(Datenklau bei PWC) Datenschutzerklärung und Folgen bei Nichteinhaltung

[phil83]

Ich habe gerade einen Heise-Artikel gelesen, in dem es um die bei PwC abhanden gekommenen Daten geht.

Die große Zahl der Daten kam offenbar zustande, weil PwC die Bewerberdaten aus vergangenen Jahren auch bei längst abgeschlossenen Verfahren aufbewahrt hatte – was der Datenschutzerklärung des Unternehmens widersprechen soll.

http://www.heise.de/newsticker/Gest...brauch-von-Click-Buy-benutzt--/meldung/115621

Es wurde mit den Daten bereits Schindluder getrieben. Da frage ich mich:
Wie und in welcher Höhe haftet ein Unternehmen, das seine eigene Datenschutzerklärung nicht einhält?
Und in wie weit kann dann Schuld auf den User abgewälzt werden, wenn er bei einem anderen Dienst das gleiche oder ein ähnliches Passwort benutzt hat?

Edit by Goonie: Titel ergänzt

 

[onkel25]

Datenschutzerklärungen geben meist nur das wieder, was eh schon im BDSG steht.

Zu deiner Frage: Kommt drauf an, was du mit "Haftung" meinst.

§ 43 BDSG enthält Bußgelder bis zu 250.000 Euro.

Daneben dürfte über § 823 Abs. 2 BGB noch zivilrechtlich der Schaden zu ersetzen sein, der tatsächlich entstanden ist. Gibt es den? Nachweisbar?

 

[phil83]

Mit Haftung meine ich, ob das Unternehmen für entstandene Schäden aufkommen muss.
Angenommen, eines der Passwörter gilt auch für irgendeinen Bezahldienst (z.B. PayPal oder Click&Buy wie im Fall) oder für andere kostspielige Dienste (z.B. Onlinecasino) und es wird ein Schaden von mehreren 100tsd. Euro verursacht. Würde man dann auf dem Schaden sitzen bleiben oder müsste das Unternehmen, welches den Datenschutz in irgendeiner Weise verletzt hat, dafür aufkommen?

Für letzteres müsste man den Schaden dann - wenn ich dich richtig verstanden habe - nach § 823 Abs. 2 BGB zivilrechtlich einklagen. Da steht nur zur Debatte wie die Erfolgsaussichten sind. Wenn das Unternehmen darstellt, dass die Daten nicht verlorengegangen sind, sondern geklaut wurden...
Aber wenn das Unternehmen die Daten erst gar nicht hätte besitzen dürfen (wegen der eigenen Datenschutzerklärung..) ?

 

[Goonie]

[quote='phil83',index.php?page=Thread&postID=435809#post435809]Angenommen, eines der Passwörter gilt auch für irgendeinen Bezahldienst [/quote]

Da würde ich sagen "Selbst schuld". Wer das gleiche Passwort für verschiedene Dienste nutzt, dem ist nicht zu helfen und gehört bestraft

G.

 

[EuleR60]

Wer die Zugangsdaten eines Dienstes anderen zugaenglich macht, duerfte in vielen Faellen gegen die jeweiligen AGB verstossen. Wenn ich jetzt das Userkennung und Passwort fuer Dienst A bei Dienst B verwende, mache ich die Zugangsdaten von Dienst A Dienst B zugaenglich (und andersherum).
Dem Benutzer koennte man damit einen ordentlichen Anteil an der Haftung aufs Auge druecken.
Aber wer ist schon so bescheuert und benutzt ueberall die gleichen Kennungen? Wer so bloede ist muss auch mal die Verantwortung fuer seine Gedankenlosigkeit uebernehmen.

 

[Goonie]

So spielt das Leben - jemand aus meiner Verwandtschaft ist tatsächlich vom Passwortklau betroffen. Also habe ich mal bei PWC angerufen. Die sind am Telefon ja noch dümmer, als die Polizei erlaubt sehr ungeschickt. Anscheinend sind die inzwischen so konfus, dass das Wissen der E-Mail-Adresse alleine schon ausreicht, um z.B. das Konto löschen zu lassen. Ich konnte das zumindest ohne mich groß zu legitimieren für jemanden anderen veranlassen. Zum Glück für mich hatte ich eine Vollmacht, aber ich war doch verblüfft, wie einfach das war. Auch die Auskünfte zum Bewerbungsdatum, die recht freiwillig kamen ("Ach ja, ich seh's hier, vom [Monat]") ... wenn ich als Arbeitgeber mal nachprüfen wollte - hier ist die Chance Und ganz besonders lustig dann noch die peinliche Rechtfertigungs-E-Mail, die standardmäßig dem Ganzen noch mal hinterher geschickt wurde...

