Alles andere als einfach und viele Menschen ausschließend: Das „Deutschlandticket“ – eine Kritik. Oder: Was ist das „nationale Monitoring mit pseudonymisierten IDs“?

Powidatschl/ April 30, 2023/ alle Beiträge, Verbraucherdatenschutz/ 2 comments

Diesem Thema widmet die Bürgerrechtsgruppe freiheitsfoo, deren örtlicher Schwerpunkt Hannover und Norddeutschland ist, einen umfangreichen, aber lesenswerten Beitrag auf ihrer Homepage.

Zu Beginn werden von freiheitsfoo die Kritikpunkte kurz benannt: „Um die Ausgestaltung dieses Tickets gab es von Anfang an Diskussionen. FDP-Bundesverkehrsminister Wissing hat gleich zu Beginn und unabrückbar die Betonung auf ein ausschließlich rein ‚digitales‘ Ticket gelegt (FDP-Neusprech: ‚Digital first – Bedenken second‘). Das vormalige 9-Euro-Ticket war ein Monatsticket und war für die drei Monate Juni bis August 2022 verfügbar. Anstelle das 9-Euro-Ticket einfach zu verlängern benötigte die Parteipolitik acht Monate, um ein neues Modell als Nachfolger an den Start zu bringen. Davon abgesehen entzündet sich nun Kritik in mehrfacher Hinsicht:

1. Die Preisgestaltung
2. Die viele Menschen ausschließende Ausführung als ‚digitales Ticket im Abo‘
3. Die Gefahr neuer, bislang wenig diskutierter Profilbildung
4. Unklare Rahmenbedingungen und Preise
5. Kinder ohne eigenes Smartphone erhalten kein ‚Deutschlandticket‘

Vor allem der dritte Punkt, die Gefahr für die informationelle Selbstbestimmung der ‚Deutschlandticket‘-Nutzer scheint uns derzeit öffentlich noch völlig unterbelichtet zu sein, weil Details dazu erst jetzt und auch nur in Ansätzen bekannt geworden sind, und dieser Komplex wirft einige unbeantwortete Fragen auf…“

Die Kritik der Bürgerrechtsgruppe freiheitsfoo zu diesem dritten Punkt, der

„Gefahr neuer, bislang wenig diskutierter Profilbildung“:

„Das 9-Euro-Ticket konnte an jedem im öffentlichen Raum stehenden Fahrkartenautomaten gegen Bargeld erworben werden. Dass dessen Nachfolge nun digital wird liegt neben den Ambitionen von Minister und Ministerpartei sicher auch daran, dass es zwischen den Verkehrsdienstleistern Streitigkeiten um die Verteilung der vorhandenen Geldströme gibt. Für eine Abrechnungsgrundlage soll nachvollziehbar sein, welche Verkehrsverbünde wie viele der ‚Deutschlandstickets‘ verkauft haben und wie viel ‚Personenkilometer‘ die Unternehmen im gleichen Zuge als Anteil daran geleistet haben. Zur Klärung dieser Fragen soll eben nun eine neue IT-Infrastruktur geschaffen werden. Für deren Umsetzung und Betrieb wurde die in Köln ansässige ‚VDV eTicket Service GmbH & Co. KG‘ [8] ausgewählt. Das sich als ‚(((eTicket Deutschland‘ bezeichnende Unternehmen ist ein 2002 entstandener Zusammenschluss aus 14 Verkehrsverbünden und -unternehmen und fünf Industriekonzernen (Cubic Deutschland, Infineon, Siemens, T-Systems und TEWET). Ausgangspunkt war der Wunsch des Verbands Deutscher Verkehrsunternehmen (VDV), einheitliche Standards für Verkauf und Kontrolle von Fahrkarten in Deutschland zu schaffen. Und so nun eben auch ‚digital‘ für das gesamte Land.

In einem von eTicket Deutschland veröffentlichten Dokument ‚Einstieg Deutschlandticket‘ [9] heißt es: ‚Das Deutschlandticket macht erstmalig ein nationales [Verkehrsverbünde]-System notwendig. In diesem System laufen alle Ausgabe- und Kontrolltransaktionen aller [Verkehrsanbieter] zusammen, so dass ein nationales Monitoring sichergestellt werden kann. Hierbei werden keine Kundendaten erfasst, sondern nur pseudonymisiert IDs, die dem PV eine Übersicht zur Grundgesamtheit aller Tickets und der Kontrollsituation geben. (…) zum 31. Juli 2023 muss jedes Unternehmen aber in der Lage sein, elektronische Tickets auch elektronisch kontrollieren zu können. Bis zum 31. Dezember 2023 müssen alle ausgebenden Unternehmen an den Kontroll- und Sperrlistenservice (KOSE) angeschlossen sein, um Tickets zu sperren oder gegen die Sperrliste zu prüfen.‘

