So unscheinbar kommen Konzerne an (Meta)Daten von dir

Vorwort

Seit 2018 bin ich Mitglied bei Blinkist, einem im August 2012 in Berlin gegründeten Online-Dienst, der einzelne Sachbücher zusammenfasst und diese Essays seinen Abonnenten zur Verfügung stellt. Die Inhalte werden als Text- und Audiodatei bereitgestellt, die innerhalb von etwa 15–30 Minuten gelesen oder angehört werden können. (Wikipedia). Im Prinzip gibts dort nichts weiter als Zusammenfassungen von Sachbüchern, die einem die Zeit sparen, das Buch selbst zu lesen. Komfort und Bequemlichkeit des 21. Jahrhunderts lassen grüßen.

Dass aber während deiner Nutzung von Blinkist (oder, wie die Marketing-Experten es nennen, deiner "User Journey" bzw. "User Experience") fast alle großen Konzerne ebenfalls erfahren, was du da treibst, dürfte den Wenigsten bewusst sein. Damit du ein Gefühl dafür bekommst, wie viele Firmen während der Nutzung des Angebots von Blinkist Daten bzw. Metadaten von dir bekommen, hebe ich diese im Verlauf des Artikels einzeln hervor. Um die Übersichtlichkeit nicht zu gefährden, tue ich das pro Konzern nur einmal.

Warum ich Blinkist als Beispiel genommen habe

In den zwei Jahren, die ich bisher Mitglied bin, durfte ich miterleben, wie ein Dienst, der von mir als eher datensparsam wahrgenommen wurde, sich langsam aber sicher zu einem weiteren kleinen Datensammler entwickelt hat. Dieser füttert fleißig die Datenspeicher der großen Konzerne und bestätigt damit deren Geschäftsmodell.

Da mich dieses Vorgehen bei Firmen inzwischen richtig wütend macht und in Kürze eine Abonnement-Verlängerung anstehen würde, gibt es nun diesen Blogbeitrag.

Ablauf

Zuerst rufe ich die Internetseite auf. Dann logge ich mich mit meinem bestehenden Account auf der Internetseite ein. Anschließend lade ich die Android-App herunter und analysiere darin die Anzahl der Tracker.

Inhaltsverzeichnis

1. Erster Aufruf der Seite blinkist.com
    Inhalt
    Tracking/Monitoring
    APIs/Scripte
    Cookie-Policy
    Zwischenfazit nach Seitenaufruf
2. Login zur Nutzung des Dienstes
    Zwischenfazit nach Login
3. Download der Android-App
    Datenschutzanfrage an Blinkist
4. Fazit
5. Mein Rat
6. Alle an der Datenverarbeitung beteiligten Firmen
7. Prozentualer Anteil der Datenverarbeitung in den einzelnen Ländern
    Der Anteil im Detail

Weiterführende Links

1. Erster Aufruf der Seite blinkist.com/de

Für den Aufruf nutze ich Firefox ohne jegliche Addons und lese über die Entwickler-Tools im Reiter "Netzwerk" die aufgerufenen Adressen aus. Gegebenenfalls frage ich bei einem "Web Hosting Search Tool" den Provider bzw. Hoster ab, der sich hinter einer Adresse befindet, wenn das nicht offensichtlich ist.

Inhalt

• Die Inhalte werden von Amazon CloudFront CDN geladen.
  https://d3vgtxwb4p4ahw.cloudfront.net, https://static-cdn.blinkist.com und https://images.blinkist.com

• Weitere Inhalte werden von Cloudflare geladen.
  https://static.blinkist.com

Tracking/Monitoring

• Es wird ein Tracking-Script von Newrelic eingebunden.
  https://js-agent.newrelic.com/nr-1167.min.js

• Es wird ein Tracking-Script von Airbrake eingebunden.
  https://api.airbrake.io/api/v3/projects/190497/notices?key=1f5ae073a6a424eb4a0bf9106a63ccc6

