Whatsapp und die Auskunftsrechte, Teil 5: Ein neuer Brief aus Irland

Whatsapp hat sich gemeldet.
Zur Erinnerung: Ich werfe dem Unternehmen eine unzureichende Auskunft über die Verwendung meiner personenbezogenen Daten vor. Diese Position wird vom Bundesdatenschützer gedeckt. (Die ganze Story: Teil 1 Teil 2 Teil 3 Teil 4)

Die Kommunikationswege sind kompliziert. Mein Ansprechpartner sitzt in einem Referat des Bundesdatenschützers, der wiederum mit der für Whatsapp zuständigen irischen Datenschutzbehörde DPC (Data Protection Commissioner) kommunizert, die dann direkt mit Whatsapp Kontakt hat. Nun hat sich Whatsapp in meiner Sache bei der DPC gemeldet. Das Unternehmen gibt offenbar zu, dass die von mir angefragten Daten durchaus personenbezogen sind:

WhatsApp erklärte, dass einige der Metadaten, auf die die DPC Bezug nahm, als Informationen über eine „identifizierbare“ natürliche Person, in diesem Fall Sie, angesehen werden können und daher personenbezogene Daten im Sinne von Art. 4 Abs. 1 DS-GVO darstellen können, auf die das Recht auf Auskunft Anwendung finden würde, sofern keine Ausnahmen anwendbar sind. WhatsApp behauptete jedoch, dass das Recht auf Auskunft nicht anwendbar sei, wenn WhatsApp die personenbezogenen Daten nicht ohne übermäßige oder unmögliche Anstrengungen abrufen kann (Art. 12 Abs. 5 und Art. 15 Abs. 4 DSGVO).

Aus einem Schreiben der irischen Datenschutzbehörde, Dez. 2020


Das Schlupfloch Anstrengung nutzt Whatsapp denn tatsächlich, um meine Daten nicht herausrücken zu müssen.

WhatsApp erklärte, dass es rechentechnisch nicht machbar sei, diese Daten „pro Nutzer“ abzufragen, um Auskunftsersuchen zu erfüllen, und dass WhatsApp diese Daten dementsprechend in dem Output des RYI-Tools in der Antwort auf Ihr Ersuchen auslässt.

Aus einem Schreiben der irischen Datenschutzbehörde, Dez. 2020


Die irische Behörde hat mich um eine Stellungnahme gebeten, ob ich mit Whatsapps Auskunft zufrieden bin. Das bin ich natürlich nicht.
So antwortete ich meinem Ansprechpartner beim Bundesdatenschutzbeauftragten:

Sie können sich vorstellen, dass ich mit der Rückmeldung von Whatsapp nicht zufrieden bin. Die Daten, die Whatsapp im Facebook-Netzwerk und möglicherweise mit externen Firmen teilt – mutmaßlich solchen Unternehmen, die dem Geschäftszweck nach personenbezogene Daten verarbeiten, um daraus z. B. personifizierte Werbung generieren – sind im vollsten Sinne des Wortes personenbezogene Daten und vor allem als solche wertvoll. Es leuchtet mir nicht ein, warum diese Daten Partnern übermittelt werden können, den Nutzer*innen gegenüber aber ein unverhältnismäßiger Aufwand ins Feld geführt wird. Ich bestehe weiterhin auf Auskunft über alle auf mein Nutzerkonto zurückführbaren Inhalts- sowie Metadaten sowie deren Verwendung gemäß meinen Rechten aus der DS-GVO.

Meine Antwort an die/den DPC zur Argumentation Whatsapps, Januar 2021


Die/der DPC versprocht, dass sie meinen Fall weiterhin prüfen wird. Zudem habe ich den Bundesdatenschutzbeauftragten um eine erneute Stellungnahme gebeten. Ich habe das Gefühl, Whatsapp will sich aus seiner Verantwortung stehlen und verheimlichen, welch große Menge Inhalts- und Verbindungsdaten auch jetzt schon gesammelt und zu Geld gemacht werden. Das wäre nicht im Sinne der Datenschutz-Grundverordnung, nicht im Sinne des Schutzes der informationellen Selbstbestimmtheit der Nutzer:innen und in meinen Augen ein ziemlicher Skandal.
Die Geschichte ist hier sicher noch nicht zu Ende.

