In 2021 german publishers and shops widely started to use a cookieless tracking technology. It’s based on your e-mail and login information, so you should know about it. Especially as you are even tracked without login. How identity providers workIdentity Providers are basically recording your login and sharing this information with other pages. Here GMX sends your login ID „tpid“ to Adition which shares its own cookie with several ad tech companies using a classic cookie matching. In this case only with your consent. Publishers like Spiegel Online, BILD and SPORT1 track households based on the IP address (with consent). The ID in the screenshot is stable against deleting cookies, changing browsers and devices. It probably gets long term persistence by logins from other household members. Not all pages are asking for consent. Here you can see gutefrage.net working together with Berlin based startup Zeotap to send the hashed e-mail from a login to Google, Xandr, Mediamath, Adition and The Trade Desk. Regarding privacy, everything is lost now. In this video Zeotap founder Daniel Herr explains a interesting part of his business model: Selling behavioural data from marketplaces like Autoscout24 to automotive brands like BMW. Publishers using Zeotap are getting paid for this insights, writes BVDW. https://www.youtube.com/watch?v=mrZ0HLd0LsI&t=81s Here we can see how the hashed e-mail from your autoscout login is transferred to Zeotap without your consent. This data is probably part of the automotive interest data that Zeotap is trying to sell on audience marketplaces. Now it’s getting criminal:Watch the
Spenden 2021 – erstes Halbjahr
Zum Halbjahreswechsel der aktuelle Stand der Spenden: Spendeneinnahmen Januar-Juni 2021 Spenden mit Dauerauftrag 47€ Einzelspenden 90€ Gesamtsumme 137€ Vielen Dank an die Spender! 23€ im Monat ist nicht viel, aber trotzdem eine wichtige Geste von einigen großartigen Leuten! Aber das müssen mehr werden! Deshalb nochmals ein Aufruf an alle, die Möglichkeiten haben: Bitte unterstützt meine Arbeit, am besten mit einem Dauerauftrag – mit dem Geld kann ich so vieles besser machen! Rückblick und Ausblick Bei der Gelegenheit auch nochmals ein bisschen Einblick in die Arbeit eines Freien Journalisten. Zum Glück war ich von der Corona-Pandemie kaum betroffen, einige Fortbildungsveranstaltungen vielen aus, dafür kamen andere hinzu. Aktuell laufen gerade einige größere und internationale Recherchen, die in Dokumentarfilme einfließen, das freut mich natürlich besonders und hier gab es endlich auch Honorare über 1000€. Das Sorgenkind bleibt allerdings die Vermarktung der Einzelberichte, hier komme ich selten über 250€ hinaus. Nehmen wir die Nachrecherche zum Blutspendeskandal: Eineinhalb Jahre bin ich dem Bayerischen Landesamt hinterhergelaufen, um einen Abschlussbericht zu erreichen. Am Ende konnte ich die SZ mit viel Mühe überzeugen, dennoch vor Abschluss die durchgesickerten Ergebnisse zu publizieren, um die wartenden (und bei mir oft anfragenden) Betroffenen endlich zu informieren. Dafür habe ich 150€ erhalten. Solche Sachen kann ich daher nur noch als Hobby mit Aufwandsentschädigung verbuchen. Ihr könnt daran sehen, dass Zeitungen für mich weniger Geldquellen sind, sondern Reichweitegarantien für Themen, die mir am Herzen liegen. Die Folge: Die Skandalideen stapeln sich mittlerweile unbearbeitet auf meinem Schreibtisch, aber es ist enorm schwierig, den Druck
Phase 6: Wie Deutschlands beliebtester Vokabeltrainer Kinder getrackt und Eltern betrogen hat
