Internet-Law

Onlinerecht und Bürgerrechte 2.0

23.9.10

50 Millionen EC-Karten-Daten zentral gespeichert

Medienberichten zufolge hat das Unternehmen Easycash die Bankverbindungen sowie Betrag, Zeitpunkt und Ort von Transaktionen von ca. 50 Millionen deutscher EC-Karten-Kunden zentral gespeichert. Wer bei einem Vertragspartner von Easycash, also z.B. einem Supermarkt, per EC-Karte und Unterschrift bezahlt, wird auf diese Weise erfasst.

Offenbar steht auf der Rückseite des Zahlungsbelegs, auf dem man bei der Bezahlung unterschreibt, kleingedruckt, dass man in die Speicherung und Verarbeitung der Daten durch Easycash einwilligt. Esaycash vertritt zudem die Ansicht, es würde sich nicht um personenbezogene Daten handeln.

Diese Praxis stellt meines Erachtens einen evidenten Verstoß gegen das Bundesdatenschutzgesetz dar, über den man juristisch schwerlich diskutieren kann.

Eine wirksame Einwilligung des Betroffenen liegt nicht vor. Denn eine solche würde voraussetzen, dass  der Kunde auf den Zweck der Datenerhebung hingewiesen worden ist. Wenn die Einwilligung, wie hier, zusammen mit anderen Erklärungen erteilt werden soll, ist die Einwilligung außerdem besonders hervorzuheben (§ 4a Abs. 1 S. 4 BDSG). Dadurch soll genau das verhindert werden, was hier praktiziert worden ist, nämlich, dass einem Betroffenen eine Einwilligung untergeschoben wird.

Die Ansicht des Unternehmens, es würde sich nicht um personenbezogene Daten handeln, ist angesichts der Tatsache, dass diese Datenbank gerade zu dem Zweck angelegt wurde, die Bonität von Kunden prüfen zu können, nicht mehr als ein schlechter Witz. Selbst wenn Easycash den Namen des Karteninhabers nicht kennt bzw. speichert, was man allerdings auch bezweifeln muss, sondern nur eine Bankverbindung (Kontonummer, Bankleitzahl) speichert, so ist der Zweck der Speicherung dennoch der, Empfehlungen für Vertragsunternehmen im Hinblick auf Zahlungsfähigkeit und Kreditwürdigkeit der Karteninhaber zu erstellen und diese Empfehlungen zu übermitteln. Und spätestens damit wird der Personenbezug hergestellt und der Übermittlungstatbestand des BDSG erfüllt.

Die Datenschutzbehörden müssten deshalb konsequenterweise die Löschung der gesamten Datenbank von Easycash fordern. Alles andere wäre nicht datenschutzkonform.

posted by Stadler at 11:16  

18 Comments

  1. Ich lese gewohnheitsmäßig die Einwilligung bei ELV. Wenn eine Einwilligung in eine Sperrdatei dabei war, stand bisher immer dabei, dass die Daten unverzüglich gelöscht würden, wenn die Zahlung erfolgt sei. Unter den Bedingungen finde ich das eigentlich akzeptabel.
    Hat Easycash Bedingungen ohne Löschklausel, oder haben sie einfach trotz Zusicherung nicht gelöscht?
    Netter Witz mit den Datenschutzbehörden, übrigens. Vorhersage: Erstmal eine „Frist zur Stellungnahme“ bis ungefähr 2080, die Easycash schweigend verstreichen lässt, dann erstmal gar nichts, bis man die Behörde nachdrücklich erinnert, dass da noch ein Verfahren läuft, dann ein fauler Kompromiss, der darauf hinausläuft, dass kein Bußgeld gezahlt wird, nichts gelöscht wird und so weiter gemacht wird wie bisher. Wie immer halt.

    Comment by Maik — 23.09, 2010 @ 11:30

  2. „Diese Praxis stellt meines Erachtens einen evidenten Verstoß gegen das Bundesdatenschutzgesetz dar, über den man juristisch schwerlich diskutieren kann.“ – Ist das wirklich so? Gespeichert wird ja nicht die Zahlungshistorie eines Menschen sondern einer EC-Karte. Es ist richtig, dass EC-Karten einzelnen Menschen zugeordnet werden können, nur muss Easycash das nicht können, um seinen Zweck zu erfüllen. Denn beantwortet werden soll ja gerade nicht die Frage, ob ein Kunde zahlungsfähig oder kreditwürdig ist, sondern ob eine Zahlung mit dieser Karte wahrscheinlich erfolgreich ist, basierend auf einer nicht-negativen Zahlungshistorie genau dieser Karte.

