Studie: Grindr, OKCupid und Tinder verstoßen gegen DSGVO

Die norwegische Verbraucherschutzbehörde Norwegian Consumer Council hat untersucht, wie verschiedene mobile Apps, darunter die Dating-Apps Grindr, OKCupid und Tinder, mit den Daten ihrer Nutzer umgehen. Letztere geben demnach Daten wie sexuelle Neigungen und Standort an Werbefirmen weiter, und zwar auf eine Art, die möglicherweise europäische Datenschutzgesetze verletzt.

Die Studie erfasste die Aktivitäten von insgesamt zehn Android-Anwendungen im Zeitraum von Juni bis November 2019, um herauszufinden, wie persönliche Daten an Dritte übermittelt werden. Getestet wurden auch die Perioden-Kalender Clue und MyDays, die Makeup-App Perfect, die Religions-App Muslim: Qibla Finder, die Kinder-App My Talking Tom 2 und die Tastatur-App Wave Keyboard. Allen Apps gemeinsam ist, dass sie vertrauliche Daten über „Gesundheit, Religion, Kinder und sexuelle Vorlieben“ verarbeiten.

Nur bei einer App fanden die Verbraucherschützer keine potenziellen Verstöße gegen die Datenschutzgrundverordnung: My Talking Tom 2. Die App übermittle sogar gar keine Daten, sobald ein Nutzer als Geburtsdatum 2003 oder später eingebe.

Die meisten Apps schickten indes Daten an „unerwartete Dritte“. Nutzer würden zudem nicht eindeutig darüber informiert, wer ihre Daten erhalte und wie sie benutzt würden. Grindr beispielsweise informiere weder darüber, dass Daten an Dritte gingen, noch über eine Nutzung der Daten für zielgerichtete Werbung. Ähnlich bewertet die Studie auch OKCupid, Tinder, Clue, MyDays und Wave Keyboard.

Grindr gab Daten konkret an die Twitter-Tochter MoPub weiter, die wiederum Daten für weitere Dritte bereitstellte. Die wiederum nutzten die Daten, um zu entscheiden, ob sie auf Grindr-Nutzer ausgerichtete Anzeigen schalten. Der Studie zufolge waren die MoPub-Partner jedoch in der Lage, die Nutzerdaten ebenfalls an andere Unternehmen weiterzugeben, und zwar ohne Wissen und Zustimmung der Grindr-Nutzer.

Die Studie weist aber auch darauf hin, das Grindr auf die Datenschutzerklärung von MoPub verweist. Darin wiederum wird Nutzern empfohlen, die Datenschutzerklärungen von 160 MoPub-Partnern zu lesen, um herauszufinden, wie ihre Daten genutzt werden. Außerdem seien die Partner von MoPub auch dann in der Lage, Nutzerdaten zu verarbeiten, falls Anwender der Nutzung ihrer Daten widersprochen hätten.

„Das ist offensichtlich eine für jeden unlösbare Aufgabe“, heißt es in der Studie. Die Ergebnisse zeigten, dass Verbraucher keine Kontrolle hätten, sobald Daten mit der Werbebranche geteilt würden.

Vor allem in der fehlenden ausdrücklichen Zustimmung sehen die Datenschützer einen Verstoß gegen die Datenschutzgrundverordnung. Zudem bedienten sich die Datenschutzerklärungen zum Teil „fragwürdiger rechtlicher Grundlagen“. „In den beschriebenen Fällen scheint keine der Apps die rechtlichen Bedingungen für das Einholen einer Zustimmung zu erfüllen.“

Die Behörde hat inzwischen lokale Regulierungsbehörden aufgefordert, Untersuchungen gegen Grindr und fünf Werbefirmen einzuleiten. Sollten dabei tatsächlich Verstöße festgestellt werden, drohen ihnen Geldstrafen in Höhe von bis zu 4 Prozent ihres weltweiten Umsatzes.

Datenschutz unter Android verbessern

Um sich vor ungebetenen Tracking-Cookies zu shützen, können Android-Nutzer die App Blokada verwenden. Das Tool verhindert anhand von Listen die Verbindung zu bekannten Ad- und Tracking sowie Malware-Servern. Die Schutzwirkung umfasst dabei nicht nur den Browser, sondern alle installierten Apps. Ausnahmen lassen sich über Whitelisten definieren. Dort kann man auch manuell Host-Adressen und Apps hinzufügen. Es ist außerdem möglich, Server-Adressen manuell auf eine Blacklist zu setzen.

DNS-Abfragen verschlüsseln

Eine zusätzliche Methode, die Sicherheit im Online-Bereich zu erhöhen, ist die Nutzung eines verschlüsselten DNS-Server. Damit wird ein Angriffsvektor für sogenannten Man-in-the-Middle-Attacken durch unverschlüsselte DNS-Abfragen ausgeschaltet.

Seit einiger Zeit bietet Firefox Unterstützung für DNS-Abfragen über das HTTPS-Protokoll. Durch DNS-over-HTTPS (DoH) werden DNS-Anfragen verschlüsselt. Das schützt vor DNS-Hijacking und Spoofing, garantiert die Vertraulichkeit von DNS-Servern und unterbindet im Wesentlichen die Möglichkeit, Informationen an Dritte weiterzugeben.

Wer ein Smartphone mit Android 9 oder höher verwendet, kann außerdem einen systemweit gültigen verschlüsselten DNS-Server verwenden. Wird die mit Private DNS genannte Funktion eingeschaltet, nutzt nicht nur der Browser verschlüsselte DNS-Abfragen, sondern auch alle anderen Apps.