Man könnte ja mal den Hessischen Beauftragten für Datenschutz und Informationsfreiheit fragen, was er davon hält.
Ich habe zumindest den Konzerndatenschutzbeauftragten der DB gefragt, wie es denn um den Apple/Google-Store und damit "ich geben denen alle meine Daten"-Zwang beim BahnBonus-Programm aussieht. (Spoiler: sah er natürlich kein Problem).
Dagegen juristisch zu argumentieren wird nicht leicht, da ja die Bahn selbst nicht die Daten bekommt und verarbeitet. Mit Art. 7 Satz 4 DSGVO zu argumentieren (gegenüber der Bahn) läuft auch ins Leere, da die Bahn ja keine Verarbeitung auf Rechtsgrundlage Einwilligung vornimmt.
Man kann argumentieren, dass der Vertrieb der App, die ja ausschließlich über Apple oder Google erhältlich ist, Apple bzw. Google zu einem Unterauftragnehmer und Unterauftragsverarbeiter macht. Problem hier ist, dass der Shopbetreiber von der Bahn keinerlei Kundendaten erhält.
Es ist eher so, dass die Bahn die Distribution ihrer App an Apple und Google ausgelagert hat und gleichzeitig sich nicht verantwortlich fühlt für die Bedingungen, denen ihre Kunden zustimmen müssen, um die App tatsächlich zu bekommen, also um den Dienst der Bahn nutzen zu können.
Eigentlich ein ziemlich mieses Spiel. Wenn sich jemand mit dem Thema näher beschäftigt hat, kann er sich gerne mal melden.