Toss speichert Fotos für Face Payment nach dem Ausstieg der Nutzer ein Jahr lang, Naver Pay 90 Tage

Wer Face Payment beendet, löscht damit nicht immer auch das Foto

Toss bewahrt die ursprünglichen Gesichtsfotos von Kunden, die den Dienst FacePay verlassen, ein Jahr lang auf, sofern sie mindestens eine Transaktion getätigt haben. Naver Pay speichert die Originalfotos nach dem Ausstieg aus FaceSign 90 Tage lang. Beide Unternehmen erklären, die Aufbewahrungsfristen ermöglichten es ihnen, auf Zahlungsbeschwerden zu reagieren, die erst nach dem Ende der Nutzung eingehen könnten.

Der Zeitplan von Toss ist ungewöhnlich genau: Fotos von Nutzern mit Transaktionshistorie werden am Tag nach ihrem Ausstieg um 1 Uhr in eine separate Datenbank verschoben und am 366. Tag um 10 Uhr gelöscht. Bei Nutzern, die sich registriert, aber nie eine Transaktion getätigt haben, werden die Fotos beim Ausstieg sofort gelöscht.

Die Unterscheidung ist wichtig, weil der Widerruf der Einwilligung eine andere Art von Gesichtsinformation sofort löschen lässt: die numerischen Merkmale, die zur Identifizierung einer Person verwendet werden. Sowohl Toss als auch Naver Pay löschen diese biometrischen Vorlagen, wenn ein Nutzer den Dienst verlässt oder seine Einwilligung widerruft. Ein Originalfoto kann daher weiter gespeichert sein, obwohl die Authentifizierungsvorlage bereits gelöscht wurde.

Die südkoreanischen Vorschriften unterscheiden gewöhnliche Gesichtsfotos von Informationen, die technisch erzeugt werden, um eine Person zu identifizieren. Umstritten ist nicht, ob Face Payment gänzlich außerhalb des Datenschutzrechts operiert. Die Frage ist vielmehr, ob die geltenden Vorschriften die zurückbehaltenen Fotos ausreichend regeln, wie lange Unternehmen sie speichern sollten und wie Fehler bei Zahlungen erfasst werden sollten.

Laut Angaben des Abgeordneten Park Sang-hyuk von der Demokratischen Partei wurde im September des Vorjahres beim Finanzaufsichtsdienst eine Beschwerde gegen die Aufbewahrungsrichtlinie von Toss eingereicht. Dem Bericht zufolge war die Beschwerde etwa ein Jahr später noch nicht geklärt. Ein Datum für eine Entscheidung wurde nicht genannt.

Warum die Unternehmen die Bilder speichern

Toss zufolge orientiert sich die Aufbewahrungsfrist daran, wie lange Kunden üblicherweise brauchen, um Zahlungsbeschwerden einzureichen. Auch Naver Pay verweist auf mögliche spätere Beschwerden über Zahlungsfehler und begründet damit, warum Fotos nach dem Ausstieg eines Nutzers 90 Tage lang gespeichert werden.

Die beiden Richtlinien unterscheiden sich erheblich. Ein Jahr ist ungefähr viermal so lang wie die 90 Tage bei Naver Pay, wobei Toss die Löschung am 366. Tag festlegt, statt einfach eine Anzahl von Monaten anzugeben. Aus den Berichten geht weder hervor, dass eine der beiden Fristen ein branchenüblicher Standard ist, noch dass Aufsichtsbehörden sie vorschreiben.

Nach dem Ausstieg verschiebt Toss die gespeicherten Bilder aus seiner aktiven Datenbank. Das ist eine Schutzmaßnahme für die Speicherung, aber keine Löschung. Für ehemalige Kunden bleibt entscheidend: Das Unternehmen besitzt das Foto weiterhin, obwohl die Nutzung des Face-Payment-Dienstes beendet ist.

Die Begründung mit möglichen Beschwerden lässt zudem eine praktische Frage offen: Warum muss das Originalfoto für die gewählte Dauer gespeichert bleiben und nicht lediglich andere Transaktionsdaten? Eine ausführliche Bewertung, die erklärt, warum bei Toss ein Jahr oder bei Naver Pay 90 Tage erforderlich sind, wird nicht beschrieben. Auch eine gesetzliche Höchstfrist speziell für die Aufbewahrung solcher Fotos bei Zahlungen wird in den Berichten nicht genannt.

