Pokémon, Augmented Reality und die Verschleierung von Positionsdaten

1. Muss das Pikachu auf dem Smartphone wissen, wo ich bin?

Augmented Reality (AR), übersetzt die „erweiterte Realität“, bezeichnet eine computergestützte Wahrnehmung, bei der sich reale und virtuelle Welt vermischen. Über die im mobilen Endgerät, z. B. dem Smartphone oder dem Tablet, betrachtete reale Welt werden in Echtzeit am Bildschirm digitale Informationen, z. B. Textinformationen und Grafiken eingeblendet. Anwendungen sind Informationen über die unmittelbare Umgebung und Werbung, die ins Sichtfeld eingeblendete Navigation und Spiele.

Letzteres Anwendungsfeld hat mit dem Spiel Pokémon Go der Nintendo-Tochter Niantic Labs einen Hype erfahren und dem Konzept der AR-Spiele und damit der AR selbst den populären Durchbruch verschafft. Seit dem offiziellen Start in Deutschland im Juli 2016 belegt das Spiel um die Taschenmonster Spitzenpositionen in den deutschen App-Stores (s. becklink 2003916). Die Pokémon werden anhand einer echten Straßenkarte innerhalb der App im öffentlichen Raum sichtbar und von den Spielern eingesammelt. Es ist also ein Geogame (dazu Schlieder, Geogames – Gestaltungsaufgaben und geoinformatische Lösungsansätze, Informatik-Spektrum 2014, S. 567), das von den Spielern verlangt, sich mit ihren mobilen Endgeräten in der realen Welt zu bewegen. Standardmäßig wird sogar die Kamera des Smartphones verwendet, um die Taschenmonster in der echten Welt erscheinen zu lassen. Pokémon Go ist die bisher mit Abstand erfolgreichste Augmented Reality-App, die laut Medienberichten Spieler allen Alters begeistert.

2. Gefahren für den Rechtsfrieden

Das interaktive Spiel Pokémon Go birgt jedoch ganz eigene Gefahren für den Rechtsfrieden, vor denen Verbraucherzentralen und Rechtsberater warnen:

• Das Aufnehmen anderer Personen mit der Kamerafunktion des Spiels kann ein Eingriff in deren Persönlichkeits- und Bildrechte sein.

• Die Pokémon-Jagd kann laut spiegel.de dazu verleiten, unberechtigt fremde Grundstücke zu betreten und möglicherweise Hausfriedensbruch nach § 123 StGB zu begehen.

• Das Spiel mit dem Smartphone in der Hand am Steuer eines Autos mit laufendem Motor verstößt gegen § 23 Abs. 1 a StVO.

• Die im Spiel verwendeten Bilder von Orientierungspunkten, sog. Pokéstops, können Urheberrechte verletzen, z. B. soweit die Aufnahme nicht von der Panoramafreiheit (§ 59 UrhG) gedeckt ist, z. B. solche von Kunstwerken in Schaufenstern und in Gebäuden.

• Ein Pokéstop, insbesondere auf dem virtuellen Abbild von Privatgrundstücken, also z. B. in Gärten oder innerhalb von Gebäuden, kann eine Beeinträchtigung des realen Eigentums verursachen, gegen den ein Anspruch auf Beseitigung nach § 1004 BGB gegen Niantic Labs als mittelbaren Störer bestünde. Das Entfernen von störenden Pokéstops kann man bei Niantic anfordern.

Die Verbraucherzentrale Bundesverband (vzbv) geht richtigerweise davon aus, dass die Pokémon-App zum Teil gegen deutsche Verbraucherrechts- und Datenschutzstandards verstößt. Der vzbv hat im Juli 2016 insgesamt 15 Klauseln aus den Nutzungs- und Datenschutzbestimmungen abgemahnt. Die Kritik des vzbv ist u. a., dass Niantic Labs den einmal geschlossenen Vertrag mit dem Nutzer jederzeit abändern oder Dienste ganz einstellen kann. Weiter enthalten die Nutzungsbedingungen weitreichende Haftungs- und Gewährleistungsausschlüsse.

