Nichts zu verbergen? – Gegenbeispiel Reisen mit der Deutschen Bahn

Erstaunlich viele Menschen antworten auf die Bemühungen zu mehr Datenschutz und digitaler Privatsphäre immer noch mit der Floskel, sie hätten doch eigentlich nichts zu verbergen. Dahinter steht eine Unkenntnis, was sich schon aus einer kleinen Datensammlung ableiten lässt.

Ich habe vorgestern eine Anfrage nach Datenauskunft gemäß §15 DSGVO an die Bahn geschickt. Ich bin sicherlich kein Freund davon, dieses Recht auf Auskunft als Mittel zur Schikane einzusetzen, aber nach der Geschichte mit dem DB Navigator wollte ich dann doch mal wieder wissen, was die Bahn so speichert und teilt.

Die Auskunft wurde mir bereits gestern erreicht. In zwei separaten Mails gab es ein passwortgeschütztes Archiv und das Passwort. Die Briefe lagen teilweise als Word-Dateien vor, die Daten in Excel-Dateien. Die Geschwindigkeit ist löblich, der Ablauf und die Formate sicher noch optimierungswürdig, aber das sind Klagen auf einem Niveau, das viele Firmen nicht erreichen.

Die Bahn schreibt selbst, dass die Daten unter Umständen nicht vollständig sind, weil das eben ein großer Konzern ist und man ggf. bei der entsprechenden Firmentochter noch separate Anfragen stellen kann. Wirklich belastbar ist die Auskunft wohl vor allem für die DB Vertrieb GmbH. Aber die Daten reichen schon, um hier als Beispiel herzuhalten.

Ich habe eine BahnCard und ich sammle Punkte. Ich kalkuliere Datenschutz immer als Faktor ein, wenn ich überlege, ein Angebot zu nutzen, aber ich bin kein Dogmatiker und es kann dementsprechend auch mal der Vorteil den Datenschutz schlagen. Kostenlose Freifahren alle 1.000 Punkte und der BahnComfort-Status sind so ein Vorteil.

Die DSGVO-Auskunft ergab, dass die Bahn neben den Stammdaten, die für den Vertrag notwendig sind, vor allem die Bahnreisen der letzten drei Jahre zum Quartalsende speichert. Buchungszeit, Transaktionszeit (korreliert scheinbar mit dem Fahrtdatum), gebuchte Klasse, Umsatz und vor allem Start- und Zielbahnhof. Persönlich möchte ich doch erheblich bezweifeln, dass man diese Daten für die Verifikation der Punktezahlen so speichern muss. Da würden auch das Kaufdatum und der Kaufbetrag der Tickets reichen.

Die „Ich hab doch nichts zu verbergen“-Vertreter würden nun sagen: Meine Touren mit der Bahn sind doch unverfänglich.

Das sind sie nur auf den ersten Blick. Selbst aus meinem kleinen Datensatz mit Einträgen (Corona hat hier dankenswerterweise auch für weniger Fahrten gesorgt) lässt sich unfassbar viel ableiten:

• Pendler zwischen zwei Städten
• Vorlaufzeit mit der ich Buche und folglich meine Termine kenne
• Fahrtzeit am Freitag spricht gegen eine 38,5 Std./Woche
• Fahrten innerhalb der Woche, gerne Flexpreis (vielleicht Dienstreisen)
• Zeiträume in denen ich nicht fahre
• Zeiträume in denen ich andere Ziele ansteuere (vielleicht Urlaub)
• Ein kleines Dorf im Norden wird Rund um Weihnachten und Ostern, sowie 1-2 weitere Male im Jahr angefahren (Eltern?)
• Ein Netz von Städten, das ich vorzugsweise Freitagsnachmittags bis Samstag/Sonntag anfahre (Freunde?)

Und das sind Erkenntnisse auf absolut banalem Niveau, bei dem man keine Next-Generation KI auf die Daten losgelassen hat. Dazu kommen all die ganzen Informationen, die sich mittelbar aus Buchungsverhalten, Reiseverhalten und Reisesystemtatik ableiten lassen. Dabei wurden die Daten noch nicht mal mit weiteren Datensätzen der Bahn oder Datensätzen Dritter zusammen geführt.

Mein Mobilitätsverhalten ist nicht sonderlich seltsam und nichts davon ist objektiv gefährlich für die Sicherheit meiner Person (ich pendle ja nicht zwischen Afghanistan und Pakistan) aber ich möchte trotzdem nicht, dass diese Daten erhoben und ggf. sogar noch mit anderen Daten verknüpft werden. Das ist Teil meiner (digitalen) Privatsphäre.

Die Bahn sichert zu, diese Daten nicht mit Dritten zu teilen. Dem muss man vertrauen. Datenschutz durch Datensparsamkeit würde aber bedeuten, diese Daten gar nicht erst zu erheben.

Die Schutzmaßnahmen gegen so eine Datenerhebung sind schwierig. Man kann aufhören, BahnBonus-Punkte zu sammeln und muss dann darauf vertrauen, dass die Bahn die Daten nicht sowieso im Hintergrund erhebt. Man kann nur noch am Automaten mit Bargeld kaufen, was erstens beim Pendeln schwierig ist und zweitens an vielen Provinzbahnhöfen (siehe Dorf im Norden) am fehlenden Automaten scheitert. Ausweichen auf andere Verkehrsmittel bringt nichts. Autos haben heute Unmengen Sensoren und erheben sogar noch mehr Daten. Bei Fluglinien habe ich bisher noch nie eine DSGVO-Anfrage gemacht, weil ich so gut wie nie fliege, aber es besteht wenig Grund zur Hoffnung, dass es ausgerechnet im überwachten internationalen Flugverkehr besser sein sollte.

Jeder Mensch hat etwas zu verbergen, denn es ist sein Leben und nur seines!