CNIL verhängt 7 Mio. € Bußgeld gegen FNAC wegen App-Tracking ohne Einwilligung

Die französische Datenschutzbehörde CNIL hat gegen den Einzelhändler FNAC eine Geldstrafe von 7 Millionen Euro verhängt, weil das Unternehmen App-Nutzer ohne gültige Einwilligung getrackt hat. Die Behörde ordnete zudem an, dass das Unternehmen seine Einwilligungsabläufe innerhalb eines Monats ändern muss. Die FNAC-CNIL-Entscheidung zum App-Tracking ist eine nützliche Erinnerung daran, dass das, was in einer mobilen App passiert, denselben Datenschutzregeln unterliegt wie das, was auf einer Website passiert, und dass „Einwilligung" etwas Echtes bedeuten muss.

Dieser Beitrag behandelt, was berichtet wurde, was die Anordnung verlangt und was Sie auf Ihrem eigenen Telefon tun können. Er beleuchtet auch, wo ein VPN hineinpasst – und wo nicht.

Was die CNIL bei FNAC beanstandet hat

Laut Berichten von Cybernews kam die CNIL zu dem Schluss, dass FNAC Nutzer seiner App getrackt hat, ohne eine gültige Einwilligung einzuholen. Das ist der Kern der Strafe: Tracking, das stattfand, ohne dass der Nutzer ordnungsgemäß zugestimmt hatte.

Die uns vorliegenden Berichte legen nicht jedes technische Detail des Trackings dar, daher werden wir nicht raten, welche Tracker oder Datentypen involviert waren. Was die Schlagzeile uns sagt, ist das Prinzip, um das es geht. Nach europäischen Datenschutzregeln erfordert Tracking, das nicht unbedingt erforderlich ist, im Allgemeinen eine klare, informierte Entscheidung der betroffenen Person. Wenn eine App beginnt, Daten zu sammeln oder weiterzugeben, bevor diese Entscheidung getroffen wurde, oder wenn die Entscheidung nicht wirklich freiwillig ist, können Aufsichtsbehörden die Einwilligung als ungültig betrachten.

Die Höhe der Geldstrafe – 7 Millionen Euro – signalisiert zudem, dass die Aufsichtsbehörden App-Tracking als ernstzunehmenden Compliance-Bereich betrachten und nicht als kleine technische Formalie.

Was FNAC innerhalb eines Monats ändern muss

Über die finanzielle Strafe hinaus gab die CNIL FNAC einen Monat Zeit, um seine Einwilligungsabläufe zu korrigieren. In der Praxis ist ein Einwilligungsablauf die Abfolge von Aufforderungen und Einstellungen, die eine App beim ersten Öffnen anzeigt, sowie die Art und Weise, wie sie Ihre Antworten erfasst und respektiert.

Für ein Unternehmen in dieser Lage bedeutet ein rechtmäßiger Einwilligungsablauf typischerweise:

• Vor Beginn des nicht wesentlichen Trackings fragen, nicht danach.
• Die Wahl klar darstellen, damit Nutzer verstehen, wozu sie zustimmen.
• Die Ablehnung genauso einfach machen wie die Zustimmung.
• Die Entscheidung eines Nutzers respektieren, auch wenn er Nein sagt.

Dies sind allgemeine Erwartungen nach europäischen Datenschutzregeln und kein Zitat der genauen Anordnung der CNIL, betrachten Sie sie daher als Kontext. Die Frist von einem Monat ist das konkrete Detail aus der Berichterstattung, und sie zeigt, dass die Aufsichtsbehörden eine schnelle Korrektur wollen, keine langwierige Behebung.

Französische Aufsichtsbehörden und Datenlecks waren schon früher in den Nachrichten. Unsere Berichterstattung über ein Leck bei einem französischen E-Mail-Anbieter, das 40 Millionen Datensätze offenlegte zeigt eine andere Seite desselben Problems: wie Fehler im Umgang mit Daten – sei es durch Tracking oder schlechte Sicherheit – bei gewöhnlichen Nutzern landen.

So begrenzen Sie App-Tracking auf iPhone und Android

Ein Urteil wie dieses setzt Unternehmen unter Druck, aber Sie müssen nicht warten, bis sie sich daran halten. Die integrierten Kontrollen Ihres Telefons sind der direkteste Weg, App-Tracking zu begrenzen. Menünamen ändern sich zwischen Versionen und Herstellern, suchen Sie daher nach der nächstliegenden Entsprechung.

