PayPal unter Beschuss: Neue Recherche wirft brisante Fragen zu biometrischen Daten und Israel-Verbindungen auf

PayPal präsentiert sich als globaler Zahlungsdienstleister, der Sicherheit und Vertrauen in den Mittelpunkt stellt. Eine umfangreiche Untersuchung von Arabic Post zeichnet jedoch ein deutlich kritischeres Bild. Die Recherche wirft Fragen zum Umgang mit biometrischen Daten, zur Verlagerung sensibler Identitätsprüfungen nach Israel und zur unterschiedlichen Behandlung palästinensischer Nutzer auf. (Story360)

Im Zentrum der Untersuchung steht eine organisatorische Änderung, die bislang kaum öffentliche Aufmerksamkeit erhalten hat. Nach Angaben von Arabic Post wurden die PayPal-Dienste für die betroffenen palästinensischen Gebiete von einer in Singapur ansässigen Gesellschaft auf PayPal Israel Payment Services Ltd. übertragen. Damit würden diese Nutzer künftig unter israelischen regulatorischen Vorgaben verwaltet.

Mit der Umstellung gingen laut der Recherche verschärfte Identitätsprüfungen einher. Nutzer müssten Ausweisdokumente hochladen und biometrische Selfies zur Identitätsbestätigung übermitteln. Solche Verfahren sind im Finanzsektor zwar grundsätzlich üblich und dienen der Bekämpfung von Betrug und Geldwäsche. Arabic Post stellt jedoch die Frage, welche Folgen es hat, wenn diese sensiblen Daten in einem hochpolitischen Umfeld verarbeitet werden.

Ein besonderer Fokus liegt auf AU10TIX, einem israelischen Unternehmen, das PayPal nach eigenen Datenschutzunterlagen für Teile der Identitätsprüfung einsetzt. AU10TIX verarbeitet Ausweisdokumente und biometrische Merkmale im Rahmen sogenannter Know-your-Customer-Verfahren. Die Recherche weist darauf hin, dass das Unternehmen von Personen aufgebaut wurde, die Verbindungen zu israelischen Sicherheits- und Nachrichtendiensteinheiten hatten. Gleichzeitig betont Arabic Post ausdrücklich, dass dies nicht automatisch bedeutet, sämtliche Nutzerdaten würden an israelische Behörden oder Geheimdienste weitergegeben. Für eine solche Behauptung liefert der Bericht keine Belege.

Kritik übt der Bericht auch an der Behandlung palästinensischer Nutzer. Seit Jahren weisen Menschenrechts- und Digitalrechtsorganisationen darauf hin, dass PayPal seine Dienste Palästinensern im Westjordanland und Gaza nicht in gleicher Weise zur Verfügung stellt, während israelische Nutzer – einschließlich israelischer Siedler im Westjordanland – den Dienst nutzen können. Diese unterschiedliche Behandlung wird seit Langem dokumentiert und von Organisationen wie 7amleh und der Electronic Frontier Foundation kritisiert. (7amleh)

Betrifft das nur Palästinenser?

Die eigentliche Brisanz der Recherche könnte jedoch weit über den Nahostkonflikt hinausreichen.

Denn dieselben Identitätsprüfungen mit Ausweisdokumenten und biometrischen Selfies werden inzwischen auch für viele Nutzer in Europa, Nordamerika und anderen Regionen eingesetzt. Wer heute ein PayPal-Konto eröffnet oder erneut verifizieren muss, kann ebenfalls aufgefordert werden, hochauflösende Ausweisdokumente und Gesichtsaufnahmen einzureichen.

Damit stellt sich eine grundsätzliche Frage: Wer verarbeitet diese Daten eigentlich – und wo?

Die Diskussion betrifft nicht allein PayPal. Immer mehr Banken, Zahlungsdienstleister und Technologieunternehmen lagern ihre Identitätsprüfung an spezialisierte externe Anbieter aus. Nutzer haben dabei häufig weder Einfluss darauf, welches Unternehmen ihre biometrischen Daten verarbeitet, noch wissen sie, in welchem Land diese Daten gespeichert oder verarbeitet werden.

Hinzu kommt ein weiterer Aspekt: Biometrische Daten unterscheiden sich grundlegend von einem Passwort. Ein kompromittiertes Passwort lässt sich ändern – ein Gesicht oder ein Fingerabdruck nicht. Datenschützer weisen deshalb seit Jahren darauf hin, dass biometrische Identitätsdaten zu den sensibelsten personenbezogenen Informationen überhaupt gehören.

Arabic Post wirft deshalb nicht nur Fragen zum Umgang mit palästinensischen Nutzern auf, sondern berührt ein grundsätzliches Thema der digitalen Gesellschaft: Wie viel Kontrolle haben Bürger überhaupt noch über ihre eigene digitale Identität, wenn immer mehr Plattformen Ausweise, Gesichtsscans und biometrische Verifizierungen verlangen?

PayPal und AU10TIX wurden nach Angaben von Arabic Post vor Veröffentlichung der Recherche mit den Vorwürfen konfrontiert und um Stellungnahmen gebeten. Bis zum Zeitpunkt der Veröffentlichung des Berichts lag demnach keine Antwort vor.