Das Kollektiv 1909 hat heute eine Aussendung bezüglich der umstrittenen ID-Jack-App veröffentlicht:

DIE AUSSENDUNG IM GENAUEN WORTLAUT:

Achtung Sturmfans: Löscht eure Fotos und Ausweise vom IDJack Server!

Sturmfans, aufgepasst! Der SK Sturm weigert sich zwar, diese Information mit euch zu teilen, doch es ist möglich, sein Foto und seinen Ausweis von den Servern der Teilzwei Betriebs GmbH löschen zu lassen (worauf ihr im Übrigen einen Rechtsanspruch habt). Auch beim Kauf einer Karte oder eines Abos müsst ihr diese Daten nicht mehr hergeben. Um die Löschung eurer privaten Daten zu erreichen, braucht ihr nur ein Mail an IDJack zu senden. Wenn ihr den folgenden Link klickt, öffnet sich ein vorgefertigtes Mail, wo ihr nur noch euren Namen ergänzen müsst.

E-Mail Vorlage: Foto löschen

(Vorlage auch am Ende des Textes)

Wir raten euch dringend, dies zu tun, da es absolut keine Notwendigkeit dafür gibt, dass eure Ausweise bei Dritten hinterlegt sind. Weiters empfehlen wir euch, zu überdenken, ob ihr unter den gegebenen Umständen weiterhin ins Stadion gehen wollt oder ob es nicht besser wäre, darauf zu verzichten, solange diese App im Einsatz ist. 

IDJack – Ein Drama in fünf Akten

Dies wird nun etwas länger, doch bitte nehmt euch die Zeit, diesen Text zu lesen. Es geht um euch, euer Recht und eure Privatsphäre. Es geht darum, wie ihr ohne euer Wissen verkauft wurdet, obwohl es dafür überhaupt keine Notwendigkeit gab.

Erster Akt
Wir schreiben den Sommer 2020, ganz Österreich erholt sich von den dramatischen Folgen des Corona-Lockdowns. Langsam, aber stetig öffnet sich die Gesellschaft wieder, Gastgärten sind belebt, Parks überfüllt und auch die ersten Nachtclubs öffnen vorsichtig ihre Pforten. Auch der österreichische Fußball, der die Frühjahrssaison hinter verschlossenen Türen abhalten musste, will endlich wieder vor Fans spielen, endlich wieder die klammen Kassen der Vereine mit dem Geld der Eintrittskarten füllen. Dieses Geld wird dringend benötigt, fallen doch immer mehr Sponsoren aus.

Zweiter Akt
Um die Genehmigung der Regierung für Spiele mit Zuschauern zu bekommen, arbeiten die Vereine unter Hochdruck neue Konzepte aus. Mund-Nasen-Schutz, fixe Sitzplätze, Schachbrettmuster und Registrierung der Kartenkäufer sind der Masterplan. Maßnahmen, die für den Fan unangenehm sind, aber ob der aktuellen Lage leider unumgänglich. Mit knirschenden Zähnen müssen die Fans zur Kenntnis nehmen, dass das Stadionerlebnis in absehbarer Zeit nicht jenes sein wird, welches man so liebgewonnen hat. Manch einer will einfach um jeden Preis wieder Fußball im Stadion sehen, die Geisterspiele im TV sind einfach für nichts. Die anderen wollen sich Fußball unter diesen Bedingungen nicht im Stadion geben. Zu sehr hängen sie an der Atmosphäre, dem Jubel mit Freunden und an anderen Ritualen. Beides legitime Standpunkte, die diametral zueinanderstehen, doch in einem sind alle vereint: Egal, ob man ins Stadion geht oder nicht: Jeder kauft sich seine Dauerkarte, um seinen Herzensverein zu unterstützen. Wenn man schon nicht im Stadion präsent sein kann, möchte man zumindest seinen Teil zur finanziellen Absicherung des Vereins beitragen.