• Es wird der Google Tag Manager eingebunden.
  https://www.googletagmanager.com/gtm.js?id=GTM-PHZR5SB

APIs/Scripte

• Es wird ein Script aus der Microsoft Azure Cloud eingebunden.
  https://standard.t-0001.t-msedge.net/

• Es werden die Google APIs geladen.
  https://apis.google.com/js/platform.js?onload=initGoogleApis

• Es werden die Facebook APIs geladen.
  https://connect.facebook.net/de_DE/sdk.js und https://scontent.xx.fbcdn.net/

Cookie-Policy

• Die Cookie-Bot-Scripte werden von Microsoft Servern geladen.
  (https://consent.cookiebot.com/uc.js)

Zwischenfazit nach Seitenaufruf

Ohne aktivierten Werbeblocker und mit ignoriertem Cookie-Banner haben allein mit dem Aufruf der Seite mindestens fünf Konzerne (Amazon, Cloudflare, Google, Microsoft, Facebook) folgende Daten von dir erhalten:

• Datum und Uhrzeit (Zeitpunkt des Aufrufes)
• IP-Adresse (die öffentliche IP-Adresse deines Anschlusses)
• Hostname (der Hostname zu deiner IP-Adresse)
• User-Agent-String (Zeichenkette zur Identifizierung deines Browsers)
• Referrer (wo du hergekommen bist)
• HTTP-Anfrage (die eigentliche Anfrage mit der URL, die du aufgerufen hast, ggf. mit Cookies)

Du kannst diese Daten auch nochmal "mit echten Daten befüllt" auf folgenden Seiten ansehen:

• kluge.in-chemnitz.de/tools/browser.php
• magik.de/php4-png/datensatz.php4

Wenn du wissen willst, wie einzigartig dein momentan verwendeter Browser ist, klicke hier: panopticlick.eff.org

2. Login zur Nutzung des Dienstes

• Um sich bei Blinkist anzumelden, muss man ein Google Captcha lösen. Ob das immer so ist, kann ich im Moment nicht sagen. Jedenfalls kommt es vor und ich konnte mich ansonsten nicht einloggen.

• Falls du Facebook Connect für den Login verwendest, brauchst du ein Facebook-Konto und Blinkist erhält Zugriff auf deinen Facebook-Namen, dein Facebook-Profil- und Titelbild, die bei Facebook hinterlegte E-Mail-Adresse und deine Facebook-ID.

• Solltest du Google Connect für den Login verwenden, benötigst du ein Google-Konto und Blinkist erhält Zugriff auf deinen Vornamen, Nachnamen, deine E-Mail-Adresse, deinen Benutzernamen, deine Google-Profil-URL und dein Profilbild.

Zwischenfazit nach Login

Jetzt kann – je nach gewählter Loginart – mindestens ein Konzern (Google und ggf. Facebook) die bisher schon gesammelten Daten aus deinem Seitenbesuch mit dem Login bei Blinkist zusammenführen. Schon kann die Erstellung eines detaillierten Nutzer- und Bewegungsprofils beginnen.

3. Download der Android-App

• Wenn du die App über die Buttons im Fußbereich der Internetseite von Blinkist herunterlädst, wird dieser Klick von Adjust getrackt.
  https://app.adjust.com/w1rynlu?campaign=organic&label=______footer-20170922-landing_page_app_icon____/de__

• Der Vollständigkeit halber: Die App liegt im Google Play Store.

• Die App enthält laut Exodus Privacy ganze 11 Tracker, nämlich von Adjust, Amazon Analytics, Braze (ehemals Appboy), Facebook Analytics, Facebook Login, Facebook Places, Facebook Share, Google Analytics, Google CrashLytics, Google Firebase Analytics und HockeyApp.

Eine detaillierte Analyse der App erspare ich mir hier, denn die Zahl der Tracker spricht für sich.

