Bunnings: Gesichtserkennung bei jedem Kunden in 63 Filialen, und was Behörde und Tribunal entschieden

Auf einen Blick

Unternehmen

BunningsBaumarkt- und Heimwerkerkette

Größe

Großunternehmen (1.000+ Beschäftigte) Laut Bunnings umfasst das Netz 285 große Lagerhausfilialen und 68 kleinere Filialen in Australien und Neuseeland.

Branche

E-Commerce und Handel

Wo und wann

Australien. November 2018 – November 2021; Entscheidung der Behörde 2024, Entscheidung des Tribunals im Februar 2026.

Wer die Zahlen erhoben hat

Amtliche UnterlagenZahlen und Feststellungen stammen vom Office of the Australian Information Commissioner (OAIC): aus seiner Mitteilung und seinem Merkblatt zur Entscheidung von 2024 und aus seinen zwei Stellungnahmen zur Entscheidung des Tribunals von 2026, die das Tribunal zitieren. Das OAIC nannte 2024 63 Filialen, in späteren Stellungnahmen 62. Der Fall zählt als „ging schief“, weil das Tribunal die Feststellungen bestätigte, dass Bunnings die Kunden nicht informierte und keine angemessenen Datenschutzverfahren hatte. Die Sicht von Bunnings stammt aus der eigenen Stellungnahme des Unternehmens.

Was passiert ist

Von November 2018 bis November 2021 betrieb Bunnings ein Gesichtserkennungssystem in 63 Filialen in Victoria und New South Wales. Die Überwachungskameras erfassten das Gesicht jeder Person, die hereinkam. Die Behörde sprach von “likely hundreds of thousands of individuals” [„wahrscheinlich Hunderttausenden Menschen“]. Das System verglich jedes Gesicht mit einer Datenbank von Menschen, die Bunnings als Risiko markiert hatte, etwa wegen früherer Straftaten oder gewalttätigen Verhaltens.

Die Behörde stellte fest, dass Bunnings keine angemessenen Schritte unternahm, um die Kunden zu informieren. Die Datenschutzbeauftragte Carly Kind sagte, wer diese Filialen betrat, “would not have been aware” [„hätte nicht gewusst“], dass Gesichtserkennung im Einsatz war. Bunnings setzte das System während der Untersuchung aus.

Was die Behörde 2024 entschied

Die Beauftragte stellte vier Verstöße gegen den australischen Privacy Act fest. Das Gesetz behandelt ein Gesicht als sensible Information, für die man normalerweise die Einwilligung der Person braucht.

• Keine Einwilligung. Bunnings erhob sensible Informationen ohne Einwilligung, und die Ausnahmen im Gesetz griffen nicht.
• Kein Hinweis. Es unternahm keine angemessenen Schritte, um Menschen zu sagen, dass und wozu ihre Daten erhoben wurden.
• Keine Verfahren. Es führte nicht die Abläufe und Systeme ein, die nötig waren, um das Gesetz einzuhalten.
• Eine Datenschutzerklärung, die es wegließ. Die Datenschutzerklärungen sagten nicht, was das System erhob und wie.

Die Beauftragte nannte die Technik “the most intrusive option” [„die am stärksten eingreifende Option“], weil sie alle traf, die hereinkamen, nicht nur Menschen mit hohem Risiko. Sie sagte auch: “just because a technology may be helpful or convenient, does not mean its use is justifiable.” [„Nur weil eine Technik hilfreich oder bequem sein mag, ist ihr Einsatz noch nicht gerechtfertigt.“]

Sie ordnete an, dass Bunnings das Verhalten nicht wiederholt, eine Stellungnahme dazu veröffentlicht und die noch gespeicherten Daten aus dem System nach einem Jahr vernichtet.

Was das Tribunal 2026 entschied

Bunnings ließ die Entscheidung vom Administrative Review Tribunal überprüfen. Das Tribunal entschied am 4. Februar 2026.

Aufgehoben: die Feststellung zur Einwilligung. Das Tribunal entschied, dass Bunnings sich auf eine Ausnahme von der Einwilligungspflicht berufen durfte. Es verwies auf Wiederholungstäter, auf Größe und Aufbau der Filialen und auf Produkte, die “can be used as a weapon, such as an axe, a screwdriver or a drill” [„als Waffe dienen können, etwa eine Axt, ein Schraubendreher oder eine Bohrmaschine“]. Es berücksichtigte auch die Schutzvorkehrungen, mit denen Bunnings so wenig Daten wie möglich speicherte und nutzte. Es sagte, der Einsatz “involves a significant intrusion into the privacy of individuals” [„bedeutet einen erheblichen Eingriff in die Privatsphäre der Menschen“], Bunnings habe ihn aber “for the limited purpose of combatting very significant retail crime” [„zu dem begrenzten Zweck, sehr erhebliche Kriminalität im Handel zu bekämpfen“] und zum Schutz von Beschäftigten und Kunden nutzen dürfen.

Bestätigt: die Feststellungen zu Hinweis und Verfahren. Das Tribunal stimmte zu, dass Bunnings die Kunden nicht ordnungsgemäß informiert hatte. Es sagte, Bunnings hätte eine “formal, structured and documented” [„formale, strukturierte und dokumentierte“] Risikobewertung machen müssen, die den Datenschutz berücksichtigt.

Bestätigt: Auch ein Scan von Millisekunden zählt. Das Tribunal stimmte zu, dass das Erfassen eines Gesichts eine Erhebung personenbezogener Daten ist, auch wenn das System sie nur einen Augenblick speichert.