3. Gefahren für den Datenschutz

Das wohl größte Gefahrenpotenzial liegt aber in der Gefährdung von Datenschutzrechten, vor allem hinsichtlich der Positionsdaten bzw. Geolokalisierung (Karg, NJW-Aktuell 34/2016, S. 14). AR in Pokémon Go funktioniert nur, wenn der Anbieter, während der Nutzer spielt, ständig bestimmen kann, wo sich das mobile Endgerät befindet. Um im Spiel möglichst erfolgreich zu sein, ist der Spieler gehalten, das Spiel ständig zu nutzen, z. B. beim Schulweg, Einkaufsbummel, Arbeitsweg, Sport und Spaziergängen. Je mehr gespielt wird, desto höher ist die Chance, seltene Monster zu entdecken und zu fangen. Außerdem wird die Laufleistung mit angeschalteter App durch Medaillen und das Ausbrüten von noch mehr Pokémons belohnt. Dadurch hat Niantic Labs Zugriff auf sehr viele Positionsdaten. In deren Datenschutzerklärung heißt es, dass bei Verwendung des Spiels Informationen über den Standort gesammelt und gespeichert werden. Dazu zählen die vom Betriebssystem des mobilen Endgeräts zur Verfügung gestellten Daten. Dieses können sowohl Handy-/Mobilfunk-Basisstationen-Triangulation, WLAN-Triangulation oder GPS-Daten sein. Niantic Labs will diese Standortinformationen nutzen, um seine Services zu verbessern und zu personalisieren. Das betrifft vor allem Werbung und kann auch dazu genutzt werden, Bewegungsvorhersagen zu erstellen.

Denn werden die Positionsdaten, egal ob von Pokémon Go oder anderen AR-Applikationen, über einen längeren Zeitraum gesammelt, lassen sich Bewegungsprofile und Sozialprofile der Nutzer erstellen (s. ausf. Hahn/Herfert/Lange, PRO PRIVACY Abschlussbericht des Fraunhofer SIT, 2015, S. 65). Anhand dieser Profile lassen sich nicht nur die Wohn- und Arbeitsorte (und damit Hinweise auf Einkommen und Beruf) und die anderen Nutzer, die er dort trifft, bestimmen, sondern es können auch Vorhersagen über die Bewegungen und Kontakte des Nutzers getroffen werden. Über Pokémon Go sammelt Niantic Labs u. a. die Gerätekennung und kann den Spieler in Verbindung mit seinem Login eindeutig identifizieren. Anmelden am Spiel kann man sich mit einem Google-Account oder einem dezidierten Spiel-Account von Niantic. Beide sehen bei der Registrierung einen Klarnamenzwang vor. Alle erhobenen Positionsdaten haben daher Personenbezug.

4. Positionsdaten nach deutschem Recht

Der Umgang mit Daten zur Positionsbestimmung (Geolokalisation), die über das Mobilfunknetz gewonnen werden, ist ausdrücklich nur im TKG besonders geregelt (folgende Ausführungen basieren auf Johannes/Roßnagel, Der Rechtsrahmen für einen Selbstschutz der Grundrechte in der Digitalen Welt, 2016, S. 99 ff.). Nach § 3 Nr. 3 Nummer 19 TKG sind Standortdaten solche Daten, die in einem TK-Netz oder von einem TK-Dienst erhoben oder verwendet werden und die den Standort des Mobilgeräts angeben. Dagegen umfasst der weitere, allerdings nicht legaldefinierte Begriff „Positionsdaten“ alle Daten, die die Bestimmung des Orts eines Mobilfunkgeräts ermöglichen, egal wie sie erhoben wurden. Alle Standortdaten i. S. v. § 3 Nr. 19 TKG sind Positionsdaten, aber nicht alle Positionsdaten sind Standortdaten. Ferner wird in § 98 TKG geregelt, dass Standortdaten für zusätzliche Dienste mit Zusatznutzen nur im erforderlichen Umfang und innerhalb des dafür erforderlichen Zeitraums verarbeitet werden, „wenn sie anonymisiert wurden oder wenn der Teilnehmer dem Anbieter des Dienstes mit Zusatznutzen seine Einwilligung erteilt hat“.

