Stadtmarketing im Spannungsverhältnis zwischen Datennutzung und Datenschutz

Datenschutz und eine solide Datengrundlage ist das Lebenselixier des Stadtmarketings und entscheidend für den Erfolg. Vor allem soziale Medien und Google-Dienste wie Google Analytics haben sich in den letzten Jahren als Instrument im Marketing vieler Stadtmarketing-Organisationen etabliert.

In diesem Beitrag möchte ich einen kritischen Blick darauf werfen, wie es aktuell um den Datenschutz bestellt ist, ob der Einsatz dieser Instrumente in Hinblick auf deren Effektivität noch sinnvoll ist, und welche alternativen Optionen zur Verfügung stehen.

Social Media: Wohin gehen die Daten?

Die wichtigsten sozialen Plattformen kommen aus den Vereinigten Staaten und China. Das bedeutet, dass die Daten außerhalb der EU und damit außerhalb des Geltungsbereichs der DSGVO verarbeitet und gespeichert werden.

Europäische Daten genießen dort nicht den Schutz, der ihnen laut europäischem Recht zusteht. Vor allem gegen den Zugriff amerikanischer oder chinesischer Überwachungsbehörden existieren keine Einschränkungen.

Schremser Urteil wird ignoriert

Der österreichische Jurist Max Schrems konnte sich bereits zweimal mit seinem Datenschutzverein „noyb“ vor dem EuGH wegen Verletzung der DSGVO gegen Facebook durchsetzen. Im Juli 2020 hatte der Europäische Gerichtshof mit dem Schrems-II-Urteil das bis dahin gültige EU-US Privacy Shield außer Kraft gesetzt.

Tatsächlich haben die Urteile „Schrems I“ (2015) und „Schrems II“ (2020) aber nichts verändert. Der Meta-Konzern leitet weiterhin europäische Userdaten in die USA, mit der Begründung US- und EU-Gesetze zum Datenschutz seien sehr wohl als gleichwertig anzusehen.

Privacy Shield 2.0: Mehr Schein als Sein

Die Ankündigung eines neuen Datenschutzabkommens zwischen den USA und Europa im März 2022 sehen Datenschützer kritisch. Max Schrems nimmt dazu detailliert in einem kürzlich veröffentlichten offenen Brief Stellung.

Max Schrems glaubt nicht daran, dass die USA ihre Überwachungsgesetze ändern werden. Und damit dürfte er Recht behalten: Die am Visa-Waiver-Programm teilnehmenden Länder sollen den US-amerikanischen Grenzbehörden Zugriff auf ihre heimischen Fingerabdruck-Datenbanken gewähren.

Alle EU-Mitgliedstaaten haben hierzu im Februar 2022 unter dem Titel „Verstärkte Partnerschaft für Grenzsicherheit“ (Enhanced Border Security Partnership – EBSP) ein Schreiben erhalten. Bei Missachtung der ab 2027 geltenden Biometrie-Bedingung drohe die Wiedereinführung der Visumspflicht.

Es ist bedauerlich, dass die EU und die USA diese Situation nicht genutzt haben, um zu einem ‚No-Spy‘-Abkommen mit Basisgarantien unter gleichgesinnten Demokratien zu kommen. Kunden und Unternehmen drohen weitere Jahre der Rechtsunsicherheit.

Max Schrems, Geschäftsführer noyb

Wie datenschutzkonform agieren Social Media-Plattformen?

Social Media-Plattformen wurden größtenteils bereits zu millionenhohen Bußgeldern wegen Datenschutzverstößen verurteilt. Die Tech-Giganten aus den Vereinigten Staaten und China nehmen es mit dem Datenschutz nicht so genau und suchen immer wieder Wege, um Vorschriften zu umgehen. Das wird sich vermutlich auch in Zukunft nicht ändern.