Datenschutzanfrage an Blinkist

Lieber Blinkist-Nutzer,

wir haben deine Anfrage zum Thema Datenschutz erhalten und bestätigen dir hiermit den Eingang der Nachricht.

Unser Datenschutzbeauftragter wird sich innerhalb der gesetzlichen Frist von 30 Tagen um dein Anliegen kümmern und sich innerhalb von 30 Tagen bei dir melden. Vielen Dank für deine Geduld.

Freundliche Grüße
Dein Blinkist-Team

Sehr geehrte Damen und Herren,

inzwischen ist Ihre gesetzliche Frist bereits seit 7 Tagen verstrichen und bei mir hat sich weder ein Datenschutzbeauftragter gemeldet, noch habe ich eine Antwort auf meine Frage erhalten.

Wenn bis 13.05.2020 niemand meine Fragen beantwortet, sehe ich mich leider gezwungen, eine Beschwerde bei der zuständigen Datenschutzbehörde einzureichen.

Mit freundlichen Grüßen
Christian Süßenguth

Hallo Christian,

wir haben dir bereits am 08. April zu deiner Anfrage geantwortet.

Da ich vermute, dass unsere Support Emails in deinem SPAM-Filter hängen bleiben, schicke ich dir diese nochmal anbei:

_____________________________

Hallo Christian,

die von dir genannten Tracker dienen uns dazu, unser Marketing zu optimieren, aber auch um Abstürze der App zu analysieren und die Qualität somit zu erhöhen.

ABER: wir nehmen dabei Datenschutz sehr genau, d.h. alle von uns genutzten Services sind in unserer Datenschutzerklärung aufgeführt und wir arbeiten nur mit Dienstleistern zusammen, die uns ein hohes Datenschutz-Niveau garantieren. Dazu haben wir mit fast allen Dienstleistern sogenannte "Data Processing Agreements" abgeschlossen, in welchen wir uns die GDPR-getreue Verarbeitung der Daten zusichern lassen.

Falls du noch mehr über deine Daten erfahren möchtest, kannst du einen Export deiner bei uns gespeicherten Daten in den Einstellungen unserer Web-App unter diesem Link beantragen.
Wir sind da sehr transparent.

Ich hoffe, das hilft weiter.

Viele Grüße aus Berlin,

Christoph

4. Fazit

Ich fühle mich als Kunde von einer Firma wie Blinkist, für deren Dienst ich jährlich Geld bezahle, im wahrsten Sinne des Wortes datentechnisch verkauft. Alles, was sich an Daten abgreifen lässt, wird bei Blinkist (oftmals indirekt über Dienstleister) abgegriffen. Da spielt es keine Rolle, ob ich zahlender Kunde bin oder nicht.

Ich persönlich kündige meinen Account unverzüglich. Das tut Blinkist sicher nicht weh, aber wenn jeder so entschlossen für seine Freiheit im Internet handelt, können wir gemeinsam auch bei Firmen wie Blinkist etwas bewegen. Denn diese Firmen müssen in meinen Augen endlich begreifen, dass Datenschutz und Datensicherheit keine Floskeln sein dürfen ("Ihre Privatsphäre ist uns sehr wichtig..."), sondern aktiv gelebt werden müssen.

Getreu dem Motto: Nicht alles, was möglich ist, muss auch umgesetzt oder getrackt werden.

5. Mein Rat

• Nutze einen Werbeblocker wie uBlock Origin wo du nur kannst. Das ist die wirksamste Form des Widerstands gegen solche Vorgehensweisen.

• Nutze einen der freien Browser, die wir haben. Das kann z.B. Firefox oder Ungoogled Chromium sein.
  Google Chrome, Opera und Konsorten sind in meinen Augen nicht geeignet.

• Mit dem Browser-Addon Cloud Firewall kannst du außerdem effizient alle Zugriffe auf Ressourcen großer Konzerne wie Google, Amazon, Facebook, Apple, Microsoft und Cloudflare blockieren.