Eine Ortung ohne Hilfe des Mobilfunknetzes, wie mit GPS oder des Internets als TK-Netz, unterliegt nicht den Regelungen des TKG. Soweit Daten aus GPS oder WLAN-Ortung für Telemedien verwendet werden, findet das TKG keine Anwendung (ausf. zur Einordnung von Positionsdaten als Nutzungsdaten und zum Verhältnis von § 98 TKG zu § 15 TMG Jandt, Vertrauen im Mobile Commerce – Vorschläge für die rechtsverträgliche Gestaltung von Location Based Services, 2008, S. 135 ff.) Anders als das TKG enthalten weder das TMG noch das BDSG noch die DS-GVO besondere Regelungen für die Nutzung von Standort- oder Positionsdaten. Aus Sicht des verantwortlichen Dienstes richtet sich der Umgang mit Positionsdaten des Nutzers nach den jeweils geltenden allgemeinen Bestimmungen.

So sind Positionsdaten für den Telemediendiensteanbieter eines Locations Based Service in der Regel notwendig zu erhebende Nutzungsdaten i. S. v. § 15 Absatz 1 TMG, da sie die Inanspruchnahme des Dienstes erst ermöglichen (Schnabel, Datenschutz bei profilbasierten Location Based Services – Die datenschutzadäquate Gestaltung von Service-Plattformen für Mobilkommunikation, 2008, S. 206 f. und 290 ff.) Dies gilt auch für den Anbieter von AR-Spielen, wie Pokémon Go. Zur Verwendung dieser notwendigerweise erhobenen Daten zu Werbezwecken ist er nach § 15 Absatz 3 TMG bei der Verwendung von pseudonymisierten Nutzerprofilen sogar ermächtigt und verstößt nicht unbedingt gegen das Zweckbindungsprinzip nach § 12 Abs. 2 TMG.

Daneben kann natürlich auch die Einwilligung des Nutzers in die Positionsbestimmung eingeholt werden. Die von Niantic Labs dazu verwendeten Einwilligungserklärungen sind laut vzbv aber nicht klar und bestimmt genug und enthalten einige überraschende Klauseln (s. Karg, NJW-Aktuell 34/2016, S. 14).

5. Positionsdaten nach der DS-GVO

Die DS-GVO wird zukünftig, mit wenigen Ausnahmen, Anwendungsvorrang vor den Datenschutzklauseln der §§ 11 ff. TMG haben (s. ausf. Geminn/Richter, Telemedien, in: Roßnagel (Hrsg.), Europäische Datenschutz-Grundverordnung – Vorrang des Unionsrechts – Anwendbarkeit des nationalen Rechts, 2016, § 4 Rdnr. 271 ff.). Daten zur Bestimmung der Position oder des Standorts einer identifizierbaren Person sind auch nach der DS-GVO personenbezogene Daten (Art. 4 Nr. 1 DS-GVO). Besondere Regelungen zu diesen Daten enthält die Grundverordnung aber nicht, sodass sich die Rechtmäßigkeit der Verarbeitung hauptsächlich nach den allgemeinen Bestimmungen des Art. 6 DS-GVO richten wird.

