Information über eine Datenschutzverletzung
Stand: 29. Oktober 2026
Die Music & Sales Professional Equipment GmbH sowie die Stamer Musikanlagen GmbH informieren hiermit gemäß Art. 34 der Datenschutz-Grundverordnung (DSGVO) über eine Verletzung des Schutzes personenbezogener Daten, von der Bewerberinnen und Bewerber – einschließlich derzeit oder ehemals bei uns beschäftigter Personen – betroffen sein können, die über das Online-Bewerberportal unter https://stamer.group eine Bewerbung eingereicht haben.
Da die genaue Anzahl der betroffenen Personen nicht abschließend feststellbar ist, erfolgt die Information durch diese öffentliche Bekanntmachung gemäß Art. 34 Abs. 3 lit. c DSGVO.
1. Was ist passiert?
Im Zeitraum vom 19. bis 21. Oktober 2026 wurde die Internetseite https://stamer.group durch einen Cyberangriff kompromittiert. Dabei wurden alle auf dem Webserver gespeicherten Dateien gelöscht. Als mögliche Ursache kommt die Ausnutzung kritischer Sicherheitslücken in der eingesetzten PHP-Software (CVE-2026-109618, CVSS 9.2 / CVE-2026-109619, CVSS 9.2) in Betracht.
Die Webseite diente als Bewerberportal; eingereichte Bewerbungsunterlagen wurden auf dem dortigen Server abgelegt. Wir haben festgestellt, dass Bewerberdaten über die im Verzeichnis der Verarbeitungstätigkeiten festgelegten Löschfristen hinaus gespeichert waren – in Einzelfällen möglicherweise bis ins Jahr 2020 zurück.
Der Vorfall wurde am 21. Oktober 2026 entdeckt; wir erlangten am 26. Oktober 2026 Kenntnis von der datenschutzrechtlichen Relevanz. Eine Auswertung der verfügbaren Server-Protokolle hat keine eindeutigen Erkenntnisse darüber erbracht, ob Daten vor der Löschung durch Dritte abgerufen oder kopiert wurden. Ein unbefugter Zugriff kann daher nicht mit Sicherheit ausgeschlossen werden.
2. Welche Daten sind betroffen?
Im Bewerberportal wurden bei der Einreichung einer Bewerbung folgende Daten erhoben:
- Name, Vorname
- E-Mail-Adresse
- Telefonnummer (sofern angegeben)
- Bezeichnung der angestrebten Stelle
Darüber hinaus können in den hochgeladenen Bewerbungsunterlagen weitere personenbezogene Angaben enthalten gewesen sein, zum Beispiel:
- Geburtsdatum
- Familienstand, Angaben zu Kindern
- Ausbildungs- und Berufsweg, Qualifikationen
- Besondere Kenntnisse und Fähigkeiten
- Sonstige von Ihnen freiwillig mitgeteilte Informationen (z. B. Foto, Hobbys)
Da die Serverdaten vollständig gelöscht wurden und die Protokollauswertung keine abschließenden Erkenntnisse erbracht hat, lässt sich die genaue Anzahl der betroffenen Personen und Datensätze derzeit nicht bestimmen.
3. Welche Risiken könnten für Sie bestehen?
Folgende Beeinträchtigungen sind nicht auszuschließen:
- Identitätsmissbrauch (z. B. Eröffnung von Konten oder Verträgen in Ihrem Namen)
- Phishing- oder Betrugsversuche unter Verwendung Ihrer Kontaktdaten
- Rufschädigung durch unberechtigte Weitergabe persönlicher Informationen
- Diskriminierung, sofern besondere Kategorien personenbezogener Daten betroffen sind
4. Was haben wir unternommen?
- Die bekannten Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) wurden durch Installation der verfügbaren Sicherheitsupdates geschlossen.
- Das Bewerberportal wurde deaktiviert.
- Der Vorfall wurde der zuständigen Datenschutzaufsichtsbehörde (Landesbeauftragte für Datenschutz und Informationsfreiheit des Saarlandes) fristgerecht gemäß Art. 33 DSGVO gemeldet.
- Die internen Prozesse zur Datenspeicherung und Löschung werden überprüft und angepasst, um künftige Verstöße gegen Speicherfristen zu verhindern.
- Die Sicherheitsmaßnahmen für webbasierte Anwendungen werden grundlegend überarbeitet.
5. Was können Sie tun?
Wir empfehlen Ihnen, folgende Schutzmaßnahmen zu ergreifen:
- Seien Sie wachsam gegenüber ungewöhnlichen E-Mails, Anrufen oder Nachrichten, die vorgeben, von uns oder anderen Institutionen zu stammen. Öffnen Sie keine verdächtigen Links oder Anhänge.
- Überprüfen Sie regelmäßig Ihre Kontobewegungen und Kreditauskünfte auf auffällige Aktivitäten.
- Erstatten Sie Anzeige bei der Polizei, wenn Sie konkrete Anhaltspunkte für einen Missbrauch Ihrer Daten feststellen.
6. Ihre Rechte als betroffene Person
Gemäß der DSGVO stehen Ihnen gegenüber uns folgende Rechte zu:
- Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung Ihrer Daten (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
- Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO)
7. Kontakt
Bei Fragen zu diesem Vorfall oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an unseren Datenschutzbeauftragten:
Thomas Schön
Datenschutzbeauftragter
Stamer Musikanlagen GmbH, Magdeburger Straße 8, 66606 St. Wendel
E-Mail: thomas.schoen [at] hkaudio [dot] com
Zuständige Datenschutzaufsichtsbehörde:
Landesbeauftragte für Datenschutz und Informationsfreiheit des Saarlandes
Fritz-Dobisch-Straße 12, 66111 Saarbrücken
E-Mail: poststelle [at] datenschutz.saarland [dot] de
Telefon: 0681 94781-0
Wir bedauern diesen Vorfall außerordentlich und entschuldigen uns für die dadurch entstandenen Unannehmlichkeiten. Der Schutz personenbezogener Daten hat für uns höchste Priorität; wir werden alle erforderlichen Maßnahmen ergreifen, um eine Wiederholung zu verhindern.
Music & Sales Professional Equipment GmbH