- noyb hat in Frankreich drei Beschwerden gegen Fnac, SeLoger und MyFitnessPal eingereicht, weil die Praxis, personenbezogene Daten unmittelbar nach dem Start einer App an Dritte weiterzugeben, gegen EU-Datenschutzrecht verstoße
- Beim Öffnen der Apps auf einem Android-Smartphone wurden die Google Advertising ID, Gerätemodell und -marke sowie die lokale IP-Adresse erfasst und weitergegeben; die Daten können für Profiling zu personalisierter Werbung und Marketingkampagnen genutzt werden
- Die ePrivacy-Richtlinie verlangt für den Zugriff auf und die Speicherung von Daten auf Endgeräten eine freiwillige, spezifische und informierte Einwilligung; alle drei Apps boten jedoch keine echte vorherige Wahlmöglichkeit
- Die Advertising ID ist ein mit einem persönlichen Gerät verknüpfter eindeutiger Identifikator, der von Werbetreibenden und Dritten genutzt werden kann, um Nutzer zu unterscheiden und später gezielt anzusprechen
- noyb hat die CNIL aufgefordert, rechtswidrig verarbeitete Daten löschen zu lassen, Empfänger zu benachrichtigen und Geldbußen zu verhängen, und kündigte weitere Beschwerden gegen Unternehmen mit mobilen Apps an
Datenübertragung direkt nach dem Start
- noyb hat in Frankreich Beschwerden gegen den großen französischen Elektronikhändler Fnac, die Immobilien-App SeLoger und die Fitness-App MyFitnessPal eingereicht
- Die beschwerdeführende Person installierte die Apps MyFitnessPal, Fnac und SeLoger auf einem Android-Smartphone; sobald die Apps geöffnet wurden, begann die Erfassung personenbezogener Daten und deren Weitergabe an Dritte
- Zu den weitergegebenen Daten gehörten die Google Advertising ID (AdID), Gerätemodell und -marke sowie die lokale IP-Adresse
- Eine solche Datenerfassung ermöglicht Nutzer-Profiling und kann von Unternehmen zur Monetarisierung über personalisierte Werbung und Marketingkampagnen genutzt werden
Zugriff auf Endgerätedaten ohne Einwilligung
- Nach der ePrivacy-Richtlinie ist für den Zugriff auf oder die Speicherung von Daten auf dem Endgerät eines Nutzers eine freiwillige, informierte, spezifische und eindeutige Einwilligung erforderlich
- Zwei der drei mobilen Apps zeigten beim Start der App kein Einwilligungsbanner an
- Die verbleibende App zeigte zwar ein Banner mit Auswahlmöglichkeiten für Zustimmung oder Ablehnung, begann aber schon vor der Entscheidung des Nutzers mit der Übertragung personenbezogener Daten
- Die AdID ist eine eindeutige Information, die mit dem Gerät einer bestimmten Person verknüpft ist; Werbetreibende und Dritte können sie verwenden, um Nutzer zu identifizieren und später gezielt anzusprechen
- Einige App-Anbieter können sogar das Verhalten von Nutzern außerhalb der Anwendung verfolgen und die erfassten Daten mit weiteren Informationen über deren Alltag anreichern
Ein Problem des gesamten mobilen App-Ökosystems
- Diese Beschwerden sind das erste Ergebnis einer breiter angelegten Untersuchung und zeigen, dass sich ähnliche Praktiken der Datenweitergabe in der mobilen App-Umgebung wiederholen
- Viele Apps haben Millionen von Nutzern, monetarisieren Nutzerdaten aber, indem sie diese ohne Einhaltung des EU-Datenschutzrechts an Dritte, darunter Werbebroker, weitergeben
- Laut einer Studie von Konrad Kollnig et al. boten nur 3,5 % aller Apps Nutzern eine echte Möglichkeit, die Einwilligung zu verweigern
Analyse des Netzwerkverkehrs und Forderungen an die CNIL
- Um Beweise für die Verstöße zu sichern, war eine technische Analyse des Netzwerkverkehrs der Smartphone-Apps erforderlich; Erfassung und Analyse erfolgten mit der von Defensive Lab Agency entwickelten PiRogue Tool Suite
- Die detaillierte Methodik ist im Dokument Methodik und technische Spezifikation beschrieben
- noyb hat die CNIL aufgefordert, MyFitnessPal, Fnac und SeLoger anzuweisen, alle rechtswidrig verarbeiteten Daten zu löschen
- Die Empfänger der Daten der beschwerdeführenden Person müssen über den Antrag auf Löschung von Links, Kopien und Replikationen der personenbezogenen Daten informiert werden
- Angesichts der Schwere der Vorwürfe und der Zahl potenziell betroffener Personen schlug noyb außerdem vor, dass die zuständige Behörde Geldbußen verhängt
- noyb plant, weitere Beschwerden gegen Unternehmen mit mobilen Apps einzureichen, um die rechtswidrige Weitergabe von Nutzerdaten zu stoppen
1 Kommentare
Hacker-News-Kommentare
Das Schlimmste, was ich erlebt habe, war ein Uhr-/Wetter-Widget, das scheinbar die Wahl zwischen mit und ohne Werbung bot; wählte man „ohne Werbung“, machte es das Handy ohne Hinweis zu einem Teil des Oxylabs-Proxy-Netzwerks.
