"Smarte" Verkaufsautomaten am Campus der Universität von Waterloo in Kanada stehen im Verdacht heimlich Gesichtserkennungsdaten von Studentinnen und Studenten gesammelt zu haben. Alles begann, als ein Student eine typische Windows-Fehlermeldung auf einem Automaten entdeckte und ein Foto davon auf Reddit postete. Die Fehlermeldung bezog sich auf eine "Invenda.Vending.FacialRecognitionApp.exe", die offenbar nicht gestartet werden konnte. Das wiederum deutet darauf hin, dass auf dem Gerät eine Gesichtserkennungssoftware läuft. Darauf fragte man sich auf der Uni: Warum brauchen Verkaufsautomaten für M&Ms eigentlich eine Software zur Gesichtserkennung und was passiert mit den so gesammelten Daten?
River Stanley, selbst Student und Redakteur der Uni-Publikation "Mathnews" forschte nach und fand Besorgniserregendes: Der Hersteller der Automaten, kündigte in einer der Verkaufsbroschüren an, dass "die Maschinen in der Lage sind, das geschätzte Alter und Geschlecht", jeder Person, die die Geräte benutzt, zu übermitteln. "Sobald die Daten an die Steuereinheit gesendet wurden", könnten sie "mit anderen Informationen, wie beispielsweise den lokalen Wetterbedingungen und der Tageszeit, kombiniert werden", heißt es weiter. "Die Plattform kann dann eine Nachricht an die Videoanzeige zurücksenden, um gezielte Werbeaktionen auszulösen und Zusatzverkäufe in einer einzigen Transaktion anzuregen." Um eine Zustimmung der Betroffenen wird nicht gebeten.
Dies erinnerte wiederum an einen ähnlichen Fall aus dem Jahr 2020. Damals ging die kanadische Datenschutzbehörde gegen Cadillac Fairview vor. Das Unternehmen soll in seinen Einkaufszentren heimlich Gesichtserkennungssoftware in Infoterminals eingesetzt haben ohne die Kundschaft davon zu informieren. Die Gesichter von fünf Millionen Kanadierinnen und Kanadiern wurden ohne ihr Einverständnis gescannt. Das Unternehmen wurde gezwungen die Datenbank zu löschen.
Stanley rief daraufhin in der Uni-Zeitung seine Mitstudierenden dazu auf, die Universitätsleitung aufzufordern, Gesichtserkennung vom Campus zu verbannen. Eine Sprecherin der University of Waterloo gab gegenüber dem kanadischen Sender CTV News an, dass man den Hersteller der Automaten gebeten habe, die Software zu deaktivieren, bis die Geräte entfernt werden können. Einen Zeitplan für die Entfernung der Automaten konnte die Sprecherin nicht nennen. "So bald wie möglich", wird die Sprecherin in "Ars Technica" zitiert. Das wiederum erzürnte die Studentinnen und Studenten weiter, die mittlerweile damit begannen die Kameras der Automaten mit Kaugummi und Post-its zu überkleben.
Widersprüchliche Aussagen
Stanley wandte sich an die Betreiber der Automaten, eine kanadische Firma namens Adaria Vending Services, die wiederum mit der schweizerischen Invenda eng kooperiert. Von dort erhielt er eine erstaunliche Antwort: Die Automaten würden gar keine Bilder aufnehmen oder speichern, teilte die Firma mit. Einzelpersonen können anhand der Technologie nicht identifiziert werden. Bei der Software für Gesichtserkennung handle es sich lediglich um einen "Bewegungssensor", der Gesichter erkennt. Schließlich müsse die Maschine ja wissen, wann sie die Verkaufsschnittstelle aktivieren müsse, hieß es in der offiziellen Stellungnahme. Und überhaupt: Die Maschinen würden in Zusammenarbeit mit Süßigkeitenhersteller Mars und Softwarehersteller Invenda dem strengsten Datenschutzstandard der Welt, der DSGVO in der EU entsprechen.
Eine gewagte Behauptung, wie auch Stanley meint, schließlich erfordert die DSVGO die Zustimmung der User. Der Schweizer Hersteller lieferte eine etwas andere Darstellung, "dass die in den intelligenten Verkaufsautomaten integrierte demografische Erkennungssoftware vollständig lokal arbeitet. Es erfolgt keine Speicherung, Kommunikation oder Übertragung von Bildern oder personenbezogenen Daten." Die Software führe die lokale Verarbeitung der vom optischen USB-Sensor abgeleiteten digitalen Bildkarten in Echtzeit durch. Nichts gelange etwa über das Internet in die Cloud, wie "Heise" berichtet.
Adaria betreibt die Automaten und befüllt sie mit Snacks, auf ihnen läuft die Software von Invenda, die wiederum eine Kooperation mit Mars, dem Hersteller von M&Ms, haben. Diese Kooperation ermöglichte es Invenda auch in Nordamerika Fuß zu fassen. (pez, 25.2.2024)