Bisher trägt der Kunde das Risiko, wenn unter seinem Namen miss­bräuch­lich ge­handelt wird (bei­spiels­weise durch Auf­gabe einer Be­stellung). Das wird sich än­dern. Die Unter­nehmen müssen daten­schutz­rechtlich zulässige An­stren­gungen unter­nehmen, um sicher­zu­stellen, an den richtigen Kunden aus­zuliefern.

Heute sollte es zum All­gemein­wissen ge­hören, dass typische Stamm­daten (nämlich Name, Geburts­datum, Adresse, ja gege­benen­falls selbst Kredit­karten­num­mern, So­zial­ver­si­che­rungs­nummer und Führer­schein­daten) nicht nur in ver­trauens­vollen Hän­den lie­gen. Zuletzt musste die größ­te ame­rika­nische Wirt­schafts­aus­kunf­tei Equi­fax einräumen, dass ca. 143 Mio. Daten­sätze von Ver­brauchern bei einem Hacking über­tra­gen worden sind.

Es wird Zeit, dass die Unter­nehmen ihre Obliegen­heiten ein­halten, wenn es um die Iden­ti­fi­zierung des rich­tigen Kun­den geht. Hier zeigt der For­de­rungs­kata­log der Ber­li­ner Beauf­trag­ten für Daten­schutz und In­for­mations­freiheit vom 08.09.2017 („Iden­ti­täts­dieb­stahl darf nicht als allgemeines Geschäftsrisiko hingenommen werden“), dass auch Daten­er­he­bun­gen ge­recht­fer­tigt sind, um Id­enti­täts­dieb­stähle zu ver­hindern. Die Landes­beauf­tragte sieht die Unternehmen in der Pflicht, Me­thoden zur Iden­ti­fi­zie­rung ihrer Kun­den ein­zu­setz­en. Dazu gehört bei­spiels­weise, bei Wirt­schafts­aus­kunft­eien im Rah­men einer Be­stellung einen Adress­ab­gleich vor­zu­nehmen, ge­ge­benen­falls Mel­de­re­gister­aus­künf­te ein­zuho­len und Iden­titäts­un­stimmig­keiten einem In­kasso­unter­nehmen mit­zu­tei­len.

Auskunfteien müssten zudem bei der Ei­nmel­dung von Schuld­nern solche For­de­rungen aus­schlie­ßen, bei denen An­halts­punkte für einen Identitäts­dieb­stahl vor­lie­gen. Dann über­wiegt das Geheim­haltungs­inter­esse des Kun­den, näm­lich sein Inter­esse an dem Aus­schluss der Ver­ar­bei­tung für Boni­täts­bewertungs­zwecke.

(Philipp Kramer, Chefredakteur Datenschutz-Berater)