Heute muss ich meinen Blog auch mal zum Ablassen von Dampf benutzen, ansonsten lade ich hier ja immer nur Bilder hoch. Was mir kürzlich mit dem Online-Bezahldienst ClickandBuy passiert ist, halte ich schon für berichtenswert. Auch wenn es wahrscheinlich keiner lesen wird.
ClickandBuy ist ein Online-Bezahldienst, ähnlich wie Paypal oder Giropay, der es registrierten Benutzern ermöglicht, gratis über das Internet Geld von A nach B zu bewegen. A ist in der Regel man selbst und B irgendeine (amerikanische) Webseite, die nur Kreditkarten und – als Zugeständnis an die wenigen Kunden, die ein System, das mit einer 3-stelligen Zahl „gesichert“ ist, nicht benutzen wollen – ClickandBuy unterstützt, beispielsweise der ITunes-Store von Apple. Obwohl ClickandBuy schon mehrfach in die Kritik geraten ist, führte für mich als Apple-Nutzer leider kein Weg an einer Registrierung vorbei und so meldete ich mich Anfang 2008 bei diesem Bezahldienst an. Als Mittel der Geldbewegung wählte ich das hierzulande gängige Lastschriftverfahren und machte sogar den Spaß mit der 1-Cent-Überweisung-zur-Kontobestätigung mit.
Es ging einige Zeit ins Lande, während der mein CaB-Konto ungenutzt vor sich hin dümpelte (laut der offiziellen FAQ soll man seinen Account ja nicht gleich kündigen, wenn man ihn nicht benutzt, sondern einfach offen lassen, wie man das so bei Konten macht…), bis ich ihn dann nach rund 1 Jahr wieder brauchte, um irgendeinen Quatsch im Internet zu bezahlen. Ungünstigerweise wusste ich zu diesem Zeitpunkt mein Passwort nicht mehr, und nach mehrmaliger Falscheingabe (ich habe viele Passwörter 😀 ) machte man mir den Account dicht. Passwort zuschicken ging auch nicht, ich hatte leider keine (sinnvolle) „Sicherheitsfrage“ hinterlegt, schade. So blieb mir als letzter Schritt nur die Kündigung, denn mit einem Account, auf den ich keinen Zugriff habe und der mit meinem Bankkonto verbunden ist, konnte ich nichts anfangen.
Eine Mail an den „freundlichen“ ClickandBuy-Service brachte mir 6 Tage später, am 18.01.2009, folgende Antwort:
Bezüglich Ihres Anliegens, Ihre Daten aus unserem System zu löschen, möchten wir Ihnen folgendes mitteilen:
Die Vertraulichkeit Ihrer Daten ist uns wichtig. Daher überwacht der Datenschutzbeauftragte der ClickandBuy regelmäßig sämtliche Systemabläufe. Nach einer Kündigung eines ClickandBuy-Kontos werden die persönlichen Kundendaten 6 Monate nach Erstellung der Abschlussrechnung vollständig aus unserem Datenbestand gelöscht.
Es ist aus Sicherheitsgründen notwendig, diese 6 Monatsfrist zu wahren, um bei eventuell auftretenden Rückfragen alle notwendigen Informationen zur Verfügung stellen zu können. Nach Ablauf dieser Frist werden alle personenbezogenen Daten unwiderruflich gelöscht.
(Hervorhebung von mir)
Aha. Meine Daten würden also noch bis ~August ’09 auf den CaB-Servern liegen und dann entgültig gelöscht werden. Prima.
Heute ergab sich nun wieder der Fall, dass ich im Netz etwas kaufen wollte, und als einzige nicht-Kreditkarten-Alternative ClickandBuy zur Auswahl stand. Ich registrierte mich also erneut und stieß dann, sehr zu meiner Überraschung, auf folgende Meldung: „Diese Zahlungsmethode, Bankkonto, ist bereits für ein anderes ClickandBuy Konto registriert. Bitte loggen Sie sich ein.“ Faszinierend! Meine Daten, die ja seit 5 Monaten gelöscht sein müssten, liegen also noch fröhlich auf den ClickandBuy-Servern, erfreuen sich bester Gesundheit und zwingen mich, bei erneuter „Registrierung“ meinen Account diesmal per Telefon freizuschalten. Prima. Also gleich mal eine Mail an den Support geschrieben, warum denn mein Account, den ich vor über 1 Jahr gekündigt habe, immer noch nicht gelöscht ist. Laut ClickandBuy-AGBs wird ja lediglich die Email-Adresse im System behalten, aus welchen Gründen auch immer.
