Endgerätnutzer willigen regelmäßig in die Erhebung ihrer Daten zu Werbezwecken ein. In der Praxis verbleiben diese Daten jedoch nicht immer in diesem Nutzungskontext, sondern werden teilweise von Datenhändlern aufgegriffen und für kommerzielle Zwecke weiterverwertet. Aktuelle Recherchen von netzpolitik.org und dem Bayerischen Rundfunk belegen, dass Landeskriminalämter in mindestens zwei Bundesländern Standortdaten von Endgeräten über solche kommerzielle Datenhändler bezogen haben. Diese sogenannten Datenbroker verkaufen Daten, die ursprünglich zu Werbezwecken erhoben wurden, gezielt weiter – im konkreten Fall auch an die Landeskriminalämter in Mecklenburg-Vorpommern und Brandenburg.
Hintergrund der Databroker
Seit mehr als zwei Jahren untersuchen netzpolitik.org und der Bayerische Rundfunk (BR) im Rahmen des Rechercheprojekts „Databroker-Files“, wie kommerzielle Datenhändler an personenbezogene Daten gelangen und an wen diese weitergegeben werden. Databroker sammeln und verknüpfen große Datenmengen, die häufig aus Trackingtools stammen, die in weit verbreiteten Apps ursprünglich zu Werbe- und Analysezwecken eingesetzt werden.
Besonders relevant sind dabei Standortdaten von Endgeräten, da sie Rückschlüsse auf Bewegungsmuster, Wohnort, Arbeitsplatz oder andere sensible Aufenthaltsorte ermöglichen und damit personenbezogene Daten im Sinne von Art. 4 Nr. 1 Datenschutz-Grundverordnung (DSGVO) darstellen können. Die Recherchen zeigen zudem, dass vermeintlich anonymisierte Standortdaten mit vergleichsweise einfachen Mitteln wieder einer bestimmten Person zugeordnet werden können. Datenschutzrechtlich problematisch ist insbesondere, dass eine Einwilligung zu Werbezwecken regelmäßig keine freie kommerzielle Weitergabe oder Nutzung für andere Zwecke rechtfertigt. Vor diesem Hintergrund wiegt besonders schwer, dass nach aktuellen Erkenntnissen auch Landeskriminalämter (LKA) in Mecklenburg-Vorpommern und Brandenburg solche Daten zur Kriminalitätsbekämpfung, Verfolgung mutmaßlicher Täterschaft und Informationsbeschaffung genutzt haben sollen.
Reaktionen der Landeskriminalämter und Datenschutzaufsichtsbehörden
Reaktionen der LKA auf Anfrage nach Stellungnahme fallen bislang unterschiedlich aus: Während die LKA in neun Bundesländern keine Auskunft getroffen haben, haben die LKA von fünf Bundesländern die Nutzung verneint. Das LKA Brandenburg bestätigte, Standortdaten von Databroker genutzt zu haben, aber nähere Angaben, insbesondere zur konkreten Rechtsgrundlage, blieben bislang aus. Das LKA Mecklenburg-Vorpommern legte demgegenüber offen, dass auch Daten genutzt wurden, die ursprünglich zu Werbezwecken erhoben worden waren; künftig sollen solche Daten nach eigener Aussage nicht mehr verwendet werden.
Die Datenschutzaufsichtsbehörde in Mecklenburg-Vorpommern erlangte nach Angaben von netzpolitik.org erst durch die Rechercheanfrage Kenntnis vom konkreten Einsatz solcher Daten durch die Polizei, hatte sich aber bereits zuvor in einem informellen Austausch mit dem LKA kritisch zu einer entsprechenden Nutzung geäußert. Der Landesdatenschutzbeauftragte Sebastian Schmidt sieht für die tatsächliche Nutzung kommerziell beschaffter Standortdaten keine zulässige Rechtsgrundlage und verweist darauf, dass für polizeiliche Standortermittlungen grundsätzlich der gesetzlich geregelte Weg – etwa über eine richterlich angeordnete Funkzellenabfrage – vorgesehen ist.
