Datenleck bei brand on fire (diverse GZG und Gewinnspiele betrofffen)

brand on fire hat uns die folgenden Informationen zukommen lassen, die ich hier einfach mal unkommentiert bzw. im Originalwortlaut weitergeben möchte, da die betroffenen Aktionen im Gegensatz zur Gustavo-Gusto-Aktion in keinerlei Zusammenhang mit uns stehen und wir daher auch darüber hinaus keinerlei Aussagen treffen können (alle Aussagen ab hier stellen ausschließlich den aktuellen (Wissens-)Stand dar):

>> Alle Verstöße sind bei den Behörden sachgemäß und innerhalb der Frist gemeldet worden.
>> brand on fire hat umfangreiche Maßnahmen eingeleitet, um den Fehler nicht wieder vorkommen zu lassen und bedauert den Vorfall zutiefst.
>> Alle Betroffenen werden am 11. Juli 2023 per E-Mail informiert.
>> Betroffen sind ausschließlich die Marken TULIP, Elisabethen Quelle und Lavazza.
>> Weitere genannte Marken wie Chocomel sind nicht betroffen, da die entsprechenden Ordner auf dem Backup-Server leer waren.
>> Entgegen der Mutmaßung von mehr als 60.000 Fällen, handelt es sich um 41.791 betroffene Personen. Der Rest erklärt sich durch Mehrfachteilnahmen.
>> Bei Lavazza ist ausschließlich eine Liste E-Mail-Adressen betroffen gewesen, bei TULIP und Elisabethen Quelle die Teilnahmedaten der Personen.
>> Eine Verbindung zwischen den Kassenbon-Fotos und den personenbezogenen Daten besteht nicht. Die Bilder waren nicht zuzuordnen.
>> Bei 40.436 Personen können wir nach jetzigem Kenntnisstand davon ausgehen, dass die Daten zwar abrufbar gewesen wären, sie jedoch abgesehen von der Person, die den Fehler gemeldet hat, von niemandem geöffnet oder heruntergeladen wurden. Das ist in den Log-Files nachvollziehbar und betrifft die laufende TULIP Gratis Testen-Aktion, sowie komplett alle Daten von Lavazza und der Elisabethen Quelle.
>> Die Daten von 1.355 Personen aus der TULIP Gratis Testen-Aktion waren max. vier unberechtigten Zugriffen ausgesetzt, wobei es sich hierbei nach jetzigem Kenntnisstand ausschließlich um Zugriffe rund um die Aufdeckung des Fehlers handelt.
>> Es gibt bisher keine Anzeichen dafür, dass Daten unberechtigt Heruntergeladen oder an Dritte Weitergegeben wurden. Nach aktuellem Wissensstand haben nur Personen die Daten geöffnet, die dies zum Zwecke der Aufdeckung / Meldung des jeweiligen Fehlers getan haben.
>> Die Personen, die dankenswerter Weise per E-Mail die Fehler gemeldet haben, wurden schriftlich darauf hingewiesen, dass sie die Daten löschen müssen

(bearbeitet)

Bei Kleinfee.com kann man sich jetzt registrieren. Der Fall ist eröffnet:
kleinfee.com/tul…ck/

Einfach mal danke sagen:

Danke lieber @SSnake95 danke lieber @markusp12 für das Aufdecken und euren Einsatz!

Danke lieber @ken für das Erstellen der Diskussion und das Kümmern bei den Agenturen

Ohne euch wäre ich aufgeschmissen.

Daher von Herzen Danke ❤️ (bearbeitet)

Die Hamburgische Datenschutzbehörde hat sich wegen des Tulip-Lecks bei mir mit weiteren Detailfragen gemeldet, die ich soeben beantwortet habe (wann entdeckt / wann informiert etc.). Also die sind da auch bereits dran. (bearbeitet)

kann mir jemand weiterhelfen was der untere Punkt bei kleinfee bedeutet?


