bank-g7f5e98788_1920

Schweizer eBanking-Apps: Von toten Trackern und Datenabfluss in die USA

Dass unsere Desktop-Lösungen vieler eBanking-Lösungen bereits munter unsere IP-Adressen an Google und Adobe weiterplaudern wenn wir Zahlungen tätigen, haben wir bereits aufgezeigt. Wir haben uns nun die Banking-Apps auf Android vorgeknöpft. Die Apps analysierten wir mit dem Tool Exodus Privacy.

Dabei zeigt sich: Die Banken leisten sich teils fragwürdige Tracker obwohl sie deren primären Verwendungszweck (Analytics, Datenerhebung zwecks Werbung) gar nicht benötigen. Raiffeisen Bank hat den Tracker Google AdMob implementiert, die auch Funktionen des umfassenden Werbesystems DoubleClick enthält. Die Schwyzer Kantonalbank-App enthält wiederum viel Amazon-Code, die Migrosbank nutzt ebenfalls ein Analysetool aus den USA für die Nutzung ihrer eBanking-Anwendung. Geben diese Banken nun das Bankgeheimnis preis? Fakt ist: Raiffeisen, SZKB und Migrosbank haben diese Pakete installiert, brauchen jedoch kaum deren ganze Funktionspalette.

Die erste gute Nachricht: es gibt auch einige tracking-freie Apps (einige Kantonalbanken). Und die zweite: einige der von uns gefundenen Bibliotheken von amerikanischen Unternehmen werden ersetzt oder deaktiviert. Daher: Es lohnt sich also immer genauer hinzuschauen.

Ein Hinweis vorab: nur weil wir mithilfe von externen Analysetools einige umstrittene Funktionen im Code-Paket gefunden haben, bedeutet dies noch lange nicht dass diese auch effektiv aktiv im Einsatz sind und es zum Datentransfer zum Anbieter kommt. Wir haben daher immer explizit nachgefragt wozu welche Funktionen genutzt werden und ob die Daten auch zur Anbieterin (oftmals in den USA sitzend) fliessen (was gemäss des invalidierten Privacy Shield-Abkommens Schweiz-USA vermutlich problematisch wäre).

1. Google-Identifier für Raiffeisen

Der auf den ersten Blick brisanteste Fund ist die Mobile Banking App der Raiffeisen Bank. Hier scheint die SDK Library von Google AdMob implementiert worden zu sein gemäss Exodus. Nach Eigenbeschreibung sollte AdMob – wie der Name „Ad“ schon bereits verrät – den Entwicklern passende Informationen für Werbungsauslieferung übermitteln. Kurz: es handelt sich um ein datenbasiertes Advertising-Produkt. Google schreibt dazu:

„AdMob uses the Google Mobile Ads SDK which helps app developers gain insights about their users and maximize ad revenue. To do so, the default integration of the Mobile Ads SDK collects information such as device information.“

Oder:

Google AdMob ist eine mobile Werbeplattform, mit der Sie mit Ihrer App Einnahmen erzielen können.“ Es geht darum Einblicke in ihre Nutzer zu gewinnen„.

Monetarisiert hier die Raiffeisen Bank die Daten seiner KundInnen? Wozu genau verwendet die Bank diese heiklen Tracker? Die Antwort verblüfft:

„GoogleAdMob ist Teil des Schutzframeworks für Kundinnen und Kunden und wird weder für Werbe- noch für Analytik-Zwecke eingesetzt. Die Raiffeisen Gruppe legt grossen Wert auf den Schutz von Kundendaten und stellt diese durch geeignete Massnahmen sicher. Aus sicherheitstechnischen Gründen gibt Raiffeisen keine Auskunft zu konkret getroffenen Schutzmassnahmen ihrer Applikationen.“

Raiffeisen-Sprecher Joël Grandchamp

Ein Schutzframework? Wovor genau? Dazu wollte die Bank keine genauere Auskunft geben. Die Antwort ist banal wie Recherchen von DNIP.ch zeigen: Die Raiffeisen braucht einen Identifier -also eine eindeutige Kennung um ihre Nutzerinnen zu identifizieren- um sicherzugehen dass verschiedene Apps zum selben Gerät gehören, etwa die PhotoTan-App und die eBanking-App der Raiffeisen. Mit diesem Google Identifier ist eine geräte/app-übergreifende Identifizierung möglich.

