Datenkraken 2023: Big-Brother-Awards für DHL, Bundesfinanzministerium und mehr

Der Big-Brother-Award für 2023 wurde verliehen. Das sind fünf Preise, für die Firmen gar nicht mal so gerne nominiert sind. Was haben das Bundesfinanzministerium, Finleap Connect, Zoom, Microsoft und DHL gemeinsam? Sie alle haben den Preis für die größten Datenkraken 2023 erhalten. Doch warum? Gehen wir sie mal durch – und schauen, warum das Marketing-Relevanz hat. Datenkraken-Preis für Behörden und Verwaltung: Bundesfinanzministerium Den Big-Brother-Award kriegt das Bundesfinanzministerium unter Christian Lindner (FDP) für das seit 1. Januar 2023 geltende Plattformen-Steuertransparenzgesetz (PStTG). Das eigentliche Ziel war mehr Steuergerechtigkeit, im Fokus stehen gewerbliche Portale wie Uber und Airbnb. Laudator Peter Wedde, Professor für Arbeitsrecht und Recht der Informationsgesellschaft an der Frankfurt University of Applied Science, sieht in dem Gesetz eine unnötige Erlaubnis für die Plattformen zur Vorratsdatenspeicherung und der Verarbeitung selbiger Daten. Hat eine Person auf der Plattform einen Jahresumsatz von über 2.000 Euro erreicht, müssen Plattformen die Daten an das Bundeszentralamt für Steuern übermitteln. Nach Übermittlung müssen die Daten für zehn Jahre sowohl von der Plattform als auch der Finanzverwaltung gespeichert werden. Das ist, so Wedde, eine völlig unnötige doppelte Datenspeicherung – für die meisten Privatverkäufe besteht keine Steuerpflicht, auch wenn sie die laut Wedde willkürlich gesetzte Meldeschwelle überschreiten. Das macht das Argument der Steuertransparenz hinfällig. Portale müssen die folgenden Daten verarbeiten: Name, Geburtsdaten und Anschrift, Steueridentifikationsnummer und eventuell Umsatzsteuernummer oder Finanzkonten, Gebühren, Provisionen und Steuern, die Plattformbetreiber für private Verkäufe einbehalten haben, und ausgezahlte oder gutgeschriebene Vergütungen, die private Verkäufer:innen von den Plattformbetreibern pro Quartal des Meldezeitraums bekommen. Die Betreiber müssen zudem eine Plausibilitätsprüfung durchführen – allerdings ist nicht so richtig klar, was wie geprüft werden muss. Wedde schreibt auch: „Eine enge und klare Begrenzung der beabsichtigten Verarbeitungszwecke dieser Vorratsdatenspeicherung, die datenschutzrechtlichen Vorgaben entsprechen würde, ist obendrein nicht erkennbar.“ Die Daten müssen verarbeitet werden, um zu sehen, wer die Schwelle überschreitet. Weil die Verarbeitung nicht eingeschränkt wird, können Plattformen die Daten nutzen, um das Kaufverhalten zu analysieren oder eine KI zu trainieren, Auffälligkeiten im Kaufverhalten zu erkennen. Sinnvoller wäre es, wenn Plattformen nur Verkäufe melden, bei denen eine Steuerpflicht offensichtlich besteht, wie beim Verkauf von Luxusgegenständen. Finanzen: Finleap Connect Frank Rosengart vom Chaos Computer Club verlieh den Award an Finleap Connect, weil das Unternehmen trotz mehrmaliger Hinweise sensible Finanzdaten an willkürliche Adressen versandte. Der Verein Digitalcourage erhielt Kontowechsel-Briefe mit privaten Informationen wie eingescannten Unterschriften, Schreiben mit Anschriften und Kontodaten und teilweise regelmäßige Abbuchungen vom Konto. Grund dafür ist die Einführung der „Payment Services Directive“ der EU in der Version zwei, die es ermöglicht, Dritten Zugriff auf die eigenen Kontodaten zu gewähren. Das ist beispielsweise für Anbieter wie „Sofortüberweisung“ vonnöten. Da Banken verpflichtet sind, beim Bankwechsel zu helfen, beauftragen sie Dienstleister, die auf PSD2-Schnittstellen spezialisiert sind – wie Finleap. Finleap ruft über die Schnittstelle die Kontoumsätze ab und sucht die regelmäßigen Abbuchungen. Dem Empfänger sollen per Brief die neuen Bankdaten mitgeteilt werden. Fehler bei Finleap führten dazu, dass diese Briefe willkürlich versendet wurden; zum Beispiel an Digitalcourage. Rosengart vermutet, dass es sich um ein enormes Problem handelt und das Ausmaß der falsch versendeten Daten sehr groß ist. Digitalcourage wies Finleap darauf hin, der Anbieter konnte wohl aber ohne die sensiblen Kund:innen-Daten einzusehen nichts tun. Noch im März 2023 erhielt Digitalcourage weiterhin Briefe von Finleap. Kommunikation: Zoom und alle Nutzer:innen Zoom speichert und verarbeitet neben den Produkt- und Servicepräferenzen viele Daten: Identifikatoren wie Name, Nutzungsname, Anschrift, Mailadresse, Telefonnummern und mehr, Berufliches wie Titel und Arbeitsstelle, Zahlungsinformationen wie Kreditkarten, Informationen über Gerät, Netzwerk und Internetverbindung wie IP- und Mac-Adressen, Geräte-ID, Gerätetyp, Betriebssystemtyp und -version, „Kundeninhalte“, also die Informationen, die während der Nutzung hochgeladen oder erstellt werden, und sogar Facebook-Profilinformationen. Eine in den USA ansässige Firma wie Zoom unterliegt dem dortigen Recht. Damit ist Zoom verpflichtet, Daten von Nicht-US-Bürger:innen an die Geheimdienste weiterzuleiten. Das ist unabhängig davon, wo die Server stehen, so Padeluun von Digitalcourage. Die Nutzer:innen dürfen darüber auch nicht informiert werden. Die Versprechen, DSGVO-konform zu sein, sind hinfällig. Die Entwicklungsabteilung sitzt in China, ursprünglich wurden dort auch die kryptografischen Schlüssel erzeugt und Konferenzen zum Teil über China geroutet. Konferenzen, in denen der Platz des Himmlischen Friedens angesprochen wurde, wurden aktiv zensiert. Organisationen und Unternehmen vertrauen Zoom unreflektiert und unvorsichtig wegen eines Marketingversprechens ihre sensiblen Daten an: Zoom sei einfach, andere (datenschutzkonforme) Lösungen wie Jitsi und Bigbluebutton seien hochkompliziert. Wie Padeluun schreibt: „Das liegt zum Großteil an der Psychologie des Marketings und nicht an der Technik. Frei nach dem Motto: ‚Wenn’s bei den Kommerzlösungen nicht funktioniert, liegt’s an den Nutzer.innen. Funktioniert die Alternative nicht, liegt’s an der Software‘.“ Auch das BSI, das Bundesinstitut für Sicherheit in der Informationstechnik, habe nur das Frontend getestet – nicht aber das Backend. Lebenswerk: Microsoft Das ist nicht der erste Big-Brother-Award, den Microsoft bekommt. Den Lebenswerk-Award gibt es für den Erfolg, Nutzer:innen langfristig in eine Abhängigkeit zu schieben. Beim Wort „Datenkrake“ ist Microsoft bei den meisten Menschen aber unterhalb der Wahrnehmungsschwelle, schreibt Laudator Thilo Weichert vom Netzwerk Datenschutzexpertise. Die Büro-Software ist größtenteils Standard. Microsoft spielt bei OpenAI mit und will mit der Bing-ChatGPT-Kombination Google im Suchmaschinenmarkt Anteile abgraben. Im Freizeit-Gaming-Bereich besitzt Microsoft Xbox. Die immer komplexere Software soll zum Cloudangebot Azure führen. Programme laufen dann nicht lokal auf dem Rechner, sondern dort. Microsoft hat als Ziel geäußert, dass „die Linie zwischen Cloud und