Welche Daten Amazon an der Haustür sammelt
Wer hätte gedacht, dass die eigene Türklingel einmal zum Datenschutzproblem wird? Dass die vernetzten Türklingeln der Amazon-Tochterfirma Ring Daten erfassen, ist nichts Neues. In welchem Umfang und mit welchem Detailgrad sie dies tun, dürfte allerdings den einen oder anderen Nutzer überraschen.
In einer Recherche der BBC sammelte ein Ring-Türklingelsystem in 129 Tagen alleine 1939 sogenannte “camera events”, also beispielsweise Bewegungen vor der eingebauten Kamera. Außerdem speicherte Ring jeden Druck auf die Klingel – auf die Millisekunde genau. Auch die Klingeldauer wurde erfasst. Die zugehörige App zeichnete außerdem alles auf, was der Nutzer tat (z.B. Kamerazoom?) und sendete die Daten weiter.
Die Türklingeln von Ring sind mit dem heimischen WLAN vernetzt und stehen über dieses mit dem Smartphone des Nutzers in Verbindung, aber auch mit den Servern des Herstellers. Die Geräte sind unter anderem mit Kamera, Mikrofon und Lautsprecher ausgestattet. So wird der Bewohner von seinem Smartphone über Besucher informiert, kann diese über die Kamera beobachten und mithilfe des Lautsprechers und Mikrofons mit ihnen kommunizieren. Diese Daten erhält Amazon auch vollständig.
DSGVO macht es möglich
Die britische Rundfunkanstalt BBC nutzte für ihre Recherche die Möglichkeit der Datenschutz-Grundverordnung (DSGVO), über die eigene Person gesammelte Daten bei Firmen anzufragen. Im Auftrag der Redaktion nutzte eine Privatperson eine “Video Doorbell 2” und später zusätzlich eine “Indoor Cam”. Die Testperson setzte die Geräte von Ende September bis Anfang Februar ein – und fragte anschließend die bei Ring gespeicherten Daten an.
In den daraufhin zugeschickten Unterlagen fanden sich unter anderem fast 2000 Kameraaktionen und fast 5000 aufgezeichnete Nutzerinteraktionen aus der zugehörigen App. Ring erfasste präzise, wann die App geöffnet wurde, wann welches Videomaterial angeschaut wurde – und wann das Live-Bild der Kamera. Auch die Zeitpunkte, zu denen die Zoom-Funktion des Video-Players genutzt wurde, finden sich in den Aufzeichnungen. Ring speicherte alle Informationen mit einer Genauigkeit von Millisekunden.
Auch senden Ring-Geräte ihre Position in Form von Längen- und Breitenkoordinaten an den Hersteller. So lässt sich ihr Einsatzort präzise ermitteln.
Insgesamt erhielt die Redaktion elf verschiedene Datenbanken mit rund 26.500 Einträgen. Dokumente weisen laut BBC darauf hin, dass Ring zusätzlich anonymisierte Informationen erfasst. Über diese müssen Firmen bei DSGVO-Anfragen aber keine Auskünfte erteilen.
Kameraaufnahmen speichert Ring nach eigener Aussage nur, wenn die Nutzer den kostenpflichtigen Zusatzdienst Protect Basic oder Plus abgeschlossen haben. Dann werden Aufnahmen 30 Tage lang für den Kunden gespeichert und im Anschluss gelöscht.
Schwammige Datenschutzerklärung
Welche Daten Amazon mithilfe der Geräte und der dazugehörigen Smartphone-App sammelt und speichert, kann man prinzipiell in der Datenschutzerklärung nachlesen. Die dortigen Formulierungen dürften aber den wenigsten Nutzern verständlich machen, dass die Datenerfassung so funktioniert, wie nun von der BBC demonstriert.
Dass jeder Druck auf die Klingel in seiner Länge und dem genauen Zeitpunkt erfasst wird und die App auch jede Zoom-Bewegung speichert, soll wohl durch folgenden Satz in der Datenschutzerklärung abgedeckt werden: “Um Ihnen diese Dienste [Hinweis auf Besucher und Kommunikation mit ihnen] zur Verfügung zu stellen, verarbeiten und speichern wir Inhalte, die bei der Nutzung unserer Produkte und Dienste erfasst und aufgezeichnet werden, z. B. Video- oder Audioaufnahmen, Live-Video- oder Audiostreams […] und von unseren Produkten […] gesammelte Daten, (wie z. B. Bewegungen, Ereignisse, Temperatur und Umgebungslicht).”
Andere Daten sind dort hingegen präzise erwähnt. So sollte jedem Nutzer nach Lesen des Dokuments klar sein, dass Ring den Standort der Türklingel und des genutzten Smartphones sowie Geräteeinstellungen und Informationen über das WLAN-Netzwerk erhebt.
Gegenüber der BBC äußerte die Datenschutz-Expertin Frederike Kaltheuner Bedenken in Bezug aufs Rings Datensammlung: “Was am interessantesten ist, sind nicht die Daten selbst, sondern die Muster und Erkenntnisse, die aus ihnen gewonnen werden können.” Sollte beispielsweise niemand jemals an der Tür klingeln, sagt das eventuell etwas über das Sozialleben des Besitzers aus. Außerdem könne man mit dem Wissen darüber, wann und wie oft jemand an der Tür klingelt, erahnen, wann jemand zu Hause ist.
Verwendungszweck unklar
Wofür Ring die erhobenen Daten nutzt, ist in der Datenschutzerklärung tatsächlich nur äußerst grob umschrieben. Dort steht beispielsweise: “Wir können […] Daten […] verwenden, um: Unsere Produkte und Dienste für Sie verfügbar zu machen, Ihr Ring Konto und Profil zu erstellen und zu verwalten und Analytikdienste durchzuführen.”
Auf die Frage der BBC, ob die Daten des Klingelsystems mit denen des Onlinehandels des Mutterkonzerns Amazon verknüpft werden, erhielten die Redakteure von Ring keine Antwort.
Selbst wenn Rings Datenschutzerklärung in Bezug auf den Verwendungszweck und den Umfang der Erfassung präziser formuliert wäre, bliebe das Problem, dass der Nutzer nicht weiß, wie Amazon die Informationen in Zukunft verwendet. Die Firma lässt sich in der Datenschutzerklärung alle Möglichkeiten offen: “Außerdem können wir die über Sie gesammelten Daten auch in anderer Weise verwenden, für die wir zum Zeitpunkt der Datenerhebung gesondert Mitteilung machen und Ihre Zustimmung einholen, wenn dies gesetzlich vorgeschrieben ist.” Dies ist allerdings kein spezielles Problem bei Ring, sondern gilt für alle Dienste, die persönliche Daten erfassen.
Gesichtserkennung
Ebenfalls problematisch ist eine optionale Funktion, bei der man die App mit Fotos oder Videos von Bekannten füttert. Die Türklingel erkennt dann automatisch, ob man die Person vor der Tür kennt oder in eine vom Nutzer festgelegte Gruppe gehört. Je nachdem, wer vor der Tür wartet, gibt das System unterschiedliche Signale.
Amazon weist bei dieser Funktion zwar darauf hin, dass die erfasste Person der automatischen Gesichtserkennung zustimmen muss und der Ring-Nutzer im Vorhinein das Einverständnis einholen soll. Ob das in allen Fällen tatsächlich passiert, sei dahingestellt.
Übrigens: Die DSGVO ermöglicht es nicht nur, die gesammelten Daten über die eigene Person zu erfragen, auf Wunsch müssen die Firmen die Daten auch löschen. Das gilt auch für Ring. (hcz)