Verkauft der Kunde sein Fahrzeug, entf\u00e4llt die Gesch\u00e4ftsgrundlage und die Kundendaten m\u00fcssen gem\u00e4\u00df DSGVO aus dem System gel\u00f6scht werden.<\/li>\n<\/ul>\nDer erfahrene Blog-Leser ahnt es schon, von den Autoh\u00e4usern werden Digitalprozesse nicht durchdacht – ist ja alles modern – Hauptsache App. Und da gibt es dann schnell Kollateralsch\u00e4den, die den Leuten auf die F\u00fc\u00dfe fallen und manchen Fahrzeugbesitzer angepisst zur\u00fcckl\u00e4sst.<\/p>\n
Wenn der \"Kunde\" kein Kunde ist<\/h2>\n
Blog-Leser Sebastian G. hat mich am 3. Mai 2024 per E-Mail kontaktiert (danke daf\u00fcr), weil er in einen solchen \"Kollateralschaden\" gelaufen ist. Unter dem Betreff \"als treuer Leser ihres Blogs ist dies ggf. f\u00fcr Sie interessant<\/em>.\" teilte er mir mit, dass er zwar bis vor kurzem noch einen BMW als Fahrzeug hatte. Dieses BMW Stuttgart Leasing-Fahrzeug hat er aber wohl vor 2,5 Jahren abgesto\u00dfen.<\/p>\n![\"Informationen](\"https:\/\/i.postimg.cc\/3JS3WQ39\/BMW-Fleetback05.jpg\" "\\"Informationen")
\nBenachrichtigungsmail zum Werkstattbesuch<\/p>\n
Gem\u00e4\u00df seiner Aussage bekommt er trotzdem von der BMW Niederlassung Frankfurt – Filiale Offenbach ganz nette E-Mails – inzwischen schon zwei an der Zahl. Die Mail ist in obigem Screenshot abgebildet und informiert den Empf\u00e4nger \u00fcber seinen Werkstattbesuch. \u00dcber den Link Den Fahrzeugvorgang ansehen<\/em> sollen sich weitere Details einsehen und regeln lassen.<\/p>\n![\"Datenschutzhinweis](\"https:\/\/i.postimg.cc\/rFWDrpYg\/BMW-Fleetback04.jpg\" "\\"Datenschutzhinweis")
\nDatenschutzhinweis des Autohauses<\/p>\n
Beim ersten Besuch der betreffenden Webseite erf\u00e4hrt der Besucher, dass der H\u00e4ndler Wert auf Privatsph\u00e4re legt und bittet um Cookie-Zustimmung. So weit so gut. Danach f\u00fchrt einen der Link in der E-Mail zur Folgeseite mit weiteren Details.<\/p>\n
![\"Nachricht](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2024\/05\/image-2.png\" "\\"Nachricht")
\nNachricht an Fleetback-Kunden<\/p>\n
In den Mails wird ihm dann mitgeteilt (siehe obiger Screenshot, den ich anonymisiert habe), dass er einen Termin bei denen im Autohaus habe – tolle Sache, so eine Erinnerung, genau wie oben in der Werbung versprochen. Und gleichzeitig werden ihm noch \"zus\u00e4tzliche Arbeiten\" am oder rund um das Fahrzeug angeboten.<\/p>\n
![\"Fleetback-Arbeitsauftrag](\"https:\/\/i.postimg.cc\/0Q63yh2M\/BMW-Fleetback02.jpg\" "\\"Fleetback-Arbeitsauftrag")
\nFleetback-Arbeitsauftrag f\u00fcr Kunde<\/p>\n
In obigem Screenshot wird ein Sommer Spezial Paket 2024 angeboten und der Kunde k\u00f6nnte diese Auftrag best\u00e4tigen und terminieren. In der rechten Spalte der Seite werden noch die Fahrzeugdaten aufgelistet (habe ich anonymisiert). Also alles fein – BMW-H\u00e4ndler halt, die machen was. Der Vorgang hat leider einen \"kleinen Sch\u00f6nheitsfehler\", denn der Blog-Leser Sebastian G. schrieb mir dazu:<\/p>\n
Ich hatte zwar bis vor kurzem noch einen BMW, stand jedoch niemals mit der BMW Niederlassung in Frankfurt \/ Offenbach in Kontakt. Ebenso sind hier \u00fcber den Link (Fleetback ist die Terminplattform von BMW) fremde (Fahrzeug)-daten einsehbar.<\/p><\/blockquote>\n
Scheibenkleister, da wird ein Kunde vom Autohaus angesprochen, der \u00fcberhaupt kein Kunde ist. Inzwischen ist klar, es ist das ehemalig Leasing-Fahrzeug des Blog-Lesers , das er aber vor 2,5 Jahren abgegeben hat.<\/p>\n
Anhand der mir vorliegenden Informationen kann ich erkennen, dass ein g\u00e4nzlich anderer Kundenname zu diesem Fahrzeug durch die BMW Niederlassung in Frankfurt \/ Offenbach angesprochen werden soll. Hier gibt es dann zwei M\u00f6glichkeiten, die mir ad-hoc so einfallen:<\/p>\n