• Mit dem Browser-Addon Temporary Containers isolierst du jeden einzelnen Tab in einen neuen Cookie-freien Container und erschwerst damit das seitenübergreifende Tracking.

• Es gibt auch die Möglichkeit, deine DNS-Server so anzupassen, dass automatisch alle Anfragen z. B. an Tracking-Dienste gar nicht erst erreichbar sind. Das ist vor allem dann nützlich, wenn du diese Dienste in Apps am Smartphone blockieren möchtest. Das ist mit Pi-hole auch in deinen eigenen vier Wänden möglich.
  Warnung: Das kann die Funktion mancher Apps komplett lahmlegen. Du solltest also wissen, was du tust.

6. Alle an der Datenverarbeitung beteiligten Firmen

Die Datenschutzerklärung von Blinkist ist sehr ausführlich und dadurch recht lang. Vermutlich werden deswegen nur wenige Personen lesen, was darin alles steht.

Daher hier eine Auflistung aller an der Datenverarbeitung beteiligten Firmen mit Name, Zweck und Standort vom 20.04.2020 (auch sehr lang):

Soziale Medien

Analyse-Tools und Werbung

Bei Nutzung des Newsletters

Zahlung des Abonnements

Webhosting und Analyse-Zwecke

Sonstige Dienste

7. Prozentualer Anteil der Datenverarbeitung in den einzelnen Ländern

Ich habe die Firmen und die Anteile der Länder, in denen die Verarbeitung durchgeführt wird, mal gezählt und die Anteile ausgerechnet. 42 unterschiedliche Firmen erhalten bei Blinkist theoretisch Daten von dir. In der folgenden Auflistung sind Google und Facebook doppelt aufgeführt, da diese laut Datenschutzerklärung teilweise sowohl in den USA als auch in Irland ansässig sind (Steuersparmodell):

TL;DR

USA: 66,6 %, Europa: 28,6 %, Großbritannien: 2,4 %, Australien: 2,4 %

Der Anteil im Detail

USA

Gesamtanzahl: 28
Anteil insgesamt: 66,6 %

• AdColony
• Adobe
• Airbrake
• Amazon
• Amplitude
• Braze
• Evernote
• Facebook (doppelt)
• Google (doppelt)
• Influx
• KeyWee
• LinkedIn
• Microsoft
• Newrelic
• Outbrain
• Periscope
• Pinterest
• Quora
• Recurly
• Revcontent
• Rocket Science Group
• Snap
• Stripe
• Taboola
• Tune
• TVSquared
• Twitter
• Zendesk

Europa

Gesamtanzahl: 12
Anteil insgesamt: 28,6 %

Deutschland

Gesamtanzahl: 3
Anteil insgesamt: 7,1 %

• Adjust
• D.C. Media Networks
• Data Virtuality GmbH

Frankreich

Gesamtanzahl: 1
Anteil insgesamt: 2,4 %

• IMEDIAPP

Spanien

Gesamtanzahl: 1
Anteil insgesamt: 2,4 %

• Typeform

Malta

Gesamtanzahl: 1
Anteil insgesamt: 2,4 %

• Hotjar Ltd.

Irland

Gesamtanzahl: 6
Anteil insgesamt: 14,2 %

• Facebook (doppelt)
• Google (doppelt)
• HubSpot
• MongoDB
• Oath
• YouTube

Großbritannien

Gesamtanzahl: 1
Anteil insgesamt: 2,4 %

• Datachoice

Australien

Gesamtanzahl: 1
Anteil insgesamt: 2,4 %

• ChargeDesk

Du möchtest mir Feedback hinterlassen oder hast eine Anregung?
Schreib mir über Kontakt, per Telegram oder unten in die Kommentare eine Nachricht.

Weiterführende Links

• Startseite von Blinkist vom 20.04.2020 [archive.md]
• Blinkist Datenschutzerklärung vom 20.04.2020 [archive.md]
• Exodus Privacy Report der Android-App von Blinkist
• Pi-hole filtert den Scheiß aus dem Netz