Endgerät verschwimmen“ soll, was allerdings auch heißt, dass die Transparenz zur Datenverarbeitung schwindet. Dabei urteilte im November 2022 die deutsche Datenschutzkonferenz: Office 365 ist nicht mit der DSGVO im Einklang. Software-Änderungen in den Updates sind weder dokumentiert noch nachvollziehbar, ebenso ist unklar, welche Unterauftragnehmer einspannt sind, die wie Microsoft Zugriff auf die Personendaten haben. Wie bei Zoom unterliegt Microsoft dem US-Recht und muss Daten an Geheimdienste abführen. Mit der EU Data Boundary und den 17 Rechenzentren, die Microsoft in Europa baut, will Microsoft das Vertrauen der Unternehmen und Nutzenden gewinnen. Aber: Wie bei Zoom spielt der Server-Standort keine Rolle – dank US-amerikanischem Cloud Act und Foreign Intelligence Surveillance Act können die US-Behörden Zugriff auf die Daten einfordern. Verbraucherschutz: Deutsche Post DHL Group Rena Tangens von Digitalcourage nennt drei Gründe für den Award: Die Nutzung der Packstationen ist ohne Smartphone und App nicht mehr möglich, das sei Digitalzwang. Die „Post & DHL App“ leitet Daten an Trackingfirmen weiter. Die Datenübertragung zwischen Server und Poststation läuft über die App auf dem Smartphone der Kund:innen. Die App überträgt sofort nach Start Daten an US-amerikanische Unternehmen wie Adobe, Google und Sentry. Das passiert noch bevor irgendeine Interaktion stattfand – noch vor Erscheinen des Cookie-Banners. Rechtsanwalt Peter Hense sieht die App weder DSGVO- noch TTDSG-konform. Datenverwendung, Datenschutz und Marketing: Untrennbar verknüpft Daten zu sammeln, weiterzuleiten, zu verwenden und die nicht eingehaltenen Privacy-Versprechen sind unlösbar mit dem Marketing verknüpft. Immerhin wollen wir datenbasiertes Marketing machen, das wir in Reportings auf seine Wirksamkeit prüfen. Viele der angesprochenen Daten können und werden im Zweifel zu Marketingzwecken genutzt, Zoom-Daten über die Nutzenden zur Zielgruppenuntersuchung und zum Targeting. Die KI, dank des PStTG trainiert, könnte Erkenntnisse zum Kaufverhalten aufbereiten – diese nützen dem UX-Design, aber auch Produktvorschlägen im Shop selbst, der Produktvermarktung oder dem Design des Shops selbst. Nicht jede Presse ist gute Presse Ganz abgesehen davon ist der Preis keine gute Presse. Sicherlich gibt es Negativpreise, beispielsweise für Gender-Marketing, die sich noch mit „Es funktioniert doch!“ und „Die Kund:innen möchten das so.“ erklären lassen. Die öffentliche Diskussion könnte auch noch die Reichweite und damit das Markenbewusstsein steigern. Dagegen gibt es schlicht keine Erklärung dafür, wie Finleap leichtsinnig mit hochsensiblen Daten von Kund:innen umzugehen, die sich nicht einmal selbst für den Service entschieden haben, sondern im Zweifel nur zwischen die Mühlen geraten sind. Es gibt wenig verlässliche Datenlage dazu, wie viele Menschen genau auf den Datenschutz achten. Befragungen ergeben zumindest, dass Millennials und Gen Z Datenlecks und Datenmissbrauch den Firmen doch übel nehmen und Apples Tracking-Transparency hat gezeigt, dass Menschen Tracking abschalten, wenn sie die Wahl haben. Es ist allerdings keine Auslegungssache, sondern das Minimum, dass Firmen (oder Ämter) dafür sorgen, dass sie Menschen nicht Missbrauch (KI-Training mit den eigenen Kaufdaten) oder tatsächlichem Schaden (Betrug mithilfe der Kontowechsel-Briefe) aussetzen. [crosslinks ids="1499845,1542703,1489612"]