Interessant, dass es jeden ärgert, wenn seine privaten Bewegungsdaten öffentlich einsehbar sind. Dass diverse Dienste und amerikanische Konzerne noch viel mehr Informationen erfassen, speichern und auswerten, stört vergleichsweise weniger Menschen. Augen zu und gut. Ähnlich wie Flinten-Uschis Stoppschilder.

Dass diverse Dienste und amerikanische Konzerne noch viel mehr Informationen erfassen, speichern und auswerten, stört vergleichsweise weniger Menschen

Denke das stört schon eine ganze Menge Menschen. Bei Google & Co.

- hinterlasse ich aber nur Daten, wenn ich deren Dienste auch nutze und

- ich bekomme eine Gegenleistung dafür.

Beides ist bei den Flighttrackern fundamental anders.

Es gehören Gesetze her, die das _Sammeln_ von Daten verbieten, wenn es nicht für die unmittelbare Dienstleistung erforderlich ist

Also zumindest in der EU gibt es mit der DSGVO dazu klare Regelungen, siehe § 17.

Das bleibt doch jedem selbst überlassen.
Die von Dir erwähnten Dienste haben einen Mehrwert, den ich nutzen kann, oder nicht.
Dafür bezahlt man eben mit seinen Daten.
Eigene Abwägung.

Flightradar und Konsorten haben aber für den einzelnen Piloten überhaupt keine Mehrwert.
Also auch keine Berechtigung meine Daten benutzen zu dürfen.

Der Vergleich hinkt daher gewaltig.

>> Also zumindest in der EU gibt es mit der DSGVO dazu klare Regelungen, siehe § 17.

"Klar" ja - das war nicht der Punkt. Nur eben knapp vorbei an echtem Datenschutz.

>> Die von Dir erwähnten Dienste haben einen Mehrwert, den ich nutzen kann, oder nicht.

Der Punkt ist, dass du bei Google eben nur komplett rein oder raus kannst. Und wenn du die Dienste nutzen willst - was 90% der Menschen tun - MUSST du eben erlauben, dass sie nicht nur alles sammeln, sondern auch noch ad infinitum und nicht wirksam überwacht speichern, auswerten und nutzen.

Gleiches Problem bei Apple.

Viele verstehen die Problematik nicht einmal. Auch das ist Teil des Problems.

Nur eben knapp vorbei an echtem Datenschutz

Warum meinst Du?

Die Notwendigkeit, dass man aktiv widersprechen muss.

Echter Datenschutz würde das Sammeln bzw. Speichern von Daten, die nicht für eine Dienstleistung am Eigentümer der Daten benötigt werden, untersagen - nicht nur ein Opt-Out oder eine Auskunftspflicht vorsehen.

Bestes Beispiel sind die Google Bewegungsdaten. Kaum einer "nutzt" die doch für sich selbst, aber sie werden gesammelt, gespeichert und das für immer. Dass das überhaupt unter einer DSGVO möglich ist. Selbst wenn eine Auskunftspflicht und vielleicht sogar Widerspruch oder Löschmöglichkeit besteht - solange dafür der Einzelne aktiv werden muss (opt-out), werden das nur wenige tun, und eine nahezu unbegrenzte Datenhamsterei wird möglich - deren Sinn und Zweck kein guter sein kann.

Die Flugtracker sind ein ebenso gutes Beispiel. Es gibt mehrere davon, und wenn du konsequent überall widersprechen willst, dass hast du eine Menge zu tun. Warum ist es nicht selbstverständlich, dass die nur speichern und veröffentlichen dürfen, wenn man aktiv zugestimmt hat? Und das in Europa.

Geht auch nicht überall. Bei einigen Anbietern ist es relativ einfach möglich, bei anderen schon etwas fummeliger, und andere sagen tatsächlich (wörtlich) "Verklag uns doch!".

Die Flugtracker sind ein ebenso gutes Beispiel. Warum ist es nicht selbstverständlich, dass die nur speichern und veröffentlichen dürfen, wenn man aktiv zugestimmt hat?

