Persona sammelt biometrische Daten auf Etsy, LinkedIn und Roblox

Biometrische Verifizierung: Persona sammelt sensible Daten auf Plattformen wie Etsy, LinkedIn und Roblox

Quelle: Netzpolitik.org

Immer mehr digitale Plattformen lassen die Identität oder das Alter ihrer Nutzerinnen und Nutzer durch externe Dienstleister prüfen. Zu diesen Anbietern gehört das US-amerikanische Unternehmen Persona Identities, Inc. aus San Francisco, dessen Verfahren laut Netzpolitik.org weit über eine einfache Identitätskontrolle hinausgehen.

Persona ist nach Angaben des Berichts inzwischen für mehr als 4.000 Unternehmen tätig und hat im vergangenen Jahr mehr als 1 Milliarde Verifizierungen überschritten. Zu den genannten Plattformen zählen Etsy, LinkedIn, Reddit, Roblox, OpenAI mit ChatGPT und Anthropic mit Claude.

Infobox: Persona verarbeitet biometrische und weitere personenbezogene Daten für Identitäts- und Alterskontrollen. Der Anbieter überschritt im vergangenen Jahr die Marke von 1 Milliarde Verifizierungen.

Etsy verlangt Identitätskontrollen von Verkäuferinnen und Verkäufern

Im Mittelpunkt des Berichts stehen unter anderem zwei Etsy-Verkäuferinnen aus der EU. Johanna, die anonym bleiben möchte, verkauft seit drei Jahren digitale Nähanleitungen auf dem Online-Marktplatz. Als Etsy sie aufforderte, ein Foto ihres Ausweises hochzuladen und ein Live-Selfie aufzunehmen, brach sie die Verifizierung ab.

Nach ihren Nachforschungen stellte Johanna fest, dass nicht Etsy selbst, sondern Persona die Daten erheben und verarbeiten sollte. Sie verfügt nach eigenen Angaben noch über einen der letzten Personalausweise ohne Fingerabdruck, kauft seit über zwanzig Jahren nicht mehr bei Amazon und hat noch nie ein Foto von sich irgendwo hochgeladen.

Etsy machte die biometrische Identitätskontrolle über Persona im Jahr 2024 zur Bedingung für die Eröffnung eines Shops. Bereits aktive Verkäuferinnen und Verkäufer in der EU wurden im Frühjahr zur Bestätigung ihrer Daten aufgefordert. Neben Steuer- und Kontodaten gehört auch die Prüfung der Identität durch Persona zu dem Verfahren.

Als möglichen Anlass nennt der Bericht Fake-Shops, die billig produzierte Massenware als handgemachte Unikate anbieten. Etsy erklärte demnach, mit den Datenüberprüfungen gegen Betrug vorgehen und gesetzlichen Verpflichtungen nachkommen zu wollen. Auf die Frage nach dem konkreten Anlass für die Verifizierung bereits bestehender Verkäuferinnen und Verkäufer reagierte Etsy nicht.

Da Etsy ihr nicht erlaubt, den Shop ohne die geforderte Identitätskontrolle weiterzubetreiben, entschied sich Johanna, ihren Shop zu schließen. Sie bezeichnete ihn als eine schöne Möglichkeit, ein passives Einkommen zu generieren, sah aber keinen ausreichenden wirtschaftlichen Nutzen, um dafür ihre Gesichtsbiometrie und Ausweisdokumente an Persona zu übermitteln.

Infobox: Etsy setzte die biometrische Identitätskontrolle für neue Shops im Jahr 2024 voraus. Bis Anfang 2027 soll die Verifizierungswelle in der EU fortgesetzt werden.

Fehlgeschlagene Verifizierung führt zu zweimonatigem Verdienstausfall

Eine weitere Etsy-Verkäuferin, die im Bericht Janine genannt wird, lebt seit mehr als einem Jahrzehnt von den Einnahmen aus ihrem Shop für Kurzwaren für Bastelarbeiten. Sie ist Verkäuferin in Vollzeit und trägt als Starverkäuferin ein besonderes Abzeichen, das auf kontinuierlich gute Bewertungen hinweist.

Janine konnte nachvollziehen, dass Etsy die Identität seiner Verkäuferinnen und Verkäufer prüfen wollte. Fake-Shops schadeten dem besonderen Charakter der Plattform und hätten negative Auswirkungen auf die Kundinnen und Kunden, erklärte sie. Bei der Verifizierung sollte sie ein Foto ihres Ausweises hochladen und ein Echtzeit-Selfie aufnehmen.

