Spaniens Datenschützer verhängen Rekordstrafe gegen Amadeus
Die spanische Datenschutzbehörde AEPD hat Amadeus mit 18 Millionen Euro Bußgeld belegt. Der Vorwurf: Der Reisetechnikkonzern habe personenbezogene Daten von Millionen Reisenden ohne gültige Rechtsgrundlage und ohne Information der Betroffenen für ein internes Pilotprojekt genutzt. Amadeus will dagegen vor Gericht ziehen.
Amadeus
Amadeus, hier die Unternehmenszentrale in Madrid, ist in Spanien mit einer Rekordstrafe belegt worden
Nach Angaben der spanischen Zeitung El Confidencial sieht die Behörde Verstöße gegen zwei zentrale Artikel der Datenschutz-Grundverordnung. Amadeus habe Daten aus seinem Reservierungssystem verwendet, um ein Pilotprojekt zu entwickeln. Ziel seien neue Produkte für Fluggesellschaften, Hotels und Reisebüros gewesen.
Das Projekt sollte detaillierte Profile von Reisenden erstellen. Grundlage waren unter anderem Flüge, Reiseziele, Reisehäufigkeit und Konsumgewohnheiten. In der Dokumentation der AEPD ist von "gerichteten und hyperpersonalisierten" Suchfunktionen die Rede, die auf einem "tiefen Verständnis des Endkunden" beruhen sollten.
Zwei Verstöße mit je neun Millionen Euro
Die Strafe setzt sich aus zwei Teilen zusammen. Neun Millionen Euro entfallen auf die fehlende Rechtsgrundlage für die Verarbeitung der Daten. Weitere neun Millionen Euro verhängte die Behörde, weil Nutzer nicht darüber informiert worden seien, dass ihre Daten Jahre später für andere Zwecke als die ursprüngliche Buchung verwendet werden könnten.
Das Pilotprojekt startete 2021 mit zwei Hotelketten, deren Namen in der Entscheidung geschwärzt sind. Während der Tests soll Amadeus Kundendaten der Hotels mit Passagierdaten abgeglichen haben, um vollständige Reisehistorien zu erstellen.
Anonyme Anzeige brachte Verfahren ins Rollen
Die Untersuchung begann laut der Tageszeitung nach einer anonymen Anzeige im Jahr 2023. Darin wurde vor der globalen Tragweite des Systems und möglichen Folgen für Milliarden Datensätze gewarnt, darunter auch Daten von Millionen Spaniern.
Amadeus stellte das Projekt später ein, nachdem intern Datenschutzrisiken erkannt worden waren. Die AEPD hält indes bereits die Entwicklung des Systems sanktionswürdig.
Amadeus widerspricht der Behörde
Amadeus erklärte, man widerspreche der Auslegung der AEPD "respektvoll" und werde versuchen, die Entscheidung vor Gericht anzufechten. Das Unternehmen beschreibt das Pilotprojekt als dreimonatige Initiative zur Erzeugung aggregierter statistischer Muster. Personenbezogene Daten seien nicht weitergegeben worden, betont das Unternehmen.
Kommentieren und folgen Sie Reise vor9 auf Linkedin