Was die Flugtracker machen, halte ich - zumindest wenn private Flugzeuge betroffen sind - für vollkommen unvereinbar mit europäischen Datenschutzbestimmungen. Hier werden ohne Zustimmung des Betroffenen und ohne dass eine Geschäftsbeziehung mit dem Tracker besteht personenbezogene Daten erfasst und gespeichert.

Kein Problem des Gesetzes, sondern von dessen Anwendung bzw. Durchsetzung.

Das hier ist die Antwort die ich von den Schweden bezüglich meiner Datenschutz Beschwerde gegen FlightRadar24 ein dreiviertel Jahr später erhalten habe. Bin gespannt auf das Ergebnis und werde berichten.

Dear Mr.,

You have lodged a complaint under the General Data Protection Regulation (GDPR) with The Swedish Authority for Privacy Protection (IMY) against Flightradar 24 AB (Flightradar).

IMY is currently investigating Flightradar’s processing of data pertaining to i.a. live tracking of airplanes through the use of such information like aircraft registration numbers, as well as the company’s handling of data subject requests (case no. 12345). Our ambition is to deliver a decision in this case soon.

Your complaint is closely related to the issues currently under investigation in the aforementioned supervisory case. However, your complaint is not included since it came in after the supervisory case was initiated. IMY hereby notes that your specific issues regarding Flightradar’s processing of data is already being examined by IMY. Following the decision, you would also be in a better position to assess to which extent you can assert your data subject rights in relation to Flightradar.

In the context above, IMY would like to ask if you still consider your complaint to be relevant. Please respond within two weeks of today’s date and refer tocase no. 6789 in your reply if you consider that your complaint is still relevant. If you do not reply within two weeks, we will presume that you no longer wish to pursue your concern and proceed to close our file in this matter. If your specific issues with Flightradar occur again in the future, you are always free to lodge a new complaint with IMY.

Best regards

XY

Legal Advisor

Swedish Authority for Privacy Protection (IMY)

www.imy.se

IMY’s role is to uphold the protection of personal data, for example your data about health and finances, monitoring that they are handled correctly and do not fall into the wrong hands.

@Tobias, du hast vielleicht formal Recht, wenn du meinst, das Gesetz ließe eine konsequentere Verfolgung zu, die aber nicht stattfindet.

Nur: in Zeiten, wo Gesetze (Legislative) von Ministerien (Exekutive) geschrieben werden und in großen Paketen unter euphemistischen Namen durchgewinkt werden, außerdem alle drei (bzw sogar alle vier) staatlichen "Gewalten" durch Parteien besetzt werden, die in ihrem Bemühen um Wählerstimmen sich immer weniger unterscheiden.... wo ist da der Unterschied?

Im Ergebnis ist es egal, ob der Mangel im Gesetzestext oder in dessen Anwendung steckt. Sieht man sehr deutlich auch an der grundgesetzwidrigen Auslegung von Gleichberechtigung als "Gleichstellung".

Ist ja kafkaesk. Oder etwas moderner:

Die Pläne für die intergalaktische Umgehungsstraße, für die die Erde gesprengt werden muss, lagen ein Jahr lang beim Nachbarstern aus. Sie hätten sich ja beschweren können...

Ja so toll, wird sich im ach so modernen Schweden um den Datenschutz gekümmert welches bei uns auch gerne als Musterland für Digitalisierung und Rechtsstaatlichkeit heran gezogen wird.

