Aus vielen Tracking-Firmen sticht eine heraus: Utiq. Das Unternehmen arbeitet mit Internetzugangsanbietern zusammen. Damit kann Utiq Internetanschlüsse auf eine besondere Art verfolgen. Anfangs war die Technologie auf Mobilfunk beschränkt, doch mittlerweile trackt Utiq auch Festnetzanschlüsse.

Gegenüber Internetnutzern spricht Utiq von seiner „sozialen Verantwortung, die Daten der Menschen zu schützen und ihre Privatsphäre zu erhalten“. An mögliche Kunden gerichtet wirbt die Tracking-Firma dagegen damit, auch „Zielgruppen in schwer zu trackenden Umgebungen zu erreichen, ohne auf 3rd-Party-Cookies zu setzen“. Immer mehr Internetnutzer blockieren die kleinen Dateien zum Tracking von Drittanbietern, die Anbieterfirma von Utiq positioniert sich als Alternative.

Das Unternehmen Utiq gibt es seit etwa zwei Jahren – ursprünglich war die Trackingtechnologie für Mobilfunkanschlüsse vorgesehen. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sieht das Verfahren „zwiespältig“. Den Internetanbietern – ohne deren Zusammenarbeit Utiq nicht funktionieren würde – komme ein besondere Vertrauensstellung zu. Dies sei mit dem Utiq-Tracking nur schwer vereinbar. Doch neben Mobilfunkanschlüssen trackt Utiq mittlerweile auch Breitband-Festnetzanschlüsse der Deutschen Telekom. Das zeigt eine Liste von teilnehmenden Telekommunikationsanbietern, die Utiq im Netz veröffentlicht.

Der digitalpolitische Verein D64 veröffentlichte letztes Jahr eine Recherche zu der Trackingtechnologie, die der Verein mit „Big Brother made in Germany“ betitelt hat. Gegenüber netzpolitik.org erneuert D64 diese Kritik: „Ausleitung von Informationen der Telekommunikationsunternehmen zu Werbezwecken sehen wir nach wie vor kritisch.“ Grundsätzlich lehne D64 jegliches Tracking zu Werbezwecken ab.

Was ist an Utiq besonders?

Utiq arbeitet mit Internetanbietern zusammen. Deshalb kann das Unternehmen Surfverhalten über den Internetanschluss wiedererkennen, selbst nachdem Nutzer Cookies gelöscht, den Browser gewechselt oder gar ein neues Gerät genutzt haben. Mehrere Geräte in einem WLAN kann Utiq jedoch nicht auseinanderhalten.

Für die Nachverfolgung erhält die Firma von den teilnehmenden Anbietern keine persönlichen Daten wie die Mobilfunknummer oder Vertragsnummer, sondern eine einzigartige, pseudonyme Kennung. Utiq selbst erstellt kein Nutzerprofil, gibt an seine Kunden wie zum Beispiel bild.de oder die Hamburger Morgenpost Tracking-Cookies weiter, den Utiq dann mit dem Pseudonym verknüpfen kann. Die Utiq-Tracking-Cookies sind auf jeder Website unterschiedlich und bis zu 90 Tage lang gültig. In der kurzen Gültigkeit sieht Utiq einen besonderen Schutz der Websitenbesucher.

D64 meint hingegen, dass Utiq eine Ergänzung zu herkömmlichen Tracking-Mechanismen mit längeren Laufzeiten sei – und keine Alternative. Das Utiq-Pseudonym ließe sich potenziell mit Informationen aus anderen Trackern kombinieren, meint D64 auf Anfrage von netzpolitik.org. Unseren Recherchen nach arbeitet beispielsweise bild.de aktuell neben Utiq mit 271 anderen Drittanbietern zusammen und der Cookie-Banner der Hamburger Morgenpost listet derzeit 275 weitere Partner auf.

Ausführlichere und technische Erklärungen bieten die Deutsche Telekom und Utiq selbst (en).

Betrifft mich das?

