diff --git a/content/blog/2025/05/2025-05-19_digitalcourage_bahn_gerichtsverhandlung/index.md b/content/blog/2025/05/2025-05-19_digitalcourage_bahn_gerichtsverhandlung/index.md index 5ab5d5f2f2742bb10df4a9aad2c6f2ddb30a73e4..4db61df576657244b364a7e4374abab545ab25d7 100644 --- a/content/blog/2025/05/2025-05-19_digitalcourage_bahn_gerichtsverhandlung/index.md +++ b/content/blog/2025/05/2025-05-19_digitalcourage_bahn_gerichtsverhandlung/index.md @@ -1,5 +1,5 @@ +++ -title = "Gerichtsverhandlung über DB-Navigator-Tracking" +title = "Besuch vor Gericht: Der \"DB-Schnüffel-Navigator\"" authors = ["tuxilio"] [taxonomies] @@ -18,54 +18,59 @@ credits = "Markus Hamid, CC-BY 4.0" Beim Bahnfahren nutzen viele den DB Navigator - zum Beispiel um die BahnCard zu zeigen, Tickets zu kaufen oder eine Verbindung rauszusuchen. Jedoch bekommen alle Nutzer zum Tracking eine eindeutige ID, teilweise passiert das sogar ohne Einwilligung. -Ich bin ein aktiver Jugendlicher aus der Teckids-Gemeinschaft und habe mir die Gerichtsverhandlung angesehen. -Mich interessiert das Thema besonders, da viele den DB Navigator nutzen und nur sehr wenige Alternativen dazu kennen. -Das Thema wurde außerdem schon mehrere Jahre diskutiert und war mehrmals in den Nachrichten. -Die Bahn hat dabei versucht, das Verfahren immer weiter hinauszuzögern. -Mich interessierte jetzt die Diskussion deswegen umso mehr, um zu sehen, ob die Bahn überhaupt richtige oder nur Scheinargumente hat. +Ich war beim ersten Verhandlungstag im Prozess Digitalcourage gegen die Deutsche Bahn dabei. <!-- more --> -Der Verein [Digitalcourage e.V.](https://digitalcourage.de/) hat dagegen geklagt. +## Klage gegen das Tracking von Benutzer\*innen im DB Navigator + +Der Verein [Digitalcourage](https://digitalcourage.de/) hat gegen die Sammlung von Daten im DB Navigator geklagt. Die Gerichtsverhandlung fand am 19. Mai 2025 am Landgericht in Frankfurt statt. -Es war die erste mündliche Verhandlung, die Klage selbst wurde nämlich schon 2022 eingereicht und von der Bahn erwidert. +Es war die erste mündliche Verhandlung; die Klage selbst wurde nämlich schon 2022 eingereicht und von der Bahn erwidert. Digitalcourage wirft der Bahn vor, mit dem DB Navigator personenbezogene Daten ohne wirksame Einwilligung an Drittunternehmen weiterzugeben. Das ist ein Verstoß gegen das Datenschutzrecht. Die Bahn hatte darauf erwidert, dass die Trackingdienste technisch notwendig und die Unterlassungsaufforderung zu ungenau sei. -Von beiden Parteien waren je zwei Anwälte anwesend. Bei Digitalcourage saß Padeluun selbst dabei, auf Seiten der Bahn der Datenschutz-Leiter der DB Fernverkehr AG. +Das Tracking mit eindeutigen IDs sehe ich selber sehr kritisch, da die Bahn so detaillierte Nutzerprofile erstellen kann. +Auch ein anonymisiertes Tracking sollte auf jeden Fall nur bei einer Einwilligung passieren und nicht als technisch notwendig gelten. +Optimierungszwecke sind ja nicht "technisch notwendig", sondern nur eine Bestrebung der Bahn, die App besser zu machen. + +## Mein Besuch bei der Gerichtsverhandlung + +Als aktiver Jugendlicher aus der Teckids-Gemeinschaft habe ich mir die Gerichtsverhandlung angesehen. +Mich interessiert das Thema besonders, da viele den DB Navigator nutzen und nur sehr wenige Alternativen dazu kennen. +Das Thema wurde außerdem schon mehrere Jahre diskutiert und war mehrmals in den Nachrichten. +Die Bahn hat dabei versucht, das Verfahren immer weiter hinauszuzögern. +Mich interessierte jetzt die Diskussion deswegen umso mehr, um zu sehen, ob die Bahn überhaupt richtige oder nur Scheinargumente hat. -Zu Beginn der Verhandlung wurde noch einmal die Klageschrift kurz zusammengefasst. +Von beiden Parteien waren je zwei Anwälte anwesend. Bei Digitalcourage saß Padeluun selbst dabei, auf Seiten der Bahn der Datenschutz-Leiter der DB Fernverkehr AG. -Der Hauptstreitpunkt liegt bei drei Trackingverbindungen: Adobe Analytics, Optimizely und CrashLytics. Dabei wird immer eine eindeutige Kennung (ID) mitgeschickt. +Zu Beginn der Verhandlung wurde noch einmal die Klageschrift kurz zusammengefasst: +Der Hauptstreitpunkt liegt bei drei Trackingverbindungen – Adobe Analytics, Optimizely und CrashLytics. Dabei wird immer eine eindeutige Kennung (ID) mitgeschickt. Mit Adobe Analytics wird getrackt, wann die App am meisten genutzt wird, mit Optimizely, wie lange man in verschiedenen Rubriken der App bleibt und mit CrashLytics werden beim Abstürzen der App Fehlerberichte versendet. -Die Bahn lenkte erstmal vom Thema ab und warf Padeluun vor, die Bahn-App gar nicht zu nutzen. -Das