Vom Support erhielt ich diesmal recht schnell eine der üblichen Textbaustein-Antworten, die allerdings ein sehr überraschendes Detail enthielt:
Nach der Kündigung Ihres ClickandBuy Kontos werden die Kundendaten 60 Monate nach Erstellung der Abschlussrechnung vollständig aus unserem Datenbestand gelöscht. […]
Sollten Sie sich innerhalb der 60-Monate-Frist erneut bei ClickandBuy registrieren, ist es erforderlich, dass Sie uns nach Abschluss des Registrierungsvorgangs benachrichtigen, damit wir Ihr neues ClickandBuy Konto manuell freischalten.
(Hervorhebung von mir)
5 Jahre??? Die haben meine Daten also überhaupt nicht gelöscht und behalten sie jetzt auch noch 5 weitere Jahre!? Ein Aufruf der ClickandBuy AGB, der Datenschutz-Infoseite und der FAQ brachten in der Hinsicht leider null Informationen zutage, es befindet sich nirgendwo auf der Seite ein Hinweis darauf, warum auf einmal aus 6 Monaten 5 Jahre geworden sind. Oder warum meine Daten immer noch in deren System liegen. Also rief ich den Support an.
Nach dem 3. Versuch gelangte ich dort endlich in die Warteschleife, wo ich schon nach rund 5 Minuten an einen Mitarbeiter mit türkischem Akzent durchgestellt wurde. Dieser rief meine alten Kundendaten auf (wie praktisch!) und predigte mir dann 10 Minuten lang etwas von Sicher, möglichen Betrugsfällen und Vertrauen vor. Ich schien ihn mit meinen Fragen recht sauer gemacht zu haben, jedenfalls ging ihm irgendwann die Geduld aus. Kern seiner Argumentation war, dass sich ClickandBuy auf britischem Gebiet befindet und daher auch nach britischem Gesetz handelt, welches sich im Oktober 2009, also rund 2 Monate nach meiner theoretischen Löschung, geändert hatte und wo die neuen Datenvorhaltungs-Fristen geregelt wurden. (übrigens sind schon in den Money Laundering Regulations von 2007 Datenhaltungsfristen von 5 Jahren vorgesehen, aber die galten wohl bis Oktober 2009 nicht für ClickandBuy) Am Ende des Gespräches stellte ich dem netten Service-Menschen noch die Frage, wo genau ich auf der ClickandBuy-Internetpräsenz mir diese Regelung ansehen könne… und erhielt keine Antwort. Er konnte es mir einfach nicht sagen. Stattdessen wich er meine Frage aus, indem er auf die Mail verwies, die er mir schicken würde, wo all das plus eine Mailadresse, an die ich Beschwerden richten könne, enthalten sein sollte. Vor wenigen Minuten kam diese Mail bei mir an. Die versprochenen Informationen? Fehlanzeige. Es gibt also offensichtlich weiterhin nirgendwo auf der ClickandBuy-Seite die Information, wie lange dort Kundendaten vorgehalten werden, noch werden (ehemalige) Kunden darüber informiert, wie lange man ihre Daten speichert.
Mein Fazit bei der Geschichte: lieber verzichte ich auf Produkte aus dem ITunes-Store, statt mich nochmal mit den Leuten von ClickandBuy rumschlagen zu müssen. Dadurch verschwinden meine Daten zwar auch nicht aus dem System – wer weiß, wie die Löschungsfristen in 5 Jahren aussehen… wahrscheinlich muss man dann Kundendaten auf Lebenszeit vorhalten – aber wenigstens kann auch niemand anders mein Bankkonto dort anmelden, ohne sich telefonisch, per Microüberweisung und mit dem Erraten einer 15-stelligen Geheimzahl zu aktivieren.
