Infoscore ist eine der größten Auskunfteien in Deutschland, angesiedelt auf gleicher Höhe wie die weitaus bekanntere Schufa und seit einiger Zeit von Datenschutzbeauftragten ins Visier genommen. Besonders Versandhäuser und Telekom-Firmen beziehen ihre Informationen aus der Datenbank von Infoscore. In einem internen Prüfbericht baden-württembergischer Datenschutzbeauftragter stellte sich nun heraus, dass Infoscore zum Teil mit völlig veralteten Zahlen rechnet. Bis zu sechs Jahre alt waren Daten, die zur Berechnung des sogenannten Scoring verwendet wurden. Zudem hatte sich die Auskunftei offenbar angewöhnt, Datenlücken die sich während der Auswertung ergaben, schlicht durch soziodemografische Berechnungen zu ergänzen. Die Datenschützer fanden diese merkwürdige Berechnungsmethode bereits im zurückliegenden Jahr heraus, wobei das Unternehmen, darauf angesprochen, abwiegelnd reagiert. Man prüfe seine Daten regelmäßig, heißt es von unternehmerischer Seite, nur das widerum lasse sich nicht nachweisen, erklärte der zuständige Landesdatenschutzbeauftragte, Jörg Klingbeil.

Klingbeil, kritisierte nicht nur die Verwendung veralteter Daten, sondern auch die Hinzunahme von geschätzten Werten beim so genannten Scoring. Dieses bezeichnet ein Verfahren auf mathematisch-statistischer Basis zur Bonitätsermittlung potentieller Kunden.Die Wohndauer in einem Haus, das Alter des Gebäudes, Wohngegend und Geburtsdatum einer Person sind beispielsweise Werte, die für das Scoring berücksichtigt werden. Infoscore schätzt an dieser Stelle augenscheinlich Daten für ein komplettes Kundenprofil. Der Datenschutzbeauftragte weist darauf hin, dass es sicherlich besser wäre, nicht vorhandene Bewertungskriterien als solche zu belassen, statt Nichtinformationen ein zu beziehen. Ein falscher Score könne für einen Betroffenen einen derben Schicksalsschlag bedeuten. Möglicherweise ist es dem Kunden unmöglich eine Kreditkarte zu bekommen oder einen Handyvertrag. Ware, die dieser Verbraucher im Versandhandel bestellt, wird ihm plötzlich nur gegen Nachnahme zugestellt, obgleich sein Konto volle Deckung aufweist. Das Entstehen gefälschter Scorewerte verursachen Verbraucher teilweise sogar ungewollt dadurch, dass sie bei Bestellungen die Angabe personenbezogener Daten verweigern. Wenn die Auskunftei bei einem Betroffenen keine Angabe zu dessen Wohndauer findet oder sein Geburtsdatum fehlt, wird er statistisch gleich gesetzt mit schlechten Zahlern.
Es wird schlicht angenommen, dass wer derartige Profildaten aufweist, eine schlechte Zahlungsmoral besitzt.

Beispielsweise hat NDR Info von einem Fall erfahren, in dem alleine der Vorname der Kundin zu der irrigen Annahme führte, sie sei unter 30 Jahre alt. Zusätzlich wurde das Alter ihres Wohnhauses viel höher angesetzt, als es tatsächlich war. Weitere nicht vorhandene Angaben wurden mit dem niedrigsten Punktwert versehen, den es gab, so dass die Frau schlussendlich bei einem Versandhandel durch Infoscore eine negative Bonitätswertung erhielt.

Ein Sprecher von Infoscore versuchte die Vorwürfe runter zu spielen, indem er die Kritik der Datenschützer missverständlich nannte. Sein Unternehmen sei zur Zeit damit beschäftigt, die eingesetzten Scoring-Verfahren zu bearbeiten und unter Berücksichtigung der Hinweise des Datenschutzbeauftragten zu optimieren. Traurig ist an dieser ganzen Geschichte, dass sie nicht neu ist. Die Bundesregierung äußerte schon vor drei Jahren massive Kritik an den deutschen Auskunfteien. Damals wurde durch das Verbraucherministerium eine Studie in Auftrag gegeben, die belegte, dass fast jede zweite Bonitätsbewertung fehlerhaft ist.