tut allerdings nichts zur Sache, da Padeluun die Bahn App zum Zeitpunkt der Klage auf jeden Fall genutzt hat - die eindeutigen IDs stehen in der Klageschrift. +Die Bahn lenkte erstmal vom Thema ab und warf Padeluun vor, die Bahn-App selber gar nicht zu nutzen. +Das tut allerdings nichts zur Sache, da Padeluun die Bahn-App zum Zeitpunkt der Klage auf jeden Fall genutzt hat – die eindeutigen IDs stehen in der Klageschrift. Ob Padeluun die App heute nutzt, ist dabei deswegen vollkommen unwichtig. Um die Diskussion zu beenden, zeigte Padeluun die Bahn-App auf seinem Handy. Danach begann die eigentliche Diskussion über die technische Erforderlichkeit dieser drei Tracking-Dienste. -Dabei erklärte die Bahn zuerst die Notwendigkeit des Trackings aus Ihrer Sicht, ging dabei aber nicht auf die Notwendigkeit der IDs ein. +Dabei erklärte die Bahn zuerst die Notwendigkeit des Trackings aus ihrer Sicht, ging dabei aber nicht auf die Notwendigkeit der IDs ein. Die Bahn erklärte stattdessen, dass mit Optimizely getrackt wird, was für Rubriken man aufruft oder wie lange man an einer bestimmten Stelle verweilt. Sie begründet das mit der Optimierung der App. -Adobe Analytics wird eigesetzt, um zu sehen, wann wie viele Menschen auf die Server der Bahn zugreifen. Damit könnte, wenn viele die App nutzen, sichergestellt sein, dass alle die Informationen angezeigt bekommen- +Adobe Analytics wird eigesetzt, um zu sehen, wann wie viele Menschen auf die Server der Bahn zugreifen. Damit könnte, wenn viele die App nutzen, sichergestellt sein, dass alle die Informationen angezeigt bekommen. Mit CrashLytics werden automatisiert Fehlerberichte versendet, wenn die App abstürzt. Begründet wird das damit, dass Tickets nicht nur gekauft werden sollen, sondern auch angezeigt werden müssen. -Das Tracking mit eindeutigen IDs sehe ich sehr kritisch, da die Bahn so detaillierte Nutzerprofile erstellen kann, auch wenn sie das abstreitet. -Auch ein anonymisiertes Tracking sollte auf jeden Fall nur bei einer Einwilligung passieren und nicht als technisch notwendig gelten. -Optimierungszwecke sind ja nicht "technisch notwendig", sondern nur eine Bestrebung der Bahn, die App besser zu machen. -Die Begründung der Bahn zu Adobe Analytics finde ich dumm, da die Bahn nicht schnell mal einen neuen Sever aufsetzen kann, wenn viele auf die App zugreifen. Außerdem können sie auf ihren eigenen Systemen selber sehen, zu welcher Zeit wie viele Menschen auf welche Teile zugreifen. -Optimizely sehe ich sehr kritisch, da dort genau getrackt wird, wie lange man in welcher Rubrik der App bleibt. Dies könnte die Bahn auch nur mit Zustimmung machen, dass manche der Bahn helfen, wenn sie informiert einwilligen, oder die Bahn testet alles intern. -Die Begründung von CrashLytics ist eher komisch, da die App hoffentlich nicht crasht, wenn man ein Ticket anzeigen möchte. Das muss die Bahn schon selbst testen, bevor sie eine neue Version veröffentlichen. - Digitalcourage erwiderte daraufhin, dass die IDs nicht nötig seien und mit diesen es möglich sei, detaillierte Nutzerprofile zu erstellen. Die Anwälte der Bahn reagierten sehr aggressiv und bestritten die Möglichkeit, anhand der IDs Nutzerprofile zu erstellen. Nach einer kurzen Zwischenpause kamen die Richter zum Schluss, dass es eine weitere Verhandlung geben sollte, wo ein Techniker der Bahn sowie ein Sachvertändiger geladen werden sollen. Der Zwischenstand der Richter ist, dass sie Adobe Analytics kritisch, Optimizely sehr kritisch und CrashLytics eher nicht schlimm finden. -Das liegt vor allem daran, dass mit Adobe Analytics und Optimizely ein genaues Tracking der aller Aktivitäten in der App stattfindet, wobei mir CrashLytics nur Fehlerberichte gesendet werden. -Ich sehe bei allen drei das Problem, dass immer die genaue ID des Benutzes mitgeschickt wird und die Bahn somit die Möglichkeit hat, Nutzerprofile zu erstellen. Alle drei sollten also höchstens nach einer Einwilligung genutzt werden und auf keinen Fall als technisch notwenig gelten. +Das liegt vor allem daran, dass mit Adobe Analytics und Optimizely ein genaues Tracking aller Aktivitäten in der App stattfindet, wohingegen mit CrashLytics nur Fehlerberichte gesendet werden. +Ich sehe bei allen drei das Problem, dass immer die genaue ID des Benutzers mitgeschickt wird und die Bahn somit die Möglichkeit hat, Nutzerprofile zu erstellen. Alle drei sollten also höchstens nach einer Einwilligung genutzt werden und auf keinen Fall als technisch notwenig gelten. Der nächste Termin soll Anfang / Mitte Juli stattfinden. + +## Zusammenfassung +