Die Datenschutzexpert:innen von Digitalcourage werfen der Deutschen Bahn vor, mit der DB-Navigator-App in großem Stil die Kund:innen auszuspionieren und damit gegen die Datenschutzgrundverordnung (DSGVO) und andere Datenschutzgesetze zu verstoßen. Die App sei „voll mit Trackern, die Reisende überwachen“, erklärt der Datenschutzverein und will eine Klage gegen die Deutsche Bahn anstrengen. Konkret enthält die Software ein gutes Dutzend Tracker, etwa zu den Online-Marketing-Lösungen von der US-amerikanischen Adobe Marketing Cloud (Android) sowie zu den Marketingunternehmen Optimizely (Apple iOS) und Adform.
Was genau an Daten übertragen wird, was davon für die Nutzung der App zwingend erforderlich und was nur marketingrelevant ist, ist noch strittig. Vieles davon betrifft tatsächlich die UX und das Nutzungsverhalten und ist im Interesse des Anbieters – und letztlich auch der Nutzenden – durchaus nachvollziehbar. In der Tat wird in einem solchen Fall eine ID vergeben und entweder als Cookie oder über entsprechende Ersatztechnologien, die das Cookie ersetzen sollen, auf dem Endgerät des Nutzers gespeichert.
Kritik an fehlender Alternative
Doch die Vorwürfe könnten zumindest juristisch in Teilen gerechtfertigt sein – trotz der Tatsache, dass das Unternehmen durchaus eine Kundenbeziehung eingeht und teilweise berechtigtes Interesse daran hat, den Kund:innen korrekte Informationen zu liefern. Dabei wird zu bewerten sein, was davon im Sinne der Datensparsamkeit für die Funktion der App erforderlich ist und was mit den übrigen Daten passiert, die da erhoben werden. Korrekt ist offenbar aber schon, dass die Deutsche Bahn keine ausreichende Möglichkeit bietet, die App komplett unter Verzicht auf jegliche nicht-funktionalen Cookies zu nutzen – doch für die Einschätzung, was davon mit gutem Gewissen als Kundenüberwachung und Schnüffel-Lösung und was als notwendig erachtet werden muss, braucht es mehr Informationen als die Datenschützer:innen liefern.
Erst kürzlich hatte sich auch die Stiftung Warentest mit der App befasst und ebenfalls festgestellt, dass verschlüsselte Daten zu Standort des Nutzers und verwendeter Hard- und Software versendet werden – nichts Ungewöhnliches in der Mobilgeräte-Welt mit unterschiedlichen Auflösungen und technischen Vorgaben. Ob es jetzt verwerflich ist, dass kumulierte Daten zur App-Nutzung und zum gewählten Mobilfunknetz übertragen werden, darüber lässt sich streiten.
Die Deutsche Bahn zeigt sich von der öffentlichkeitswirksam zum veritablen Datenschutzskandal hochstilisierten Geschichte daher auch „befremdet“ und erklärt, dass die hier weitergereichten Daten keinerlei Kundendaten enthielten. Es handele sich um pseudonymisierte Daten, sodass sie für den jeweils einzelnen Dienstleister sogar anonymisiert sind, da diese die Daten nicht einem bestimmten Vorgang oder Kundenkonto zuordnen können.
Das klingt plausibel und ist in der App-Welt auch keineswegs ein Einzelfall, sondern eher die Regel – das dürften auch die Expert:innen von Digitalcourage wissen. Das betrifft übrigens auch die in der Tat zu beanstandende Praxis, dass noch vor der ausdrücklichen Einwilligung durch die Kund:innen ein entsprechender Kontakt aufgebaut wird. Die Frage von Datenschützer Mike Kuketz, warum die Deutsche Bahn nicht sämtliche Maßnahmen zum Monitoring und zur Personalisierung und Marketingauswertung im eigenen Haus und unter eigener Regie ohne die Mitwirkung von Dritten durchführt, verrät indes wenig Kenntnis über die Gepflogenheiten der Adtech-Landschaft. Will sagen: Kein größeres Unternehmen, das nicht ausgewiesener Digitalkonzern oder Werbenetzwerk ist, stemmt dies ohne fremde Hilfe. Hinzu kommt, dass zumindest im Rahmen der Adobe Marketing Cloud die Daten durch den Dienstleister lediglich verarbeitet werden und vertraglich gesehen nicht durch Dritte (oder den Dienstleister selbst ) für eigene Marketingmaßnahmen genutzt werden dürfen.
Doch die Bahn, die sich hier natürlich schon fragen lassen muss, wo und wie sie im Detail nachbessert, ist hier ein dankbares Ziel, um auf diesen Sachverhalt generell aufmerksam zu machen – ohnehin durch das Neun-Euro-Ticket und die dadurch zahlreichen Neuinstallationen der DB-Navigator-App im Gespräch. Ob man sich allerdings einen Gefallen damit tut, das letzte Stück Digitalisierung in Deutschland zu zerreden, darf bezweifelt werden. Denn was von der Geschichte – ob sie jetzt vor Gericht geht oder nicht – bei den Kund:innen hängenbleibt, ist das Bewusstsein, dass da irgendwas mit Schnüffelfunktionen war. Die Folge dürfte sein, dass besonders vorsichtige Zeitgenoss:innen wieder Papiertickets kaufen und sich ausschließlich auf den am Bahnsteig ausgehängten Fahrplan verlassen.
