RFID-Chips auf Festivals – Business as usual?

In den letzten Jahren zeigt sich ein Trend bei Musik-Festivals, Bezahlmethoden einzuführen, die auf die Eintrittsbändchen und darin integrierte Funk-Chips setzen. Die „radio-frequency identification“ (RFID) erlaubt die Übertragung von Daten via Funk im Nahbereich.

Das „Hurricane Festival“ wollte 2012 als erstes deutsches Festival die bargeldlose Bezahlung einführen, stoppte den Erstversuch aber kurz vor Beginn des Festivals. Der zweite Anlauf wurde 2015 unternommen, nur um 2016 aufgrund von technischen Problemen mit dem RFID-System wieder beerdigt zu werden.

Andere Festivals wie beispielsweise das „splash!“ oder das „Helene Beach“ nutzten das cashless-System jedoch auch in diesem Jahr. Das kleine Stückchen Plastik am Handgelenk soll vor allem Vorteile bieten: schnelles, bequemes Zahlen – keine unnötigen Taschen oder Geldbörsen. Nicht einmal eine Hosentasche braucht es mehr, um die ganze Nacht Bier und Co. zu konsumieren.

Nehmen wir als Beispiel das „Helene Beach“. Der Technologie-Partner, die Glownet Limited mit Sitz in London, stellt verschiedene technische Hilfsmittel zur Verfügung, unter anderem gPay für bargeldloses Bezahlen und gPass als „check-in and access control“-Tool.

Der Besucher kauft sich also ein Ticket für das Event, erstellt sich einen „Festival Account“ und kann dann das Bändchen im Voraus online mit Geld aufladen. Während des Festivals kann man per EC-Karte oder Bargeld weiteres Geld auf den Chip transferieren. Je nachdem, wie man es handhabt, erhalten die Veranstalter also im Regelfall die persönlichen Daten.

Das Festival beginnt, Essen und Getränke werden genossen: Der Chip sammelt nebenbei Informationen darüber, was der Festivalbesucher wann und wo konsumiert hat. Oder anders gesagt: Der Verlauf des vergangenen Abends, welcher am nächsten Morgen vielleicht nicht mehr für jeden vollkommen nachvollziehbar erscheint, ist detailgenau gespeichert.

Sollte am Ende des Spektakels noch Guthaben auf dem Bändchen verblieben sein, hat der Besucher die Möglichkeit, sich das Geld gegen eine Gebühr von einem Euro zurückerstatten zu lassen – vorausgesetzt, man gibt seine Kontodaten in das hierfür vorgesehene Onlineformular ein und somit an unbekannte Dritte weiter. Ist das Festival zuende, sind die Daten immernoch beim Veranstalter und auf dem Chip vorhanden.

Was passiert mit den gesammelten Daten?

Mit wem haben die Festivalbesucher jetzt eigentlich einen Vertrag geschlossen? Und das Datenschutzgesetz welchen Landes gilt eigentlich?

Aus den AGB des „Helene Beach“-Festivals geht hervor, dass ein Verhältnis zwischen der DG Helene Event GmbH und dem Festivalbesucher entsteht, sobald das Bändchen aufgeladen wird. Gleichzeitig gelten jedoch die Datenschutzbestimmungen der Glownet Limited, in denen sich unter anderem Folgendes findet:

5.2. Wir dürfen Ihre personenbezogenen Daten preisgeben:
5.2.1. an alle Tochterunternehmen oder dritte Parteien, wenn dies für die Erbringung einer von Ihnen über die Site bestellten Leistung, für die von Ihnen über die Site bestellte Lieferung eines Produktes oder für die Abrechnung eines über die Site abgeschlossenen Vertragsverhältnisses nötig ist; solche Leistungen oder Produkte dürfen von diesen Tochterunternehmen oder dritten Parteien zur Verfügung gestellt werden;
5.2.2. an den jeweiligen Veranstalter oder Zahlungsdiensteanbieter mit Bezug auf sämtliche Erstattungsanforderungen, die Sie über die Site tätigen.

Die oben genannten Daten sind für den elektronischen Zahlungsverkehr unabdingbar, wandern jedoch gegebenenfalls noch weiter als auf den ersten Blick ersichtlich ist. Auch die Einverständniserklärung enthält interessante Details:

Gegebenenfalls werden bestimmte Daten über Ihren Computer, Ihr Smartphone oder Ihren Tablet-PC (nachfolgend „Gerät“ bzw. „Geräte“) und deren Zusammenspiel mit anderen Geräten erhoben, gespeichert und verwendet (nachfolgend „Datennutzung“).