Dritter Akt
Kurz, bevor der SK Sturm mit seinem Konzept an die Öffentlichkeit geht, lädt er Vertreter der Fangruppen ein, um das Sicherheitskonzept vorzustellen. Das bekannte Schachbrettmuster, MNS und Registrierung im Fanshop wurden dort vorgestellt. Alles Maßnahmen, mit denen man gerechnet hatte. Doch da ist noch diese eine Sache.
Ganz nebenbei wird erwähnt, dass man im Fanshop auch seinen Ausweis einscannen lassen müsse. Mit diesen Informationen verlässt man die Geschäftsstelle und beginnt sich intern zu beraten. Immer mehr Fragen kommen auf, vor allem dieses eine Detail mit dem Ausweis lässt uns einfach keine Ruhe. Auf Nachfrage, warum und wieso ein Ausweis eingescannt werden müsse, platzt dann die Bombe: Um künftig ein Sturmspiel besuchen zu können, muss der Sturmfan seine Daten bei einer fremden Firma hinterlegen. Aber nicht nur jene Daten, die im Ernstfall beim Contact Tracing benötigt werden, nein. Der SK Sturm verlangt von seinen Fans, jenen die selbst unter diesen Umständen bereit sind, den Verein im Stadion zu unterstützen, einen kompletten Datenstriptease. Statt Name, E-Mail und Telefonnummer, die bei allen anderen Vereinen in der Bundesliga ausreichen, muss der Sturmfan auch sein Foto, das Geburtsdatum und eine Kopie eines Lichtbildausweises (!) an jene Firma übermitteln, welche die App „IDJack“ betreibt.
Argumentiert wird diese Maßnahme damit, dass man beim Eingang kontrollieren müsse, ob wirklich die Person, welche die Karte gekauft hatte, ins Stadion ginge. Allein, das stimmt nicht. Zu überprüfen, welche Person das Stadion betritt, ist nicht Aufgabe des Vereins. Dieser muss auf Nachfrage nur eine Liste jener Personen, inklusive Kontaktdaten, vorlegen können, die die Karten in einem bestimmten Sektor gekauft haben. Daten, die jeder Abonnent beim Kauf des Abos bereits abgibt. Wird das Abo benutzt, erfasst dies ein elektronisches System – das schon bekannte, derzeitige Ticketsystem.
Nun kann man seine Karte aber weitergeben, was dann? In diesem Fall hat der Kartenkäufer die Verantwortung, die Kontaktdaten jener Person zu erfassen und aufzubewahren, der er die Karte gegeben hat. Eine Weitergabe der Daten an Sturm ist nicht nötig. Kein Verein in Österreich handhabt das wie der SK Sturm, nicht einmal RB Salzburg. Und dieser Verein ist wohl der letzte in Österreich, der sich hier aus Fanfreundlichkeit in eine Grauzone begeben will.
Argumentiert wird also mit der Sicherheit bzw. der Haftung der Verantwortlichen, falls Personen, die sich im Stadion anstecken, an Covid-19 sterben. Kein Scherz, das ist tatsächlich genauso gesagt worden. Wie bereits erklärt, ist diese Argumentation mehr als fragwürdig und hält keiner Überprüfung stand. Warum aber nun diese App? Warum verlangt der SK Sturm, dass seine Fans ihre wertvollen, privaten Daten einer fremden Firma schenken? Organisatorisch muss es doch anders schaffbar sein, wenn selbst Wattens und Altach nicht daran scheitern und im Gegenzug Vereine mit einem größeren Zuschaueraufkommen, wie Rapid, auch keine derartige App benötigen. Zudem musste Sturm laut eigenen Aussagen hohe Summen in die Anschaffung der Hardware investieren, obwohl die finanzielle Situation angeblich angespannt ist. Das ergibt alles keinen Sinn. Wer profitiert von dem System? Warum führt man sowas entgegen jeder Vernunft ein?
Bisher kam diese App nur in wenigen Nachtlokalen zum Einsatz, die eine Verbindung zu einem Grazer Gastronom hatten. Auch diese App wurde von einer seiner Firmen entwickelt. Um sie zukünftig auch anderen Lokalen und Einrichtungen schmackhaft zu machen und an diese verkaufen zu können, ist ein entsprechender, umfangreicher Datensatz natürlich enorm hilfreich. Jeder, der sich einmal in der App registriert hat, kann sich danach relativ einfach auch für andere sogenannte „Locations“ freischalten lassen. Somit liegt der Verdacht nahe, dass jene Sturmfans, die sich einfach nur ein Spiel ihrer Mannschaft im Stadion anschauen wollen, Investitionskapital geworden sind.
Zusätzlich platzt noch eine weitere Bombe: Der Verein lässt uns ausrichten, dass nicht ausgeschlossen werden kann, dass die App auch nach Ende der Covid-19-Maßnahmen im Einsatz und für einen Stadionbesuch verpflichtend bleibt. Niemand soll also in Zukunft noch ein Sturmspiel sehen können, wenn er nicht zusätzlich zum gekauften Ticket seine privaten Daten einer dritten Firma schenkt.