Kurz: Die Bank will mit dieser Korrelation lediglich wissen dass es sich bei der Nutzung um denselben Bankkunden handelt. Doch weil die Raiffeisen nur die Betrugsbekämpfung als einziges Einsatzszenario vorsieht und keine Werbefunktionen aktivierte, fliessen keine neuen Informationen zu Google, die nicht sonst schon bereits bekannt sind aufgrund des reinen Downloads einer Raiffeisen-App. Oder anders gesagt: eine Kundenbeziehung aus Sicht von Google zwischen der Android-Besitzerin und der Raiffeisenbank ist infolge der Installation höchst wahrscheinlich anzunehmen. Ob nicht zusätzliche personenbezogenen Daten in die USA fliessen und ob Google neben dem Identifier noch weitere Details erfährt (Geräteinformationen, IP Adressen), konnten wir jedoch bis zum jetzigen Zeitpunkt nicht überprüfen.

2. Amazon-Analytics bei der Schwyzer Kantonalbank

Über die Schwyzer Kantonbank haben wir bereits in einem anderem Zusammenhang bei der Republik.ch berichtet. So hatte sie sich bereits aus dem Kontoverzeichnis der Postfinance bedient – um fair zu sein: völlig legal, denn dieses Register stand jahrelang allen fremden Banken „zur Selbstbedienung“ offen. Eine Kundin der Schwyzer Kantonalbank hätte demnach ohne Weiteres die Namen der Postfinance-Kunden mit einem technischen Skript oder simplem Durchprobieren eruieren können. Das Kontoverzeichnis wurde eine Woche vor Veröffentlichung des Artikels vom 24. Februar 2022 von der Postfinance eingestellt.

Nun stellt sich heraus: die Schwyzer Kantonbank greift in ihrer Banking-App auf Tracker von Amazon zurück. Darunter die Pakete „Amazon Insights“ und „Amazon Amplify/Pinpoint“. Was bedeuten diese Pakete?

Amazon Pinpoint hilft Ihnen, das Nutzerverhalten zu verstehen und festzulegen, welche Nutzer sie ansprechen und welche Nachrichten Sie senden sollten, den besten Zustellungszeitpunkt für Ihre Nachrichten zu planen und dann die Ergebnisse Ihrer Kampagne zu verfolgen.

Die Kategorie Analytics ermöglicht es Ihnen, Analysedaten für Ihre App zu sammeln. Die Analytics-Kategorie verfügt über integrierte Unterstützung für Amazon Pinpoint und Amazon Kinesis (Kinesis-Unterstützung ist derzeit nur in der Amplify JavaScript-Bibliothek verfügbar).
Ziel. Einrichten und Konfigurieren Ihrer Anwendung mit Amplify Analytics und Aufzeichnen eines Analyseereignisses.

Wir haben bei der Bank gefragt weshalb man sich für Amazon entschieden hat?

Die Antwort: Die Bank hat sich mit den Codepaketen des Cloud-Giganten quasi ein „trojanisches Pferd“ im Rahmen einer Standardlösung vom Anbieter Finnova eingefangen, das sie nicht zwingend wollte. Oder anders gesagt: „Amazon Pinpoint“-Nachrichtenversandfunktion ist zwar in der App drin, werde aber nicht genutzt, wie Sprecher Matthias Zettel bestätigt.

