Gu­te­n­acht­ge­schich­ten-App: Wieso wird Zugriff auf Nutzer-Dateien benötigt?

Seit einigen Jahren bietet die Mobiliar-Versicherung eine Gu­te­n­acht­ge­schich­ten-App für Android und iOS an («Lernen Sie den knuddeligen Bär von der Mobiliar kennen und erzählen Sie Ihren Kindern viele spannende Geschichten.»).

Auf Twitter weist Daniel Hürlimann, Professor an der Universität St.Gallen (HSG), darauf hin, dass die Android-App behauptet, Zugriff auf Dateien, Fotos und Medien zu benötigen.

Findet man dazu etwas in der Datenschutzerklärung?

Android-App: Nutzungsbedingungen statt Datenschutzerklärung für Nutzer ab drei Jahren

Im «Google Play»-Store, wo die App für Kinder ab drei Jahren als geeignet gilt («PEGI 3»), wird ganz am Ende der Seite unter der Bezeichnung «Privacy Policy» auf https://www.mobiliar.ch/app-disclaimer verlinkt. Diese Seite leitet direkt auf die «Nut­zungs­be­din­gun­gen für die On­line Dienst­leis­tun­gen der Mo­bi­li­ar» weiter und verlinkt damit nicht auf eine Datenschutzerklärung, sondern auf die Vertragsbedingungen für die Nutzung der App.

Recht der Mobiliar, «sämt­li­che Log­in-Da­ten, Zu­grif­fe, Trans­ak­tio­nen, Mu­ta­tio­nen und Be­we­gun­gen des Be­nut­zers auf­zu­zeich­nen, zu spei­chern und bei Be­darf aus­zu­wer­ten».

Angaben zum Datenschutz finden sich immerhin unter Ziffer 11 der Nutzungsbedingungen. Nutzer, die den Nutzungsbedingungen zustimmen, erteilen der Mobiliar-Versicherung demnach folgende Einwilligungen:

• Recht der Mobiliar, «sämt­li­che Log­in-Da­ten, Zu­grif­fe, Trans­ak­tio­nen, Mu­ta­tio­nen und Be­we­gun­gen des Be­nut­zers auf­zu­zeich­nen, zu spei­chern und bei Be­darf aus­zu­wer­ten».
• Recht der Mobiliar, hochgeladene oder zugestellte Daten der Nutzer «in­ner­halb der Grup­pe Mo­bi­li­ar zu Mar­ke­ting­zwe­cken und zur Pfle­ge von be­ste­hen­den und künf­ti­gen Kun­den­be­zie­hun­gen so­wie zu Zwe­cken, die bei der Da­ten­er­fas­sung aus­drück­lich auf­ge­führt sind oder mit der Zu­stel­lung der Da­ten of­fen­sicht­lich zu­sam­men­hän­gen» zu bearbeiten.
• Recht der Mobiliar, «sämt­li­che Log­in-Da­ten, Zu­grif­fe, Trans­ak­tio­nen, Mu­ta­tio­nen und Be­we­gun­gen des Be­nut­zers auf­zu­zeich­nen, zu spei­chern und bei Be­darf aus­zu­wer­ten.»

Weiter verpflichten sich beide Parteien – das heisst auch der jeweilige Nutzer –, «Vor­schrif­ten zum Schutz von Per­so­nen­da­ten (ins­be­son­de­re des schwei­ze­ri­schen Da­ten­schutz­ge­set­zes, nach­ste­hend DSG ge­nannt) zu be­ach­ten» und bei der Bearbeitung von Personendaten «die ge­setz­li­chen Vor­schrif­ten zum Da­ten­schutz und zur Da­ten­si­cher­heit ein­zu­hal­ten und die er­for­der­li­chen Mass­nah­men zu er­grei­fen».

Ausserdem weist die Mobiliar darauf hin, dass «anonyme Trackingdaten» der Nutzung zur Optimierung der App mit Google Analytics erfasst und ausgewertet werden. Als «Out-out»-Möglichkeit verweist die Mobiliar auf das «Browser-Add-on zur Deaktivierung von Google Analytics», das in einer App allerdings nicht funktioniert. Der Text scheint scheint älter zu sein, nachdem noch die frühere Google Inc. erwähnt wird und die Verlinkung zu Google ohne HTTPS-Verschlüsselung erfolgt.

Die Frage, wieso eine eine Gu­te­n­acht­ge­schich­ten-App Zugriff auf die Dateien, Fotos und Medien von Nutzern benötigt, beantworten die Nutzungsbedingungen, nicht.

Kann ein Android-Nutzer nachschauen, ob sich die Antwort direkt in der App findet?

iOS-App: Viel Text für Nutzer ab 17 Jahren, aber kein Zugriff auf Dateien

Im «App Store» von Apple ist die App erst ab 17 Jahren freigegeben. Mit der verlinkten «Privacy Policy» erfüllt die App bereits die künftige Anforderung, dass alle «App Store»-Apps auf eine Datenschutzerklärung verlinken müssen.

«Privacy Policy» führt zu einer Seite unter https://www.mobiliar.ch/versicherungen-und-vorsorge/datenschutz-und-sicherheit. Die Seite zeigt ihren Inhalt ironischerweise erst mit deaktiviertem Adblocker und informiert unter dem Titel «Da­ten­schutz und -si­cher­heit», wann und wie die Mobiliar welche Daten speichert und wie die Mobiliar solche Daten verwendet. Die Gu­te­n­acht­ge­schich­ten-App wird in der Datenschutzerklärung nicht erwähnt.

Als Dienst von Dritten wird ausschliesslich Google Analytics erwähnt. Für Nutzer im Fürstentum Liechtenstein geht die Mobiliar richtigerweise von der Anwendbarkeit der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union (EU) aus und benennt ihre Generalagentur in Vaduz als Datenschutz-Vertreter gemäss Art. 27 DSGVO.

