Seit Mai ist die neue Datenschutzgrundverordnung (DSGVO) in Kraft, vor der viele Digitalunternehmen Angst hatten. Kunden können seitdem von Firmen verlangen, ihnen zu sagen, welche ihrer persönlichen Daten sie gespeichert haben. Eine Journalistin von Zeit Online stellte dem Berliner Möbelhändler Home24 kürzlich eine solche Anfrage. Das Jungunternehmen kam ihrer Bitte nach – und schickte darüber hinaus die sensiblen Kundendaten von 86 weiteren Home24-Kunden.
In einem 200 Seiten langen PDF-Dokument konnte die Journalistin die Adressen, Mailadressen, Telefonnummern, Geschlechter und Zahlungsarten der Kundinnen und Kunden nachlesen. Zu einigen Personen beinhaltete das Schreiben auch die Kreditkartendaten inklusive vier Stellen der Kreditkartennummer. Darüber hinaus hatte Home24 jeden Kunden mit einem Bonitätsindex versehen, einem Wert zwischen 0 und 1, den das Unternehmen basierend auf ihm vorliegenden Kundendaten erstellt.
„Einmaliger Fehler“
Auf Nachfrage der Zeit-Journalistin sagte Home24, die Herausgabe der Daten sei ein Versehen gewesen. Einem Mitarbeiter sei „trotz gesonderter Schulung ein einmaliger Fehler unterlaufen“. Im Jahr 2012 hatte Home24 schon einmal versehentlich Kundendaten an Dritte weitergegeben, auch damals soll „ein menschlicher Fehler“ der Grund gewesen sein.
Seit die neue DSGVO gilt, müssen Unternehmen Datenlecks innerhalb von 72 Stunden melden – zumindest, wenn es um so sensible Informationen wie Bankdaten geht. Nach Angaben der Berliner Datenschutzbehörde habe Home24 den Vorgang fristgemäß gemeldet und die Kunden, deren Daten in dem 200-Seiten-Dokument enthalten waren, informiert, heißt es im Zeit-Online-Artikel. Man betrachte den Fall inzwischen als erledigt.
Damit ist die börsennotierte Rocket-Beteiligung glimpflich davongekommen: Verstoßen Unternehmen gegen die DSGVO, drohen ihnen Bußgelder von bis zu vier Prozent des Jahresumsatzes.
