Neuer Chef: Gesichter-Suchmaschine PimEyes bricht das Schweigen

PimEyes gibt es noch immer, und die Suchmaschine für Gesichter verschreibt sich inzwischen „ethischer KI“ und „Frauenrechten“. Ihr neuer Chef, Giorgi Gobronidze, zeigt sich selbstbewusst in Interviews mit CNN und der New York Times.

Vor ziemlich genau einem Jahr hat der Datenschutzbeauftragte Baden-Württemberg, Stefan Brink, ein Verfahren gegen PimEyes eingeleitet. Durch die Suchmaschine drohe „nicht weniger als der Verlust der Anonymität“, schrieb er. Die Suchmaschine durchforstet das Netz massenhaft nach öffentlich zugänglichen Fotos und erfasst die biometrischen Daten von Gesichtern. Das Ergebnis ist eine Datenbank von nach eigenen Angaben Hunderten Millionen Gesichtern.

Nutzer:innen können auf PimEyes ein beliebiges Foto hochladen und sich anzeigen lassen, welche Gesichter die Suchmaschine für identisch oder ähnlich hält. Wer ein Abo für rund 35 Euro im Monat abschließt, bekommt zu den Suchergebnisse auch Links zu den Websites mit den entsprechenden Fotos. Dort lassen sich möglicherweise weitere Eckdaten über eine gesuchte Person finden.

Auf der Webseite steht, PimEyes sei dazu gedacht, nach eigenen Fotos zu suchen. In der Praxis reicht aber ein Handy-Schnappschuss oder die flüchtige Aufzeichnung einer Überwachungskamera, um mit PimEyes Fremde zu identifizieren – auch auf politischen Demonstrationen. Mit Blick auf die Datenschutzgrundverordnung (DSGVO) ist es fraglich, ob PimEyes überhaupt biometrische Daten ohne vorheriges Einverständnis verarbeiten darf. Datenschützer Brink sieht darin eine Gefahr: Bürger:innen seien „in ihren Rechten massiv gefährdet, wenn ohne ihre Kenntnis Bilder von ihnen im Netz abgeglichen werden und so ihre Identität für Dritte feststellbar wird“.

PimEyes-Chef nennt Technologie „umstritten“

Eine Weile lang hatte sich PimEyes offiziell auf die Seychellen abgesetzt – und geschwiegen. Die Flucht nach Übersee hat auch das Datenschutzverfahren ausgebremst. Jetzt hat PimEyes einen neuen Besitzer, und schweigen möchte er offenkundig nicht.

Der neue PimEyes-Chef, Giorgi Gobronidze, hat sich gegenüber der New York Times ausgiebig geäußert. Sogar das Verfahren der deutschen Datenschutzbehörde kam zur Sprache. „Ich bin erpicht, alle Fragen zu beantworten, die sie haben könnten“. Allerdings will er noch nichts von der Behörde gehört haben.

Auf Anfrage von netzpolitik.org schreibt Gobronidze, er verstehe die Datenschutzbedenken gegenüber der Technologie „voll und ganz, da sie wirklich umstritten ist und es noch keinen konsolidierten Konsens zu diesem Thema gibt“. PimEyes speichere keine Fotos, sondern allein die digitalen Fingerabdrücke der Gesichter, zusammen mit den entsprechenden Links zu den Fundorten im Netz. „Die PimEyes-Suchmaschine sammelt also keine Informationen über lebende Menschen, sondern über URLs, die eine bestimmte Art von Informationen enthalten könnten.“

Diese Deutung ist in der Tat umstritten. Zum gegen PimEyes eingeleiteten Verfahren schrieb Brink schon 2021: Ohne Einwilligung der betroffenen Person dürfe keine Profilbildung stattfinden. Besonders heikel werde es, wenn massenhaft biometrische Daten gesammelt würden.

