Source: https://www.addendum.org/datenhandel/der-weg-der-daten/
Timestamp: 2020-02-16 20:22:51
Document Index: 149628834

Matched Legal Cases: ['§ 151', '§ 151', '§ 151', '§ 151', 'Art 15', 'Art. 15']

Der Weg der Daten - Addendum
Viele Unternehmen handeln mit Daten und generieren Digitale Identitäten. Am Beispiel der Österreichischen Post zeichnen wir den Weg der Daten nach und hinterfragen die Rechtmäßigkeit des Adresshandels.
Der Handel mit Daten floriert. Nicht nur bei Facebook und Cambridge Analytica03 oder bei der Schufa in Deutschland, sondern auch in Österreich. Während hierorts allerdings noch von „Adresshandel“ gesprochen wird, dreht sich das Geschäft mittlerweile um mehr als um Straße, Postleitzahl und Ort. Gesammelt wird fast alles, was Web und Statistik hergeben: persönliche Präferenzen und Einstellungen, Kaufleidenschaften sowie teilweise auch sensible Daten wie die politische Affinität01. Im Ökosystem Datenhandel werden damit „digitale Identitäten“ generiert, um Personen in der virtuellen Welt zu kategorisieren und sie für Marketingzwecke besser positionieren und verkaufen zu können.
Wir haben an österreichische Unternehmen mehr als hundert DSGVO-Auskunftsbegehren gestellt. Am Beispiel der Österreichischen Post AG zeichnen wir den „Weg der Daten“ nach und hinterfragen, ob beim Sammeln der Datensätze alles rechtmäßig zugeht.
Viele Unternehmen – wie auch die Österreichische Post AG – sammeln und speichern Daten ihrer Kunden. Adresshändler – wie ebenfalls die Post – verkaufen diese an interessierte Unternehmen weiter.
Eine digitale Identität ist eine Abbildung einer realen Person oder eines physikalischen Objekts in einer eindeutig identifizierbaren Datenform.
Unterschiedliche Ebenen der digitalen Identität: Selbst zur Verfügung gestellte Daten für die eindeutige Identifizierung in beispielsweise sozialen Netzwerken, Identitäten, die von Unternehmen auf Basis bereits eingegebener Authentifizierungsmerkmale berechnet und erweitert werden oder z.B. digitale Identitäten von staatlicher Seite.
Daten bereitstellen und Daten sammeln
Der „Weg der Daten“ – auch „Informationsanreicherung“ genannt – durchläuft im Großen und Ganzen folgende Schritte: Bereitstellen der Daten durch den User oder durch öffentliche Listen, Datensammlung, Verketten, Auswertung und Generieren von Entscheidungen. In diesem Prozess werden die Daten Schritt für Schritt veredelt und letztlich zu wertvollen und exklusiven Profilen zusammengefasst.
13 min07.01.2019
Daten sammeln und zu bearbeiten, ist nicht besonders schwierig. Man braucht nicht einmal immer die Zustimmung der jeweiligen Person: Aus Unternehmenssicht ist es lediglich notwendig, das Gewerbe des Adresshändlers auszuüben, das in § 151 definiert wird. Angehörigen dieses Gewerbes können beispielsweise bereitgestellte Daten in öffentlichen Listen sammeln: Das kann ein Eintrag aus dem öffentlichen Telefonbuch sein, aus dem Name, Adresse oder Telefonnummer entnommen werden. Diese wenigen Daten dienen als Fundament, um darauf in den nächsten Schritten ein steckbriefartiges Datengerüst über die jeweilige Person aufzubauen. Adresshändler agieren von sich aus und sind nicht darauf angewiesen, dass Personen selbst durch Dateneingabe aktiv werden.
Außerdem können Daten auch direkt von Personen durch die Anmeldung zu Newslettern, durch die Teilnahme bei Gewinnspielen oder durch Registrierung oder die Auswertung des Kaufverhaltens in Online-Services gewonnen und gespeichert werden. Dabei wird die Rechtmäßigkeit der Datenverarbeitung in Artikel 6 Abs 1a DSGVO klar geregelt und unterscheidet sich vom Adresshandel: Eine aktive Zustimmung zur Speicherung ist dabei aus Kundensicht unbedingt notwendig.
