Wie privat ist der Urlaub noch?

Trackingpraktiken der Buchungsplattform „Hostelworld“

Jonathan Clancy

Dieser Blogpost wurde im Rahmen des Seminars Critical Data Studies an der TUM im Sommersemester 2018 verfaßt. Der Post gibt einen Ausblick auf die Seminararbeit.

Was sind das Ziel und die Motivation hinter dem Projekt?

Ausgehend von der Brisanz des Datenschutzes und der gegenwärtigen Bedeutung die Daten beigemessen werden stellt sich die Frage, wie täglich genutzte Anwendungen und Apps mit den Daten ihrer Nutzen umgehen und welche Wege diese Daten zurücklegen bzw. wohin diese Daten gelangen. Ziel dieses Projektes ist es, anhand einer ausgewählten Anwendung den Datenfluss der vom Nutzer generierten Daten so weit wie möglich zu verfolgen. Weiterhin soll recherchiert werden, wie der Anbieter seinen Umgang mit Daten nach außen hin darstellt. Schlussendlich sollen die zusammengetragenen Informationen im Hinblick auf Personenrecht, Datenschutz und Informatik bewertet werden.

Welche App wurde ausgesucht und warum?

Die Tourismusbranche erschien mir prädestiniert für ein derartiges Projekt, da es sich hier um eine Branche handelt in der viel Geld fließt, die in Deutschland die meisten gesellschaftlichen Schichten betrifft und in der zwangsläufig eine große Menge an Daten erzeugt werden. Somit entschied ich mich für die App „Hostelworld“ der Hostelworld Group. Es handelt sich hierbei um eine Buchungs- Plattform der gleichnamigen Firma mit Sitz in Dublin. Mit der App können Übernachtungsmöglichkeiten in Hostels eingesehen und gebucht werden. Das Netzwerk erfasst eigenen Angaben zufolge ca. 36.000 Unterkünfte in 170 Ländern an und verzeichnete 7.5 Millionen Buchungen im Jahr 2017. Weiterhin ist die App in 19 Sprachen verfügbar, was sie zu einer weltumspannenden Plattform macht und daher wahrscheinlich große Mengen an Nutzer- und ihren Reisedaten generiert. Da gerade das Reisen in unserer Kultur und Gesellschaft heutzutage einen sehr hohen Stellenwert einnimmt, kann man davon ausgehen, dass Unternehmen in diesen Branchen versuchen viele Informationen über den Nutzer zu generieren, da diese eine entsprechend hohen Wert besitzen (Jo Bates et al., „Date journeys: Capturing the socio-material constitution of data objects and flows“, Seite 10, Spalte 2, Z.14ff).

Was möchte ich in diesem Projekt erreichen und herausfinden?

Wie in der Einleitung beschrieben liegt der Fokus zum einen darauf, soweit wie möglich herauszufinden welche Daten der Nutzer wohin gelangen, also die „data journey“ anzugeben. In diesem Kontext ergeben sich daher einige erste Fragen:

• Welche konkreten Daten gebe ich als Nutzer Preis?
• Wer erhält diese Daten und In welcher Form? Personalisiert oder nicht?
• Was lässt sich herausfinden und was nicht?
• Welche Tracker von Dritten lassen sich tracken?

Zum anderen wird eine genauere Untersuchung der von Hostelworld selbst erfolgen, insbesondere der Datenschutzbestimmungen. Dabei ergeben sich beispielhaft folgende Fragen:

• Wie zufriedenstellend lesen sich diese und lässt sich „zwischen den Zeilen“ etwas herauslesen? Gibt es Schlupflöcher?
• Stimmen die gefundenen Tracker mit den Angegebenen überein?
• Ergeben sich unbeantwortet Fragen oder unklare Sachverhalte?
• Gibt es seitens Hostelworld (finanzielle) Motive mit Daten Geld zu verdienen?

Nach diesen beiden Schritten wird eine Gesamtbetrachtung erfolgen, die die gewonnen Informationen in Kontext stellen soll. Dies wird unter Zuhilfenahme der Literatur, externen Berichten und eigenen Überlegungen und Schlussfolgerungen erfolgen. Die Bewertung und Analyse der recherchierten Informationen soll hier im Vordergrund stehen. Hierbei soll noch erwähnt werden, dass es bei den oben genannten Fragen lediglich um die Kernfragen handelt, welche die Ziele präzisieren sollen und sich aller Voraussicht nach viele weitere Fragen ergeben werden.