Damit das Tracking aktiviert wird, muss zunächst dein Telekommunikationsanbieter mit Utiq zusammenarbeiten. Zweitens sollte sich Utiq erst dann aktivieren, wenn du dem Tracking zustimmst. Dafür sollten Website-Betreiber deine Einwilligung registrieren – meist passiert das mit einem Cookie-Banner und einem Utiq-Pop-Up. Auf dem Cookie-Banner kannst du aus der Liste von oft hunderten Trackern und Cookies explizit dem Utiq-Verfahren oder direkt allen Trackern widersprechen. Solltest du hingegen einwilligen, öffnet sich ein weiteres Utiq-Pop-Up. Hier kannst du erneut explizit dem Utiq-Verfahren widersprechen.

Die „Allen Trackern widersprechen“- oder „Alles ablehnen“-Knöpfe verstecken Website-Anbieter gerne mit sogenannten manipulativen Designs, die dich vom Widerspruch abbringen sollen. Zudem gibt es Pay-or-Okay-Modelle, bei denen Tracking nur gegen Bezahlung deaktiviert wird.

Wie kann ich widersprechen?

Ein permanentes Opt-Out bei deinem Internetanbieter sei nicht vorgesehen und notwendig, erklärt die Deutsche Telekom auf Anfrage von netzpolitik.org. Nach Ansicht des Unternehmens willigen Kunden der Datenübertragung auf denjenigen Webseiten ein, auf denen Utiq verwendet wird. Also kannst du dem Tracking erstmal nur auf dem Cookie-Banner und dem Utiq-Pop-Up jeder entsprechenden Website widersprechen.

Du willst lieber, dass Utiq niemanden über deinen Internetanschluss trackt, selbst wenn dem jemand zustimmt? Dazu bietet Utiq ein „globales Opt-Out“ in seinem „consenthub“ an. Das lässt sich über den entsprechenden Internetanschluss besuchen. Der Widerspruch dort gilt ein Jahr lang, was D64 als „willkürlich“ bezeichnet. Selbst ein aktiver „globaler Opt-Out“ erfordert zur Verifikation einen gewissen Datenaustausch zwischen Utiq und dem Internetanbieter. Damit Utiq und dein Internetanbieter gar nicht miteinander reden, müssten alle Nutzenden also auf jeder Website dem Tracking widersprechen.

Zudem helfen beispielsweise das im Brave-Browser integrierte „Shield“ und die „strenge“ Variante der Aktivitätenverfolgung im Firefox-Browser. Wenn diese Funktionen aktiviert sind, kann Utiq die notwendigen Skripte nicht mehr einbetten. Für technisch Versierte verschaffen Browser-Erweiterungen wie beispielsweise uBlock Origin Abhilfe. Auch ein Netzwerk-weiter Ad-Blocker wie etwa Pi-hole sollte Utiq unterbinden. Diese Werkzeuge blockieren übrigens neben Utiq auch viele weitere Tracker.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Der chinesische KI-Chatbot DeepSeek übermittelt Nutzer*innendaten nach China. Die Berliner Datenschutzbehörde geht jetzt gegen den Anbieter vor. Apple und Google sollen DeepSeek aus ihren Stores entfernen.

Der KI-Chatbot DeepSeek wird in Deutschland verboten. Die Berliner Datenschutzaufsicht hat die chinesische App als rechtswidrig bewertet, weil sie Daten ihrer Nutzer*innen nach China übermittelt. Damit verstößt sie gegen die Datenschutzregeln der EU (DSGVO). Apple und Google sollen die Anwendung nun aus ihren App-Marktplätzen entfernen. Auf anderen Wegen, etwa über den Browser oder heruntergeladen über die Seite des Unternehmens, ließe sich der Chatbot allerdings weiterhin nutzen.

DeepSeek habe gegenüber ihrer Behörde nicht überzeugend nachweisen können, dass Daten deutscher Nutzer*innen in China auf einem der EU gleichwertigen Niveau geschützt sind, sagt die Berliner Datenschutzbeauftragte Meike Kamp.

In China haben Behörden weitreichende Zugriffsrechte auf personenbezogene Daten, die auf den Servern chinesischer Unternehmen lagern.

