Gepostet 27 September 2023
Wie Lieferando offenbar mit euren Daten umgeht
Moin zusammen!
Ich bin selten der Typ, aber nachdem ich jetzt über Twitter und den Lieferando-Support nur Ausflüchte kassiere und das niemand schlüssig erklären kann bzw. möchte, möchte ich euch auf etwas hinweisen, was aber wohl schon länger der Fall ist:
Lieferando bietet ja für die Verfolgung der Bestellungen den sogenannten Foodtracker an. Dieser zeigt im Normalfall eine Route vom Restaurant zu euch an.
Mir ist in der letzten Zeit aufgefallen, dass dieser Tracker bei ~ dreimaligen Neuladen eine Reihe an Adressen offenlegt:
Der Support sagt, es wären keine Lieferadressen, sowohl über X als auch über deren Supportsystem. Nach Überprüfung der Adressen habe ich das Rote Kreuz in Fürth gefunden sowie ein Einfamilienhaus.
An welche Stelle eskaliert man sowas brauchbar weiter?
Ich bin selten der Typ, aber nachdem ich jetzt über Twitter und den Lieferando-Support nur Ausflüchte kassiere und das niemand schlüssig erklären kann bzw. möchte, möchte ich euch auf etwas hinweisen, was aber wohl schon länger der Fall ist:
Lieferando bietet ja für die Verfolgung der Bestellungen den sogenannten Foodtracker an. Dieser zeigt im Normalfall eine Route vom Restaurant zu euch an.
Mir ist in der letzten Zeit aufgefallen, dass dieser Tracker bei ~ dreimaligen Neuladen eine Reihe an Adressen offenlegt:
Der Support sagt, es wären keine Lieferadressen, sowohl über X als auch über deren Supportsystem. Nach Überprüfung der Adressen habe ich das Rote Kreuz in Fürth gefunden sowie ein Einfamilienhaus.
An welche Stelle eskaliert man sowas brauchbar weiter?
Zusätzliche Info
74 Kommentare
sortiert nachwäre ich lieferando, würde ich "schwierige kunden "sperren und nicht mehr beliefern.....so können ihre "wertvollen und geheimen" adressen auch nirgends mehr erscheinen.......
Kann über dich ehrlich gesagt nur meinen Kopf schütteln.
€dit: Ah, gerade deine Kommentarhistorie angesehen, außer Polemik kein sinnvoller Beitrag. Gratulation! (bearbeitet)
1. ist es unmöglich dass hier zB alle 7 Besteller anscheinend die Adressen der anderen Besteller sehen. Auch wenn es meistens eher unproblematisch sein wird, kann man sich doch ungute Szenarien vorstellen (Stalking, Überfall an der Wohnungstür ...).
2. Sollten sie dir natürlich dankbar sein für die Meldung (evtl. auch mit ner Gratislieferung).
Dann kann ich auch Stalking durch google maps befürchten.
Also abgesehen davon, dass die Programmierung so, wenn es denn tatsächlich die Adressen anderer Bestellenden sind, nicht geht, ist hier doch etwas sehr viel Drama am Start.
Oder wie muss ich mir das vorstellen? Kleinkrimineller X bestellt über Lieferando, um sich Adressen von Menschen zu beschaffen, die gerade zu Hause sind, um sie dann zu überfallen ohne die Gegend/Nachbarschaft vorher auszukundschaften?
Auch die paar Adressen finde ich jetzt halb so wild…da steht weder ein Name, noch Kontodaten etc. Sind halt ein paar Adressen für eine Routenplanung.
Ich gebe dir Recht, dass das in einer Großstadt wie Fürth eventuell nicht so absolut problematisch ist: Aber nachdem ich wie gesagt ein Einfamilienhaus dabei hatte, kann man die Bestellung zweifelsfrei einer Person / Familie zuordnen. Und ab da finde ich, dass es hochgradig bedenklich wird. Generell gilt für mich der Grundsatz: Kundendaten gehen nur das Unternehmen und den jeweiligen Kunden etwas an. In meiner Heimatstadt gab es im Übrigen fast nur Einfamilienhäuser. Die Implikation muss ich nicht erklären.
Wegen der Bug Bounty: Hatte ich gesehen, wollte mich nicht registrieren. Daher den Weg über den Support gegangen. Jetzt ist es eh mehr oder minder publik, daher braucht man damit wohl nicht mehr anfangen. Trotzdem ein guter Hinweis.
Das verrät Dir google maps (noch) nicht.
Zwar ein komplett anderes Thema, aber wichtig ist der Absatz:
"In der bloßen Eingabe einer (puren) Adresse ist noch kein personenbezogenes Datum zu erblicken. Denn die bloße Adresse ohne Bezugnahme auf eine Person – sei es durch namentliche Nennung, sei es durch die Bezugnahme auf ein diese Adresse betreffendes Eigentums-, Besitz- oder Mietverhältnis – stellt keinen hinreichenden Personenbezug dar. Hierbei ist zu berücksichtigen, dass der Zweck der DSGVO der Schutz der Grundrechte natürlicher Personen bei der Verarbeitung der ihnen zugeordneten Daten ist,…."
ist vermutlich schon ausreichend. Versuchen kannst du es ja trotzdem mal.
Hatte aber auch vor kurzem einen Fall. War auch am Überlegen, ob ich es melde. Ein Fitnessstudio hat mehrere Überwachungskameras in den Räumen installiert. Das berechtigte Interesse ist, "Diebstahl", "Schutz der Kunde", etc.
Soweit so gut bzw. trotzdem Fragwürdig. Was aber der Witz war, war dass die Umkleiden gestrichen wurden und die Spinde dann als "Sichtschutz" im Eingangsbereich aufgestellt wurden. Somit konnten die Trainierenden sich dort umziehen. Die Kamera war jedoch so hoch angebracht, dass die Kamera über den Sichtschutz der Spinde ragte und somit die Frauenumkleidekabine gefilmt hat. Somit konnte mit Sicherheit der Oberkörper aufgezeichnet werden. Ich habe dort mit einem Verantwortlichen gesprochen, der dann sagte: "Wir haben keinen Zugriff auf die Aufzeichnungen, das geht an die Zentrale". Bei vielen Mitarbeitenden ist einfach das Thema Datenschutz ein Fremdwort. Er hat sich zwar entschuldigt, aber am nächsten Tag war die Kamera immer noch nicht abgedeckt. (Ach ja, auf Instagram haben die sogar das Video veröffentlicht, wo man sich temporär umziehen musste). Dort konnte man alles nachvollziehen, also der perfekte Nachweis für die Datenschutzbehörde.
Trotzdem habe ich mich dagegen entschieden.
In solchen Wohngebieten ist das in meinen Augen nämlich ein sehr großes Problem.
Hier sind Adressen ohne irgendwelchen Bezug oder zusätzlichen Informationen...Such dir eine Adresse auf google maps raus, dass die adresse alieferando/ amazon/ Otto/ etc. schonmal was bestellt hat ist fast ne 100% Chance. Also leg da wieder hin statt hier ein Fass aufzumachen.
Wenn du zu der Adresse noch die Namen sofort auf Lager hast, meld dich wieder.