Schokolade und andere Süßigkeiten kaufen Student:innen im kanadischen Waterloo an verschiedenen Automaten, die fröhlich-freundlich mit M&M-Motiven bedruckt sind und über einen Bildschirm gesteuert werden. Dahinter werkelt offenbar ein Windows-Betriebssystem.

Zu Beginn des Monats Februar bemerkte ein Student eine Fehlermeldung auf einem der Automaten. Die lautete reichlich unmissverständlich, dass es ein Problem mit einer Gesichtserkennungs-App gebe. „Wir hätten es nicht gemerkt, wenn es nicht zu einem Anwendungsfehler gekommen wäre. Es gibt hier keine Warnung“, sagt Student River Stanley, der die Automaten für einen Artikel in der Universitätszeitschrift untersucht hatte, gegenüber dem Sender CTV.

Ein Bild der Fehlermeldung wurde ins Internet gestellt und verbreitete sich wie ein Lauffeuer unter den Student:innen. Viele schauten fortan genauer hin, fanden ein kleines Loch, hinter dem sie eine Kamera vermuteten und versuchten, dieses zu schließen.

„Die Studenten haben in den vergangenen zwei Wochen mit Klebeband, Kaugummi und Post-it-Zetteln versucht, die Sensoren zu verdecken“, erzählt Stanley. Eine Mitstudentin zeigt sich mehr als überrascht: „Ich bin schockiert, weil es sich um einen Verkaufsautomaten handelt, und ich glaube nicht, dass sie eine Gesichtserkennung benötigen.“

Die Student:innen befürchten nun, dass die Technologie auch an anderen Orten auf dem Campus eingesetzt werden könnte. „Die Studenten begannen zu recherchieren“, so Stanley. „Im Laufe des nächsten Tages fanden die Leute diese Verkaufsunterlagen, aus denen man sehen kann, dass dieses bestimmte Automatenmodell mit demografischen Datenerfassungsfunktionen ausgestattet ist.“

Der Automatenhersteller Invenda hat sich zwar bislang nicht zum konkreten Fall geäußert, gab aber in einer E-Mail an Stanley zu, dass die Automaten generell Daten erheben können. Invenda weist aber darauf hin, dass „die in den intelligenten Verkaufsautomaten integrierte Software zur Erkennung demografischer Daten vollständig lokal arbeitet.“

So fände „keine Speicherung, Kommunikation oder Übertragung von Bildern oder personenbezogenen Daten statt“, behauptet der Hersteller. Auf der eigenen Website beschreibt Invenda denn auch, dass die Verkaufsautomaten die Anwesenheit einer Person sowie deren geschätztes Alter und Geschlecht erkennen können.

Weiter heißt es, dass die „Software die vom optischen USB-Sensor abgeleiteten digitalen Bilddaten in Echtzeit lokal verarbeitet, ohne diese Daten auf Speichermedien dauerhaft abzulegen oder über das Internet in die Cloud zu übertragen“. Das Vorgehen sei laut Invenda sogar mit der Datenschutzverordnung der Europäischen Union (EU-DSGVO) konform, was die Student:innen indes wenig beruhigt.

Mindestens der Verzicht auf die Einholung einer sinnvollen Zustimmungserklärung der Nutzer:innen sei etwas, das eindeutig gegen Datenschutzrecht verstoße, ist sich Stanley sicher. Die Universitätsleitung hat schnell reagiert und den Betreiber gebeten, die Geräte schnellstmöglich vom Campus zu entfernen.