Die Jagd nach meinen Daten

Laut der neuen Datenschutsgrundverordnung kann jeder die Herausgabe seiner Daten und deren Verwendung verlangen. In der Realität ist das aber schwieriger...

24. November 2018 | Gastbeitrag |

Geschätzte Lesezeit: 6 Minuten

Gestaltung: seitenwaelzer, Foto: Manuel Geissinger | Pexels

Wir leben in einer Gesellschaft, in der Daten die neue Währung sind. Je mehr man sammelt, verarbeitet und wieder veräußert, desto besser. Vor ein paar Monaten ging dann ein neues Datenschutzgesetz, die DSGVO (Datenschutzgrundverordnung) durch die Medien: Ein europäisches Gesetz, das die Verwendung von Daten durch Unternehmen und Behörden offenlegen und auf ein Minimum beschränken soll.

Dieser durchaus sinnvolle Ansatz fand gerade bei vielen kleineren Unternehmen wenig Anklang – vor allem, da sie befürchteten, bei kleinsten Verstößen gegen das undurchsichtige Gesetz, abgemahnt zu werden. Die erwartete “Abmahnwelle” blieb bisher aber aus. Ich frage mich nun: Wie stark sind eigentlich meine Möglichkeiten als Privatperson gestiegen?

Zeit für ein kleines Experiment. Die meisten Unternehmen sind nach der DSGVO verpflichtet, offenzulegen, welche Daten sie von mir gespeichert haben und zu welchem Zweck diese genutzt werden. Ich habe mich also hingesetzt und direkt zum Stichtag, dem 25. Mai 2018, um Auskunft gebeten. Unter anderem bei der Schufa, 1&1, AldiTalk und der Deutschen Post. Im Folgenden möchte ich meine Erfahrungen mit euch teilen und zeigen, warum noch einiges geschehen muss, bis wir wirklich davon sprechen können, Kontrolle über die eigenen Daten zu haben.

1. Schufa

Es ist Mai 2018, ein erstaunlich sonniger Tag, als ich einen Text aufsetze und um Auskunft bei der Schufa bitte. Ich möchte wissen welche Daten sie von mir speichern und verarbeiten. Die Schufa gibt Auskunft über die Kreditwürdigkeit von Personen. Sie haben eine riesige Datensammlung und können Banken und Dienstleistern mit Informationen über die Bonität oder Kreditwürdigkeit von Menschen geben. Hier steckt also schon in der Definition der Schufa, dass sie viele sensible Daten verarbeitet und auch herausgibt.

Die Antwort kam bereits am 1. Juni. Und siehe da: Kein Problem, alles fertig. Der ganze Prozess der Datenanfrage war sehr professionell, es gab ein Online-Formular für die Auskunft und einen verständlichen (und sicheren) Legitimationsprozess. Warum ich trotzdem nicht vor Freude ausflippe: Mein Profil ist todlangweilig, es steht eigentlich nichts Spannendes oder Relevantes darin.

Interesting Fact: Ich habe von meiner Bank kurze Zeit später die E-Mail erhalten:“Wir haben von der Schufa die Nachricht erhalten, dass Sie an die Adresse XXXXX gezogen sind.“
Das schreit nach noch einer Schufa-Auskunft, um zu überprüfen, ob deren Antwort etwas wert ist. Bisher habe ich keinerlei Chance, die Vollständigkeit der herausgegebenen Daten zu überprüfen (da ich absolut keine Ahnung habe, wer über mich Auskunft eingeholt hat). Aber wenn in der 2. Schufa-Auskunft nicht drin stünde: “Wir haben die Adresse an die Bank übermittelt”, werden wohl nicht alle Datenverwertungen aufgeführt.

2. 1&1

Bei 1&1 war die Sache schon schwieriger. Am 12. Juni erhielt ich eine Antwort-E-Mail. Die Daten seien im 1&1 Control-Center bereitgestellt. Allerdings sind das nur Anschrift, Name, Bankdaten und welche Verträge ich gerade habe – das kann ja wohl nicht alles sein. Interessanterweise kam 1-2 Tage später ein Brief, über einen Server, den ich vor Jahren mal gemietet hab, das muss wohl ein anderes Department gewesen sein. Das Problem ist nur, bei einem Internet- und Telefonanbieter gehe ich davon aus, dass dieser noch viel mehr Daten von mir hat.

Was ist mit dem sogenannten „Einzelverbindungsnachweis“? Soweit ich einsehen kann, ist der aktiviert und speichert alle ein- und ausgehenden Telefonnummern – private Daten von mir. Dennoch ist das nicht in der Antwort aufgeführt.

Zudem ist auf der Seite von 1&1 von einem “Scorewert” von „Infoscore Consumer Data GmbH“ die Rede. Auch darüber habe ich keine Informationen erhalten. Und dann ist natürlich die Frage: Es werden keinerlei Verkehrsdaten oder Zuordnungen von IP-Adressen gespeichert?