Bestätigt: wie die Ausnahme zu prüfen ist. Das Tribunal behielt die drei Prüfpunkte der Beauftragten bei: ob die Technik gegen das Problem wirkt, ob es eine weniger eingreifende Option gibt und ob der Eingriff verhältnismäßig ist.

Die Beauftragte legte kein Rechtsmittel ein. Sie sagte, Händler “should view the decision as a useful case study, rather than a green light” [„sollten die Entscheidung als nützliches Fallbeispiel sehen, nicht als grünes Licht“].

Was Bunnings sagte

Bunnings nennt das System einen “trial” [„Test“], der Menschen vor “violence, abuse, serious criminal conduct and organised retail crime” [„Gewalt, Beschimpfungen, schweren Straftaten und organisierter Kriminalität im Handel“] schützen sollte. Das Unternehmen begrüßte die Entscheidung des Tribunals. Es sagte, das Tribunal habe “identified areas where we didn’t get everything right, including around signage, customer information, processes and our privacy policy” [„Bereiche benannt, in denen wir nicht alles richtig gemacht haben, darunter Beschilderung, Kundeninformation, Abläufe und unsere Datenschutzerklärung“], und es nehme diese Rückmeldung an.

Ein zweiter Händler

2025 stellte dieselbe Behörde fest, dass Kmart gegen dasselbe Gesetz verstoßen hatte. Kmart hatte von Juni 2020 bis Juli 2022 in 28 Filialen Gesichtserkennung gegen Betrug bei Rückgaben eingesetzt. Diese Entscheidung wird vom Tribunal überprüft.

Was der Fall zeigt

• Machen Sie die Risikobewertung, bevor Sie das System einschalten. Das Tribunal akzeptierte den Grund, aus dem Bunnings die Technik einsetzte. Trotzdem entschied es gegen die Kette, weil sie die Datenschutzrisiken nicht formal und dokumentiert bewertet hatte.
• Sagen Sie es den Menschen klar. Eine der Feststellungen, die Bestand hatten: Die Kunden wussten es nicht. Schilder, Kundeninformation und Datenschutzerklärung reichten nicht, wie Bunnings selbst einräumt.
• Ein guter Grund deckt nicht alles ab. Die Bekämpfung von Kriminalität rechtfertigte, Gesichter ohne Einwilligung zu erfassen. Sie entschuldigte weder den fehlenden Hinweis noch die fehlenden Verfahren.
• Jedes Gesicht zählt. Das System scannte alle, die hereinkamen. Behörde und Tribunal werteten jeden kurzen Scan als Erhebung personenbezogener Daten.

Was das über die Praktiken sagt

Praktiken, die fehlten

• Kennen Sie die Regeln, die für Ihren KI-Einsatz schon gelten Bunnings informierte die Kunden nicht über das System, ließ es in der Datenschutzerklärung weg und machte keine formale, dokumentierte Bewertung der Datenschutzrisiken. Das Tribunal bestätigte diese Feststellungen nach dem Datenschutzrecht, das die Kette ohnehin einhalten musste. Zuerst · Aufwand: gering (Tage, eine Person) Evidenz: Gängige Praxis

Weiterlesen

• FirmenfallGing schiefRite Aid: Fünf Jahre Verbot für Gesichtserkennung, nachdem die Kette sie ungeprüft gekauft hatteRite Aid setzte Gesichtserkennung ein, um mutmaßliche Ladendiebe zu erkennen. Die US-Verbraucherschutzbehörde sagte, die Kette habe ihre Anbieter nie gefragt, wie genau das System ist, es nie geprüft und die Beschäftigten nicht geschult. Kunden wurden zu Unrecht beschuldigt. Die Kette darf die Technik fünf Jahre lang nicht nutzen.
• FirmenfallGing schiefAir Canada: haftbar für das, was der Chatbot auf der Website einem Kunden sagteDer Chatbot auf der Website von Air Canada gab einem Kunden falsche Auskunft über Erstattungen. Ein kanadisches Schiedsgericht verurteilte die Airline zur Zahlung. Es wies das Argument zurück, das Unternehmen sei für seinen Chatbot nicht verantwortlich.
• FirmenfallVom Unternehmen gemeldetes ErgebnisFiverr strich rund 250 Stellen, um „an AI-first company“ zu werden, und versprach Anlegern eine höhere MargeFiverr trennte sich von rund 30 % der Belegschaft und sagte Anlegern, es werde 2026 eine bereinigte EBITDA-Marge von 25 % erreichen, ein Jahr früher als geplant. Der Stellenabbau steht im Geschäftsbericht. Das Margenversprechen nicht: Mitte 2026 sank der Umsatz, und die eigenen Prognosen lagen niedriger.

Quellen

1. Office of the Australian Information Commissioner (19 November 2024). Bunnings breached Australians’ privacy with facial recognition tool. Media release on Commissioner initiated investigation into Bunnings Group Limited (Privacy) [2024] AICmr 230. oaic.gov.au
2. Office of the Australian Information Commissioner (2024). Bunnings determination. Fact sheet (PDF). oaic.gov.au
3. Office of the Australian Information Commissioner (4 February 2026). OAIC statement on Administrative Review Tribunal’s Bunnings decision. On Bunnings Group Limited and Privacy Commissioner [2026] ARTA 130. oaic.gov.au
4. Office of the Australian Information Commissioner (5 March 2026). Privacy Commissioner statement on Administrative Review Tribunal’s Bunnings decision. oaic.gov.au
5. Bunnings (4 February 2026). Bunnings statement: Response to Administrative Review Tribunal of Australia’s decision. Company statement (PDF). media.bunnings.com.au
6. Office of the Australian Information Commissioner (18 September 2025). Kmart’s use of facial recognition to tackle refund fraud unlawful, Privacy Commissioner finds. Media release. oaic.gov.au