MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Booking.com wurde mit einer Geldstrafe von 475.000 € belegt, weil das Unternehmen eine Datenschutzverletzung nicht innerhalb der gesetzlichen Frist von 72 Stunden der niederländischen Datenschutzbehörde gemeldet hatte. Die Lehre daraus: Eine Datenschutzverletzung muss innerhalb von 72 Stunden nach ihrer Entdeckung gemeldet werden, selbst wenn sie außerhalb Europas auftritt – schließlich hat Booking seinen Sitz in den Niederlanden. Schnelles Handeln begrenzt zudem den Schaden für die Betroffenen.
Obwohl der Datenverstoß in den Vereinigten Arabischen Emiraten stattfand und Booking eine Tochtergesellschaft der amerikanischen Booking Holdings Inc. ist, hat das Unternehmen seinen offiziellen Sitz in den Niederlanden und hätte den Vorfall rechtzeitig der AP melden müssen.
Was ist passiert?
Im Dezember 2018 erlangten Kriminelle Zugriff auf die Daten von Hotelgästen in den Vereinigten Arabischen Emiraten. Das Problem begann mit dem Extranet, einem Online-Dashboard, auf das Unterkünfte mit Benutzername, Passwort und einer Zwei-Faktor-Authentifizierungs-PIN zugreifen können. Die Kriminellen hatten die Zugangsdaten von Hotelangestellten vor Ort erhalten; der Datenverlust stand daher in keinem Zusammenhang mit den Sicherheitsvorkehrungen von Booking.com hinsichtlich Codes oder Datenbanken.
Die Kriminellen erlangten Namen, Telefonnummern, Buchungsdetails und Adressen von 4.109 Personen sowie Kreditkartendaten von 283 von ihnen und in 97 Fällen sogar den Sicherheitscode. Anschließend riefen sie die Kunden an, gaben sich als Hotelmitarbeiter aus – was glaubwürdig erschien, da sie über alle Buchungsdaten verfügten – und betrogen sie, indem sie eine zweite Zahlung verlangten.
Fehler: Verspätete Benachrichtigung
Am 13. Januar 2019 wurde Booking von den Hotels benachrichtigt. Wie jedes niederländische Unternehmen ist Booking verpflichtet, eine Datenschutzverletzung innerhalb von 72 Stunden nach deren Entdeckung zu melden – so wie es beispielsweise das IT-Unternehmen RDC im Fall der Datenschutzverletzung bei Autovermietungen. Booking wartete jedoch bis zum 7. Februar: 22 Tage zu spät. Diese unverzügliche Meldepflicht hat ihren Grund: Sie stellt sicher, dass Opfer früher gewarnt werden und Kriminelle nicht wochenlang Tausende von Kunden betrügen können.
Eine Geldstrafe von 475.000 Euro
Die AP verhängte wegen der verspäteten Meldung eine Geldbuße. Die Aufsichtsbehörde berücksichtigte jedoch die schadensmindernden Maßnahmen: Booking.com sagte Entschädigung zu, veröffentlichte Warnhinweise auf der Plattform und informierte die betroffenen Unterkünfte. Daher reduzierte die AP die Geldbuße um 50.000 Euro auf insgesamt 475.000 Euro. Die Geldbuße bezieht sich ausschließlich auf die verspätete Meldung, nicht auf die Sicherheitsmaßnahmen. Booking.com räumte den Fehler ein, zahlte die Geldbuße, erstattete den betroffenen Kunden den vollen Betrag und legte keinen Einspruch ein.
Der Fall zeigt, dass die AP auch ohne Sicherheitslücken hohe Geldstrafen verhängen kann. Die Zahl der Meldungen von Datenschutzverletzungen steigt seit einiger Zeit – im Jahr 2020 um etwa 30 % im Vergleich zu 2019.
Häufig gestellte Fragen
Innerhalb welcher Frist muss ich eine Datenschutzverletzung melden?
Grundsätzlich muss die niederländische Datenschutzbehörde innerhalb von 72 Stunden nach Entdeckung des Vorfalls informiert werden. Im Falle eines hohen Risikos müssen auch die betroffenen Personen unverzüglich benachrichtigt werden.
Gilt die Meldepflicht auch für Lecks außerhalb Europas?
Ja, wenn Ihr Unternehmen unter die DSGVO fällt (zum Beispiel, weil es in den Niederlanden ansässig ist), gilt die Meldepflicht auch für Verstöße, die anderswo auftreten.
Werde ich eine Geldstrafe erhalten, wenn ich keinen Sicherheitsfehler begangen habe?
Das ist möglich. Die Buchungsgebühr bezog sich ausschließlich auf die verspätete Meldung, nicht auf den Sicherheitsmangel. Verspätete Meldung ist an sich schon mit einer Geldstrafe belegt.
Stellen Sie sicher, dass Ihr Verfahren bei Datenschutzverletzungen ordnungsgemäß funktioniert
Eine verspätete Meldung kann zu einer hohen Geldstrafe führen. Die Datenschutzexperten von MKB Juristen unterstützen Sie bei der Einrichtung eines lückenlosen Verfahrens zum Umgang mit Datenschutzverletzungen. Informieren Sie sich über unsere Expertise im Bereich Datenschutz und Datensicherheit oder vereinbaren Sie ein kostenloses Erstgespräch .
