Photo by Berkeley Communications on Unsplash
9,55 Millionen Euro Bußgeld hat die Datenschutzaufsichtsbehörde gegen die 1&1 Telecom GmbH verhängt, weil sie nicht ausreichend verhindert hatte, dass Dritte über die telefonische Kundenbetreuung an die Daten der Kunden gelangen.
Die von dem Telekommunikationsdienstleister eingesetzte Identifizierungsmethode der anrufenden Kunden sei zu einfach zu knacken gewesen.
So hat der Bundesdatenschutzbeauftragte Ulrich Kelber einen Verstoß gegen die DSGVO festgestellt.
Kundenbetreuung hohen Risikos
1&1 Telecom bietet eine telefonische Kundenbetreuung an. Dabei müssen die Kunden ihren Namen und ihr Geburtsdatum angeben, damit ihr Anliegen bearbeitet wird. Allein diese Hürde genüge nicht den datenschutzrechtlichen Anforderungen, befand der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Es lag ein Verstoß gegen Art. 32 DSGVO vor. Diese Norm verlangt von dem Datenbearbeitenden „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“.
Der Bundesbeauftragte sagte in der entsprechenden Pressemitteilung: „Datenschutz ist Grundrechtsschutz. Die ausgesprochenen Geldbußen sind ein klares Zeichen, dass wir diesen Grundrechtsschutz durchsetzen werden. Die europäische Datenschutzgrundverordnung (DSGVO) gibt uns die Möglichkeit, die unzureichende Sicherung von personenbezogenen Daten entscheidend zu ahnden. Wir wenden diese Befugnisse unter Berücksichtigung der gebotenen Angemessenheit an.“
Trotz Besserungsmaßnahmen Bußgeld geboten
Die 1&1 Telecom hat sich „einsichtig und äußerst kooperativ“ gezeigt. Das Unternehmen hat den Authentifizierungsprozess nun um die Anfrage zusätzlicher Daten erschwert, jeder Kunde müsste nunmehr eine persönliche PIN verwenden. Dennoch sei das millionenschwere Bußgeld angesichts der allgemeinen Gefahr für die gesamte Kundschaft geboten gewesen, heißt es seitens der Aufsichtsbehörde.
1&1 Telecom geht gegen den Bescheid vor
Seitens 1&1 Telecom hieß es: „Das Bußgeld ist absolut unverhältnismäßig. Die neue Bußgeldregelung, nach der die Summe berechnet wurde und die für die gesamte deutsche Wirtschaft gilt, wurde am 14. Oktober 2019 veröffentlicht und orientiert sich am jährlichen Konzern-Umsatz. So können bereits kleinste Abweichungen riesige Geldbußen zur Folge haben. In der Datenschutz-Grundverordnung (DSGVO) ist der Umsatz allerdings nicht als Kriterium für die Bemessung der Bußgeldhöhe vorgesehen. Darüber hinaus verstößt die neue Bußgeldlogik gegen das Grundgesetz, insbesondere die Grundsätze der Gleichbehandlung und der Verhältnismäßigkeit.“ So will sie den Bescheid nicht akzeptieren. Die Kritik durch einzelne Stimmen rührt meistens von der Tatbestandsformulierung des Art. 32 DSGVO her. So halten einige die Norm für zu unbestimmt und daher die Folgen für unvorhersehbar.
Fazit
Ende 2019 hatte die Berliner Beauftragte für Datenschutz bereits gegen die Deutsche Wohnen SE ein Bußgeld verhängt, wie wir bereits berichteten. Das sind Warnsignale für Unternehmen, den Datenschutz ernst zu nehmen und sich für die Sicherheit der Betroffenen stark zu machen.
