Die Daten von bis zu 50 Millionen EC-Kartenbesitzern werden möglicherweise unzulässig gespeichert und ausgewertet. Der größte deutsche Betreiber eines EC-Kartennetzes, das Unternehmen Easycash, soll ohne rechtliche Grundlage einen großen Datenpool angelegt haben, berichtete der Norddeutsche Rundfunk (NDR). Die Easycash GmbH hat Verträge mit vielen Einzelhandelsunternehmen geschlossen. Wenn ein Kunde mit EC-Karte zahlt, speichert Easycash laut NDR nicht nur die Kontoverbindung und Kartennummer, sondern auch Angaben zu Betrag, Zeitpunkt und Ort der Transaktion. Ziel von Easycash sei es, aus den Daten auf die Zahlungsfähigkeit der Karteninhaber zu schließen. Es gehe darum, zu prognostizieren, ob ein bestimmter Betrag in kommender Zeit von dem Konto eingezogen werden kann.
Prognose über Zahlungsfähigkeit
Betroffen sind Kunden, die mit EC-Karte und Unterschrift bei Partnerunternehmen von Easycash mit Unterschrift bezahlen. Es handelt sich um das Lastschriftverfahren, das für den Handel billiger ist als das sogenannte Girocard-Verfahren, bei dem der Kunde eine Geheimzahl eingibt. Dabei wickelt die Bank die Zahlung selbst ab, nachdem sie überprüft hat, ob das Konto des Kunden gedeckt ist. Beim Lastschriftverfahren ist immer ein Dienstleister zwischengeschaltet, der die Terminals in den Läden aufstellt, den Kontakt zur Bank hält und die Zahlung abwickelt. Easycard hat im Jahr 2009 eine Milliarde Transaktionen abgewickelt.
Der EC-Netzbetreiber verwaltet 265.000 Terminals. Für die Einzelhändler ist das Lastschriftverfahren günstiger, aber auch risikoreicher, da sie kein Geld erhalten, wenn das Konto nicht gedeckt ist. Um dieses Risiko zu verringern, stellt Easycash laut NRD den Unternehmen eine Prognose über die Zahlungsfähigkeit des Kunden zur Verfügung. Bei Easycash versteht man die Aufregung nicht. Speicherung und Verarbeitung der Daten passierten auf der Grundlage des Bundesdatenschutzgesetzes, sagte ein Sprecher. Dieses verlange sogar, dass beim Lastschriftverfahren die Daten gespeichert werden, weil nur so die Möglichkeit gegeben sei, die Zahlung zu widerrufen. Im Einzelnen würden Kontonummer, Bankleitzahl, Kartennummer, Terminal-Nummer, Summe und Zeit gespeichert. Easycash weist darauf hin, dass keine personenbezogenen Daten wie Name und Adresse gespeichert würden; deshalb sei eine schriftliche Einwilligung der Kunden nicht notwendig.
Als Verstoß gegen das Datenschutzrecht kritisiert der Verbraucherzentrale Bundesverband die Praxis von EC-Netzbetreibern Kundendaten zu speichern. Der Verband fordert die Branche auf, die Verfahren den rechtlichen Vorgaben entsprechend zu gestalten. "Es geht hier um sensible Daten. Verbraucher müssen die Möglichkeit zum Widerspruch haben", sagt Vorstand Gerd Billen. Auch der Handel sei in der Pflicht, dafür Sorge zu tragen, dass sich ihre Dienstleister an das Gesetz halten. Die Datenschutzbehörden der Länder bezogen keine Stellung, da es sich um einen laufenden Abstimmungsprozess handle. Ein Sprecher aus Nordrhein-Westfalen sagte dem NDR aber, es gebe "noch einige offene Fragen".