Derzeit ist diese Funktion für deutsche Facebook-Nutzer im Bereich Kontoeinstellungen als Link “Lade eine Kopie deiner Facebook-Daten herunter.” realisiert dort muss der Nutzer mit einem Klick auf “Mein Archiv aufbauen” diese Daten zunächst anfordern. Facebook stellt daraufhin ein Archiv zusammen, dass später heruntergeladen werden kann und folgende Informationen enthält:

• Deine (Chronik-) Profilinformationen (z.B. deine Kontaktdaten, Interessen, Gruppen)
• Pinnwandbeiträge (Chronikbeiträge) und Inhalte, die du und deine Freunde in deinem Profil (Chronik) gepostet haben
• Fotos und Videos, die du in dein Konto hochgeladen hast
• Deine Freundesliste
• Notizen, die du verfasst hast
• Veranstaltungen, für die du zu- oder abgesagt hast
• Nachrichten, die du versendet und erhalten hast
• Jegliche Kommentare, die du und deine Freunde an deinen (Chronik-) Pinnwandeinträgen, Fotos und anderen (Chronik-) Profilinhalten hinterlassen habt

NEU: Laut heise.de sind nunmehr in Kürze auch folgende Informationen im Rahmen einer erweiterten “Lade deine Informationen herunter”-Funktion für alle Nutzer verfügbar:

• vorherige Namen
• erhaltene und gesendete Freundschaftsanfragen, die nicht bestätigt wurden
• Einstellungen zur Sichtbarkeit des Geburtstages
• aktuelle Einstellungen zu Wohn- und Geburtsort
• Informationen zu Veranstaltungen, die akzeptiert, abgelehnt oder zu denen Kommentare gepostet wurden
• Daten zur Erstellung sowie Re- und Deaktivierung des Kontos
• Log-In- und Log-Out-Informationen – Daten der IP Adressen, von denen sich ausgeloggt wurde
• Sprachen – Informationen über Sprachen, die angegeben wurden
• Familienangaben – Informationen über Menschen, die als Familienmitglieder angegeben wurden
• Infos zum Anstupsen (“Pokes”)
• Infos zum Beziehungsstatus inklusive alter Angaben zum Beziehungsstatus
• Mobiltelefonnummern
• Datr-Cookie Informationen

WICHTIG: Diese Selbstauskunft wird nur erteilt nach einer Bestätigung der eigenen Identität. Konkret macht Facebook darauf mit folgendem Hinweis aufmerksam, sobald man die Daten anfordern möchte:

Details erklärt Facebook auf einer eigenen Hilfeseite zum Thema.

Update:
Im September letzten Jahres hat auch Richard Gutjahr einen guten Überblick gegeben, wie man an seine Daten bei Facebook gelangen kann und welche Schritte man gehen muss, um die Daten auch wirklich zu erhalten.

Update:

Eine weitere nützliche Seite mit vielen Informationen zum Vorgehen bei einer Anfrage an Facebook ist EUROPE vs. FACEBOOK. Dort ist auch ein Hinweis auf mögliche Vorgehensweisen zu finden, wie man bei ungenügender Auskunft reagieren kann.

Benutzerinterface im Überblick

Vieles ist in der App auf den mobilen Anwendungsfall hin optimiert, also z.B. das schnelle Nachsehen, wieviele der Anfragen schon an die Unternehmen übermittelt wurden. Eine ganze Menge Funktionen und Verbesserungen sind in den letzten Wochen hinzugekommen, und wir möchten diese Verbesserungen kurz vorstellen (siehe auch Bildschirmfotos oben).

Verbesserungen der Funktionen

Hilfe und Feedback durch Euch

Schufa Holding AG

Schober Information Group Deutschland GmbH

Eure Erfahrungsberichte für selbstauskunft.net

Nachdem wir viel Zeit und Mühe in dieses Projekt gesteckt haben, möchten wir nun erfahren, ob unser Dienst euch wirklich hilft, diese Dinge richtig zu stellen. Welche Erfahrungen habt Ihr mit den erhaltenen Informationen gemacht? Waren diese Daten wirklich fehlerhaft oder kaum nachvollziehbar, oder war alles korrekt? Wart Ihr überrascht, wer wie viel über euch weiß? Habt Ihr ein schlechtes Scoring erhalten, obwohl Ihr über ein geregeltes Einkommen verfügt und schuldenfrei seid? Wir würden uns freuen, wenn Ihr uns eure Erfahrungen mitteilt. Das wird uns helfen, unseren Dienst weiter zu verbessern. Nur so können wir herausfinden, ob unser Angebot wirklich euren Bedarf trifft, und ob wir euch dabei helfen, Fehler zu finden und zu korrigieren.

