Datenschutzvorfall bei Erotikshop Amorelie (Dez. 2021)

[English]Weihnachten wird dir warm ums Herz – mir ist das Teil gerade in die Hose gerutscht. Der Erotikversandhändler Amorelie hat gerade seine Kundschaft über einen Datenschutzvorfall informiert. Die Kundendaten von Bestellungen aus sieben Jahren waren von März bis November 2021 für unbefugte Dritte durch eine Sicherheitslücke einsehbar. Missbrauch habe es angeblich keinen gegeben. Hier einige Informationen zum Sachstand. Ergänzung: Zudem gab es Abmahnungen der Verbraucherschützer gegen sechs Erotikfirmen, wegen deren Erotik-Adventskalender.

Der Datenschutzvorfall

Das Medium Venus Adult News informiert in diesem Artikel über ein Datenleck bei Amorelie. Auch die Kollegen von Golem haben das Thema in nachfolgendem Tweet aufgegriffen.

Am 22. November 2021 ist der Händler über eine Sicherheitslücke in seinem IT-System informiert worden. Vom 5. März 2021 bis zum 22. November 2021 konnten Unbefugte über eine Schwachstelle auf Daten von Kundinnen und Kunden zugreifen. Der Vorgang betraf Bestelldaten (Namen, Adressen, E-Mail-Adressen, gekauftes Produkt, Bezahlart), nicht aber Bank- und Kreditkartendaten, aus dem Zeitraum 2013 bis zum Mai 2020. Der Vorfall wurden der zuständigen Datenschutzaufsicht gemeldet, ein Missbrauch der Schwachstelle ist bisher nicht bekannt. Die Sicherheitslücke ist inzwischen geschlossen.

Betroffene Kunden und Kundinnen sollten von dem Onlineversender eine entsprechende Informationen zum Sicherheitsvorfall erhalten haben. In der Nachricht heißt es:

Liebe*r AMORELIE Lover,

wir hoffen, dass es Dir und Deinen Liebsten in dieser für uns alle nach wie vor ungewöhnlichen und schwierigen Zeit gut geht. Wir bei AMORELIE tun dabei alles, unsere Kund*innen weiter mit unseren Produkten zu beliefern, um etwas Abwechslung vom Alltag zu ermöglichen.

Ein hohes Maß an Transparenz gegenüber Kund*innen ist auch hier sehr wichtig für uns. Wir informieren Dich daher über eine IT-Sicherheitslücke, von der wir am 22. November 2021 Kenntnis erhalten haben, und die wir umgehend geschlossen haben.

Was ist passiert?

Wir möchten eines vorwegnehmen: Derzeit besteht für Dich kein Anlass zur Sorge, bislang gibt es keinerlei Anhaltspunkte für einen möglichen Datenmissbrauch.
Am Montag, den 22. November 2021, erfuhren wir von einer IT-Sicherheitslücke durch die unberechtigte Zugriffe auf Daten möglich gewesen wären. Diese Schwachstelle konnten wir wenige Minuten, nachdem wir Kenntnis davon hatten, schließen. Wir haben den Vorfall unverzüglich der zuständigen Datenschutzbehörde gemeldet.
Der Vorgang betraf Bestelldaten (Namen, Adressen, E-Mail-Adressen, gekauftes Produkt, Bezahlart) von Kund*innen sowie Adressdaten (Namen und E-Mail Adressen) von registrierten Nutzer*innen von 2013 bis Mai 2020. Bank- und Kreditkartendaten waren nicht betroffen. Ein unrechtmäßiger Zugriff auf diese Daten kann zum jetzigen Zeitpunkt zwar noch nicht vollständig ausgeschlossen werden, derzeit gibt es aber keinerlei Anhaltspunkte für einen möglichen missbräuchlichen Zugriff. Seit der Schließung der IT-Sicherheitslücke ist ein unbefugter Abruf der Daten selbstverständlich nicht mehr möglich. Unsere IT-Expert*innen arbeiten weiter mit Hochdruck und mit Unterstützung einer externen IT-Beratung an der Aufklärung des Vorgangs.

Was solltest Du tun?

Da wir einen unrechtmäßigen Zugriff auf die Daten bislang noch nicht vollständig ausschließen können, bitten wir Dich, ungewöhnliche Vorkommnisse, die auf eine missbräuchliche Verwendung Deiner Daten hindeuten, aufmerksam zu beobachten und uns zu informieren.

Was tut AMORELIE, um Deine Daten effektiv zu schützen?

Die Sicherheit Deiner Daten hat für uns höchste Priorität, wir nehmen diesen Vorfall sehr ernst. Wir arbeiten bei der umfassenden Klärung eng mit der zuständigen Datenschutzbehörde und einer externen IT-Beratung zusammen. Sollte sich herausstellen, dass auf die Daten missbräuchlich zugegriffen wurde, werden wir zusammen mit den Behörden alles tun, um weiteren möglichen Missbrauch zu unterbinden.
Wir versichern Dir, dass wir alle möglichen Sicherheitsmaßnahmen ergreifen, um Deine Daten effektiv zu schützen. Dies gilt sowohl für die regelmäßige Überprüfung und weitere Verbesserung unserer Prozesse und Sicherheitsstandards als natürlich auch für die weitere ständige Schulung unserer Mitarbeiter*innen.