    Aussagen über Personen zu treffen gelingt ja schon deshalb nicht, weil Kunden durchaus mehrere EC-Karten und Bankverbindungen haben können (angesichts kostenloser Konten bei Direktbanken auch nicht so selten), und sich damit aus der Aussage über eine Karte keine Aussage über den Kunden machen lässt. Der Händler will ja auch gar nicht wissen, ob die Person an sich zahlungsfähig ist oder nicht. Er will nur wissen, ob die Zahlung über die vom Kunden angebotene Zahlung voraussichtlich Erfolg haben wird.

    Comment by sm — 23.09, 2010 @ 11:31

  3. @sm, du argumentierst mit einer Definition von „personenbezogen“, die von Datenkraken erfunden wurde. Die hat aber nichts mit dem Gesetz zu tun.
    Wenn ich anhand eines in zwei Transaktionen gleichen Datums mit hoher Wahrscheinlichkeit davon ausgehen kann, dass diese Transaktionen von der selben Person veranlasst wurden, dann handelt es sich um ein personenbezogenes Datum.
    Es ist *nicht* erforderlich, dass es irgendwem möglich ist, dieses Datum Name und Anschrift zuzuordnen. Insbesondere ist nicht erforderlich, dass die speichernde Stelle das kann.
    Diese absichtlich falsche Interpretation von „personenbezogen“ wurde nur erfunden, um in Fällen wie diesem Verwirrung zu stiften.

    Comment by Maik — 23.09, 2010 @ 11:43

  4. @sm
    Die Behauptung „Aussagen über Personen zu treffen gelingt ja schon deshalb nicht, weil Kunden durchaus mehrere EC-Karten und Bankverbindungen haben können (angesichts kostenloser Konten bei Direktbanken auch nicht so selten), und sich damit aus der Aussage über eine Karte keine Aussage über den Kunden machen lässt.“ erscheint mir nicht nachvollziehbar. Wenn eine Karte von mehreren Personen gehalten werden könnte, wäre das diskutabel. Wenn aber andersherum ein Kunde mehrere Karten halten kann, dann ist doch ein eindeutiger Bezug herstellbar. Lächerliche Argumentation.

    Comment by Stefan Richter — 23.09, 2010 @ 11:51

  5. @sm: Ich hatte es im Beitrag doch eigentlich erklärt. Die wohl überwiegende Ansicht wird Bankverbindungsdaten immer als personenbezogen betrachten. Selbst wenn man annimmt, dass das zunächst anders ist, wird der Personenbezug spätestens beim Vertragspartner von Easycash hergestellt.
    Die Kontrollfrage lautet: Weshalb sollten diese Daten überhaupt gespeichert werden, wenn niemand jemals einen Bezug zu einer Person herstellt?

    Comment by Stadler — 23.09, 2010 @ 11:57

  6. @Stefan Richter
    Meine Argumentation beruht darauf, dass ich aus der Tatsache, dass eine Karte als zahlungsfähig oder nicht eingeschätzt wird, keine Aussage darüber machen lässt, ob der Karteninahber selbst zahlungsfähig ist oder nicht. Die Zahlungsfähigkeit zum Zeitpunkt der Kartennutzung ist primär davon abhängig, ob die Bank eine Belastung des mit der Karte verbundenen Konto zulässt oder nicht. Aber auch das ist nicht davon abhängig, ob der Kunde an sich zahlungsfähig ist oder nicht. Er kann es auf einem Konto sein, auf einem anderen nicht. Entsprechend gibt es keine 1:1-Beziehung zwischen „Zahlungsfähigkeit der Karte“ und „Zahlungsfähigkeit des Kunden“.

    Comment by sm — 23.09, 2010 @ 11:58

  7. @Stadler
    „Weshalb sollten diese Daten überhaupt gespeichert werden, wenn niemand jemals einen Bezug zu einer Person herstellt?“ – Das ist einfach: der Händler möchte eine Bezahlung per elektronischer Lastschrift (ELV, also Kartenleser und Unterschrift) nur dann einräumen, wenn die Wahrscheinlichkeit hoch ist, dass die Lastschrift auch gedeckt ist. Ist das Ausfallrisiko erhöht, zum Beispiel weil vorher schon Lastschriften fehlschlugen, bietet er lieber die (garantierte) Zahlung mit PIN an. Dabei ist ihm die Person, die vor ihm steht, genauso egal, wie die Person, der die Karte oder das Konto gehört. Es geht nur um die Frage der Wahrscheinlichkeit eines Zahlungsausfalls in dem konkreten Moment.

    Das ist ja auch, was der Händler über Easycash abfragt: ist es bei dieser Karte ratsam, die Zahlung eher per ELV oder per PIN durchzuführen? Er fragt nicht danach, ob Kunde X zahlungsfähig ist, zumal Easycash diese Frage auch gar nicht beantworten kann. Und es geht auch nicht darum, jemanden zukünftig die Verwendung seiner EC-Karte zu verwehren, der eigentlich zahlungsfähig ist.

