Die Schweizerischen Bundesbahnen (SBB) bieten Werbeflächen nicht nur an Bahnhöfen an, sondern ermöglichen auf ihrer Website und in Apps das Schalten von «Werbung mit umfassenden Targetingmöglichkeiten».
Die SBB versprechen, werbende Unternehmen könnten ihre Zielgruppen unter den Passagieren kontextorientiert sowie profil- oder standortbasiert zielgenau erreichen.
Die SBB versprechen weiter, dank «IP-Targeting» könnten Unternehmen auch «Kundengruppen im Ausland ansprechen, bevor sie in der Schweiz weilen», zum Beispiel «Kunden aus dem asiatischen Raum».
Werbende Unternehmen können Passagiere und andere Nutzer von Apps und Website der SBB insbesondere gemäss folgenden Kriterien ansprechen:
- Alter, Geschlecht und / oder Wohnort
- Aufenthaltsort bei App- / Website-Nutzung
- Abfahrts- und / oder Ankunftsort
- Abfahrts- und / oder Ankunftszeit
- Nationale oder internationale Verbindung
- Halbtax-Abo sowie 1. Klasse oder 2. Klasse
Die entsprechenden Daten stammen aus dem Tracking der Kunden der SBB beziehungsweise der App-Nutzer und Website-Besucher. So heisst es in den Erklärungen zur «Werbung auf SBB.ch» unter anderem:
«Wir nutzen bei eingeloggten Benutzern Daten wie Alter, Wohnort und Geschlecht sowie Reiseinformationen wie Abfahrtsort, Abfahrtszeit, Abfahrtsdatum, Abfahrtstag, Ankunftsort, Ankunftszeit, Ankunftsdatum, Ankunftstag, Reiseklasse und ungefähren Standort. Darüber hinaus können Informationen über das verwendete Gerät in Erfahrung gebracht werden. […]»
Gleichzeitig bemühen sich die SBB, das Tracking als datenschutzfreundlich darzustellen und schreiben unter anderem:
«Werden meine Daten für Werbeanzeigen verwendet?
Ja, allerdings unter strengster Berücksichtigung der Auflagen des Schweizer Datenschutzgesetzes. Dabei wenden wir dieses sehr restriktiv an und nutzen sogenannte persönlichkeitsidentifizierende Merkmale ausdrücklich nicht. […]»
«Totalüberwachung der Reisenden» oder nur ein «Missverständnis zum Begriff ‹Kundendaten›»?
Kritik an diesem Tracking äusserte unter anderem Volker Birk, Mitglied im Chaos Computer Club (CCC). Birk schreibt von einer «Totalüberwachung der Reisenden» und wirft den SBB vor, ihre Kunden an den Meistbietenden zu «verhökern».
Die Kritik veranlasste Peter Kummer, den Chief Information Officer (CIO) der SBB, zu einer E-Mail-Replik an Volker Birk:
In seiner E-Mail wiederholt Kummer, die SBB würden für ihr Targeting ausschliesslich «Daten verwenden, die keine persönlichkeitsidentifizierenden Merkmale umfassen» und «keine Rückschlüsse auf einzelne Personen ermöglichen, auch nicht über zugeschnittene Nutzersegmente wie z.B. ‹Pendler›, ‹Wohnort›, ‹Geschlecht›.» Weiter freut sich Kummer, «ein allfälliges Missverständnis zum Begriff ‹Kundendaten› aufgelöst zu haben.»
Was sind «persönlichkeitsidentifizierenden Merkmale»?
Im Datenschutzrecht spricht man von Personendaten (schweizerisches Datenschutzgesetz, DSG) oder personenbezogenen Daten (Datenschutz-Grundverordnung, DSGVO):
- Personendaten sind «alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen» (Art. 3 lit. a DSG).
- Personenbezogene Daten sind «alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind» (Art. 4 Ziff. 1 DSGVO).