Facebook: Gesichtserkennung ohne Zustimmung

Ein anschauliches Beispiel für die Vorgangsweise der Konzerne ist die im Jahr 2018 von Facebook und Instagram eingeführte Gesichtserkennung. 2021 wurde sie auf öffentlichen Druck hin weltweit wieder abgeschafft. Der Vorwurf: Die Plattformen nutzten rechtswidrig, also ohne Zustimmung der Nutzer, biometrische Daten zur Gesichtserkennung. Es wurden nicht nur hochgeladene Fotos gescannt, sondern auch andere Fotos und Profile.

TikTok: Ein Hype ohne Datenschutz

Auch wenn Meta mit dem zum Konzern gehörenden Plattformen Facebook, WhatsApp, Facebook Messenger und Instagram zu den bekanntesten Datenkraken zählen, gibt es noch weitere, nicht weniger gefährliche Datensammler. Dazu gehört vor allem die chinesische App TikTok, die sich auch im Stadtmarketing zunehmender Beliebtheit erfreut.

Seit Juni 2020 sammelt man auf der Plattform biometrische Identifikationsdaten von Nutzern, dazu zählen Fotos von Gesichtern und Stimmenaufzeichnungen. Hinzu kommt, dass seit April 2021 der chinesische Staat am Unternehmen ByteDance, dem Mutterkonzern von TikTok, beteiligt ist.

Der Staat sitzt im Aufsichtsrat und nimmt damit direkten Einfluss auf den Konzern, auch wenn dies immer wieder von ByteDance heruntergespielt wird. Ob die Nutzung der App im Stadtmarketing unter diesen Rahmenbedingungen noch angemessen ist, sei dahingestellt.

Gesichtserkennung (c) geralt via pixabay

Scraping & Datenlecks interessieren Anbieter wenig

Im April 2021 tauchten innerhalb weniger Tage zunächst 530 Millionen Datensätze von Facebook, dann eine halbe Milliarde Datensätze von LinkedIn-Nutzern und schließlich 1,3 Millionen Nutzerdaten der vergleichsweise noch jungen Social Media-Plattform Clubhouse auf einschlägigen Internetseiten auf (Quelle: PSW Consulting). Im Juni 2021 wurden erneut 700 Millionen LinkedIn-Nutzerdaten ( = 93 % der LinkedIn-User) im Darknet zum Kauf angeboten.

Cyberkriminelle beschaffen sich die Daten durch Hacking, vielfach aber auch durch Scraping. Bei Scraping handelt es sich um automatisierte Abfragen von Website-Daten über unzureichend geschützte Schnittstellen (z.B. LinkedIn API). Die Daten lassen sich auf verschiedenste Weise ausnutzen, unter anderem für Phishing-Attacken, Social-Engineering-Angriffe, Hacken von Accounts und Identitätsdiebstahl.

Der Umgang der Plattformbetreiber mit diesen Vorfällen zeigt deutlich, dass sich die Anbieter gerne aus der Verantwortung ziehen. Facebook beispielsweise weigerte sich, die Betroffenen über den Scraping-Vorfall zu informieren und ist bis heute nicht bereit, Scraping effektiv zu unterbinden. Auch WhatsApp weigert sich, die Metadaten der Nutzer zu schützen.

Wie effektiv ist Social Media-Marketing tatsächlich?

Neben der Datenschutz-Problematik stellt sich grundsätzlich die Frage, ob man Social Media-Plattformen im Stadtmarketing nicht massiv in ihrer Wirkung überschätzt.

Es ist kein Geheimnis, dass die meisten sozialen Plattformen nach einem Pay-to-Play-Modell arbeiten. Dementsprechend ermöglicht man in erster Linie zahlenden Werbekunden eine hohe Reichweite. Wer kein Geld in die Hand nimmt, wird nur eine geringe Reichweite und kein bis wenig organisches Wachstum verzeichnen.

Organische Reichweiten und Engagement im Sinkflug

Auf Facebook liegt die durchschnittliche organische Reichweite mittlerweile bei deutlich unter 5 %. Laut einer Studie von Fanpage Karma sinkt diese auch im Instagram-Feed seit 2021 konstant.

