Standortdaten, Kartenkacheln, Drittanbieter: Die unterschätzten Datenschutzrisiken in Geo-Anwendungen

Geo-Visualisierungen gehören heute zum Standardrepertoire moderner Datenanalyse. Ob Filialnetze auf einer Karte, Lieferrouten in Echtzeit oder regionale Umsatzverteilungen — kaum ein Dashboard kommt ohne Kartenansicht aus. Doch hinter der scheinbar harmlosen Darstellung von Punkten auf einer Karte verbergen sich Datenschutzrisiken, die viele Unternehmen unterschätzen oder schlicht übersehen.

Wenn die Karte nach Hause telefoniert

Der Kern des Problems liegt in der Architektur der meisten Geo-Anwendungen. Um eine interaktive Karte darzustellen, laden Anwendungen sogenannte Kartenkacheln — kleine Bildausschnitte oder Vektordaten, die zusammengesetzt das Kartenbild ergeben. Diese Kacheln stammen in den allermeisten Fällen von externen Diensten: Google Maps, Mapbox, OpenStreetMap-Tileservern oder vergleichbaren Anbietern.

Was dabei oft übersehen wird: Jede Anfrage an einen externen Tileserver überträgt Informationen. Der Anbieter erfährt, welcher Kartenausschnitt angefragt wird, auf welcher Zoomstufe, zu welchem Zeitpunkt und von welcher IP-Adresse. Für sich genommen mag das harmlos klingen. In der Summe entsteht daraus allerdings ein erstaunlich detailliertes Bild.

Das Mosaik aus Metadaten

Stellen wir uns ein typisches Szenario vor: Ein Vertriebsleiter öffnet morgens sein Dashboard, zoomt in die Region München, scrollt zu einem bestimmten Stadtteil, wechselt dann nach Hamburg und schaut sich dort einzelne Postleitzahlgebiete an. Jeder dieser Schritte erzeugt Dutzende Anfragen an den Kartendienstleister. Über Wochen und Monate aggregiert, lassen sich daraus Rückschlüsse ziehen — auf Geschäftsgebiete, Expansionspläne, regionale Schwerpunkte oder sogar den Standort einzelner Kunden.

Die Metadaten, die bei solchen Anfragen anfallen, umfassen typischerweise:

• die angefragten Koordinaten und Zoomstufen,
• Zeitstempel der Zugriffe,
• IP-Adressen und damit potenziell Unternehmensstandorte,
• User-Agent-Strings, die Rückschlüsse auf eingesetzte Software erlauben, sowie
• bei authentifizierten Diensten die API-Keys, die einem bestimmten Kunden zugeordnet sind.

Drittanbieter-Skripte als blinde Flecken

Noch problematischer wird es, wenn Geo-Bibliotheken nicht nur Kartenkacheln laden, sondern zusätzliche JavaScript-Bibliotheken von externen Servern einbinden. Leaflet-Plugins, Geocoding-Dienste, Routing-APIs — jede dieser Abhängigkeiten öffnet einen weiteren Kanal, über den Daten abfließen können.

In vielen Unternehmen durchlaufen solche Drittanbieter-Einbindungen keine IT-Sicherheitsprüfung. Sie gelten als "Teil der Karte" und werden nicht als eigenständige Datenverarbeitungen betrachtet. Dabei wäre genau das aus Sicht der DSGVO erforderlich: eine Bewertung, welche personenbezogenen Daten an welchen Empfänger übermittelt werden, ob ein Auftragsverarbeitungsvertrag besteht und ob die Übermittlung in Drittländer — insbesondere die USA — datenschutzkonform abgesichert ist.

Geocoding: Die oft vergessene Rückrichtung

Ein besonders sensibler Bereich ist das Geocoding, also die Umwandlung von Adressen in Koordinaten. Wenn ein BI-Tool Kundenadressen an einen externen Geocoding-Dienst schickt, um sie auf der Karte darzustellen, werden personenbezogene Daten an einen Dritten übertragen. Je nach Dienst geschieht das unverschlüsselt, ohne Auftragsverarbeitungsvertrag und über Server außerhalb der EU.

