Bevor der Nutzer überhaupt nach seiner Einwilligung in die Weiterleitung seiner Daten gefragt wird, baut das Programm Verbindungen im Hintergrund auf. So gelangen Daten über Start- und Zielbahnhof, Bahncard-Inhaberschaft, mitreisende Kinder und Anzahl der Mitreisenden an Unternehmen, mit denen man vielleicht gar nichts zu tun haben will.

Der Datensatz ist mit einem speziellen Code versehen, der zwar zunächst anonym erscheint. Allerdings liegt es nahe, dass der einzelne Nutzer der App mithilfe der gesammelten Daten individualisiert werden kann. Dass in den Cookies keine personenbezogenen Daten an andere Websites übermittelt werden, müsste die Bahn als Verwender der Daten beweisen (so z. B. das LG Rostock, Urteil vom 15. September 2020, Az. 3 O 762/19).

Nachdem der Nutzer dann schließlich mithilfe des Cookie-Banners gefragt wurde, welche Datenübertragungen er erlauben möchte, hören die Datenschutzprobleme nicht auf: Ein Klick auf “nur notwendige Cookies” bedeutet keinesfalls, dass wirklich nur die zur Funktion des Programms erforderlichen Informationen weitergeleitet werden. Unternehmen wie Google Crashlytics, Easy Marketing GmbH und Optimizely bekommen Nutzungsdaten unter Verwendung des Identifikationscodes von der DB-App zugeschickt. Die Weitergabe an Dritte für das Tracking von Nutzern zu Marketing- und Analysezwecken ist ohne vorherige Einwilligung mit der Datenschutzgrundverordnung (DSGVO) nicht vereinbar.

Auch die Speicherdauer der Daten ist ungewöhnlich lang: Bei dem US-Unternehmen Adobe, an das noch vor der Frage nach einer Einwilligung Informationen weitergegeben werden, werden diese für 24 Monate gespeichert. Warum das für die Funktionsfähigkeit der App notwendig sein sollte, ist zweifelhaft und erschließt sich auch nicht aus der Stellungnahme der Deutschen Bahn, in der sie die Vorwürfe als “haltlos” darstellt.

Um die eigenen Daten zu schützen, ohne auf die Verwendung der praktischen App, die jede Bahnfahrt erleichtert, verzichten zu müssen, muss die Bahn daher auf Unterlassung in Anspruch genommen werden. Dies können wir zunächst außergerichtlich für Sie versuchen. Da die Deutsche Bahn allerdings nach wie vor keine Bereitschaft signalisiert, freiwillig für angemessenen Datenschutz zu sorgen, können wir ein Klageverfahren anschließen. Hierbei ist es ebenfalls möglich, einen Schadensersatz wegen des Datenschutzverstoßes geltend zu machen.