"Das ist sehr beunruhigend", sagt Egon Schladoth, nachdem ihm eine BR-Reporterin detaillierte Informationen über sein Privatleben vorgelegt hat. Sein exaktes Bewegungsprofil ist ohne sein Wissen auf einem Online-Markplatz gehandelt worden. Anhand von umfangreichen Daten, die BR, netzpolitik.org und internationalen Partnermedien vorliegen, lassen sich sein Wohnort im Sauerland, Fahrtrouten, Einkäufe und selbst ein Campingurlaub nachvollziehen. Schladoth nutzte zwei Apps, aus denen mutmaßlich präzise Standortdaten abfließen: Wetter Online und Flightradar24.
Nun ist es dem Rechercheteam gelungen, den Weg nachzuzeichnen, den Schladoths Standortdaten und die Millionen weiterer Betroffener in Deutschland und der ganzen Welt offenbar genommen haben: Aus Smartphone-Apps über Werbefirmen zu internationalen Online-Marktplätzen, wo jeder sie kaufen kann – auch Kriminelle oder Geheimdienste.
NRW-Datenschützerin fordert Stopp der Datenweitergabe
Möglich macht dies ein schwer durchschaubares System hinter personalisierter Online-Werbung. Apps wie Wetter Online schalten oftmals personalisierte Werbeanzeigen und geben dafür im Hintergrund blitzschnell Nutzerdaten an hunderte Werbeunternehmen weiter.
Wer etwa die Apps von Wetter Online bislang kostenlos nutzen wollte, musste einwilligen, dass präzise Standortdaten potenziell an hunderte Werbeunternehmen weitergegeben werden. Davon hat Bettina Gayk, die für Wetter Online zuständige Landesdatenschutzbeauftragte von Nordrhein-Westfalen, durch Recherchen des BR mit netzpolitik.org und internationalen Partnermedien erfahren. Im BR-Interview bezeichnete sie diese Praxis als möglicherweise rechtswidrig, eine solche Einwilligung sei zu pauschal: "Die Einwilligung, die von den Nutzern dieses Dienstes eingeholt wird, ist nach unserer Feststellung nicht ausreichend, um eine solche Datenübermittlung zu rechtfertigen."
Damit habe man Wetter Online konfrontiert, so Gayk im BR-Interview Anfang Februar, und einen sofortigen Stopp der Verarbeitung und Weitergabe von präzisen Standortdaten verlangt.
Wetter Online reduziert Anzahl der Werbepartner
Wetter Online reagierte offenbar auf die Forderung der Datenschutzbehörde: Das Unternehmen teilt Nutzern jetzt mit, man verarbeitete GPS-Standortdaten nur für Wetterinformationen, nicht für Werbezwecke. Außerdem reduzierte Wetter Online die Anzahl der Unternehmen, mit denen Nutzerdaten geteilt werden, deutlich: Noch vergangene Woche listete Wetter Online über 800 Unternehmen in seinen Datenschutzbestimmungen, inzwischen sind es etwas mehr als 300. Bettina Gayk will erneut prüfen, "ob das ausreichend ist und unsere Anforderungen an den Schutz von GPS-Standortdaten der Nutzer erfüllt sind". Mehrere Anfragen des Rechercheteams ließ Wetter Online unbeantwortet.
"Wir verarbeiten GPS-Standortdaten (...) nicht für Werbezwecke." Diesen Satz hat Wetter Online in die Einwilligung hinzugefügt.
Datenhändler nennt litauische Werbefirma als Quelle
Wie sind Daten wie die von Egon Schladoth überhaupt von Smartphones auf Datenmarktplätzen im Internet gelandet? In einem Anwaltsschreiben des US-Datenhändlers, von dem das Rechercheteam kostenlose Probedatensätze als Anschauungsmaterial bekommen hatte, wird ein Unternehmen mit Sitz in Litauen genannt. Darin heißt es: "Quelle der Daten war Eskimi, ein angesehener und regelkonformer Datenanbieter."