Die Gesichtserkennungssoftware von Persona extrahiert laut Netzpolitik.org Gesichtsmerkmale aus dem Ausweisfoto und dem Selfie und vergleicht die Gesichtsgeometrie. Auf diese Weise soll festgestellt werden, ob das Gesicht zu der Person auf dem Ausweis gehört.

Bei Janine scheiterte das Verfahren bereits beim Hochladen ihres deutschen Ausweises oder Reisepasses. Nach „unzähligen verzweifelten“ Versuchen wandte sie sich an den Etsy-Kundensupport. Mehrere Wochen lang gelang es ihr jedoch nicht, einen echten Menschen zu erreichen. Auch der Kontakt zur Legal-Abteilung von Etsy führte zunächst zu keiner Lösung.

Als die Frist ablief, versetzte Etsy ihren Shop in den Ferienmodus. Ihre Produkte waren dadurch unsichtbar, und der Shop blieb zwei Monate lang zwangspausiert. Janine berichtete von einem kompletten zweimonatigen Verdienstausfall und davon, von ihrem Ersparten leben sowie ihre Krankenkasse bezahlen zu müssen.

Erst nachdem ein Anwalt Etsy in ihrem Namen kontaktiert hatte, wurde sie aufgefordert, die Identitätsverifizierung erneut durchzuführen. Beim zweiten Versuch funktionierte das Verfahren. Eine Entschädigung oder Entschuldigung habe sie bis heute nicht erhalten. Nach Angaben des Berichts wäre ihr Shop nach weiteren 30 Tagen geschlossen worden.

Infobox: Janines Shop befand sich zwei Monate im Ferienmodus. Der daraus entstandene Verdienstausfall betraf ihre vollständige berufliche Existenz.

LinkedIn wirbt mit mehr Profilaufrufen nach Persona-Verifizierung

Auf LinkedIn ist die Verifizierung laut Netzpolitik.org nicht verpflichtend. Das blaue Häkchen soll anzeigen, dass hinter einem Profil tatsächlich die Person steht, für die sie sich ausgibt. LinkedIn betont, dass die Verarbeitung der Daten auf der Einwilligung der Nutzerinnen und Nutzer beruht.

Gleichzeitig wirbt die Tochterfirma von Microsoft damit, dass verifizierte Mitglieder im Durchschnitt 60 Prozent mehr Profilaufrufe erhalten und das Engagement um 50 Prozent steigern. Seit der Einführung der Verifizierung im Jahr 2024 haben sich nach Angaben von LinkedIn weltweit mehr als 100 Millionen Nutzende verifiziert.

Der Mastodon-Nutzer „rogi“, der in einem Blog namens „The Local Stack“ über Überwachungskapitalismus schreibt, wollte nach eigenen Angaben das blaue Häkchen auf LinkedIn. Vor der Verifizierung las er die Datenschutzerklärung und die Nutzungsbedingungen von Persona. Sein Beitrag löste laut Bericht eine breite Debatte darüber aus, was mit den persönlichen Informationen der LinkedIn-Nutzenden geschieht.

Persona erfasst bei der LinkedIn-Verifizierung nach den Datenschutzbestimmungen den vollständigen Namen, den Personalausweis samt Foto, ein Echtzeit-Selfie, die daraus extrahierte biometrische Gesichtsgeometrie, die Ausweisnummer, das Geschlecht, die Nationalität, das Geburtsdatum, das Alter, die E-Mailadresse, die Telefonnummer, die Postanschrift, die IP-Adresse, den Gerätetyp, die MAC-Adresse, den Browser, die Betriebssystemversion, die Sprache sowie Standortdaten, die aus der IP-Adresse abgeleitet werden.

Darüber hinaus verfolgt Persona, wie Nutzerinnen und Nutzer die Verifizierung durchlaufen. Dazu gehören beispielsweise die benötigte Zeit und die Frage, ob Informationen per Copy-and-Paste eingefügt werden. Neben physiologischen biometrischen Daten des Gesichts werden damit auch verhaltensbiometrische Daten erfasst.

Persona behält sich zudem vor, Daten aus einem „globalen Netzwerk vertrauenswürdiger Datenquellen von Drittanbietern“ zu beziehen und abzugleichen. Genannt werden behördliche Datenbanken, nationale Ausweisregister, Kreditauskunfteien, Versorgungsunternehmen, Mobilfunkanbieter und Postadressdatenbanken.