6. Selbstdatenschutz als Lösung?

Nach deutschem und europäischem Recht ist die Nutzung von Techniken und Diensten zur Positionsverschleierung für den Nutzer uneingeschränkt gestattet. Weder das TKG noch das TMG noch andere Vorschriften, auch nicht das StGB oder zukünftig die DS-GVO, halten die Nutzer davon ab, den Standort ihres mobilen Endgeräts gegenüber Diensteanbietern oder Dritten zu verschleiern (allg. zum Selbstdatenschutz s. auch Interdisziplinärer Forschungsverbund Forum Privatheit, White Paper – Selbstdatenschutz).

Die tatsächlichen Möglichkeiten zur Positionsverschleierung sind jedoch gering. Auf dem Endgerät lässt sich die Positionsbestimmung mit Hilfe des Mobilfunknetzes nicht verhindern. Es gibt lediglich die Möglichkeit, Angriffe mit Hilfe spezieller Apps zu erkennen. Auch kann der Nutzer sich gegen einige der vorgestellten Techniken zur Positionsbestimmung schützen, indem er die entsprechende Hardware in seinem Smartphone deaktiviert. Mit Hilfe von „Fake Location“-Apps können falsche GPS-Daten eingegeben werden, die echte Position der Nutzer kann dann durch andere Apps mittels GPS nicht mehr bestimmt werden (Hahn/Herfert/Lange, PRO PRIVACY Abschlussbericht des Fraunhofer SIT, 2015, S. 68 f.).

Diese Arten der Selbstverteidigung helfen aber nicht gegen die Positionsbestimmung durch AR-Spiele wie Pokémon Go. Sie können nur gespielt werden, wenn die Standortbestimmung (GPS) des mobilen Endgeräts eingeschaltet ist. Die Apps können „Fake Location“-Apps erkennen und das Spielen unmöglich machen. Den Nutzern solcher Spoofing-Apps drohen z. B. von Seiten Niantic Labs sogar permanentes Spieleverbot als Strafe (zu Möglichkeiten der Modifikation von Smartphone-Apps s. jedoch Bodden/Rasthofer/Richter/Roßnagel, DuD 2013, DUD Jahr 2013 Seite 720). AR-Spiele wie Pokémon Go verleiten außerdem dazu, das Spiel ständig zu betreiben und Positionsdaten erheben zu lassen, mit dem Anreiz Erfolge (Monster fangen, Aufleveln) im Spiel geradezu im „Vorbeigehen“ zu generieren.

7. Notwendige Rechtsfortbildung

Die Position des Nutzers wird ständig von unterschiedlichen Akteuren bestimmt. Dies erfolgt teilweise ohne Wissen und Einwilligung des Nutzers, wie im Fall der Positionsbestimmung mittels Mobilfunk durch staatliche Behörden, und teilweise bewusst durch die aktive Nutzung von Diensten und Apps. Dabei steht die freigiebige Weitergabe der eigenen Position durch die Nutzer für unterschiedlichste Apps im starken Kontrast zur Bedeutung der eigenen Position für die informationelle Selbstbestimmung.

Die Standortbestimmung von mobilen Endgeräten und das Erstellen von Bewegungsprofilen durch Telemedienanbieter war bisher gefühlt immer noch nur ein Problem derer, die ein mobiles Endgerät zu solchen Zwecken benutzen. Der Erfolg des AR-Spiels Pokémon Go (viraler Hit) zeigt aber erneut die Notwendigkeit, sich über die immensen Überwachungsmöglichkeiten im Klaren zu werden und – ggf. regulatorisch und gesetzgeberisch – gegenzusteuern.