(optional) Ich beauftrage die kedapro GmbH damit, als Bote die hier hinterlegte Informationsanfrage an alle oben genannten, als haftende Verantwortliche oder Auftragsverarbeiter in Betracht kommenden Adressaten zu übermitteln, wobei der Erklärung meine gegenüber dem oder den Vertragspartnern offenbarten Informationen an den entsprechenden Platzhaltern einzufügen sind. Wir verpflichten uns, die durch den Gegner an uns übermittelten Daten und Informationen strikt vertraulich zu behandeln und nur zum Zweck der Anspruchsdurchsetzung zu verarbeiten.

Hat eigentlich schon jemand was von Kleinfee gehört? Außer der Bestätigung zum Eingang habe ich nichts bekommen. Auf meine Nachfrage kam bisher auch keine Antwort.

Gibt's eine Übersicht mit allen betroffenen Aktionen/Produkten?
(mindestens) betroffen: Tulip, Chocomel, Gustavo Gusto, Lavazza und Elisabethen Quelle, doch es hieß ja auch es seien eigentlich ALLE Aktionen mit diesem Dienstleister betroffen.

Und da geht's ja leider um die vollen Datensätze:

"Jetzt habe ich erneut ein Datenleck gefunden, bei dem scheinbar ALLE von euch angegebenen Daten abrufbar waren. Etwa 63.000 Datensätze mit:
- Vorname
- Nachname
- Geburtsdatum
- IBAN
- E-Mail-Adresse
- IP-Adresse
- Foto des Kassenbons"

Info: mydealz wird mal wieder im Spiegel zitiert:
spiegel.de/net…826

Die pfuschen munter weiter. Die aktuelle Tulip-Aktion mydealz.de/dea…055 wurde ja vorzeitig beendet. Seit dem 12.07.2023 ist auf Aktionsseite keine Teilnahme mehr möglich. Stattdessen ein Hinweis mit alternativer Kontaktmöglichkeit per E-Mail. Nur hat sich diese zwischenzeitlich geändert:

12.07.2023
@tulip-aktion.de

14.07.2023
@tulipaktion.de

Ich habe meine Daten am 12.07. hingeschickt. Keine Reaktion. Heute noch einmal an die geänderte Adresse und immerhin einen autoreply erhalten. Ich möchte nicht wissen, wie viele andere ihre Daten ab dem 12. ebenfalls ins Nirvana geschickt haben. (bearbeitet)

Die Aktion aus 2023 betreffend, zur besseren Lesbarkeit ohne das HTML-Gedöns:

Liebe*r Max Mustermann,

Wir kommen zurück auf unsere letzte E-Mail und möchten Dir zunächst erneut unsere aufrichtige Entschuldigung aussprechen. Dein Vertrauen in unser Unternehmen ist uns äußerst wichtig und wir möchten daher weiter angemessen reagieren.

Wir verstehen, dass Du die Entwicklungen aufmerksam verfolgst und möchten Dir daher gerne weitere Informationen und Hintergründe mitteilen.

Wie wir Dir bereits mitgeteilt haben, ist uns am 7. Juli 2023 bekannt geworden, dass Deine persönlichen Daten aus der ‑ Gratis Testen Aktion 2023 auf einem Backup-Server von unserem Dienstleister nicht ausreichend gesichert waren.

Davon betroffen waren: Vorname, Nachname, IBAN, Geburtsdatum, E-Mail-Adresse, IP-Adresse und das Foto Deines Kassenbons.

Ausweislich der uns zur Verfügung stehenden Server-Protokolle wurde auf das betroffene Verzeichnis nur einmal unbefugt, und zwar am 6. Juli 2023 zugegriffen.

Wir haben keine Anhaltspunkte dafür, dass Deine Daten missbräuchlich verwendet werden. Die Sicherheit des Backup-Servers wurde sofort wiederhergestellt. Zudem stehen wir im engen Austausch mit den zuständigen Aufsichtsbehörden.

Dennoch möchten wir Dir proaktiv, wenn Du Interesse daran hast, kostenlos einen 12-monatigen Zugang zum "https://www.bonify.de/identitaetsdiebstahl-bonify-identprotect-rundum-schutz-persoenliche-daten"
Bonify Identitätsschutz anbieten.