Ich genieße mein Hobby der Privatpilotenfliegerei, weil es mich von meinem Beruf gut abschalten lässt: Ich bin Gesellschafter in einer größeren Kanzlei und berate ausschließlich zum Datenschutzrecht. Wenn sich in diesem Thread beide Themen verbinden, möchte ich etwas dazu schreiben:

Als Warm-up ein einfaches Gedankenspiel:

Die Maschine steht im Eigentum des Leasinggebers (1), der Vercharterer (2) ist der Halter der Maschine, eine weitere Person ist Charterkunde (3), noch eine andere Person PIC (4) und ich bin Passagier (5). Eine andere eine Person hat eine kleine ADSB-Antenne auf dem Balkon (6). Und FR24 bereitet die Daten auf und speichert sie (7). Drei weitere Nutzer (8a, 8b, 8c) mit unterschiedlichen Hintergrundwissen rufen nun die Daten ab. Könnten nun alle zehn hier beteiligten Personen behaupten, es seien „ihre“ Daten?

Es gibt nicht „meine“ oder „Deine“ Daten. Das Datenschutzrecht und auch die europäische Rechtsordnung insgesamt kennen kein allgemeines Eigentum an Daten. Es gab politische Pläne, das anders zu regeln; und Sonderfälle wie ein Datenbankrecht oder Urheberrechte (die hier keine Relevanz haben) lassen wir außer Betracht. Im vorgenannten Beispiel ließen sich die Daten mit unterschiedlichen Argumentationen jeder der Personen zuschreiben.

Es geht im Datenschutzrecht um die Balance zwischen der Gefahr von Daten und dem Nutzen von Daten. Dass ich in der getrackten Maschine sitze, ist jemandem (8b) bekannt. Für die datenschutzrechtliche Bewertung sind deshalb zwei Fragen relevant: 1.) Handelt es sich um personenbezogene oder personenbeziehbare Daten? 2.) Existiert dann eine Erlaubnis für die konkrete Verarbeitung?

Frage 1) ist die Gretchenfrage des Datenschutzrecht und sorgt seit rund 40 Jahren für Diskussionen. Im Kern kommt es auf die Fähigkeit einer Stelle an, Daten auf einen Menschen zu beziehen. Die Schwierigkeit zeigt sich ja auch hier in der Diskussion: Zwar speichert FR24 die Daten, aber das Wissen, um wen es dabei geht, hat FR24 vielleicht nicht. Vielleicht hat ein Nutzer dieses Wissen, und wahrscheinlich ist das bei Usern auch wieder unterschiedlich. Wem die D-IAFM gehört, weiß der Eine, aber nicht der Andere. Ob das der Fall ist, kann wiederum FR24 nicht unbedingt wissen.

Deshalb präzisieren Gerichte immer wieder, welche Stelle relevant ist, wie Fähigkeiten im Detail zu bewerten sind, was im Nebeneinander oder Miteinander von mehreren Stellen gilt, und so weiter. Im Kern wird die Antwort auf Frage 1 zwar nicht immer, aber doch in verschiedenen Fällen immer wieder „ja“ lauten. Denn selbst wenn FR24 nicht weiß, auf wen sich die Daten beziehen, aber FR24 durch Veröffentlichung irgendjemandem, der die Daten auf einen Menschen beziehen kann, verfügbar macht, sind die Daten auch für FR24 datenschutzrechtlich relevant. Dies folgt aus einem Verfahren, was der EuGH erst vor wenigen Wochen entschieden hatte. Wir hatten das geführt zur Frage von Fahrzeugidentifikationsnummern. Dabei ging es zwar nicht um Flugzeuge, auch sendet ein Fahrzeug seine VIN ja nicht aus. Aber dieser Grundsatz lässt sich übertragen. Deshalb wird FR24 das praktisch nicht trennen können und insgesamt die Datensätze als datenschutzrechtlich relevant behandeln müssen.

Frage 2 ist differenzierter. Nein, wie hier schon richtig geschrieben, gibt es weder eine Einwilligung, (Opt-in) noch irgendeine Vertragsbeziehung mit FR24. Das sind aber auch nicht die beiden einzigen möglichen Rechtsgrundlagen. Relevant dürfte hier eine allgemeine Interessenabwägung sein. Das ist im Datenschutzrecht so etwas wie ein Waagschalenmechanismus: Was spricht für wen für die Verarbeitung, was spricht aus Sicht der betroffenen Person dagegen.