Für Fotos und biometrische Vorlagen gelten unterschiedliche rechtliche Regeln

Eine biometrische Vorlage ist eine numerische Darstellung von Gesichtsmerkmalen, mit der Software Gesichter miteinander vergleicht. Sie unterscheidet sich von einem gewöhnlichen Foto, auch wenn sich daraus eine solche Vorlage erzeugen lässt.

Nach den hier beschriebenen südkoreanischen Datenschutzvorschriften gelten Gesichtsdaten, die technisch erzeugt werden, um eine bestimmte Person zu authentifizieren oder zu identifizieren, als sensible personenbezogene Daten. Dafür gelten besondere Anforderungen an Einwilligung und Verschlüsselung. Ein gewöhnliches Kamerafoto ist ein personenbezogenes Datum, fällt aber nicht automatisch in dieselbe Kategorie sensibler Daten.

Diese Unterscheidung erklärt, wie die Unternehmen Identifizierungsvorlagen sofort löschen und gleichzeitig Originalfotos aufbewahren können. Das bedeutet weder, dass Fotos keinen Datenschutz genießen, noch, dass jede Aufbewahrungsfrist automatisch rechtmäßig ist. Vielmehr werden die beiden Datentypen unterschiedlich behandelt. Damit stehen die Dauer und die Begründung für die Speicherung des Originalbildes im Mittelpunkt des Streits.

Park, der Abgeordnete der Demokratischen Partei, der das Thema aufgebracht hat, warnte vor Risiken, die über den Zahlungsdienst hinausgehen:

Wenn die Fotos während der Speicherung nach außen gelangen, könnten sie zur Authentifizierung bei anderen Diensten oder für Deepfake-Straftaten missbraucht werden.

Die Warnung bezieht sich auf mögliche Folgen eines Datenlecks. Aus den Berichten geht nicht hervor, dass gespeicherte Gesichtsfotos eines der beiden Unternehmen offengelegt oder für solche Straftaten verwendet wurden.

Rasantes Wachstum, aber unterschiedliche Abonnentenzahlen

Beim Face Payment wird ein registriertes Gesicht mit einer Karte oder einem Bankkonto verknüpft. Nach der Registrierung kann ein Kunde bezahlen, indem er sich vor eine Terminalkamera stellt, ohne Geldbeutel oder Smartphone vorzeigen zu müssen. Der Vorgang soll weniger als eine Sekunde dauern.

Shinhan Card führte 2020 Südkoreas ersten Face-Payment-Dienst ein. Zunächst kam das Angebot nur schleppend in Gang. Später bauten Toss und Naver Pay den Markt mit FacePay und FaceSign aus. Toss setzte dabei Registrierungsgutscheine im Wert von 5.000 oder 10.000 Won ein, während Naver Pay seinen Dienst mit Punkten und Zahlungsguthaben verknüpfte.

Die Angaben zu den Nutzerzahlen unterscheiden sich je nach Bericht. Ein Bericht beziffert die FacePay-Registrierungen bei Toss auf 1 Million Ende des Vorjahres, 7 Millionen im Juli und 8,4 Millionen im August. Ein separater Bericht vom 7. Oktober 2026 besagt, dass Toss FacePay im September 2025 offiziell startete und im August 2026 mehr als 7 Millionen kumulierte Registrierungen meldete.

Die Angabe von mehr als 7 Millionen ist ein niedrigerer Schwellenwert und widerspricht den 8,4 Millionen daher nicht zwingend. Die Berichte erklären jedoch nicht, ob bei den Zahlen dieselbe Messmethode oder derselbe Stichtag zugrunde liegt. Die relativen Zeitangaben im ersten Bericht sind keinem konkreten Kalenderjahr ausdrücklich zugeordnet und sollten nicht ohne Weiteres mit den Datumsangaben des Oktober-Berichts gleichgesetzt werden.

Innerhalb der ersten Zahlenreihe stiegen die Registrierungen von 1 Million auf 8,4 Millionen, also um 7,4 Millionen. Damit lag der Gesamtwert beim 8,4-Fachen des Ausgangswerts. Interne Zahlen von Toss, die im Oktober-Bericht zitiert werden, besagen außerdem, dass etwa 60 Prozent der Personen, die tatsächlich mit FacePay bezahlt hatten, den Dienst im Juni 2026 erneut nutzten. Registrierungen und wiederholte Nutzung messen unterschiedliche Dinge; keine der beiden Zahlen belegt daher, wie viele Kunden den Dienst regelmäßig nutzen.