Die Mobile Banking der Schwyzer Kantonalbank (SZKB) ist eine Standardlösung von Finnova. Diese Lösung bietet die kanalübergreifende Option „Notification Hub“ an, mit welchem Endkunden via Push-Benachrichtigungen über Ereignisse in den mobilen Kanälen informiert werden können – in Ergänzung zu den Kanälen E-Mail und SMS. Die SZKB hat den Notification Hub nicht in Betrieb und hat diesen auch aktuell nicht lizenziert.

SZKB-Sprecher Matthias Zettel

Weil diese Libraries von Amazon implementiert aber nicht genutzt werde, komme es folglich auch nicht zum Datenabfluss in die USA, so Zettel.

3. Migrosbank operiert mit externem Analysetool

Bei der Migrosbank fanden wir Dynatrace im Einsatz. Ein Sprecher bestätigt dass das SDK aktiv genutzt wird und begründet auch weshalb:

„Wir verwenden diese Applikation, um die Nutzung unserer mobile Apps zu analysieren, die Leistung zu optimieren und Fehler zu beheben. Die Daten werden ausschliesslich zur Analyse der Nutzung und Leistung der Apps verwendet.“

Migrosbank-Sprecher Urs Aeberli

Auch beliebt bei Banken wie ZKB, Postfinance, UBS und Credit Suisse ist „Google Firebase“, das ein multifunktionales Paket mit Analytics, Tracking und Push-Notifications enthält. Aus Gesprächen mit App-EntwicklerInnen geht hervor: Google ist in Sachen Push-Notifications unumgänglich bei einer Android-App. Welche Optionen jeweils effektiv zum Einsatz kommen, ist unklar.

(Hier noch ein Disclaimer, damit die Glashaus-Thematik geklärt ist: auch die Republik nutzt Google Firebase in ihrer App. Dabei geht es um die Nutzung der Push-Benachrichtigungen, Analytics und Tracking sind expliziert deaktiviert. Zwar wird die Analytics-Signatur angezeigt, es handelt sich aber um „stillgelegten Code“.)

Rechtlich genug sauber?

Wie sieht es nun rechtlich bei der Integration der Libraries von Drittanbietern in Banking-Apps aus? Wir klopfen wieder mal in Bern (Eidgenössischen Datenschutzbeauftragten, EDÖB) an, um mehr zu erfahren. Die Antwort: Alles in Ordnung, solange transparent ausgewiesen.

„Die Verwendung der unterschiedlichen Tracker unterliegen – soweit sie beispielsweise die IP-Adresse und somit Personendaten übermitteln – den Regeln des Datenschutzgesetzes. D.h. die Nutzer einer mobile App müssen transparent über die Datenbeschaffung und den Zweck der Bearbeitung informiert werden, also die Grundsätze der Erkennbarkeit und der Zweckbindung der Datenbearbeitung einhalten. Eine Einwilligung zur Datenbearbeitung bzw. eine Möglichkeit zum Opt-Out sollte auf der Grundlage angemessener Information angeboten werden.

Hugo Wyler, Eidgenössischer Datenschutzbeauftragter

Eine Kennzeichnung gleich vor Download ist also erforderlich.

Nun ist es bekannt dass Apple mit Privacy-Labels in seinem App Store arbeitet. Dabei werden Tracker transparent gemacht und können sogar abgelehnt werden von der Userin. Google hat im Play Store eine ähnliche Offensive gestartet, die aber weniger Transparenz und weniger Autonomie verspricht als beim Konkurrenten (und noch gar nicht richtig umgesetzt ist). Bei unseren untersuchten Fällen geht es um Android. Lasst uns also anschauen inwiefern nun im Play Store vor Installation der App informiert wird. Ein kurzer Check zeigt: eigentlich gar nicht.

Die Bankkundenbeziehung wird an Dritte verraten, so lautet zusammenfasst der simple Satz in der Datenschutzerklärung der Raiffeisen Bank. In welcher Form, mit welchen Daten und an welche Unternehmen wird jedoch nicht transparent gemacht. Ist das datenschutzkonform?