Vorab schon ein Zitat von PWC: "Wir bedauern, dass Ihnen durch illegale Hacker-Aktivitäten Unannehmlichkeiten entstanden sind." Ich bedauere eher, dass uns durch Unprofessionalität von PriceWaterhousCoopers Unannehmlichkeiten entstanden sind! Wenn die nicht geschlampt hätten, gäbe es den Ärger nicht.

Tja, da sieht man mal, wie sehr man solchen Unternehmen ausgeliefert ist. Und dann wären da noch meine persönlichen Vorbehalte gegenüber den großen Unternehmensberatern und ihrer Qualität der Arbeit bzw. Existenzrechtfertigung, aber das führt vielleicht zu weit

G.

Sehr geehrte Damen und Herren,

Sie haben sich im Zusammenhang mit dem öffentlich bekannt gewordenen Hacker-Angriff auf eine von unserem Haus genutzte externe Servicedatenbank für Bewerber an uns gewandt. Uns hat in den letzten Tagen eine Vielzahl von Zuschriften erreicht. Dies macht es uns leider unmöglich, zeitnah auf jeden Einzelfall einzugehen. Wir sagen Ihnen aber selbstverständlich zu, dass wir uns mit jedem Einzelfall sehr genau befassen werden. Wir bitten um Ihr Verständnis, dass hierfür eine gewisse Zeit erforderlich ist.

Nachdem wir am 3. September 2008 Kenntnis von dem Angriff erhalten hatten, wurde die betroffene Servicedatenbank abgeschaltet. Daher ist ein Internet-Zugriff seit diesem Zeitpunkt ausgeschlossen.
Der Zugriff auf diese Servicedatenbank ist derzeit lediglich den ermittelnden Behörden möglich. Wir unterstützen diese Behörden in jeder Hinsicht bei der umfassenden Aufklärung des rechtswidrigen Hacker-Angriffs.
Bitte haben Sie dafür Verständnis, dass unser Haus keine Aussage darüber treffen kann, wann die Untersuchungen abgeschlossen sein werden.

Das Polizeipräsidium Frankfurt am Main hat in diesem Zusammenhang am 10.
September 2008 folgende Pressemitteilung veröffentlicht:
http://www.presseportal.de/polizeipresse/pm/4970/1262195/polizeipraesidium_frankfurt_am_main

Sobald die Ermittlungen förmlich abgeschlossen sind, werden wir den individuellen Wünschen nach Datenlöschung nachkommen.

Wir bedauern, dass Ihnen durch illegale Hacker-Aktivitäten Unannehmlichkeiten entstanden sind.

Für die konkrete Beantwortung Ihrer Mail werden wir nach Abschluss der Ermittlungstätigkeiten auf Sie zukommen.

In der Zwischenzeit haben wir auf unserem Internetportal unter http://www.pwc.de/de/pwcfaq eine FAQ-Liste zu diesem Hacker-Angriff angelegt, die wir ständig aktualisieren. Für weitere Fragen stehen wir Ihnen selbstverständlich auch künftig zur Verfügung.

Mit freundlichen Grüßen

Frank Brebeck Bernhard Riester
Vorstand Personal Leiter HR Services

PricewaterhouseCoopers AG Wirtschaftsprüfungsgesellschaft

Vorsitzender des Aufsichtsrates
WP StB Reiner Dickmann

Vorstandsmitglieder
WP StB Hans Wagener • WP StB Peter Albrecht • WP StB Frank Brebeck • StB Prof. Dr. Dieter Endres WP StB Ernst-Wilhelm Frings • WP RA Dr. Hans Friedrich Gelhausen • WP StB Werner Hölzl • WP StB Prof. Dr. Georg Kämpfer • WP RA StB Dr. Jan Konerding • WP StB Georg Kütter • Dr. Ludger Mansfeld StB Marius Möller • WP StB Franz Nienborg • WP StB Gert-Michael Raabe WP StB Martin Scholich • RA StB Christoph Schreiber • WP StB Dr. Norbert Vogelpoth WP StB Franz Wagner • WP StB Wolfgang Wagner • WP StB Prof. Dr. Norbert Winkeljohann

Sitz: Frankfurt am Main - Amtsgericht Frankfurt am Main HRB 44845

Mitglied von PricewaterhouseCoopers International, einer Company limited by guarantee registriert in England und Wales