Mit dem Ausbau des Dienstes stiegen auch die Austritte

Den Bericht zum Streit über die Aufbewahrungsfrist zufolge stieg die Zahl der Widerrufe der FacePay-Einwilligung von 15.176 im April auf 45.605 im Mai. Das sind 30.429 mehr; im Mai lag die Zahl damit etwa dreimal so hoch wie im April.

Die Zahlen zeigen mehr Austrittsanträge, belegen aber keine Austrittsquote. Vergleichbare Angaben zur Zahl der aktiven Nutzer oder der Nutzer mit Einwilligung für die jeweiligen Monate fehlen. Ebenso zeigen sie nicht, wie viele Nutzer wegen der Fotoaufbewahrung, aus Datenschutzbedenken oder wegen Zahlungsproblemen ausgestiegen sind.

Der im Oktober-Bericht von 2026 beschriebene kommerzielle Ausbau könnte Face Payment in weitere Alltagssituationen bringen. Die Bereitstellung von Terminals für rund 5.000 kleine und mittlere Supermärkte sowie 700 Hähnchen-Imbissfilialen war geplant. Das sind Ausbaupläne und keine bestätigte Zahl von Geschäften, in denen bereits Transaktionen abgewickelt werden.

Mit zunehmender Verbreitung wird die Unterscheidung zwischen dem Ende der Zahlungsautorisierung und der Löschung aller damit verbundenen Daten immer relevanter. Millionen Registrierungen können mit der sofortigen Löschung der Vorlagen bei ehemaligen Nutzern und einer fortgesetzten Speicherung der Fotos einhergehen. Ein Austritt wirkt sich nicht zwangsläufig auf jede Datenkategorie im Besitz des Unternehmens gleich aus.

Zehn Entschädigungsfälle belegen nicht zehn Fehler bei der Gesichtserkennung

Toss soll im Zusammenhang mit Beschwerden über Zahlungsfehler bei FacePay in zehn Fällen Entschädigungen gezahlt haben. Dazu gehörte ein Fall, in dem ein Ladenmitarbeiter die FacePay-Schaltfläche im Namen eines Kunden drückte und daraufhin eine Zahlung ausgelöst wurde.

Toss zufolge bedeutete eine Entschädigung nicht, dass in jedem Fall ein technischer Fehler vorlag oder das Unternehmen dafür verantwortlich war. Das Unternehmen erklärte, es habe Kunden in der Anfangsphase des Geschäfts entschädigt, bevor geklärt war, ob ihr eigenes Verhalten zum Problem beigetragen hatte.

Im Bericht vom Oktober 2026 erklärte Toss gesondert, keine Schadensersatzforderungen erhalten zu haben, bei denen das Gesicht einer Person mit dem einer anderen verwechselt und deshalb das falsche Konto belastet worden sei. Diese Aussage ist enger gefasst als die Behauptung, es habe keine Zahlungsbeschwerden gegeben.

Diese Unterscheidung ist entscheidend. Ein System kann eine registrierte Person korrekt identifizieren und dennoch jemanden auswählen, der gar nicht bezahlen wollte. Toss räumte ein, dass die Zahlung einer anderen registrierten Person ausgelöst werden könnte, wenn nur deren Gesicht in den Erfassungsbereich der Kamera gerät. Ein solcher Fall unterscheidet sich davon, dass die Software zwei Personen miteinander verwechselt.

In sozialen Medien kursierten Behauptungen, das Konto eines Unbeteiligten sei belastet oder ein Foto sei für eine Zahlung verwendet worden. Das sind Vorwürfe, keine in den Berichten bestätigten technischen Feststellungen. Die zehn Entschädigungsfälle, Toss' Zurückweisung von Forderungen wegen einer Verwechslung der Identität und das beschriebene Szenario mit der Kamera sollten daher nicht zu einer einzigen Zahl von Erkennungsfehlern zusammengefasst werden.

Sicherheitsangaben decken nur einen Teil des Problems ab

Toss gibt die Genauigkeit seiner Gesichtsauthentifizierung mit 99,99 Prozent an. Naver Pay zufolge liegt die Genauigkeit der Gesichtserkennung bei über 99 Prozent. Dabei handelt es sich um Unternehmensangaben. Ohne einheitliche Testbedingungen und Definitionen oder unabhängige Bewertungsergebnisse lässt sich daraus keine direkte Rangfolge der beiden Dienste ableiten.