Für einen Umgang mit den Daten spricht zunächst einiges: Es sind keine Daten aus der Intim- oder auch nur Privatsphäre. Sondern aus der Sozialsphäre; ich bewege mich nun einmal durch den öffentlichen (Luft-)raum. Auch erlauben die Flugspuren kein so detailliertes Bild über meine Lebensführung, wie dies beim Pkw der Fall wäre; der Besuch beim Psychiater, bei den anonymen Alkoholikern und bei der Affäre ließen sich vielleicht aus der Fahrspur eines Autos ableiten, aber eher nicht aus den Flugspuren eines Flugzeug. Und anders als ein Autokennzeichen sendet ein Luftfahrzeug seine Kennung aktiv aus. Auch ist klar, dass das ausgesendete Signal bei vielen anderen Stellen empfangen und in irgendeiner Form verarbeitet wird - sei es bei Langen, oder im von mir benutzten SkyEcho oder in der von mir geflogenen SR 22. Ein Transponder ist im Grundsatz gewollte Kommunikation.

Nur ist zwischen gewollten und ungewollten Empfängern zu unterscheiden. Und wohl auch zwischen der genauen Form der Verarbeitung: Die Anzeige in Echtheit hat einen anderen Charakter, als das Archivieren der Spuren und die spätere Abrufbarkeit.

Andererseits lassen sich natürlich sehr wohl Informationen ableiten, die niemand mit der Öffentlichkeit teilen will. Ob ich nun einen Tag auf Juist oder drei Tage in Zell am See verbringe, muss niemand aus meinen Flugspuren ablesen. Und Echtzeitdaten haben zwar noch einen gewissen Nutzen in Bezug auf Sicherheit; und bei Linienflügen lässt die Pünktlichkeit die letzten Umläufe sinnvolle Rückschlüsse auf den anstehenden Flug zu. Aber aus archivierten Daten privater Maschinen lässt sich kaum etwas Berechtigtes für Dritte ableiten.

Im Rahmen der Waagschale ist aber auch das Verhalten der Personen relevant. Wenn etwa der YouTuber Pilot Frank die Öffentlichkeit sucht, sein Kennzeichen D-MCCV kommuniziert und seine Flüge öffentlich nachbereitet, wäre es für ihn schwer, hier ein entgegenstehendes Interesse überzeugend darzulegen. Bei Friedrich Merz ist die Sache etwas anders gelagert. Nach meinem Verständnis hat er als Kennzeichen bewusst Foxtrott Mike für die beiden letzten Buchstaben gewählt. Natürlich legt er damit nicht automatisch seine Identität offen. Früher gab es aber auch ein Pressefoto von ihm vor (seiner? damaligen?) C 172. Andererseits dürfte er ein nachvollziehbares Sicherheitsinteresse haben. Vielleicht Angst vor Anschlägen, Sabotage. Auch wäre wahrscheinlich gerade er ein attraktives Ziel für Klimaaktivisten. Bei ihm spricht also viel dafür, dass ein Trackingdienst die Maschine sowieso nicht aufbereiten dürfte.

Wir Normalos liegen dazwischen: Ein Trackingdienst darf die ADSB-Spuren einsammeln und öffentlich zugänglich machen - solange sich nicht eine Person dort meldet und dokumentiert darlegt, dass sie in Bezug auf die Maschine (Halter) oder einen einzelnen Flug berechtigt ist (Charterkunde) und dieser Verarbeitung widerspricht (Opt-out). Sinnvollerweise sollten die Tracking-Dienste dafür ein Portal anbieten. Die Archivierung und spätere Abrufbarkeit ist bei Maschinen, die nicht im kommerziellen Einsatz sind, kritisch. Hier fehlt es am berechtigten Interesse Dritter, und gleichzeitig vergrößert die Archivierung den Eingriff in die Position der Betroffenen. In Echtzeit ausgeleitete Daten also ja (Beispiel SafeSky, Argument Sicherheit), später abrufbare Spuren für diese Maschinen aber eher nein. Eben weil die Abwägungen aber abstrakt sind, wird es immer ein Bereich mit Rechtsunsicherheit bleiben: zwei Juristen, drei Meinungen. Rechtssicherheit könnte hier nur der Gesetzgeber schaffen. Das insoweit ähnlich gelagerte Beispiel des Flugfunks ist ja hier bereits erwähnt.

