Am 20. Januar benachrichtigte die Autovermietungsfirma Buchbinder ihre Kund*innen über eine Pressemitteilung, dass sie eine Datenpanne hatte. Die Backups ihrer Datenbank mit Daten zurückreichend bis in das Jahr 2003 waren im Internet frei zugänglich gewesen. Neben den Mieter*innen waren auch Fahrer*innen mit Name, Adresse, Geburtsdatum, Führerscheinnummer und -ausstellungsdatum sowie Mobilfunknummern und zuweilen auch E-Mail-Adressen aufgeführt. Hinzu kamen 5 Millionen Dateien mit umfangreicher Firmenkorrespondenz nebst eingescannten Rechnungen, Verträgen, Faxen, E-Mails und Schadensbildern von Autos. Erschwerend kam hinzu, dass die Datenbank auch die Daten von Unfallbeteiligten, also noch nicht einmal Kund*innen des Unternehmens, enthielt. Ich wurde als Kunde nicht benachrichtigt, dass durch Fahrlässigkeit viele wichtige Daten frei zum Download standen.
Fälle wie dieser kommen in den letzten Jahren immer wieder vor, ob Dropbox, Buchbinder oder andere. Die meisten Unternehmen beschränken ihre gesamte Benachrichtigung der Betroffenen auf Pressemitteilungen, obwohl jede*r Betroffene nach Art. 34 der DSGVO unverzüglich persönlich und in klarer und einfacher Sprache benachrichtigt werden müsste. Die Regelung in Absatz 3 c) führt dazu, dass besonders Unternehmen, die große Datenmengen verwalten, sich mit einer Pressemitteilung aus der Verantwortung stehlen können. Die Chancen entstandenen Schäden einzuklagen, werden in den meisten Fällen aufgrund der Summen und der schwierigen Beweisführung, dass die Daten aus diesem speziellen Leck stammen, extrem gering sein.
Unternehmen sparen jährlich durch die digitale Verwaltung ihrer Daten Milliardenbeträge ein. Jedoch investieren die meisten Unternehmen zu wenig in die Sicherung ihrer Daten. Hier muss ein Gleichgewicht gefunden werden, das den Verbraucher*innen Sicherheit bringt und sie in den unvermeidbaren Fällen nicht im Regen stehen lässt.
Zu dem Fall Buchbinder: https://www.heise.de/ct/artikel/Der-Autovermieter-Buchbinder-laesst-Kunden-ueber-sein-Datenleck-im-Unklaren-4688697.html
Zum Datenleck von Millionen Patientendaten: https://www.zeit.de/digital/datenschutz/2019-09/datenleak-patienteninformationen-ingolstadt-kempen-passwort-datenschutz
DSGVO Art. 34: https://dejure.org/gesetze/DSGVO/34.html
Eine Übersicht der Datenlecks und der Anzahl der betroffenen Datensätze: https://de.wikipedia.org/wiki/Liste_von_Datendiebst%C3%A4hlen
Kommentare