Eskimi ist offenbar ein wichtiger Player im Online-Werbemarkt und hat potenziell umfangreichen Zugang zu Nutzerdaten. Das zeigt eine technische Analyse des Rechercheteams: 22.000 Apps geben die Firma als möglichen Vermarktungspartner für Werbeanzeigen an, darunter auch die in Deutschland populären Apps Wetter Online, Flightradar24 und Kleinanzeigen. Die genannten Apps ließen Anfragen hierzu unbeantwortet.
Unternehmen in Dubai - mehr als eine Milliarde aktive Nutzerprofile
Die Recherchen zeigen auch: Der Geschäftsführer von Eskimi hat ein weiteres Unternehmen gegründet, mit Geschäftsadresse in Dubai. Dieses Unternehmen hat laut Webseite mehr als eine Milliarde aktive Nutzerprofile im Portfolio. Bis zur Anfrage des Rechercheteams bot es offen Standortdaten zum Verkauf an – allerdings keine Daten aus der EU, wie das Unternehmen auf seiner Webseite schrieb. Weiter hieß es: Man solle sich doch trotzdem mal melden. Dieser Satz wurde nach der Anfrage des Rechercheteams von der Startseite entfernt.
Das Rechercheteam fragt den Geschäftsführer von Eskimi an, ob eines seiner Unternehmen die Daten an den Datenhändler verkauft hat. Er antwortet, Eskimi sei selbst kein Datenhändler und habe auch keine Geschäftsbeziehung zu dem amerikanischen Datenhändler, von dem die Daten stammen, die BR und netzpolitik.org vorliegen. Das zweite Unternehmen in Dubai sei komplett eigenständig und habe keine Geschäftstätigkeit in Europa. Man halte sich an alle geltenden Gesetze. Die Frage, ob das Unternehmen von Dubai aus die Daten verkauft, die Eskimi erhoben hat, lässt der Geschäftsführer offen.
Jurist hält System der personalisierten Online-Werbung für illegal
Der Jurist Martin Baumann von der Wiener Nichtregierungsorganisation NOYB, die sich auf die Durchsetzung von Datenschutzgesetzen spezialisiert hat, hält für denkbar, dass Werbeunternehmen Nutzerdaten weiterverkaufen: "Ich gehe davon aus, dass sich viele Unternehmen so ein Beibrot dazuverdienen." Weil Nutzerinnen und Nutzer nicht überblicken könnten, worin genau sie einwilligten und was mit diesen Daten passiere, hält Baumann das aktuelle System für personalisierte Online-Werbung für nicht legal.
EU-Gesetz könnte Rechte von Verbrauchern im Internet stärken
Eine neue gesetzliche Grundlage fordert Christiane Rohleder (Bündnis 90/Die Grünen), Staatssekretärin im Bundesverbraucherschutzministerium: "Ich halte es für sinnvoll, dass man schon die Erstellung von diesen Profilen untersagt, um eben zu verhindern, dass solche Profile dann auch verkauft werden." Laut Rohleder könnte ein solches Verbot Teil des Digital Fairness Acts werden, einem Gesetzesvorschlag der EU-Kommission, der die Rechte von Verbraucherinnen und Verbrauchern im Internet stärken soll.
Bis dahin bleibt Egon Schladoth nur, sich selbst zu schützen. Einige Apps hat er bereits gelöscht. Anderen hat er in den Einstellungen seines Smartphones verboten, Standortdaten zu erfassen. Ohne diese Erlaubnis können Apps keine detaillierten Bewegungsprofile sammeln und weitergeben.
Diese Recherche entstand in Kooperation mit netzpolitik.org (Deutschland), BNR Nieuwsradio (Niederlande), Dagens Nyheter (Schweden), Le Monde (Frankreich), NRK Beta (Norwegen), SRF/RTS (Schweiz), WIRED (USA) und 404 Media (USA).
Das ist die Europäische Perspektive bei BR24.
"Hier ist Bayern": Der BR24 Newsletter informiert Sie immer montags bis freitags zum Feierabend über das Wichtigste vom Tag auf einen Blick – kompakt und direkt in Ihrem privaten Postfach. Hier geht’s zur Anmeldung!