NRK enttarnte Verkäufer von Handy-Standortdaten, indem der Sender eigene Daten anforderte und sie dann kaufte

Im Jahr 2020 wurden Standortdaten von Handys stillschweigend zu einer staatsnahen Handelsware: Datenhändler verkauften „anonymisierte“ Bewegungsprofile, US-Behörden wie die Customs and Border Protection und die ICE kauften Zugang, und die Apps, denen Nutzer vertrauten, nannten nie die Käufer. Der Schaden war real, aber diffus – leicht zu beschreiben, unmöglich konkret zu benennen. Martin Gundersen, Journalist beim norwegischen öffentlich-rechtlichen Sender NRK, vermutete, dass sein eigenes Handy diesen Markt belieferte, und beschloss, das von Anfang bis Ende zu beweisen.

Er führte das Experiment ab Februar 2020 durch: ein zusätzliches Handy, mit Apps bestückt und überallhin mitgenommen, während das NRK-Team separat dokumentierte, dass mehr als 8.300 Handys in Krankenhäusern und Frauenhäusern verfolgt wurden. Dann machte er das Auskunftsrecht der DSGVO zu einem investigativen Instrument und reichte Ersuchen bei jedem Unternehmen ein, das die Spur berührte, beginnend mit Venntel, dem Datenhändler aus Virginia, der Standortdaten an US-Bundesbehörden verkauft. Venntel antwortete mit 75.406 Standortdatensätzen und bestätigte, dass die Daten unter anderem für Zwecke der Strafverfolgung auf Bundesebene und der nationalen Sicherheit weitergegeben worden waren.

Jede Antwort nannte die nächste Firma, sodass sich die Ersuchen vervielfachten: Venntels Muttergesellschaft Gravy Analytics, dann die Zwischenhändler Predicio und Complementics, dann Sygic – der slowakische Entwickler von Navigations-Apps – und der Hersteller der App Funny Weather. Die technische Analyse von NRK fand eine Kennung, die Complementics für Sygic-Daten verwendete, in den Datensätzen von Venntel, und drei norwegische Datenschutzfachleute bezeichneten die Kette als offenkundigen Verstoß gegen die DSGVO.

Um zu zeigen, was „anonymisiert“ wert war, hatte das NRK-Team bereits für 35.000 NOK (etwa 4.000 US-Dollar) Zugang zu einem kommerziellen Standortdatensatz gekauft und daraus den 31-jährigen Karl Bjarne Bernhardsen aus Stavanger herausgefiltert. Als sie ihn anriefen, konnten sie aufzählen, wo er sich im Laufe des Jahres 2019 aufgehalten hatte – im Zoo, bei einem Vorstellungsgespräch, an Tagen im Krankenhaus als frischgebackener Vater. Der Datenanbieter hatte dieselben Daten als anonymisiert bezeichnet; NRK hatte gerade gezeigt, dass dieses Etikett nichts bedeutete.

Jeden Datenhändler zwingen, DSGVO-Ersuchen zu beantworten, und dann das Produkt kaufen: Die Antworten zeichnen die Kette nach, und die Stichprobe beweist, dass sie nicht anonym ist

DSGVO-Auskunftsersuchen laufen über die rechtlichen Mechanismen der Verkäufer selbst: Ein Datenhändler muss beantworten, welche Daten er besitzt und mit wem er sie geteilt hat, sodass weder eine Vorladung noch ein Whistleblower nötig ist, um die Kette in Gang zu setzen.

Antworten werden zu einem Papierpfad: Venntels Akte nannte Gravy Analytics, die Predicio und Complementics nannte, was zurück zu Sygic und Funny Weather führte – ein Weg, den keine Datenschutzerklärung offenlegte.

Das Produkt als gewöhnlicher Kunde zu kaufen ist der stärkste Test: Für 35.000 NOK identifizierte NRK eine namentlich bekannte Person in Daten, die der Verkäufer als anonymisiert bezeichnet hatte, und ein einziger Anruf brachte die Verteidigung zum Einsturz.

Konkreter Schaden ließ die Geschichte wirken: Bernhardsen seine eigenen Bewegungen vorzulesen – den Zoo, das Vorstellungsgespräch, das Krankenhaus – verwandelte eine Überwachungsabstraktion in eine Nachricht, die Leser fühlen konnten.

Um einen Markt bloßzulegen, dessen Schaden unsichtbar ist, befrage jeden Lieferanten über seine Offenlegungspflichten und kaufe das Produkt selbst: Jede Antwort nennt den nächsten Verkäufer, und die Stichprobe beweist den Schaden.

Der englischsprachige Bericht auf NRKbeta (3. Dezember 2020) erreichte 493 Punkte und 169 Kommentare auf Hacker News, und der Journalist antwortete den Lesern und würdigte Michael Veales Vorlage für Auskunftsersuchen. Er befeuerte eine sich ausweitende US-Debatte: Ein Kommentator zitierte Senator Ron Wyden mit den Worten, Venntel habe „den Kongress monatelang hingehalten“ hinsichtlich seiner Quellen, während die CBP begrenzten Zugang zu kommerziellen Daten bestätigte. Ein Vertreter von Sygic nannte den Zusammenhang „nicht klar“ und einen Verstoß, falls er bewiesen werde. Norwegische Juristen bezweifelten, dass eine Strafverfolgung Erfolg hätte, da Venntel keine europäischen Niederlassungen habe – die Dokumentation selbst, nicht eine Geldbuße, war das Ergebnis.