Bonify monitort Deine persönlichen Daten im Internet, in sozialen Netzwerken, im Darknet und in öffentlichen Datenbanken, um einen möglichen Diebstahl, Verlust oder die Offenlegung Deiner Daten sofort zu erkennen. Wenn Deine Daten gefunden werden, wirst Du sofort benachrichtigt und erhältst einen Hinweis auf die nächsten Schritte. Wenn Du diesen Service in Anspruch nehmen willst, setze Dich mit uns unter der E-Mail-Adresse Dein.Team@Tulip.de in Verbindung.

Falls Du Dich bereits mit einer speziellen Anfrage bei uns gemeldet hast, werden wir schnellstmöglich gesondert auf Dich zukommen.

Wir bedanken uns für Dein Verständnis und verbleiben mit herzlichen Grüßen

Dein TULIP Team
Danish Crown Foods Germany GmbH
Christoph-Probst-Weg 26, D-20251 Hamburg
T +49 40 5543 6030
Handelsregister Hamburg HRB 125755
Geschäftsführer: Christian Daub, John Faurholdt Jensen, Thorsten Pollet (bearbeitet)

Hat hier jemand Erfahrungswerte mit Kleinfee wie lange sowas dauert bzw. bis man überhaupt mal was hört in Richtung eines Updates?

Also Tulip bzw. Danish Crown Foods hat bisher auf meine E-Mail bzgl. des Datenlecks nicht reagiert.
Kann nicht schaden, wenn weitere Leute mal dort per E-Mail melden (gdpr@danishcrown.com) und Auskunft darüber fordern, ob sie betroffen sind oder nicht. Man sollte da ein wenig Druck aufbauen. Immerhin ist Danish Crown Foods Veranstalter der Aktion und kann sich nicht einfach durch Nichtbeantwortung aus der Affäre ziehen.

Also feuert aus allen Rohren! (bearbeitet)

Wer gibt bei solchen Dingen denn die richtigen Daten an

Von TULIP (kontakt@tulipaktion.de) kommt aktuell 12.07.2023 17:22 eine Mail wegen einer weiteren / älteren Tulip-Aktion („Gratis Testen Aktion X-Mas 2022“) - das sollte hier bei mydealz mydealz.de/dea…916 sein:

"Liebe*r Teilnehmer*in,

wir müssen Dich heute leider informieren, dass dem von uns mit der technischen Abwicklung beauftragte Dienstleister bei der Sicherung der Daten der „Gratis Testen Aktion X-Mas 2022“ ein gravierender Fehler unterlaufen ist:

Deine personenbezogenen Daten wie

Vor und Nachname
Geburtsdatum
IBAN
E-Mail Adresse
IP.Adresse

wurden außerhalb der Abwicklungssoftware auf einem Backup-Server zum Schutz gegen Datenverlust zusätzlich abgespeichert und dieser Backup-Server war, wie sich am 07.07.2023 herausgestellt hat, nicht ausreichend abgesichert. So standen Deine Daten seit Januar theoretisch ungeschützt im Internet. Nach dem aktuellen Stand der Ermittlungen haben am Tag des Bekanntwerdens vier unberechtigte Zugriffe auf diesen Server stattgefunden. Das Datenleck wurde sofort nach Bekanntwerden geschlossen und die Datenpanne auch bereits der Aufsichtsbehörde gemeldet. Für die Nachlässigkeit in der Absicherung des Backups und das menschliche Versagen bitten wir vielmals um Entschuldigung. Auch wenn wir nach jetziger Sachkenntnis davon ausgehen, dass die Daten nicht Heruntergeladen wurden und kein Schaden entstanden ist, bitten wir Dich trotzdem sicherheitshalber in der Zukunft auf etwaig unberechtigte Lastschriftverfahren zu achten. Diese können theoretisch mit fremden Bankdaten eingerichtet werden, allerdings hat man immer auch ein Jahr Zeit ein unberechtigtes Lastschriftverfahren zu widerrufen.