Ehemals Chartspitze, jetzt auf Verbotsliste

DeepSeek hatte nach der Vorstellung Anfang des Jahres für Furore gesorgt, weil die Leistungen des Modells hinter dem Chatbot an die von Marktführern wie ChatGPT von OpenAI heranreichten – für viele Beobachter*innen kam das überraschend. Zugleich soll das Training des Modells vergleichsweise günstig und mit weniger Rechenleistung stattgefunden haben, berichtete etwa die New York Times. Das brachte die Börsen durcheinander.

Die App gehört zu den beliebtesten KI-Anwendungen weltweit. Auch in Deutschland trendete sie zwischenzeitlich weit oben in den Download-Charts von Apple und Google. Nutzer*innen können mit der kostenlosen App chatten, Bilder hochladen oder sie für die Suche im Netz einsetzen.

Behörden warnten vor der App

Bedenken zum Umgang mit Nutzer*innendaten gab es von Anfang an. Denn alle gesammelten Daten – von Texteingaben und hochgeladenen Dateien bis zu den Informationen zum Standort und dem benutzten Gerät – übermittelt das Unternehmen nach China.

„Auch Tastatureingaben innerhalb der App können womöglich mitgelesen werden, bevor sie abgeschickt werden“, warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI). Außerdem werde die Art der Tastatureingaben gespeichert, heißt es. Anhand der Art, wie Menschen tippen, lassen sich Nutzer*innen wiedererkennen.

Auch die Aufsichtsbehörden für Datenschutz hatten DeepSeek im Blick. Mehrere Landesbehörden gingen parallel gegen das Unternehmen vor. Die Gründe: Weitergabe der Daten und andere mutmaßliche Verstöße gegen die DSGVO. Das Unternehmen hatte etwa keinen gesetzlichen Vertreter in der EU benannt. In Abstimmung mit anderen Aufsichtsbehörden ist es jetzt die Behörde aus Berlin, die Maßnahmen ergreift.

Erst Aufforderung, dann Verbot

Die Behörde hatte nach eigenen Angaben DeepSeek Anfang Mai zunächst aufgefordert, die Übermittlung der Daten nach China einzustellen – oder die App eigenständig aus den Stores zu entfernen. Nachdem das Unternehmen nicht reagierte, folgte demnach heute die Meldung an Apple und Google. Dabei machte die Behörde von einer Regelung im Gesetz über digitale Dienste (Digital Services Act, DSA) Gebrauch, die Betreiber*innen von Plattformen dazu verpflichtet, Meldewege für illegale Inhalte zur Verfügung zu stellen.

Apple und Google müssen die Meldung laut DSA nun prüfen und über die Umsetzung entscheiden. Sie gelten in der EU als „sehr große Online-Plattformen“ und unterliegen damit besonders strikten Auflagen. So müssen sie ihnen gemeldete rechtswidrige Inhalte zügig entfernen, sonst drohen ihnen selbst Strafen in der EU.

Die Behörde hätte gegen DeepSeek auch ein Bußgeld verhängen können. Das lasse sich gegen Unternehmen aus Drittstaaten allerdings nicht vollstrecken, sagt Datenschutzbeauftragte Meike Kamp. Auch gegen die Webseite des Unternehmens könne die Behörde nicht vorgehen, weil der Host-Anbieter nicht bekannt sei.

In Italien ist DeepSeek bereits aus den App Stores verschwunden, nachdem die italienische Datenschutzaufsicht GPDP die App ins Visier genommen hatte. Australien hat die Nutzung der App auf Geräten der Regierung untersagt. In Südkorea wiederum ist die App nach einer zeitweisen Sperre wieder verfügbar, nachdem die Betreiber nachgebessert hatten.