„Ein Häkchen auf LinkedIn wiegt grundrechtlich nicht schwer genug, um diesen Umfang an Datenverarbeitung zu rechtfertigen“, sagt Michael Mrak vom Verein österreichischer betrieblicher und behördlicher Datenschutzbeauftragter laut Netzpolitik.org.

Persona-Chef Rick Song erklärte laut Bericht, Ausweise europäischer Nutzerinnen und Nutzer würden nicht für KI-Training verwendet. Eine Passage, nach der „berechtigte Interessen“ die Nutzung von Ausweisbildern zur Verbesserung der Dienste legitimieren sollten, sei aus der Datenschutzrichtlinie entfernt worden. Biometrische Daten würden laut Song sofort nach der Verarbeitung gelöscht, andere personenbezogene Daten maximal 30 Tage gespeichert.

Infobox: LinkedIn verzeichnete nach eigenen Angaben weltweit mehr als 100 Millionen verifizierte Nutzende. Die Verifizierung wird mit 60 Prozent mehr Profilaufrufen und 50 Prozent mehr Engagement beworben.

Speicherfristen unterscheiden sich je nach Plattform

Nach der Verifizierung erhält LinkedIn nach Einwilligung der Nutzerinnen und Nutzer einige Daten von Persona. Dazu gehören der vollständige Name, die Art des amtlichen Ausweises und die ausstellende Behörde sowie gegebenenfalls die Telefonnummer. Biometrische Daten und Fotos aus dem Ausweis gehören laut LinkedIn nicht dazu.

Wie lange LinkedIn die erhaltenen Daten speichert, wollte ein Sprecher dem Bericht zufolge nicht beantworten. Bei Etsy werden biometrische Daten von Verkäuferinnen und Verkäufern durch Persona bis zu einem Jahr gespeichert. Etsy selbst bewahrt das Selfie und das Ausweisbild sechs Jahre lang nach der Schließung des Shops auf.

Infobox: Die im Bericht genannten Speicherfristen reichen von drei Tagen bei Reddit bis zu sechs Jahren bei Etsy für Selfie und Ausweisbild nach Schließung eines Shops.

Persona kann bis zu 269 verschiedene Prüfungen durchführen

Im Februar entbrannte parallel zur Kontroverse um LinkedIn eine Debatte über Alterskontrollen auf Discord in Großbritannien. Sicherheitsforscherinnen und Sicherheitsforscher entdeckten ein Frontend von Persona im Netz, das Persona später als Testumgebung bezeichnete.

Der Fund zeigte, dass Persona bis zu 269 verschiedene Prüfungen durchführen kann. Dazu gehören der Abgleich eines Gesichts mit Fotos im Internet, behördlichen Datenbanken, Fahndungslisten und Listen politisch exponierter Personen, die Suche nach negativen Medienberichten sowie die Vergabe eines Risikowerts.

Persona stellte anschließend klar, dass keine Partnerplattform alle 269 Hintergrundchecks durchführt. Die Prüfungen seien ein Menü möglicher Kontrollen und würden nicht bei jeder Person angewendet. Eine unabhängige Prüfung des Quellcodes durch die IT-Security-Firma Trails of Bits kam laut Bericht zu dem Ergebnis, dass die 269 Checks ein konfigurierbares Menü und nicht universell angewandt seien.

Welche Abgleiche von Gesichtern und persönlichen Informationen mit welchen Datenbanken wann greifen, legt Persona nicht offen. Der Datenschutzjurist Felix Mikolasch von der Wiener Datenschutzorganisation Noyb bezeichnete die Angaben von Persona als sehr vage. Die umfangreiche Liste möglicher Datenverarbeitungen dürfte nach seiner Einschätzung kaum oder nur sehr selten verhältnismäßig sein, um Alter oder Identität zu bestätigen.

Discord beendete die Zusammenarbeit mit Persona nach der einmonatigen Testphase im Frühjahr. Als neuen Maßstab setzte Discord, dass die Altersschätzung anhand des Gesichts vollständig auf dem Gerät selbst durchgeführt werden müsse. Persona erfüllte diese Anforderungen nicht. Reddit und Roblox nutzen die Alterskontrollen von Persona weiterhin.

Infobox: Persona verfügt über ein konfigurierbares Menü mit bis zu 269 Prüfungen. Discord beendete die Zusammenarbeit nach einer einmonatigen Testphase im Frühjahr.