Bei Fragen kannst Du uns dazu gerne unter dieser E-Mail-Adresse erreichen.

Herzliche Grüße

Dein TULIP-Team"

Bei mir haben sie (Tulip) sich auch gemeldet:

Hallo xx*xx

vielen Dank für deine E-Mail. In erster Linie möchten wir uns aufrichtig für die entstandenen Probleme entschuldigen. Du wirst im Laufe des Tages eine Infomail bzgl. der Datenschutzverletzung erhalten, in der wir erklären was passiert ist und an wen du dich wenden kannst, wenn weitere Fragen auftauchen.

Viele Grüße

Kind regards, (bearbeitet)

Kann man denn jetzt mal grob in die Runde fragen, wer hat denn vor seinen Anspruch über Kleinfee geltend zu machen?
Ich hatte so eine Situation noch nie, würde gerne mal wissen wie die Mehrheit/Community sich entscheidet/was Sie tut, um mich etwas zu orientieren.

Könnte mir ggfs. jemand (auf die schnelle) erklären, wer oder was "Kleinfee" ist und was es mit dem "12-monatigen Zugang zum Bonify Identitätsschutz" auf sich hat, den Tulip anbietet? Ist das seriös? Sollte man das machen?

Bei mir gehts in erster Linie um die Teilnahme meiner Mutter. Ich habe zwar glaube ich auch teilgenommen, habe die Warn-Mails aber nie bekommen und habe mein Konto und meine Mailfächer eh jeden Tag im Auge, meine Mutter aber nicht.
Einerseits möchte ich zwar natürlich nicht, dass ihre Daten irgendwo im Umlauf sind, wo sie nicht hingehören, andererseits möchte ich sie aber auch nicht weiter beunruhigen, wenn ich a) weitere Angaben oder Zustimmung von ihr brauche oder b) von den eingangs erwähnten Firmen Mails in ihr Postfach eingehen (ich muss ja wsl die Mailadresse angeben, mit der sie an der Aktion teilgenommen hat). Sie selbst schaut zwar auch nie ins Mailfach, sondern mein Vater, aber auch da möchte ich vermeiden, dass komische Fragen kommen (und nicht immer gelingt es mir, ihre Cashback-Mails zu lesen, bevor sie jemand anderes gesehen hat).

Und wie hol ich da jetzt Geld raus?

Der Spaß mit brand on fire geht weiter:
E-Mail von "Dein Tulip Team Deutschland <dein.team@tulip.de>" 21.01.2023 16:1X
langer, kryptischer Betreff - sinngemäß: "=?utf-ACAB1312ACAB1312ACAB1312==?utf-ACAB1312ACAB1312ACAB1312==?utf-ACAB1312ACAB1312ACAB1312==?="

