20220509 Der Bahn ein Ultimatum gestellt

09.05.2022 Der Bahn ein Ultimatum gestellt

Bahn App läuft weiter jenseits der DSGVO

Digitalcourage Vorstandsmitglied padeluun, Mike Kuketz und Peter Hense haben gemeinsam einen offenen Brief an die Deutsche Bahn geschrieben. Sie drohen mit rechtlichen Schritten, wenn die Bahn bis zum 1. Juli das unzulässige Datensendeverhalten nicht abschalten, welches eine technische Analyse der "DB Navigator" App offenbart hat.

Die Bahn App ignoriert die DSGVO

... oder hat sie nicht verstanden ...

Folgendes fiel den Analysten auf:

Datenübermittlungen erfolgen noch bevor der Nutzer eine Interaktion ausgeführt hat und damit noch vor der Abgabe einer ausdrücklichen, informierten, freiwilligen und aktiven Einwilligung , wie sie die DSGVO verlangt.
Weiterhin werden Verbindungen zu 5 Servern von anderen Bahn-Diensten aufgebaut, ohne dass der Nutzer das verlangt oder überhaupt bemerken kann.
Es werden 2 Verbindungen zu verschiedenen Adobe Diensten in den USA aufgebaut und entsprechende Cookies lokal auf den Geräten gespeichert.
Unter iOS wird zusätzlich das Marketing- bzw. Analyse-Unternehmen Optimizely (USA) kontaktiert.
Nun endlich erfolgt die Abfrage der Zustimmung des Nutzers mit einem (Cookie-)Consent-Banner.
Allerdings ist dessen Darstellung kaum mit den Einwilligungen nach dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) der DSGVO zu vereinbaren. Dargestellt werden müssen die für den "gewünschten Telemediendienst" und "unbedingt erforderlichen" und evtl. weitere zusätzliche Cookies.
Die Deutsche Bahn beeinflusst mit ihrer hervorgehobenen Auswahl "Alle Cookies zulassen" den Nutzer zu dieser Auswahl.

Was passiert bei Nutzung der App?

Bisher war alles Vorgeplänkel, um dem Nutzer ein DSGVO-konformes Verhalten der App dazustellen. Sucht man nun nach einer Bahnverbindung, so sind

Adobe, Qualtrics und Google (Maps) bei jedem Schritt dabei.
Auch wenn man nur der Auswahl "Nur erforderliche Cookies zulassen" zugestimmt hat, übermittelt die App Daten an Tracking- und Analysedienstleister, wie Optimizely, Google, Tealium, Adobe Inc. CrossEngage.

Die rechtliche Auseinandersetzung kann eigentlich nur Kosten für die Deutsche Bahn erzeugen, denn diese Verstöße sind bereits mehrfach höchstrichterlich beurteilt worden. Mike Kuketz führt dazu eine ganze Liste von Urteilen auf. Vor allem die völlig unnötige Verarbeitung der Daten in Drittländern (außerhalb der EU) ohne Information oder geeignete Garantien sind im Verfahren Schrems (II) gegen Facebook abschließend als illegal festgestellt.

Mehr dazu bei https://digitalcourage.de/blog/2022/db-tracking-brief
und https://www.kuketz-blog.de/db-navigator-datenschutz-faellt-heute-aus-app-check-teil1/