25. März 2015
Nachdem zuletzt mehrere Medien wie NDR Info oder Spiegel Online darüber berichtet hatten, dass die Auskunftei Infoscore Consumer Data GmbH (ICD) datenschutzrechtliche Mängel bei der Erteilung von Selbstauskünften erkennen ließ, hat diese reagiert und die Online-Mieterselbstauskunft vorerst vom Netz genommen.
NDR Info, die der Sicherheitslücke zuerst auf die Spur gekommen waren, monierten konkret, dass es zur Auskunft über personenenbezogene Daten keiner Vorlage einer Kopie eines Personalausweises bedurfte. Die Risiken dieses Vorgehens sind offensichtlich: Weitestgehend problemlos bestand somit die Möglichkeit für unbeteiligte Dritte sich Auskünfte über Negativdaten von betroffenen Personen zu organisieren. Hierzu mussten lediglich Name, Geburtsdatum und Anschrift einer Person angegeben werden. Eine zusätzlich abgefragte Handynummer konnte problemlos auch auf eine andere Person gemeldet sein und bot so keine Kontrollfunktion.
Wie der NDR berichtete, kam es jüngst zu einer Datenpanne bei der Infoscore Consumer Data GmbH (Infoscore).
Die Bertelsmann-Tocher Infoscore unterhält eine Datenbank mit circa 40 Millionen Informationen zu negativen Zahlungsverhalten von über 7,8 Millionen Verbrauchern.
In datenschutzrechtlich unzulässiger Weise hat Infoscore das Auskunftsverfahren für Mieter gestaltet. Mit einer Auskunft von Infoscore können Mietinteressenten ihren potentiellen Vermietern ihre Liquidität nachweisen. Wie der NDR recherchierte, genügte es zum Erhalt einer Auskunft über eine Person, dass lediglich deren Name, Adresse und Geburtsdatum zur Identifizierung angegeben wurden.
Informationen über das negative Zahlungsverhalten von Verbrauchern stellen personenbezogene Daten dar, die besonders geschützt werden müssen. Können unbefugte Dritte Kenntnis von diesen Informationen erlangen, sind die Betroffenen nicht nur in ihrem Recht auf informationelle Selbstbestimmung sondern auch an ihrer Reputation geschädigt. Deswegen obliegt es der datenverarbeitenden Stelle geeignete technische und organisatorische Maßnahmen zu treffen, durch welche die Daten vor dem Zugriff Unbefugter geschützt sind. Allein die Angaben von Name, Adresse und Geburtsdatum stellen jedoch keine ausreichenden Schutzmaßnahmen dar. Ohne großen Aufwand können diese Informationen über eine Person von Dritten in Telefonbüchern oder sozialen Netzwerken ermittelt werden. Vielmehr muss von der Auskunftei sichergestellt werden, dass der Auskunftsantragsteller identisch mit der Person ist, deren Daten betroffen sind. Die Authentifizierung kann beispielsweise mittels der online Identifizierungsfunktion des Personalausweises oder durch Übermittllung einer Kopie des Personalausweises der betroffenen Person vorgenommen werden.
Aufgrund der Aufdeckungen des NDR hat nach dessen Bericht zufolge Infoscore die betroffene Datenbank vorerst offline geschaltet.