Die Übermittlung von Standortdaten wurde zwar offengelegt, aber es gab keine kostenpflichtige Option, um Werbung oder den Verkauf von Daten zu entfernen; ich habe es entdeckt, als ich mir mit NetGuard die Requests ansah.
Diese Berechtigung habe ich nicht erteilt und nutze eine alternative Uhr-/Wecker-App; dieses Handy dürfte mein letztes Xiaomi sein.
Ich habe mich dagegen entschieden, sie zu verwenden, aber auch eine Ersatz-App zu finden hat Zeit gekostet; bei einer Wecker-App eine Monatsgebühr zu verlangen und dann noch tracken zu wollen, ist wirklich dreist.
Laut Googles Beschreibung ist das kein zulässiger Anwendungsfall, und das Problem ist Google, das keine Nutzereinwilligung für solche Berechtigungen zulässt.
Als zulässige Zwecke werden Apps genannt, die alle auf dem Gerät installierten Apps finden müssen, etwa Gerätesuche, Antivirus-Apps, Dateimanager oder Browser.
Kurz gesagt: Es gibt praktisch nichts, das tatsächlich verhindert, dass eine installierte App alle Daten sammelt.
Progressive Web Apps hingegen werden durch die Browser-Sandbox aktiv eingeschränkt und sind aus Datenschutzsicht daher meist die bessere Lösung.
https://web.dev/progressive-web-apps/
Grundsätzlich gebe ich Apps entweder Datei- oder Netzwerkberechtigungen, aber fast nie beides.
Viele Apps lassen sich völlig ausreichend nutzen, indem man ihnen Dateien über den Dateimanager teilt, ohne ihnen Dateizugriff zu geben.
GrapheneOS hat außerdem „Contact Scopes“, sodass es für eine App so aussieht, als hätte sie Zugriff auf Kontakte, tatsächlich bekommt sie aber nur einzelne Kontakte oder eine leere Liste.
Auch mehrere Profile werden häufig empfohlen; viele nutzen sie, um Google-Apps in einer von den übrigen Daten isolierten Umgebung auszuführen.
Es fällt schwer zu glauben, dass Google das aus Gemeinwohlinteresse tut.
[1]: https://arstechnica.com/gadgets/2023/09/googles-widely-oppos...
Auf dem iPhone kann standardmäßig nicht auf weitere Informationen zugegriffen werden, und diese Informationen werden auch Websites bereitgestellt, die man besucht; PWAs unterscheiden sich in diesem Punkt also nicht besonders.
[0] https://github.com/TrackerControl/tracker-control-android
Die Arbeit von noyb ist wirklich gut.
Wenn man spenden oder Mitglied werden möchte, gibt es Links auf der Website; ich habe keine Verbindung dazu, aber meiner Meinung nach ist genau diese Art von Durchsetzung des Datenschutzrechts gerade nötig.
Unternehmen, die personenbezogene Daten missbrauchen – insbesondere solche, die häufig gegen europäisches Recht verstoßen –, müssen wissen, dass daraus Reputations-, finanzielle und rechtliche Folgen entstehen können.
