FaceApp ist das Produkt der russischen Firma Wireless Lab und funktioniert auf den ersten Blick recht simpel: App installieren, alle Fensterchen mit Ok bestätigen, ein Selfie aus der eigenen Fotosammlung auswählen, kurz warten und schon erscheint das bearbeitete Bild: Man sieht sich um rund 30 Jahre gealtert. Das ist verblüffend gut gemacht und auch ein bisschen lustig, gesteht Christian Solmecke, Rechtsanwalt für Medienrecht:

"Ich kann natürlich nachvollziehen, dass man - gerade als junger Mensch – dabei sein will, aber gerade bei der FaceApp sieht es mit dem Datenschutz ganz schlecht aus, und insofern würde ich im Zweifel eher die Finger davon lassen."

So wird das Foto nicht auf dem Smartphone verändert, sondern es wird zur Bearbeitung auf Server im Internet geladen – dies wird Nutzern beim Installieren der App mitgeteilt, allerdings auf Englisch. Außerdem: Wer sich mit dem Upload allgemein einverstanden erklärt, gewährt FaceApp sofort Zugriff auf alle Fotos auf dem Smartphone – das dürfte vielen nicht klar sein. Sicherheitsforscher haben keine Hinweise gefunden, dass alle Fotos hochgeladen werden. Die für den Alterungs-Gag ausgewählten Fotos landen dann – nach allem, was man weiß – nicht auf Servern in Russland, sondern in den USA, Irland und Singapur, und die Server gehören Amazon und Google. In der englischen Datenschutzerklärung schreibt FaceApp jedoch, dass Nutzerdaten in die "USA oder andere Länder" übertragen werden. Auch werden Nutzerdaten zu Werbezwecken mit anderen Firmen geteilt – welche Daten genau mit wem zu welchem Zweck geteilt werden, bleibt aber offen. Medienrechtler Christian Solmecke kommt daher zu dem Schluss:

"Meines Erachtens ist die FaceApp nicht mit dem Datenschutzrecht in Europa vereinbar."

FaceApp müsse sich eindeutig an die Datenschutzgrundverordnung halten, weil es seine App in Deutschland und Europa anbiete, sagt die Landesdatenschutzbeauftragte von Schleswig Holstein, Marit Hansen. Aber hält sich FaceApp an die DSGVO? Der Bundesdatenschutzbeauftragte Ulrich Kelber: "Auf den ersten Blick bezweifle ich das. Es gibt keinen Ansprechpartner in der EU und es ist völlig unklar, welche Daten zu welchem Zweck verarbeitet werden."

Theoretisch droht der russischen Firma hinter FaceApp ein Bußgeld von bis zu vier Prozent des Jahresumsatzes. Zuständig wäre eigentlich die Datenschutzbehörde jenes EU-Landes, in dem ein von FaceApp ernannter Ansprechpartner sitzt. Den gibt es offenbar jedoch nicht. FaceApp hat auf seiner Webseite nicht mal ein Impressum.

"Und deswegen ist keiner so richtig zuständig, beziehungsweise eigentlich sind dann alle zuständig", sagt Schleswig Holsteins Datenschutzbeauftragte Marit Hansen. "Man kann sich also an seine Datenschutzaufsichtsbehörde wenden."

Die Landesdatenschutzbeauftragten, so Hansen, könnten dann versuchen, Kontakt zu FaceApp in Russland aufzunehmen und auf die Einhaltung der Datenschutzgrundverordnung zu drängen.

"Die Frage ist: Kann man das dann in Russland durchsetzen?"

Der Bundesdatenschutzbeauftragte Ulrich Kelber ist hörbar skeptisch. Auch Schleswig Holsteins Datenschutzbeauftragte sagt, die DSGVO sei hier schwer durchzusetzen. Der Bundesdatenschutzbeauftragte ergänzt, er sei nicht zuständig.

"Zumindest aber könnte man die Betreiber der Appstores, also Apple und Google, informieren, dass sich eine App nicht an die Datenschutzstandards hält."

Der FaceApp-Chef hat in Interviews versprochen, dass Fotos gelöscht werden, wenn Nutzer eine E-Mail schicken, allerdings sei der Support gerade überlastet. Der Bundesdatenschutzbeauftragte rät, sich zweimal zu überlegen, ob man FaceApp nutzen will. Ulrich Kelber sieht es wie ein führender Politiker der US-Demokraten. FaceApp sei ein Sicherheitsrisiko:

"Ein Sicherheitsrisiko besteht in der Tat. Biometrisch auswertbare Fotos, digitale Identifikation der Geräte und der Personen – das ist auch für ausländische Sicherheitsdienste hochinteressant."

Aber Gesichtserkennung, Standortspeicherung und zweifelhafte Datenschutzregeln – das kann man über viele andere Apps sagen, zum Beispiel: Facebook.