Wie Gesichtserkennung bei Ohhi funktioniert und privat bleibt

Wer Tausende Familienfotos aufbewahrt, will sie nach den Menschen darauf durchsuchen können: alle Fotos deiner Tochter, vom Opa, von euch zusammen. Dafür ist Gesichtserkennung da. Zugleich ist sie die sensibelste Funktion, die ein Fotodienst bauen kann, denn Gesichtsmerkmale sind biometrische Daten und fallen damit unter die strengste Kategorie der DSGVO. Deshalb erklären wir im Folgenden genau, was bei Ohhi passiert, vom Moment des Einschaltens bis zum Moment, in dem du die Funktion wieder ausschaltest.

Was passiert, wenn du sie einschaltest

Gesichtserkennung ist bei Ohhi standardmäßig aus, für alle. Solange du nichts tust, suchen wir nicht nach Gesichtern und speichern auch nichts darüber. Schaltest du die Funktion in deinem Profil ein (möglich ab 100 GB Speicher, also bei Pro und Max), verarbeiten unsere eigenen Server in Europa deine Bibliothek im Hintergrund, auch die Fotos, die schon da waren. Wir nutzen dafür ein bestehendes Open-Source-Modell und lassen es unverändert laufen. Es ist kein externer Dienst beteiligt, und deine Fotos trainieren nichts.

Für jedes gefundene Gesicht speichern wir drei Dinge: die Position im Foto, einen kleinen Ausschnitt für die Übersicht auf der Seite Personen und eine kurze Zahlenreihe, die das Gesicht mathematisch zusammenfasst, ein sogenanntes Embedding. Mit dieser Reihe vergleichen wir Gesichter und gruppieren sie zu Personen. Dieser Vergleich passiert ausschließlich innerhalb deines eigenen Kontos; deine Gesichter werden nie neben die anderer Nutzer gelegt.

Embeddings liegen nur in unserer Datenbank. Sie stecken in keiner API-Antwort, gehen an keine Dritten und werden für nichts anderes verwendet als das Gruppieren von Fotos innerhalb deines eigenen Kontos.

Wo du am Steuer sitzt

Die Gruppen, die so entstehen, bleiben deine. Konkret:

• Namen vergibst du. Wir legen nur zusammen, was nach derselben Person aussieht; eine Gruppe hat keinen Namen, bis du einen eintippst, und du kannst ihn auch wieder entfernen.
• Zusammenführen machst du selbst. Sieht das System dieselbe Person versehentlich als zwei Gruppen, führst du sie mit einem Schritt zusammen.
• Löschen wirkt durch. Wirfst du ein Foto weg, verschwinden die Gesichtsdaten dieses Fotos mit.
• Ausschalten heißt löschen. Schaltest du die Gesichtserkennung aus, löschen wir sofort alle Embeddings und Gruppen deines Kontos. Es bleibt keine Kopie zurück. Schaltest du die Funktion später wieder ein, beginnt die Analyse einfach von vorn.

Für Konten von Kindern zwischen 13 und 15 Jahren liegt vor alledem noch ein Schloss: Hochladen funktioniert erst, nachdem ein Elternteil die Anmeldung über einen E-Mail-Link bestätigt hat. Ohne diese Bestätigung gibt es keine Fotos, und ohne Fotos gibt es auch nichts zu erkennen.

Gesichtserkennung ist bei uns also eine Funktion, die du bewusst einschaltest und ebenso leicht wieder vollständig löschst. Warum wir ohnehin nie Modelle mit deinen Bildern trainieren, liest du in warum wir deine Fotos nie für KI-Training nutzen. Wo diese Server stehen und was das rechtlich bedeutet, steht in Server in Europa: was das wirklich bedeutet. Die Tarife mit 100 GB oder mehr findest du auf der Tarifseite.