DSGVO: Erneute Beschwerde gegen Ryanair wegen Gesichtserkennung

Die Beschwerde bedeutet, dass der Verifizierungsprozess von Ryanair nun Gegenstand aktiver Beschwerden vor vier europäischen Datenschutzbehörden ist, die jeweils mutmaßliche Verstöße gegen die Allgemeine Datenschutzverordnung (DSGVO) der EU betreffen.

„Ryanair drängt seine Nutzer unrechtmäßig zur Verarbeitung ihrer hochsensiblen biometrischen Daten und missachtet dabei völlig seine gesetzlichen Verpflichtungen“, erklärte der Datenschutzanwalt des Europäischen Zentrums für digitale Rechte (The European Center for Digital Rights, noyb), Felix Mikolasch, am Donnerstag (19. Dezember) in einer Pressemitteilung.

Obwohl Ryanair „die Beschwerde von noyb begrüßt“, fordert das Unternehmen „noyb auf, [ihren] rückschrittlichen Versuch zu rechtfertigen, […] die Wirksamkeit von Verifizierungsmaßnahmen zu verringern“, teilte ein Ryanair-Sprecher Euractiv am Donnerstag in einer E-Mail mit.

Nach Ansicht des Klägers verstößt Ryanair gegen den Grundsatz der Datenminimierung der Datenschutzgrundverordnung, da das Unternehmen die Nutzer dazu verpflichtet, ein dauerhaftes Konto zu erstellen, wenn sie einen Flug auf seiner Website buchen möchten. Der Grundsatz der Datenminimierung besagt, dass Unternehmen nur die Daten verarbeiten sollten, die unbedingt erforderlich sind.

Das Europäische Zentrum für digitale Rechte (noyb) ist zudem der Meinung, dass Ryanair die Nutzer dazu drängt, ein Verifizierungsverfahren zu wählen, das biometrische Gesichtserkennung verwendet.

Ryanair wählt das Verifizierungsverfahren per Gesichtserkennung vorab aus, wenn ein Benutzer einen Flug buchen möchte. Entscheiden sich Benutzer dagegen, müssen sie Ryanair eine handschriftliche Unterschrift und eine Kopie ihres nationalen Personalausweises vorlegen. Noyb sieht hierin einen Verstoß gegen den Grundsatz der Einwilligung der Datenschutzgrundverordnung.

Das Europäische Zentrum für digitale Rechte zitiert außerdem die 2022-Richtlinien der Europäischen Datenschutzbehörde (EDPB), wonach die Gesichtserkennung ein inakzeptables Risiko für Menschen darstellen könnte.

Die EDPB forderte insbesondere in einer Stellungnahme aus dem Jahr 2021 ein Verbot der automatischen Erkennung von Gesichtern durch künstliche Intelligenz.

Das Europäische Zentrum für digitale Rechte reichte bereits im Juli 2023 eine Beschwerde gegen die Praktiken von Ryanair bei der spanischen Datenschutzbehörde ein.

Im Mai wurden zwei weitere Beschwerden gegen den Verifizierungsprozess von Ryanair bei den französischen und belgischen Datenschutzbehörden von eu travel tech, der EU-Lobbyorganisation für Kurzzeitvermietungsunternehmen, eingereicht.

Gemäß den Verfahrensregeln der Datenschutzgrundverordnung werden die spanischen (AEPD), französischen (CNIL), belgischen (APD-GBA) und italienischen (Garante) Datenschutzbehörden voraussichtlich gemeinsam mit ihrer irischen Amtskollegin (DPC) eine Entscheidung treffen, die die Untersuchung leiten wird, da Ryanair ein in Dublin ansässiges Unternehmen ist.

Marktkonflikt hinter der DSGVO-Prüfung

„Es scheint, dass der eigentliche Zweck des Verifizierungsprozesses darin besteht, Online-Reisebüros daran zu hindern, Konten einzurichten, um Ryanair-Flüge zu kaufen und anschließend auf ihren Websites weiterzuverkaufen“, heißt es in der Pressemitteilung des Europäischen Zentrums für digitale Rechte.

Ryanair befindet sich auch in einem Streit mit Online-Reisebüros wie Opodo, eDrams oder Booking.com über sein Verfahren zur Gesichtsverifizierung.

Die Online-Reisebüros vertreten die Meinung, dass Ryanair sein Verfahren zur Gesichtserkennung entwickelt hat, um zu verhindern, dass Nutzer Tickets auf ihren Marktplätzen buchen. Ryanair hingegen ist der Ansicht, dass die Online-Reisebüros illegal handeln. Ryanair-CEO Michael O’Leary bezeichnete diese Unternehmen als „Piraten“.

Als einige Online-Reisebüros im Mai ihre Beschwerde gemäß der Datenschutzgrundverordnung einreichten, erklärte ein Sprecher von Ryanair gegenüber Euractiv, dass Online-Reisebüros „Flüge falsch verkauften“ und dass die Daten, die sie von der Ryanair-Website abgriffen, „rechtswidrig beschafft“ worden seien.

[Bearbeitet von Owen Morgan/Jeremias Lin]