Für diesen Zweck haben wir eine neue Funktion eingeführt. Nachdem Ihr euch eingeloggt habt, könnt Ihr nun innerhalb der Übersicht eurer Anfragen uns und allen anderen eure detaillierten Erfahrungen zum Antwortverhalten jedes von euch angeschriebenen Unternehmens mitteilen. Ihr könnt zusätzlich (freiwillig) angeben, ob die über euch gespeicherten Daten korrekt oder fehlerhaft waren, oder ob eine weitere Legitimation (z.B. in Form einer Personalausweiskopie) verlangt wird. Dazu könnt Ihr auch einen freien Text schreiben, wenn sich ein Unternehmen besonders dreist oder auch besonders kooperativ gezeigt hat, oder einfach nur, um eure Erfahrung etwas genauer zu schildern. So sieht der Dialog aus:

Es gibt auch eine Auflistung der neuesten Erfahrungsberichte.

Reportage über eure Erfahrungen

In den letzten Tagen sind wir auch von Journalisten angesprochen worden, die eine Reportage über Adresshändler und Scoring-Unternehmen planen und auf unsere Mithilfe angewiesen sind. Wer von euch seine (besonders unangenehmen oder auch besonders guten) Erfahrungen einer breiten Öffentlichkeit mitteilen möchte und eventuell sogar für ein Interview bereit steht, schreibt uns bitte eine E-Mail. Wir leiten eure Erfahrungen an die Redaktion weiter. Diese wird sich dann in Einzelfällen mit euch in Verbindung setzen. Also einfach schreiben an selbstauskunft@digineo.de und vergesst nicht eure Kontaktdaten. Wir bedanken uns schon jetzt für eure Mithilfe!

Wir hatten vergangenes Jahr bereits Kontakt mit Ihnen wegen unseres Dienstes “selbstauskunft.net”. Bürgern bieten wir über selbstauskunft.net die Möglichkeit, kostenlos Selbstauskünfte bei diversen Unternehmen anzufordern.

Während der Registrierung gibt der Interessent seine persönlichen Daten wie E-Mail-Adresse, Namen, Geburtsdatum und Anschriften ein. Außerdem übermittelt er durch das Zeichnen per Maus oder auf dem Smartphone (iOS/Android) seine Unterschrift, mit welcher wir die Anfragen an die Unternehmen versehen.

Durch die zahlreichen Anfragen entstehen seitens der Unternehmen leider nicht unerhebliche Kosten, weil momentan jede Anfrage postalisch beantwortet werden muss. In den meisten Fällen liegen über den Anfragenden jedoch überhaupt keine Daten bei den Unternehmen vor. Wir möchten gerne die Kosten seitens der Unternehmen durch unsere Anfragen senken und stellen uns daher folgende Frage: Ist es datenschutzrechtlich zulässig, den Anfragenden per E-Mail mitzuteilen, dass dieser bei dem Unternehmen nicht bekannt ist? Sollten Daten vorhanden sein, würde das Unternehmen eine Auskunft weiterhin per Post an die Anfragenden versenden.

Über eine rechtsverbindliche Auskunft über die Zulässigkeit des angedachten Verfahrens wäre ich Ihnen sehr dankbar.

Antwort vom 05.01.2012:

In Beantwortung dieser Ihrer Anfrage sei vorab auf Folgendes hingewiesen: Eine generelle, rechtsverbindliche Auskunft, wie von Ihnen gewünscht, können wir Ihnen zu Ihrer Frage nicht erteilen. Dies schon, weil wir lediglich Datenschutzaufsichtsbehörde für nicht-öffentliche Stellen im Lande Bremen sind, nur insoweit zuständig für Auslegung und Anwendung des Bundesdatenschutzgesetzes (BDSG) sind, jedoch keine Aussagen bzw. Festlegungen für die Datenschutzaufsichtsbehörden anderer Länder treffen können.

Inhaltlich ergibt sich die Antwort auf Ihre Frage zunächst aus § 34 Abs. 6 BDSG: hiernach ist die Auskunft auf Verlangen des Betroffenen in Textform zu erteilen. Die Textform ist in § 126b Bürgerliches Gesetzbuch (BGB) dahingehend legaldefiniert, dass „die Erklärung in einer Urkunde oder auf andere zur dauerhaften Wiedergabe in Schriftzeichen geeigneten Weise abgegeben, die Person des Erklärenden genannt und der Abschluss der Erklärung durch Nachbildung der Namensunterschrift oder anders erkennbar gemacht werden“ muss. Grundsätzlich genügt auch eine E-Mail der Textformvorgabe, wobei vor dem Hintergrund eines wirksamen Zugangs (§ 130 BGB) der Empfänger selbst zu erkennen gegeben haben muss, dass er mit dieser Form der elektronischen Übersendung von Erklärungen einverstanden ist. Datenschutzrechtlich „tauchen“ dann im Falle einer Übermittlung personenbezogener Angaben via E-Mail aber folgende Probleme auf: die auskunftserteilende Stelle hat im Wege entsprechender Maßnahmen insbesondere die sog. „Zugriffkontrolle“ bzw. genauer „Weitergabekontrolle“ zu gewährleisten (§ 9 BDSG iVm Anlage Ziff. 4, 3), also insbesondere sicherzustellen, dass keine unbefugte Kenntnisnahme personenbezogener Daten durch Dritte erfolgt und dass die Nachricht nicht verändert wird. Dies dürfte praktisch schwierig sein, weil die Stellen wohl regelmäßig keine Verschlüsselung verwenden dürften, die unverschlüsselte E-Mail aber im Internet ohne weiteres Dritten zugänglich ist, keine Möglichkeit zur Sicherstellung ihrer Integrität besteht und auch ihre Authentizität nicht feststellbar ist. Des Weiteren kann beim E-Mail-Versand kaum sichergestellt werden, dass die Nachricht tatsächlich bei dem Betroffenen in seinem eigenen elektronischen Postfach „landet“.

Im Ergebnis besteht also grundsätzlich die Möglichkeit der elektronischen Versendung personenbezogener Daten in Beantwortung eines Eigenauskunftsgesuchs; die E-Mail-Versendung unterliegt dann aber wiederum einigen datenschutzrechtlichen Vorgaben und bringt insoweit sicherlich einige praktische Probleme mit sich.

Unsere Nachfrage am selben Tag:

vielen Dank für Ihre ausführliche Antwort. Dass personenbezogene Daten nicht in einer unverschlüsselten E-Mail übertragen werden, ist für uns selbstverständlich. Unabhängig vom Übertragungsweg ist für uns jedoch folgendes entscheidend:
Ist nach Ihrer Auslegung eine Negativauskunft (“Person unbekannt”) bereits ein personenbezogenes Datum?

Antwort vom 16.01.2012:

auf Ihre E-Mail vom 05.01. kommen wir zurück. Sie hatten uns um Beantwortung der Frage gebeten, ob nach Auslegung der LfDI Bremen die „Negativauskunft“: „Person unbekannt“ bereits ein personenbezogenes Datum darstellt. Hierzu folgendes, wobei ausdrücklich darauf hingewiesen sei, dass es sich um eine unverbindliche Einschätzung auf Arbeitsebene handelt:

Ausgangspunkt ist die Legaldefinition des personenbezogen Datums als „Einzelangabe über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (vgl. § 3 Abs. 1 BDSG). Der Begriff ist demnach grundsätzlich sehr weit gezogen und erfasst alle Informationen, die über eine Bezugsperson etwas aussagen. Unabdingbar ist aber selbstverständlich ein wie auch immer gearteter Informationsgehalt. Gerade bei Aussagen mit „negativem Vorzeichen“ ergibt sich der Informationsgehalt häufig aus dem Kontext der Aussage. Praktisches Beispiel: Betrachtet man die Aussage „Person unbekannt“ ohne Rücksicht auf den Äußernden, Antwortkontext etc., also völlig losgelöst, so dürfte ein Informationswert nicht bestehen; stammt diese Aussage jedoch beispielsweise von der Polizei in Bezug auf ein polizeiliches Fahndungssystem, so dürfte ein personenbezogenes Datum vorliegen. Eine abstrakte Antwort auf Ihre Frage ist daher – auch wenn dies für Sie sicherlich unbefriedigend ist – nicht möglich.

Praktisch scheint es für die Fälle, die Sie im Auge haben dürften (wohl insbesondere Auskunftei-Eigenauskünfte) kaum vorstellbar, dass eine Mail-Auskunft, möglicherweise sogar an eine nicht-personalisierte Postfach-Adresse, lediglich lautet: „Person unbekannt“. Um einerseits für den Adressaten sicherzustellen, dass tatsächlich auch er gemeint ist, also seitens der beauskunftenden verantwortlichen Stelle keine Namens- bzw. Identitätsverwechslung vorliegt, andererseits aus Sicht der Auskunfteien einem „Reinwasch-Versuch“ (um die Begrifflichkeiten dieser Geschäftsbranche aufzugreifen) vorzubeugen, müssten wohl regelmäßig die Bezugsangaben zur Identifizierung der anfragenden Person mitgeliefert werden. Die besonderen Probleme der Authentizität und Integrität einer solchen Nachricht seien in diesem Zusammenhang ebenfalls nochmals unterstrichen.