Du hast weitere Fragen?

Wir sind für Dich da. Solltest Du weitere Fragen zu diesem Vorfall haben, kannst Du Dich jederzeit über unser Kontaktformular an uns wenden.

Wir bedauern den Vorfall sehr und versichern Dir, dass die Sicherheit Deiner Daten bei uns weiterhin an oberster Stelle steht. Darüber hinaus hoffen wir natürlich, dass Du der AMORELIE Lover Community erhalten bleibst und Dir unsere Produkte & Inhalte weiterhin gefallen!

Ganz viel Liebe – Dein AMORELIE Team

Abmahnung gegen Erotikanbieter

Noch ein kleiner Nachtrag – bei Recherchen für obigen Text hatte ich kurz gesehen, dass der Anbieter einen Erotik-Adventskalender online gestellt hat. Da kommt eine Meldung des Bundesverbands der Verbraucherschutzzentralen gerade recht. Der vzbv hat gerade Anbieter von Erotik-Adventskalendern abmahnt und wirft diesen Verstöße gegen EU-Informationspflichten bei Sexspielzeugen vor. In einer Mitteilung heißt es, dass der Verbraucherzentrale Bundesverband (vzbv) sechs Online-Anbieter von Erotik-Adventskalendern wegen teils massiver Verstöße gegen Kennzeichnungs- und Informationspflichten abgemahnt habe.

Bei mehr als zwei Dutzend Sexspielzeug-Artikeln entdeckte der vzbv Rechtsverstöße. Die abgemahnten Anbieter informieren entweder gar nicht oder unzureichend über ihre Produkte und deren sachgemäße Anwendung. Häufig fehlen Gebrauchsanleitungen und wichtige Sicherheitshinweise. Die Materialien oder Zutaten bleiben oft unbekannt.

„Falsch angewendet können Fesseln, Mundknebel, Nippelklemmen oder Prostatavibratoren mit Fernbedienung für erhebliche Verletzungen sorgen. Enthalten die Sextoys Materialien und Zutaten, die Allergien auslösen können, muss dies unbedingt vorher erkennbar sein", sagt Kerstin Hoppe, Rechtsreferentin beim vzbv. „Safer Sex im Sinne der Verbraucherinnen und Verbraucher bedeutet, dass Anbieter bestehende Informations- und Kennzeichnungspflichten einhalten."

EU-Verordnungen schreiben Pflichtinformationen vor

Die für 100 bis 200 Euro angebotenen Adventskalender enthalten hinter den Türen eine Mischung aus Sexspielzeugen, Kosmetikartikeln, Medizinprodukten, Textilien und Lebensmitteln. Je nach Produktart gelten dafür in der EU unterschiedliche Kennzeichnungs- und Informationspflichten. Bei Textilien muss zum Beispiel die Faserzusammensetzung etikettiert sein. Lebensmittel-Verpackungen müssen eine Zutatenliste und Hinweise auf Allergene enthalten. Bei Medizinprodukten sind unter anderem Name und Anschrift des Herstellers, CE-Kennzeichen, Herstellungsdatum und Ablaufdatum anzugeben.

Nach dem Produktsicherheitsgesetz sind auch verständliche Gebrauchs- und Bedienungsanleitungen in deutscher Sprache verpflichtend. Sie sollen die sichere Anwendung der Produkte gewährleisten und Verbraucher:innen vor möglichen Gefahren schützen.

vzbv beanstandet zahlreiche Rechtsverstöße

Die Kalender wurden oft ohne Gebrauchsanleitung und Sicherheitshinweise für die enthaltenen Artikel ausgeliefert. Wenn es überhaupt Anleitungen gab, waren sie oft unzureichend oder nur in Englisch verfügbar. Die Unternehmen lassen ihre Kunden häufig im Unklaren darüber, aus welchen Materialien die Produkte bestehen. Bei Lebensmitteln fehlen Angaben zu Zutaten und Allergenen, bei Kosmetikartikeln, Gleitmitteln und anderen Medizinprodukten Angaben zur Haltbarkeit. Auf Textilien sind die vorgeschriebenen Etiketten nicht vorhanden oder unleserlich. Bei einem „veganen Toy Cleaner" – ein Produkt zur Desinfektion von Sexspielzeugen – fehlen Angaben zu den Wirkstoffen und ihrer Konzentration sowie zur Entsorgung.

vzbv fordert Unterlassungserklärung

Der vzbv sieht darin eine gravierende Verletzung von Verbraucherschutzvorschriften. Der Verband hat die sechs Anbieter aufgefordert, die Kalender nicht mehr ohne die vorgeschriebenen Produktinformationen zu vertreiben. Geben die Unternehmen die geforderte Unterlassungserklärung nicht ab, droht ihnen eine Klage.

Jetzt bin ich etwas konsterniert – wir sind doch im Advent, die Zeit der (Be-)Sinnlichkeit. Und dann so etwas …