Auch die Österreichische Post AG sammelt Kundeninformationen von fast jedem Österreicher und hat sich dadurch eine der größten Datensammlungen in Österreich aufgebaut. Rechtsgrundlage für das Speichern der Zustelladresse ist das Postmarktgesetz, damit Briefe und Pakete überhaupt an den Empfänger geliefert werden können. Im Auskunftsbegehren der Post finden sich daher neben zugestellten Paketsendungen auch Daten von Lichtbildausweisen, mit dem eingeschriebene Briefe bei der Post entgegengenommen wurden, oder auch die E-Mail-Adresse, mit der bei Amazon bestellt worden ist.
Zusätzlich sammelt die Post Kundendaten aus ihrem eigenen Ökosystem: Neben Gewinnspielen und Newslettern gibt es post.at, den E-Brief oder als Sonderfall den Nachsendeauftrag. Dieser gewährleistet der Post, stets aktuelle Adressdaten ihrer Kunden zu besitzen, denn jährlich ziehen rund 300.000 Österreicher um. Als Adresshändler – welcher die Post auch ist – ist das ein entscheidender Wettbewerbsvorteil, um ihre „digitale Identitäten“ mit aktueller Adresse an Unternehmen weiterverkaufen zu können. Darüber hinaus bedient sich die Post bei anderen Adresshändlern, um ihre bestehenden Kundenprofile mit einer Menge an zusätzlichen interessanten Daten zu erweitern und um ihre eigenen Userprofile zu berechnen. Diese Daten werden in unterschiedlichen Datenbanken gespeichert und im späteren Verlauf für weitere Berechnungen herangezogen.
Das Geschäft der Adresshändler
Die Illustration zeigt den Weg der Daten am Beispiel der Post. Die Post – als Adresshändler – erhält und schickt Daten an andere Adresshändler wie bspw. ProfileAdress oder AZ direct (orange Kreise). Adresshändler generieren ihre Daten aus unterschiedlichen Quellen: Analysen, Statistiken, Hochrechnungen (graue Kreise) oder direkt aus Usereingaben (violette Kreise). Nachdem Adressen und Daten aufbereitet, veredelt und marketingtauglich gemacht wurden, finden sie ihren Weg zu interessierten Kunden (türkise Kreise).
Die Adresshändler
Adresshändler spielen für die Datensammlung eine wesentliche Rolle. Datenhändler reichern bereits vorhandene Datensätze durch Informationen an, die sie aus unterschiedlichen Quellen beziehen. Adresshändler gibt es in Österreich viele. Die größten sind neben der Post Herold, ProfileAddress und AZ direct. Die beiden Letztgenannten spielen im „Weg der Daten“ – nicht nur bei der Post – eine entscheidende Rolle:
Von ProfileAdress, einem Datenhändler aus Wien, erhält die Post regelmäßig aktuelle Adressen ihrer Kunden. Zusätzlich liefert ProfileAdress Informationen zum jeweiligen Bezirk, zur Gemeinde, zum Zählsprengel, zur Lebensphase zum Ausbildungsgrad oder zur Altersklasse.
AZ direct (vormals Arvato), ein Unternehmen der Bertelsmann-Gruppe, liefert der Post noch mehr personalisierte Informationen: Neben dem Partnerschaftsstatus, der Erwerbsart, der Funktionsstufe oder dem Mindestjahreseinkommen werden sogenannte Geo-Sinus-Milieus mitgeliefert. In den Geo-Sinus-Milieus werden Personen anteilsmäßig zehn Zielgruppen zugeordnet (z.B. Konservativ, Traditionell, Performer, Konsumorientierte Basis etc.).
In den seltensten Fällen werden Daten von Adresshändlern von den jeweiligen Personen selbst generiert: Dabei handelt es sich meistens um statistische Wahrscheinlichkeiten und Annahmen, um Hochrechnungen und Einstufungen, die den Kunden zugewiesen werden. Kunden bekommen von diesem „Veredelungsprozess“ der digitalen Identitäten nichts mit und können in diesen Prozess nicht immer rechtzeitig eingreifen. Diese berechneten Daten müssen daher nicht unbedingt dem realen Abbild entsprechen, wenn sie bereits an andere Kunden weitergegeben worden sind.