Vierter Akt
Erst werden wir also mit halben Informationen abgefertigt, danach müssen wir herausfinden, dass der Verein bei den Maßnahmen, deren grundsätzliche Notwendigkeit wir, wie gesagt, nicht in Frage stellen, weit über das Ziel hinausgeschossen ist und obendrein seine treuesten Fans verschenkt. So nehmen wir also noch einmal Kontakt mit dem Verein auf. Unsere Kritikpunkte sind zum einen die unverhältnismäßige Sammlung der persönlichen Daten, zum anderen die Verpflichtung, eine App einer fremden Firma zu nutzen. Nur zur Erinnerung: Alle Daten, die der Verein zum Contact Tracing benötigen würde, sind mit dem Kauf eines Abos bereits hinterlegt. Und auch für Tagestickets würde sich mit etwas gutem Willen eine Lösung finden lassen. Man braucht nur zu den anderen 11 Vereinen, oder – ja, man glaubt es kaum – zum Stadtrivalen zu schauen. Dort schafft man das.
In diesem Treffen beteuert der Verein seine guten Absichten. Man beschwört abermals das angebliche Haftungsrisiko für die Geschäftsführung und schlussendlich ringt sich der Verein zu folgendem Vorschlag durch: Nach Rücksprache mit der Firma Teilzwei Betriebs GmbH, jener Firma die ID Jack betreibt, wird man die App so abändern, dass man kein Foto oder den Ausweis einscannen muss. Auch wird uns angeboten, die Sicherheitsvorkehrungen der Teilzwei Betriebs GmbH in Augenschein zu nehmen. Dass eine ernsthafte und tiefgehende Prüfung in derart kurzer Zeit nicht machbar ist, hat offenbar keiner bedacht. Zusätzlich ringt man sich nach langem Zögern durch, schriftlich zu bestätigen, dass die App nach Ende der Corona Einschränkungen nicht mehr verpflichtend sein wird. Freiwillig wird sie aber nach wie vor im Einsatz bleiben. Mehr wäre auf Grund der bereits getätigten Investitionen und des Zeitmangels nicht mehr möglich. Im Glauben, das Bestmögliche für die Sturmfans herausgeholt zu haben, ohne dabei dem Verein zu schaden, akzeptieren wir zähneknirschend den Vorschlag.

Fünfter Akt
Kurz nach der Vereinbarung kommen Gerüchte auf, dass es schon früher nicht in jeder „Location“ verpflichtend war, seinen Ausweis und ein Foto hochzuladen. Immer mehr verhärtete sich der Verdacht, dass Sturm hier von Anfang an mehr Daten von seinen Fans verlangt hatte, als überhaupt notwendig gewesen wäre. Man verkauft die Abschaffung der Sammlung sensibler Daten als ein großes Entgegenkommen, aber das ist nicht der Fall.
In weiterer Folge müssen wir zur Kenntnis nehmen, dass der Verein via IDJack, entgegen der Abmachung, weiterhin fleißig die Bilder und Ausweise der Fans sammelt, die sich ein Abo oder eine Karte im Fanshop zulegen. Nur, wer explizit nachfragte, muss das nicht tun. Doch woher soll der Fan das wissen, wenn es keine entsprechende Information von Sturm dazu gibt? Auf unsere Frage, wann man denn gedenke, diese Verbesserung allen Fans mitzuteilen, werden wir mit einem Einzeiler, dass man es zu den Q&As hinzufügen würde abgewimmelt (bis heute ist selbst das nicht passiert). Warum will man den Fans dies nicht mitteilen, wenn es doch ausschließlich ums Contact Tracing geht? Steckt etwa doch mehr dahinter?
Unter dem Strich bleibt, dass der Verein von Anfang an nicht mit offenen Karten gespielt und Informationen bewusst zurückgehalten hat. Doch viel schlimmer als dieser Vertrauensbruch unserer bisher offenen Gesprächskultur wiegt die Tatsache, dass der Verein seine Fans und Mitglieder hinterrücks verkauft hat.
Hier noch ein Zitat aus dem zweiten Akt:
„… doch in einem sind alle (Sturmfans) vereint. Egal ob man ins Stadion geht oder nicht, jeder kauft sich seine Dauerkarte, um seinen Herzensverein zu unterstützen.“
Bitter enttäuscht vom Vorgehen des Vereins und vom verantwortungslosen Umgang mit den Daten seiner Mitglieder und Fans, fordern wir die Verantwortlichen des SK Sturm auf, sofort die Notbremse zu ziehen und diese App schnellstmöglich wieder zu entfernen. In weiterer Folge muss der Verein die Fans darüber aufklären, wie sie ihre Daten von den Servern der Teilzwei Betriebs GmbH löschen lassen können und dass sie darauf einen Rechtsanspruch besitzen (Art. 17 iVm Art 21 DSGVO).
Solange diese Lösung, oder eine andere, bei der wir unsere Daten völlig ohne Not verschenken müssen, eingesetzt wird, sei es freiwillig oder unter Zwang, werden wir diese offen bekämpfen. Wir können nur jedem Fan nahelegen, die Heimspiele des SK Sturm nicht zu besuchen, solange diese App verpflichtend ist – auch wenn es bitter schmerzt.
Wir sind mehr als Investitionskapital – wir sind Sturm Graz!