Brink: Erfahren, wie PimEyes Missbrauch verhindert

Heute schreibt Brink auf Anfrage von netzpolitik.org: „Wenn, wie in der NYT zu lesen war, Herr Gobronidze darauf erpicht ist, alle unsere Fragen zu beantworten, so kann er dies tun. Sollte unser Schreiben vom vergangenen Jahr beim Unternehmen nicht angekommen sein, übersenden wir Herrn Gobronidze sehr gerne erneut unsere Fragen und Hinweise.“

Unter anderem wolle sich Brink das gesamte Geschäftsmodell von PimEyes erklären lassen und dabei auch wissen, wie von Seiten des Anbieters naheliegender Missbrauch verhindert wird. „Wir erwarten, dass das Unternehmen, soweit es seine Dienste in Europa anbietet, sich an die DSGVO hält. Das wollen wir sicherstellen.“

In der Gratisversion liefert PimEyes nur eingeschränkte Suchergebnisse. Für rund 35 Euro im Monat gibt es auch Links zu den Fundstellen und bis zu 25 Suchanfragen pro Tag. Für monatlich rund 346 Euro lassen sich unbegrenzt viele Suchanfragen pro Tag durchführen.

Wer ist PimEyes-Chef Giorgi Gobronidze?

Auf seinem LinkedIn-Profil stellt sich Gobronidze als Sicherheitsforscher vor und als Professor an der Europäischen Universität in Tiflis, Georgien. Er schreibt: „Ich glaube, dass Technologien für jeden zugänglich sein sollten, denn Wissen ist Macht.“ Laut Website seiner Universität hat er unter anderem über nationale Sicherheit, Radikalisierung und Extremismus publiziert.

Das Gründerduo von PimEyes hatte Gobronidze laut New York Times als Gastdozent in Polen kennengelernt. Einst war PimEyes ein Hobbyprojekt von Łukasz Kowalczyk und Denis Tatina. Gobronidze beschreibt sie in dem Artikel als „brilliante Vordenker“ und „komplett introvertiert“. Inzwischen sind die beiden übrigens in einem anderen Projekt involviert – wieder eine Gesichtersuche, über die wir im März berichtet haben.

PimEyes soll zwischenzeitlich einem anderen Unternehmer gehört haben. Von ihm habe Gobronidze das Unternehmen gekauft. Die genaue Summe wolle er laut New York Times nicht nennen. „Es war nicht so viel, wie man vielleicht erwarten würde“, zitiert ihn die US-Zeitung. Für den Kauf habe Gobronidze ein in Dubai registriertes Unternehmen gegründet und ein Büro in Tbilisi, Georgien gemietet. Eine Firma in Belize, Zentralamerika, kümmere sich um Anfragen. Eine Adresse in Belize steht weiterhin in den öffentlichen Nutzungsbedingungen von PimEyes.

PimEyes verschreibt sich offiziell „ethischer KI“

Ein Twitter-Account namens PimEyesOfficial ist seit Mai aktiv. Die Tweets zeichnen das Bild einer Firma, die Menschen nicht schadet, sondern hilft. Am 13. Mai twittert der Account, die „Policy für soziale Verantwortung“ sei nun fertig. PimEyes stehe demnach für freies Internet, zugängliche Technologien, Frauenrechte, ethische KI und ethisches Unternehmertum.

Dahinter steckt der Gedanke, dass Nutzer:innen mit PimEyes herausfinden können, an welchen Orten im Netz ihre Fotos kursieren. So könnten sie sich dagegen wehren. PimEyes schreibt auf der eigenen Website: „Unser Gesichtsfinder hilft Ihnen, ein Gesicht zu finden und Ihre Privatsphäre zu schützen.“ Die Kehrseite ist, dass Nutzer:innen mit PimEyes ebenso einfach die Privatsphäre anderer verletzen können, etwa um Menschen zu finden, zu verfolgen oder zu stalken.

Die vergleichbare Suchmaschine Clearview AI steht gerade international unter Druck. Ähnlich wie PimEyes sammelt Clearview AI biometrische Merkmale von Gesichtern in einer Datenbank. Die Suchfunktion ist aber nicht öffentlich, sondern auf Ermittlungsbehörden beschränkt. Mehrere Staaten habe sich dagegen gewehrt, dass Clearview AI Daten ihrer Bürger:innen sammelt. Dem Unternehmen drohen Millionenstrafen.

