Warum kann das Herunterladen von Apps auf mein Smartphone oder das Tablet datenschutzrechtlich problematisch sein?

Christian Thorun: Das Herunterladen von Apps ist nicht per se problematisch. Es gibt viele Apps, die große Mehrwerte für die Nutzer haben und ihren Komfort erhöhen. Wer möchte heute noch Messenger-Dienste, Wetterdienste oder App-Spiele auf seinem Smartphone missen. Problematisch ist, dass es immer wieder Apps gibt, die viel mehr Daten erheben, als es für ihre Nutzung notwendig wäre. Und selbst seriöse Anbieter erklären oft nicht ausreichend und verständlich, welche Daten eine App erhebt und für welchen Zweck diese Daten verwendet werden. In einer online-repräsentativen Befragung haben wir beispielsweise festgestellt, dass 59 Prozent der Verbraucher es schwierig finden zu erkennen, welche Daten eine App für personalisierte Werbung nutzt. 74 Prozent finden es schwierig zu erkennen, welche Daten eine App an Dritte weitergibt. Dieses Bild deckt sich ebenfalls mit den Ergebnissen der Stiftung Warentest, in deren Tests Apps oftmals aufgrund datenschutzrechtlicher Bedenken durchfallen.

Viele Nutzer hinterfragen die App-Berechtigungen nicht. Wie erklären Sie sich das?

Christian Thorun: Es geht nicht nur um die Berechtigungen beziehungsweise Zugriffe auf Standort, Kamera oder Adressbuch. Apps können auch Gerätekennungen oder personenbezogene Daten erheben und diese beispielsweise für Werbung oder Profilbildung nutzen. Verbrauchern sind dabei nicht immer die Konsequenzen der Datenverarbeitungen klar, denn hierfür ist es notwendig, die Datenschutzerklärungen der Anbieter zu lesen. Diese sind oftmals sehr lang und kompliziert gestaltet.

Die Datenschutztexte von Apps für Smarthome-Anwendungen enthalten oftmals viele juristische und technische Fachbegriffe. Dadurch sind sie für den Normalverbraucher meistens schwer lesbar und nicht gut verständlich. Das ist das Ergebnis einer gemeinsamen Studie des ConPolicy-Instituts für Verbraucherpolitik und der Stiftung Neue Verantwortung.

Sie waren maßgeblich an dem vom Bundesbildungsministerium geförderten Forschungsprojekt "PrivacyGuard" beteiligt. Worum ging es bei dem Projekt?

Christian Thorun: Ziel des "PrivacyGuard"-Projekts war es, eine App zu entwickeln, die Verbraucher darüber informiert, wie andere Apps mit ihren persönlichen Daten umgehen: die Datenschutzscanner-App. Darüber hinaus sollte diese App Handlungsmöglichkeiten aufzeigen, die Datenverarbeitungen von anderen Apps entsprechend der eigenen Datenschutzpräferenzen anzupassen.

Das Projekt "PrivacyGuard" lief von 2016 bis 2018 als ein Gemeinschaftsvorhaben des Instituts für angewandte Informatik, mediaTest digital, der Quadriga Hochschule und dem Verein Selbstregulierung Informationswirtschaft. Ziel des Projekts war es, Verbraucherinnen und Verbraucher beim Selbstdatenschutz bei Smartphone-Apps zu unterstützen.

Was kann man sich unter der Datenschutzscanner-App vorstellen?

Christian Thorun: Der Datenschutzscanner bietet Nutzern mehr Transparenz und Kontrolle beim Thema Datenschutz in ihren Apps. Er besteht aus drei Bestandteilen, die im Rahmen des Projekts entwickelt wurden:

1. der technischen Analyse der Datenumgänge. Hierbei wird überprüft, welche Daten tatsächlich von einer App verarbeitet werden.
2. der semantischen Analyse der Datenschutztexte. Das heißt, hier werden die Texte systematisch auf ihre Wortbedeutung hin untersucht und bewertet. Außerdem wird analysiert, für welche Zwecke die Daten erhoben und verarbeitet werden.
3. der verständlichen Aufbereitung von Datenumgängen. Dabei werden die Ergebnisse der technischen und der semantischen Analyse bewertet. Auf dieser Basis werden dem Nutzer dann Handlungsempfehlungen gegeben.

