Es wird vermutlich ein Mitarbeiter "ausgeplaudert" haben. Dieser Mitarbeiter hat gegen seine Verschwiegenheitspflicht gegenüber seinem Arbeitgeber verstoßen. Zudem wurden die Daten ohne Einwilligung weitergegeben, das könnte gegen Artikel 6 DSGVO verstoßen. Auch wenn insgeheim keine richtigen "Daten" übertragen wurden, sondern nur ein ja ist Kunde / nein ist kein Kunde fällt das mE schon in Artikel 6. Schwer zuzuordnen die Situation. In jedem Fall hat die betroffene Person nicht zugestimmt, dass jemand anderes erfahren soll wo er Kunde, daran könnte man anknüpfen und weiter prüfen