"< <span style='font-size:10.0pt;mso-bidi-font-size:10.0pt;font-family:"Arial",sans-serif;mso-bidi-theme-font:minor-bidi'> Liebe*r [HIER STAND MEIN NAME],<br/> <o:p></o:p> </span> </p> <p style='margin-top:12.0pt'> Wir kommen zurück auf unsere letzte E-Mail und möchten Dir zunächst erneut unsere aufrichtige Entschuldigung aussprechen. Dein Vertrauen in unser Unternehmen ist uns äußerst wichtig und wir möchten daher weiter angemessen reagieren. <br> <br> Wir verstehen, dass Du die Entwicklungen aufmerksam verfolgst und möchten Dir daher gerne weitere Informationen und Hintergründe mitteilen. <br> <br> Wie wir Dir bereits mitgeteilt haben, ist uns am 7. Juli 2023 bekannt geworden, dass Deine persönlichen Daten aus der Gratis Testen X-Mas Aktion 2022 auf einem Backup-Server von unserem Dienstleister nicht ausreichend gesichert waren. Davon betroffen waren: Vorname, Nachname und IBAN. Ausweislich der uns zur Verfügung stehenden Server-Protokolle wurde auf das betroffene Verzeichnis insgesamt fünf Mal unbefugt zugegriffen. Bei mindestens einem der Zugriffe handelte es sich um den Zugriff durch die Person, die den Sachverhalt aufgedeckt und uns hiervon unterrichtet hat. Die meldende Person wurde kontaktiert und darauf hingewiesen, dass sie zur Löschung der Daten verpflichtet ist. Sie hat schriftlich bestätigt, dass sie die Daten gelöscht hat. Wir haben keine Anhaltspunkte dafür, dass Deine Daten missbräuchlich verwendet werden. Die Sicherheit des Backup-Servers wurde sofort wiederhergestellt. Zudem stehen wir im engen Austausch mit den zuständigen Aufsichtsbehörden. <br> <br> Dennoch möchten wir Dir proaktiv, wenn Du Interesse daran hast, kostenlos einen 12-monatigen Zugang zum <a href="bonify.de/ide…ten">Bonify Identitätsschutz</a> anbieten. Bonify monitort Deine persönlichen Daten im Internet, in sozialen Netzwerken, im Darknet und in öffentlichen Datenbanken, um einen möglichen Diebstahl, Verlust oder die Offenlegung Deiner Daten sofort zu erkennen. Wenn Deine Daten gefunden werden, wirst Du sofort benachrichtigt und erhältst einen Hinweis auf die nächsten Schritte. Wenn Du diesen Service in Anspruch nehmen willst, setze Dich mit uns unter der E-Mail-Adresse Dein.Team@Tulip.de in Verbindung. <br> <br> Falls Du Dich bereits mit einer speziellen Anfrage bei uns gemeldet hast, werden wir schnellstmöglich gesondert auf Dich zukommen. <br> <br> Wir bedanken uns für Dein Verständnis und verbleiben mit herzlichen Grüßen </p> <span style='font-size:10.0pt;mso-bidi-font-size:10.0pt;font-family:"Arial",sans-serif;mso-bidi-theme-font:minor-bidi'> <br> <b>Dein TULIP Team</b> <br> <br> <br> Danish Crown Foods Germany GmbH <br> Christoph-Probst-Weg 26, D-20251 Hamburg <br> T +49 40 5543 6030 <br> Handelsregister Hamburg HRB 125755 <br> Geschäftsführer: Christian Daub, John Faurholdt Jensen, Thorsten Pollet "

Dass das so echt ist, würde ich denen zutrauen. Könnte aber auch, sein, dass da jemand mit den abgegriffenen Daten spielt. Aus den "nur" vier unbefugten Zugriffen aus der vorhergehenden Mail wurden fünf.

Habt ihr auch eine komische Mail von Tulip erhalten:
Betreff: �������������������������

Ist Bonify nicht von der Schufa übernommen worden?

Habe eben diesen Coupon in meiner Payback App gefunden…

Ob die versuchen damit den Verkauf des Produkts anzutreiben damit Geld reinkommt für die evtl. kommenden Zahlungen?

Mail von Tulip kam gerade...
Naja, mit der deutschen Rechtschreibung haben sie es ja nicht so, aber wenigstens informieren sie die Leute.

Liebe*r Teilnehmer*in,

wir müssen Dich heute leider informieren, dass dem von uns mit der technischen Abwicklung beauftragte Dienstleister bei der Sicherung der Daten der „Gratis Testen Aktion 2023“ ein gravierender Fehler unterlaufen ist:

Deine personenbezogenen Daten wie

- Vor und Nachname
- Geburtsdatum
- IBAN
- E-Mail Adresse
- IP.Adresse

wurden außerhalb der Abwicklungssoftware auf einem Backup-Server zum Schutz gegen Datenverlust zusätzlich abgespeichert und dieser Backup-Server war, wie sich am 07.07.2023 herausgestellt hat, nicht ausreichend abgesichert.

So standen Deine Daten für einige Zeit theoretisch ungeschützt im Internet. Das Datenleck wurde sofort nach Bekanntwerden geschlossen und die Datenpanne auch bereits der Aufsichtsbehörde gemeldet. Nach jetzigem Stand der Ermittlungen hat außer der Person, die den Fehler aufgedeckt hat, niemand auf die Daten zugegriffen und sind sie entsprechend auch nicht Heruntergeladen worden.