E-Mail-Vorlage:
Betreff: Löschung meines Bildes und Ausweises
Sehr geehrte Damen und Herren!
Ich ersuche Sie hiermit um die unverzügliche Löschung meiner bei Ihnen per Ausweisscan hinterlegten Daten (Foto und Ausweis). Laut den Bestimmungen des SK Sturm Graz sind diese Daten nicht mehr verpflichtend aufzubewahren.
Ich darf Sie um eine kurze Bestätigung bitten und verbleibe
mit freundlichen Grüßen
Vorname Nachname

UPDATE (17:30 Uhr): DER SK STURM HAT OFFENSICHTLICH AUF DIESE AUSSENDUNG PROMPT REAGIERT: 

Hier der genaue Wortlaut:

Um alle Unklarheiten rund um die Themen idJack und Datensicherheit zu beseitigen, haben wir die Antworten auf die häufigsten Fragen für Sie zusammengefasst. Im Vergleich zu vielen bekannten sozialen Plattformen, geht der SK Puntigamer Sturm Graz mit den Daten extrem sorgfältig um und ist sich seiner diesbezüglichen Verantwortung voll und ganz bewusst:

– Wer ist der Besitzer der Daten?

Sturm Graz ist Besitzer der Daten, die bei Sturm Graz erfasst und freigeschaltet werden.

– Werden die Daten in irgendeiner Form weiterverwendet (z.B. für Marketingzwecke) oder an Dritte weiterverkauft?

Die Daten werden nicht an Dritte weiterverkauft – die Daten können jedoch für den SK Sturm (zB. für den Versand einer SMS als Information zu Sturm Graz Themen) verwendet werden.

– Wer genau hat Zugriff auf die Daten? Wird ein solcher Zugriff protokolliert?

Jeder Login wird protokolliert. Jeder Zugriff auf Personendaten wird einem Login zugeordnet. Der SK Puntigamer Sturm Graz ist selbstverständlich verpflichtet, die Bestimmungen der DSGVO und des DSG sicherzustellen.

– Ist es möglich, dass die Daten von Sturm Graz an die Exekutive weitergegeben werden?

Die Daten werden ausschließlich bei einem positiven Covid19 Fall der Gesundheitsbehörde (Amtsarzt) übermittelt. Hierbei allerdings auch nur die Daten der Personen die in diesem der infizierten Person zugeordneten Sektor anwesend waren. Bei Vorliegen einer gesetzlichen Verpflichtung werden die Daten an Behörden und Gerichte weitergegeben.

– Werden die Daten nach aktuellem technischem Stand verschlüsselt?

Ja – sie werden verschlüsselt, idJack verwendet modernste Verschlüsselungsalgorithmen bei der Datenübertragung und beim Login. Ausweiskopien und Portraitfotos werden vor dem Speichern verschlüsselt. Erst beim Zugriff auf eine bestimmte Datei wird diese entschlüsselt.

– Werden die Daten nach Ende der Corona-Maßnahmen gelöscht, ohne dass es explizit angefordert werden muss?

Es gibt zwei Optionen bei jeder Registrierung:

1. Löschung nach 28 Tagen
2. Löschung bei Widerruf

Bei Wählen der ersten Option werden die Daten nach 28 Tagen gelöscht. Sie haben auf die restlose Löschung selbstverständlich Rechtsanspruch.

– Ist die Speicherung eines Scans vom Ausweis und eines zusätzlichen Fotos notwendig?

Es wird allen Stadionbesucher_innen die Möglichkeit geboten, bei der Registrierung auf den Ausweisscan und das zusätzliche Foto zu verzichten. Jedoch ist bei der Erstregistrierung ein Lichtbildausweis vorzuweisen.

 – Wer kann eine Sperre für die idJack-Location Stadion Liebenau verhängen?

Ausschließlich der SK Puntigamer Sturm Graz.

– Kann garantiert werden, dass eine Sperre in einer idJack Location (etwa im Univiertel) keine Auswirkungen auf andere Locations hat?

Ja – das kann garantiert werden für den Standort und die Location Sturm Graz – wir haben mit anderen idJack Locations nichts zu tun.

– Kann garantiert werden, dass die App nur für die Dauer der Corona-Pandemie im Einsatz ist?

Die IDJack-App wird nach Corona* für alle Stadionbesucher_innen auf Freiwilligkeit basieren.

 * sobald die Regierung das OK für ein volles Stadion ohne Mund-Nasen-Schutz gibt und die Empfehlung bzw. Notwendigkeit zur Kontaktdatenerhebung wegfällt.