Der umstrittene Tracking-Dienst von Bumbee Labs erhält nun grünes Licht von der schwedischen Datenschutzbehörde. Er verstößt nicht länger gegen das schwedische Personendatengesetz.
Nach einer Zusammenarbeit mit der Gemeinde Västerås berichteten viele über den womöglich datenschutzrechtlich bedenklichen Dienst von Bumbee Labs. Mit dem Dienst konnte die Gemeinde sehen, wie sich die Bevölkerung durch die Stadt bewegte (allerdings nicht auf individueller Ebene). Im Sommer entschied die schwedische Datenschutzbehörde, dass der Dienst in seiner damaligen Form gegen das Personendatengesetz (PUL) verstieß.
„Wir haben nun die Änderungen vorgenommen, die die Datenschutzbehörde von uns verlangt hat, und sie hat uns genehmigt. Es ist die erste Entscheidung ihrer Art in Europa”, sagt der Gründer und Vorsitzende des Unternehmens, Staffan Liljestrand.
Was an der alten Version nicht in Ordnung war, ist relativ kompliziert. Im Kern geht es um die Frage, ob sogenannte MAC-Adressen als personenbezogene Daten gelten sollten oder nicht.
Eine MAC-Adresse ist eine eindeutige Kennung für jeden Computer, jedes Telefon oder andere Gerät, das sich über Wi-Fi mit dem Netzwerk verbinden kann. Sie lässt sich jedoch nicht direkt mit einer realen Person verknüpfen. Das ist zumindest die Position von Bumbee Labs. Die Datenschutzbehörde hingegen vertritt die Auffassung, dass eine MAC-Adresse als personenbezogenes Datum gelten sollte. Die Folge: Sie beurteilte die frühere Version des Dienstes von Bumbee Labs als Verstoß gegen das Personendatengesetz.
Achtung, jetzt wird es kompliziert. Die Datenschutzbehörde begründet ihre Sommerentscheidung damit, dass sich die MAC-Adresse indirekt mit einer Person verknüpfen lasse. Das wäre der Fall, wenn sie in anderen Zusammenhängen zusammen mit personenbezogenen Daten registriert worden wäre, etwa durch den Mobilfunkanbieter oder beim Anmelden mit dem Telefon in einem Wi-Fi-Netzwerk.
Nach der Entscheidung der Datenschutzbehörde änderte Bumbee Labs seinen Dienst und speichert keine MAC-Adressen mehr.
„Unser Dienst funktioniert jetzt in etwa wie diese Kabel, die man manchmal auf großen Straßen sieht und die anonym messen, wie viele Autos einen bestimmten Punkt passieren. Nur digital und mit Mobiltelefonen, über ganze Städte hinweg. Die einzige Information, die wir speichern, ist die Position der Telefone. Alle personenbezogenen Daten werden innerhalb weniger Sekunden unwiderruflich gelöscht. Wir geben unseren Kunden einfach die Möglichkeit, zu sehen, wie sich die Besucher einer Stadt als Gruppe bewegen”, sagt Staffan Liljestrand.
Der mediale Fokus darauf, dass sich der Dienst zur Verfolgung von Einzelpersonen nutzen ließe, war erheblich. Doch Staffan Liljestrand sagt, dass sowohl das Unternehmen selbst als auch seine Kunden überhaupt kein Interesse an Einzelpersonen haben. Es war für das Unternehmen allerdings schwierig, diese Darstellung zu drehen, was einige Kunden eine abwartende Haltung gegenüber dem Dienst hat einnehmen lassen.
„Einige unserer Kunden haben sich entschieden, die Entscheidung der Datenschutzbehörde abzuwarten, bevor sie den Dienst nutzen. Diese Entscheidung bedeutet, dass mehr von ihnen den Dienst mit gutem Gewissen nutzen werden”, sagt Staffan Liljestrand.