Deezer Datenleck – so erhalten Sie Schadensersatz!

Für betroffene Nutzer kann das Datenleck verschiedene Konsequenzen haben. Gängige Folgen für Betroffene von Datenlecks sind Phishing-Mails, Telefonbetrugsmaschen oder Telefonwerbung, sowie Spam-Mails.

Wir haben eine Übersicht zusammengestellt mit Maßnahmen, die Sie ergreifen können, um sich vor den Folgen des Datenklaus zu schützen.

Ende 2022 gab der Musikstreaming-Dienst Deezer auf seiner Internetseite bekannt, dass es im Jahr 2019 zu einem Datenleck bei einem Geschäftspartner des Unternehmens gekommen war, mit dem es seit 2020 nicht mehr zusammengearbeitet hatte. Deezer machte keine genauen Angaben zum Umfang des Lecks und war bemüht, zu beschwichtigen. So gab das Unternehmen an, dass seine Sicherheitssysteme weiterhin effektiv und die eigene Datenbank sicher seien.

Übereinstimmenden Presseberichten zufolge sind bei dem Leck etwa 230 Millionen Nutzerinformationen abhandengekommen. Nach Angaben der Website haveibeenpwned.com waren auch Informationen zum Geschlecht, zum Wohnort, zur IP-Adresse, zur Sprache sowie Nutzernamen Teil der geleakten Daten.

Demnach wurden die folgenden Daten von Deezer-Nutzern abgegriffen:

• Namen
• Geburtsdaten
• E-Mail-Adressen
• Angaben zum Geschlecht
• Ortsangaben
• IP-Adressen
• Benutzernamen
• gesprochene Sprachen

Einem Bericht der Internetseite restoreprivacy.com zufolge wurden die Daten im November 2019 auf einem Hackerforum zum Verkauf angeboten. Demnach ging es bei der Offerte um sechzig Gigabyte an Daten, die unter anderem 228 Millionen E-Mailadressen enthielten. Außerdem ging es offenbar um Angaben über Zeiten, zu denen User eingeloggt waren und auch um Details dazu, mit welchen Geräten Deezer-Kunden den Service genutzt hatten. Der Hacker gab auch an, wie viele User in welchen Ländern von dem Deezer-Datenleck betroffen sind. In Deutschland waren es demnach 14,1 Millionen Deezer-Nutzer.

Deezer gilt als wichtiger Konkurrent von Spotify und bietet Nutzern Musikstreams gegen Bezahlung an. Das Unternehmen wurde Angaben auf seiner Website nach als Start-Up im Jahr 2007 in Frankreich gegründet und versteht sich als unabhängige Plattform für Musikstreaming. Neben verschiedenen Telekommunikationsunternehmen gehören demnach der Automobilhersteller BMW und der Fernsehsender RTL zu den Kooperationspartnern des französischen Unternehmens. Darüber hinaus bietet auch der Mobilfunkanbieter Vodafone seinen Kunden die Option an, den Musikstreamingdienst zu abonnieren.

Die Website haveibeenpwned.com ist auf Internetsicherheit spezialisiert und führt Buch über Datenlecks von Unternehmen und deren Internetpräsenzen. Insgesamt wurden der Website zufolge bereits Daten von mehr als 12 Milliarden Nutzeraccounts durch Datenlecks, Sicherheitslücken oder Hacker kompromittiert und von haveibeenpwned.com registriert. Das Deezer-Datenleck ist nur eines von vielen: Auch Millionen Nutzer von Facebook, Twitter und vielen weiteren Websites waren schon von einem Datenklau betroffen.

Das Unternehmen wurde in der Presse für seinen Umgang mit dem Datenleck kritisiert. So veröffentlichte beispielsweise die auf IT und Technik spezialisierte Nachrichtenwebseite heise.de im Februar 2023 eine E-Mail von Deezer, welche der Anbieter offenbar massenweise an möglicherweise betroffene Kunden gesandt hatte. Darin warnte das Unternehmen unter anderem vor möglichen Phishing-Attacken als Folge des Datenlecks. Als Phishing werden Betrugsmaschen bezeichnet, mit welchen Daten und letztlich Geld von Verbrauchern mit gefälschten E-Mails oder Webseiten abgegriffen werden.

heise.de kritisierte vor allem den Zeitpunkt des Versandes der E-Mail: Dieser lag den Angaben des Nachrichtenportals zufolge Monate nach dem Bekanntwerden des Vorfalls. Zuvor hatte der Streamingdienst lediglich auf seiner Website in einer kurzen Mitteilung über das Problem informiert.