Wollte hier endlich mal eine Geschichte raushauen, die ich für den SWR recherchiert habe, die aber am Ende nie veröffentlicht wurde. Es geht um „Deutschlands führenden Vokabeltrainer“, Phase6, den über eine Million Personen nutzen, darunter viele Kinder. Vermutlich über eine Agentur hatte man für Retargeting Pubmatic und Mathtag in die Website eingebunden, die dann die Cookies der Kinder zur Versteigerung von Anzeigen mit 20-30 anderen Anbieter austauschten (Cookie-Matching). Pubmatic kann mit den Daten machen, was es will. Richtig doof auch, dass Facebook die Nutzung des Vokabeltrainers live verfolgen konnte, weil FB’s Pixel in die Seite integriert war. Diese Daten bleiben dauerhaft bei FB, man kann sie nicht einsehen und nicht löschen. Auch Werbetracker von Google und Microsoft waren integriert. Google erhielt von Phase6 die feste Login-ID der Kids, so dass diese Besuche dauerhaft zu einem Profil gebündelt werden konnten, selbst wenn die Cookies gelöscht werden. Ciao, anonyme Youtube-Nutzung, das Kind hat leider Vokabeln gelernt 🤷♂️ Moment mal, braucht man für Werbetracking nicht eine Einwilligung? 🤔💡Lösung bei Phase6 (Juristen gut festhalten):Man ging grundsätzlich von gegebener Einwilligung aus, die aber „schwebend unwirksam“ war:https://www.phase-6.de/magazin/rubriken/medien-und-digitalisierung/dsgvo-inhalt-und-neuerungen-bei-phase6/ Mit dieser schwebenden Schrödinger-Einwilligung ließ sich der Vokabeltrainer aber wunderbar und endlos benutzen. Aber es kam noch dreister: Wollte man doch die Eltern fragen, bekamen die eine Tafel vorgelegt … … hier willigten die Eltern also ahnungslos in die Nutzung von „anonymen Daten“ zur „Produktverbesserung“ ein, während in Wahrheit „personenbezogene Daten“ für die „Werbevermarktung“ verarbeitet wurden. Das ist Betrug, oder? Auf der Seite gab es auch einen Cookie-Banner. Ja,
Spenden 2020
Ich habe ja erst im letzten Jahr die Möglichkeit eingeführt, für den Rufposten zu spenden. Zeit für eine erste Bilanz und einen Halbjahresüberblick. Spendeneinnahmen Januar-Juni 2020 Spenden mit Dauerauftrag 36€ Einzelspenden 10€ Gesamtsumme 46€ UPDATE: Spendeneinnahmen Juli-Dezember 2020 Spenden mit Dauerauftrag 90€ Einzelspenden 330€ Gesamtsumme 420€ Vielen Dank an die Spender! Es ist nicht viel, aber trotzdem eine wichtige Geste. Rückblick und Ausblick Mein Ziel ist, mehr journalistische Aufklärung im Bereich Datenschutz und Tracking zu leisten. Ich konnte bereits 2019 und auch 2020 einige wenige Geschichten wie die Tiktok-Recherche oder den Trackingskandal beim Blutspendedienst an klassische Medien verkaufen. Die durchschnittlichen Honorare für überregionale Tageszeitungen könnt ihr hier nachschlagen, sie liegen für einen Beitrag in der Länge der Blutspende-Geschichte bei ca. 250€, wobei man in Einzelfällen auch mal das doppelte bekommen kann. Recherchiert man wie bei bei Tiktok zehn Tage, kann man natürlich nicht mehr davon leben. Hinzu kommt, dass man bei klassischen Medien für ein sehr breites Publikum runterbrechen und erklären muss. Deshalb habe ich investigative Recherchen meistens auch zusätzlich mit vielen technischen Details in meinem Blog oder in Social Media veröffentlicht. Dort gab es in den ersten sechs Monaten 2020 viele kleine Artikel: Zum Beispiel habe ich Träcktor ins Leben gerufen, ein DSGVO-Beschwerde-Generator. Es gab eine kritische Recherche zu Microsoft Teams und einen großen Hintergrundartikel zum Tracking bei Shops und Markenherstellern. Es gab ein Videotutorial zur Installation von Nextcloud für gemeinsame Textarbeit und Gastartikel für Netzpolitik, z.B. zu den aktuellen Entwicklungen beim Tracking auf Nachrichtenseiten. In Planung und in
Datenschutz bei Microsoft Teams?
