Gratis-Kaffee und Gebäck als Ausgleich für Dauerüberwachung
In Kanada hat sich die Kaffeehauskette Tim Hortons in einem Rechtsstreit um gesammelte Standortdaten mit vier Sammelklägern geeinigt: Dafür, dass die Firma 18 Monate lang seine Kundinnen und Kunden per App auf Schritt und Tritt getrackt und diese Informationen weiterverkauft hat, bekommen die Geschädigten einen kostenlosen Kaffee und ein Stück Gebäck.
“Alle Parteien sind sich einig, dass dies eine faire Einigung ist”, schreibt die Firma gegenüber dem IT-Magazin Motherboard. Weitere Strafen sind dem Vergleich zufolge nicht vorgesehen. Die zuständigen Gerichte in Quebec, British Columbia und Ontario müssen dem noch zustimmen.
Wie die kanadische Datenschutzbehörde (OPC) nach einer Untersuchung im Juni erklärte, fragte die App der Restaurantkette zwischen dem 1. April 2019 und dem 30. September 2020 alle drei bis fünf Minuten den Standort der Smartphones und andere Gerätedaten ihrer Kunden ab – auch, wenn die App nicht geöffnet war. Die Nutzungsbedingungen versprachen hingegen, der Standort werde nur erfasst, wenn die App geöffnet ist. “In Wirklichkeit verfolgte die App die Benutzer, solange das Gerät eingeschaltet war”, schreibt die OPC.
Der Behörde zufolge wurden die Standortdaten unter anderem dazu verwendet, um festzustellen, wo Nutzer wohnten, wo sie arbeiteten und ob sie unterwegs waren. Die App speicherte auch, wenn Nutzer eine Konkurrenzfiliale, große Sportstätten, ihr Zuhause oder ihren Arbeitsplatz betraten oder verließen. Das Unternehmen versprach sich durch die Datensammlung, gezieltere Werbung für seine Produkte schalten zu können.
Die OPC warnte nach der Untersuchung: “Standortdaten sind hochsensibel […]. Sie können verwendet werden, um Rückschlüsse auf religiöse Überzeugungen, sexuelle Vorlieben, sozialpolitische Zugehörigkeiten und mehr zu ziehen.”
Die App soll Unternehmensaussagen zufolge rund vier Millionen aktive Nutzer haben. Tim Hortons betreibt fast 5000 Filialen weltweit und ist Kanadas führende Kaffeehauskette.
Gefahr der Identifikation
Entdeckt hatte die ausufernde Datenerfassung der kanadische Journalist James McLeod Mitte 2020. Woraufhin die OPC zusammen mit Behörden einiger Provinzen eine Untersuchung einleitete – und Tim Hortons die kontinuierliche Standortverfolgung zum September 2020 einstellte.
Die OPC stellte auch fest, dass die Kaffeehauskette die Daten an die US-Firma Radar Labs weiterleitete und dieser erlaubte, mit den Daten zu handeln. Zwar mussten die Datensätze vor der Übertragung anonymisiert werden, doch die OPC warnte vor einem “realen Risiko, dass anonymisierte Geolokalisierungsdaten erneut identifiziert werden”. Das habe auch ein Forschungsbericht des kanadischen Datenschützers gezeigt.
Im Fall des Journalisten McLeods sammelte die Kaffeehaus-App in weniger als fünf Monaten mehr als 2700 GPS-Datensätze. Zudem erfasste das Programm unter anderem Bewegungen des Geräts, den Akkuladestand, die IP-Adresse, Mobilfunk-Netzbetreiber, freien Speicherplatz, die Android-Werbe-ID und Bluetooth-Aktivitäten.
Keiner Schuld bewusst
Der kanadische Datenschutzbeauftragte Daniel Therien kommentierte den Fall: “Tim Hortons hat eindeutig die Grenze überschritten […]. Jeden Tag alle paar Minuten den Bewegungen der Menschen zu folgen, war eindeutig eine unangemessene Form der Überwachung. Dieser Fall unterstreicht einmal mehr […] die Notwendigkeit strenger Datenschutzgesetze zum Schutz der Rechte der Kanadier.”
Tim Hortons hat angekündigt, die gespeicherten Nutzerdaten nun zu löschen, ebenso wie Radar Labs. Ein Schuldeingeständnis seitens des Unternehmens bleibt allerdings auch nach dem Vergleich aus. Die Firma erklärte, die erhobenen Vorwürfe seien vor Gericht nicht bewiesen worden und der Vergleich sei kein Eingeständnis eines Fehlverhaltens – die Untersuchung der Datenschutzbehörden hatte jedoch de facto Verletzungen des kanadischen Bundesdatenschutzrechts festgestellt.
Betroffene App-Nutzer hat das Unternehmen am Freitag per E-Mail über die Einigung und den Schadensausgleich per Lebensmittel informiert. In dem Schreiben wird der Wert des Heißgetränks mit 6,19 Kanadischen Dollar (plus Steuern) und der Kaufpreis des Gebäcks mit 2,39 Dollar angegeben.
Auf die entrüstete Frage eines Twitter-Nutzers, welche Anwälte diesem Vergleich zustimmen konnten, antwortete der klagende Journalist: “Vermutlich mögen sie Donuts.” (hcz)