Posts auf Instagram erreichen aktuell 47 % weniger Follower als noch vor zwei Jahren. Der jährliche Social Media Industry Benchmark Report von Rival IQ zeigt, dass auch die Interaktionsraten auf Facebook und Instagram stark zurückgegangen sind.

Stimmen die Reichweitenangaben überhaupt?

Ein weiterer kritisch zu hinterfragender Punkt ist die Seriosität der Reichweitenangaben seitens Facebook & Co. Falsche Metriken und eine enorm überhöht dargestellte Reichweite für Facebook Ads haben bereits 2018 für großen Unmut bei Werbetreibenden gesorgt. Trotz besseren Wissens führte Facebook keine Anpassung der Metrik für die Reichweite durch und zog damit Werbekunden über den Tisch.

Im Jahr 2019 entfernte Facebook dann insgesamt 6,5 Mrd. gefälschte Konten. Bei 2,5 Mrd. aktiven Usern eine beachtliche Menge und so viele wie nie zuvor. Die inflationären Reichweiten sind somit mit hoher Wahrscheinlichkeit zu einem beträchtlichen Anteil durch Fake- und doppelte Accounts zustande gekommen.

Dass geschönte Reichweiten im Social Media-Bereich kein Einzelfall sind, lässt der aktuelle Streit zwischen Twitter und Elon Musk vermuten.

Apple Datenschutz-Update verringert Performance von Kampagnen

Für eine weitere Einschränkung der Reichweite sowohl organischer als auch bezahlter Posts sorgt Apples IOS 14 Update, welches im Frühjahr 2021 ausgerollt wurde. Mit der durchaus begrüßenswerten Umsetzung der Privacy-Richtlinie aus Sicht des Datenschutzes haben Nutzer nun die Möglichkeit, sich für oder gegen die Datenweitergabe zu entscheiden.

Für Werbetreibende bedeutet dies allerdings einschneidende Veränderungen, da sich das Update negativ auf die Performance von Social Media-Werbekampagnen auswirkt. So verzeichneten laut Facebook-Studien Unternehmen aufgrund dieser Änderung einen Umsatzrückgang von 60 % für jeden Dollar, der für Facebook-Anzeigen ausgegeben wurde.

Ein Blick auf Social Media-Alternativen

Neben sinkender Effizienz, permanenten Datenschutz-Skandalen und dem Abfluss der Daten ins Ausland gibt es noch andere Gründe, die für Alternativen sprechen:

1. Risiko: Schon vor der Einschränkung der organischen Reichweite bei Facebook & Co. war es riskant, sich hauptsächlich auf Social Media zu fokussieren. Solange alles rund läuft, gibt es in der Regel auch keine Probleme. Wer sich aber beispielsweise mit den Werberichtlinien nicht gut auskennt, kann ganz schnell vor einem verschlossenen Account und einer verlorenen Community stehen.
2. Kontrolle: Auch besitzt man nie die vollständige Kontrolle über die eigenen Inhalte. Wenn der Algorithmus z.B. das Erscheinungsbild des Posts beanstandet, muss man es ändern.
3. Nutzungsrechte: Und natürlich sind die Nutzungsrechte an den veröffentlichten Inhalten an die Social Media-Plattform abzugeben.

E-Mail Marketing & Blog als nachhaltige Alternative

Eine geschäftliche Beziehung mit einem Big Tech-Konzern bedeutet letztlich immer auch Abhängigkeit und die Preisgabe von Daten. Genau aus diesen Gründen lohnt es sich, über Alternativen wie E-Mail-Marketing oder einen suchmaschinenoptimierten (SEO) Blog nachzudenken.

Anstatt ausländische Konzerne mit Daten zu füttern und dafür auch noch zu bezahlen, können Sie das Geld ebenso gut in die Generierung eigener Leads (qualifizierte Kontakte) und den Aufbau Ihrer Marke investieren. Das ist natürlich auch mit Aufwand verbunden, doch ein SEO-optimierter Blog und ein eigener Newsletter-Verteiler machen sich im Laufe der Zeit bezahlt.