Reicht so eine pauschale Erklärung? Nochmals Nachfrage beim EDÖB. Bis dato haben wir noch keine Antwort erhalten (wird nachgereicht im Update).

Immerhin hat die Raiffeisen überhaupt einen Hinweis auf den Datenabfluss zu anderen Unternehmen direkt im App Store von Google platziert. Bei der Migrosbank findet man nichts Entsprechendes vor dem Download bei Google Play. Die Bank weist dafür transparenter und vorbildlicher als alle anderen auf ihrer Website zum Einsatz von Dynatrace hin. Dabei wird auch gleich die Frage der Datenspeicherung und des Datenabflusses geklärt. Immerhin, auch wenn das nicht der Ort ist wo man Datenschutzbedingungen einer Mobile App intuitiv nachlesen würde.

Wir verwenden die Software «Dynatrace APM» des Herstellers Dynatrace LLC, 1601 Trapelo Road, #116 Waltham, MA 02451, USA, auf Grund unserer berechtigten Interessen, die Nutzung der App zu analysieren, die Leistung zu optimieren und Fehler im Zusammenhang mit der App zu beheben. Auch können Fehlermeldungen und Stack-Traces bei Abstürzen zu uns übermittelt werden. Dabei ist es möglich, dass auch personenbezogene Daten erfasst werden.

Die von Dynatrace APM erhobenen Daten werden ausschliesslich bei uns lokal gespeichert und ausgewertet. Es erfolgt keine Weitergabe der Daten an externe Dienstleister oder an den Hersteller. Die Daten werden nach der Auswertung innerhalb von 90 Tagen automatisch gelöscht.“

Datenschutzbedingungen zum Einsatz von eBanking-Apps Migrosbank

Nichts dergleichen findet man bei der Schwyzer Kantonalbank, weder im App-Store noch auf der Website, was vermutlich auf den Fakt des „nicht aktiven Betriebs“ zurückgeht.

Der Vollständigkeit halber sollen auch Banken lobend erwähnt werden, die sich „im grünen Bereich“ befinden. Sämtliche Kantonalbanken scheinen bei ihren eBanking-Apps ohne Datenabfluss-Tracker auszukommen. Die „Hall Of Fame“ der von uns untersuchten Apps heisst: Kantonalbanken Thurgau, Bern, Appenzell, Zug, Genf und auch die Bank Valiant.

Warum brauchen die einen Tracker von Drittanbietern, die anderen nicht? Die Thurgauer Kantonalbank etwa macht eigene Messungen, wie sie auf Anfrage von DNIP.ch mitteilte:

Richtig; die TKB setzt im Mobile Banking keine Webanalytik-Software ein. Wir messen lediglich die Anzahl der Logins, um sie mit der Anzahl der Zugriffe via Kundenwebportal (Desktop-Version unseres E-Bankings) zu vergleichen. Was die ausgeführten Transaktionen (Zahlungen, Börsenaufträge, Produkteröffnungen usw.) betrifft, führen wir aggregierte Auswertungen in unserem Kernbankensystem durch (aggregiert = nicht auf den einzelnen Kunden bezogen).“

TKB-Sprecherin Tina Helfenberger

Offenbar fallen gewisse einige eBanking-Apps bei „Exodus Privacy“ durch die Maschen, weshalb auch die obige „Hall of Fame“ mit Vorsicht zu geniessen ist (und ausserdem kein Anspruch auf Vollständigkeit hat). Bei der Luzerner Kantonalbank etwa wird ebenfalls ein grünes Rating angegeben. Doch: die Bank arbeitet durchaus mit Code-Paketen von Apple und Google, wie eine Anfrage von DNIP.ch ergeben hat.