Kampf gegen Corona: Mit KI und Metadaten?

Seit sich der Coronavirus über die Welt ausbreitet, grüble ich, ob ich meine Haltung zur digitalen Privatsphäre unter Umständen überdenken muss. Ein Gedankenexperiment.

Konkret frage mich, ob die in unseren Smartphones massenweise erhobenen und auf diesen Seiten leidenschaftlich bekämpften Metadaten letztlich nicht doch ihren Sinn haben. Möglichweise könnten ein Schlüssel zur Eingrenzung der Epidemie sein. Das Robert-Koch-Institut (RKI) überlegt beispielsweise, die Standortangaben von Smartphones zu nutzen, um den Weg des Virus ohne aufwändige Befragungen nachzeichnen zu können. Doch die Möglichkeiten einer (grundsätzlich kritischen, möglicherweise aber gebotenen) Auswertung von Metadaten enden hier nicht. Die beispielweise von Whatsapp gesammelten Infos, wer wann wo mit wem kommuniziert, könnten dabei helfen, bei Verdachtsfällen Kontaktpersonen zu ermitteln. Lange Chat-Konversationen zu später Stunde von zu Hause aus deuten auf vertraute Personen hin (Familie/Freund*in/Partner*in), vereinzelte, von außerhalb des Hauses gesendete Nachrichten an Werktagen zwischen 9 und 17 Uhr auf berufliche oder schulische Kontakte.

Weitere Möglichkeiten zur Epidemie-Bekämpfung bietet [das Maschinelle Lernen, genannt:] Künstliche Intelligenz: Die Vorteile der darin verwendeten Künstlichen Neuronalen Netze liegt darin, in großen Datenmengen Muster zu erkennen. In meinem Buch erläutere ich die Funktionsweise und Anwendungsgebiete anhand einiger Beispiele. Auch im Blick auf Corona wird die Technologie eingesetzt. In China wird ein KI-System getestet, auf CT-Aufnahmen einer Verdachtsperson den Virus auszumachen. Dazu gleicht es die Bilder in Sekundenschnelle mit den Aufnahmen von bestätigten Fällen ab. Zum Vergleich: Ein normaler Coronatest dauert mehrere Stunden.

Doch was wäre, wenn ein Computersystem, das mit Maschinellem Lernen arbeitet, sämtliche Metadaten aus den Handys der Bevölkerung z. B. Deutschlands erhielte? Es könnte vermutlich in Echtzeit aufzeigen, wo das Virus besonders aktiv ist, in welche Region es sich ausbreitet und wo die Infektionen zurückgehen. Mit den richtigen Parametern ausgestattet könnte das System erkennen, welche Personengruppe mit bestätigten Infizierten Kontakt hatte, woraufhin diese Menschen dann von den Behörden direkt kontaktiert werden können (die Handynummer liegt ja vor). Die KI würde darstellen, wo sich das Virus auf Risikogruppen zubewegt, die dann vorbereitet oder auch abgeschottet werden könnten.
Eine KI könnte also helfen, dass Virus einzudämmen, schwere Krankheits- und Sterbefälle zu verhinden und die Bevölkerung zu schützen. Selbst für mich als überzeugtem Datenschützer und KI-Skeptiker ist diese Perspektive so reizvoll, dass ich überzeugt bin, dass wir diese Chance nicht ungenutzt lassen dürfen. Konkret: Wir müssten probieren a) an die Daten zu kommen und b) die Daten dementsprechend zu nutzen.
Doch jetzt kommen die „Abers“.

