Retourenpakete als ernsthaftes Datenschutzrisiko

Die Landesdatenschutzbeauftragte von Sachsen-Anhalt warnt eindringlich vor dem Weiterverkauf sogenannter „Secret Packs“ oder „Mystery Boxen“. So werden Retouren oder unzustellbare Sendungen bezeichnet, die ohne ausreichende Anonymisierung erneut in den Handel gelangen. Dabei bleibt personenbezogenes Material wie Namen, Adressen, Telefonnummern oder Rechnungsdetails häufig sichtbar. Besonders problematisch sind Fälle, in denen die Verbindung zwischen sensiblen Inhalten (z. B. Kleidung, intime Produkte) und den offenliegenden Daten Rückschlüsse auf private Lebensbereiche erlaubt.

Datenschutzrechtliche Bewertung

Nach Art. 5 Abs. 1 lit. b (Zweckbindung) und Art. 32 DS-GVO (Sicherheit der Verarbeitung) ist eine solche Praxis nicht zulässig: personenbezogene Daten dürfen nur für ursprünglich festgelegte Zwecke verarbeitet werden. Provisorische Maßnahmen wie Überkleben oder Filzen wirken unzureichend, da sie häufig reversibel sind. In Situationen, bei denen die Daten auch Aufschluss über intime Lebensbereiche geben, können sogar besonders schützenswerte Informationen nach Art. 9 DS-GVO betroffen sein.

Potenzielle Folgen und Verantwortungsketten

Die Veröffentlichung persönlicher Daten in Kombination mit privaten Inhalten birgt erhebliche Risiken – von Bloßstellung bis hin zu Identitätsmissbrauch. Verantwortlich sind nicht nur die Betreiber solcher Verkaufsautomaten, sondern bereits die Versandzentren, die Retouren ohne datenschutzgerechte Verfahren in den Umlauf bringen.

Erforderliche Maßnahmen

Um diesen Risiken zu begegnen, müssten Verantwortliche ihre Prozesse im Umgang mit Retourenpaketen grundlegend anpassen. Dazu gehöre, dass personenbezogene Daten vor dem Weiterverkauf vollständig entfernt werden. Technische Lösungen wie automatisierte Systeme zur Entfernung von Etiketten und zur Kontrolle auf verbleibende Datenreste seien unverzichtbar, um ein hohes Schutzniveau sicherzustellen. Ergänzend sollten die Pflichten zur Datenlöschung vertraglich klar geregelt und im Rahmen von Auftragsverarbeitungsverträgen nach Art. 28 DS-GVO verbindlich festgelegt werden. Schließlich sei auch eine transparente Kommunikation gegenüber den Betroffenen erforderlich, damit nachvollziehbar wird, wie mit zurückgesandten Waren verfahren wird und welche Maßnahmen zum Schutz der Privatsphäre getroffen werden.

(Foto: fotomowo – stock.adobe.com)