur Teile des Gesichts unverdeckt sind. Immer wenn das Programm die Person im Training richtig erkannt hat, werde es „belohnt". „So leitet es für sich ganz spezielle Muster ab, die wir Menschen gar nicht mehr nachvollziehen können." Eine 100-prozentige Sicherheit bei der Erkennung gebe es noch nicht, so Wahlster, „die Erkennungsrate liegt etwa bei 95, oft auch nur bei 80 Prozent."

Dabei variiere die Trefferquote stark, je nachdem, ob es sich um die Identifizierung oder Authentifizierung einer Person handele. Logischerweise sei es für das Programm einfacher zu prüfen, ob eine konkrete Person die ist, für die sie sich ausgibt - beispielsweise beim Bankautomaten oder beim Check-in am Flughafen - als aus einer großen Menge zufällig vorbeilaufender Menschen Einzelne zu identifizieren. „Die Authentifizierung bei Bankautomaten oder der Zugangskontrolle funktioniert schon sehr gut, vor allem wenn man zusätzlich noch andere biometrische Merkmale wie die Stimme oder die Iris überprüfen lässt", berichtet Wahlster.

Auch die Entfernung der Kamera zum Gesicht sei entscheidend. „Es funktioniert auf ein bis zwei Meter, ab fünf Metern ist das Verfahren je nach Bildauflösung meist nicht mehr vertrauenswürdig, dafür eignet sich die Gangerkennung besser, die einen Menschen auch bei 200 Meter Entfernung eindeutig erkennen kann."

Ist das erlaubt?

Im Fall Mercadona ist die Gesichtserkennungstechnik direkt am Eingang angebracht, die Entfernung zu den Kunden ist gering. Dass sich Mercadona mit seiner neuen Sicherheitsstrategie zumindest am Rande der Legalität befindet, steht außer Frage. Die Spanische Agentur für Datenschutz (AEPD) hat vor wenigen Wochen eine Untersuchung eingeleitet. „Wir sind durch die Medien auf das Thema aufmerksam geworden", so Pressesprecher Carlos Casas gegenüber der MZ. In Kürze sollen die Ermittlungen beginnen.

Auf MZ-Nachfrage will der Mercadona-Konzern nichts von dem von der Agentur eingeleiteten Verfahren wissen. „Wir hatten schon im Vorfeld Kontakt zur AEPD, um ihr alle Informationen über das Projekt zukommen zu lassen und haben alle Richtlinien befolgt, die sie uns gegeben haben", so eine Sprecherin.

„Wenn sich herausstellt, dass der Konzern tatsächlich gegen geltendes Recht verstößt, drohen ihm Strafen von bis zu 20 Millionen Euro oder vier Prozent seines jährlichen Umsatzes", sagt Alfonso Pacheco. Der auf Datenschutz spezialisierte Anwalt aus Palma kann sich durchaus vorstellen, dass Mercadona die Gesichtserkennung in ihrer derzeitigen Form nicht weiterführen darf. „In den Niederlanden gab es einen ähnlichen Fall in einer

Supermarktkette. Damals untersagten die dortigen Behörden das Vorgehen", so Pacheco.

Ein Blick auf Präzedenzfälle in den Nachbarländern liegt nah - der Schutz biometrischer Daten ist durch die Datenschutz-Grundverordnung der EU europaweit einheitlich geregelt. In Spanien wird die Verordnung durch das Datenschutzgesetz RGPD aus dem Jahr 2018 umgesetzt. „Biometrische Daten wie Gesicht, Iris, Gang, Stimme oder Fingerabdrücke genießen höchsten Schutz, da sie sehr persönlich sind", so Pacheco. Man brauche schwerwiegende Gründe im öffentlichen Interesse, um diese Daten ohne ausdrückliches Einverständnis der Betroffenen sammeln oder analysieren zu dürfen.

