Jemand verwendet eine gestohlene Kreditkarte in Ihrem Geschäft. Der Karteninhaber findet es heraus, erstattet eine Anzeige bei der Polizei und schickt Ihnen eine schriftliche Anfrage: Bitte senden Sie mir Kopien der Transaktionsaufzeichnungen zu dem betrügerischen Kauf. Sie haben 30 Tage Zeit, sie kostenlos herauszugeben. Nicht 30 Werktage. Nicht 30 Tage, nachdem Ihr Anwalt Lust dazu hat. Dreißig Tage ab Erhalt, nach Bundesrecht — und „Datenschutzgründe" sind keine Entschuldigung, weil das Gesetz das ausdrücklich sagt.
Das ist die Regel, die Amazon so gründlich verletzt hat, dass die Federal Trade Commission im Juni 2026 eine zivilrechtliche Geldbuße von 2,25 Millionen US-Dollar gegen das Unternehmen durchsetzte — die höchste Geldbuße, die jemals nach dieser Vorschrift verhängt wurde. Und die Vorschrift gilt für Ihr Unternehmen genauso, wie sie für Amazon galt. Wenn Sie Waren oder Dienstleistungen gegen Entgelt verkaufen — was heißt: wenn Sie ein Unternehmen führen —, benennt Section 609(e) des Fair Credit Reporting Act Sie bereits namentlich.
Was Amazon tatsächlich falsch gemacht hat
Zunächst eine Richtigstellung, die sich lohnt, weil mehrere Zusammenfassungen dieses Falls sie verpasst haben: Die Geldbuße hatte nichts mit Background-Checks bei der Beschäftigung oder mit Kreditprüfungen zu tun. Amazon wurde nach FCRA Section 609(e) bestraft — dem Teil des Gesetzes, der Opfern von Identitätsdiebstahl das Recht gibt, die Antrags- und Geschäftstransaktionsaufzeichnungen zu erhalten, die hinter einem in ihrem Namen begangenen Betrug stehen.
Laut der Klageschrift, die das Justizministerium im Auftrag der FTC bei einem Bundesgericht in Washington, D.C. einreichte, hat Amazon das Gesetz „wissentlich" verletzt. Verbraucher, die sich wegen Betrugs auf ihren Konten oder Zahlungskarten an das Unternehmen wandten, wurden von Kundendienstmitarbeitern darüber informiert, dass die Aufzeichnungen aus „Sicherheits-" oder „Datenschutzgründen" nicht bereitgestellt werden könnten. In einem, wie der Direktor des FTC-Büros für Verbraucherschutz es nannte, „kafkaesken Spießrutenlauf" verlangte Amazon von den Opfern, den Dieb zu benennen, der ihre Daten gestohlen hatte, bevor es Aufzeichnungen herausgab — in einem Fall teilte man einem Verbraucher mit, dass Aufzeichnungen über ein betrügerisches Konto nicht geteilt werden könnten, es sei denn, der Verbraucher errate den Namen auf dem Konto, also den Namen, den der Identitätsdieb verwendet hatte. Der Verbraucher versuchte es 30 Mal und scheiterte. Amazon verweigerte die Aufzeichnungen auch Strafverfolgungsbehörden, die den Betrug untersuchten.
Zwei Details aus dem Fall sollten jeden Kleinunternehmer aufhorchen lassen. Erstens: FTC-Mitarbeiter hatten die Anwälte von Amazon bereits im Juni 2023 gewarnt, die Einhaltung genau dieser Vorschrift zu überprüfen, nachdem eine Verbraucherbeschwerde eingegangen war. Die Verstöße gingen weiter. Zweitens: Amazon hatte bis Anfang 2025 überhaupt kein schriftliches Verfahren für die Bearbeitung dieser Anfragen — erst nachdem es erfahren hatte, dass die FTC eine Untersuchung eingeleitet hatte. Das Fehlen eines Verfahrens war keine Verteidigung; es war Teil der Geschichte. Im Rahmen des Vergleichs muss Amazon eine öffentliche Mitteilung auf seiner Website veröffentlichen, die erklärt, wie Opfer von Identitätsdiebstahl Aufzeichnungen anfordern können.
Bei mehr als 1,1 Millionen im Jahr 2024 bei der FTC eingereichten Meldungen zu Identitätsdiebstahl und einem für 2025 zu erwartenden Anstieg ist es eine Frage des Wann, nicht des Ob, dass eine Anfrage eines Opfers in Ihrem Posteingang landet. Hier erfahren Sie, was das Gesetz von Ihnen verlangt, wenn es so weit ist.