Wenn Sie über diese Tools Leads einsammeln, dann sind diese auch erreichbar. Die Daten sind Ihr Kapital, und Sie bestimmen, was damit geschieht. Bei Facebook & Co. haben Sie das nicht selbst in der Hand und bezahlen noch dazu hohe Summen, um Ihre Zielgruppe zu erreichen.

Datenschutz bei Google Analytics & Co.

Ein wichtiges Instrument im Stadtmarketing stellt auch Google Analytics (GA) dar. Mit dem Tool werden allerdings personenbezogene Daten unverschlüsselt gespeichert und zu den Google-Servern in die USA geschickt. Ein zusätzliches Problem entsteht durch das Einholen von Daten, die einzelne Personen identifizierbar machen.

Im Januar 2022 führte diese Problematik dazu, dass der Österreichische Datenschutzbeauftragte (ÖDSB) im Verfahren „noyb gegen ein österreichisches Unternehmen und Google“ die Nutzung von Google Analytics für unzulässig erklärte. Im April 2022 beurteilte der ÖDSB den Einsatz der Google-IP-Anonymisierung erneut als nutzlose Datenschutz-Maßnahme und lehnte auch die Idee eines „risikobasierten Ansatzes“ ab.

Da diese Entscheidung in Bezug auf eine konkrete Website ergangen ist, lässt sich daraus kein generelles Verbot von Google Analytics ableiten. Es bedeutet aber auch nicht, dass es gar keinen Handlungsbedarf gibt. Wer Google Analytics unbedingt weiter verwenden möchte, kann dies grundsätzlich tun, muss aber zusätzliche technische Lösungen implementieren.

Das Urteil der ÖDSB kann man aber auch als Anlass nehmen, um sich über mögliche Alternativen zu Google Analytics und andere Google-Dienste zu informieren. Marco Blocher, Jurist bei noyb, bewertet die weitere Verwendung von GA als riskant und empfiehlt den Umstieg auf Alternativen, wenn man auf das Tool nicht verzichten kann.

Das klingt hart, aber sofern Google GA nicht umfassend umgestaltet, ist der Weiterbetrieb riskant. Kein Websitebetreiber kann behaupten, er hätte nicht gewusst, dass Google Analytics ein Problem sein könnte.

Marco Blocher, Jurist bei noyb

Europäische Alternativen: Lokale Unternehmen unterstützen

Für den Wechsel auf europäische Produkte spricht nicht nur die DSGVO, sondern auch die Unterstützung regionaler Unternehmen. Gerade Stadtmarketing-Organisationen werben dafür, regional einzukaufen. Warum also nicht in Erwägung ziehen, datenschutzkonforme europäische Anbieter für Internetdienste zu verwenden?

Die Wertschöpfung würde in Europa bleiben und nicht in ausländische Steueroasen abfließen. Außerdem würden durch Förderung europäischer digitaler Unternehmen neue Arbeitsplätze entstehen und die Marktmacht ausländischer Konzerne zurückgedrängt.

Europäische Alternativen gibt es, sie sind aber bisher kaum bekannt

Für DSGVO-konforme Newsletter-Tools (Cleverreach, Rapidmail), Online-Meetings (Trutzbox) oder Messenger (Signal, Threema) sind bereits seit längerer Zeit eine Reihe von Alternativen verfügbar. Eine Zusammenstellung von Alternativen zu Google & Co. findet sich auf der Website european-alternatives.eu.

Zu den angeführten Kategorien gehören unter anderem E-Mail-Provider, Navigations-Apps, VPN-Dienste und Datenanalyse-Firmen (GA-Alternativen). An einem europäischen Internet mit entsprechendem Datenschutz wird ebenfalls bereits in mehreren Projekten gearbeitet.