ProfileAdress und AZ direct finden nicht nur bei der Post ihre Abnehmer. AZ direct liefern ihre hochgerechneten Daten auch an Wirtschaftsauskunfteien (CRIF, KSV 1870 oder Bisnode), welche die Grundlage zur Auskunft über Bonität und Kreditwürdigkeit einzelner Person geben. Auf der anderen Seite beliefert auch die Post auch andere Adresshändler wie ProfileAddress mit Daten.
Wie kommen Adresshändler zu Informationen?
Adresshändler aggregieren ihre Daten meistens aus öffentlich zugänglichen Listen wie Telefonbüchern, Websites, Presseberichte, Firmenlisten, Auskunfteien sowie von anderen Adresshändlern. Daten werden dabei als Datensätze gespeichert und in Kategorien Personen zugeordnet. Dafür braucht es von der jeweiligen Person keine Zustimmung, sondern einen Widerruf, um die Aufbereitung zu stoppen. Die Methoden sind dabei – wie am Beispiel AZ direct und ProfileAdress – ziemlich ähnlich:
Daten werden auf Basis von Geschlecht, Alter, Nachnamen der weiteren im Haushalt lebenden Personen berechnet
Einkommen werden auf Basis von statistischen Daten wie Gemeindekaufkraft, Durchschnittseinkommen je regionalstaatlichem Raster, Alter, Geschlecht und akademischen Grad berechnet
Lebensphasen werden aufgrund von Geschlecht, Alter, Nachnamen weiterer im Haushalt lebenden Personen und Wohnumgebung errechnet
Personenbezogene Daten werden persönlich recherchiert und statistisch hochgerechnet
Recherchen in öffentlichen Registern, im Internet, in Tageszeitungen und Wochenmagazinen
Vergleich verschiedener Datenquellen
Bereitgestellte Datensätze auf Basis § 151 Gewerberecht von AZ direct mit den Geo Sinus Milieus, die u.a. auch die Österreichische Post AG erhält (Auszug)
Bereitgestellte Datensätze auf Basis § 151 Gewerberecht von ProfileAddress, die u.a. auch die Österreichische Post AG erhält (Auszug)
Verkettung und Auswertung der Daten zur digitalen Identität
Um mit den gesammelten und zugekauften Daten weiterarbeiten zu können, werden die Teilidentitäten mit der jeweiligen Person „verkettet“. Das ermöglicht Unternehmen, nun selbst auf einer breiteren Datenbasis Analysen und Profile ihrer Kunden zu erstellen.
Am Beispiel der Post werden im Lauf dieser Wertschöpfungskette eine Menge „marketingfähige Daten“ berechnet. Dabei werden Kunden mithilfe personenbezogener Daten in Zielgruppen eingeteilt und so für die Datenweitergabe und den Mailversand kategorisiert:
Es gibt beispielsweise eine Laufaffinität, für die Teilnehmer- oder Ergebnislisten von Sportveranstaltungen herangezogen werden.
Kritischer wird es bei der Parteiaffinität01, die zu den sensiblen personenbezogenen Daten lt. DSGVO zählt und ohne Einwilligung der Kunden weder berechnet noch gespeichert werden darf. Die Parteiaffinität wird anhand statistischer Werte wie Wahlergebnisse im jeweiligen Zählsprengel, Wohnort und Ergebnisse von Befragungen eines statistisch repräsentativen Bevölkerungsquerschnitts erhoben. Das Verfahren ist ähnlich wie bei den Hochrechnungen an Wahlabenden.
Nachtaktivität und Bioaffinität werden anhand des Geburtsdatums, des Wohnorts und von Ergebnissen von Befragungen eines statistisch repräsentativen Bevölkerungsquerschnitts erhoben.
Die Post analysiert auch den eigenen Brief- und Paketversand personenbezogen und gibt die Paketfrequenz sowie die Anzahl der erhaltenen Pakete in unterschiedlichen Zeiträumen an. Dabei gibt ein kumulierter Wert die Distanzhandelaffinität an. Inhalte der Postsendungen werden nicht gespeichert – sehr wohl aber mitgelieferte Empfängerdaten wie die eigene Bestell-E-Mail-Adresse, die bei Amazon verwendet wird.