Besonders problematisch ist zudem, dass bei kommerziellen Datenanbietern regelmäßig auch Standortdaten unbeteiligter Dritter betroffen sein können. Die Aufsichtsbehörde prüft daher, welche Daten zu welchen Zwecken genutzt wurden und ob auch Daten nicht verdächtiger Personen angekauft oder ausgewertet wurden.
Handel mit Standortdaten: Rechtsgrundlage, Zweckbindung und Transparenz
Der Handel mit Standortdaten wirft erhebliche datenschutz- und verfassungsrechtliche Fragen auf, da weder für Databroker noch für polizeiliche Stellen ohne Weiteres eine tragfähige Rechtsgrundlage für die Nutzung solcher Daten ersichtlich ist.
Werden personenbezogene Daten zu anderen Zwecken verarbeitet als denen, für die sie ursprünglich erhoben wurden, berührt dies insbesondere die Grundsätze der Rechtmäßigkeit, Transparenz und Zweckbindung nach Art. 5 Abs. 1 lit. a und b DSGVO.
Nutzer übermitteln ihre Daten an die jeweils genutzte App auf Grundlage einer Einwilligung in Trackingmaßnahmen zu Werbe- oder Analysezwecken. Eine anschließende Weitergabe an kommerzielle Datenhändler ist für die betroffenen Personen dabei regelmäßig nicht nachvollziehbar. Ohnehin ist die Datenlieferkette dabei so komplex, dass sie der Rechtsgrundlage der Einwilligung nicht zugerechnet werden kann. Die Einwilligung nach Art. 6 Abs. 1 lit.a, Art. 7 I DSGVO sowie unter Beachtung des Erwägungsgrund 32 der DSGVO hat stets informiert, unmissverständlich und freiwillig zu erfolgen. Databroker erfüllen diese Voraussetzungen bei der Datenübermittlung nicht. Auch eine Rechtfertigung über berechtigte Interessen, insbesondere zu Werbezwecken, erscheint angesichts der Sensibilität von Standortdaten und der späteren Zweckänderung rechtlich kaum tragfähig.
Wer ist verantwortlich?
Gegenüber den betroffenen Nutzern ist zunächst regelmäßig der App-Anbieter datenschutzrechtlich verantwortlich, weil diese ihre Daten im Rahmen der App-Nutzung an ihn übermitteln. In der Praxis zeigt sich jedoch, dass App-Anbieter häufig nicht vollständig nachvollziehen können, über welche Tracking-Dienste, Zwischenstellen und Datenhändler Standortdaten weitergegeben werden und wo sie schließlich landen. Dadurch entsteht eine kaum transparente Verantwortungskette. Daten können im Extremfall bei einer Polizeibehörde ankommen, während die betroffene Person lediglich personalisierter Werbung in einer alltäglichen App zugestimmt hat.
Für Unternehmen, die Tracking-Dienste einsetzen, ergeben sich daraus erhebliche Risiken: Ist ein Bezug zur ursprünglichen Datenerhebung über die App herstellbar und fehlt es an wirksamen Schutz sowie Transparenzmaßnahmen, drohen Bußgelder, Haftungsansprüche und gegebenenfalls Schadensersatzforderungen.
Fazit
Konkrete Gerichtsentscheidungen zur Nutzung von Datenbroker-Standortdaten durch deutsche Polizeibehörden gibt es bislang offenbar nicht.
Auf europäischer Ebene zeigen insbesondere die CNIL-Sanktionen gegen Datenbroker, dass Aufsichtsbehörden kommerzielle Datenlieferketten kritisch bewerten und fehlende Einwilligungen bzw. Rechtsgrundlagen sanktionieren. Die bestehende Rechtsprechung von EuGH, BGH und BVerfG spricht zudem dafür, dass eine Nutzung solcher Daten nur auf Grundlage transparenter und datenschutzrechtlicher Erlaubnisse zulässig sein kann.
Unternehmen sollten daher eingesetzte Tracking- und Werbedienstleister sorgfältig prüfen, klare Auftragsverarbeitungsvereinbarungen schließen und ihre Pflichten als verantwortliche Stelle bestmöglich erfüllen, um die eigenen Datenverarbeitungen sowie die Daten der Nutzenden abzusichern.
Unsere Datenschutzbeauftragen können Sie bei der Erfüllung Ihrer Pfllichten als Verantwortliche Stelle unterstüzen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
