Datenpanne bei Amazon: Spracheingaben gelangen an falschen Nutzer

Durch einen Fehler von Amazon Deutschland sind rund 1700 fremde Sprachaufzeichnungen in die Hände eines Nutzers gefallen. Dazu kam es, nachdem der Anwender Amazon.de gebeten hatte, die zu ihm gespeicherten Daten nach der Datenschutzgrundverordnung (DSGVO) auszuhändigen.

Nach zwei Monaten erhielt er Zugriff auf ein Zip-Archiv mit den von Amazon zu seiner Person gespeicherten Daten. Allerdings befanden sich darin auch Informationen, die er nicht zuordnen konnte. Über rund 1700 Sprachdateien sowie eine PDF-Datei, die chronologisch unsortierte Transskripte darüber enthielt, was Amazons Sprachassistent Alexa aus Spracheingaben verstanden hat, wunderte sich der Mann, der eigenen Angaben zufolge Alexa noch nie benutzt hatte.

Tatsächlich stammen die Aufzeichnungen aus fremden Wohn- und Schlafzimmern sowie Bädern. Anhand des Inhaltes der Aufzeichnungen war es möglich, die fremden Daten der korrekten Person zuzuordnen. Diese wurde anschließend über den Vorfall informiert, wobei sich herausstellte, dass auch dieser Mann eine DSGVO-Auskunft angefordert hatte.

Der Spion in meinem Haus: Alexa nimmt Gespräche auf und analysiert sie (Bild: Amazon).

Rechtliche Konsequenzen

Der auf IT- und Medienrecht spezialisierte Rechtsanwalt Christian Solmecke sagt dazu: „Bei diesem Fehler handelt es sich um eine ernst zu nehmende Datenpanne. Hier wurden personenbezogene Daten aus der Privat- und Intimsphäre einer fremden Person an eine unbefugte Person weitergegeben. Nach der Datenschutzerklärung zu dem Gerät sind nur Amazon und der Nutzer selbst berechtigt, die Aufzeichnungen abzuhören. Bei der Weitergabe der Daten handelt es sich daher um eine unzulässige Verarbeitung personenbezogener Daten (Art. 6 DSGVO). Möglicherweise handelt es sich sogar um sensible Daten i.S.d. Art. 9 DSGVO, falls aus den Sprachaufzeichnungen auch Details über das Sexualleben des Benutzers weitergegeben wurden (es wurde auch eine Frauenstimme aufgezeichnet).

Solche Datenpannen hätte Amazon nach Art. 33 DSGVO binnen 72 Stunden der zuständigen Aufsichtsbehörde melden müssen. Ob dies geschehen ist, ist mir nicht bekannt.

Möglicherweise droht Amazon jetzt ein Bußgeld. Sollte sich herausstellen, dass sich das Unternehmen entweder in technischer oder organisatorischer Hinsicht unzureichend um den Datenschutz gekümmert hat, kommt darüber hinaus noch eine Verletzung des Art. 32 DSGVO in Betracht – das wäre bei der Höhe eines eventuellen Bußgeldes zu berücksichtigen.

Darüber hinaus hätte die Person, deren Sprachaufzeichnungen weitergegeben wurden, das Recht, Amazon auf eine Geldentschädigung zu verklagen.“

In einer Stellungnahme gegenüber der c’t sagte Amazon: „Dieser unglückliche Fall war die Folge eines menschlichen Fehlers und ein isolierter Einzelfall. Wir haben das Problem mit den beiden beteiligten Kunden geklärt und Maßnahmen zur weiteren Verbesserung unserer Prozesse ergriffen. Wir standen auch vorsorglich in Kontakt mit den zuständigen Behörden.“

Die Datenschutzgrundverordnung (DSGVO) ist nach einer Übergangsfrist seit dem 25. Mai 2018 in Kraft. Ab diesem Zeitpunkt müssen Unternehmen mit Strafen rechnen, wenn die Anforderungen an das neue Gesetz nicht erfüllt werden. Für Datenschutzverstöße kann diese bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes des Unternehmens betragen.