CNIL verhängt 150.000 Euro Bußgeld gegen Online-Shop-Betreiber

Frankreich: Die französische Datenschutzbehörde hatte im Zeitraum vom Juni 2018 bis zum Januar 2020 wiederholt Benachrichtigungen über Datenpannen erhalten, die sich auf dem von mehreren Millionen Kunden besuchten Online-Shop des Beklagten ereignet haben. Für den Betrieb des besagten Online-Shops hatte der Bußgeldempfänger ein Subunternehmen beauftragt.
Ausgehend davon hatte die Datenschutzbehörde Untersuchungen aufgenommen und dabei festgestellt, dass die Website immer wieder Ziel großflächiger Credential-Stuffing-Angriffe geworden war, bei denen es den Angreifern gelang, die Namen, E-Mail-Adressen, Geburtsdaten, Kundenkartennummern und Bestellinformationen zahlreicher Kunden zu erhalten. 
Angesichts des langen Zeitraums, in den es zu sich wiederholenden Datenpannen gekommen war und der langsamen und insgesamt unzureichenden Reaktion des Unternehmens sah die Datenschutzbehörde die Pflicht des Beklagten verletzt, adäquate technische und organisatorische Maßnahmen zum Schutz der Verarbeitung personenbezogener Daten seiner Kunden zu implementieren. Das Unternehmen habe zwar ein Tool zur Bekämpfung von Credential-Stuffing entwickelt, allerdings zog sich dessen Entwicklung lange hin, sodass die Daten von ca. 40.000 Kunden zwischen März 2018 und Februar 2019 exponiert blieben. Andere denkbare Mittel, die Sicherheit der Verarbeitung herzustellen, wurden nicht ergriffen. .

Veröffentlicht am: 28-01-2021

Quelle von dsgvo-portal.de