Vielen Dank Marc für Deine ausführliche Erläuterung. Das Datenschutz-Recht scheint ja sehr komplex zu sein. Ich verstehe das öffentliche Interesse bei einem Verkehrsflugzeug. Hier ist ein Dienst wie FR24 zweckdienlich um Verspätungen etc. ähnlich Bahnverspätungen erkennen zu können. Bin jedoch der Meinung, dass für GA, UL, Segelflug und sonstige privat betriebene Flugzeuge wie das von Herrn Merz generell von Diensten wie FR24 nur Daten verarbeitet werden dürften, wenn vorher ein Opt-In stattgefunden hat. In der Hoffnung, dass die Schwedische Datenschutzbehörde so entscheiden wird, verbleibe ich mit besten Grüßen.

Wozu braucht eine in-situ Anwendung der Daten das Eintragungskennzeichen des Flugzeugs?

Also das mit dem Flug zur Affäre tracken mag für Dich nicht relevant sein - für mich schon.

Die europäische Union sieht das relativ klar: Kennzeichen und andere Daten die mittelbar auf Personen schließen lassen fallen unter GDPR. FR24 verstößt offenkundig gegen geltendes Recht und die schwedischen Behörden haben ein Verfahren eingeleitet.

Nachlesen kann man das hier: https://gdpr.eu/eu-gdpr-personal-data/?cn-reloaded=1

So schreibt man dort:

An easy example of information that could be used to indirectly identify someone is an individual’s license plate number. The police (a third party) can quickly match a name to a license plate number.

Die schwedische Datenschutzbehörde hat folgendes hierzu öffentlich geschrieben: https://se.linkedin.com/pulse/en-digitalsektor-ger-imy-m%C3%A5nga-klagom%C3%A5l-fr%C3%A5n-andra-eu-l%C3%A4nder-borre

Übersetzung:

1. Flightradar24, DI-2021-3397.

Es handelt sich um drei Beschwerden aus Schweden, Dänemark und Deutschland. Die aufsichtsrechtlichen Fragen betreffen die Frage, ob eine Flugzeugidentifikationsnummer ein personenbezogenes Datum ist, Fragen zur Rechtsgrundlage, aber auch, wie Flightradar die Rechte der betroffenen Person gemäß Art. 12-22 DSGVO erfüllt.

In Deutschland sollten zudem noch ein paar Behörden (bin jetzt zu faul das rauszusuchen, könnte Bundesnetzagentur sein) ein paar Fragen hinsichtlich Transponder und ADB-S Empfangsgeräten haben die Funksignale mitschneiden und ins Internet übertragen...

>> Denke das stört schon eine ganze Menge Menschen. Bei Google & Co.
>> - hinterlasse ich aber nur Daten, wenn ich deren Dienste auch nutze und
>> - ich bekomme eine Gegenleistung dafür.
>> Beides ist bei den Flighttrackern fundamental anders.

Google trackt deine Bewegungsdaten, sobald du ein Android-Telefon hast. Auch wenn du keinerlei Dienste nutzt, die diese Daten brauchen. Wirklicher Datenschutz würde bedeuten, dass solche persönlichen Informationen nur verarbeitet (und gar gespeichert) werden dürfen, wenn du selbst es möchtest, zB weil du eine Dienstleistung in Anspruch nimmst, für die diese Daten gebraucht werden. Ein allgemeines Einverständnis in einer 40seitigen AGB - wie Google und Apple es gerne machen und immer wieder neu von dir verlangen, und du "ok" anklickst, weil du weiterarbeiten willst - schützt Google/Apple vor dir und nicht umgekehrt.