Die Post erwähnt in diesem Zusammenhang ausdrücklich, „dass diese Ergebnisse lediglich statistische Affinitäten abbilden und keinen tatsächlichen Rückschluss auf Ihr tatsächliches Verhalten zulassen“. Tatsächlich werden diese Affinitäten in einer Art Steckbrief personenbezogen gespeichert – also Personen direkt zugeordnet – und an Unternehmen und Adresshändler weitergegeben.
Dass diese Berechnungen der Post nicht immer korrekt sind, zeigt eine redaktionsinterne Recherche der Auskunftsbegehren von 30 Personen: Lediglich zwei Drittel aller von der Post berechneten marketingfähigen Daten sind korrekt, bei den Parteiaffinitäten stimmen lediglich rund 50 Prozent.
Die Post ist mit der Generierung von marketingrelevanten Daten nicht alleine: Auch Herold liefert als Adresshändler eine umfangreiche Adressdatensammlung mit soziodemografischen und personenbezogenen Merkmalen.
Berechnete Affinitäten bei der Post
Berechnete Affinitäten bei Herold
Weitergabe der digitalen Identitäten
Im letzten Schritt der Informationsgewinnung werden die generierten Profile und Datensätze für eigene Marketingzwecke verwertet. Adresshändler generieren mit diesen Daten auch Umsatz. Bei der Österreichischen Post werden Adressdaten verleast, vermietet oder verkauft sowie als Grundlage für den postalischen Versand von Marketingsendungen verwendet. Die Kosten von einem einfachen Adressdatensatz (Adresse ohne Telefonnummer) bei einmaliger Nutzung und Miete liegen bei 0,09 Euro. Greift man auf alle drei Millionen Adressen in Österreich zu, werden dafür 270.000 Euro verrechnet.
Für spezielle Anforderungen, die über den einfachen Adresshandel hinausgehen, gibt es bei der Post einen speziellen Service: Daten sowie Adressen der generierten Zielgruppen und Affinitäten können erworben werden. So gibt es auch Unternehmen, die neben den Adressdaten auch personenbezogene Daten erhalten haben. Weitergegeben wurden dabei von der Post in den meisten Fällen die von AZ direct zugekauften und bereinigten persönlichen Daten mit den entsprechenden Geo-Sinus-Milieus. Im Rahmen der Auskunftsbegehren haben wir herausfinden, dass die Post Adressen u.a. an Ikea, Verbund, Wirtschaftsbund und Parteien (SPÖ, ÖVP, NEOS, Grüne) weitergibt bzw. weitergegeben hat. Interessant dabei: In manchen Fällen konnten wir nachweisen, dass auch die berechneten Parteiaffinitäten an Kunden weitergegeben wurden01, für die es allerdings als besonders sensible Daten eine gesonderte Zustimmung der Kunden braucht, wie die Datenschützern von epicenter.works meinen. Die Post sieht es anders: „Parteiaffinität ist keine politische Meinung. Daher braucht es auch keine aktive Zustimmung.“
Aufbereitete digitale Identitäten können über Zielgruppen bei der Post als (Adress-)Daten erworben werden (Beispiel: Bio-affinität).
Bild: Screenshot | post.at
Aufbereitete Digitale Identitäten können über Zielgruppen bei der Post als (Adress-)Daten erworben werden (Beispiel: Lauf-Affinität).
Im Adresshandel verschwimmen die Grenzen zwischen Speicherung und Weitergabe von Daten. Während die DSGVO die aktive Eingabe von Userdaten mit einer aktiven Einwilligungserklärung vorsieht, können Adresshändler auf Basis § 151 Gewerbeordnung personenbezogene Daten aus allen möglichen Quellen aggregieren und Userprofile ohne Zustimmung der User aufbauen und weitergeben, sofern nicht widersprochen wird. Die DSGVO ist streng geregelt, wenn es um die Datenein- und -weitergabe und die Datenspeicherung geht. Auf der anderen Seite genießt der Adresshändler noch große Freiheiten, worauf in den Auskunftsbegehren sehr gerne hingewiesen wird.