Angesichts einer Entwicklung, in der Anspruchsdenken von Unternehmen und öffentliche Gleichgültigkeit technischen Missbrauch vorantreiben, ist dieser Ansatz weder skalierbar noch nachhaltig.
Neben Gesetzgebung brauchen wir, wie bei anderen Fragen der öffentlichen Gesundheit und Sicherheit, aktive Programme zur Aufklärung und Information der Öffentlichkeit.
Eine Kampagne „Nicht betrunken fahren“ rettet pro Dollar mehr Leben, als der Polizei mehr Budget zu geben, um betrunkene Fahrer zu erwischen.
„Installier diese App nicht“ sollte zu einem allgemein bekannten Satz werden wie „See it. Say it. Sorted.“ und Menschen dazu bringen, beim Installieren einer verdächtigen Restaurant-App kurz innezuhalten und sich zu fragen: „Will ich wirklich völlig Fremden Zugriff auf meine persönlichen Daten und mein Leben geben?“
Organisationen wie NOYB könnten moderne, einflussreiche Medien gezielter nutzen, um die Wurzel anzugreifen: ein grundlegend fehlerhaftes Sicherheitsmodell, das auf ungeeigneten Annahmen beruht.
Die Annahmen müssen sich ändern.
Nach der ePrivacy-Richtlinie ist für den Zugriff auf oder das Speichern von Daten auf dem Endgerät der Nutzer eine freiwillige, ausreichend informierte, spezifische und eindeutige Einwilligung erforderlich.
Doch zwei der drei Apps zeigten beim Start nicht einmal ein Einwilligungsbanner, und die dritte App bot theoretisch eine Wahl zwischen Zustimmung und Ablehnung, begann aber in Wirklichkeit mit der Übertragung personenbezogener Daten, bevor der Nutzer irgendetwas tun konnte – ja, bevor er überhaupt die Möglichkeit hatte, über eine Einwilligung nachzudenken.
Ich frage mich, warum niemand die Frage stellt, warum Anwendungen überhaupt ohne Zustimmung des Nutzers auf Daten zugreifen können.
Man macht daraus ein menschliches Problem, aber die Verantwortung liegt bei der Technik.
Technisch wäre es durchaus möglich, einen App Store zu bauen, der dazu anhält, nur die minimal nötigen Berechtigungen zu nutzen, oder allzu neugierigen Apps Fake-Daten liefert.
Tatsächlich gab es solche Versuche auch schon, aber ich glaube nicht, dass Google es je einfach machen wird.
Beispiel: https://playsearch.kaki87.net/
Nur so kann man das Ereignis „consent-banner-displayed“ an Google Analytics schicken und herausfinden, ob das Einwilligungsbanner richtig funktioniert.
Schon vor zehn Jahren war die Arbeit von Verfechtern digitaler Privatsphäre schwierig, und dass sie es heute immer noch ist, ist eines der deutlichsten Governance-Versagen der jüngeren Zeit.
Die Regierungen scheinen dieses Problem überhaupt nicht in den Griff zu bekommen, und es bringt nichts, die Gründe von Inkompetenz bis Komplizenschaft noch einmal durchzugehen.
In einer populären Analogie ist es so, als hätte man das Stadttor absichtlich heruntergelassen und geübte Taschendiebe unter wehrlose Bürger stürmen lassen.
Vielleicht verfängt es in der Politik eher, zu betonen, dass diese Vernachlässigung der Zukunft der digitalen Wirtschaft und Gesellschaft schadet.
Wirtschaftliche Akteure handeln nach den Signalen, die Regierungen und Institutionen darüber senden, was erlaubt ist; wenn diese Signale fehlen oder widersprüchlich sind, investieren sie in die „falsche“ Richtung.
Zielgerichtete Werbung steigert den Umsatz, weil sie sich auf Menschen konzentriert, die mit höherer Wahrscheinlichkeit positiv auf Werbung reagieren.
Wenn man die Handlungsmacht der Nutzer voraussetzt, ist das etwas Gutes und kann beiderseitig vorteilhaft sein.
Wenn man es jedoch negativ behandelt, nimmt man im Grunde an, dass Nutzer keine Handlungsmacht über ihr eigenes Verhalten haben.