Wie T-Online gestern berichtete, hat sich der Chefjurist von Microsoft Deutschland empört geäußert, weil der Datenschutzbeauftragte von Berlin in einem Vermerk angedeutet habe, dass Microsofts Videokonferenzsysteme womöglich nicht ganz sauber sind (Update: Der „Vermerk“ wurde am 18. Mai von der Berliner Behörde entfernt). Recht hat er! Besser sind ein paar handfeste Belege, dass das nicht ganz sauber ist! Beginnen wir mit der Datenschutzerklärung von Teams, auf die sich gerade viele Schulen und Unternehmen verlassen müssen. Aber Moment mal, wo ist die denn? Es gibt keine. Nur die generische, allgemeine Datenschutzerklärung, die wenig brauchbar ist. Update: Wir haben eine gefunden! Dank für den Hinweis eines Lesers. Warum wird sie nicht an den passenden Orten angezeigt? Die DSGVO erfordert, dass Daten in nachvollziehbarer Weise verarbeitet werden. Dies muss präzise dargestellt werden, eine generische Darstellung ist zu unklar: Man kann alles und nichts herauslesen, zum Beispiel dass Microsoft Videodaten mit KI analysiert und dann für Forschung verwendet. Hm? Dazu stellt auch die Stiftung Warentest nüchtern fest: „Die Texte (…) lassen keine ernsthafte Befassung mit der europäischen Datenschutzgrundverordnung (DSGVO) erkennen.“ UPDATE zum folgenden Absatz (21.5.2020):Microsoft hat die genannten Tracker in der Webanwendung offenbar entfernt. In der App sind sie weiterhin. Bei Mitschnitt und Analyse der App-/Webdaten dann eine unschöne Überraschung: Microsoft sendet User-IDs (z.B. d_cid) in die Adobe Experience Cloud, an die Adobe-Tochter Marketo, an Google Ads und Scorecardresearch. Diese Daten sehen aus wie Remarketing-Tags: Die erste Nutzung von App und Website wird also mit Cookies oder Parametern in diese Netzwerke gemeldet, wo sie
Eine Cloud- und Office-Lösung für Journalisten
Eine eigene datenschutzfreundliche Cloud, um gemeinsam auch an vertraulichen Dokumenten zu arbeiten: das geht für ein paar Euro im Monat. Dieses Tutorial zeigt, wie man in zehn Minuten einen Hoster mit Nextcloud eingerichtet hat. Viele Redakteurinnen und Redakteure arbeiten online gemeinsam und gleichzeitig an ihren Texten. Das geschieht oft mit Google Docs oder Microsoft 365. Beide Onlinedienste sind beim Datenschutz so intransparent, dass sie z.B. an hessischen Schulen bereits verboten sind. Neben Problemen mit DSGVO und Beschäftigtendatenschutz gibt es zudem keine Garantien, dass die Texte nicht von fremden Personen gelesen werden können, wie die Freedom of the Press Foundation kürzlich ausführte (Newsrooms, let’s talk about Office 365). Für Texte, die ohnehin veröffentlicht werden sollen, ist das (rein vom Standpunkt der Berufsethik) kein Problem. Aber wenn man in den Onlinesuites auch Daten zur Recherche und zu Informanten speichert, dann sind Anbieter wie Google oder Microsoft die falsche Wahl. Erschreckend, dass manche großen Medienhäuser bereits für alle Mitarbeiter standardmäßig die zweifelhaften Onlineanbieter nutzen. Doch jetzt kommt die gute Nachricht: Die bereits lange als selbstgehostete Cloud bekannte deutsche Software Nextcloud wird seit Januar 2020 mit einer Office-Lösung ausgeliefert (genauer gesagt eine Light-Variante des lettischen Onlyoffice). Seitdem kann man nicht nur Dateien austauschen, sondern auch gemeinsam Text- und Tabellendokumente editieren. Die kostenlose Software basiert wie WordPress auf PHP und ist daher auf eigenen Websites einfach zu installieren. Daher kann sie für viele kleine und große Redaktionen, aber auch für einzelne Journalisten genutzt werden. Video-Tutorial Da viele Journalisten und Journalistinnen kein eigenes Webhosting mehr besitzen,