Beide Dienste beschreiben mehrere Sicherheitsstufen, darunter Gesichtserkennung, Prüfungen der Bildqualität, Kontrollen auf manipulierte Eingaben, den Abgleich der Identität und die Erkennung ungewöhnlicher Transaktionen. Bei der Lebenderkennung wird geprüft, ob die Kamera eine reale Person statt eines Fotos oder Videos erfasst. Ein Betrugserkennungssystem untersucht Transaktionen auf verdächtige Muster.

Toss beschreibt außerdem ein Modell zur Unterscheidung ähnlicher Gesichter sowie in bestimmten Fällen, etwa bei eineiigen Zwillingen, eine zusätzliche Authentifizierung. In den Kundenhinweisen von Naver Pay heißt es, dass eine Zahlung fehlschlagen kann, wenn mehrere Gesichter gleichzeitig im Kamerabild erscheinen.

Diese Maßnahmen zielen auf unterschiedliche Risiken. Die Lebenderkennung soll verhindern, dass statt einer Person ein Bild verwendet wird. Beim Identitätsabgleich wird geprüft, um wen es sich handelt. Keine der beiden Beschreibungen belegt für sich genommen, dass die von der Kamera ausgewählte Person den Kauf autorisieren wollte.

Die Unternehmen verweisen außerdem auf die Verschlüsselung und Umwandlung von Gesichtsinformationen in numerische Merkmale. Toss zufolge werden gesichtsbezogene Daten in einer Umgebung mit Netzwerktrennung gespeichert und unverschlüsselte Originaldaten gelöscht. Das ist nicht gleichbedeutend damit, dass jedes Originalfoto sofort gelöscht wird: Verschlüsselte Fotos können gemäß der Aufbewahrungsrichtlinie nach einem Ausstieg weiter gespeichert bleiben.

Bei Beschwerdeerfassung und Entschädigungsregeln gibt es Lücken

Beim Büro von Park eingereichte Angaben des Finanzaufsichtsdienstes verzeichneten sechs Beschwerden zu Gesichtserkennungszahlungen im vorangegangenen Jahr. Diese Zahl lässt sich nicht direkt mit den zehn Entschädigungsfällen von Toss vergleichen. Die eine Zahl zählt bei einer Aufsichtsbehörde eingegangene Beschwerden, die andere die Fälle, in denen ein Unternehmen eine Entschädigung zahlte.

Berichten zufolge werden Fehler bei Face Payments auch deshalb nicht in den offiziellen Unfallstatistiken der Aufsichtsbehörde erfasst, weil sie nach der geltenden Einordnung nicht unter die entsprechende Meldepflicht fallen. Dass ein Vorfall nicht in diesen Statistiken erscheint, belegt daher nicht, dass keine Beschwerde eingegangen ist.

Die rechtliche Unterscheidung betrifft die Autorisierung. Dem Bericht zufolge umfasst die einschlägige Entschädigungskategorie im Gesetz über elektronische Finanztransaktionen Betrugsfälle, bei denen ein nicht autorisierter Dritter eine Transaktion ausführt. Ein Zahlungsfehler ohne einen solchen Missbrauch durch Dritte wird nicht automatisch als ein derartiger Vorfall behandelt.

Toss gibt an, bei Verlusten durch betrügerische Transaktionen eine vollständige Entschädigung zu gewähren. Naver Pay bietet Nutzern, die eine nicht von ihnen getätigte FaceSign-Zahlung melden, ein eigenes Verfahren beim Kundendienst. Diese Regelungen belegen nicht, dass jede strittige Zahlung rechtlich gleich eingestuft wird oder dieselbe Reaktion nach sich zieht.

Offen bleibt, wie eine Zahlung einheitlich einzuordnen ist, bei der zwar die richtige Person identifiziert wird, aber jemand belastet wird, der nicht bezahlen wollte. Die Berichte nennen weder eine abschließend festgelegte neue Meldekategorie noch eine aufsichtsrechtliche Entscheidung oder eine angesetzte Anhörung, die diese Frage klären würde.