Der Nutzer kann sich nur in sehr begrenztem Umfang vor den verschiedenen Möglichkeiten der Positionsbestimmung schützen. Es ist für ihn kaum möglich, sein Mobiltelefon aktiv zu nutzen und gleichzeitig die eigene Position zu verschleiern oder sogar ganz zu verbergen (Hahn/Herfert/Lange, a. a. O., S. 71). In folgenden Bereichen besteht daher Anpassungsbedarf hinsichtlich des Selbstdatenschutzes von Positionsdaten:

a) Rechtsrahmen für Positionsdatenverschleierung

Es sollten Techniken zur Verschleierung von Positionsdaten gefördert werden, indem ein Rechtsrahmen gesetzt wird, der ihre Erforschung und ihren Einsatz begünstigt. Der Schutz von Positions- und Standortdaten ist angesichts einer totalen Überwachung der Tele- und Internetkommunikation genauso wichtig wie der Schutz von Verbindungs- und Kommunikationsinhaltsdaten. Die heute zur Verschleierung von Standortdaten einsetzbaren technischen Lösungen sind rudimentär und zu wenig verbreitet. Zur Erfüllung grundrechtlicher Schutzpflichten sollten diese Techniken gefördert werden. Überdacht werden muss dabei der ordnungspolitische tk-rechtliche Rahmen. Privacy by Design könnte bereits bei der Netzwerkarchitektur ansetzen (Hahn/Herfert/Lange, a. a. O., S. 70).

b) Differenzierung notwendiger Positionsdaten und Prinzip der „Unschärfe“

Für den Schutz der Positionsdaten macht es einen großen Unterschied, wo und wie diese erhoben und wie lange sie gespeichert werden. Erfolgt dies im Endgerät des Nutzers, kann er durch seine Einstellung, ob ein Programm Zugriff auf seine Positionsdaten hat, allgemein oder im Einzelfall bestimmen, wer seine Positionsdaten für welchen Zweck erhalten soll. Werden die Positionsdaten vom Diensteanbieter erhoben und der Zugriff auf die Positionsdaten erzwungen, hat der Nutzer keinen unmittelbaren Einfluss darauf, wer für welche Zwecke die Positionsdaten erhält und einsetzt. Dies ist bei AR-Spielen der Fall. Hier sollten Anforderungen an die Anbieter gestellt werden, dass Nutzerdaten bereits vor oder mit der Erhebung so weit wie möglich zu verschleiern sind. Schon jetzt sind die Daten ohnehin soweit möglich zu pseudonymisieren und zu anonymisieren. Zusätzlich sollte unter dem Aspekt der Erforderlichkeit ein Element der „Unschärfe“ oder „Verschleierung“ hinsichtlich der Positionsdaten zwingend beachtet werden (s. a. Hansen, DuD 2016, DUD Jahr 2016 Seite 435). Für die Durchführung eines Spiels wie Pokémon Go ist es notwendig, den Standort bis auf wenige Meter genau bestimmen zu können. Zur Personalisierung von Werbung sind dagegen oft grobschnittigere Positionsbestimmungen ausreichend (z. B. Land, Bundesland, Kreis, Gemeinde, evtl. Stadtteil). Dies wird sich nach dem Interesse des Werbetreibenden richten. Es ist daher nicht unbedingt notwendig, die Position des Spielers ständig zu speichern und ein genaues Bewegungsprofil vorzuhalten oder genaue Positionsdaten, seien sie auch pseudonymisiert, weiterzugeben. Auch könnte Werbung, abhängig vom genauen Ort, etwa in der Nähe eines bestimmten Schnellrestaurants, auf der Applikation im Smartphone ausgelöst werden, ohne dass dem Spielanbieter oder dem Werbenden die genaue Position des Spielers bekannt ist und er sie speichern müsste.

8. Fazit

Der Erfolg des AR-Spiels Pokémon Go verdeutlicht exemplarisch die Notwendigkeit für die technische und rechtliche Fortbildung auf dem Gebiet des Datenschutzes von Positionsdaten, zu denen auch Standortdaten i. S. d. TKG und der DS-GVO zählen. Prinzipien der Datenminimierung (Art. 5 Abs. 1 lit. b DS-GVO), Datensparsamkeit und Pseudonymisierung lassen sich im Kontext von Positionsdaten effektiver durch Elemente der „Unschärfe“ und Positionsdatenverschleierung verwirklichen.