Die Datenschutzorganisation Noyb hat eine Beschwerde gegen Ryanair eingereicht. Europas größte Airline fordert einen Teil ihrer Kundschaft zur Durchführung eines "Verifizierungsprozesses" samt Gesichtserkennung auf – allerdings nur dann, wenn sie ihren Flug über die Website eines Onlinereisebüros buchen. Damit sollen Kundinnen und Kunden zur eigenen Seite von Ryanair gebracht werden, so der Vorwurf.
Die Datenschützer rund um den Österreicher Max Schrems kritisieren diese Maßnahme als invasiv, unnötig und vor allem rechtswidrig: "Die Airline scheint bereitwillig das Recht auf Datenschutz ihrer Kundinnen und Kunden zu verletzen, um sich einen Wettbewerbsvorteil zu verschaffen", wie Noyb mitteilte.
Kein Urlaub ohne Gesichtsscan
Nachdem eine Urlauberin einen Ryanair-Flug über das Onlinereisebüro Edreams gebucht hatte, wurde sie in einer E-Mail von Ryanair aufgefordert, einen "Verifizierungsprozess" durchzuführen. Sie wurde dabei vor die Wahl gestellt, sich entweder mithilfe von Gesichtserkennung zu verifizieren – oder mehr als zwei Stunden vor Abflug zum Check-in-Schalter am Flughafen zu gehen. Hätte sich die Beschwerdeführerin geweigert, ihre biometrischen Daten herzugeben, hätte sie den Flug nicht antreten können. Obendrein wurde ihr sogar noch eine kleine Gebühr für den "Verifizierungsprozess" verrechnet.
Laut Ryanair soll das Verfahren angeblich bei der Überprüfung der Kontaktangaben der Kundinnen und Kunden helfen. Stimmt nicht, sagt man bei Noyb: "In Wirklichkeit verfügt die Airline schon über alle relevanten Informationen. Außerdem verlangt Ryanair keine biometrischen Scans, wenn man direkt über die Ryanair-Website bucht. Der Zweck von Gesichtserkennungssystemen ist die Verifizierung von Gesichtern, nicht von E-Mail-Adressen."
Romain Robert, Program Director bei Noyb: "Ryanair hat bereits die richtigen Kontaktdaten, sonst könnten sie den Link zum 'Verifizierungsprozess' gar nicht verschicken. Eine Verifizierung von Kontaktdaten mittels biometrischer Daten macht außerdem wenig Sinn. Meine E-Mail-Adresse ist nicht auf meinem Gesicht oder Pass abgedruckt. Ryanairs Verifizierungssystem sieht nach einem weiteren Versuch aus, das Leben von Reisenden und Konkurrenten komplizierter zu machen, um den eigenen Gewinn zu steigern."
"Inakzeptable Risiken"
Gesichtserkennungssysteme benötigen die biometrischen Daten von Menschen – eine Kategorie, die gesetzlich besonders geschützt ist. Europäische Datenschutzbehörden warnen sogar, dass der Einsatz von Gesichtserkennung "inakzeptable Risiken" mit sich bringen kann. "Ryanair hingegen verwendet diese für seine fragwürdige Onlineverifizierung. Aber nicht nur das: Die Airline lagert den Prozess an ein externes Unternehmen namens Get ID aus. Kundinnen und Kunden müssen ihre biometrischen Daten also einem Unternehmen anvertrauen, von dem sie noch nie gehört und mit dem sie keinen Vertrag abgeschlossen haben", kritisieren die Datenschützer.
Ryanair steht auf dem Standpunkt, dass die Rechtsgrundlage für den Einsatz von Gesichtserkennung die Einwilligung der Kundschaft sei, schließlich stimmen die Fluggäste ja der Gesichtserkennung zu. Aber laut den Wiener Datenschützern hat die Airline keine nachvollziehbaren Informationen über den Zweck dieses invasiven Verfahrens bereitgestellt. Ohne klare Informationen kann die Einwilligung der Nutzenden weder informiert noch spezifisch sein – was bedeuten würde, dass sie nicht DSGVO-konform ist.
Felix Mikolasch, Datenschutzjurist bei Noyb: "Die von Ryanair bereitgestellten Informationen sind so verwirrend, dass Reisende glauben könnten, ihre Buchung sei ungültig. Indem die Airline sie zu einem Gesichtserkennungsprozess drängt, verletzt sie gleichzeitig die Privatsphäre ihrer Kundinnen und Kunden und stellt sicher, dass sie nicht nochmal über externe Anbieter buchen."
Gesichtsscan soll Kunden auf die eigene Seite locken
Der Verdacht der NGO: Der wahre Zweck des Verifizierungsprozesses scheint darin zu bestehen, Kundinnen und Kunden an der Flugbuchung über Onlinereisebüros zu hindern. Ryanair würde nicht nur vom Verkauf von Flügen, sondern auch von der Vermittlung von Mietwagen und Hotelbuchungen auf der eigenen Website profitieren – bucht die Kundschaft den Flug anderswo, verdient die Airline kein Körberlgeld.
Ryanair hat in der Vergangenheit bereits erfolglos versucht, Onlinereisebüros dafür zu verklagen, dass sie Flüge des Unternehmens anbieten. Die Datenschützer werfen der Fluglinie vor, ihre Marktposition auf Kosten der Nutzenden zu sichern und die Kundschaft durch die fragwürdigen Gesichtsscans zu einer Buchung direkt bei Ryanair zu bewegen.
Ryanair: "Dient dem Schutz der Kunden"
Dass man bei der Airline keine Freude mit Buchungen über Drittanbieter hat, daraus macht das Unternehmen keinen Hehl. Bei Ryanair betont man, dass man keine Geschäftsbeziehungen zu Onlinereisebüros betreibe und diese daher nicht befugt sind, deren Flüge zu verkaufen. In vielen Fällen würden die Reisebüros die Daten von Ryanair "scrapen" und Flüge und Zusatzleistungen mit versteckten Aufschlägen weiterverkaufen. In vielen Fällen würden dabei falsche Zahlungs- oder Passagierdaten erfasst, teilte eine Unternehmenssprecherin auf STANDARD-Nachfrage mit.
"Aus diesem Grund und um die Kunden zu schützen, müssen alle Kunden, die über einen Onlinereisebüro buchen, ein einfaches Kundenverifizierungsverfahren durchlaufen", teilte die Airline mit. Dies stelle sicher, dass alle Sicherheitsregeln und gesetzlichen Regulierungen eingehalten würden. "Ryanair bittet seine Kunden dringend, immer direkt auf Ryanair.com zu buchen", hieß es aus dem Unternehmenshauptquartier.
Beschwerde bei Datenschutzbehörde
Noyb hat eine Beschwerde bei der spanischen Datenschutzbehörde AEPD eingebracht. Ausgehend von Ryanairs Jahresumsatz von 4,8 Milliarden Euro im Jahr 2022 könnte die Datenschutzbehörde eine Geldstrafe von bis zu 192 Millionen Euro verhängen. Das entspricht vier Prozent des Jahresumsatzes, der geltenden Höchststrafe für Verstöße gegen die Datenschutz-Grundverordnung. Ryanair sei noch nicht über die Beschwerde informiert worden, teilte das Unternehmen mit. (Peter Zellinger, 27.7.2023)