Aus Sicht der SBB gelten beispielsweise Namen, Wohnadressen, Telefonnummern und E-Mail-Adressen als «persönlichkeitsidentifizierenden Merkmale». Solche Personendaten werden nach Angaben der SBB nicht für das Targeting von Werbung an SBB-Kunden verwendet.
Bemerkenswert ist, dass die SBB im Zusammenhang mit Werbung weder von «Personendaten» noch von «bestimmbaren Personen» schreiben, sondern lediglich betonen, es sei «kein Rückschluss auf eine bestimmte Einzelperson möglich».
Passend dazu betont Peter Kummer als CIO der SBB, auch Targeting-Kriterien wie Geschlecht oder Wohnort würden «keine Rückschlüsse auf einzelne Personen ermöglichen». Die SBB erklären in diesem Zusammenhang unter anderem:
«[…] Die Daten werden zudem so weit anonymisiert, dass kein Rückschluss auf eine bestimmte Einzelperson möglich ist. So wird beispielsweise Hans Sutter, 50 Jahre, der sich aktuell in Bern aufhält und eine Verbindung nach Zürich sucht, als männlicher Reisender nach Zürich erkannt. […]»
Wieso aus Angaben wie Alter, Geschlecht und Wohnort kein solcher Rückschluss möglich sein soll, lassen die SBB offen. Gemeint ist allenfalls, dass die SBB darauf verzichten, die vorhandenen Daten für einen Rückschluss auf bestimmte Einzelpersonen zu verwenden. Aber wenn Werbung an männliche Personen, die 50 Jahre alt sind, sich aktuell in Bern aufhalten und eine Verbindung nach Zürich suchen, ausgespielt werden soll, dann müssen die SBB wissen, dass Hans Sutter diese Kriterien erfüllt, um ihm die «passende» Werbung anzeigen zu können.
Für das Targeting im Auftrag von werbenden Unternehmen ist ein solcher Rückschluss auch gar nicht erforderlich. Für die eigene Werbung hingegen nutzen die SBB die Daten von Kunden einschliesslich «Klickverhalten», sofern kein Widerspruch («Opt-out») erfolgt.
Gelingt den SBB die anspruchsvolle Anonymisierung von Personendaten?
Mit Blick auf das DSG und insbesondere die DSGVO ist es anspruchsvoll, die Personendaten aus dem App- und Website-Tracking zu anomyisieren, so dass sie keine Personendaten mehr darstellen. Man muss den SBB glauben, dass ihnen diese anspruchsvolle Anonymisierung gelingt.
Interessant ist im Übrigen, dass die SBB zwar Personen im Ausland tracken, aber gemäss ihrer Datenschutzerklärung offensichtlich davon ausgehen, die DSGVO nicht anwenden zu müssen. Das ist überraschend:
Die SBB bieten einerseits ihre Leistungen unter anderem Personen im Europäischen Wirtschaftsraum (EWR) an und beobachten andererseits das Verhalten von Personen im EWR. Gemäss Art. 3 Abs. 2 DSGVO müssten sich die SBB in Bezug auf solche Personen der DSGVO unterwerfen und voraussichtlich auch einen EU-Datenschutz-Vertreter gemäss Art. 27 DSGVO benennen. Cookie-Banner oder sonstige Versuche, allenfalls erforderliche Einwilligungen gemäss DSGVO und EU-Cookie-Richtlinie einzuholen, sind auf der SBB-Website auf Anhieb nicht ersichtlich.
Ob die SBB ihre Kunden tracken sollen, um Einnahmen mit Targeting und Werbung für andere Unternehmen zu erzielen, ist eine politische Frage. Im heutigen Ergebnis zahlen SBB-Kunden für ihr Billett nicht nur beim Kauf, sondern auch mit ihren Daten bei der Nutzung von Apps und Website der SBB – ähnlich wie bereits beim Public WLAN-Angebot der SBB.
Bild: Pixabay / Andi_Graf , Public Domain-ähnlich.