Auf dem iPhone:

• Öffnen Sie Einstellungen, dann Datenschutz & Sicherheit, dann Tracking.
• Schalten Sie „Apps erlauben, Tracking anzufordern" aus, um die Aufforderung vollständig zu blockieren, oder überprüfen Sie, welche Apps Sie bereits erlaubt haben.
• Prüfen Sie dort auch die Berechtigungen für Ortungsdienste und Fotos.

Auf Android:

• Öffnen Sie die Einstellungen und suchen Sie nach Datenschutz, dann Werbung (die Formulierung variiert je nach Gerät).
• Löschen oder setzen Sie Ihre Werbe-ID zurück und widersprechen Sie der Personalisierung von Werbung, wo dies angeboten wird.
• Überprüfen Sie den Berechtigungsmanager für Standort, Kontakte und andere sensible Zugriffe und entfernen Sie alles, was eine App nicht benötigt.

Überprüfen Sie auch die Einwilligungsaufforderungen innerhalb einzelner Apps. Viele bieten einen Bildschirm mit Einstellungen, auf dem Sie nicht wesentliches Tracking ablehnen können, und Sie können Ihre Wahl in der Regel später ändern.

Was ein VPN gegen App-Tracking kann und was nicht

VPNs werden oft als Allheilmittel gegen Tracking beschrieben, was nicht zutrifft. Ein VPN verschlüsselt Ihre Verbindung und verbirgt Ihre IP-Adresse vor den Websites und Diensten, mit denen Sie sich verbinden. Das kann Tracking begrenzen, das auf Ihrer IP-Adresse oder der daraus abgeleiteten Location beruht, und es schützt Ihren Datenverkehr in nicht vertrauenswürdigen Netzwerken wie öffentlichem WLAN.

Was ein VPN nicht kann, ist eine App daran zu hindern, Daten zu sammeln, sobald Sie angemeldet sind oder ihr Berechtigungen erteilt haben. Wenn eine App erfasst, was Sie antippen, welche Bildschirme Sie ansehen, oder Aktivitäten mit Ihrem Konto oder Gerätekennungen verknüpft, geschieht das innerhalb der App. Das VPN sieht es nicht und kann es nicht blockieren. Die Art von Tracking, um die es in Einwilligungsfällen geht, ist typischerweise von dieser In-App-Art.

Ein VPN ist also eine begrenzte Ebene, kein Ersatz für Berechtigungseinstellungen und informierte Entscheidungen. Dieselbe Logik gilt für andere Datenoffenlegungen: unser Bericht über einen falsch konfigurierten Bucket bei 302.ai, der 17,6 Mio. Dateien offenlegte, ist ein Fall, in dem kein VPN auf Seiten des Nutzers das Ergebnis hätte ändern können.

Was das für Sie bedeutet

Wenn Sie die App von FNAC nutzen, werden Sie möglicherweise Änderungen an ihren Einwilligungsaufforderungen sehen, während das Unternehmen daran arbeitet, die Einmonatsfrist der CNIL einzuhalten. Lesen Sie sie, statt durchzutippen, und wählen Sie die Optionen, die Ihren Präferenzen entsprechen.

Allgemeiner zeigt das Urteil, dass europäische Aufsichtsbehörden ungültige Einwilligungen bestrafen werden und dass Sie Rechte darüber haben, wie Apps Sie tracken. Diese Rechte lassen sich leichter nutzen, wenn Sie wissen, wo die Kontrollen Ihres Telefons sind.

Wichtigste Erkenntnisse

Der Fall des FNAC-CNIL-Bußgelds wegen App-Tracking ist ein klares Beispiel dafür, dass Aufsichtsbehörden einen großen Einzelhändler dafür zur Rechenschaft ziehen, wie seine App mit Einwilligungen umgeht. Hier ist, was Sie jetzt tun können:

• Überprüfen Sie diese Woche die Tracking- und Berechtigungseinstellungen auf Ihrem iPhone oder Android-Gerät.
• Lehnen Sie nicht wesentliches Tracking in den Einwilligungsaufforderungen von Apps ab und überdenken Sie frühere Entscheidungen.
• Löschen Sie Apps, die Sie nicht mehr nutzen, denn ungenutzte Apps können weiterhin Berechtigungen besitzen.
• Betrachten Sie ein VPN als eine begrenzte Schutzebene, nützlich für Netzwerkprivatsphäre, aber keine Lösung für In-App-Tracking.

Für mehr Kontext dazu, wie französische Datenvorfälle die Privatsphäre von Nutzern betreffen, lesen Sie unsere Berichterstattung über das Leck bei einem französischen E-Mail-Anbieter und behalten Sie im Auge, wie sich die Einwilligungsänderungen bei FNAC entwickeln.