Bitte beachte unsere Community-Richtlinien
Wir freuen uns über kontroverse Diskussionen, die gerne auch mal hitzig geführt werden dürfen. Beleidigende, grob anstößige, rassistische und strafrechtlich relevante Äußerungen und Beiträge tolerieren wir nicht. Bitte achte darauf, dass du keine Texte veröffentlichst, für die du keine ausdrückliche Erlaubnis des Urhebers hast. Ebenfalls nicht erlaubt ist der Missbrauch der Webangebote unter t3n.de als Werbeplattform. Die Nennung von Produktnamen, Herstellern, Dienstleistern und Websites ist nur dann zulässig, wenn damit nicht vorrangig der Zweck der Werbung verfolgt wird. Wir behalten uns vor, Beiträge, die diese Regeln verletzen, zu löschen und Accounts zeitweilig oder auf Dauer zu sperren.
Trotz all dieser notwendigen Regeln: Diskutiere kontrovers, sage anderen deine Meinung, trage mit weiterführenden Informationen zum Wissensaustausch bei, aber bleibe dabei fair und respektiere die Meinung anderer. Wir wünschen Dir viel Spaß mit den Webangeboten von t3n und freuen uns auf spannende Beiträge.
Dein t3n-Team
Ich finde gut, dass man den Punkt Datenschutz und das Recht auf seine Daten zu einem Zeitpunkt aufzeigt, zu dem viele Betroffen sind. Es gibt, anders als im Beitrag erwähnt, durchaus Möglichkeiten wie die Bahn das alles InHouse regeln könnte. Die Werbebranche muss endlich einsehen dass Nutzerdaten kein Rostoff für Einnahmen sind. Und das ganze unter „Anonymisierung“, von der jeder weiß dass sie aber sowas von leicht durch profiling und ähnliches umgangen werden kann oder die technische Notwendigkeit zur Nutzererfahrungsverbesserung zu stellen, ist bestenfalls kreativ, aber nicht wahr.
Ich bin z.B. einer dieser Nutzer, die lieber Papiertickets kaufen und keine App auf dem GrapheneOS-Smartphone hat, weil mir meine unabhängigkeit, mein seelenfrieden (also nicht durch personalisierte Werbung zu käufen gezwungen zu werden die kein Mensch braucht) und meine Freiheit wichtiger sind, als einem faulen Entwickler, der keine Zeit und Lust hat Matomo zu installieren und zu konfigurieren meine Daten zu schenken. Und ich mache das so, weil ich seit 2008 in dieser Branche arbeite und weiß, wie viele Daten trotz „Anonymisierung“ dennoch zugeordnet werden können.
Da es die meisten Anbieter so machen, es „kein Einzelfall“ und „gängige Praxis“ ist, soll es also nicht groß thematisiert werden?
Auch wenn es kein Datenschutzskandal ist, bei dem sensibelste Daten betroffen sind, so ist meine Erwartungshaltung als Benutzer:in der Anwendung doch, dass ich sie datensparsam benutzen kann und nur das Übermittelt wird, was für die Funktionsfähigkeit des Dienstes notwendig ist. Trotz DSGVO hauen die meisten Anbieter erstmal diverse Tracking-Dienste in ihre Apps und bessern dies nicht, wenn sie freundlich darauf hingewiesen werden. Vlt. ist es doch sinnvoll hier mal einen größeren Hammer auszupacken, auch als Signal an andere.
Die meisten Dienste, die die Bahn nutzt sind ja im Navigator in Ordnung (A/B-Tests, etc.), hier erwarte ich in der Tat nicht, dass alles selbst entwickelt wird. Was Adobe marketing betrifft, frage ich mich schon, was für Daten ausgetauscht werden und wie und v.a. wofür diese genutzt werden. Der Navigator ist schließlich keine Kostenlos-App, wo der Anbieter Geld über Werbung/Daten verdient, sondern ich bezahle für die Onlinetickets und Services über das Jahr gerechnet schon einen ganzen Batzen Geld.
Hier muss die Bahn schon mehr Antwort geben, als Digital Courage einfach zu ignorieren. Kommuniziert doch einfach mal klar und transparent was, wie und v.a. wofür die Adobe Marketing Cloud genutzt wird!
Digitalisierung ist super und ich profitiere sehr viel vom (alternativlosen) DBNavigator, aber dazu gehört auch, das transparent und verständlich Drittanbieter-dienste erklärt werden, ansonsten kann ich jeden verstehen, der seine Fahrkarte auf toten Baum ausdruckt.