FTC erklärt, dass OkCupid 3 Millionen Dating-App-Fotos an ein Gesichtserkennungsunternehmen weitergegeben hat

• Die FTC erklärte, dass OkCupid rund 3 Millionen Nutzerfotos an das Gesichtserkennungsunternehmen Clarifai weitergegeben habe, und wies darauf hin, dass es falsche Angaben zur Nutzung der Daten gegeben habe
• Clarifai schrieb 2014 eine E-Mail an einen OkCupid-Mitgründer und bat um Zugang zu einem großen Fotodatensatz; die OkCupid-Gründer waren damals Investoren von Clarifai
• Die OkCupid-Betreiberin Humor Rainbow übermittelte Clarifai ohne formellen Vertrag zusammen mit den Fotos auch demografische Daten und Standortinformationen
• Clarifai nutzte diese Daten zur Entwicklung eines Dienstes zur Erkennung von Alter, Geschlecht und Ethnie von Gesichtern; der CEO erwähnte, dass sich dieser an Regierungen, Militär und Polizeibehörden verkaufen lasse
• Die FTC gab bekannt, dass OkCupid und die Muttergesellschaft Match eine Einigung ohne Geldstrafe erzielt hätten; Details der Einigungsbedingungen wurden nicht veröffentlicht

---

Untersuchung der FTC zur Weitergabe von OkCupid-Nutzerfotos

• Die FTC (US-Handelskommission) gab bekannt, dass OkCupid rund 3 Millionen Fotos von Nutzern der Dating-App an das Gesichtserkennungsunternehmen Clarifai weitergegeben habe
  • OkCupid wurde nach der Übernahme durch Match.com im Jahr 2011 weiterhin unter dem juristischen Namen Humor Rainbow betrieben
  • Die FTC stellte ausdrücklich fest, dass OkCupid falsche und irreführende Angaben darüber gemacht habe, wie Kundendaten verwendet würden
• Die Beziehung zu Clarifai geht auf das Jahr 2014 zurück
  • Der CEO von Clarifai schrieb einem OkCupid-Mitgründer eine E-Mail und bat um Zugang zu einem großen Datensatz mit Nutzerfotos
  • Die Gründer von OkCupid waren finanzielle Investoren bei Clarifai
  • Humor Rainbow stellte Clarifai ohne formellen Vertrag rund 3 Millionen Nutzerfotos sowie demografische Daten und Standortinformationen zur Verfügung

• Nutzung der Daten durch Clarifai

  • Clarifai verwendete die OkCupid-Bilder, um einen Dienst zur Erkennung von Alter, Geschlecht und Ethnie von Gesichtern aufzubauen
  • Clarifai-CEO Zeiler sagte, dass sich diese Technologie an ausländische Regierungen, Militärs und Polizeibehörden verkaufen lasse

• Stellungnahme von OkCupid

  • Ein Sprecher erklärte, Clarifai habe 2014 eine Zusammenarbeit zur Entwicklung unvoreingenommener KI- und Gesichtserkennungstechnologie vorgeschlagen, es sei jedoch kein kommerzieller Vertrag geschlossen worden und es bestehe heute keine Beziehung mehr
  • Ob Clarifai unbefugt Zugriff auf OkCupid-Fotos hatte, wurde nicht kommentiert
  • Laut FTC-Dokumenten antwortete Humor Rainbow auf Nutzeranfragen, die „Andeutung, OkCupid habe diesem Unternehmen Informationen bereitgestellt, ist falsch“

• Inhalt der FTC-Einigung

  • Die FTC gab bekannt, dass OkCupid und Match eine Einigung ohne finanzielle Strafe erzielt hätten
  • Einzelheiten der Einigungsbedingungen sind in den FTC-Dokumenten enthalten, werden im Artikel jedoch nicht weiter erläutert

[runableapp]

Es scheint inzwischen so verbreitet zu sein, dass man sich fragt, ob es überhaupt noch Produkte und Unternehmen gibt, die Nutzerdaten nicht zu Geld machen.

Am riskantesten ist wohl ausgerechnet Gmail, das am meisten genutzt wird. Da es eine riesige Organisation ist, die Daten nicht an Dritte verkaufen muss, taucht sie in solchen Nachrichten vermutlich gar nicht erst auf.

[GN⁺]

Hacker-News-Kommentare

• Heutzutage muss man fast alle Online-Dienste als potenzielle Gegner betrachten
  Sobald sich auch nur ein kleiner Vorteil ergibt, ist die Wahrscheinlichkeit groß, dass sie persönliche Daten oder Aufmerksamkeit verkaufen
  Natürlich gibt es Ausnahmen, aber Vorsicht ist eher angemessen als übertrieben
  Trotzdem ist die Realität, dass es derzeit kaum Alternativen gibt