Hier wurde zwar schnell Auskunft geliefert – ich habe aber keine Ahnung, ob wirklich alle Daten offengelegt wurden und gehe davon aus, dass 1&1 noch weitere Daten von mir hat oder verarbeitet (zumindest aber zwischenspeichert).

Gestaltung: seitenwaelzer, Foto: Manuel Geissinger | Pexels Bisher hatte man keine Möglichkeit, herauszufinden, was mit den persönlichen Daten passiert und der Verwendung zu widersprechen. Das soll sich jetzt geändert haben…

3. AldiTalk

Am 1. Juni erhielt ich eine Bitte um Legitimation, dass ich auch der bin, für den ich mich ausgebe. Dafür sollte ich mein PUK-Kennwort (ihr wisst schon, die Nummer, die man eintippen muss, wenn man seine Sim-Karten-Pin dreimal falsch eingegeben hat) via E-Mail versenden.
~~Man stelle sich an dieser Stelle einen 2-seitigen Essay über das Versenden von Passwörtern per Mail vor(!!) Das geht ja mal gar nicht, sicherheitstechnisch(!!!).~~

Am 8. Juni hieß es dann “Ihren Widerspruch haben wir heute zum Beispiel deswegen entgegengenommen, weil Sie dieses Mal nicht über das Kontaktformular geschrieben haben, sondern direkt von der hier hinterlegten E-Mail.”

Die zuvor geforderte Legitimation über die PUK besteht plötzlich nur noch aus “Er kann von dem E-Mail Account schreiben, das muss die richtige Person sein”.

Um welchen “Widerspruch” es sich handelt, bleibt offen, Daten wurden mir keine übermittelt… Die Mail endet mit:
“Wir hoffen, dass wir Ihnen alle nötigen Informationen übermittelt haben.”

Worauf ich nur sagen kann… NOPE. Und da eine E-Mail scheinbar nicht die richtige Wirkung zeigt, geht’s per Brief weiter.

Letzter Stand ist also der Brief, den ich am 9 Juni losgeschickt habe und in dem ich mit Nachdruck um die Übermittlung der Daten gebeten habe mit dem Schlusswort: „Ich erwarte Ihre Antwort bis zum 25.06.2018”. Dann habe ich lange nichts mehr gehört. AldiTalk: Das ist wirklich eine schwache Leistung.

Sehr viel später kam dann ein Brief, in dem vorallem die gespeicherten Rechnungsdaten standen und ein paar verbindungen von dem Handy. Das kann aber nicht alles sein.

4. Deutsche Post

Samstag, der 26.5. Nach einigem hin und her grübeln kam mir der Gedanke, dass es noch jemanden gibt, der jeden Tag unglaublich viele Daten verarbeitet: die Deutsche Post. Sie erfassen die Adressdaten elektronisch und speichern meine Unterschrift, die Sendungsverfolgung und so weiter. Und dann hieß es im SPIEGEL, die Post habe Nutzerdaten an die CDU und FDP verkauft. Grund genug, sich das mal näher anzuschauen.

Zwar hat die Post ein Webseite, an die man Anfragen stellen kann, die habe ich zu dem Zeitpunkt aber nicht gefunden und da es keine eigene Seite zum Datenschutz gab, habe ich an die allgemeine Mail des Datenschutzbeauftragten geschrieben.

Und dann? Nada. Niente, Nichts. Und dabei habe ich natürlich meine Adresse gleich mitgeschickt… ich war mir recht sicher, dass die Post lieber PER POST kommuniziert.

Monate später: Die Post hat geschrieben, dass sie garkeine Daten über mich haben. Kann das nicht sein? Schauen wir uns mal die Datenschutz-Seite der Post an:

„Wir verarbeiten Ihre Daten beispielsweise, um
– Ihnen – sofern zulässig – bedarfsgerechte Werbung zukommen zu lassen bzw. anzuzeigen,
– ggf. zur Durchführung einer Bonitätsprüfung,gemäß Verpflichtungen im Rahmen gesetzlicher Anforderungen (z.B. Strafprozessordnung, Außenwirtschaftsgesetz),
– im Rahmen unserer Sicherheitsbelange (z.B. zwecks Aufdeckung von Straftaten),
– zwecks Erstellung von Statistiken, zu Zwecken der Entgeltsicherung
– und zu Zwecken der Qualitätssicherung, Prozessoptimierung und Planungssicherheit.“

Das sind durchaus viele Zwecke, denen ich nicht unbedingt zustimme. Darüber scheinen viele Daten erhoben und weitergeleitet zu werden.

Und am Ende… nicht viel Gutes

Ich muss sagen, ich bin sehr enttäuscht. Von den wenigen Firmen, bei denen ich in diesem kleinen Experiment Auskunft über meine Daten angefragt habe, bekam ich nur von zweien einen vernünftigen Datensatz, wobei ich bei einem davon stark bezweifle, dass es sich um alle Daten handelt. Eine schöne Idee mit dem Gesetz, was zu Transparenz verpflichtet und den Anwendern mehr Macht über ihre Daten geben soll, doch scheinbar krankt es in der Realität doch an der Umsetzung bei den einzelnen Firmen.

Schade.