Roblox überträgt biometrische Daten von rund 75 Millionen Spielenden

Die Videospielplattform Roblox verlangt seit Anfang des Jahres eine Alterskontrolle, um chatten zu können. Persona schätzt das Alter entweder anhand des Gesichts oder liest es aus einem Ausweis aus. Auch bei der Ausweisverifizierung ist ein Selfie erforderlich.

Wer die Alterskontrolle nicht durchführt, kann bei Roblox nur auf ein eingeschränktes Spielangebot zugreifen. Dadurch werden Millionen von Spielerinnen und Spielern faktisch in den Biometrieprozess gedrängt. Roblox nutzt die Alterskontrolle außerdem, um Spielende in Altersgruppen einzuordnen und ihnen altersbasierte Konten zuzuweisen.

Nach Angaben von Roblox gegenüber Netzpolitik.org haben 57 Prozent der weltweit täglichen Nutzenden die Altersverifikation abgeschlossen. Bei 132 Millionen aktiven Nutzenden täglich bedeutet dies, dass biometrische Daten von rund 75 Millionen Spielerinnen und Spielern an die Infrastruktur von Persona übertragen wurden. Die meisten davon dürften Kinder und Jugendliche sein.

Roblox machte keine konkreten Angaben zu Speicherfristen. Eine Sprecherin erklärte, Persona lösche Bilder und Videos, sobald sie sicher verarbeitet worden seien. In der Hilfeseite zur Ausweisverifizierung und in der Datenschutzrichtlinie von Roblox findet sich laut Bericht jedoch der Hinweis, dass Persona biometrische Daten bis zu 30 Tage speichern kann.

Infobox: Roblox meldete 132 Millionen aktive Nutzende täglich. 57 Prozent hatten die Altersverifikation abgeschlossen; laut dem Bericht entspricht dies rund 75 Millionen Spielerinnen und Spielern.

Deutsche Jugendschutzbewertung steht neben offenen Datenschutzfragen

Die Kommission für Jugendmedienschutz bewertete Personas „Tool zur Alterseinschätzung mittels künstlicher Intelligenz“ im Jahr 2024 als geeignet. Persona präsentiert das Logo der Behörde auf der eigenen Webseite.

Die KJM beschreibt die Technologie als neuronales Netzwerk, das anhand einer Vielzahl von Gesichtsbildern darauf trainiert wurde, das Alter aus biometrischen Daten einzuschätzen. Maßgeblich für die Positivbewertung war, ob eine geschlossene Benutzergruppe für Erwachsene sicher hergestellt und der Zugang von Kindern zu gefährdenden Inhalten verhindert werden kann.

Persona habe im Antrag angegeben, die Datenrechte der betroffenen Personen zu beachten, erklärte eine KJM-Sprecherin gegenüber Netzpolitik.org. Bei der Alters- und Identitätsverifikation seien weder das Vorhalten von Daten noch ein Datenbankabgleich erforderlich und würden laut dem zur Bewertung vorgelegten Antrag auch nicht stattfinden. Die für die Altersschätzung erforderlichen Daten sollten nach Abschluss des Vorgangs gelöscht werden.

Dem stehen laut Bericht Angaben zu möglichen Datenverarbeitungen und Subunternehmen gegenüber. Joris Leander Kanowski und Michael Kolain vom Zentrum für Digitalrechte kritisieren, dass Nutzerinnen und Nutzer nicht kontrollieren können, wer in welchem Umfang auf ihre Daten zugreift.

Persona legt die Daten demnach einer Reihe weiterer Tech-Unternehmen offen, die sie im Auftrag von Persona verarbeiten. Insgesamt nennt der Bericht 17 Subunternehmen, darunter Anthropic, OpenAI und Groqcloud. Die veröffentlichte Liste lasse nicht erkennen, an welche dieser Unternehmen Daten von Nutzerinnen und Nutzern geschickt werden.

Zu den Aufgaben der Subunternehmen gehören laut Bericht Kreditkartenverarbeitung, Bildverarbeitung und Datenbankdienste. Mit einer Ausnahme aus Kanada haben alle diese Unternehmen ihren Hauptsitz in den USA.

„Das hat mit informationeller Selbstbestimmung nichts mehr zu tun“, kritisieren Joris Leander Kanowski und Michael Kolain vom Zentrum für Digitalrechte laut Netzpolitik.org.