\n- Das Autohaus hat irgendwelche Stammdatens\u00e4tze von BMW \u00fcber K\u00e4ufer erhalten, die angeblich im Bestand sind und kontaktiert jetzt diese \"Kunden\".<\/li>\n
- Oder durch den Verkauf des Fahrzeugs ist der neue Besitzer Kunde der BMW Niederlassung in Frankfurt \/ Offenbach und nutzt Fleetback. Aber irgend jemand hat die betreffenden Datens\u00e4tze nicht sauber eingepflegt und dem Kunden ist eine falsche Kontaktadresse f\u00fcr E-Mails zugeordnet.<\/li>\n<\/ul>\n
Inzwischen ist klar, dass wohl das obige zweite Szenario zutrifft – das Autohaus hat den neuen K\u00e4ufer des BMW in sein Fleetback-System eingepflegt, ohne die alten Daten des Vorbesitzers sauber zu entfernen. Der Leser hat den Vorgang wohl bei drei Mitarbeitern des Autohauses reklamiert und es hie\u00df \"ist Einzelfall und Fehler des Bearbeiters\".<\/p>\n
Wie fast 2,5 Jahre nach dem Fahrzeugverkauf jedoch so ein \"Datensalat\" entstehen konnte \u2013 das konnte dem Blog-Leser niemand so recht beantworten. Vor allem ist in den Stammdaten ja eine Mischung aus den Daten des neuen Besitzers und der eMail-Adresse des Blog-Lesers abgelegt. In den eMails an den Blog-Leser war die Ansprache ja auf den\u00a0 Namen des neuen Besitzer verfasst. Warum dort auch noch die vollen Kontaktdaten\u00a0 des Blog-Lesers hinterlegt sind \u2013 blieb unklar.<\/p>\n
Der Leser schrieb mir noch: \"Ich hatte das Fahrzeug damals bei BMW Stuttgart im Leasing. Das m\u00fcsste seinerzeit meines Wissens nach eine direkt von BMW betriebene Filiale gewesen sein. Vermutlich ist Frankfurt\/Offenbach dies auch, so k\u00f6nnte ggf. die Verkn\u00fcpfung der Daten \u00fcber die Filialen zustande gekommen sein.<\/p>\n
Egal, wie man das dreht und wendet, es liegt erstens eine DSGVO-Verletzung vor, da in der Fleetback-Benachrichtigung Daten eines fremden Fahrzeugs samt Kundenname angezeigt werden. Die Fahrzeugdaten des Blog-Lesers h\u00e4tten sp\u00e4testens nach dessen Verkauf aus dem System gel\u00f6scht werden m\u00fcssen.<\/p>\n
Und zweitens k\u00f6nnte der Empf\u00e4nger anhand der Fleetback-Kundendienst-Benachrichtigung jederzeit Arbeitsauftr\u00e4ge f\u00fcr das fremde Fahrzeug best\u00e4tigen. Das ist der absolute GAU und geht gar nicht, bzw. zeigt, wie wackelig unsere Digitalprozesse im Grunde sind.<\/p>\n
Ich habe mir die Daten aus einer Benachrichtigung mal genauer angesehen. Aus der E-Mail-Adresse des Blog-Lesers und dessen Name, der mir bekannt ist, sowie dem Namen des von der BMW Niederlassung in Frankfurt \/ Offenbach angesprochenen Kunden ist f\u00fcr mich auch klar ersichtlich, dass es nicht \"einfach ein Tippfehler\" in der E-Mail-Adresse zur Benachrichtigung handeln kann. Wenn Herr Bauer eine E-Mail an seine Adresse hubert[at]diebauers.de<\/em> bekommt, die f\u00fcr willi[at]diemeiers.de<\/em> bestimmt ist, wird die Argumentation \"da muss ich mich beim Eingeben wohl vertippt haben\" etwas schwierig.<\/p>\nDer Leser meint dazu: \"Fehler, auch wenn diese manuell erfolgen, passieren. Aber dennoch sollten Firmen hier sehr sehr penibel darauf achten, dass solche Fehler nicht passieren.\" Aktuell pr\u00fcfe ich mit dem Leser eine DSGVO-Meldung beim Landesdatenschutzbeauftragten von Hessen einzureichen, damit der betreffende Fall gekl\u00e4rt wird. Verantwortlich ist das betreffende Autohaus – der Fall zeigt, in welche Datenschutzprobleme die Leute fr\u00fcher oder sp\u00e4ter laufen. An die Leserschaft die Frage: Sind euch diesbez\u00fcglich eigentlich \u00e4hnlich gelagerte F\u00e4lle bekannt?<\/p>\n