Auch andere chinesische Apps haben Nutzer*innendaten an Server in China übermittelt, darunter die erfolgreichste: TikTok. Das Unternehmen hat jedoch im Gegensatz zu DeepSeek einen Sitz in der EU und fällt in die Zuständigkeit der irischen Datenschutzaufsicht, die jüngst gegen TikTok eine Millionenstrafe veranlasst hat.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Es geht um einen Deal in Milliardenhöhe, der das Ende der Pandemie beschleunigen sollte: Im Frühjahr vereinbarte die EU-Kommission den Kauf von 1,8 Milliarden Corona-Impfstoffdosen mit Pfizer. Sie macht den Pharmariesen damit zum Hauptlieferanten der Kommission. Den Durchbruch in den Verhandlungen brachte angeblich der direkte Draht zwischen Kommissionschefin Ursula von der Leyen und Pfizer-Chef Albert Bourla. Die beiden hätten in Anrufen und Nachrichten den Ankauf detailliert besprochen, berichtete damals die New York Times.

Doch bis heute weiß die Öffentlichkeit wenig über das Geschäft, dass heute in ganz Europa Booster-Impfungen ermöglicht. Die Kommission legte zwar – wie bei Verträgen mit anderen Herstellern – eine Vorvereinbarung und einen Kaufvertrag mit Pfizer offen, schwärzte darin aber Lieferpreis und Haftungsklauseln. Intransparent agiert die EU-Behörde auch beim Zustandekommen des Deals. Sie verweigert den öffentlichen Einblick in die Nachrichten zwischen Von der Leyen und Bourla.

Eine Anfrage von netzpolitik.org nach dem Informationsfreiheitsgesetz der EU schmetterte die Kommission im Sommer ab. Sie will nicht einmal verraten, ob die Nachrichten überhaupt noch existieren oder ob sie in der Zwischenzeit schon gelöscht sind. Über diese Intransparenz beschwerten wir uns bei der EU-Ombudsfrau Emily O’Reilly. Ihre Behörde kann solche Beschwerden prüfen und öffentlich Missstände in der EU-Verwaltung anprangern. Rechtlich bindende Entscheidungen trifft sie nicht.

Ombudsfrau sieht „Fehlverhalten“ der EU-Kommission

Heute hat Ombudsfrau O’Reilly ihre Empfehlungen an die Kommission veröffentlicht: Darin sieht sie „maladministration“, ein Fehlverhalten der Kommission. Der Behauptung der Kommission, dass Nachrichten über SMS und Messengerdienste wie WhatsApp generell keine Dokumente seien und daher nicht von der Informationsfreiheit erfasst werden, kann die Ombudsfrau nichts abgewinnen. Egal über welchen Kanal eine Nachricht übermittelt werde – wenn der Inhalt die Arbeit der Kommission betreffe, dann müsse der Öffentlichkeit Zugang gewährt werden.

Die Ombudsfrau legt der Kommission nahe, die Anfrage von netzpolitik.org nochmal zu prüfen. „Wenn es die in Berichten erwähnten Textnachrichten gibt und sie gefunden werden, dann sollte die Kommission prüfen, ob ein öffentlicher Zugang im Sinne von Verordnung 1049/2001 gewährt werden kann.“ Die Kommission hat nun bis 26. April 2022 Zeit, detailliert Stellung zunehmen. Vorerst möchte sie nicht darauf reagieren, wie ein Sprecher auf Anfrage betonte.

Die Vizechefin der EU-Kommission, Věra Jourová, hatte zuletzt neue Leitlinien der Kommission für Informationsfreiheitsanfragen in Aussicht gestellt. Dabei soll auch der Umgang mit Nachrichten über SMS und Messenger neu geregelt werden. Ombudsfrau O’Reilly ruft die Kommission auf, künftig alle Nachrichten unabhängig von ihrer Form auf ihre Relevanz zu prüfen. „Die EU-Verwaltung muss ihre Praxis der Aufzeichnung von Dokumenten an die Realität anpassen“, so O’Reilly.

Einen zeitgemäßen Umgang mit Nachrichten über Messenger fordert auch der grüne EU-Abgeordnete Daniel Freund. „Es ist heute so, dass per Signal, WhatsApp und Slack regiert wird.“ Dementsprechend müssten diese Nachrichten unter die Informationsfreiheit fallen – oder die Verwendung von SMS und Messengern für die offizielle Kommunikation verboten werden, sagt der Abgeordnete und frühere Transparency-International-Experte.