Was seit unseren Recherchen geschah

Anscheinend möchte man bei der Raiffeisen vom AdMob-Tracker wegkommen und die von Google (Android) offerierten privatsphärefreundlicheren Alternativen verwenden, wie wir herausgefunden haben. Und: die Migrosbank entledigt sich eines anderen Trackers, welchen wir noch nicht erwähnten. Die Bank hatte neben Dynatrace auch ein anderes Paket im Einsatz. Es geht um das SDK (Software Development Kit) von Countly für die Videoidentifikation. Auch hier handelt es sich offenbar um tote Funktionen, die nicht im aktiven Betrieb waren.

Countly Tracker: Es handelt sich um eine Restanz aus der Einführung der Videoidentifikation; das Tracking ist jedoch nicht aktiviert und leitet keine Daten weiter. Wir werden den Tracker im nächsten Release entfernen.“

Urs Aeberli, Migrosbank-Sprecher

Fazit: Die Banken scheinen unterschiedliche Bedürfnisse bezüglich Datenanalysen zu haben und auf verschiedene Sicherheitskonzepte zurückzugreifen. Manche implementieren dabei potenziell invasive Drittpartei-Tracker von externen Firmen, andere gar nicht.

Immerhin: offenbar nehmen einige Banken unsere Fragerei zum Anlass, ihre Apps von stillgelegtem Code und nicht benötigen Optionen zu säubern und sich nach Alternativen umzuschauen. Um auch nur die Daten zu erheben und zu messen, die sie tatsächlich benötigen.

Update 11.5.2022 um 18:00: Die Postfinance benutzt laut Exodus Privacy ein Tool von SPLUNK. Auch hierbei handelt es sich um ein Paket einer amerikanischen Firma, das für Absturzberichte, Performance und Analytics eingesetzt werden kann. Postfinance-Sprecher Rinaldo Tibolla dazu:

Ja, PostFinance setzt aktuell Splunk MINT ein, nutzt es für das Logging von technischen Events (beispielsweise Errors, Networkcalls, Crashes etc.). Hauptsächlich dient es für das Troubleshooting von Problemen und Incidents in der Produktion. Splunk-Events sind alle mit einer Splunk-UUID versehen, dieselbe UUID zeigt die PostFinance App bei Kontakt & Support an. Über diese ID kann PostFinance Probleme identifizieren. Es werden keine kundenidentifizierende Daten verwendet. PostFinance nutzt eine sogenannte On-Premise-Lösung für das Sammeln der Events, d.h. der Splunk-Collector wird in-house betrieben und alle Daten werden bei PostFinance gesammelt. Es fliessen also keine Daten in die USA.

Update, 11.05.2022 um 23:00: Auf Hinweis von Martin Steiger ein kleines Korrigenda: die Verlinkung zur Datenschutzerklärung bei der Migrosbank ist tatsächlich vorhanden beim Google Play Store, allerdings muss man sich zu dieser je nach Betriebssystemversion vorkämpfen, mehrere Boxen aufklappen und Sub-Menüs durchklicken.

Upate, 13.5.2022 um 15:50: Wegen eines kommunikativen Missverständnisses ging die Email an die MediensprecherInnen des EDÖB unter. Hier nun endlich die Antwort von Silvia Böhlen, Sprecherin EDÖB, bezüglich der Frage ob die Deklaration der Raiffeisen genügend ist. (Spoiler: Ja).

„Die Nutzung der Dienstleistungen der Raiffeisen werden im Basisreglement geregelt. In diesem werden in Ziffer «13. Datenschutz / Bankkundengeheimnis» der AGB Ausführungen zum Datenschutz gemacht, unter anderem ist hier ein Verweis auf www.raiffeisen.ch/rechtliches, wo weitere Dokumente für das E-Banking verfügbar sind «Bedingung Raiffeisen E-Banking», «Allgemeine Datenschutzerklärung», «Cookie Policy» und «Datenschutzerklärung für Webseiten und Apps». Was wir nicht gesehen haben, ist die explizite Nennung von AdMob, jedoch sind die Zwecke der Datenbearbeitungen mehrfach in den erwähnten Dokumenten aufgeführt, auf welche übrigens mittels Link direkt von App Store und GooglePlay zugegriffen werden kann. Hierzu muss man nach unten scrollen um zur Information über die App zu kommen.