Mercadona betont auf Nachfrage, Ziel des Pilotprojekts sei es, die Sicherheit von Mitarbeitern und Kunden zu erhöhen. Pacheco sieht aber vielmehr die Absicht im Vordergrund, die Anzahl der Diebstähle zu reduzieren. Ob der Konzern damit durchkomme, sei fraglich. „In einem Fußballstadion in Dänemark durfte die Gesichtserkennung am Eingang bestehen bleiben, um wiederholt gewalttätige Fans herauszufiltern. Allerdings wurde dort tatsächlich die Sicherheit der anderen Stadionbesucher in die Waagschale geworfen."

Erkennung mit Einwilligung

Viel eindeutiger ist die Situation bei der CaixaBank, die nun angekündigt hat, auf Mallorca an mehreren ihrer Geldautomaten die Gesichtserkennung optional anzubieten, damit die Kunden den Automaten so wenig wie möglich anfassen und sich auch keine Passwörter merken müssen. „Hier willigt der Kunde ein, stellt dem System freiwillig Bilder von sich zur Verfügung und kann selbst darüber entscheiden, ob die Technologie angewendet werden soll oder nicht", sagt Pacheco.

Gleiches gelte für das Pilotprojekt an Menorcas Flughafen: Seit März wird dort, zum ersten Mal in Spanien, die Gesichtserkennung beim Check-in getestet, um die Vorgänge „zu beschleunigen" und „sicherer zu machen", wie die Flughafenbetreiber-Gesellschaft Aena im Frühjahr in einer Pressemitteilung bekannt gab. Sollte das Prozedere sich als effizient erweisen, könne die Technologie dann auch an anderen Standorten eingeführt werden, etwa in Palma de Mallorca. Der Anwalt Alfonso Pacheco hält auch das für weitgehend unbedenklich. „Keiner wird gezwungen, sich beim Check-in der Gesichtserkennung zu unterziehen, und jeder der Passagiere ist sich bewusst, dass das Programm sein Gesicht in Echtzeit mit dem Foto auf seinem Ausweis abgleicht", erläutert er. Anders als bei der Bank würden am Flughafen auch keinerlei Aufnahmen gespeichert. „Das ist rechtlich ganz unbedenklich."

Fluch oder Segen?

Dass viele Menschen - wenn sie denn vor die Wahl gestellt werden - ihre biometrischen Daten künftig vermehrt freiwillig hergeben, um Prozesse zu vereinfachen, sei wahrscheinlich, glaubt Wolfgang Wahlster vom DFKI. Schließlich nutzten viele bereits ihren Fingerabdruck oder den Iris-Scan, um ihre Smartphones oder Laptops zu sichern. „Auch Gesichtserkennung wird sich in den kommenden Jahren weiter in unserer Gesellschaft verbreiten. Das wird man nicht ganz vermeiden können, denn sie ist teilweise wirklich sinnvoll", so Wahlster. Er plädiert deshalb dafür, die Technologie nicht zu verteufeln. „Man muss aber ethisch mit ihr umgehen."

Dass dieses Ethik-Verständnis in Europa ein anderes sei als beispielsweise in den USA und China, hat Wahlster auf Reisen bereits selbst erlebt. „Einer unserer Mitarbeiter bekam in China per SMS die Benachrichtigung auf sein Handy, dass er ein Bußgeld zahlen muss, weil er Sekunden zuvor bei Rot über eine Ampel gegangen war." Als Identifizierungsgrundlage dienten bei der Einreise geschossene Bilder. Dass Europa solche Überwachungsmechanismen von staatlicher Seite drohen, glaubt Wahlster nicht.

Anwalt Alfonso Pacheco sieht das ähnlich. „Technisch wird bald immer mehr möglich sein. Aber nicht alles, was geht, sollte auch erlaubt sein." Die Gesetzgebung sei gefragt, und mit ihr die Politik. Nur so könne Selbstbestimmung auch in Zeiten von Gesichtserkennung gewahrt bleiben.