Privacy Analysis of Tiktok’s App and Website
I did a detailed privacy check of the app TikTok and its corresponding website. Multiple law infringements, trust, transparency and data protection breaches were found. I provide all technical and legal details in this article. For a less technical view, read the article at Süddeutsche Zeitung (in german). I used mitmproxy as my setup in order to re-route all app traffic for analysis. One can see in the video how the device information, usage time and list of watched videos are being sent to Appsflyer and Facebook. It is hard to believe that this is covered by „legitimate interest“ and transparency: the search terms that I entered are being forwarded to Facebook: The transfers to the two companies are clearly conflicting with the GDPR: Facebook cannot comply with article 14 regarding the rights to deletion of information etc. for this data. The data transfer to Appsflyer also lacks transparency as it is unknown to which of its more than 4500 partners the data might get transferred down the line. Bytedance’s answer to this: „We won’t show you the contracts.“ Did they even read article 26 of the GDPR? Most importantly, fundamental rights are being violated since Personally Identifying Information (PII) is transferred to a server under the control of a company residing in an unsecure, non-european country. The location of the server is irrelevant – what is important is the location of the company deciding about the data, according to Malte Engeler. Bytedance’s headquarter is located in Beijing, China. I
Journalismus muss sich schrittweise von Facebook trennen – die Frage ist nur wie
[Hier den aktuellen Facebook-Skandal einfügen] Überraschend kommt dieser Skandal keineswegs, aber es ist eine gute Gelegenheit (wenn auch nicht die erste), grundsätzlich darüber nachzudenken, wie Journalisten auf die Dauerprobleme mit Facebook reagieren sollen. In diesem längeren Kommentar versuche ich, das Problem medienethisch zu beleuchten und mache einen Vorschlag zum Handeln. 1. Facebook ist schon lange eine Problemfirma Im Jahr 2007 berichtete Heise und andere Nachrichtenseiten, dass das „Online-Sozialnetz Facebook“ dem Protest von 50.000 Nutzern nachgegeben habe. Man hatte nämlich begonnen, die Einkäufe von Nutzern auch außerhalb des Portals zu tracken und dann deren Freunden diese Einkäufe ungefragt mitzuteilen („Facebook Beacons“). Die Statements von damals kommen einem bekannt vor: Zuerst bestritt man das Verhalten, dann gab man es zu, stellte die Rechtsverletzung aber so dar, als sei es für die User praktisch. Erst nach einem Gerichtsprozess entschuldigte man sich bei den Usern und stellte auf Opt-In um. Facebook musste 9,5 Millionen Dollar zahlen. Und dann fand ein Sicherheitsforscher heraus, dass die Daten auch bei Deaktivierung des Features weiter gesammelt wurden. Das war der Auftakt zu endlosen weiteren Skandalen. Wikipedia listet in einem Artikel fast hundert Kritikpunkte. Es gibt eine eigene Seite, die aufzählt, wieviel Tage seit dem letzten Skandal vergangen sind. Man lernt im Rückblick über Facebook folgendes: Facebook fördert Ungleichheit, gefährdet das freie Netz, vermeidet Steuern, hat ein Monopol, ist unsozial, intransparent, bewusst irreführend und verstößt gegen Gesetze, insbesondere natürlich beim Datenschutz. Lügen bis zum Gerichtsprozess – so geht das nun seit über zehn Jahren. Allein 2018 wurden wieder sechs