Der Adress- und Datenhandel in Österreich spielt sich nach unseren Recherchen größtenteils im rechtlich legalen Bereich ab, sofern eben nicht mit sensiblen Daten ohne Zustimmung der User gehandelt wird. Allerdings ist man „mittlerweile drei Schritte vom Adresshandel weiter“, so Datenschutzexperte Anderl. „Wir sind weit weg von früher, wo es darum ging, Name, Adresse und Telefonnummer zu speichern, hin zu viel komplexeren Datenstrukturen und somit weit weg vom Adresshändler. Es sind nicht mehr einzelne Adressverlage, sondern es ist zwangsläufig mittlerweile jedes Unternehmen irgendwo in diesem Bereich tätig, in welcher Form auch immer. Es wäre wahrscheinlich moderner, wenn man sich Gedanken darüber macht, wie Datenhandel legitim gemacht werden darf und wo die Grenzen sind.“
Die Weitergabe der Daten zwischen Unternehmen und den einzelnen Adresshändlern ist zwar genau geregelt, im Detail scheint eine vollständige Transparenz und Nachvollziehbarkeit zu fehlen. Aus den DSGVO-Auskunftsbegehren geht nicht immer klar hervor, an wen welche Daten geliefert werden bzw. wer welche Daten erhalten hat.
Ein Grund dafür ist, dass Vertragsverhältnisse im Adresshandel oft einmalig oder nur für wenige Monate abgeschlossen werden. Nach Vertragsende werden sämtliche Daten und Teilidentitäten beim Absender und Empfänger gelöscht und scheinen demnach nirgendwo auf. Gewisse Unternehmen bzw. Adresshändler werden daher nicht im Auskunftsbegehren angeführt, „da wir zum Zeitpunkt Ihrer Anfrage aufgrund der Beendigung des diesbezüglichen Vertragsverhältnisses keine Daten mehr übermittelt haben“, so die Auskunft eines Adresshändlers.
Weiters können nach Art 15 Abs 1 lit c DSGVO auch nur Kategorien von Empfängern bekannt gegeben werden, ohne näher auf Details einzugehen. Ein weiterer Grund für eine nicht vollständige Transparenz ist, dass in den Auskunftsbegehren die weitergegebenen bzw. erhaltenen Daten nicht vollständig angegeben werden.
Sofern personenbezogene Daten nicht von Personen selbst eingegeben werden, ist die Wahrscheinlichkeit hoch, dass diese Daten und berechnete digitale Identitäten nicht mit der Realität übereinstimmen. Datensätze in Profilen basieren auf Wahrscheinlichkeiten, Hochrechnungen und statistischen Berechnungen, werden nicht im Vorhinein von den jeweiligen Personen „korrekturgelesen“, sondern können erst im Nachhinein beanstandet werden. Also dann, wenn die vermeintlich falschen Daten bereits im Adresshändler-Netzwerk hin- und hergeschoben werden und bei einem anderen Unternehmen zur Marketinganalyse oder Kreditbewertung verwendet werden.
Allerdings: Der Adress- und Datenhandel in Österreich spielt sich nach unseren Recherchen im rechtlich legalen Bereich ab, sofern eben nicht mit sensiblen Daten ohne Zustimmung der User gehandelt wird.
Datenschutzexperte Axel Anderl zum Adresshandel:
Wie kann ich aus dem Adresshandel aussteigen?
Die DSGVO räumt ein Recht auf Berichtigung, Ergänzung über alle zur Person verarbeiteten Daten ein. Des Weiteren stehen jedem Betroffenen ein Löschungsrecht und ein Recht auf Einschränkung der Verarbeitung zu.
Die Einwilligung zur Datenverarbeitung beim jeweiligen Unternehmen kann widerrufen werden. Ein genereller Stopp der Datenweitergabe von Adresshändlern ist über einen Eintrag in die Robinsonliste möglich. Adressverlage sind gesetzlich dazu verpflichtet, Daten periodisch gegen dieses Sperrverzeichnis abzugleichen und die betroffenen Datensätze nicht mehr zu verwenden.