  1. Es müsste sichergestellt sein, dass die Smartphonenutzer*innen mit der Datenverwendung einverstanden sind. Dazu verpflichtet die DSGVO, aber auch der gesunde Menschenverstand. Doch zunächst müssten die Bürger*innen darüber informiert werden, dass die kommerzielle Datensammlung in einem solch großen Maße überhaupt stattfindet. Dann müsste ihnen versichert werden, dass die nachstehenden weiteren Prämissen erfüllt werden. Wer schon einmal eine DSGVO-Einverständiserklärung ausgefüllt hat, weiß, worauf das hinausläuft.
    Voraussetzung: kaum erfüllbar.
  2. Es müsste geklärt werden, wem die Metadaten gehören. Ich bin der Ansicht: den Nutzer*innen (weshalb ich mich immer noch mit Whatsapp kloppe); vermutlich betrachten Facebook, Google & Co. diese Daten aber als ihr Eigentum. Darüberhinaus haben die Unternhemen sicherlich kein Interesse daran, dass das Thema (Meta-)Datensammlung so breit in die Öffentlichkeit kommt. Nicht, dass sie womöglich ethische gegen kommerzielle Überlegungen abwägen müssten…
    Voraussetzung: nur erfüllbar, wenn die App-Hersteller mitmachen.
  3. Die Entwicklerfirmen der Betriebssysteme Android und iOS, Google und Apple, müssten eine Schnittstelle für den Export der Daten liefern. Updates auf den Smartphones wären nötig – die viele Nutzer*innen aber nicht regelmäßig machen.
    Voraussetzung: kaum erfüllbar.
  4. Die Entwickler*innen von Android und iOS müssten überhaupt an die Daten kommen – die zum Glück aber meist auf verschlüsselten Smartphones liegen. Apple und Google besitzen die Schlüssel zum Dekodieren nicht, also kämen sie nur durch Hacking an die Daten.
    Damit als Voraussetzung: auszuschließen.
  5. Die Alternative zu 3) und 4) wäre, eine Schnittstelle zu den Servern aller metadaten-sammelnden Servern herzustellen, d. h. zu Facebook, Google, Amazon und Co. Ich bin sicher, da würden schnell Sicherheitsbedenken im Blick auf Firmengeheimnisse laut.
    Voraussetzung: immerhin nicht unerfüllbar.
  6. Die Daten müssten an einem sicheren Ort gespeichert werden. Doch wo liegt dieser sichere Ort? Im Bundestag, wo es bereits mehrere Hackerangriffe gab? Bei der Telekom, die zwar sichere Rechenzentren hat 615-544-5748 , letztlich aber ein kommerzieller Telekommunikationsanbieter ist? Oder bei den Datenkraken Google, Facebook, Amazon und Co.? Voraussetzung: Erfüllbarkeit unklar.
  7. Es müsste sichergestellt werden, dass die Geheimdienste nicht an diese Daten gelangen. Nach allem, was wir über die Methoden der NSA, des GCHQ und des BND und deren Rückendeckung durch die Politik wissen, ist diese
    Voraussetzung: unerfüllbar
  8. Das KI-System müsste von unabhängigen Programmierer*innen oder zumindest von unabhängigen Stellen überwachten Programmierer*innen aufgesetzt werden. Die Coder*innen gibt es beispielweise an Universtitäten und Hochschulen, überwachen könnten bspw. Expert*innen des RKI, das Bundesamt für Sicherheit in der Informationstechnologie (BSI) und und der Datenethikkommission.
    Voraussetzung: erfüllbar.
  9. Die Ergebnisse der KI müssten gesichtet werden, bevor konkrete Aktionen ergriffen werden. Denn immerhin könnten die Eingangsdaten von den Smartphones falsch sein, z. B. wenn ein Handynutzer einen VPN-Dienst zur Verschleierung seines Standorts nutzt (was ich grundsätzlich jedem empfehle).
    a) Doch zu dieser Nachkontrolle fehlt den Behörden Manpower, immerhin sind die Gesundheitsämter bereits jetzt personell an der Grenze. Noch gravierender ist das Problem, dass Menschen für die Überprüfung in Sekundenschnelle erzeugter Computerausgaben Zeit brauchen. Die uns das Coronavirus nicht gibt.
    Voraussetzung: nicht erfüllbar.
    b) Zum anderen sind die Entscheidungswege in Machine Learning-Prozessen nicht transparent. Bis heute gibt es keine verlässliche Möglichkeit nachzuvollziehen, wie eine KI zu ihrem Ergebnis gekommen ist. An der sogenannten Explainable AI wird intensiv geforscht, so dass hier in den kommenden Jahren mit einem Durchbruch zu rechnen ist. Doch auch hier: Soviel Zeit lässt uns Corona nicht.
    Voraussetzung: nicht erfüllbar.
  10. Die Daten müssten hinterher sicher gelöscht werden. Unter Aufsicht und Kontrolle des BSI und seiner Forensiker*innen ist das möglich, also
    Voraussetzung: erfüllbar.