Was ist dieser ‚KOSE‘? Dazu das Dokument weiter: ‚Alle [Verkehrsverbünde] melden ungültig gewordene eTickets an den KOSE. Dies kann z. B. im Fall von Ticketverlust, Vertragskündigung oder Zahlungsausfall notwendig werden. Damit Fahrgäste nicht in Region A ein Deutschlandticket kaufen, die Zahlung zurückrufen und dann den Rest des Monats in Region B mit einem nach Kontrolle gültigem Ticket fahren können, werden diese Tickets auf die Sperrliste gesetzt. Der Dienstleister holt jeden Tag automatisiert eine frische Sperrliste ab und spielt diese in seine Kontrollgeräte.‘ Wenn damit der Abgleich, ob ein vor Ort überprüftes Ticket gesperrt ist oder nicht, wenn dieser Abgleich nur lokal auf dem Handheld-Fahrkartenprüfgerät und ohne Speicherung oder Ausleitung von Ticketdaten erfolgt, dann ist die Sorge vor einer deutschlandweiten zentralen Erfassung von personenbezogenen Daten zunächst unbegründet. Unklar bleibt aber, was genau mit dem ‚nationalen Monitoring‘ unter zentraler Erfassung und Verarbeitung pseudonymisierter Daten aller Deutschlandticket-Nutzer*innen gemeint ist. Klar ist, dass hier eine bundesweit zentrale Datenbank geschaffen wird, in die zumindest auch ein Teil jener Daten fließen sollen, die bislang dezentral von den einzelnen Verkehrsunternehmen verarbeitet werden. Fraglich ist die genaue Ausgestaltung der gespeicherten Datensätze. Wenn sie ‚pseudonymisiert‘ sind, enthalten sie offenbar Daten, die mit zusätzlichen Informationen (wie sie typischerweise Sicherheitsbehörden bei Anfragen haben) re-personalisiert werden könnten. Da von ‚Ausgabe-‘ und ‚Kontrolltransaktionen‘ die Rede ist (s.o.), scheinen Käufe des Tickets ebenso gespeichert zu werden, wie deren Kontrolle, z.B. beim Benutzen eines Busses. Sofern daraus eine genaue Nachverfolgung der von den Unternehmen eingenommenen resp. erbrachten Einnahmen und Transportleistungen erstellt werden soll, wäre dies zur gegenseitigen und zentralen Abrechnung zunächst plausibel. Werden dabei allerdings mehr Angaben verarbeitet, als Einstiegs-, Umstiegs- und Ausstiegsdaten von (anonymen) Reisenden, sowie ggf. das ticketausgebende Unternehmen, so würde der (auch retrograden) Profilbildung Tür und Tor geöffnet.

Unsere Anfrage (d. h. von freiheitsfoo) an das Bundesverkehrsministerium [10] blieb trotz (verlängerter) Fristsetzung und telefonischer Nachfrage bislang unbeantwortet, so dass Sorgen einer heiklen Bewegungsdaten-Vorratsspeicherung nicht ausgeräumt werden können.“

Das Fazit der Bürgerrechtsgruppe freiheitsfoo zu diesen Punkt: „Sicher ist: Das ‚Deutschlandticket‘ hebelt das Recht auf anonymen Erwerb der Fahrkarte von Anfang an aus – ohne jegliche öffentliche oder parlamentarische Diskussion dazu. Es vermag aber auch noch weiter dazu ‚taugen‘, das Recht auf anonymes Reisen, auf anonyme Fortbewegung zu beschränken oder ganz aufzuheben. Sofern das neue ‚nationale Monitoring‘ im Zuge des ‚Deutschlandtickets‘ mit pseudonymisierten Identitäten Bewegungsdaten erfasst würde unmittelbar ein großes Interesse staatlicher Behörden (Polizei, Zoll, Geheimdienste), von Unternehmen und Datendieben daran erwachen. Mit all den daraus resultierenden Gefahren für die informationelle Selbstbestimmung der Betroffenen. Denn aus pseudonymisierten Daten, die eben nicht anonymisiert sind, den Personenbezug wiederherzustellen dürfte ein Leichtes sein, wie jüngere Studien nahelegen. [11]“