Die Logik lautet dann, dass sie zwar auf Werbung reagieren, dies aber tatsächlich schädlich oder unerwünscht ist und man sie daher vor solchen „Verlockungen“ schützen müsse.
Das ähnelt der Logik, den Verkauf süchtig machender Substanzen an Minderjährige zu verbieten.
Hier geht es nicht um Datenschutzfragen, sondern nur um den oben beschriebenen, häufig zu sehenden Einwand.
Unser Geist ist heilig, und unsere kognitiven Funktionen sind unveräußerlich.
Kein Unternehmen auf der Erde hat ein Recht darauf, und unsere Aufmerksamkeit gehört uns.
Sie ist weder eine Währung, mit der man für Dienste bezahlt, noch eine Ware, die an den Höchstbietenden verkauft werden darf.
Sie haben kein Recht, ihre Marke ohne Zustimmung in unser Gehirn einzupflanzen; das sollte als geistiger Übergriff gelten, und Maßnahmen dagegen sollten als Selbstverteidigung betrachtet werden.
Ich setze alle mir mögliche Handlungsmacht ein, um Werbung zu vermeiden, aber trotzdem sehe ich Werbung, und Unternehmen tracken mich, um mir Werbung zu zeigen.
Hätte ich die Wahl, würde ich sämtliches Tracking ablehnen; fehlt mir hier also nicht ein Teil meiner Handlungsmacht?
Wenn man plötzlich ein Bild oder einen Text sieht, verarbeiten niedrigere Wahrnehmungsfunktionen das, bevor der präfrontale Cortex urteilt.
Werbetreibende und Psychologen wissen das, und weil es funktioniert, machen sie weiter.
Wegen ADHS muss ich meine Impulsivität ständig im Auge behalten; wenn mir zielgerichtete Werbung immer wieder interessante Dinge vor die Nase setzt, die ich nicht brauche, bei denen mein Gehirn aber sagt: „Das könnte doch für X nützlich sein“, ist das wirklich anstrengend.
Ich will das nicht, oder zumindest möchte ich mehr Kontrolle darüber haben, aber zielgerichtete Werbung lässt sich nicht vollständig blockieren.
Im Web helfen Adblocker sehr, und beliebte Apps mit zielgerichteter Werbung wie Instagram sollte ich wohl ganz meiden.
Ich würde gern die Instagram Stories enger Freunde sehen, aber wenn ich es nutze, werde ich ständig mit „interessanten“ Anzeigen konfrontiert und bin erschöpft davon, gegen meine Impulsivität anzukämpfen; daher ist es besser, es nicht zu nutzen.
Selbst wenn ich vollständige Handlungsmacht habe: Eine Anzeige für Rinderergänzungsmittel kann ich leicht ignorieren, weil ich keine Rinder halte; eine Anzeige für eine Buchhaltungskonferenz ist schwerer zu ignorieren, weil ich Fortbildungspunkte für meine CPA-Lizenz brauche.
Werbung ist ihrem Wesen nach darauf ausgelegt, zu stören, und je besser sie zielgerichtet ist, desto mehr verlangsamt sie meinen Tag.
Das ist schlecht für mich.
Obwohl es seit Jahren geeignete Gesetze gibt, werden Datenschutzregeln in großem Umfang gebrochen.
Wenn die EU-Staaten auch nur die Top 1000 Websites und Apps proaktiv geprüft hätten, gäbe es dieses Problem nicht.
Jetzt ist es ein Zustand, in dem alle mitmachen und man dumm dasteht, wenn man es nicht tut.
Bei unaufgeforderter Zusendung per Post oder E-Mail ist es ähnlich: Die Regeln sind klar, aber kleine Firmen, große Unternehmen und Institutionen treten sie gleichermaßen mit Füßen.
Es ist ja nicht so, dass es Regierungen an Fachwissen oder Kreativität fehlt.
Sie sammeln jedes Jahr Luftbilder, um illegale Bauten und Erweiterungen aufzuspüren, und die Steuerbehörden derselben Regierungen scrapen aktiv Web und Social Media, um personenbezogene Daten zu sammeln und zu speichern, damit sie Betrugsprofile über alle Bürger erstellen können.
[0]: https://www.dutchnews.nl/2023/09/tax-office-scraped-social-m...
