Datenschützer werfen der Bahn Verstöße gegen die Datenschutzgrundverordnung vor. Die App DB Navigator sammle zu viele Daten der Nutzer und leite sie an Unternehmen wie Google und Adobe weiter.
Wer in Deutschland einen Zug der Deutschen Bahn nutzt, der kommt an der App DB Navigator fast nicht mehr vorbei: Mit der Smartphone-App kann man Zugtickets kaufen, schauen, wann und wie pünktlich der Zug kommt, und die BahnCard parat haben, wenn das Ticket kontrolliert wird.
Dabei sammle die App aber zu viele Daten über die Nutzerinnen und Nutzer, bemängelt Rena Tangens, politische Geschäftsführerin von Digitalcourage. Der Verein setzt sich für Informationsfreiheit und Datenschutz ein und hat 2022 Klage gegen die Deutsche Bahn eingereicht. Auch wenn man die Option „nur notwendige Cookies zulassen“ anwähle, sammle die App auch „technisch nicht notwendige Daten“, kritisiert Tangens.
Was verraten die Daten?
Bei den Daten handele es sich beispielsweise um die Anzahl der Reisenden, den Start- und Zielbahnhof und die Info, ob ein Kind mitfährt, so Digitalcourage. Selbst wenn die Daten ohne den Namen der User weitergegeben würden, könnten Rückschlüsse auf das Verhalten der Nutzer gezogen werden.
„Die App hat eine ID und damit wird mein Gerät erkannt, wann immer ich zum Beispiel auch nur eine Bahnverbindung abfrage. Ich muss nicht mal eine Fahrkarte dafür kaufen. In der Regel nutzt nur eine Person ein Smartphone und ist damit eindeutig identifizierbar“, so Rena Tangens. Große Firmen könnten mithilfe anderer Daten ein Profil einer Person erstellen. Dies sei interessant für Werbekunden.
Die Klage des Vereins geht auf eine Analyse des IT-Sicherheitsforschers Mike Kuketz zurück. 2022 bemängelte er Verstöße unter anderem gegen die Datenschutz-Grundverordnung. Die App nutze Tracker-Technologien, die das „Verhalten der Nutzer überwachen“, so Digitalcourage. Insgesamt zehn Anbieter könnten auf die Daten zugreifen, hieß es in der Analyse. Stiftung Warentest hatte 2022 ebenfalls in einem Test bemängelt, dass es die Navigator App „mit Datenschutz nicht so genau“ nehme.
Bahn betont die Notwendigkeit
Dass die App Daten sammelt, bestreitet die Deutsche Bahn grundsätzlich nicht. Das Unternehmen betont aber, dass das notwendig sei. „Um unsere digitalen Services technisch verlässlich anbieten und weiter verbessern zu können, sind wir auf bestimmte Daten unserer Reisenden angewiesen“, heißt es in einem Statement der Bahn.
Die Daten würden ausschließlich für eigene Zwecke genutzt, sie würden nicht für unzulässiges Marketing eingesetzt. „Wir arbeiten mit IT-Dienstleistern zusammen immer auf Basis der gesetzlichen Vorgaben zum Schutz der Privatsphäre unserer App-User.“
Die Bahn nennt drei Dienste, mit denen sie zusammenarbeitet und die Daten erhalten: das Softwareunternehmen Adobe, die Google-Tochter Crashlytics und die Software Firma Optimizly. Crashlytics wird nach Aussage der Bahn beispielsweise eingesetzt, um zu verhindern, dass die App beim Anzeigen des Tickets bei der Kontrolle „crasht“. Adobe Analytics soll eine Stabilität der App gewährleisten, auch wenn es zu einem Zeitpunkt viele Zugriffe gleichzeitig gebe.
Eine Frage der Grundversorgung?
Digitalcourage bemängelt, dass die Bahn sich zu wenig um Informationen an Bahnsteigen wie Infotafeln oder Durchsagen kümmere, stattdessen würden Kunden fast dazu gezwungen, die App zu nutzen, um sich zu informieren.
Es gehe dabei nicht nur um Menschen, die sich das nicht leisten könnten oder zu alt seien, um sich die Technik noch anzueignen. Es gehe auch um Menschen, die zum Beispiel ein freies Betriebssystem verwenden, die nicht den App Store von Google oder Apple nutzen wollen und die Wert auf den Schutz ihrer Daten legen. „Und das ist ein absolut legitimes Anliegen“, so Rena Tangens.
Heute ist Prozessauftakt am Landgericht Frankfurt. Der Verein hofft auf ein Grundsatzurteil, um auch gegen andere mutmaßliche Datenverstöße vorzugehen.