Unsere Einschätzung: Es gibt mehrere Dokumente der Raiffeisen, welche die Datenbearbeitungen erklären. Diese sind einfach erreichbar und werden im Rahmen der Kundenbeziehung aktiv erwähnt. Es fehlt zwar eine explizite Nennung von AdMob, dieser Dienst kann jedoch unter den Ausführungen zu Analytics und Tracking, Cookies subsumiert werden.

Teile Diesen Beitrag

8 Kommentare

  1. Angesichts der Tatsache, dass das Bankkundengeheimnis eine eigenständige Geheimhaltungsvorschrift ist, die über das Datenschutzrecht hinausgeht, wäre hier zusätzlich eine Stellungnahme der FINMA von Interesse, nämlich einerseits dahingehend, ob durch diese Tracker das Bankkundengeheimnis verletzt wird und andererseits dahingehend, ob die FINMA bzw. die EBK immer noch der Auffassung sind, dass es keine besonderen Regelungen und Weisungen für das eBanking braucht und die Outsourcing-Richtlinien genügen (siehe https://www.finma.ch/FinmaArchiv/ebk/d/faq/faq4.html#4C).

    1. Es ist eben gar kein Tracker der selbstständig Daten sammelt. Das wird im Artikel suggeriert, ist aber nicht so.
      Es werden keine kundenidentifizierenden Daten an Amazon geliefert, somit ist das absolut FINMA konform.
      Nur zur info: Die FINMA verbietet auch die Speicherung von Kundendaten in der cloud nicht. Die FIMNA gibt aber sehr wohl vor, wie diese Daten geschützt sein müssen. Alle grossen Cloud Anbieter halten sich vollumfänglich an diese Standards.

      1. Guten Tag Herr Stalder. Danke für Ihren Kommentar. Was verstehen Sie unter „selbständig sammeln“? Eine Advertising ID wird – sofern nicht durch den User re-settet- je nach aktivierter Funktion und Konfiguration schon übermittelt. Der Punkt ist dass aber nur wenige der Optionen gebraucht werden (oftmals nur Push-Notifications), daher wird auch nichts „gesammelt“.

        @Herrn Kettiger: Anfrage an die FINMA ist erfolgt, Antwort werde ich hier publizieren.

    2. Die Antwort ist relativ allgemein ausgefallen, zum Thema Datenübertragung leider keine Position ausser der Verschlüsselung: „Die FINMA sieht prinzipienbasierte Regeln zur IT-Sicherheit und insb. den Umgang mit elektronischen Kundendaten (Anhang 3) im Rundschreiben zu den operationellen Risiken vor. https://www.finma.ch/~/media/finma/dokumente/dokumentencenter/myfinma/rundschreiben/finma-rs-2008-21-20200101.pdf?sc_lang=de&hash=42A43CC2F110E82D94574FE26C800892
      So müssen die Banken grundsätzlich die Vertraulichkeit von schützenswerten Kundendaten sicherstellen. Dafür haben die Banken Schutzmassnahmen (z.B. Verschlüsselung) insbesondere bei der Datenübertragung und der Datenspeicherung auf den Endgeräten oder am Endpoint (z.B. PCs, Notebooks, portable Datenspeicher und Mobilgeräte) zu ergreifen.
      Die Umsetzung der Vorgaben zu den operationellen Risiken und die Verantwortung für die IT-Sicherheit liegt aber grundsätzlich bei den Banken und ihren Kundinnen und Kunden.
      Die FINMA überprüft regelmässig, ob die Banken die erforderlichen Massnahmen ergreifen und kontrollieren. Die IT-Sicherheit ist typischerweise Teil der aufsichtsrechtlichen Prüfprogramme von externen Prüfgesellschaften, die für die Beurteilung solcher Fragestellungen fähig und spezialisiert sind.“

      1. Guten Tag Frau Fichter,
        „So müssen die Banken grundsätzlich die Vertraulichkeit von schützenswerten Kundendaten sicherstellen“

        Ich denke das ist der wichtige Punkt. Es werden keine schützenswerten Kundendaten an Amazon übermittelt.