Wie bin ich das Projekt angegangen?

Um ein Bild der data journeys zeichnen zu können, ist man bei der Analyse, die Unabhängig von den von Hostelworld angegebenen Informationen erfolgen soll, auf Tools angewiesen, welche einen Datenfluss aufzeichnen können. Hierbei wurden bis zum Erstellen des Blogposts die Tools lumen, packagecapture, wireshark und ghostery verwendet. Die Tatsache, dass sowohl Tracker für mobile als auch Webanwendungen zum Einsatz kommen ist dadurch zu erklären, dass die Datenschutz- Bestimmungen von Hostelworld sowohl für die Webansicht als auch für die mobile Version gilt und außerdem viele Tracker wie Google Analytics mittlerweile in einer mobilen Version zur Verfügung stehen und genutzt werden. Da ein Buchungsprozess in beiden Fällen auf dieselbe Art und Weise erfolgt, ist es aus der Sicht eines Datenflusses nicht relevant, wo der Nutzer seine Daten eingegeben hat. Der Großteil an Informationen über Hostelworld entspringt der Domain https://www.hostelworld.com/.

Welche ersten Ergebnisse haben sich bisher ergeben und haben sich weiter interessante Fragen und Ideen aufgetan?

Ich selbst habe mit einer Vielzahl an Trackern bzw. Cookies gerechnet, da Hostelworld wie oben beschrieben ein weltweit verfügbarer Dienst mit einer großen Anzahl an Nutzern ist. Dabei decken sich auf der positiven Seite die Vielzahl der angegeben Cookies unter https://www.hostelworld.com/cookiespolicy.php auch mit den von ghostery angezeigten, auf der negativen Seite handelt es sich hierbei eben um eine Vielzahl an Werbecookies (siehe Abbildung 1) und somit eine Vielzahl an unerwünschten potenziellen Datenflüssen. Auffallend ist zudem die Vielzahl an Google Diensten oder dem Tracker „Facebook Connect“. Es stellt sich die Frage ob die Dienste von Facebook oder Google für Dienste wie Hostelworld mittlerweile unverzichtbar sind um wettbewerbsfähig zu blieben oder Geld zu verdienen. Einige beispielhafte weiterführenden Fragen wäre zudem ob Dienste wie Google oder Facebook anonymisierte Nutzerdaten wieder entpersonalisieren können (Wolfie Christl, „Corporate Surveillance in Everyday life“) da zumindest Hostelworld angibt, keine personalisierten Daten weiterzugeben oder inwiefern sich die Datenschutzbestimmungen nach dem Inkrafttreten der DSGVO geändert hat. Diesen Fragen wird im abschließenden des Seminars ebenfalls nachgegangen.

Abbildung 1: Beispielhafte Suche nach einem Hostel durchgeführt unter www.hostelworld.com mit angezeigten Trackern der Anwendung ghostery

Referenzen:

Links:

https://www.bloomberg.com/research/stocks/private/snapshot.asp?privcapId=314791937

http://www.top1000.ie/hostelworld

https://whatis.techtarget.com/definition/Facebook-Connect

https://de.ryte.com/wiki/Facebook_Connecdt

https://www.datenschutzkanzlei.de/fachbeitrag-facebook-connect-im-datenschutz-check/

https://www.hostelworld.com/

https://www.hostelworld.com/securityprivacy.php

http://www.hostelworldgroup.com/

https://www.hostelworld.com/cookiespolicy.php

http://www.hostelworldgroup.com/~/media/Files/H/Hostelworld-v2/reports-and- presentations/hostelworld-annual-report-2017-interactive.pdf

https://www.wireshark.org/download.html

https://www.ghostery.com/

Verwendung der Apps „Packet Capture“ und „Lumen Privacy Monitor“ heruntergeladen aus dem Google Play Store

Über den Autor: Jonathan Clancy, geb. am 18.09.1997, studiert im 4. Bachelorsemester Informatik mit Anwendungsfach Mathematik an der TU München. Das Seminar hat er aufgrund persönlichem Interesse an Politik und Datenschutz gewählt.