Millionen von Menschen nutzen den DB Navigator. Was dabei kaum jemand weiß: Die App der Deutschen Bahn sammelt eifrig personenbezogene Daten – und gibt sie weiter. Die Nutzer:innen können sich nicht wehren. Deshalb klagt der Verein Digitalcourage nun. Die Details.
Digitalcourage e.V. verklagt Deutsche Bahn wegen Tracking
Es hat sich über Monate angebahnt. Jetzt ist es soweit: Der Verein Digitalcourage e.V. hat – vertreten durch die Spirit Legal Fuhrmann Hense Partnerschaft von Rechtsanwälten – eine Klage gegen die Deutsche Bahn eingereicht.
Konkret wirft der Datenschutz-Verein der Bahn vor, personenbezogene Daten im DB Navigator zu erheben und an Dritte weiterzuleiten. Alle Nutzer:innen der App haben jedoch nicht die Möglichkeit, dieser Datenweitergabe zu widersprechen. Und genau das ist der Knackpunkt.
Tracking im DB Navigator: Worum geht es in der Klage?
Seinen Anfang nahm der Rechtsstreit rund um die Deutsche Bahn bereits im April 2022. Damals hatte der Sicherheitsexperte Mike Kuketz in einem Blog-Eintrag erhebliche Datenschutzprobleme im DB Navigator aufgedeckt und moniert.
Wenn sich die Nutzer:innen nach der Installation dazu entscheiden, nur „ausgewählte Cookies“ zu akzeptieren, handelt es sich dabei keineswegs um für den Betrieb der App essenzielle technische Funktionen und Daten.
Personenbezogene Daten landen bei Adobe und Co.
So gehören zu den zehn Dienstleistern, die personenbezogene Daten aus dem DB Navigator erhalten beispielsweise Adobe Analytics (Website-Analyse), Cross Engage (personalisiertes Marketing), Optimizeley (A-B-Testing) oder die Easy Marketing GmbH (Affiliate Marketing).
Alleine diese vier Unternehmen und ihre Einsatzgebiete offenbaren deutlich, dass sie keineswegs zum Betrieb der App dringend notwendig sind. Nichtsdestotrotz haben die Anwender:innen keine Chance, auch nur einen der zehn Partner der Deutschen Bahn auszuschließen.
Oder anders ausgedrückt: Wer den DB Navigator verwenden möchte, um beispielsweise Tickets zu kaufen oder Ankunftszeiten zu überprüfen, willigt automatisch ein, persönliche Informationen an Dritte, teils US-amerikanische Unternehmen weiterzugeben.
Deutsche Bahn beschwichtigt: Datenweitergabe verstößt nicht gegen die DSGVO
Die Deutsche Bahn bezieht zur Klage ebenfalls Stellung. Im entsprechenden Statement heißt es beispielsweise:
Bei der Nutzung des DB Navigator fließen keinerlei Kundendaten an Drittanbieter. Alle Dienstleister, mit der die DB beim DB Navigator zusammenarbeitet, sind vertraglich gebunden, handeln nicht in eigenem Interesse und streng nach Weisung der DB und sind deshalb nicht Dritte im Sinne der DSGVO.
Und weiter:
Alle Technologieanbieter, die im DB Navigator in der Kategorie „erforderlich“ aufgelistet sind, verarbeiten Daten ausschließlich zu den Zwecken, die vielfältigen Funktionen und die Stabilität der App für mehr als zwei Millionen Kund:innen täglich zu gewährleisten. Verarbeitet werden dabei keine identifizierenden personenbezogenen Informationen, sondern nur pseudonymisierte Daten, die sich für den einzelnen Anbieter isoliert als anonyme Dateninhalte darstellen. Keiner der Anbieter ist in der Lage, die Daten an anderer Stelle oder gar zu eigenen Marketingzwecken einzusetzen. Ein Webseiten- oder App-übergreifendes Nachverfolgen von Kund:innen mit diesen Cookies ist nicht möglich.
Anwalt rechnet mit Urteil in einem Jahr
Ob und inwieweit die Deutsche Bahn mit ihrer Verteidigungsstrategie Erfolg hat, wird der folgende Prozess zeigen. Klägeranwalt Peter Hense rechnet gegenüber Netzpolitik.org damit, dass das Verfahren innerhalb eines Jahres beendet ist. Für ihn ist die Ausgangslage klar.
Zu den weitergegebenen personenbezogenen Daten gehört unter anderem die Information, ob Kinder mitreisen, wo die Fahrt startet und wo sie endet.
Alleine der Fakt, dass Daten zu Minderjährigen an US-amerikanische Firmen weitergegeben wird, ist bedenklich. Wie bedenklich, das entscheiden nun die Richter:innen.
Auch interessant:
