Strafe gegen KFZ-Versicherung

Strafe gegen KFZ-Versicherung

Die französische Datenschutzbehörde CNIL verhängte gegen eine Versicherungsgesellschaft (Active Assurance) eine Geldstrafe in Höhe von € 180.000,-.

Vorfall

Die Behörde wurde von einem Kunden der Gesellschaft kontaktiert, als dieser herausgefunden hatte, dass die Kundendaten auf der Webseite nicht geschützt sind. Durch eine Veränderung der URL konnte der Betroffene auf Konten von anderen Kunden zugreifen. Durch diesen Vorgang hatte er Einblick in die eingegebene Daten, Führerschein-Kopien, Informationen über Unfälle etc.

Der technische Mangel fiel dem Kunden auf, nachdem er auf einen Link aus einer Suchmaschine geklickt hatte und die Daten eines anderen Kunden einsehen konnte.

Unter anderem waren folgende Datensätze betroffen:

• 137.776 Führerschein-Kopien
• 119.940 Bankkonto-Datensätze
• 119.517 Versicherungsangebote
• 36.068 Zulassungsbescheinigungen
• 148.359 Telefonnummern und E-Mail Adressen

Unmittelbar nach Meldung informierte die Datenschutzbehörde das Unternehmen, welches rasche Bearbeitung zusicherte.

Nachdem die Versicherungsgesellschaft den technischen Mangel innerhalb von 24 Stunden als „behoben“ bei der Datenschutzbehörde deklarierte, startete die CNIL eine weitere Untersuchung, um die korrekte Umsetzung zu untersuchen.

Dabei stellten die Behördenmitarbeiter fest, dass die getroffenen Maßnahmen unzureichend sind. Weiters wurden einige weitere Schwachstellen aufgedeckt. Das Unternehmen versendete die Passwörter beispielsweise im Klartext per E-mail an die Kunden. Außerdem wurde Kunden nicht empfohlen ein starkes, einzigartiges Passwort zu wählen.

Entscheidung der Datenschutzbehörde

Die Vielzahl der technischen Fehler, sowie die Tatsache, dass grundlegende Konzepte missachtet wurden (Authentifizierung von Benutzern) führte zu einer Geldstrafe in Höhe von € 180.000,-

Dabei merkte die Behörde an, dass die rasche Reaktion des Unternehmens sowie die umfassende Kooperation strafmildernd gewirkt hätten.

Entscheidungsdatum:
18.07.2019

Land:
Frankreich

Art des Verstoßes:
technische Mängel

Betroffene Datensätze:
144000

Waren sensible Daten betroffen?:
Nein

verhängte Geldstrafe:
€ 180,000,-

Quelle:
Mitteilung der französischen Datenschutzbehörde (französisch)