"Datenschutz-Verstöße bei der Bahn waren Verantwortlichen lange bekannt"

Laut Digitalcourage   sei die Bahn-App   voll mit Trackern, die Reisende überwachen. In ihrer Datenschutzerklärung zähle die Bahn insgesamt zehn Dienstleister auf, an die ein Transfer personenbeziehbarer Informationen für den Betrieb der Navigator-App "zwingend erforderlich" seien. Deren Tracker könnten deshalb laut Bahn nicht abgeschaltet werden. Wann und in welchem Umfang tatsächlich Daten an wen übertragen würden, sei für Nutzer nicht feststellbar. Inwieweit beispielsweise die Adobe Marketing Cloud   Abfahrtstag und Zahl der Reisenden wissen sowie Start- und Zielbahnhof erfahren muss, um das Funktionieren der Bahn-App zu gewährleisten, ist allerdings unklar. In der eingereichten Klage   geht es darum, dass App-Nutzende dem erfolgenden Verbindungsaufbau zu Adobe und der zugehörigen Webanalyse-Firma Omniture   nicht eingewilligt haben.

Datenschützer Christian Bennefeld , General Manager von Eblocker.org   , erhebt nun Vorwürfe gegen die Bahn-Verantwortlichen: Er habe bereits im Januar 2022 vor rund 60 Online-Verantwortlichen unterschiedlicher Sparten der Deutschen Bahn in einem Vortrag aktuelle Entwicklungen im Datenschutz aufgezeigt und auf Alternativen für das zukünftige Handeln hingewiesen: "Im Zuge der Ausarbeitungen stieß ich zunächst auf ein rechtlich unwirksames Consent-Banner mit sogenanntem "Nudging durch Dark Pattern", das die Ablehnung des Trackings durch die Nutzer stark erschwert. Viel problematischer als das rechtlich bedenkliche Banner selbst empfand ich jedoch die Tatsache, dass auf bahn.de fast alle Tracking Tools als "erforderlich" deklariert werden und somit selbst bei einer Ablehnung durch die Nutzer trotzdem ein Tracking stattfindet", erzählt Bennefeld.

Bennefeld weiter: "Ich wies die Verantwortlichen darauf hin, dass für die Beurteilung der "Erforderlichkeit" stets die Sicht der Nutzer eingenommen werden müsse. Schließlich schreibt §25 TTDSG vor, dass ein Tool nur dann "unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann." Von Seiten der Bahn-Verantwortlichen sei entgegengehalten worden, dass das Vorgehen mit der Aufsichtsbehörde abgestimmt sei. "Eine Aussage, die ich bereits während meines Vortrags gegenüber den Bahn-Vertretern stark angezweifelt hatte, denn 'meine' Hamburger Aufsichtsbehörde sah den Sachverhalt deutlich anders    ."

In der aktuellen Datenschutzerklärung der Deutschen Bahn   wird unter anderem auf US-amerikanische Tools wie Tealium    , Adobe Analytics und das A/B-Testing von Optimizely    hingewiesen mit dem Vermerk: "Alle Dienstleister haben wir vertraglich zum datenschutzkonformen Umgang mit Ihren Daten verpflichtet."

Christian Bennefeld schlussfolgert, die Bahn sei "ohne Respekt vor der Privatsphäre der Bürger" als Staatsbetrieb "ignorant gegenüber dem eigenen Rechtsstaat" und ein klarer Vorsatz erkennbar: "Denn der klare Vorsatz, die Nutzer einfach langfristig zu tracken, wird bei einer kurzen technischen Analyse der fast 30 Cookies deutlich, die trotz Ablehnung des Trackings durch App-Nutzende gesetzt werden."