Auch zdnet.fr, die französische Ausgabe des Online-Technologieportals ZDNet, kritisierte den Umgang des Musikstreaming-Dienstes mit dem Problem: Einem Artikel aus dem Januar 2023 nach monierte das Portal, dass Deezer die Information über das Leck zunächst sehr diskret im Supportbereich seiner Website publiziert hatte, statt diese beispielsweise mit einer Pressemitteilung zu kommunizieren. Dem Portal missfiel zudem, dass der Streamingdienst in seinem ersten Hinweis auf das Leck auf einen englischen Ratgebertext der New York Times über den Umgang mit möglichen Datenlecks durch Verbraucher verwiesen hatte. Das Portal zdnet.fr führte an, dass Deezer in Frankreich einen Marktanteil von rund dreißig Prozent besessen hatte, weltweit jedoch nur etwa zwei Prozent der Marktanteile.

Den Angaben nach kooperiert der Dienst bei der Aufklärung des Falls mit den französischen Behörden. Auf Anfrage bestätigte ein Deezer-Sprecher Ende März 2023 per E-Mail: "Sobald wir der Veröffentlichung der Nachricht auf dem Piratenforum gewahr wurden, haben wir die Commission Nationale de l'Informatique et des Libertés (CNIL) kontaktiert und arbeiten seitdem eng mit dieser bei dem Thema zusammen."

Die CNIL ist die französische Regulierungsbehörde für den Datenschutz und sitzt in Paris. Sie achtet auf die Datenschutz-Grundverordnung und kann Fehlverhalten ahnden, indem sie beispielsweise Datenverarbeitung untersagt oder Firmen verwarnt. Auch Verwaltungsstrafen kann die Behörde verlangen. Die DSGVO wird in Frankreich Règlement géneral sur la protection des données oder kurz RGPD genannt.

Die Social-Media-Plattform Facebook wurde bereits mehrfach aufgrund eines Datenlecks zu Schadensersatz verurteilt. Ähnlich liegt der Fall auch bei Deezer. Speziell zwei Artikel der Datenschutz-Grundverordnung sind hierfür wichtig.

Artikel 25 Absatz 1:

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.

Artikel 82 Absatz 1:

Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter.

Betroffene können auf dieser Grundlage Schadensersatz beziehungsweise Schmerzensgeld in Höhe von mehreren tausend Euro bekommen.

Der Europäische Gerichtshof hat sich mit zwei Urteilen hinter die Verbraucher gestellt und genauere Angaben dazu gemacht, unter welchen Umständen diese bei einem Datenleck Schadensersatz bekommen können.

Urteil vom 04.05.2023 - C-300/21: Der EuGH machte deutlich, dass grundsätzlich die Möglichkeit besteht, bei einem Datenleck Schadensersatz zu erhalten. Dazu müssen aber mehrere Voraussetzungen erfüllt sein.

Im gleichen Urteil machte der EuGH aber auch deutlich, dass es in dieser Hinsicht keine Bagatellfälle gibt. Betroffene des Deezer Datenlecks müssen also nicht denken, dass es sich in ihrem Fall nicht lohnt, Schadensersatz zu verlangen. Gerichte dürfen diese Klagen nicht als Bagatellfälle abtun.

Urteil vom 14.12.2023 - C-340/21: In diesem Urteil präzisierte der EuGH den immateriellen Schaden. Er äußerte sich wie folgt:

Allein der Umstand, dass eine betroffene Person infolge eines Verstoßes gegen die DSGVO befürchtet, dass ihre personenbezogenen Daten durch Dritte missbräuchlich verwendet werden könnten, kann einen immateriellen Schaden darstellen.

Damit widersprach der EuGH einigen deutschen Gerichten, die einen Schadensersatz abgelehnt hatten mit der Begründung, bloßes Unwohlsein aufgrund des Datenlecks sei nicht ausreichend um einen immateriellen Schaden zu begründen. Dieses neue EuGH-Urteil macht es Betroffenen des Deezer Datenlecks somit leichter, aufgrund eines immateriellen Schadens eine Entschädigung zu erhalten.