Datenschutzaufsicht gibt es, doch die Aufbewahrungsregeln sind ungeklärt

Die Datenschutzkommission für personenbezogene Daten führte im März 2024 eine frühere Angemessenheitsprüfung des Face-Payment-Dienstes von Toss durch. Dabei ging es um den Datenschutz bei einem Verfahren, das ein bei der Erstregistrierung überprüftes Gesicht mit einem an einem Zahlungsterminal aufgenommenen Gesicht vergleicht. Das zeigt, dass der Dienst datenschutzrechtlich geprüft wurde, bevor er dem Oktober-Bericht von 2026 zufolge offiziell startete.

Ein anderer Eingriff zeigt einen abweichenden Umgang mit gespeicherten Bildern. Im Mai des Jahres, auf das sich der Bericht über die Aufbewahrungsfrist bezieht, empfahl die Kommission, Originalfotos und Gesichtsinformationen, die bei der Aktivierung von Mobiltelefonen verwendet werden, unmittelbar nach dem Abgleich zu löschen. Diese Empfehlung betrifft die Telefonaktivierung und ist keine verbindliche Aufbewahrungsfrist für Face Payments.

Die wichtigsten Daten und Entwicklungen:

• 2020: Shinhan Card führte Südkoreas ersten Face-Payment-Dienst ein.
• März 2024: Die Datenschutzkommission für personenbezogene Daten prüfte die geplanten Datenschutzvorkehrungen von Toss für Face Payment.
• September 2025: Toss startete FacePay offiziell, dem Bericht vom 7. Oktober 2026 zufolge.
• Juni 2026: Internen Zahlen von Toss zufolge nutzten etwa 60 Prozent der Personen, die bereits mit FacePay bezahlt hatten, den Dienst erneut.
• August 2026: Toss meldete dem Oktober-Bericht zufolge mehr als 7 Millionen kumulierte Registrierungen; ein anderer Bericht nennt für August 8,4 Millionen, ohne das Jahr ausdrücklich anzugeben.

Auch internationale Vergleiche müssen mit Vorsicht gezogen werden. Einschränkungen der Gesichtserkennung durch Polizei und öffentliche Stellen an Orten wie San Francisco betreffen andere Anwendungsbereiche als private Zahlungen im Einzelhandel. Die Datenschutz-Grundverordnung der EU stellt strenge Anforderungen an die Verarbeitung biometrischer Daten zur Identifizierung. Die Berichte nennen jedoch keine ausländische Aufbewahrungsfrist für Fotos, die direkt mit den Regelungen von Toss und Naver Pay vergleichbar wäre.

Park fordert ausdrücklich festgelegte Aufbewahrungsfristen und Verwaltungsstandards für Gesichtsfotos sowie eine genauere Erfassung von Zahlungsbeschwerden. Ein Zeitplan für ein Gesetz, eine überarbeitete Unternehmensrichtlinie oder eine aufsichtsrechtliche Entscheidung wird nicht genannt. Fest steht, dass Nutzer ihre Einwilligung zur Authentifizierung beenden können, während ein Originalfoto gespeichert bleibt, und dass Zahlungsstreitigkeiten nicht alle in dasselbe offizielle Meldesystem eingehen.

Die wichtigsten Punkte

• Toss speichert Originalfotos von Nutzern mit mindestens einer Transaktion auch nach ihrem Ausstieg. Gelöscht werden sie am 366. Tag um 10 Uhr.
• Toss löscht Fotos von Nutzern, die nie eine Transaktion getätigt haben, sofort. Naver Pay speichert Originalfotos nach dem Ausstieg 90 Tage lang.
• Beide Unternehmen löschen biometrische Identifizierungsvorlagen sofort, wenn Nutzer den Dienst verlassen oder ihre Einwilligung widerrufen.
• Toss soll in zehn Fällen von Zahlungsbeschwerden Entschädigungen gezahlt haben, erklärt jedoch, dass nicht allen Fällen technische Fehler zugrunde lagen.
• Der Finanzaufsichtsdienst verzeichnete im beschriebenen Zeitraum sechs Beschwerden. Fehler bei Face Payments erscheinen nicht in seinen offiziellen Unfallstatistiken.
• Die Berichte nennen unterschiedliche August-Zahlen und Zeitangaben und belegen daher keine einheitliche, vollständig vergleichbare Gesamtzahl.
• Eine Höchstfrist für die Aufbewahrung von Fotos speziell bei Zahlungen oder einen Termin zur Klärung des Richtlinienkonflikts gibt es den Berichten zufolge nicht.