Die 30-Tage-Regel, die jedes Unternehmen kennen sollte
Section 609(e) ist kurz und für ein Bundesgesetz bemerkenswert klar:
Wer betroffen ist. Jedes Unternehmen, das jemandem Kredit gewährt, Waren oder Dienstleistungen verkauft, Zahlungen von jemandem angenommen oder anderweitig eine Geschäftstransaktion gegen Entgelt mit jemandem abgeschlossen hat, der angeblich die Identität einer anderen Person ohne Befugnis verwendet hat. Beachten Sie „angeblich": Sie dürfen nicht erst entscheiden, ob der Identitätsdiebstahl wirklich stattgefunden hat, bevor Sie der Pflicht nachkommen. Die Behauptung eines Opfers, belegt durch die unten beschriebene Dokumentation, löst Ihre Pflicht aus.
Was Sie bereitstellen müssen. Eine Kopie des Antrags und der Geschäftstransaktionsaufzeichnungen in Ihrem Verfügungsbereich, die die angeblich betrügerische Transaktion belegen — unabhängig davon, ob Sie diese Aufzeichnungen selbst führen oder jemand anderes sie in Ihrem Auftrag führt. Denken Sie an Bestellunterlagen, Kontoanträge, Rechnungen, Quittungen, Zahlungsautorisierungen, Versandadressen, die mit der Transaktion verbunden sind. Das Gesetz umfasst ausdrücklich Aufzeichnungen, die eine andere Person in Ihrem Auftrag führt, was in der heutigen Praxis bedeutet, dass die Aufzeichnungen in Ihrem Zahlungsdienstleister, Ihrer E-Commerce-Plattform oder Ihrem Kassensystem für diesen Zweck als Ihre gelten.
Wer sie erhalten darf. Das Opfer, jede Bundes-, Landes- oder Kommunalbehörde oder jeder Beamte, den das Opfer in der Anfrage benennt, oder eine Strafverfolgungsbehörde, die den Diebstahl untersucht und die das Opfer zur Entgegennahme der Aufzeichnungen ermächtigt hat. Amazons Weigerung, sie mit Strafverfolgungsbehörden zu teilen, war ein eigener, separater Verstoß.
Die Frist. Spätestens 30 Tage nach Erhalt der Anfrage.
Der Preis. Nichts. Das Gesetz besagt, dass die Aufzeichnungen „ohne Entgelt bereitgestellt werden".
Die Form der Anfrage. Sie muss schriftlich erfolgen und an eine von Ihnen benannte Adresse geschickt werden, sofern Sie eine benannt haben — ein weiterer Grund, jetzt einen Ansprechpartner zu benennen statt erst nach Eingang einer Anfrage. Auf Ihr Verlangen muss das Opfer relevante Informationen über die Transaktion beifügen, die Ihnen hilft, sie zu finden: das Datum, eine Konto- oder Transaktionsnummer oder andere identifizierende Angaben, jedoch nur, wenn sie dem Opfer bekannt sind oder leicht beschaffbar. Lesen Sie diese Einschränkung sorgfältig: „wenn bekannt" leistet hier echte Arbeit. Sie dürfen um Hilfe beim Auffinden der Aufzeichnungen bitten. Sie dürfen die Fähigkeit des Opfers, Details zu liefern, nicht zur Vorbedingung machen, und Sie dürfen erst recht nicht verlangen, dass es den Dieb benennt, wie Amazon es tat.
Was das Opfer Ihnen vorlegen muss
Das Gesetz lässt Ihre Tür nicht weit offen stehen. Bevor Sie etwas herausgeben, muss das Opfer zwei Dinge in der von Ihnen gewählten Form vorlegen:
-
Identitätsnachweis. Nach Ihrer Wahl: einen von der Regierung ausgestellten Ausweis, personenbezogene Daten derselben Art, die die unbefugte Person Ihnen gegeben hat, oder die Art von Identifikationsinformationen, die Sie üblicherweise von neuen Antragstellern oder für neue Transaktionen verlangen.
-
Nachweis der Behauptung des Identitätsdiebstahls. Nach Ihrer Wahl: eine Kopie einer Polizeimeldung, die die Behauptung belegt, zusammen mit einer ordnungsgemäß ausgefüllten standardisierten eidesstattlichen Erklärung zum Identitätsdiebstahl — der Art, die über den IdentityTheft.gov-Prozess der FTC erstellt wird — oder eine andere eidesstattliche Erklärung zu den Tatsachen, die Sie für akzeptabel halten.
Die eine Ausnahme: Wenn Sie bereits ein hohes Maß an Sicherheit darüber haben, wer das Opfer ist, können Sie die Überprüfung überspringen. In der Praxis sollten Sie jedes Mal das Standardpaket anfordern und eine Kopie des Erhaltenen zusammen mit der Anfrage selbst aufbewahren. Eine einheitliche Checkliste schützt in beide Richtungen: Sie bewahrt Sie davor, an einen Betrüger herauszugeben, und dokumentiert, dass jeder Anfragende gleich behandelt wurde.
Die Ausreden, die nicht funktionieren
Der Fall Amazon ist gerade deshalb nützlich, weil er zum Preis von 2,25 Millionen US-Dollar zeigt, welche Verweigerungen scheitern:
„Datenschutz und Sicherheit hindern uns an der Weitergabe." Das Gesetz antizipiert diesen Einwand und überstimmt ihn im Voraus: Datenschutzbestimmungen, die normalerweise die Offenlegung von Kundeninformationen gegenüber Dritten beschränken, können nicht dazu verwendet werden, die Offenlegung gegenüber dem Opfer zu verweigern. Der Kongress hat 2003 entschieden, dass das Recht des Opfers, Aufzeichnungen über in seinem Namen begangenen Betrug einzusehen, die Datenschutzinstinkte des Unternehmens überwiegt. Schulen Sie jeden, der Kunden-E-Mails oder Telefonanrufe beantwortet, speziell zu diesem Punkt, denn „Ich kann aus Datenschutzgründen keine Kontodetails teilen" ist ansonsten genau der richtige Reflex.
„Sagen Sie uns zuerst, wer Ihre Identität gestohlen hat." Das Opfer ist, fast per Definition, die Person, die nicht weiß, wer seine Identität gestohlen hat. Die Offenlegung davon abhängig zu machen, den Dieb zu benennen, verwandelt eine 30-Tage-Pflicht in eine unmögliche — weshalb die Aufsichtsbehörden es so beschrieben, wie sie es taten.
„Wir brauchen mehr Zeit." Dreißig Tage ab Erhalt sind die Frist. Rückbuchungen, Streitigkeiten mit dem Zahlungsdienstleister und interne Betrugsprüfungen laufen nach ihren eigenen Uhren; keine davon hält diese an.
„Es gibt eine Gebühr für die Aufzeichnungen." Die Kopien sind kostenlos. Keine Recherchegebühr, keine Kopiergebühr, keine Verwaltungsgebühr.
„Unser Zahlungsdienstleister führt diese Aufzeichnungen, nicht wir." Aufzeichnungen, die eine andere Person in Ihrem Auftrag führt, sind ausdrücklich erfasst. Wenn Ihre Transaktionsdaten bei Stripe, Square, Shopify oder im Händlerportal Ihrer Bank liegen, ist es Ihre Aufgabe, sie abzurufen.
Wann Sie Nein sagen dürfen
Das Gesetz ist nicht absolut, und die Grenzen zu kennen ist genauso wichtig wie die Pflicht zu kennen. Ein Unternehmen darf in gutem Glauben ablehnen, wenn die Vorschrift die Offenlegung tatsächlich nicht verlangt, wenn die Identität des Anfragenden dem Unternehmen nach Prüfung der Nachweismaterialien weiterhin keine hohe Sicherheit vermittelt, wenn die Anfrage auf einer Tatsachenfalschdarstellung beruht oder wenn das angeforderte Material Internet-Navigationsdaten sind — Browserverlauf über den Besuch einer Website oder eines Online-Dienstes durch jemanden — und keine Transaktionsaufzeichnungen.
Außerdem ist eine ausdrückliche Verteidigung in das Gesetz geschrieben: Wenn es zu einem Durchsetzungsverfahren kommt, können Sie den Anspruch abwehren, indem Sie nachweisen, dass Sie eine angemessen sorgfältige Suche in Ihren verfügbaren Geschäftsunterlagen durchgeführt haben und die angeforderten Aufzeichnungen nicht existieren oder nicht angemessen verfügbar sind. Beachten Sie, was diese Verteidigung belohnt: eine echte, dokumentierte Suche. „Wir haben nie gesucht" und „Wir haben kein Verfahren zum Suchen" sind ihr Gegenteil.
