Datenschutz und Kundenidentifizierung

Der Anbieter von Telekommunikationsleistungen 1&1 war gegen den hohen Bußgeldbescheid vorgegangen, den der Bundesdatenschutzbeauftragte verhängt hatte, weil sich ein Kunde im Jahr 2018 beschwert hatte. Allein der Name und das Geburtsdatum hatten einer ehemaligen Lebensgefährtin ausgereicht, um persönliche Kundendaten (Handynummer) zu ihrem Ex zu erhalten. Der Kunde wurde daraufhin zum Stalking Opfer. Das LG Bonn (Urteil v. 11.11.2020 - 29 OWi 1/20) hatte dann in seinem vielbeachteten Urteil den verhängten Bußgeldbetrag von 9,55 Mio. Euro auf 900.000 Euro herabgesetzt.

Klarer Verstoß

Nach Art. 24 Abs. 1 Satz 1 DSGVO muss der Verantwortliche geeignete technische und organisatorische Maßnahmen vorsehen, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Es geht um den systematischen Schutz von Daten. Unter dem Stichwort „Sicherheit der Verarbeitung“ verlangt Art. 32 DSGVO ebenfalls „…geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Unzureichende Authentifizierungsverfahren verstoßen damit gegen Art. 32 DSGVO.

Welche Verfahren eignen sich?

Bei der Multi-Faktor-Authentifizierung, die meist in Gestalt der Zwei-Faktor-Authentifizierung aufgeführt wird, geht es um die Identitätsfeststellung über mehrere voneinander unabhängige Faktoren. Hier werden Besitz, Wissen und Inhärenz unterschieden.

Aus dem Bereich „Besitz“ kennt man die Bankkarte oder den Token und letztlich kann es auch die App sein, die erst einen Zugang ermöglicht. Bei Wissen haben wir die PIN oder ein Passwort. Zum Thema Inhärenz werden z.B. biometrische Merkmale (Fingerabdruck, Iris-Scan, Stimmerkennung, Tippmuster, Gangerkennung) genannt.

Abgestuftes Identifikationskonzept

Für die Praxis sollte man entsprechend den Anforderungen des Gesetzes ein risikoangemessenes Konzept erstellen und die typischen Cases herausarbeiten und dazu geeignete Identifizierungsmaßnahmen für den Kundenservice oder die Kommunikation mit Mitarbeitern oder Lieferanten vorgeben.

So ist z.B. für die Risikobetrachtung die Frage nach dem Verbleib einer Sendung anders zu bewerten, als das Ansinnen, die Lieferadresse zu ändern oder gar das Konto für eine Erstattung bei Retouren. Je nach Geschäftsmodell oder Anlass kann auch schon die Art der Daten in Form von besonders sensiblen Daten es gebieten, wegen des mit der Herausgabe verbundenen Risikos besondere Maßnahmen zur Identitätsfeststellung zu treffen (z.B. bei der Frage nach Gesundheitsdaten oder Angelegenheiten, die Kontodaten betreffen).

Typische kenntnisbasierte Merkmale zur Authentifizierung

In der Praxis meldet sich ein Kunde meist mit Namen und Kunden-ID oder Geburtsdatum oder der Mitarbeiter nennt eine Personalnummer. Dies allein sollte grundsätzlich nicht ausreichen, um auf Anfrage Daten zu erhalten. Hier ist nur der Flurnachbar in Mietwohnungen zu nennen, der zum letzten Geburtstag eingeladen war und früher gelegentlich den Postkasten geleert hat. Häufig werden Kundennummern aus internen logistischen Gründen bei der Geschäftspost so aufgedruckt, dass sie im Sichtfeld der Briefadresse oder bei der Übersendung des Katalogs im Adressfeld gelesen werden können. Bei Verlagen ist die Angabe der Abo-Nummer auf dem Adressfeld ständig geübte Praxis.

Die Beispiele zeigen, dass allein Name, Geburtsdatum und Kundennummer keine geeigneten Identifikationsmerkmale sein sollten.

