Die Nichtregierungsorganisation NOYB wirft zwei österreichischen Firmen erhebliche Verstöße gegen die Datenschutzgrundverordnung beim Handel mit Adressdaten vor. Wie die NGO am Donnerstag mitteilte, geht es im Kern darum, dass der Adresshändler AZ Direct Millionen Anschriften von Menschen in Österreich ohne Rechtsgrundlage an die Kreditauskunftei CRIF verkauft haben soll.
Adresshändler wie die Bertelsmann-Tochter AZ Direct sind darauf spezialisiert, Kontaktinformationen von Menschen aus unterschiedlichen Quellen zusammenzusammeln und weiterzuverkaufen. Das ist in Österreich und Deutschland bis zu einem gewissen Grad auch ohne explizite Einwilligung der Betroffenen erlaubt, sofern die Daten nur für Zwecke des Direktmarketings verwendet werden.
AZ Direct hätte die Adressen NOYB zufolge aber nicht an CRIF weiterverkaufen dürfen, da die Informationen dort für sogenanntes Scoring genutzt werden, also für die Prognose von Kreditwürdigkeiten. Beide Firmen würden somit gegen das Gebot der Zweckbindung verstoßen, demzufolge Daten nur für ursprünglich legitimierte Zwecke verarbeitet werden dürfen.
Grundsätzliches Problem
Direktmarketing und Bonitätsbeurteilung seien zwei vollkommen unterschiedliche und nicht vereinbare Zwecke, sagt Alan Dahi, Datenschutzjurist bei NOYB. Er sieht den Fall als Beispiel für ein grundsätzliches Problem der Branche:
Der Großteil der Daten von Kreditauskunfteien stammt von Adressverlagen – und zwar ohne rechtliche Grundlage. Zusätzlich geschieht all dies heimlich, ohne die betroffenen Personen jemals um Einwilligung zu fragen oder sie zu informieren. Auch der Beschwerdeführer wusste bis zu seinem Auskunftsbegehren nicht, dass seine Daten gesammelt werden, obwohl die DSGVO klar vorschreibt, dass er darüber informiert hätte werden müssen.
Die Datenschützer:innen von NOYB waren dem mutmaßlichen DSGVO-Verstoß durch Auskunftsanfrage eines Bürgers bei CRIF auf die Spur gekommen. Die Auskunftei gab an, seinen Namen, sein Geburtsdatum und einige (teils veraltete) Wohnadressen gespeichert zu haben. Als Datenquelle wurde ausschließlich der Adressverlag AZ Direct genannt. Gleichzeitig sei erkennbar gewesen, dass auf Grundlage der Daten auch Bonitäts-Scores errechnet worden seien.
In einer Stellungnahme betont CRIF gegenüber netzpolitik.org, Beschwerden ernst zu nehmen und Ungereimtheiten möglichst rasch aufzuklären. Zum konkreten Fall könne man sich nicht äußern, da von der Datenschutzbehörde noch keine Aufforderung zur Stellungnahme vorliege. Stattdessen betont das Unternehmen, wie wichtig Adressen und Bonitätsprüfungen für das Funktionieren des Online-Handels seien:
Besonders im eCommerce machen wir die Erfahrung, dass die eindeutige Personenidentifizierung essenziell ist und ohne diese Dienstleistung der Kreditauskunfteien das Online-Geschäft nicht gesichert möglich ist.
Da insbesondere im deutschsprachigen Raum der Kauf auf Rechnung im Online-Handel beliebt sei, „kann nur durch eine Identitäts- und Bonitätsprüfung diese Zahlungsmethode im eCommerce angeboten werden“, so CRIF weiter. „Darüber, dass CRIF Daten zur Identifikation verarbeitet, hat CRIF jederzeit transparent in ihrer Datenschutzerklärung aufgeklärt.“
NOYB ruft zum Mitmachen auf
Österreicher:innen sind unterdessen aufgefordert, selbst aktiv zu werden: „Auch du kannst herausfinden, ob CRIF deine Daten unzulässiger Weise bei einem Adressverlag wie AZ Direct erhoben hat“, ruft NOYB zum Mitmachen auf. Jede:r könne ein Auskunftsbegehren nach der Datenschutzgrundverordnung stellen.
Nach Artikel 15 der Datenschutzgrundverordnung sind datenverarbeitende Stellen verpflichtet, auf entsprechende Anfragen binnen eines Monats zu reagieren. Wie das im Detail funktioniert, beschreibt die NGO in einem Leitfaden.
