Geldstrafe gegen Bounty Limited

Geldstrafe gegen Bounty Limited

Die Firma Bounty Limited beschreibt sich als Schwangerschafts- und Elternclub und ist seit 1959 am britischen Markt tätig.

Über diverse Plattformen (Website, App, Kundenkarten, etc.) wurden personenbezogene Daten gesammelt. Jeder Datensatz enthielt zumindest die folgenden Informationen:

• Vollständiger Name
• Geburtsdatum (der Eltern)
• E-Mail Adresse
• Adresse
• Schwangerschaftsstatus
• Angabe ob sich um das erste Kind handelt
• Geschlecht des Kindes
• Geburtsdatum/Geburtstermin des Kindes

Wurden die Daten über die Smartphone-App erfasst, so wurden auch die Standortdaten erfasst.

Eine Löschung der Daten nach einem gewissen Zeitraum war nicht vorgesehen, stattdessen wären die Daten unendlich lange gespeichert worden.

Die erhobenen Daten wurden mit insgesamt 39 Unternehmen geteilt, unter anderem mit Acxiom (Marketing-Agentur), Equifax (Wirtschaftsauskunfts-Unternehmen), Indicia (Marketing-Agentur) und Sky (PayTV-Anbieter). Insgesamt wurden über 34 Millionen individuelle Datensätze übertragen, wobei eine Übertragung an ein Unternehmen auch mehrfach erfolgte.

Die britische Datenschutzkommission (ICO) stellte zudem fest, dass die Datenerfassung nicht mit dem britischen Datenschutzgesetz vereinbar war. Ein Opt-In System für die Datenerfassung und Weitergabe war nicht implementiert, stattdessen wurden die Betroffenen lediglich über einen Hinweistext darüber informiert.

Die Datenschutzbehörde verhängte letztlich eine Geldstrafe von £ 500.000,- (ca. € 465 000,-) wegen mehrfacher Verstöße gegen das britische Datenschutzgesetz (Data Protection Act). Unter anderem wurde kritisiert, dass die Datenweitergabe nicht legitimiert war, da die Firma nur von ausgewählten Partnern sprach, tatsächlich aber an eine Vielzahl von Unternehmen verkauft wurden. Auch fehlende Löschfristen waren Gegenstand der Untersuchung.

Der Untersuchungszeitraum erstreckte sich bis zum 30. April 2018, daher ist die DSGVO noch nicht zur Anwendung gekommen. Die Höchststrafe betrug nach damaliger Rechtslage £ 500.000,-

Entscheidungsdatum:
11.04.2019

Land:
Großbritannien

Art des Verstoßes:
Illegale Datenverarbeitung

Betroffene Datensätze:
34 267 889

Waren sensible Daten betroffen?:
Nein

verhängte Geldstrafe:
€ 465,000,-

Quelle:
Mitteilung der britischen Datenschutzbehörde ICO (englisch)