Die ZEIT entfernt Facebook „Pixel“
Zeit-Online hat mittlerweile das umstrittene Tracking-Tool „Facebook Pixel“ aus seiner Website entfernt. Montag Nachmittag war der Tracker nicht mehr in die Website eingebunden. Erst letzte Woche hatte ein Zeit-Leser eine Datenschutzbeschwerde gegen den Verlag eingereicht, die mit einer Textvorlage und Anleitung von Mike Kuketz und mir (Matthias Eberl) erstellt wurde. Mit dem Entfernen des Trackers hat die Zeit aber erst einen sehr kleinen Schritt zu einem datenschutzfreundlichen Webangebot getan. Über eingebundene Werbeanzeigen von Facebook Ads (brandlift.php) gehen weiterhin personenbezogene Daten an Facebook, obwohl dafür die Rechtsgrundlage in gleicher Weise fehlt. Zahlreiche andere Werbetracker dürften ebenfalls rechtlich problematisch sein. Die seit einem Jahr an den Verlag gerichtete Kritik, darunter auch die Auszeichnung mit dem Negativ-Preis „Big Brother Award“ durch die Datenschutzorganisation Digitalcourage, hatte den Verlag nicht zum Handeln bewegt. Durch die Datenschutzbeschwerde droht dem Verlag auch weiterhin ein Bußgeld in fünf- bis sechsstelliger Höhe. Eine Sprecherin der Zeit-Verlagsgruppe erklärte, das Interview mit dem Leser sei dem Verlag zwar bekannt, die Entfernung von Facebook Pixel sei aber kurzfristig wegen des EuGH-Urteils gefallen. Ebenfalls heute wurde bekannt, dass die Verbraucherzentrale gegen insgesamt acht Medienunternehmen mit Abmahnungen wegen unerlaubtem Tracking vorgeht: Verbraucherschützer mahnen erste Medien ab.
„Ich finde es frech, dass Zeit Online meine Daten an Facebook gibt, obwohl ich zahle“
Alexander S. ist Informatiker und hat seit 2017 die Zeit abonniert. Gestern hat er eine Datenschutzbeschwerde gegen Zeit Online eingereicht, weil diese über einen in die Seite integrierten Facebook-Tracker sein Leseverhalten an Facebook sendet. Die Behörden weisen schon länger darauf hin, dass das Marketing-Tool rechtswidrig ist, aber viele Verlagen ändern nichts, möglicherweise auch deshalb, weil Verfahren und Urteile dazu noch ausstehen. Alexander S. nutzte für seine Beschwerde eine Textvorlage und Anleitung, die wir heute veröffentlicht haben. Darin sind auch die juristischen Details aufgeführt, mit denen der Tracker gegen die DSGVO verstößt. Alexander, du hast gerade mit Hilfe unserer Vorlage eine Datenschutzbeschwerde gegen die Zeit abgeschickt. Alexander: Ja, ich wollte das schon lange machen, es hat sich nur etwas hingezogen, bis ich dazugekommen bin. Aber dann ging es eigentlich sehr fix, wenn man sich einmal hingesetzt hat. Warum willst du nicht, dass wir deinen vollen Namen nennen? Alexander: Weil ich mein Zeit-Abo behalten möchte. Ich will, dass sie das mit dem Facebook-Tracker ändern, aber ich möchte keinen Stress mit dem Verlag, nicht dass sie mir noch das Abo kündigen. Das klingt so, als wärst du eigentlich ein großer Fan der Zeitung. Alexander: Ja, eigentlich schon. Wenn man wie ich mit Kind weniger Zeit für Nachrichten hat, ist so ein Wochenzeitungsformat schön und sehr praktisch. Zudem mag ich die Zeit einfach für die politische Ausrichtung, ich sehe sie eher links und es ist schwierig gute Zeitungen zu finden, die in diesem politischen Spektrum schreiben. Ich finde auch die Artikel immer sehr gut