Schwedische Schule verstößt durch Gesichtserkennungssoftware gegen die DSGVO: Bußgeld in Höhe von 20.000 €
Ihr Ansprechpartner
Die schwedische Gemeinde Skelleftea, Herkunftsort des Schriftstellers und Journalisten Stieg Larsson, erlangte nun aus anderen Gründen mediale Aufmerksamkeit.
Das Gymnasium Anderstorp´s wandte in Kollaboration mit der IT-Firma Tieto eine Software zur Gesichtserkennung an. Damit wollten Lehrer sich gute 17.000 jährliche Stunden von Anwesenheitskontrollen ersparen und mehr auf den Unterrichtsinhalt fokussieren.
Die schwedische Datenschutzbehörde erfuhr durch einen Bericht des Magazins Computer Sweden von dem Experiment und nahm Ermittlungen auf. Das Pilotprogramm endete in einem Fiasko i. H. v. 200.000 SEK (20.000 Euro) Bußgeld wegen Verstoßes gegen die DSGVO.
Die Schule wollte das Klassenbuch durch biometrische Software-Analyse ersetzen
Über drei Wochen erfasste das Pilotprogramm biometrische Daten von 22 Studenten. Das Projekt sollte ausgeweitet werden und das altbekannte Klassenbuch mitsamt aufwendigen Präsenzlisten bald der Geschichte angehören. Laut Angaben der Beteiligten funktionierte alles zu ihrer ziemlichen Zufriedenheit, bis die Datenschutzbehörde über einen veröffentlichten Bericht zum Experiment alarmiert wurde. Das Pilotprogramm stehe nicht im Einklang mit den europäischen Datenschutzregelungen.
Die Verarbeitung biometrischer Daten unterliegt in der DSGVO strengen Voraussetzungen
Art. 9 Abs. 1 DSGVO untersagt grundsätzlich die Verarbeitung biometrischer Daten, die als „besondere Kategorie personenbezogener Daten“ eingestuft werden. Konkret lautet er: „Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.“
Die Einwilligung der Eltern war nicht ausreichend
Eine Ausnahme kann, muss aber nicht in Betracht kommen, wenn eine wirksame Einwilligung des Betroffenen vorliegt. Vorliegend stufte die Behörde die vorhandene elterliche Einwilligung als unzureichend ein, weil die Daten in besonderem Maße schutzbedürftig seien. Das Klassenzimmer sei ein privater Raum und darauf müssen die Schüler vertrauen können. Außerdem führte die Datenschutzbehörde aus, dass die ausdrückliche Einwilligung der Eltern als gesetzliche Vertreter auch deshalb nicht ausreiche, weil diese mit der Schulbehörde in gewisser Weise im Abhängigkeitsverhältnis stehen. Damit kann nicht davon ausgegangen werden, dass sie zu 100% aus freien Stücken dem Programm zugestimmt haben. Auch ist ins Gewicht gefallen, dass die Schule vor Einführung des Programms die schwedische Datenschutzbehörde nicht informiert hatte. Es fehle eine angemessene Folgenabschätzung, die aufgrund des Sensibilitätsgrades der Schülerdaten erforderlich gewesen wäre.
Für die Festsetzung des Bußgeldbetrags spielte eine Rolle, dass der Versuch zeitlich beschränkt war. Hätte die Schule das Pilotprogramm länger angewandt, wäre es zu einem deutlich höheren Bußgeld gekommen. Dies war das erste Mal, dass in Schweden Strafgeld im Zusammenhang mit einem Datenverstoß auferlegt wurde.
Ausblick
Biometrische Kontrollen sind die Zukunft, bei korrektem Einsatz kann am Arbeitsplatz sowie bei öffentlichen Veranstaltungen effektive Kontrolle zur Gefahrenabwendung erreicht werden. Datenschutzgesichtspunkte müssen dennoch als einschränkendes Element in jedem Einführungsmodell genauso effektiv eingebettet werden.
Ähnliche Artikel
Mehrfach ausgezeichnet.