    Es geht lediglich um die Unterscheidung der Art der Zahlungsabwicklung, mit der nun einmal unterschiedliche Kosten für den Händler verbunden sind. Eine geplatzte Lastschrift kostet den Händler je nach Bank und Betrag nach meiner Erfahrung mindestens 5 Euro, plus ggf. einem Verlust in Höhe der Warenkosten, wenn sich der Betrag nicht eintreiben lässt. Eine Lastschrift, die klappt, kostet dagegen gar nichts. Bei Zahlung mit PIN gibt es kein Platzen, dafür aber eine umsatzabhängige Gebühr. Kombiniert man das damit, dass gerade im Einzelhandel die Marge bei vielleicht einem Prozent oder weniger liegt, dann ergibt sich aus betriebswirtschaftlicher Sicht durchaus viel Sinn, ELV immer dann einzusetzen, wenn eine Karte nicht bekanntermaßen zu einem Zahlungsausfall geführt hat.

    Comment by sm — 23.09, 2010 @ 12:08

  8. @Maik
    „Du argumentierst mit einer Definition von “personenbezogen”, die von Datenkraken erfunden wurde. Die hat aber nichts mit dem Gesetz zu tun.“

    Ähnlich kann man argumentieren, dass eine Definition von „personenbezogen“, die letztlich jegliches Datum, dass irgendwie etwas mit einem Menschen zu tun hat, erfasst, von Leuten erfunden wurde, die den Datenschutz gern zum absoluten Grundrecht bar jeglicher Abwägungen erheben möchten. In der Wirklichkeit muss sich aber auch der Datenschutz der Abwägung mit anderen Interessen stellen, unter anderem auch die des Verbrauchers nach niedrigen Preisen und bequemer Bezahlung im Einzelhandel. Die zentrale Speicherung von Kartendaten und damit verbundene Zahlungshistorien (nicht Kaufhistorien) ist dafür ein gutes Mittel. Allenfalls lässt sich darüber streiten, welche Daten zwingend dafür notwendig sind.

    Comment by sm — 23.09, 2010 @ 12:15

  9. @sm:

    http://de.wikipedia.org/wiki/Informationelle_Selbstbestimmung

    Oder möchtest Du ernsthaft argumentieren, dass ich durch Einkauf bei einem güstigen Händler Rechtsbruch billigend in Kauf nehme?

    Comment by suscal — 23.09, 2010 @ 12:50

  10. Ich bin kein Jurist, aber ich finde es erschreckend, dass heutzutage Datenbanken angelegt werden, aufgrund deren Auswertung bis ins Detail nachvollziehbar ist, wann ich was und wo gekauft habe (unter Umständen ist sogar auswertbar, mit wem ich unterwegs war). Gläserner gehts kaum noch…
    Und wenn man zum wiederholten Mal liest, dass hunderttausende von persönlichen Daten aus ebensolchen Datenbanken „ganz unerklärlich“ stundenlang frei verfügbar, oder schlimmer noch, abhanden gekommen sind, drängt sich mir der Gedanke auf, dass unser Datenschutzsystem fürn Ar*** ist.
    Mein geringstes Problem diesbezüglich ist, ob nu irgendjemand weiss, ob ich zahlungsfähig bin oder nicht…

    Comment by Marcus — 23.09, 2010 @ 12:59

  11. Kann man sich im Einzelnen drüber streiten, aber Fakt ist eins: …weil sie’s können.

    Und da Firmen und Institutionen immer wieder gern zeigen, dass sie dem Kunden/Bürger alles (schlechte) zutrauen und nur daher ja solch, dann ja eigentlich völlig okaye „Sicherungen“ einbauen, kann man also den Ball nur zurückspielen und eben davon ausgehen, dass sie sowas wie hier tun, wenn sie es können. Und sie können ja offenbar.

    Ich bekomme den Bezug zum eAusweis einfach nicht aus dem Kopf…

    Comment by drknss — 23.09, 2010 @ 13:28

  12. @drknss:
    Mir ist nicht so recht klar, warum die Alternativen eigentlich besser sein sollen:

    (1) Eine Alternative wäre, dass ELV schlicht nicht mehr angeboten wird. Damit vermindert der Händler sein Ausfallrisiko. Da trotzdem mit Karte bezahlt wird (per PIN), hätte diese Alternative eine Kostensteigerung für den Händler und letztlich für den Verbraucher zur Folge. Die Margen im Einzelhandel lassen das gar nicht anders zu.

    (2) Eine weitere Alternative ist, dass ELV allen angeboten wird, die beim Händler noch nicht negativ aufgefallen sind. Dann tragen die zahlungsfähigen Kunden über ebenfalls höhere Preise die Kosten, die andere Kunden durch geplatzte Lastschriften erzeugt haben. Denn auch hier erlaubt die geringe Marge gar nichts anderes.