Ein Eintrag in die Robinsonliste bedeutet allerdings nicht, dass Unternehmen keine Daten von der jeweiligen Personen mehr sammeln und Profile generieren dürfen. Der Eintrag in die Robinsonliste mit entsprechenden Daten (Name, Adresse etc.) wird weitergegeben und im Auskunftsbegehren personenbezogen gespeichert – wie auch in unserem Fall bei der Österreichischen Post. Das heißt auch, dass der Briefträger bei der Postzustellung Kunden weiterhin telefonisch kontaktieren oder ihnen über WhatsApp ein persönliches Neujahrsvideo schicken kann – wie es einem unserer Autoren passiert ist.
Eintrag in der Robinsonliste mit personenbezogenen Daten (Beispiel aus einem Auskunftsbegehren)
Bringt der Eintrag in der Robinson-Liste keinen Erfolg, hilft nur mehr der Weg zur Datenschutzbehörde. Das 34-köpfige Team sorgt für die Einhaltung des Datenschutzes in Österreich und nimmt Beschwerden bei Übertretung der DSGVO-Richtlinie entgegen. Im Zeitraum 25. Mai bis 3. Dezember 2018 wurden in Österreich 1.296 Beschwerden eingereicht – 120 Verwaltungsstrafverfahren sind derzeit im Laufen. „Die Höchststrafe beträgt bis zu vier Prozent vom gesamten weltweiten Jahresumsatz eines Unternehmens. Die bisher maximal verhängte Strafe lag bei 4.800 Euro zuzüglich 480 Euro Verfahrenskosten – vier Strafen und zwei Abmahnungen wurden ausgesprochen“, lautet die Information von Dr. Matthias Schmidl, dem stellvertretenden Leiter der österreichischen Datenschutzbehörde.
Im Zeitraum 25. Mai bis 3. Dezember 2018 wurden insgesamt 1.296 Beschwerden eingereicht. 75 Fälle wurden von der Zeit vor dem 25. Mai mitgenommen. Diese Beschwerden teilen sich wie folgt auf:
836 Beschwerden kommen aus dem Inland (Beschwerdeführung und Beschwerdegegner ist im Inland).
145 Beschwerden mit Auslandsbezug (Beschwerde wird in Österreich eingebracht, Behörde liegt innerhalb der EU und außerhalb von Österreich).
315 Beschwerden wurden im EU-Ausland eingebracht. Eine Verfahrenspartei sitzt in Österrreich.
Quelle: Datenschutzbehörde (persönliche Auskunft vom 3. Dezember 2018)
Welche Daten speichern Unternehmen über mich?
Wenn Sie mehr über Ihre gespeicherten Daten bei Unternehmen herausfinden wollen, schreiben Sie ein Ansuchen an die jeweiligen Datenschutzbeauftragten. Im sogenannten Auskunftsbegehren müssen Unternehmen innerhalb eines Monats offenlegen, welche Informationen sie über die jeweilige Person gespeichert haben, wo Daten gespeichert werden oder an wen Daten weitergegeben worden sind.
So kommen Sie zu Ihren Daten:
Schreiben Sie eine E-Mail an Datenschutzbeauftragte eines Unternehmens.
Legen Sie Ihrer Anfrage einen Identitätsnachweis bei (Scan von einem Lichtbildausweis) – eine digitale Signatur ist nicht ausreichend.
Fordern Sie ein „Auskunftsbegehren nach Art. 15 DSGVO“ an.
Um der „Mitwirkungspflicht“ nachzukommen, beschreiben Sie in wenigen Worten Ihre Beziehung zum jeweiligen Unternehmen und wieso möglicherweise Daten über Sie gespeichert sein könnten.
Wenn Sie Ihre Erkenntnis mit uns teilen möchten, schreiben Sie uns ([email protected]). Das ermöglicht uns eine größere Stichprobe und somit aussagekräftigere Auswertungen.
Österreichische Post AG datenschutz@post.at
AZ direct [email protected]
ProfileAddress [email protected]
Herold [email protected]
Unternehmen können die Beantwortungsfrist auf drei Monate ausweiten. Weiters kann es vorkommen, dass Ihre Identität per Mail oder Telefon nochmals überprüft wird. Wenn Sie keine Antwort innerhalb der kommunizierten Frist erhalten können Sie sich an die Datenschutzbehörde wenden.
Addendum_067_02_Datenhandel.zip