Fazit: Nur zwei von zehn Prämissen sind erfüllbar. Damit ist mein Gedankenspiel leider nicht mehr als ebendieses.
Die globalen Datensammler ließen sich möglicherweise überzeugen, immerhin leiden sie selbst wg. des Virus‘ ja unter Produktionsausfall. Vielleicht fände sich auch ein sicherer Speicher-Ort für die Metadaten. Doch der Black-Box-Charakter von KI-Systemen zum einen und die nötige Aufklärungskampagne zum anderen machen die Umsetzung leider unmöglich, bzw. erst zu spät möglich.

Ich bin nichtsdestotrotz überzeugt, dass wir über solche Ideen (die ich nicht nur für mich reklamiere) nachdenken und sprechen sollten. Möglicherweise liegt in der Epidemie die Chance, dass wir Bürger*innen, unsere Zivilgesellschaft und die Politik endlich zu einer konkreten Positionierung zu den Themen Datensammlung, Massenüberwachung, Künstliche Intelligenz und dem Nutzen von Technologie für die Gesellschaft kommen. Vielleicht liegt die Chance auch darin, dass diejenigen, die bereits eine Haltung dazu haben, vielleicht ihre Positionswechsel auslöst. Ich selbst stand der Datensammlung noch nie so ambivalent wie heute gegenüber.

Datenschutzbeschwerde: Sind Whatsapp-Metadaten persönliche Daten?

Meine Beschwerde über Facebook wegen der mangelnden Auskunftspflicht über die in Whatsapp erhobenen Daten liegt seit einigen Monaten bei der irischen Datenschutzaufsicht DPC, weil Facebook dort seine Europazentrale hat. Ich hatte den Fall hier bereits geschildert, hier ebenfalls.
Kurz: Ich halte es für unzureichend, dass man beim Datenexport aus Whatsapp (Auskunftsrecht laut DSGVO) keine Metadaten über seine Kommunikation erhält, also z. B. mit wem man wann von welchem Standort aus kommuniziert.

Auf Anordnung der irischen Datenschützer hat Facebook/Whatsapp diesbezüglich nun erstmals direkt mit mir Kontakt aufgenommen (nachdem alle meinen bisherigen Mails an das Unternehmen unbeantwortet blieben). Die Argumentation:

WhatsApp hat RYI [Die Datenexport-Funkion, Anm. d. Autors] entwickelt, um WhatsApp-Benutzern den sicheren Zugriff auf ihre persönlichen Daten zu ermöglichen. Andere Metadaten können in nicht abrufbarer Form in unserem Offline-Data-Warehouse gespeichert werden.
WhatsApp bietet keinen Zugriff auf Informationen, die nicht in den Geltungsbereich der Zugriffsrechte nach GDPR [engl. Bezeichnung für DSGVO, Anm. d. Autors] fallen, keine personenbezogenen Daten darstellen oder anderweitig den geltenden gesetzlichen Ausnahmeregelungen unterliegen, und ist auch nicht dazu verpflichtet.

Aus der Mail von Facebook an mich, 31. Jan. 2020, Übersetzung durch mich.

Heißt: Wir als Facebook/Whatsapp geben im Datenexport alle Daten aus, die wir laut DSGVO ausgeben müssen.
Ich sehe das nach wie vor anders, was ich Facebook bereits mitgeteilt hatte – und worin mich auch der Bundesbeauftragte für Datenschutz unterstützt. Mein Argument: Weil die Metadaten im Facbeook-Netzwerk in personifizierter Weise weiterverwendet werden (z. B. in Form von Werbung oder als Kriterium für die Sortierung der Timeline in FB/Instagram), sind sie persönliche Daten und müssen deshalb auf Anfrage zur Verfügung gestellt werden.
Ich habe die DPC um eine Stellungnahme gebeten und werde hier darüber berichten.