Selbst wenn die Adressen nicht im klassischen Sinne "personenbezogen" erscheinen — etwa bei Filialstandorten eines Unternehmens — können sie in Kombination mit Zeitstempeln und Nutzungshäufigkeit Rückschlüsse auf Geschäftsstrategien ermöglichen, die ein Unternehmen als Geschäftsgeheimnis betrachten würde.

Rechtliche Grauzone mit realen Konsequenzen

Seit dem Schrems-II-Urteil und der zunehmend kritischen Haltung europäischer Datenschutzbehörden gegenüber US-Diensten ist die Nutzung von Google Maps, Mapbox und ähnlichen Diensten in geschäftskritischen Anwendungen nicht mehr nur ein theoretisches Risiko. Mehrere europäische Aufsichtsbehörden haben in der Vergangenheit die Einbindung von Google Maps auf Webseiten beanstandet, weil sie ohne informierte Einwilligung der Nutzenden erfolgte.

In internen BI-Anwendungen liegt der Fall zwar anders als auf öffentlichen Webseiten — es gibt keine externen Besucher, deren Einwilligung eingeholt werden müsste. Dennoch bleiben die grundsätzlichen Anforderungen bestehen: Datenminimierung, Transparenz über die eingesetzten Auftragsverarbeiter und eine valide Rechtsgrundlage für die Übermittlung in Drittstaaten.

Was Unternehmen tun können

Wer Geo-Visualisierungen datenschutzkonform betreiben will, hat im Wesentlichen drei Hebel:

Erstens die Wahl des Kartendienstes. Nicht jeder Anwendungsfall erfordert Google Maps. Open-Source-Alternativen wie OpenStreetMap in Kombination mit selbst gehosteten Tileservern ermöglichen eine vollständige Kontrolle über den Datenfluss — allerdings mit erheblichem Betriebsaufwand.

Zweitens das Caching und Vorhalten von Kartendaten. Wer Kartenkacheln lokal speichert, statt sie bei jedem Aufruf neu vom Anbieter zu laden, reduziert die Datenweitergabe erheblich. Die Lizenzmodelle vieler Kartenanbieter schränken dieses Vorgehen jedoch ein.

Drittens die Architektur der Anwendung selbst. Wenn Geocoding, Routing und Kartenrendering serverseitig stattfinden, statt im Browser des einzelnen Nutzers, lassen sich die Kontaktpunkte mit externen Diensten zentral kontrollieren und minimieren.

Lokale Kartendaten als strategischer Vorteil

Genau hier setzt ein Ansatz an, der in der BI-Welt noch erstaunlich selten diskutiert wird: die Nutzung lokal vorgehaltener Kartendaten. Statt bei jeder Karteninteraktion externe Server zu kontaktieren, können Kartenkacheln und Geodaten vollständig in der eigenen Infrastruktur vorgehalten werden. Das eliminiert nicht nur Datenschutzrisiken, sondern bringt auch praktische Vorteile mit sich — schnellere Ladezeiten, Unabhängigkeit von der Internetverbindung und volle Kontrolle über das Kartenmaterial.

RISE Analytics: Geo-Visualisierung mit lokalen Kartendaten

Diesen Gedanken konsequent zu Ende gedacht hat RISE Analytics. Das Business-Intelligence-Produkt bietet umfassende Geo-Visualisierungsfunktionen, kann dabei aber auf lokal vorgehaltene Kartendaten setzen. Das bedeutet: Weder Nutzerinteraktionen noch die dargestellten Geschäftsdaten verlassen die eigene Infrastruktur.

Für Unternehmen, die sensible Standortdaten analysieren — seien es Kundenverteilungen, Filialnetze, Einzugsgebiete oder regionale Marktanalysen — ist das ein entscheidender Unterschied. Die Geo-Visualisierung wird so zu einer rein internen Angelegenheit, ohne Abhängigkeit von externen Kartendienstleistern und ohne die datenschutzrechtlichen Fragestellungen, die deren Nutzung unweigerlich aufwirft.

Gerade in regulierten Branchen wie dem Finanzsektor, dem Gesundheitswesen oder dem öffentlichen Sektor, wo strenge Anforderungen an Datensouveränität bestehen, macht dieser Architekturansatz den Unterschied zwischen einer theoretisch datenschutzkonformen und einer tatsächlich souveränen Datenanalyse. Wer seine Geo-Daten ernst nimmt, sollte auch ernst nehmen, wohin die Karte telefoniert.