Wie andere Aufsichtsbehörden, in deren Zuständigkeitsbereich die jeweilige auskunftgebende Stelle ansässig ist, die Frage einschätzen, entzieht sich im Übrigen unserer Kenntnis.

Vielen Dank an den Mitarbeiter der Landesdatenschutzbeauftragten Bremen für die umfangreichen Erläuterungen. Im Ergebnis steht für uns fest, dass elektronische Negativauskünfte nicht ohne weiteres umsetzbar sind.

Die EOS MarketBase ist eine in Deutschland einzigartige und marktumfassende Haushaltsdatenbank mit Informationen zu rund 50 Millionen Privatadressen.

Wir haben somit einmal nachgefragt und uns erklären lassen, dass zwar so eine Datenbank existiert, die allerdings nicht direkt der EOS gehört, sondern nur unter dem Namen vermarktet wird. Die eigentliche Datenbank stammt von den auf der Webseite gelisteten Unternehmen und Anfragen müssen daher auch an diese gestellt werden.

Die dort eingetragenen Unternehmen Schober, Bürgel und Coxulto befinden sich natürlich in unserer Datenbank.

Als die Mieterauskunft24 für Auskunftsersuchen 7,60 € in Rechnung gestellt hat, haben wir darüber berichtet und Betroffenen empfohlen, die Rechnung nicht zu bezahlen. Als Reaktion hierauf forderte uns die Anwältin der Mieterauskunft24 auf, die “Boykottaufrufe” gegen ihre Mandantin zu unterlassen. Das Datenschutzzentrums Saarland hat uns inzwischen bestätigt, dass die gestellten Rechnungen nicht rechtmäßig sind und Betroffenen zivilrechtlich dagegen vorgehen können.

Weiter hat einer der Betroffenen die erhaltene Rechnung bei einem Filehoster hochgeladen und uns die Adresse zur Verlinkung in unserem Blog zugeschickt. Nach Ansicht des Gerichts haben wir uns durch Verlinkung einer externen Seite deren Inhalte zu eigen gemacht:

Hier hat die Schuldnerin ausdrücklich auf den Link und dessen Inhalt hingewiesen und sich somit die dortige Wiedergabe der Schriftstücke zu eigen gemacht. Hintergrund des Verweises war, dass die Schuldnerin die Schreiben wegen der einstweiligen Verfügung gerade nicht auf ihrer eigenen Homepage verbreiten wollte. Das Gericht sieht es als erwiesen, dass das Schriftstück, das über einen Link zugänglich war, mit einem Vertraulichkeitsvermerk versehen war.

Unser Anwältin Eva Dworschak wird gegen den Beschluss Beschwerde einreichen. In dem einstweiligen Verfügungsverfahren haben wir vor dem OLG Saarbrücken Berufung eingelegt.

Die PLANET49 GmbH wurde im Jahr 2001 als Gratis-Lotterie gegründet. Heute ist das Unternehmen mit mehr als 14 Millionen registrierten Nutzern in 16 Ländern Europas aktiv und führend in der Adressgenerierung für Database-Marketing.

[Quelle: Pressemitteilung vom 17.12.2009]

Das Marketing-Magazin Adzine hat bereits im Jahr 2007 über planet49 berichtet:

Seit drei Jahren wandern die Adressdaten in sechs firmeneigene Callcenter und werden überprüft. 7,5 Millionen Adressen wurden bisher bei Planet49 eingegeben. Nicht jede Adresse stimmt. Nach dem Abgleich mit der Robinson-Liste bleiben immerhin noch 4 Millionen Adressen übrig. Das heißt, jeder zwanzigste Bundesbürger ist bei Planet49 angemeldet, in der Hoffnung auf Autos und Millionengewinne.

[...]

Auch wenn sich Planet49 nicht als Adresshändler, sondern eher als “Adress-Produzent” sieht, können die Daten, die Planet49 generiert, auch gekauft werden. Zu TKP-Preisen zwischen 130 und 180 Euro.

[Quelle: Planet49: Daten sind wertvoll vom 01.06.2007 aus dem Adzine-Magazin]

Gerade die aktuellen Medienberichte haben für einen so starken Anstieg der Anfragen gesorgt, dass es kaum Vorlaufzeit gab, um sich auf soetwas vorzubereiten. In diesem Sinne: Kommt Zeit, kommt Antwort…