Martin Gundersen hat sich im Februar dieses Jahres 160 Apps auf ein zusätzliches Smartphone installiert und dieses Gerät seitdem immer bei sich gehabt. Es ist der Anfang einer großen Recherche, deren Ergebnisse jetzt bei NRKbeta vom öffentlichen Rundfunk Norwegens und bei Motherboard veröffentlicht wurden.
Kommerzielle Überwachung begründet ihre vermeintliche Harmlosigkeit immer damit, dass die Daten doch nur für Werbung, ein besseres Nutzer:innenerlebnis oder ein bisschen Analyse verwendet würden. Doch durch vergangene Recherchen kam heraus, dass US-Behörden und das Militär gezielt kommerzielle Nutzerdaten aufkaufen und benutzen. Die US-Grenzbehörden haben aufgrund solcher gekauften Daten auch schon mal einen Drogenschmuggler geschnappt. Beteiligt an diesem Datenverkauf war auch das Unternehmen Venntel.
75.000 Ortsdaten
Bei diesem Unternehmen hat Gundersen nun Ende August auf Grundlage der Datenschutzgrundverordnung (DSGVO) seine Daten angefragt. Das Unternehmen ist nach der DSGVO verpflichtet, Auskunft darüber zu geben und jede:r Europäer:in hat das Recht diese Daten anzufragen. Gundersen gab Venntel seine „Advertizing ID“, ein Identifier, der sich übrigens bei iPhones einfach abschalten und bei Android-Handys zurücksetzen lässt.
Gundersen berichtet weiter:
Fast einen Monat später erhielt ich einen interessanten E‑Mail-Anhang von Venntel. Er enthielt Informationen darüber, wo ich seit dem 15. Februar 75.406 Mal gewesen war. Plötzlich konnte ich jeden meiner Schritte zurückverfolgen – auf einer Wanderung, auf einen Drink und bei einem Besuch bei meiner Großmutter in Südnorwegen.
Obwohl kein Name und keine Telefonnummer in den Daten war, sei es einfach herauszufinden, wem die Daten gehören, ist sich Gundersen sicher. Deutlich und klar sind durch die Daten seine Wohn- und Arbeitsadresse zu erkennen.
Venntel informierte Gundersen darüber, dass seine Daten an Kunden des Unternehmens weitergegeben worden seien. An welche Kunden, das verriet Venntel jedoch nicht.
Doch wie kamen die Daten überhaupt an Venntel? In keiner der 160 Apps stand der Name Venntel, nicht einmal im Kleingedruckten, berichtet Gundersen. Heraus bekam er aber, dass Venntel, die Informationen von seiner Mutterfirma, dem Datenbroker Gravy Analytics erhalten hatte.
Dehnbare DSGVO-Auslegung
Gravy Analytics wollte oder konnte die Herkunft eines Großteils der Daten gegenüber Gundersen auch nicht erklären, aber es tauchten die Namen der Firmen Predicio aus Frankreich und Complementics aus den USA auf. In weiteren Anfragen kam heraus, dass ein großer Teil der ortsbezogenen Daten von einem slowakischen Unternehmen namens Sygic stammte, welches ein Portfolio von 70 Apps anbietet.
Gundersen hatte im Februar zwei Navigations-Apps von Sygic installiert, die beim Installationsprozess eine Einwilligung zur Personalisierung der Werbung erfordert hätten.
Am Ende landeten die Daten aber bei Gravy Analytics, welches in ihren Geschäftsbedingungen schreibt, dass sie Daten für die Strafverfolgung und Nationale Sicherheit weitergeben. Gundersen fragte drei auf Datenschutz spezialisierte Anwält:innen, alle drei hielten die Verwendung der Daten für einen Bruch der DSGVO.
Doch nicht nur die Apps von Sygic lieferten die Daten bis zu Venntel, sondern auch eine App mit dem Namen Funny Weather. Bei deren Installation stimmte Gundersen „Analytics“ und „Monetisation“ zu. Auch hier fanden die befragten Anwälte eine Verletzung der DSGVO, da „Monetarisierung“ ein viel zu weit gefasster Verwendungszweck sei.
Datenbroker und unfähige europäische Datenschutzbehörden
Hinter Funny Weather steht keine große Firma. Gundersen konfrontierte den Entwickler Lawiusz Fras mit den Daten bei Venntel. Fras kannte zwar Venntel nicht, aber betonte, dass bei der App klar sei, dass manche Daten genutzt würden, um Geld zu verdienen. Gundersen geht davon aus, dass die Daten über das französische Unternehmen Predicio zu Venntel gelangten.
Der Daten- und Überwachungsforscher Wolfie Christl hält diese Form der Überwachung für neu:
Ich habe das Gefühl, dass viele nicht verstehen, dass dies völlig beispiellos ist und anders als das ist, was Edward Snowden im Jahr 2013 aufdeckte. Statt kompliziertem Schnüffeln im Traffic wurde die US-Regierung nun einfach ein weiterer Marktteilnehmer in einer bestehenden kommerziellen Trackingwirtschaft.
Gegenüber NRK kritisiert Christl auch die Europäischen Datenschutzbehörden: Entweder seien diese nicht fähig oder nicht willens, die zahlreichen Verstöße gegen die DSGVO zu verfolgen. Um etwas zu verändern müsse es hohe Strafen geben und Verbote, solche Daten zu verarbeiten.
Kommerzielle und staatliche Überwachung Hand in Hand
In seiner Recherche kann Gundersen mit den Daten von Venntel heute nachvollziehen, wo er im Sommer wanderte und auf welcher Holzbank er wie lange eine Pause machte. Genauso können das alle, die diese Daten kaufen und weiterverarbeiten. Sie können sehen, wer in welche Arztpraxis geht, wer bei welchem Konzert ist und wo sich ein unvorsichtiger Journalist mit einem Informanten getroffen hat.
Dass staatliche Player diese Informationen nun einfach kaufen macht klar: Kommerzielle Überwachung und staatliche Überwachung sind keine zwei getrennt zu denkenden Formen, sondern in Kombination noch viel verletzender für die Privatsphäre der Nutzer:innen als die einzelnen Formen für sich. Für die staatlichen Player eröffnen sich völlig neue Möglichkeiten, an Daten heranzukommen. Sie kaufen sie einfach auf dem unüberschaubaren Markt der Datenbroker anstatt mühsam mit klassischen Überwachungsinstrumenten selbst an sie zu gelangen.
ACLU klagt auf Herausgabe der Dokumente
Venntel sagte gegenüber Gundersen, dass sie seine Daten nicht an ICE oder CBP weitergegeben hätten. Das FBI, die US-Grenzschutzbehörde CBP und die US-Immigrationspolizei ICE haben Verträge mit Venntel. Sie antworteten Gundersen nicht auf seine Frage, welche Möglichkeiten es für sie böte, Europäer:innen in und außerhalb Europas zu tracken.
Am vergangenen Mittwoch hat die American Civil Liberties Union (ACLU) eine Klage beim Department of Homeland Security, der CBP und dem ICE eingereicht, um Dokumente im Zusammenhang mit der Verwendung von Standortdaten durch die Behörde zu erhalten.