\u00c4hnliche Artikel:<\/strong>
\nDatensammlung bei Tesla-Fahrzeugen<\/a>
\nModerne (Tesla-)Fahrzeuge als (un-)heimliche Datensammler<\/a>
\nConnected Car-Schwachstellen und PKW-Datensammelwut<\/a>
\nConnected Cars: Risiko f\u00fcr Land Rover-Gebrauchtwagenk\u00e4ufer<\/a>
\nSoftware: Unser Grab als PKW-Besitzer der Zukunft?<\/a>
\nZum Nachdenken: Softwaresicherheit in modernen Autos<\/a>
\nLog4j in Embedded-Ger\u00e4ten (Connected Cars, Ladestationen etc.)<\/a>
\nConnected Cars anf\u00e4llig f\u00fcr Cyberangriffe<\/a>
\nAngriffsvektoren bei Connected Cars<\/a>
\nConnected-Car: \u00dcberwachung seit 15 Jahren gang und g\u00e4be<\/a>
\nAutohersteller w\u00e4hlen Microsoft als Connected Car Partner \u2026<\/a>
\nDatenschutz-GAU neues Auto \u2013 Mozilla untersucht Situation in den USA, folgt Europa?<\/a>
\nFail: Toyota erm\u00f6glicht den Remote-Start seiner vernetzten PKWs nur mit Monats-Abo<\/a>
\nPKW-Sicherheit: Kia-Challenge und Hyundai-Key im Web<\/a>
\nFail: Toyota erm\u00f6glicht den Remote-Start seiner vernetzten PKWs nur mit Monats-Abo<\/a>
\nMercedes: Beschleunigungsfunktion f\u00fcr EQ-Modelle nur mit 1200 $-Jahresabo<\/a>
\nSchwachstellen in MiCODUS GPS-Tracker MV720 erm\u00f6glichen Fahrzeuge zu \u00fcberwachen und zu stoppen<\/a>
\nSicherheitsvorfall: Mercedes OLU-Software abgreifbar<\/a>
\n60 Jahre Software-Entwicklung: Ein Alptraum, der mit grottiger Qualit\u00e4t und im Chaos endet<\/a>
\nCrowd-Recherche: \"Datenspende\", was wissen PKW-Hersteller \u00fcber Kunden?<\/a>
\nTesla-Files: Datenleck zeigt die Probleme des Autobauers mit seinem Autopilot und der Sicherheit<\/a>
\nSicherheitsl\u00fccken in Connected Cars erm\u00f6glichen Remote Zugriff bei Honda, Nissan, Infiniti, Acura etc.<\/a>
\nBMW und die Ladeschale als \"iPhone 15-Killer\"?<\/a>
\nBMW kickt Abonnement f\u00fcr Sitzheizung<\/a>
\nAutomobile IT-Fehlentwicklungen: Touchbedienung als Risiko; Datenerfassung als Falle f\u00fcr Besitzer<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Auch in Autoh\u00e4usern wird inzwischen auf Teufel komm raus digitalisiert. Bei BMW gibt es einen Terminservice Namens Fleetback, der von Autoh\u00e4usern f\u00fcr die Kundenansprache genutzt wird. Tolle Sache, wenn die Leute das Prozedere im Griff haben und sich nicht mit … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[451,2011,4328],"class_list":["post-295028","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-datenschutz","tag-pkw","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/295028","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=295028"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/295028\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=295028"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=295028"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=295028"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
![\"BMW\"](\"https:\/\/i.postimg.cc\/HxGmxFQk\/image.png\" "\\"BMW\\"")
Auch in Autoh\u00e4usern wird inzwischen auf Teufel komm raus digitalisiert. Bei BMW gibt es einen Terminservice Namens Fleetback, der von Autoh\u00e4usern f\u00fcr die Kundenansprache genutzt wird. Tolle Sache, wenn die Leute das Prozedere im Griff haben und sich nicht mit der DSGVO verheddern. Ein Blog-Leser hat mich die Tage per Mail kontaktiert, weil er von einer BMW-Niederlassung in Frankfurt \/ Offenbach Fleetback-Benachrichtigungen bekommt. Er ist aber weder Kunde dieser BMW-Niederlassung noch kennt er dieses Fahrzeug. Hier ein Blog-Beitrag \u00fcber die T\u00fccken der Technik in diesem Bereich.<\/p>\n![](\"https:\/\/i.postimg.cc\/N07mNXZd\/image.png\")
<\/a>