Verstößt Apples Tracking gegen EU-Recht? Löschung der Advertising-ID und Strafzahlung gefordert

Der Datenschutzaktivist und die NGO noyb – europäisches Zentrum für digitale Rechte haben mit Unterstützung des Datenschutzprojekts Xnet beim Berliner Beauftragten für Datenschutz sowie bei der spanischen Datenschutzbehörde eine Beschwerde gegen Apples Werbe-Tracking vorgelegt. Die Advertising-ID des Unternehmens – auch als Identifier for Advertisers (IDFA) bekannt – verstoße demnach gegen die Datenschutzbestimmungen der europäischen ePrivacy-Richtlinie sowie des deutschen Telemediengesetzes. Dass Apple ab 2021 Dritte verpflichtet, die explizite Einwilligung der User für das Tracking via IDFA einzuholen, reicht Schrems und noyb nicht aus. Denn die Nutzung des IDFA durch Apple geschehe weiterhin ohne Zustimmung und sei nicht rechtskonform. Nun werden in der Beschwerde unter anderem eine Geldbuße und die Entfernung des IDFA gefordert.

Apples Advertising-ID laut Schrems ähnlich problematisch wie Profiling Cookies

In seiner Beschwerdeschrift argumentiert der österreichische Datenschützer Max Schrems – der nicht zuletzt aufgrund seiner Beteiligung bei der Kippung des Privacy Shields in diesem Jahr in den Medien präsent war –, dass Apples Werbe-Tracking ohne die eindeutige Zustimmung der User nicht mit geltenden Datenschutzgesetzen konform sei. Nach der ePrivacy-Richtlinie der EU sei eine Zustimmung der User aber zwingend erforderlich, wenn die über die Advertising-ID Apples gesammelten Daten in der Folge zu Werbezwecken genutzt werden. Schrems vergleicht den IDFA mit Profiling Cookies im Web:

Genauso wie Profiling-Cookies, ist die Apple Werbe-ID eine Information die auf dem iPhone des Beschwerdeführers während dem Setup gespeichert wurde und genauso wie der virtuelle Fingerabdruck, wird diese Information vom Gerät abgefragt, wenn Nutzer auf Dienste von Apple oder Apps von Dritten zugreifen.

Nun hat Apple im Juni 2020 angekündigt, dass Drittanbieter bei iOS 14 genau angeben müssen, welche Daten sie wie tracken. Außerdem müssen sie die explizite Einwilligung der User für das Tracking mit der Advertising-ID Apples einholen. Dieser Tracking-Schutz, den Werbeunternehmen wie Facebook als Umsatzgefahr ansehen, wird allerdings erst 2021 inkrafttreten, um Entwicklern und App-Betreibern mehr Zeit zu geben. Apple erklärte zu diesem Schritt:

We believe technology should protect users’ fundamental right to privacy, and that means giving users tools to understand which apps and websites may be sharing their data with other companies for advertising or advertising measurement purposes, as well as the tools to revoke permission for this tracking.

Doch diese Änderung ist für noyb und Schrems nicht ausreichend. Auf der Website von noyb wird die Lösung als „halbherzige ‚Verbesserung‘“ abgetan. Denn die Einschränkung gelte nicht für Apple selbst. So werde die Speicherung der Advertising-ID und deren Nutzung durch Apple auch 2021 ohne die Zustimmung der User erfolgen. Und damit verstoße sie gegen EU-Recht.

Wir sind der Meinung, dass Apple sowohl jetzt, als auch nach diesen Änderungen gegen das Gesetz verstößt. Mit unseren Beschwerden wollen wir sicherstellen, dass Nutzer nicht einfach verfolgt werden. Die IDFA sollte nicht nur eingeschränkt, sondern dauerhaft gelöscht werden. Die Zukunft muss trackerfrei sein,

erklärt Stefano Rossetti, Datenschutzjurist bei noyb.

Das fordern noyb und Max Schrems

Die Datenschutzaktivisten rund um noyb und den Juristen Max Schrems fordern von den Behörden, bei denen die Beschwerden eingereicht wurden, zunächst eine eingehende Untersuchung derselben. Außerdem solle Apple den IDFA von Geräten entfernen, statt diesen bloß eingeschränkt nutzbar zu machen. Auch die „Verhängung einer Geldbuße“ wird in der Beschwerde vor dem Berliner Datenschutzbeauftragten gefordert. Und schließlich wird in der Beschwerde ebenfalls darauf verwiesen, dass der Beschwerdeführer eine Anfrage bei Apple wünscht, um zu erfahren, was das Unternehmen gegen die diesem vorgeworfenen Datenschutzverstöße zu tun gedenke.

Laut noyb könnten die Datenschutzbehörden eine etwaige Strafe für Apple direkt verhängen, da in diesem Fall die „alte“ ePrivacy-Verordnung und nicht die DSGVO Anwendung finde. Rosetti erklärt:

Diese Fälle basieren auf dem ‚alten‘ Cookie-Gesetz und lösen nicht den Kooperationsmechanismus der DSGVO aus. Mit anderen Worten, wir versuchen, endlose Verfahren, wie wir sie in Irland vorfinden, zu vermeiden.

Auf der eigenen Website gab noyb ebenfalls an, dass man derzeit auch das Tracking-System Googles auf etwaige Datenschutzverstöße überprüfe. Zunächst darf aber mit Spannung verfolgt werden, ob die Datenschutzbeauftragten mit der Argumentation von noyb und Schrems übereinstimmen und Apple zur Rechenschaft ziehen werden. Eine geringe Geldstrafe dürfte für das Unternehmen kaum ins Gewicht fallen, eine in der EU geltende Anordnung zur Entfernung des IDFA wäre jedoch stark geschäftsbeeinträchtigend. Gegenüber dem Tech Publisher Heise hat Apple in einem Statement jedoch klargestellt, dass das Unternehmen die Vorwürfe zurückweise, weil sie „sachlich falsch“ seien. Apple greife keineswegs auf den IDFA der User-Geräte zu und nutze ihn auch nicht. Die Tracking-Praktik stehe vielmehr im Einklang mit dem europäischen Datenschutzrecht.

Das automatisch erstellte Tracking via IDFA können User auf ihren Geräten wieder abstellen. In den Einstellungen kann der Reiter „Datenschutz“ aufgerufen werden. Dort lässt sich das „Tracking“ deaktivieren, indem die Zustimmung für „Apps erlauben, Tracking anzufordern“ entzogen wird.