Google trackt deine Bewegungsdaten, sobald du ein Android-Telefon hast. Auch wenn du keinerlei Dienste nutzt, die diese Daten brauchen

Naja, letztlich nutzt Du halt mit Android bzw. der vom Hersteller des Smartphones vorinstallierten Version doch wieder ein Google-Produkt, wofür Du dann mit Deinen Daten bezahlst.

Auch das lässt sich umgehen, wenn man ein "freies" Android (z.B. CalyxOS) auf seinem Telefon installiert, was aber mühsam und mit Einschränkungen verbunden ist, und gewisses know-how voraussetzt.

Auch bei Apple bspw. bezahlt man mit einer monetären Kompensation für deren Dienste, und nicht mit den eigenen Daten. Was mir durchaus deutlich lieber ist.

Bist Du so naiv?

Natürlich arbeitet Apple mit den US Behörden zusammen und gibt denen bereitwillig Auskunft über Nutzerdaten.

Das die darüber nicht öffentlich sprechen dürfen versteht sich von selbst.
Außerdem hatte Apple schon vor allen anderen Computer Firmen fie Cloud eingeführt und so zugriff auch auf sämtliche Dateien die drr User so auf Rechner und Telefon hat.

Man möchte sogar, ohne von Behörden dazu motiviert worden zu sein, alle User Fotos in drr Cloud auf Kinder Pornografie durchsuchen und entsprechende Funde an die Strafverfolger melden.

Da ist dem Datenmißbrauch und der falschen Verdächtigung Tür und Tor geöffnet.
Und weil es ja dem herhem Ziel dient, die mißbrauchten Kinder zu schützen, traut sich niemand etwas gegen den Datenmißbrauch zu sagen.

https://www.heise.de/news/Kinderporno-Scan-auf-iPhones-Apple-schweigt-wie-s-weitergeht-7220751.html

Du hast wie üblich nicht die geringste Ahnung, wovon Du schreibst.

Es ging darum, ob die Verwertung der Daten der Nutzer das Geschäftsmodell ist oder ob es sich (wie bei Apple) um kostenpflichtige Dienste handelt.

Das hat nullkommanix damit zu tun, ob und wie ein Anbieter mit Behörden zusammenarbeitet. Beim Verdacht auf Straftaten machen das wohl alle Anbieter in dem Rahmen, in dem sie Zugriff auf die Daten haben und zu dem die relevante Gesetzgebung sie verpflichtet.

Btw, man muss nur ganz kurz recherchieren, um herauszufinden, dass Apple die Pläne für einen automatisierten CSAM-Scan auf den Endgeräten der Nutzer nach massiver Kritik bereits letztes Jahr wieder eingestellt hat: https://www.mactechnews.de/news/article/Foto-Analyse-gegen-Kindesmissbrauch-Apple-erklaert-warum-CSAM-Scans-begraben-wurden-183233.html

>> Naja, letztlich nutzt Du halt mit Android bzw. der vom Hersteller des Smartphones vorinstallierten Version doch wieder ein Google-Produkt, wofür Du dann mit Deinen Daten bezahlst.

Das ist doch genau mein Punkt. Wirksamer "Datenschutz" würde solche Geschäftsmodelle _verbieten_, die Daten (endlos!) speichern (!), ohne dass sie für eine Dienstleistung am Datenlieferanten gebraucht werden. Und die Kombination einer Dienstleistung mit (davon unabhängigen) Datenlieferungen.

Der Punkt dabei ist vor allem die nichtanomymisierte Speicherung! Eine momentane Positionsbestimmung für geofenced ads, oder die Bestimmung von Verkehrsflüssen für die Navi-Optimierung meine ich nicht. Ich meine die tollen "Timelines". Wie kann eine DSGVO sowas überhaupt gestatten? Dafür dürfte es m.E. nicht einmal ein opt-in geben, das ist einfach vollkommen daneben.