Zwei Schutzschilder schützen Unternehmen, die in gutem Glauben handeln. Erstens kann kein Unternehmen nach irgendeinem Gesetz zivilrechtlich für eine gutgläubige Offenlegung nach dieser Vorschrift haftbar gemacht werden — die Datenschutzsorge läuft also genau in die falsche Richtung. Die Einhaltung ist geschützt; die Verweigerung wird bestraft. Zweitens schafft die Vorschrift keine neue Aufbewahrungspflicht: Sie verlangt nicht, dass Sie Aufzeichnungen beschaffen, aufbewahren oder führen, die Sie ohnehin nicht im ordentlichen Geschäftsgang oder nach anderen Gesetzen führen würden. Sie regelt nur Aufzeichnungen, die Sie bereits haben.
Bauen Sie Ihr Verfahren, bevor eine Anfrage eintrifft
Amazons am besten übertragbare Lektion ist die billigste: Schreiben Sie das Verfahren jetzt auf. Ein einseitiges Verfahren schlägt eine 2,25-Millionen-Dollar-Improvisation. Ihres sollte mindestens Folgendes abdecken:
- Eine benannte Adresse und einen Verantwortlichen. Veröffentlichen Sie, wohin schriftliche Anfragen gehen — eine Postadresse oder einen überwachten Posteingang —, und benennen Sie die für die Bearbeitung verantwortliche Person. Das Gesetz erlaubt Ihnen, die Adresse zu benennen, an die Anfragen geschickt werden müssen, aber nur, wenn Sie tatsächlich eine benannt haben.
- Ein Verifizierungspaket. Von der Regierung ausgestellter Lichtbildausweis, eine Polizeimeldung und eine ausgefüllte eidesstattliche Erklärung zum Identitätsdiebstahl, jedes Mal auf dieselbe Weise angefordert.
- Eine 30-Tage-Uhr. Protokollieren Sie das Eingangsdatum jeder Anfrage und notieren Sie die Frist. Kalendertage, keine Werktage.
- Eine Abrufkarte. Schreiben Sie System für System auf, wo Ihre Transaktionsaufzeichnungen liegen: Zahlungsdienstleister-Dashboard, E-Commerce-Backend, Kassenexport, Buchhaltungsdatei. Die Abrufkarte ist es, die aus einem panischen Kramen eine Zehn-Minuten-Aufgabe macht.
- Ein Antwortprotokoll. Was angefragt, was verifiziert, was gesendet wurde, wann und an wen. Falls eine Aufsichtsbehörde jemals fragt, ist dieses Protokoll Ihr Nachweis angemessener Sorgfalt.
- Eine Regel ohne Bedingungen. Keine Gebühren, keine Forderung, dass das Opfer den Dieb benennt, keine „Datenschutz"-Verweigerung gegenüber dem verifizierten Opfer oder dessen benannter Strafverfolgungsbehörde.
Überprüfen Sie die Seite einmal im Jahr, so wie Sie Ihre Backup-Routine überprüfen. Die Zahl der Identitätsdiebstähle steigt weiter, und die FTC hat nun gezeigt, dass sie einen 609(e)-Fall bis zu einer Rekordgeldbuße verfolgen wird.
Ihre Bücher sind Ihre Compliance-Akte
Hier ist der Teil, der Ihre Buchhaltung direkt betrifft: Die oben genannte Abrufkarte ist nur so gut wie Ihre zugrunde liegenden Aufzeichnungen. Eine 609(e)-Anfrage verlangt von Ihnen, jede Aufzeichnung vorzulegen, die eine bestimmte Transaktion belegt — was bedeutet, dass Ihre Transaktionsdaten Monate später nach Bestellung, Konto, Kunde und Datum durchsuchbar sein müssen. Unternehmen, deren Bücher aus einem Schuhkarton voller Auszahlungen des Zahlungsdienstleisters ohne Rückverweis auf einzelne Bestellungen bestehen, können nicht innerhalb von 30 Tagen antworten, so bereitwillig sie auch sein mögen.