Die Datennutzung betrifft unter anderem die Identifikationsnummer, die IP-Adresse, den Standort, Inhalte, Spracheinstellungen, die IMEI-Nummer, die Marke, das Modell, den Batteriestand, das Hardwaremodell, die Betriebssystemversion, die SIM-Nummer, den Netzwerkanbieter, den Arbeitsspeicherstatus und geografische Informationen auf Grundlage der GPS/WiFi-Netzwerkposition Ihres Geräts bzw. Ihrer Geräte. Zusätzlich erheben wir auch Kontaktinformationen, die unter anderem Ihren Namen, Ihre Adresse, Ihre Telefonnummer, Ihre E-Mail-Adresse, Ihre Bankdaten für den Lastschrifteinzug (SEPA), Kreditkarteninformationen und andere Informationen einschließen, die zu Ihrer Identifizierung verwendet werden können.

Ein Großteil der oben genannten Daten sind nicht für den Zahlungsverkehr notwendig, der Sinn und Zweck ihrer Erhebung und Verarbeitung bleibt also schleierhaft.

Moderne Technik, aber sicher!

Aus welcher Entfernung man die Daten auslesen kann und wie diese gespeichert werden, hängt von der Art des Chips ab. Bei der einfachsten Variante der RFID-Technik werden die benötigten Daten einmalig auf dem Chip gespeichert und verbleiben dort. Der Nutzer des Armbands müsste also eigentlich nach Ende der Veranstaltung selbst dafür sorgen, dass der jeweilige Chip und somit die Daten zerstört werden.

Eine weitere Möglichkeit sind programmierbare Chips, welche die Daten nur für einen begrenzten Zeitraum speichern und danach selbsttätig überschreiben. Auch verschlüsselte Chips, für deren Auslesen eine Autorisierung notwendig ist, sind eine sichere Alternative.

Auf die Frage, wie lange die Daten des „Helene Beach“-Festivals auf den Bändchen gespeichert werden, erhielten wir keine Antwort. Anonyme Bezahlkarten werden vom Veranstalter nicht angeboten. Das „Helene Beach“-Festival erklärt gegenüber netzpolitik.org zu den Bezahlkarten:

Karten kann man aus dem Grund nicht verwenden, da wahrscheinlich jeder diese Karte verlieren würde. Die Bänder sind fest am Handgelenk platziert.

Der Selbsttest zeigt: Die Daten sind auch Wochen nach Ende des Festivals auf dem Chip (in diesem Fall vom Typ MIFARE Ultralight C) gespeichert und bei Auslesen mit dem Handy sichtbar. Der Pluspunkt: Im Klartext liegen die Daten dank Verschlüsselung (erstmal) nicht vor.

Ein Trend, der schon keiner mehr ist

Während manche Festivals wie beispielsweise das Summer Breeze Festival noch mit bargeldlosen Bezahlsystemen liebäugeln, kehren andere zu Münzen und Scheinen zurück, wie beispielsweise das Melt! Festival und das Lollapalooza Berlin. Dass Datenschutz und Überwachung auf Festivals immer häufiger zu einem Problem werden, zeigen verschiedene Beispiele:

• Im Rahmen des Berlin-Festivals 2015 hatte die Landesdatenschutzbehörde von Berlin Bedenken am eingesetzten bargeldlosen Zahlungsverkehr geäußert. Bemängelt wurde unter anderem die Sicherheit der eingesetzten RFID-Chips, wie die Behörde gegenüber netzpolitik.org erklärte.
  Kritik, die möglicherweise Gehör gefunden hat, da alle drei genannten Festivals von der Hörmann Gruppe veranstaltet werden. Denn auch wenn das Berlin-Festival 2016 nicht stattfand, wurden auf den anderen beiden Events keine RFID-Chips mehr eingesetzt. Vielleicht lag es aber auch daran, dass die Technik anscheinend noch nicht ausgereift ist und eher mehr als weniger Schlangen entstehen.
• Die englische Polizei hat das Download Festival 2015 in Leicestershire als Experimentierfeld für Massenüberwachung benutzt. Ohne ihr Wissen wurden die Festivalbesucher von einer strategischen Gesichtserkennungstechnologie erfasst, bevor die gescannten Daten mit einer Datenbank europäischer Straftäter verglichen wurde.
• Das Fusion Festival hatte 2012 versucht, den illegalen Handel mit Tickets zu stoppen und eine Kartenlotterie eingeführt, an der man nur mit namentlicher Registrierung teilnehmen konnte, was den Veranstaltern eine tadelnde Erwähnung bei den Big Brother Awards einbrachte.

In jedem Falle gilt: Wer die vollständige Kontrolle über seine Daten behalten möchte, muss sich vorab informieren und entscheiden. Hat er erst einmal voller Vorfreude über den bevorstehenden Musikgenuss den Nutzungsbedingungen zugestimmt, ist es bereits zu spät.