Gro\u00dfbritanniens Datenschutzbeh\u00f6rde (ICO) hat am 30.10.2020 gegen die US-Hotelkette Marriott ein Bu\u00dfgeld von 18,4 Mio. Pfund verh\u00e4ngt. Der Grund hierf\u00fcr war ein massives Datenleck. Das Unternehmen hatte es vers\u00e4umt, die pers\u00f6nlichen Daten von mehreren hundert Millionen Kundensicher aufzubewahren.<\/p>\n
Interessant ist die Entscheidung nicht nur aus datenschutzrechtlicher Sicht. Vielmehr zeigt der zeitliche Ablauf mehr als deutlich, dass datenschutzrechtlichen Aspekten im Zuge von Unternehmenstransaktionen zwingend eine besondere Bedeutung zuzumessen ist:<\/p>\n
Bereits im Jahre 2014 kam es zu einem Cyber-Angriff auf die Reservierungsdatenbank der Starwood-Hotel-Gruppe. Dieser er\u00f6ffnete unbekannten T\u00e4tern die M\u00f6glichkeit des Zugriffs auf 339 Millionen G\u00e4stedaten. Unberechtigte konnten neben Namen, Adressen und Telefonnummern, auch auf sensitive Daten wie Pass- und Kreditkartennummern zugreifen. Die T\u00e4ter hatten einen als „Web-Shell“ bekannten Code auf einem Ger\u00e4t im Starwood-Netzwerk installiert, der es ihnen erm\u00f6glichte, aus der Ferne darauf zuzugreifen. Unter Ausnutzung dieses Zugangs installierten die unbekannten Angreifer Malware (Remote Access Trojaner) und verschafften sich so weitrechende Zugriffsm\u00f6glichkeiten auf das gesamte Netzwerk und insbesondere die Reservierungsdatenbank.<\/p>\n
2016, also zwei Jahre sp\u00e4ter, \u00fcbernahm Marriott die Starwood-Hotels. Die Sicherheitsl\u00fccke blieb bis zum September 2018 \u2013 und damit auch nach In-Kraft-Treten der DSGVO \u2013 unentdeckt.<\/p>\n
Bei der im Zuge der \u00dcbernahme der Starwood-Gruppe durchgef\u00fchrten Risikobewertung (Due Diligence) wurde durch Marriott zwar die Art der zu erwerbenden Personendaten, jedoch nicht die Angemessenheit der Sicherheitsma\u00dfnahmen \u00fcberpr\u00fcft. Das Starwood-Reservierungssystem wurde nach \u00dcbernahme weitergef\u00fchrt. Obwohl das Datenleck im Zeitpunkt der \u00dcbernahme bereits zwei Jahre existierte, wurde es nicht erkannt und so in die IT-Systeme von Marriott integriert.<\/p>\n
Die Untersuchung der ICO ergab vor allem Vers\u00e4umnisse durch Marriott, , die darin bestanden, angemessene technische und organisatorische Ma\u00dfnahmen zum Schutz der in den Systemen verarbeiteten personenbezogenen Daten der Kunden zu ergreifen, wie dies von der DSGVOvorgeschrieben wird. Die ICO definiert definierte u.a. vier wesentliche Vers\u00e4umnisse<\/strong>, die dasBu\u00dfgeld begr\u00fcnden:<\/p>\n Dabei betont die ICO in ihrer Entscheidung, dass vor allem das fehlende Monitoring der Systeme den Datenschutzversto\u00df begr\u00fcnden und unterstrich die Bedeutung, die eine korrekte Konfiguration, regelm\u00e4\u00dfige \u00dcberwachung und Kontrolle der IT-Systeme hat. Das Bu\u00dfgeld fiel unter anderem wegen der Ber\u00fccksichtigung der Covid-19-Belastungen geringer als urspr\u00fcnglich angek\u00fcndigt aus.<\/p>\n F\u00fcr den Berater in Unternehmenstransaktionen bedeutet dies:<\/p>\n Einzelheiten des Cyber-Angriffs und eine detaillierte Bewertung der Aufsichtsbeh\u00f6rde finden sich auf 88 Seiten in der Marriott International Inc monetary penalty notice (dort unter 3. und ab 6.12 – nur in Englisch) hier:<\/strong> https:\/\/ico.org.uk\/action-weve-taken\/enforcement\/marriott-international-inc\/<\/a><\/p>\n Gro\u00dfbritanniens Datenschutzbeh\u00f6rde (ICO) hat am 30.10.2020 gegen die US-Hotelkette Marriott ein Bu\u00dfgeld von 18,4 Mio. Pfund verh\u00e4ngt. Der Grund hierf\u00fcr war ein massives Datenleck. Das Unternehmen hatte es vers\u00e4umt, die pers\u00f6nlichen Daten von mehreren hundert Millionen Kundensicher aufzubewahren.<\/p>\n","protected":false},"author":9,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[29],"tags":[43,38,44,46,45],"class_list":["post-2557","post","type-post","status-publish","format-standard","hentry","category-datenschutzberatung","tag-bussgeld","tag-grossbritannien","tag-hotel","tag-kundendaten","tag-marriott"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/posts\/2557","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/comments?post=2557"}],"version-history":[{"count":7,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/posts\/2557\/revisions"}],"predecessor-version":[{"id":2570,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/posts\/2557\/revisions\/2570"}],"wp:attachment":[{"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/media?parent=2557"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/categories?post=2557"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ecovis.com\/datenschutzberater\/wp-json\/wp\/v2\/tags?post=2557"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\n
\nDD-Teams sollten daher \u2013 wenn nicht ohnehin bereits geschehen \u2013 um Experten auf dem Gebiet des Datenschutzes erg\u00e4nzt werden. Inhaltlich sollte sich die Pr\u00fcfung k\u00fcnftig nicht nur auf die klassischen Bereiche des Vertragsrechts, Gesellschaftsrechts, Arbeitsrechts und Steuern (und ggfls. weitere) erstrecken, sie muss vielmehr auch das Vorhandensein und die Ausgestaltung des Datenschutzmanagement-Systems der Zielgesellschaft umfassen.
\nAndernfalls drohen den Beratern der K\u00e4uferseite erhebliche Haftungsrisiken.<\/li>\n
\nNach unserer Erfahrung sind solche Klauseln (derzeit noch) nur \u00e4u\u00dferst schwer verhandelbar, weil die Verk\u00e4uferseite selbst kaum jemals davon \u00fcberzeugt ist, in diesem Bereich gut aufgestellt zu sein.<\/li>\nEnglish version<\/a><\/h5>\n","protected":false},"excerpt":{"rendered":"