Neue Social Media-Plattformen für staatliche Organisationen

Im Bereich DSGVO-konformer Social Media-Plattformen hat sich mittlerweile auch einiges getan, dank des sogenannten Fediverse. Dabei handelt es sich um ein Netzwerk unterschiedlicher Plattformen, das datenschutzfreundliche Alternativen zu den herkömmlichen Social Media-Programmen anbietet, zum Beispiel:

• Mastodon als Alternative zu Twitter
• PeerTube als Alternative zu YouTube
• Pixelfeed als Alternative zu Instagram
• Hubzilla und Friendica als Alternativen zu Facebook

Die Europäische Datenschutzbehörde betreibt seit 28. April in einer Pilotphase die Social Media-Plattformen EU Voice (Mastodon) und EU Video (Peertube) für europäische Behörden. In einigen deutschen Kommunen ist man bereits auf den Zug aufgesprungen, auch User wechseln zunehmend auf diese Plattformen.

Mit dem Pilotstart von EU Voice und EU Video wollen wir alternative Social-Media-Plattformen anbieten, die dem Einzelnen und seinem Recht auf Privatsphäre und Datenschutz Vorrang einräumen. Konkret bedeutet dies zum Beispiel, dass EU Voice und EU Video nicht auf die Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums angewiesen sind, dass es keine Werbung auf den Plattformen gibt und dass kein Profiling von Personen, die die Plattformen nutzen, stattfindet. Diese und andere Maßnahmen geben dem Einzelnen die Wahl und die Kontrolle darüber, wie seine personenbezogenen Daten verwendet werden.

Wojciech Wiewiórowski, Europäischer Datenschutzbeauftragter (EDSB)

EU-weite Chatkontrolle: Abschaffung des digitalen Briefgeheimnisses

Mit dem Chatkontrolle-Gesetz möchte die EU-Kommission Hosting- und Messenger-Anbieter dazu verpflichten, die gesamte Kommunikation ihrer User mit Upload-Filtern zu durchsuchen. Die Filter sollen Darstellungen von Kindesmissbrauch und Grooming-Versuche vollautomatisch erkennen, an die Behörden weiterleiten und löschen.

Die geplanten Verfahren sehen den Einsatz künstlicher Intelligenz vor und befinden sich derzeit in einem experimentellen Stadium mit enorm hohen Fehlerquoten.

Das Gesetz bedeutet letztlich das Ende jeglicher Privatsphäre, da das Erkennen der Inhalte nur durch das Durchsuchen aller Inhalte von allen Usern funktioniert (Texte, Bilder, Videos, Sprache):

• Kommunikationsdienste: Betroffen sind u.a. Telefonie, E-Mail, Messenger, Chats und Videokonferenzen, einschließlich Ende-zu-Ende verschlüsselter Messenger.
• Hostingdienste: Betroffen sind u.a. Webhoster, soziale Medien, Video-Streamingdienste, Filehoster und Clouddienste. Auch persönliche Speicher, die nicht geteilt werden, wie Apples iCloud sind betroffen.
• Nicht-EU Dienste unterliegen ebenfalls diesem Gesetz.

Die automatisierte Durchsuchung aller Nutzerinhalte verstößt gegen das Grundrecht auf Privatsphäre und das Briefgeheimnis. Was bringt eine DSGVO, wenn man gleichzeitig mit der Chatkontrolle dem Missbrauch von Daten Tür und Tor öffnet?

Niemand wird sich mehr auf die Vertraulichkeit seiner elektronischen Kommunikation verlassen können, egal ob privat oder beruflich. Und den Kindern ist damit keineswegs geholfen. Ganz im Gegenteil: Kriminelle suchen sich ohnehin andere Kommunikationswege, während gleichzeitig die Ressourcen der Polizei massiv belastet werden.