Hilf mit! Mit Deiner finanziellen Hilfe unterstützt Du unabhängigen Journalismus.

Die unrechtmäßige Speicherung von sensiblen Daten von Mieter*innen durch den Immobilienkonzern Deutsche Wohnen landet vor dem Europäischen Gerichtshof. Das Kammergericht Berlin legte dem EuGH kurz vor Weihnachten zwei Fragen zu dem Fall vor, wie ein Sprecher des EU-Gerichts auf Anfrage von netzpolitik.org bestätigte.

Hohe Mieten und fehlende Reparaturen in den rund 160.000 Wohnungen von Deutsche Wohnen in Berlin lieferten den Anlass für den Volksentscheid „Deutsche Wohnen und Co. enteignen“, dem im September 2021 eine Mehrheit der Wahlbevölkerung Berlins zustimmte. Ärger gibt es für den Konzern aber auch mit dem Datenschutz. Denn Deutsche Wohnen speichert massenhaft Daten wie etwa Kopien von Personalausweisen, Kontoauszüge, Gehaltsbescheinigungen und Krankenversicherungsdaten. Das ist zumindest bei Ausweisen nicht rechtens – Vermieter*innen dürften bei Mietinteressent*innen diese zwar überprüfen, die Anfertigung einer Ausweiskopie sei aber „nicht erforderlich und damit unzulässig“, heißt es von der Datenschutzkonferenz.

Auch müsste der Konzern eigentlich nicht mehr erforderliche Daten löschen, doch das tat er nach Angaben der Berliner Datenschutzbehörde jahrelang und trotz mehrfacher Aufforderungen nicht.

Rechtswiderspruch rüttelt an Konzernstrafen

Ein 14,5-Millionen-Euro-Bußgeld der Behörde hob das Landgericht Berlin wegen eines bizarren rechtlichen Widerspruchs wieder auf. Die Datenschutzgrundverordnung der EU sieht bei Fehlverhalten von Unternehmen Bußgelder von bis zu vier Prozent ihres Jahresumsatzes vor. Doch das Landgericht Berlin urteilte, dass juristische Personen wie Deutsche Wohnen nur dann bestraft werden können, wenn einem konkreten Verantwortlichen bei der Firma Fehlverhalten nachgewiesen werden kann. Dies sei im deutschen Recht so angelegt.

Doch dies widerspreche geltendem EU-Recht, argumentiert die Berliner Datenschutzbehörde. „Im Ergebnis würde es dazu führen, dass in Deutschland – im Gegensatz zu vielen anderen Mitgliedstaaten – ein Bußgeld gegen große Unternehmen aufgrund der komplexen Unternehmensstruktur häufig nicht nachweisbar wäre.“

Das Kammergericht Berlin lässt die Sache nun vom Europäischen Gerichtshof in Luxemburg prüfen. Es müsse geklärt werden, ob nur das Fehlverhalten einzelner Verantwortlicher zu Bußgeldern führen könne. Auch will das Berliner Gericht wissen, wie handfest Verstöße sein müssten, um für Bußgelder zu sorgen. Die Berliner Datenschutzbehörde teilte auf unsere Anfrage mit, sie begrüße die Einschaltung des EuGH und hoffe, dass eine höchstgerichtliche Klärung „zu einer einheitliche Anwendung der DSGVO in allen Mitgliedstaaten und damit zur erforderlichen Rechtssicherheit führt – nicht nur für die Aufsichtsbehörden, sondern auch für die datenverarbeitenden Unternehmen.“

Ob Deutsche Wohnen inzwischen der Aufforderung der Datenschutzbehörde zur Löschung unnötiger Daten nachgekommen ist und sein Datenmanagement verbessert hat, ist unklar. Der Konzern antwortete auf eine Presseanfrage von netzpolitik.org, er wolle das Thema aufgrund des noch laufenden Verfahrens nicht kommentieren.

Hilf mit! Mit Deiner finanziellen Hilfe unterstützt Du unabhängigen Journalismus.