Wegen eines zu spät gemeldeten Sicherheitsvorfalls muss die Plattform Booking.com ein DSGVO-Bußgeld in Höhe von 475.000 Euro zahlen.
Wenn in Europa ein Unternehmen Opfer eines Hacker-Angriffs oder eines Datenlecks wird, muss es diesen Vorfall innerhalb einer Frist von 72 Stunden an die zuständige Datenschutzbehörde melden. Diese Frist hat die Reiseplattform Booking.com nicht eingehalten und muss aus diesem Grund nun ein DSGVO-Bußgeld in Höhe von 475.000 Euro zahlen. Anstatt innerhalb von 72 Stunden, hatte das Unternehmen einen Sicherheitsvorfall erst nach 22 Tagen gemeldet. Damit hat Booking.com gegen die Datenschutzgrundverordnung (DSGVO) verstoßen.
Hintergrund des Sicherheitsvorfalls waren mehreren Hotels, die im Dezember 2018 die Kontodaten von Kunden an Online-Betrüger weitergegeben hatten. Betroffen waren Kunden, die Hotelzimmer über die niederländische Version von Booking.com in den Vereinigten Arabischen Emiraten gebucht hatten. Bei dem Betrugsversucht hatten Dritte die persönlichen Daten von 4.109 abgegriffen, darunter auch die Kreditkartendaten von 283 Kunden. Bei 97 dieser Datensätze konnten die Betrüger die Sicherheitsnummer der Kreditkartenbesitzer erbeuten. Um an noch mehr Kreditkartendaten - möglicherweise für den Handel im Darknet - zu kommen, hatten sich die Betrüger außerdem als Booking.com-Mitarbeiter ausgegeben und waren in telefonischen Kontakt zu den betroffenen Kunden getreten.
Das Datenleck sei den Angaben zufolge im Dezember 2018 aufgetreten. Am 13. Januar 2019 soll Booking.com davon erfahren haben. Die betroffenen Kunden wurden jedoch erst am 4. Februar darüber in Kenntnis gesetzt. Die zuständige Datenschutzbehörde in den Niederlanden wurde sogar erst am 7. Februar informiert. Gegenüber dem IT-Magazin The Record betonte ein Sprecher von Booking.com, dass es keine Kompromittierung der Booking.com-Datenbanken gegeben habe und das Bußgeld lediglich für die Nicheinhaltung der Meldefristen verhängt worden sei.