    (3) Es gibt gar keine Kartenzahlungen mehr, nur noch Bargeld. Der Kunde muss also immer genug Bargeld mit sich herumtragen.

    In allen drei Alternativen ist am Ende der Geschädigte der eigentlich zahlungsfähige Kunde. Und warum genau soll er eigentlich dafür blechen, dass einige andere Kunden es nicht schaffen, nur mit gedeckten EC-Karten einzukaufen, bzw. dass einige gar nicht vorhaben zu bezahlen?

    Es ist denkbar einfach immer den Datenschutz sakral hochzuhalten, sich groß zu empören, wo er nicht in der Form realisiert wird, und dann die Konsequenzen für die Wirklichkeit unter Alternativszenarien zu ignorieren. Es ist auch denkbar faul.

    Comment by sm — 23.09, 2010 @ 13:40

  13. Wer nichts zu verbergen hat, hat auch nichts zu befürchten…fehlt hier noch.

    Wir leben das erstmal in einer Zeit in der wir nicht nur Daten erheben können, nein, wir können sie auch noch fast beliebig schnell auswerten und neu erheben.

    Da muss es doch Wohl erlaubt sein zu fragen, ob das nötig ist.

    Und wenn die ascho armen Händler mir der geringen Marge (warum machen sie dann noch das Geschäft) das ohne Datenkrake nicht können -> gerne Lösung 3

    Comment by Christian — 23.09, 2010 @ 14:00

  14. @Christian
    Du meinst, wenn du nicht willst, dass deine Kartendaten in solcher Weise verarbeitet werden, der Rest der Bevölkerung bei ALDI halt bar zahlen muss?

    Comment by sm — 23.09, 2010 @ 15:27

  15. Seit wann muss man bei Aldi in bar bezahlen. Auch die bieten EC-Kartenzahlung an…..
    Seltsam, ob die eine höhere Marge als andere haben, um sich das leisten zu können?

    Und weil du möchstest, dass jeder Brühwürfel mit Karte bezahlt werden kann, müssen alle Daten erfasst, ausgewertet und genutzt werden….

    Comment by Christian — 23.09, 2010 @ 15:56

  16. da wo ich herkomme, welzt man die gebühren von rücklastschriften auf den verursacher, üblicherwiese den kontoinhaber, ab.

    gegen die erhebung solcher datenbestände kann man auch ohne hilfe von oben vorgehen: in geschäften, die easycash als elv-partner nutzen, nicht mehr einkaufen gehen. punkt.

    Comment by Seb — 23.09, 2010 @ 17:20

  17. Ginge es nur um die Entscheidung ELV vs. PIN könnte man ausschliesslich die ec-Kartennummer und das Datum des letzten „fail“ für eine begrenzte Zeit oder die Anzahl der „fails“ in einem kurzen Intervall speichern. Die Kontoverbindung, die einzelnen Beträge oder gar Terminalnummern aller Einkäufe braucht man dazu sicher nicht.

    Comment by Ein Mensch — 23.09, 2010 @ 19:41

  18. @sm:
    Wozu sich denn solche Mühen machen? Internet abschaffen – sofort! :-)

    Im Ernst: Als Mitarbeiter in mittlerweile einigen Webshops kann ich sagen, dass Shop XY gut damit fährt, einfach mal den Bauch anzulassen. ELV machen manche nicht, manche schon. Erfahrungswerte. Die Grenzen für ELV lassen sich recht einfach setzen. Bsp.: Kein ELV ab 150,- – das macht mensch aus seiner Erfahrung heraus. Shop YZ bietet erst gar kein ELV an. Aber beide haben Wege, ihre Pappenheimer nötigenfalls einzuschränken. Das hört ja bei ELV nicht auf. KK macht man auch seine paar schlechten Erfahrungen und ab dann wird im Zweifel auf Vorkasse gepocht.

    Zu all dem braucht man keine Easycash Datenbank. Und ich klopfe auch nicht explizit auf deren Kopf herum: Ich klopfe auf den Köpfen derer, die sowas (ähnliches) auch tun. Und ich verwette meine EC Karte darauf, dass ähnliche Datenbanken, nur eben noch viiieeel größer an ganz anderen Stellen zu verorten sind, deren Bekanntwerden in reichlich unsubtilen Mordserien in verschiedenen Parlamenten enden dürfte.

    WEIL SIE’s KÖNNEN. Die machen was doch nicht NICHT, bloß weil irgendein dahergelaufener (Oberster Gerichtshof-, Verfassungs-, etc. -) Richter sagt, dass man das nicht darf. Ist doch hie wie dort so.

    Comment by drknss — 23.09, 2010 @ 22:45

RSS feed for comments on this post.

Sorry, the comment form is closed at this time.