Dies ist eines der stillen Argumente dafür, ein eigenes Hauptbuch zu führen, statt das Dashboard des Zahlungsdienstleisters als Ihre Bücher zu behandeln. Wenn jeder Verkauf mit seiner Bestellkennung und seinem Kanal als Metadaten erfasst wird, ist das Abrufen der vollständigen Aufzeichnung einer strittigen Transaktion eine einzige Abfrage statt einer Ausgrabung. In Beancount leisten Transaktionsmetadaten genau diese Aufgabe:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDMit der Bestellkennung sowohl beim Verkauf als auch bei der späteren Rückbuchung bringt eine einzige Abfrage den vollständigen Papierpfad zutage — den Verkauf, die Rückabwicklung, die Daten, die Beträge — in Sekunden. Das ist die Form, die eine 609(e)-taugliche Aufzeichnung annimmt: jede Transaktion auf ihr Quelldokument zurückführbar, jede Rückabwicklung mit ihrem Original verknüpft. Wenn Ihre aktuellen Bücher das nicht leisten können, ist die Lösung ein Buchhaltungsprojekt mit Compliance-Nutzen, nicht umgekehrt. Leser, die die Mechanik verstehen wollen, finden die Abfragedokumentation unter /docs/.
Eine andere FCRA-Pflicht: Background-Checks bei der Beschäftigung
Weil dieser Fall so oft falsch beschrieben wird, eine kurze Klarstellung für Arbeitgeber, die Background- oder Kreditprüfungen bei Bewerbern durchführen: Das ist eine echte FCRA-Pflicht, aber sie steht in einem anderen Teil des Gesetzes und funktioniert ganz anders als Section 609(e). Nach der gemeinsamen Arbeitgeber-Anleitung von FTC und EEOC müssen Sie dem Bewerber, bevor Sie einen Bericht von einem Unternehmen einholen, das im Geschäft der Zusammenstellung von Hintergrundinformationen tätig ist, eine klare schriftliche Offenlegung — in einem eigenständigen Dokument — geben, dass ein Bericht eingeholt werden kann, und eine schriftliche Genehmigung einholen. Wenn Sie dann aufgrund des Berichts eine nachteilige Maßnahme ergreifen, etwa den Bewerber nicht einstellen, müssen Sie zunächst eine Mitteilung vor der nachteiligen Maßnahme mit einer Kopie des Berichts und einer Zusammenfassung der FCRA-Rechte bereitstellen, eine angemessene Frist abwarten und dann eine abschließende Mitteilung über die nachteilige Maßnahme mit den Kontaktdaten des Berichtsunternehmens und einer Erklärung der Widerspruchsrechte des Bewerbers senden.
Zwei Pflichten, ein Gesetz, entgegengesetzte Richtungen: Section 609(e) betrifft Aufzeichnungen, die Sie an Betrugsopfer herausgeben; die Beschäftigungsbestimmungen betreffen Berichte, die Sie über Bewerber einholen. Erfüllen Sie nicht die eine, indem Sie sich auf die andere berufen.
Fehler, die Sie vermeiden sollten
- Die Anfrage eines Opfers als Kundenbeschwerde behandeln. Es ist eine Anfrage nach Bundesrecht mit einer 30-Tage-Uhr, kein Support-Ticket. Leiten Sie sie am Tag des Eingangs an den benannten Verantwortlichen weiter.
- Mitarbeiter an der Front die Antwort frei improvisieren lassen. „Das können wir aus Datenschutzgründen nicht teilen" ist die natürliche und die rechtswidrige Antwort. Geben Sie den Mitarbeitern ein Skript: bestätigen, das Verifizierungspaket anfordern, das Datum protokollieren.
- Nur in Ihren eigenen Systemen suchen. Aufzeichnungen von Zahlungsdienstleistern, Plattformen und Kassensystemen, die in Ihrem Auftrag geführt werden, sind erfasst. Ihre Abrufkarte muss sie enthalten.
- Anfragen von Strafverfolgungsbehörden liegen lassen. Eine vom Opfer benannte oder ermächtigte Behörde tritt an die Stelle des Opfers. Sie abzulehnen heißt, das Opfer abzulehnen.
- Annehmen, Kleinunternehmen seien ausgenommen. Nichts in Section 609(e) hängt von der Unternehmensgröße ab. Der Tante-Emma-Laden, der Karten akzeptiert, schuldet dieselbe Pflicht wie der Billionen-Dollar-Händler — der diesmal die Partei ist, die dafür bezahlt hat, es zu demonstrieren.
Ihr letzter nützlicher Schritt ist ein kleiner: Öffnen Sie eine leere Seite, schreiben Sie die sechs Aufzählungspunkte aus dem Abschnitt zum Verfahren mit den tatsächlichen Namen und Adressen Ihres Unternehmens auf und speichern Sie sie dort, wo Sie sie finden, wenn der Umschlag eintrifft. Dreißig Tage beginnen mit dem Eingang, und die Unternehmen, die Schwierigkeiten haben, sind nie die, die vorbereitet waren.