Im Ergebnis erstellt der Datenschutzscanner durch diese Analyse- und Aufbereitungsverfahren einen App-Steckbrief, der kompakt zusammenfasst, welche Daten eine App verwendet und zu welchem Zweck. Ein solcher Steckbrief zeigt zum Beispiel an, ob die App auf Funktionen wie Standort oder Adressbuch zugreift, Gerätekennungen erhebt, Werbenetzwerke integriert, die Daten an Dritte übermittelt und so weiter. Interessiert den Nutzer ein Aspekt besonders, kann er sich detaillierte Informationen ansehen, durchlesen, welche Konsequenzen die Datenverarbeitung hat und was er tun kann, wenn ihm die Datenverarbeitungen nicht gefallen.

Aktuell gibt es den Datenschutzscanner nur als Prototypen. Langfristig soll er jedoch allen Verbraucherinnen und Verbrauchern zur Verfügung stehen. Um ihn zur Marktreife zu bringen, suchen Christian Thorun und sein Team derzeit Finanzierungspartner.

Wie geht der Datenschutzscanner bei der Analyse der Datenschutztexte genau vor?

Christian Thorun: Die semantische Analyse ist eine Funktion, auf die wir im Projekt besonders stolz sind und die einen enormen Mehrwert für Verbraucher bieten kann. Technisch setzt sie auf ein automatisiertes Textanalyseverfahren, mit dessen Hilfe die Auswertung einer Vielzahl von Datenschutztexten in kürzester Zeit möglich ist. Sozusagen ein Algorithmus, der die Texte im Auftrag der Verbraucher automatisch "liest" und auswertet. Auf Seiten der Nutzerinnen und Nutzer wird bei der Nutzung der Analyseergebnisse kein zusätzliches technisches und juristisches Fachwissen vorausgesetzt. In Zukunft streben wir an, diese Funktion auch für Webseiten nutzbar zu machen.

Wenn ich eine App herunterladen möchte, gilt: Daten gegen Nutzung. Welche Möglichkeiten bietet hier der Datenschutzscanner?

Christian Thorun: An dem Geschäftsmodell "Daten gegen Nutzung" kann der Datenschutzscanner zunächst einmal nichts ändern. Allerdings macht er den Nutzern transparent, welche Daten eine App erhebt und zu welchen Zwecken. Nutzer, die zum Beispiel nicht möchten, dass ihre Daten für individualisierte Werbung genutzt oder an Dritte weitergegeben werden, werden vom Datenschutzscanner hierüber informiert. So können sich Nutzer bewusst entscheiden, ob ihnen der "Preis", den sie in Form ihrer Daten bezahlen müssen, zu hoch ist. Auch werden ihnen Hinweise gegeben, wie sie bestimmte Datenumgänge vermeiden können und welche Alternativangebote existieren.

Für wen eignet sich die Datenschutzscanner-App?

Christian Thorun: Prinzipiell ist die Datenschutzscanner-App für alle Verbraucher geeignet – unabhängig davon, welches juristische und technische Vorwissen sie haben. Denn der Datenschutzscanner wurde so entwickelt, dass er nicht nur Datenumgänge erkennt, sondern auch verständlich und nutzerfreundlich aufbereitet. Dadurch können auch Laien verstehen, was passiert. Wer einen Überblick über die eigenen Apps gewinnen, Apps vergleichen oder bewusst mit den eigenen Daten umgehen möchte, kann den Datenschutzscanner nutzen.

Welche Tipps haben Sie zum Umgang mit Apps? Worauf sollten Nutzer achten?

Christian Thorun: Grundsätzlich sollten sich Verbraucher Gedanken machen, welche Datenumgänge für sie persönlich akzeptabel sind und welche Datenumgänge "rote Linien" darstellen. Dies ist sehr individuell – der eine findet individualisierte Werbung beispielsweise gut, der andere vielleicht nicht. Sobald ein Verbraucher sich diesen "roten Linien" bewusst ist, kann er gezielt nach Informationen zu den eigenen Anwendungen, etwa in Medien oder Informationsportalen wie dem "BSI für Bürger" oder mobilsicher.de, suchen.

Darüber hinaus empfehle ich bei der Installation neuer Apps einen persönlichen Plausibilitätscheck. So sollten sich Nutzer einen schnellen Überblick über die erhobenen Daten verschaffen und überlegen, ob die Erhebung für sie plausibel erscheint. Bei der Erhebung von Standortdaten könnte der Plausibilitätscheck etwa lauten: Eine Navigationsapp benötigt den Zugriff auf den Standort, um mich von A nach B zu navigieren – somit ist der Zugriff für mich plausibel. Wenn jedoch eine Notiz-App den Standort erhebt, erscheint der Zugriff nicht plausibel, es sei denn der Anbieter nennt sinnvolle Gründe.