Spam wurde in den USA und der EU schon vor mehr als zehn Jahren „illegal“, hat die Menge an Spam aber nicht verringert.
Bei der DSGVO ist es genauso: Nur ehrliche und gutwillige Akteure leiden, während unehrliche Akteure oder Giganten wie Google sogar Vorteile daraus ziehen und mit diesen Vorteilen ihr Geschäft ausbauen.
Auch den wachsenden Datenschutzproblemen bei kritischer Infrastruktur wie Autos muss mehr Aufmerksamkeit geschenkt werden.
Siehe „Privacy Nightmare on Wheels’: Every Car Brand Reviewed by Mozilla“: https://news.ycombinator.com/item?id=37443644
Oder auch Abhörgeräte im Besitz Dritter sind ein Problem.
In manchen Kontexten verlangt jedes Produkt den Verzicht auf Privatsphäre, sodass kaum noch Wahlmöglichkeiten bleiben, und hier wird der große Kampf stattfinden.
Viber verlangte unter Android so viele Berechtigungen, dass es selbst ohne so viele Partner unheimlich gewesen wäre.
Damals nutzte ich XPrivacy, aber es ist kaum vorstellbar, wie sehr normale Nutzer exponiert gewesen sein müssen.
Was noyb macht, ist im Großen und Ganzen gut, aber mir gefällt nicht, wie Werbung und Produktanalyse in denselben Topf geworfen werden.
Man kann Nutzerdaten an Drittanbieter wie Mixpanel oder Amplitude senden, doch diese verarbeiten die Daten ausschließlich für dich und verwenden sie nicht anderweitig.
Dasselbe gilt für Drittanbieter wie RevenueCat, die bei der Implementierung von In-App-Käufen helfen.
Das ist eine ganz andere Situation, als Daten an Google oder Facebook zu senden, die sie für all ihre eigenen Geschäftsbereiche nutzen.
Nicht alle Drittanbieter sind gleich.
Im Kern ermöglichen sie, Daten aus dem Tool an andere Stellen weiterzuleiten.
Wenn du Daten von Amplitude an Facebook senden willst, ist das einfach: https://amplitude.com/blog/amplitude-customer-data-platform
Nutzer möchten möglicherweise nicht, dass du sie unter dem Vorwand von Analyse oder „Produktverbesserung“ trackst, unabhängig davon, ob noch ein weiterer Drittanbieter beteiligt ist oder nicht.
„Produktverbesserung“ halte ich für eine der größten Lügen der Tech-Branche der letzten zehn Jahre.
Ich verstehe, dass man eine juristische Argumentation braucht, um Organisationen zu bestrafen, die das System missbrauchen, aber ich fürchte, der Fokus liegt derzeit falsch.
Unternehmen, die mit Daten umgehen, können sich immer genug Lobbyisten sichern, um dafür zu sorgen, dass ihr Vorgehen technisch gesehen legal ist.
Zum Beispiel nach dem Motto: „Wir haben keine ID gesendet, sondern einen Hash geteilt.“
Maßstab sollte sein, ob Menschen verstehen, was Unternehmen tun, und ob diese Klarheit es ihnen ermöglicht, die Art der Werbung zu unterstützen.
Mehrere Generationen von Technologen haben von Plattformen geträumt, auf denen Nutzer Informationen wie „ich beabsichtige, einen Toaster zu kaufen“ kontrolliert veröffentlichen und passende Angebote erhalten können.
Werbemarkt und Plattformen würden nicht weniger verdienen, wenn sie Nutzern erlaubten, ihre Interessen mitzuteilen und keine Krypto- oder Glücksspielanzeigen mehr zu sehen.
Etwa wie in dem Fall, in dem Nutzer einer umstrittenen Messaging-App feststellten, dass Nachrichten an Facebook weitergeleitet wurden: https://news.ycombinator.com/item?id=37506851
Ich stimme zu, dass Menschen verstehen müssen, was passiert.
Teilweise ist es eine Frage der Wahrnehmung, aber es gibt auch viele Menschen, denen Datenschutz egal ist.
Das zeigt auch, dass die alte Weltsicht „wer nichts vor rechtschaffenen Behörden zu verbergen hat, hat nichts zu befürchten“ weiterhin verbreitet ist.