  2. Vielfach höre und lese ich unterschiedliche Aussagen und Informationen zum Datenschutz der Twint-Apps der Banken. Für mich ist die Nutzung von Twint zwar toll, aber als technischer Laie ist der Datenschutz für mich unübersichtlich und eine Zuordnung nicht möglich. Gibt es hier im Forum Erfahrungen, was meint dnip.ch?

      1. Vielen Dank für Ihre gute Frage. Ich kann sie nicht abschliessend beantworten: ich hab ein paar der Twint-Apps angeschaut (gibt ja unterschiedliche), viele benutzen Scandit (wie auch übrigens die Mobile Banking App von Julius Bär). Scandit ist ein Scanner für die QR Codes, die Libraries wird auch für das Ausspielen von Werbung genutzt. Aus verschiedenen Gesprächen haben ich erfahren dass diese Scandit Scanner so konfiguriert werden, dass keine User Daten die Twint App verlassen sollten (Werbung-Option also ausgeschaltet ist). Scandit wird also nur zum Einlesen der QR Codes verwendet und es sollten-gemäss meinen Informationen- keine Daten zu Scandit und ins Ausland fliessen. Es würden auch keinerlei Statistiken zu Werbezwecken erfasst (auch nicht auf dem Benutzergerät selbst) werden via Scandit. Es wird jedoch durchaus Werbung angezeigt auf der Twint-App, diese könnte auf Basis meiner Nutzungs/Ortsdaten basieren (Standort, zum Beispiel bezahlen in einem bestimmten Laden), aber diese Daten erheben die Banken selbst mittels eigener Technologie (und ohne Integration von Libraries von ausländischen Drittanbietern). Das ist das Einzige was ich bisher in Erfahrung bringen konnte.

        Mehr finden Sie hier: https://www.ubs.com/ch/de/private/digital-banking/private/twint/termsofuse.html
        Datennutzung: Zur Nutzung gewisser Funktionen in UBS TWINT muss der Nutzer möglicherweise die Ortungsdienste auf seinem Endgerät freischalten, womit UBS TWINT Zugriff auf die Standortdaten des Nutzers erhält. Der Nutzer ermächtigt UBS und UBS-Konzerngesellschaften, sämtliche im Zusammenhang mit der Nutzung von UBS TWINT bearbeiteten Daten (z.B. Registrierungs-, und Transaktionsdaten) sowie Daten von Drittquellen zu speichern, zu bearbeiten und zu nutzen und daraus Profile zu erstellen. Diese werden von UBS und UBS-Konzerngesellschaften insbesondere zur Erbringung von Dienstleistungen im Zusammenhang mit UBS TWINT genutzt und, um dem Nutzer gegebenenfalls individuelle Beratung, massgeschneiderte Angebote sowie Informationen über UBS-Produkte und -Dienstleistungen zur Verfügung zu stellen sowie für Marktforschungs-, Marketing- und Risikomanagementzwecke. UBS räumt dem Nutzer die Möglichkeit ein, die Ermächtigung für die Zustellung von Werbung zu widerrufen. Für den Versand entsprechender Marketing-Kommunikation kann UBS oder die Zahlungssystem-Betreiberin mit Netzbetreibern (z.B. Swisscom) zusammenarbeiten und diesen Mobilnummer des Nutzers zugänglich machen. Die weitergehende Bearbeitung von Personendaten im Rahmen von Mehrwertleistungen richtet sich nach der nachfolgenden Ziffer.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.