Ein gutes Stück mehr Sicherheit bietet in den meisten Fällen die Antwort auf die Frage zur letzten Korrespondenz. So kann beispielsweise nach dem Datum des letzten Schreibens, nach dem Betrag einer Rückerstattung oder ähnlichen Inhalten gefragt werden, die der Anrufer nur dann kennen kann, wenn er eben mehr weiß, als es dem typischen Nachbarn oder dem Expartner möglich ist.

Hier kommen auch die letzten drei Ziffern der IBAN in Betracht, der Geburtsort, Geburtsname der Mutter oder der Sachbearbeiter.

Einige Unternehmen verlangen die Angabe einer Kunden-PIN, die zuvor eingeführt wurde.

Technische Maßnahmen

Vielfach kommt ein Matching der Anrufertelefonnummer in Betracht. Fällt das nicht positiv aus, kann ein Rückruf unter der gespeicherten Rufnummer erfolgen. Wie eingangs beschrieben gibt es sogar Stimmerkennungssysteme, die im Massengeschäft die Authentifizierung (nach jeweiliger Kundeneinwilligung) erleichtern.

Denkbar sind auch Apps, über die ein Rückruf zu einem Support nach Vorauthentifizierung erreicht werden kann oder die Anforderung der Nennung/Eingabe von zeitbasierten Einmalkennwörtern (Beispiel Google-Authenticator) oder von Zeichenfolgen, die per SMS auf eine bekannte Mobilfunktelefonnummer gesendet werden.

Die Möglichkeiten sind vielfältig und in manchen Fällen mag es der einzige Ausweg sein, auf den schriftlichen Weg zu verweisen.

Vollmachtsfälle

Bei förmlichen Auskunftsersuchen sind häufig Anwälte eingeschaltet. Hier muss auf Vorlage einer Originalvollmacht bestanden werden. Dies gilt generell für das Ansinnen Dritter. Natürlich kann der gebrechliche Angehörige, wenn er eindeutig identifiziert wurde - etwa via Konferenzschaltung per Telefon -Tochter oder Sohn auch mündlich bevollmächtigen.

Zuviel Authentifizierung ist rechtswidrig

Auf den ersten Blick erscheint es befremdlich, aber auch ein Zuviel an Anforderungen kann Bußgelder auslösen. Das ist häufig dann der Fall, wenn es um die Ausübung von Rechten durch den Kunden geht und ihm diese über die gestellten Anforderungen unnötig bzw. unangemessen erschwert werden.

Keine neuen Daten anfordern

Die österreichische Datenschutzbehörde sah das Recht des Kunden auf Löschung als verletzt an, weil ein Anzeigenportal für eine Löschung von Daten nicht nur die für die Registrierung allein notwendigen Daten (Vorname und E-Mail) verlangt hatte, sondern die Angabe von Adresse und Unterschrift. Von Beginn an hätten nur pseudonymisierte Daten vorgelegen, bei denen das Portal auf eine Identifizierung des Beschwerdeführers als spezifischer betroffener Person verzichtet habe. Nach Art. 12 Abs. 2 DSGVO besteht jedoch das Gebot, dem Betroffenen die Ausübung seiner Rechte zu erleichtern (GZ: DSB-D122.970/0004-DSB/2019 vom 8.11.2019).

Fazit

Unternehmen müssen also risikobasierte Authentifizierungskonzepte aufstellen. Dabei müssen Sie jedoch darauf verzichten mehr Angaben zu verlangen, als letztlich bei ihnen gespeichert sind. Auch eine zu umfangreiche Anforderung von Angaben kann schon durch die Häufung eine Rechtsausübung erschweren. So ist dem Autor eine Monierung des Hessischen Datenschutzbeauftragten bekannt, der rügte, dass in einer E-Mail Anfrage „Wir können Sie leider nicht identifizieren…“ nicht klargestellt sah, dass eine Aufzählung von möglichen Angaben nicht kumulativ, sondern alternativ gemeint war.