Die iOS-App möchte Benachrichtigungen senden, was man aber ablehnen kann. Auf den ersten Blick verlangt die App eine Registrierung, um «Geschichten und Tipps lesen» zu können. Wer genau hinschaut, entdeckt aber die Möglichkeit «Später anmelden».

Für die Registrierung muss man eine (beliebige) E-Mail-Adresse hinterlegen und ein Passwort setzen. Hingegen ist es nicht notwendig, Nutzungsbedingungen zu akzeptieren und es wird auch keine Datenschutzerklärung verlinkt. Das geschieht erst auf der Seite «Mein Profil», die nach der erfolgreichen Registrierung erscheint und wo man die Anrede sowie Vorname und Nachname hinterlegen kann. Man kann die App aber auch ohne solche Angaben nutzen und wird bei der nächsten Nutzung der App nicht nach einer Einwilligung in die Nutzungsbedingungen gefragt. Die App fragt – soweit ersichtlich – nicht nach dem Alter.

Hingegen ist es nicht notwendig, Nutzungsbedingungen zu akzeptieren und es wird auch keine Datenschutzerklärung verlinkt.

In der App wird unter der Bezeichnung «Datenschutz» im Menü auf einen Text unter dem Titel «Nutzungsbedingungen und Datenschutz» verlinkt. Im Gegensatz zu den bislang erwähnten Datenschutzerklärungen und Nutzungsbedingen wird nicht nur Google Analytics erwähnt, sondern auch auf die Nutzung der Amazon-Cloud hingewiesen und behauptet, der Nutzer der App erkläre sich mit den «Nutzungsbedingungen und den Richtlinien der Amazon Cloud ausdrücklich einverstanden» … Der entsprechende Link führt zum «Amazon Web Services Datenschutzhinweis», der ausschliesslich der Information dient, denn letztlich sei – so Amazon – die englische Fassung massgeblich.

Nutzer, die unter «Mein Profil» auf «Mit der Anmeldung akzeptiere ich die Nutzungs- und Datenschutzbedingungen» tippen, gelangen ebenfalls zum erwähnten «Nutzungsbedingungen und Datenschutz»-Text.

Fazit: Keine Antwort und mindestens ein populärer rechtlicher Irrtum

Die Frage, wieso die Gu­te­n­acht­ge­schich­ten-App für Android behauptet, Zugriff auf Dateien der Nutzer zu benötigen, beantwortet die «Privacy Policy», die im «Google Play»-Store verlinkt ist, nicht.

Allerdings wird gar nicht auf eine Datenschutzerklärung, sondern auf die Nutzungsbedingungen verlinkt. Diese informieren zwar auch teilweise über den Datenschutz, gelten aber – wie jeder Vertrag – nur, wenn beide Parteien, das heisst die Mobiliar und der Nutzer, einwilligen. Da die App ab drei Jahren freigegeben ist, sollte die Mobiliar sicherstellen, dass die Einwilligung durch einen Träger der elterlichen Verantwortung erfolgt.

Die Gu­te­n­acht­ge­schich­ten-App für iOS verlangt – soweit ersichtlich – keinen Zugriff auf Bilder oder andere Dateien der Nutzer. Die Datenschutzerklärung, die im «App Store» von Apple verlinkt ist, erwähnt die App nicht. Die App selbst verfügt – gemeinsam mit Nutzungsbedingen – über eine Datenschutzerklärung, die bei der Nutzung der App aber nicht ohne weiteres auffindbar ist.

Für die rechtsgültige Einwilligung durch Nutzer genügt es nicht, eine solche Einwilligung in einer Datenschutzerklärung oder in Allgemeinen Geschäftsbedingungen (AGB) wie beispielsweise Nutzungsbedingung zu behaupten.

Bei der App zeigt sich ein populärer rechtlicher Irrtum:

Für die rechtsgültige Einwilligung durch Nutzer genügt es nicht, eine solche Einwilligung in einer Datenschutzerklärung oder in Allgemeinen Geschäftsbedingungen (AGB) wie beispielsweise Nutzungsbedingung zu behaupten. Die Einwilligung muss tatsächlich erfolgen, wofür der Anbieter einer App im Zweifelsfall die Beweislast trägt.

Für eine ausschliessliche Datenschutzerklärung hingegen ist keine Einwilligung erforderlich, denn diese dient der Information («Erklärung») und hat grundsätzlich keinen Vertragscharakter. Die Möglichkeit der Information muss aber erkennbar sein, insbesondere durch eine erkennbare Verlinkung der Datenschutzerklärung.

Als Faustregel sollte man nur eine Einwilligung einholen, wenn es erforderlich ist. Die Voraussetzungen für eine rechtsgültige Einwilligung – nicht nur vertragsrechtlich, sondern auch datenschutzrechtlich – sind hoch und werden häufig nicht erfüllt. Im Datenschutzrecht ist vielfach keine Einwilligung erforderlich, sondern es genügt die Information.

Nachtrag

Die Mobiliar-Versicherung schreibt auf Twitter, die App greife «auf keine Daten oder Fotos der User zu» und es scheine sich um ein «Überbleibsel aus einer Testversion» zu handeln. Man werde «so rasch als möglich ein Update einspielen, um dies zu beheben.»

Nach Angaben im «Google Play»-Store wurde die Android-App kürzlich aktualisiert. Als Fehlerbehebung wird die «Entfernung von unnötigen Berechtigungen» genannt.

Bild: Schwei­ze­ri­sche Mo­bi­li­ar Ver­si­che­rungs­ge­sell­schaft AG / Mimos Gutenachtgeschichten (iOS-App, iPhone).