"Um Spotify Premium weiterhin zu verwenden, musst du deine Anschrift bestätigen." Mit dieser Meldung wendet sich der Musik-Streamingdienst Spotify derzeit per E-Mail an einige seiner Kunden. In gefetteter Schrift heißt es sprachlich ungelenk weiter: "Wenn du nicht bestätigst, könntest du Zugang zu deinem Plan verlieren."

Die Mail ist kein Phishing-Versuch oder ähnliches, sondern stammt tatsächlich von Spotify. Verschickt wird sie offenbar an Kunden, die einen Premium-Family-Account führen oder daran beteiligt sind.

Ein Premium-Family-Account kostet pro Monat 14,99 Euro, dem Inhaber eines solchen Accounts stehen bis zu fünf weitere Premium-Zugänge zur Verfügung. Die fünf Extra-Accounts können an Familienmitglieder weitergeben werden, zum Beispiel nach dem Prinzip "Ein Elternteil zahlt, der Partner und die Kinder hören mit".

Grundsätzlich müssen die Premium-Family-Mitnutzer aber keine Verwandten sein, auch Nachbarn oder WG-Mitbewohner kommen infrage. Spotify setzt voraus, dass Mitnutzer "die gleiche Anschrift haben wie du". Dass Spotify von Zeit zu Zeit nachprüfen will, ob seine Nutzer zumindest diese Vorgabe einhalten, ist nicht überraschend. Seltsam ist allerdings die Art und die Intransparenz, mit der es der Dienst diesmal zu tun scheint.

Plötzlich ist angeblich alles "fertig"

Wer in der E-Mail auf "Jetzt bestätigen" klickt, soll sich - so zumindest läuft es in einem Test von SPIEGEL ONLINE - bei Spotify einloggen und landet dann auf einer Webseite, die ihn auffordert, per Klick auf einen Button seinen Standort per GPS zu "bestätigen". "Spotify verwendet deine GPS-Daten wirklich nur zur Bestätigung deines Standorts", verspricht der Dienst dort noch, als wäre es nicht seltsam genug, dass er plötzlich nicht mehr nur etwas zur "Anschrift", sondern auch zum "Standort" wissen will.

Klickt man im Folgenden auf "Über GPS bestätigen", ergaben sich bei einem Test von SPIEGEL ONLINE verschiedene Szenarien: Auf einem Android-Smartphone mit deaktivierter Ortung passierte nichts, was mit GPS zu tun hat. Wir wurden stattdessen aufgefordert, unsere Postleitzahl einzugeben. Im Chrome-Browser unter Windows 10 versuchte Spotify tatsächlich, eine Freigabe zum Abrufen des Standorts zu bekommen.

Erlaubt man diese Abfrage, landet man nach kurzer Zeit auf einer Seite mit dem Spruch "Und fertig", ohne zu erfahren, ob und welche Daten genau Spotify denn nun erkannt haben will. Die gleiche "Und fertig"-Seite erscheint auf dem Android-Smartphone nach der Eingabe einer Postleitzahl.

Im Rahmen der Abfrage verweist Spotify unter der Überschrift "Warum das Ganze?" nur vage auf seine Nutzungsbedingungen für den Family-Tarif . Dort steht nichts über GPS-Daten, es findet sich nur der Hinweis: "Alle Kontoinhaber müssen dieselbe Adresse haben, um den Family Plan Angebot (sic!) nutzen zu können."

In Spotifys Datenschutzerklärung heißt es zum Thema GPS lediglich : "Falls Sie uns die Erlaubnis geben, Zugriff auf Ihren genauen Standort zu nehmen, dann erlaubt uns dies, Zugriff auf Ihr GPS oder Bluetooth zu nehmen, um Ihnen standortbezogene Funktionalitäten innerhalb des Spotify Service zur Verfügung zu stellen."

Viele Fragen, keine echten Antworten

So wirft Spotifys E-Mail am Ende vor allem Fragen auf, zum Beispiel: Wieso behauptet der Dienst, eine GPS-Abfrage durchzuführen, wenn ihm auch eine eingetippte Postleitzahl reicht? Kann man wirklich den Zugang zu seinem "Plan" verlieren, wenn man die E-Mail ignoriert? Und hätte es negative Folgen, wenn man etwa aus Versehen eine falsche Postleitzahl eingibt oder die Abfrage jenseits von zu Hause durchführt?

Solche Fragen haben wir Spotify gestellt, das Unternehmen antwortete darauf nur mit einem kurzen Statement: "Spotify testet derzeit verschiedene Verbesserungen der Benutzerfreundlichkeit von Premium Family mit kleinen Nutzergruppen in ausgewählten Märkten", heißt es darin. "Wir testen ständig neue Produkte und arbeiten am Nutzererlebnis von Spotify, haben aber zu diesem Zeitpunkt keine weiteren Neuigkeiten oder Details zu diesem speziellen Funktionstest."