Datenschutz: Digitalcourage klagt gegen Tracking in Deutsche-Bahn-App

<p>Der DB Navigator trackt mehr Informationen als nötig, ohne dass Nutzende sich dem widersetzen können. Trotz monatelanger medialer Empörung hat die Deutsch Bahn daran nichts geändert – und handelt sich nun eine Klage ein.</p>
<figure class="wp-caption entry-thumbnail"><img width="860" height="484" src="https://cdn.netzpolitik.org/wp-upload/2022/10/deutsche-bahn-tracking-860... class="attachment-landscape-860 size-landscape-860 wp-post-image" alt="" loading="lazy" srcset="https://cdn.netzpolitik.org/wp-upload/2022/10/deutsche-bahn-tracking-860... 860w, https://cdn.netzpolitik.org/wp-upload/2022/10/deutsche-bahn-tracking-120... 1200w, https://cdn.netzpolitik.org/wp-upload/2022/10/deutsche-bahn-tracking-380... 380w, https://cdn.netzpolitik.org/wp-upload/2022/10/deutsche-bahn-tracking-153... 1536w, https://cdn.netzpolitik.org/wp-upload/2022/10/deutsche-bahn-tracking-660... 660w, https://cdn.netzpolitik.org/wp-upload/2022/10/deutsche-bahn-tracking-160... 160w, https://cdn.netzpolitik.org/wp-upload/2022/10/deutsche-bahn-tracking.jpg 1600w" sizes="(max-width: 860px) 100vw, 860px" /><figcaption class="wp-caption-text">Die Deutsche Bahn trackt ihre Nutzer:innen &#8211; und die sind nicht allzu glücklich darüber.</figcaption></figure><p><a href="https://digitalcourage.de/">Digitalcourage e.V.</a> hat heute eine <a href="https://digitalcourage.de/sites/default/files/2022-10/Klage_DB-Navigator... gegen die Deutsche Bahn beim Frankfurter Landgericht eingereicht. Padeluun, Gründungsvorstand des Bielefelder Vereins, verklagt die Bahn auf Unterlassung der Verletzung der Allgemeinen Persönlichkeitsrechte.</p>
<p>Hintergrund der Klage sind <a href="https://www.kuketz-blog.de/db-navigator-datenschutz-faellt-heute-aus-app... des IT-Sicherheitsexperten Mike Kuketz</a>. Kuketz hatte den DB-Navigator im Zuge seiner <a href="https://www.kuketz-blog.de/">Blog</a>-Serie „App-Check“ im April dieses Jahres unter die Lupe genommen und festgestellt, dass die App personenbezogene Daten an externe Unternehmen weiterleitet – so weit, so üblich. Allerdings konnten die Nutzer:innen die Weitergabe selbst dadurch nicht unterbinden, dass sie die vermeintlich datenschutzfreundlichste Einstellung wählten.</p>
<h3>„Bahn fährt schwarz“</h3>
<p>Öffnen Nutzer:innen die Bahn-App erstmals, erscheint ein Einwilligungsbanner („Consent Banner“) und fragt ihre Einwilligung zur Nutzung von Cookies ab. Nutzer:innen können dann aus drei Optionen wählen: „Alle Cookies zulassen”, „Cookie-Einstellungen öffnen” und „Nur erforderliche Cookies zulassen”.</p>
<p>Ausgerechnet die Auswahl „Nur erforderliche Cookies zulassen“ erweist sich als problematisch. Nach einem Urteil des EuGH müssen Nutzer:innen in die Verwendung von Cookies einwilligen – nur unbedingt erforderliche Cookies bilden eine Ausnahme. In der heutigen Pressekonferenz sagte der mit Klage betraute Anwalt Peter Hense: „Das Kriterium hat der Europäische Gerichtshof klar spezifiziert und Marketing-Analysen zählen nicht dazu.“</p>
<p>Dennoch leitet die Bahn-App personenbezogene Daten &#8211; ungeachtet der von den Nutzer:innen gewählten Einstellung &#8211; an zehn Dienstleister:innen weiter. Die Daten enthalten Informationen zu Start- und Zielbahnhof, Anzahl der Mitreisenden, zum Besitzstatuts einer Bahncard sowie Angaben dazu, ob Kinder mitfahren. Unter den Empfänger:innen der Daten sind unter anderem Adobe Analytics und hCaptcha.</p>
<p>„Die Bahn fährt schwarz auf der vielzitierten Datenautobahn. Wir haben sie bei einer zivilgesellschaftlichen Kontrolle erwischt. Jetzt muss sie ein Ticket nachlösen oder eben mit diesen Praktiken aufhören“, forderte der Anwalt Peter Hense.</p>
<h3>&#8222;Wir sind kein Die-Bahn-darf-alles-Staat&#8220;</h3>
<p>Gemeinsam mit Digitalcourage hatte sich Kuketz bereits im April 2022 mit einem <a href="https://digitalcourage.de/blog/2022/db-tracking-brief">Brief</a> an die Deutsche Bahn gewandt und gefordert, die Mängel in der App innerhalb von zwei Monaten zu beseitigen. Das Antwortschreiben wie auch die öffentlichen Äußerungen der DB ließen jedoch nicht darauf schließen, dass das Unternehmen die Forderung erfüllen werde.</p>
<p>Die Deutsche Bahn wies die Vorwürfe von Kuketz und Digitalcourage zunächst zurück. Die betroffenen Unternehmen seien „nicht Dritte im Sinne der DSGVO“, da sie vertraglich gebunden seien und nicht im eigenen Interesse handelten, sondern auf Weisung der Deutschen Bahn. Das wollten die Beschwerdeführer:innen nicht hinnehmen: Es spiele keine Rolle, wie die Weitergabe an Dritte organisiert werde, so Hense heute, entscheidend sei vielmehr, welche Verarbeitung zu welchem Zweck vorgenommen werde. Im Juli <a href="https://digitalcourage.de/pressemitteilungen/2022/bahn-app-ueberwacht-nu...ündigte Digitalcourage an, Klage einzureichen</a>.</p>
<p>Nach Einschätzung des Anwalts Peter Hense kann mit einer Entscheidung innerhalb eines Jahres gerechnet werden, da der Sachverhalt nicht überaus komplex sei. Die Tatsachen seien unstrittig, weshalb das Gericht lediglich die Zulässigkeit der gegenwärtigen Praxis beurteilen müsse. Aus Sicht des Anwalts verstößt die Deutsche Bahn gegen die DSGVO und das Telemediengesetz. „Wir sind immer noch ein Rechtsstaat und kein Die-Bahn-darf-alles-Staat“, sagte Hense auf der Pressekonferenz.</p>
<p>Die Stiftung Warentest kam in ihrer im Juni veröffentlichten <a href="https://www.test.de/Bahn-Apps-DB-Navigator-uebermittelt-mehr-Daten-als-n... ebenfalls zu dem Urteil, dass die App mehr Daten als nötig übermittle.</p>
<p>Die App „DB Navigator“ wird von der DB Vertrieb GmbH betrieben. Die App bündelt verschiedene Dienstleistungen der Bahn – von der Suche nach einer Reiseverbindung über den Ticketkauf bis zur Anzeige der Wagenreihung eines Zuges. Laut Google Play Store wurde sie bislang mehr als 10 Millionen Mal heruntergeladen. Die Deutsche Bahn selbst berichtet von 2 Millionen Nutzer:innen täglich.</p>
<hr id="spenden" />
<p>Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen. <br />Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus <a href="https://netzpolitik.org/spenden/?via=rss">jetzt mit einer Spende</a>.</p>