Scoring Millionen EC-Karten-Daten unrechtmäßig gespeichert

Wer wo wann gekauft hat, speichert die Firma Easycash – um Handelsketten sagen zu können, ob Kunden die Rechnung bezahlen werden. So richtig erlaubt ist das nicht.

Die Daten nahezu aller deutschen EC-Kartenbesitzer werden offenbar in großem Umfang dauerhaft gespeichert. Der größte deutsche EC-Netzbetreiber Easycash hat einen umfangreichen Datenpool angelegt, um damit die Zahlungsfähigkeit des Kartenbesitzers einzuschätzen und diese Prognose an Handelsketten zu verkaufen. Allerdings ist diese Datensammlung nicht mit dem Bundesdatenschutzgesetz vereinbar, ergaben Recherchen von NDR Info .

Die Easycash GmbH in Ratingen speichert nach eigener Aussage Umsatz- und Kartendaten von 21,7 Millionen deutschen Bankverbindungen pro Monat. Doch was genau sie speichert und was sie anschließend damit tut, hat nach dem Bericht des NDR die Datenschützer der Länder alarmiert.

Easycash hat nach eigenen Angaben 92.000 Kunden – also Läden oder Handelsketten, die mit ihr zusammenarbeiten. Bezahlt ein Kunde in einem davon mit seiner EC-Karte, werden, während die Karte im Terminal steckt, dessen Daten an Easycash geschickt. Zurück kommt eine Bewertung des Kunden: ist die Chance hoch oder niedrig, dass er seine Schulden begleicht. Ist sie hoch und er ein "guter Kunde", darf er auch höhere Beträge per Unterschrift begleichen. Ist er ein riskanter Kandidat, muss er seine PIN eingeben.

Bei letzterem Weg garantiert die Bank, dass das Geld auch kommt, allerdings will sie dafür Gebühren, mindestens acht Cent. Den Unternehmen ist es daher nicht egal, wie Kunden zahlen. Denen schon. Doch ist das Problem nicht die Art der Zahlung, sondern die der Zustimmung. Denn beim sogenannten Lastschriftverfahren per Unterschrift stimmt der Kunde erst nachträglich mit der Unterschrift auf dem Kassenbon zu, dass seine Daten an Easycash übermittelt werden dürfen.

Und das sind einige. Gespeichert werden dort auf unbestimmte Zeit der Betrag, der Zeitpunkt und der Ort der Transaktion, gemeinsam mit den Karten­- und Kontodaten des Inhabers. Laut Datenschutzgesetz sind das private Daten, die einem besonderen Schutz unterliegen, auch wenn Easycash das in dem NDR-Bericht anders sieht. Darin verteidigte eine Easycash-Sprecherin das Verfahren. Die Datenspeicherung- und Verarbeitung geschehe auf Grundlage des Bundesdatenschutzgesetzes. Sie berief sich dabei auf einen Brief des NRW-Landesdatenschutzes aus dem Jahr 2002, der das angeblich bestätigt.

In dem Schreiben, aus dem der NDR zitiert, geht es nach Meinung von Datenschützern aber nur um die Speicherung nicht gedeckter Konten. Das Unternehmen lege den Brief falsch aus. Er erlaube keinesfalls die Speicherung aller Transaktionen.