Gib mir deine Daten und du wirst alt aussehen. FaceApp at its best.

Die kostenlose App ist schnell downgeloaded. Das Gesicht ebenso schnell künstlich gealtert. Und die biometrischen Daten – sind noch schneller futsch. Wer sich in die aktuelle Hysterie um die FaceApp einreiht und bei der #FaceAppChallenge in den sozialen Netzwerken mitmacht, hat seine Bilder bei FaceApp schon hochgeladen und seine Daten übermittelt. Doch was passiert nun mit diesen Daten? Eine Spurensuche.

Auf den Spuren der Daten – FaceApp und der Datenschutz

Was ist FaceApp genau? Es handelt sich hierbei um eine Anwendung für das Smartphone, das von der Firma Wireless Lab aus Sankt Petersburg entwickelt wurde und kostenlos angeboten wird. Wollen User wissen, wie sie in alt aussehen, mit einem anderen Make-Up oder sich selbst gar gerne als anderes Geschlecht dargestellt sehen möchten, hilft diese App weiter. Sobald die Anwender die AGB akzeptiert haben, macht sich bei FaceApp eine künstliche Intelligenz ans Werk und lässt die Nutzer alt aussehen. Im echten und im übertragenen Sinn. Denn die Nutzungsbedingungen von FaceApp haben es in sich

Sind die Bilder bei FaceApp sicher?

Um diese Frage zu beantworten, muss man erst verstehen, wohin die User-Daten gehen. Die Fotos, die sich die App selbstständig vom Smartphone holt, werden nämlich nicht auf dem Telefon selbst bearbeitet, sondern an einen Server geschickt – unter anderem handelt es sich dabei um den Cloud-Dienst AWS von Amazon. Wo die Daten aber noch gespeichert werden, wo alle verwendeten Server stehen oder wie es mit der Sicherheit der Speicherorte aussieht, ist unbekannt. Jetzt erst fängt die KI an, die hochgeladenen Bilder zu bearbeiten. Je mehr Daten dieser künstlichen Intelligenz dabei zur Verfügung gestellt werden, umso mehr lernt sie daraus (maschinelles Lernen) und desto besser wird sie. Laut FaceApp wird dabei u.a. auch auf Googles KI-Software Tensorflow zurückgegriffen, die anderen KIs werden nicht spezifiziert.

Undurchsichtiger Dschungel

Offen bleiben die Frage, welche Daten genau erhoben werden. Die Datenschutzerklärung ist hier mehr als dürftig: „Hier übergeben Sie also ein Foto von sich oder anderen, das biometrisch auswertbar ist, Ihnen also zugeordnet werden kann, an eine dritte, nicht bekannte Person“, warnt der deutsche Bundesdatenschutzbeauftragte Ulrich Kelber. Zwar erklärt Yaroslav Goncharov, der Chef der FaceApp Firma, in diesem Zusammenhang, dass die Bilder nach dem Bearbeiten gelöscht werden würden. Sicher ist das aber nicht – denn Fakt ist, dass die User dem App-Anbieter durch Bestätigung der AGBs

• uneingeschränkt
• unwiderruflich
• unbefristet
• weltweit und
• gebührenfrei

Zugriff auf ihre Bilder und somit auf ihre personenbezogenen Daten geben. Eine weiterführende Nutzung, etwa im öffentlichen Raum oder auf kommerzielle Weise, ist weder auszuschließen noch nachträglich zu verhindern. Es kann also durchaus sein, dass man sich als FaceApp-Nutzer bald selbst ohne sein Wissen in einer x-beliebigen Werbung wiederentdeckt. FaceApp versichert zwar, keine Daten an Dritte weiterzugeben, aber DSGVO-konform ist die App trotzdem nicht: Die Datenschutzexpertin Elena Sommer-Hörl von datenschutzexperte.de verweist im Interview mit dem Radiosender RPR1 darauf, dass allgemein erst einmal zu prüfen sei, ob derart vage Nutzungsbedingungen wie die von FaceApp überhaupt zulässig seien, denn „diese Zusatzvereinbarungen sind sehr versteckt in den Nutzungsbedingungen und keineswegs offensichtlich“. Sommer-Hörl sieht vor allem den „unklaren Gebrauch und die Weitergabe“ als gefährlich an. Alle von FaceApp erhobenen Daten einsehen oder die bereits verarbeiteten Daten von FaceApp anfordern geht übrigens nicht.

Daten von FaceApp löschen – geht das?

Nicht zuletzt durch die DSGVO hat jeder User das Recht auf die Löschung seiner Daten, doch Goncharov gibt zu, dass sein Team aufgrund des hohen Aufregens um die App „überlastet“ sei. Wann und ob dem Löschen der Daten nachgegangen wird, ist unbekannt. Und auch wenn die Bilder gelöscht werden, dann gilt das zwar für die App selbst, aber nicht für die Server. Dort liegen die Bilder dann weiter – dem stimmt man als User in den Nutzungsbedingungen ebenfalls zu.

Natürlich ist FaceApp bei Weitem nicht die einzige App, die biometrische Daten auf Server hochlädt, aber momentan scheint es die meistgenutzte mit den für die User nachteilig ausgestalteten Nutzungsbedingungen zu sein. Darin steht unter anderem auch, dass auf den Standort des Users zugegriffen und der Browserverlauf ausgelesen wird. Wieso aber sollen solche Informationen für ein verändertes Foto relevant sein?

Der Fraktionschef der Demokraten im US-Senat, Chuck Schumer, sieht in der der App und in dem Umgang von FaceApp mit dem Datenschutz ein nationales Sicherheitsrisiko. Das ist eventuell übertrieben, aber Fakt ist, dass die durch die App gewonnenen Bilder beispielsweise als Trainingsfotos für eine KI verwendet werden können. Und dies ist kein Horror-Szenario übernervöser Datenschützer, sondern bereits erst kürzlich schon einmal passiert: Laut Berichten von NBC verwendete der Cloud-Anbieter Ever die von den Usern gespeicherten Fotos dazu, die firmeneigene Gesichtserkennungs-Software zu trainieren. In die Ever-AGB geschrieben wurde das erst nachträglich, als der Skandal aufflog. Ein solch laxer Umgang von Apps mit hochsensiblen personenbezogenen Daten ist unverantwortlich und sollte jeden User soweit dazu aufrütteln, um FaceApp zu kündigen. Wurde die App schon verwendet, ist es dafür freilich zu spät.

Kurzer Fame, lange Nachwirkung

Dass die Entwickler von FaceApp Russen sind, stört wohl vor allem die Amerikaner. Deswegen ist man, wie oben bereits in Schumers Statement deutlich wurde, insbesondere in den USA über die Verwendung der App besorgt. Den Rest der Welt sollte eher die Frage aufrütteln, ob es ein kurzer Erfolg in den sozialen Netzwerken wert ist, seine biometrischen Daten zu verschenken. Denn der Spaß mit den durch FaceApp veränderten Bildern wird bald wieder vergessen sein, die Millionen Bilder, die dadurch gewonnen wurden, auf unbekannten Servern liegen und einer etwaigen weiteren Verwendung entgegenwarten, hingegen nicht.