Infobox: Die KJM bewertete Personas Werkzeug zur Alterseinschätzung im Jahr 2024 als geeignet. Gleichzeitig werden 17 Subunternehmen genannt, deren konkrete Datenzugriffe laut Bericht nicht ersichtlich sind.

US-Recht wirft Fragen beim Schutz europäischer Daten auf

Der Bericht thematisiert auch die Übermittlung personenbezogener Daten an US-Unternehmen. Datenschutzjurist Felix Mikolasch verweist auf den sogenannten CLOUD Act. US-Sicherheitsbehörden wie FBI, NSA und CIA könnten sich demnach Zugriff auf sensible Daten europäischer Bürgerinnen und Bürger verschaffen, wenn US-Unternehmen zur Herausgabe aufgefordert werden.

Dies gelte laut der Darstellung auch dann, wenn die Daten in Rechenzentren innerhalb der Europäischen Union gespeichert würden. Nach Einschätzung von Mikolasch sind persönliche Informationen europäischer Nutzerinnen und Nutzer in den USA nicht sicher. Für die Übermittlung personenbezogener Daten in die USA sei derzeit kein angemessenes Schutzniveau vorhanden.

Das Data Privacy Framework, auf das sich Persona beim Datentransfer bezieht, biete laut Mikolasch keinen wirklichen Schutz. Zusätzlich verweist der Bericht auf die US-amerikanische Aufsichtsbehörde FTC, deren Unabhängigkeit nach einer Entscheidung des Obersten Gerichtshofs der USA Ende Juni infrage gestellt werde.

Persona verfügt neben einem Sitz in London seit dem vergangenen Jahr auch über einen Sitz in Dublin. Damit sei zumindest rechtlich ein Zugriff der irischen Datenschutzbehörde auf das Unternehmen und seinen Umgang mit den persönlichen Informationen europäischer Nutzerinnen und Nutzer möglich. Damit die Behörde aktiv werde, brauche es laut Bericht öffentlichen Druck.

Infobox: Im Zentrum der Kritik stehen der CLOUD Act, das Data Privacy Framework und die Frage, ob europäische biometrische Daten bei US-Unternehmen ausreichend geschützt sind.

Forderung nach nicht-biometrischen Alternativen

Netzpolitik.org beschreibt biometrische Kontrollen als Teil eines Geschäftsmodells, das sensible Daten verarbeitet und zugleich zur Normalisierung solcher Verfahren im Internet beiträgt. Anbieter wie Persona und Plattformen, die diese Kontrollen einsetzen, verkaufen biometrische Prüfungen als Schutz gegen KI-Fakes, Bots und Betrug.

Für Nutzerinnen und Nutzer entsteht dabei laut Bericht häufig eine weitreichende Entscheidung: Sie können ihre biometrischen Daten gegenüber US-Unternehmen offenlegen, eine Plattform verlassen oder sie nur eingeschränkt nutzen. Johanna schloss ihren Etsy-Shop, während Janine wegen ihrer beruflichen Abhängigkeit von Etsy auf die Verifizierung angewiesen war.

Der Bericht fordert, dass Plattformen nicht-biometrische Alternativen anbieten. Auf diese Alternativen müsse mindestens ebenso prominent hingewiesen werden wie auf biometrische Kontrollen. Nur so würden Menschen nicht vor die Wahl gestellt, entweder ihre sensibelsten persönlichen Informationen preiszugeben oder von wichtigen digitalen Diensten ausgeschlossen zu werden.

• Plattformen sollen nicht-biometrische Alternativen anbieten.
• Alternative Verfahren sollen mindestens ebenso prominent dargestellt werden wie biometrische Kontrollen.
• Die Verarbeitung von Identitäts- und Altersdaten soll auf den erforderlichen Umfang begrenzt werden.
• Der Umgang mit Subunternehmen und Datenbanken soll nachvollziehbar sein.

Zusammenfassung: Der Bericht von Netzpolitik.org stellt die Verifizierungssysteme von Persona auf Etsy, LinkedIn, Roblox und weiteren Plattformen in den Mittelpunkt. Kritisiert werden insbesondere der Umfang der Datenerhebung, unterschiedliche Speicherfristen, mögliche Datenabgleiche, die Einbindung von Subunternehmen und der Schutz europäischer Daten bei US-Unternehmen.

Quellen:

• LinkedIn, Etsy, Roblox: Wer dein Gesicht scannt, wenn du dich online verifizierst