Für die Nachlässigkeit in der Absicherung des Backups und das menschliche Versagen bitten wir vielmals um Entschuldigung. Auch wenn wir nach jetziger Sachkenntnis davon ausgehen, dass die Daten nicht Heruntergeladen wurden und somit auch kein Schaden entstanden ist, bitten wir Dich trotzdem sicherheitshalber in der Zukunft auf etwaig unberechtigte Lastschriftverfahren zu achten. Diese können theoretisch mit fremden Bankdaten eingerichtet werden, allerdings hat man immer auch ein Jahr Zeit ein unberechtigtes Lastschriftverfahren zu widerrufen.

Bei Fragen kannst Du uns dazu gerne unter dieser E-Mail-Adresse erreichen.

Herzliche Grüße

Dein TULIP-Team (bearbeitet)

Richtig ätzend. Weil das so komplette Datensätze sind mit allem drum und dran.
Adresse, Mail, Bank, Name evtl. Geburtsdatum etc.

Alle Kritiker, die immer sagen, sie verkaufen ihre Daten nicht für 1€ Cashback, bekommen damit Recht.

An wen kann man so etwas melden zwecks rechtlicher Überprüfung (ohne Anzeige)? Bundesdatenschutzbeauftragten? Verbraucherzentrale?

Unternehmen können sich nicht mit "Ups uns ist ein Missgeschick passiert, wir haben nicht aufgepasst" raus reden. Es wird gegen Gesetze verstoßen und Schaden angerichtet. (bearbeitet)

Nachdem Tulip nach dem Datenleck Bonify bewirbt, wird nun Folgendes bekannt:
Datenleck bei Schufa-Tochter Bonify: tagesschau.de/wir…tml

Manche Geschichten kannst du dir echt nicht ausdenken.

2 Teilnahmen bei Tulip 0 Emails…sehr komisch das ganze.

Heute auch die Mail von Tulip. Welche Kanzlei nimmt sich dem an? Werde mich auf jeden Fall einer Klage anschließen (wie bereits bei Mastercard)

Unfreiwillig dabei bin.

Ne Frage, wie kann man als Person ein Lastschrift Auftrag von einem anderen Konto auf sein eigenes bewerkstelligen?
geht das im privaten Bereich überhaupt?
Oder müssten Betrüger eine (schein)Firma haben etc.

Wenn ich über jetzt die Iban von nem Kumpel habe, kann ich kein Lastschriftverfahren machen, dass geld von seinem Konto abzieht und aufmeinss überträgt odrr?
Und könnte snake das mit unseren Konten? (bearbeitet)

Auf meine Rückfrage wie sie diesen Schaden entschädigen wollen kam dies:

Guten Tag,

vielen Dank für Deine E-Mail! Wie in der Benachrichtigung bereits zum Ausdruck gebracht, bedauern wir den Zwischenfall und das dahinterstehende menschliche Versagen zutiefst und haben alles in die Wege geleitet, um eine Wiederholung in der Zukunft zu verhindern!

Bei aller Beunruhigung ist es aber wichtig im Blick zu behalten, dass wir nach jetziger Sachkenntnis davon ausgehen können, dass keine personenbezogenen Daten heruntergeladen wurden und somit auch kein Schaden entstanden ist. Anhand der Log-Files ist nachzuvollziehen, dass abgesehen von der Person, die den Missstand aufgedeckt und gemeldet hat, hat kein unberechtigter Zugriff stattgefunden hat.

Bei weiteren Fragen zu diesem Fall kannst Du uns jederzeit gerne unter dieser Adresse erreichen.

Herzliche Grüße

Dein TULIP Team

Wurden jetzt meine Daten geklaut oder nicht?
In der ersten Mail haben sie ja geschrieben, dass 4 unberechtigte Zugriffe gab. Das hört sich ja schon so an, als könnten die Daten jetzt in dem falschen händen sein. (bearbeitet)