Echte Kriminelle können diese Gesetzgebung leicht umgehen, indem sie einfach auf selbst gehostete Messenger, das Dark Web oder eine andere Jurisdiktion ausweichen. Die einzigen, deren Nachrichten am Ende überwacht werden, sind normale europäische Bürger, Journalisten, Ärzte, Anwälte und Whistleblower. Wenn dieser Vorschlag durchgeht, sind die Zeiten, in denen die EU beim Datenschutz führend war, vorbei.

Thomas Lohninger, Geschäftsführer epicenter.works

Welche Datenkraken erwarten uns in Zukunft

Smart Mobility und das Konzept der Smart Cities verspricht Städte, die effizienter, technologisch fortschrittlicher, grüner und sozial inklusiver sind. Speziell im Verkehrsbereich werden in Zukunft immer mehr Daten von Autos, Fußgängern, Ampeln, Signalgebern, Info-Diensten, Fahrbahn-Sensoren und anderem an Straßen, Autobahnen und Zugstrecken anfallen.

Im öffentlichen Nah- und Fernverkehr hat das elektronische Ticket längst Einzug gehalten und wer einen E-Roller nutzen möchte, muss per Smartphone einchecken. Das bedeutet, es werden immer mehr Information darüber verfügbar sein, wie, wo und wann wir uns fortbewegen.

Daten landen überwiegend bei Unternehmen

Smart Cities führen auch in vielen anderen Bereichen zu einem enormen Anstieg der Datenerhebung – und ein Großteil der personenbezogenen Daten geht an (ausländische) Unternehmen. Während der Einzelne immer gläserner wird, agieren viele dieser Unternehmen intransparent. Services, Apps, Plattformen und Algorithmen sind zentralisiert, kaum zu durchschauen und außerdem Betriebsgeheimnis.

Dieselbe Problematik besteht bei Einkaufskarten oder Bürgerkarten, die mit nicht-öffentlichen Services kombiniert sind (z.B. Eintritt ins Schwimmbad). Forscht man hier nach, wohin die Daten gehen, landet man häufig in Ländern außerhalb der EU. In Zukunft wird die Datenschutz-Thematik durch den möglichen Einsatz von Drohnen, Roboterhunden und ähnlichem zusätzlich an Relevanz gewinnen.

Kosten Nutzen-Abwägung ist erforderlich

Digitale Technologien bieten zweifelsohne Chancen und Möglichkeiten zur Weiterentwicklung von Städten. Wir sollten uns aber fragen, ob sich der Tausch Daten gegen Service für uns lohnt – oder eher für „smarte“ Firmen.

Weiters ist zu bedenken, dass smarte Technologien auch Fehler haben, gehackt werden und im Falle eines Stromausfalls nicht mehr funktionsfähig sind. Eine permanente kommerzielle digitale Überwachung im Alltag könnte zudem künftig drastische Auswirkungen auf Gesellschaft, Demokratie und die Autonomie des Einzelnen haben.

Fazit: Datensouveränität zurückholen

Datenschutz und die Souveränität über die eigenen Daten muss wieder verstärkt in den Fokus des Stadtmarketings rücken. Erfolgversprechende Wege können die verstärkte Nutzung von E-Mail-Marketing, der Aufbau eines SEO-optimierten Blogs und die Wahl europäischer Angebote sein.

Damit lässt sich der Datentransfer in ein Drittland unterbinden und die Kontrolle der Daten verbleibt weitgehend im Stadtmarketing. Durchaus kritisch zu sehen ist allerdings das Chatkontrolle-Gesetz, das einen tiefen Eingriff in die Privatsphäre darstellt und weder verhältnismäßig noch zielführend ist.

Titelbild (c) geralt via pixabay

Michael Gsaller

Michael Gsaller ist seit 25 Jahren Geschäftsführer vom Stadtmarketing Hall in Tirol, seit vielen Jahren im Vorstand des Dachverbandes „Stadtmarketing Austria“ und seit Oktober 2024 dessen Präsident. Ein ausgewiesener Experte für belebte und attraktive Orte.
Gsaller war Referent bei der zweiten Ausgabe der Südtiroler Akademie für Orts- und Stadtentwicklung.