Eine der größten Dating-Plattformen der Welt gab drei Millionen Nutzerfotos an eine Gesichtserkennungsfirma weiter – ohne Wissen der Betroffenen, ohne Einwilligung und am Ende: ohne jede finanzielle Strafe. Der Fall OkCupid zeigt, wie weit Datenschutz in den USA noch hinter europäischen Standards zurückliegt.
OkCupid leitete drei Millionen Nutzerfotos an Gesichtserkennungsunternehmen weiter – ohne Strafe
Die US-amerikanische Dating-Plattform OkCupid hat laut der Federal Trade Commission (FTC) rund drei Millionen Profilfotos ihrer Nutzer ohne deren Wissen an ein Gesichtserkennungsunternehmen weitergegeben. Der Mutterkonzern Match Group einigte sich mit der Behörde auf einen Vergleich – ohne finanzielle Sanktionen.
Was die FTC festgestellt hat
Die FTC wirft OkCupid vor, Nutzerdaten in einem Umfang geteilt zu haben, der weit über das hinausgeht, was Nutzer beim Erstellen ihrer Profile hätten erwarten können. Die betroffenen Fotos wurden an eine nicht namentlich genannte Gesichtserkennungsfirma übermittelt – offenbar zu Testzwecken. Nutzer wurden darüber nicht informiert, eine explizite Einwilligung lag nicht vor.
Der Vergleich sieht keine Bußgelder vor. Match Group und OkCupid verpflichten sich lediglich, derartige Datenweitergaben künftig zu unterlassen und transparenter mit Nutzerdaten umzugehen.
Kritiker bewerten das Ergebnis als weitgehendes Freifahrtschein-Signal für die Branche.
Gesichtserkennung und Nutzerdaten: Ein strukturelles Problem
Der Fall verdeutlicht ein grundsätzliches Spannungsverhältnis: Plattformen verfügen über massive Mengen sensibler biometrischer Daten, die in Geschäftsbeziehungen mit Dritten ohne ausreichende Kontrollen fließen können. Gesichtserkennungssysteme benötigen große, vielfältige Bilddatensätze zum Training – Dating-App-Fotos bieten genau das.
Besonders heikel ist, dass Profilbilder auf Dating-Plattformen zu den sensibelsten Datenkategorien zählen: Sie verknüpfen das Aussehen einer Person mit deren Beziehungsstatus, Vorlieben und anderen persönlichen Angaben.
Werden diese Daten für das Training von Gesichtserkennungsmodellen genutzt, entstehen Risiken, die weit über die ursprüngliche Plattformnutzung hinausgehen.
Keine finanziellen Konsequenzen – ein problematisches Signal
Dass Match Group und OkCupid trotz schwerwiegender Datenschutzverstöße keine Geldstrafe zahlen müssen, stößt in der Datenschutzcommunity auf breite Kritik. Ähnliche Fälle in der Vergangenheit – etwa der Cambridge-Analytica-Skandal bei Facebook – haben gezeigt, dass erst empfindliche Bußgelder und öffentlicher Druck zu strukturellen Verhaltensänderungen bei Tech-Unternehmen führen.
Die Entscheidung der FTC unter dem amtierenden politischen Kurs gibt Unternehmen wenig Anreiz, Datenweitergaben an KI- oder Biometrikanbieter mit der gebotenen Sorgfalt zu behandeln. Ob diese Praxis als Präzedenzfall für künftige Verfahren dient, bleibt abzuwarten.
Einordnung für deutsche und europäische Unternehmen
Für in Deutschland und der EU tätige Unternehmen gilt ein fundamental anderer Rechtsrahmen. Die Datenschutz-Grundverordnung (DSGVO) klassifiziert biometrische Daten als besondere Kategorie personenbezogener Daten gemäß Artikel 9 und verlangt eine ausdrückliche Einwilligung für deren Verarbeitung. Eine Weitergabe von Nutzerfotos an Dritte zu Trainingszwecken ohne informierte Zustimmung wäre in diesem Regulierungsumfeld schlicht rechtswidrig – mit Bußgeldern von bis zu vier Prozent des weltweiten Jahresumsatzes.
Für Tech- und KI-Verantwortliche in deutschen Unternehmen ergibt sich daraus eine klare Handlungsanforderung:
- Datenweitergaben an KI-Dienstleister oder Biometrikanbieter müssen Bestandteil formeller Compliance-Prozesse sein
- Verarbeitungsverzeichnisse müssen aktuell gehalten werden
- Auftragsverarbeitungsverträge nach Artikel 28 DSGVO sind zwingend abzuschließen
Der OkCupid-Fall zeigt, wie schnell selbst etablierte Plattformen in erhebliche regulatorische und reputationsbezogene Schwierigkeiten geraten können – in Europa mit deutlich spürbaren finanziellen Folgen.
Quelle: Ars Technica – Tech Policy