  • Durch den aktuellen LLM-Trainingswettlauf und den staatlichen Druck zur Identitätsprüfung verschwindet Anonymität zunehmend
    Für Menschen, denen digitale Souveränität wichtig ist, sind das düstere Zeiten
  • Mein Rat ist einfach — löscht alle Konten, die ihr bisher erstellt habt
    Mit der Zeit nähert sich die Wahrscheinlichkeit eines Datenlecks fast 100 %
    Unternehmens-Clouds sind gefährliche Orte, und darauf eine Kultur aufzubauen ist ein instabiles Fundament
  • Ich frage mich schon lange, wie groß der Markt für datenschutzorientierte Apps ist
    Wenn es genug Apps gäbe, die nicht die Welt beherrschen wollen und keine Nutzerdaten verkaufen,
    könnte man mit günstigen Servern vertrauenswürdige Dienste betreiben
    Vielleicht ist das aber auch zu idealistisch gedacht
  • Ich empfehle, der vertrauenswürdigen Tech-Community trustworthy.technology beizutreten
  • Die Formulierung „alle Online-Dienste“ braucht eine Einschränkung
    Vor allem bei kostenlosen (free/freemium) Modellen oder Blackbox-Strukturen, aus denen Kunden nicht herauskommen, sollte man vorsichtig sein
    Problematisch ist auch eine Kultur, die bezahlte Dienste auf FOSS-Basis ignoriert

• „Die Strafe für einen Gesetzesverstoß besteht also darin, zu versprechen, das Gesetz künftig einzuhalten“
  Solche FTC-Vergleiche sind faktisch überhaupt keine Sanktion

  • Aber diesmal ist es ein dauerhaftes (permanentes) Versprechen, da kann man wirklich nur lachen
  • Sehe ich genauso, das ist eine völlig lächerliche Strafe

• Wenn man nur ein Mittel zur Identitätsprüfung wählen dürfte, welches würde man nehmen?

  • Kreditkartenzahlung (ohne Prepaid-Karten)
  • Foto eines staatlich ausgestellten Ausweises oder Reisepasses
  • Live-Videoaufzeichnung

• Dieser Fall erinnert mich an den Verkauf von DNA-Daten bei 23andMe
  Zugehöriger Artikel: NPR-Bericht

  • In diesem Fall hat 23andMe die Daten an sich selbst verkauft
  • Ich hatte schon früher gewarnt, dass die Daten verkauft würden, weil 23andMe kurz vor der Insolvenz stand
    Die Leute haben das ignoriert und gesagt: „Die Datenschutzrichtlinie wird das schon verhindern“
    Datenschutzrichtlinien sind aber rechtlich nicht bindend und können jederzeit geändert werden
    Am Ende kann ein Unternehmen die Daten verkaufen, wenn es das will
  • Tatsächlich wurde dieser Verkauf letztlich nicht abgeschlossen

• In ganz Chicago lassen Anwälte vermutlich die Champagnerkorken knallen
  Relevantes Gesetz: Biometric Information Privacy Act

  • 1.000 Dollar pro Verstoß, bei Vorsatz oder grober Fahrlässigkeit 5.000 Dollar
    Der entscheidende Punkt ist „pro Verstoß“ — das kann astronomische Summen ergeben

• Dieser Vorfall stammt aus dem Jahr 2014
  Ich frage mich, ob die damaligen Mitarbeiter oder Aktionäre heute überhaupt noch da sind
  Wenn die Verantwortlichen schon weg sind, weiß ich nicht, was Unternehmensbestrafung überhaupt bedeuten soll

  • Tatsächlich besteht die Maßnahme nur aus dem „Versprechen, das Gesetz einzuhalten“, ohne Geldstrafe
    Laut der Vergleichsvereinbarung mit der FTC haben OkCupid und Match die Vorwürfe weder eingeräumt noch bestritten

• Ich denke, es ist sehr wahrscheinlich, dass OkCupid die Fotos dem Gesichtserkennungsunternehmen nicht einfach „gegeben“, sondern verkauft hat
  Denn ihre einzigen Vermögenswerte waren Nutzerfotos und PII-Daten

  • Laut dem Artikel hat der CEO von Clarifai dem Gründer von OkCupid direkt eine E-Mail geschickt
    und unter Verweis auf die Investitionsbeziehung Zugang zu großen Fotodatenmengen verlangt
    Es gab keinen formellen Vertrag, aber möglich wurde es dadurch, dass die Gründer in Clarifai investiert hatten
  • Aus dem Artikel lässt sich auch ableiten, dass die Behauptung, man habe die Daten nicht einfach „gegeben“, plausibel ist
  • Da ein OkCupid-Vorstandsmitglied Clarifai leitete, ist es sehr wahrscheinlich, dass die Daten intern weitergegeben wurden

• OkCupid und Match haben den Fall ohne Geldstrafe abgeschlossen

• Im freien Markt haben gewinnmaximierende Unternehmen einen Überlebensvorteil
  Mit der Zeit bleiben nur solche Unternehmen übrig, während die übrigen ausscheiden
  Die einzige Kraft, die dem etwas entgegensetzen kann, ist Regulierung, aber die USA verehren Deregulierung, daher kommt es zu solchen Ergebnissen

  • Allerdings passt das Argument des „kostenlosen Weitergebens von Daten“ nicht ganz zu dieser Logik
    Auch wenn kein Geld fließt, können Unternehmen über Daten weiterhin Gewinne erzielen