Laut New York Times sei Gobronidze offen dafür, dass Nutzer:innen mit PimEyes andere Gesichter suchen als ihr eigenes, so lange es „ethisch“ sei. Er befürworte etwa, dass Journalist:innen nach dem Sturm auf das US-Kapitol am 6. Januar 2021 mutmaßliche Täter:innen identifiziert hätten. Für russische Nutzer:innen habe er PimEyes allerdings seit dem Beginn des Angriffskriegs auf die Ukraine blockiert, wie die New York Times berichtet.

Wer PimEyes nicht traut, soll PimEyes seinen Ausweis schicken

Am 24. Mai berichtete CNN von einer Nutzerin, die in den Suchergebnissen von PimEyes Fotos von sich entdeckte, die sie lieber nicht mehr sehen wollte. Es geht um sexualisierte Gewalt und retraumatisierende Erinnerungen. Sie wollte nicht, dass auch andere Menschen diese Bilder finden können, wenn sie nach ihrem Gesicht suchen. Bei der Nutzerin handelt es sich um die Entwicklerin und ehemalige Apple-Angestellte Cher Scarlett, die sich ihrer Website zufolge für „faire Arbeitspraktiken, Gerechtigkeit und Gleichberechtigung in der Technologiebranche“ einsetzt.

PimEyes bietet zwar an, Suchergebnisse auf Anfrage von Betroffenen zu entfernen – restlos geklappt hatte das laut CNN-Bericht im Fall von Scarlett aber nicht. Möchten Nutzer:innen gar nicht in der PimEyes-Suche auftauchen, sollen sie dem Unternehmen erst einmal einige Bilddateien schicken. Diesen Opt-out-Prozess haben wir selbst ausprobiert: Zuerst sollen Nutzer:innen ein Porträt von sich selbst hochladen, das PimEyes biometrisch erfassen kann, dann eine Aufnahme des eigenen Ausweises. Personenbezogene Daten sollen dabei geschwärzt sein, wie PimEyes ausdrücklich verlangt.

Der Ablauf mutet paradox an: Wer PimEyes nicht traut und nicht möchte, dass die Suchmaschine sensible Daten verarbeitet, soll erst einmal sensible Daten von sich herausrücken. Für Datensammler wären Selbstporträts in Verbindung mit Personalausweisen besonders wertvoll – selbst wenn diese geschwärzt sind. Im Fall eines Hacks oder Leaks könnten solche Daten von Kriminellen für Identitätsdiebstahl missbraucht werden.

Rund 93 Euro im Monat, um Suchergebnisse zu verbergen

Den Klickweg zu diesem kostenlosten Opt-out müssen Nutzer:innen erst einmal finden: Der Button befindet sich ganz unten auf der Seite. Es gibt noch einen weiteren, besser sichtbaren Button, der direkt bei einem Suchergebnis angezeigt wird. Dort steht auf Englisch: „Aus der öffentlichen Suche ausschließen. Klicke, damit dieses Ergebnis nur für dich sichtbar ist“. Wer diesen Button klickt, soll ein monatliches Abo über rund 93 Euro abschließen. Kennen Nutzer:innen nicht den Klickweg zum kostenlosen Opt-out-Prozess, könnten sie auf diesem Weg zu einem Abo verleitet werden.

Gegenüber CNN kündigte PimEyes-Chef Gobronidze bereits Verbesserungen an. Er wollte, dass Nutzer:innen vom kostenlosen Opt-out erfahren. Die Gesichtserkennung solle besser werden, um zu verhindern, dass von Nutzer:innen unerwünschte Suchergebnisse auftauchen. „Wir wollen sicherstellen, dass diese Ergebnisse ein für alle Mal beseitigt werden.“ Außerdem sagte Gobronidze der CNN, dass PimEyes keine Fotos und personenbezogenen Daten anhäufen wolle. „Wir wollen uns nicht in ein Monster verwandeln, das eine riesige Anzahl von Fotos von Menschen hat“.