2474618

1&1 zu rund 10 Mio. Euro Geldstrafe wegen Datenschutz-Verstoß verdonnert

10.12.2019 | 13:11 Uhr | Hans-Christian Dirscherl

1&1 muss fast zehn Millionen Euro Geldstrafe zahlen. Da es bei der telefonischen Kundenbetreuung Kundendaten nicht ausreichend vor dem Zugriff durch Unberechtigte geschützt hatte.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Ulrich Kelber, hat den Telekommunikationsdienstleister 1&1 Telecom GmbH mit einer Geldbuße in Höhe von 9.550.000 Euro belegt. Begründung: 1&1 hatte "keine hinreichenden technisch-organisatorischen Maßnahmen ergriffen, um zu verhindern, dass Unberechtigte bei der telefonischen Kundenbetreuung Auskünfte zu Kundendaten erhalten können".

Der BfDI hatte erfahren, dass Anrufer bei der Kundenbetreuung des Unternehmens allein schon durch Angabe des Namens und Geburtsdatums eines Kunden weitreichende Informationen zu weiteren personenbezogenen Kundendaten erhalten könnten. In diesem Authentifizierungsverfahren sieht der BfDI einen Verstoß gegen Artikel 32 DSGVO, nach dem das Unternehmen verpflichtet sei, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Verarbeitung von personenbezogenen Daten systematisch zu schützen.

Nachdem der BfDI den unzureichenden Datenschutz bemängelt hatte, zeigte sich 1&1 Telecom GmbH einsichtig und äußerst kooperativ, wie der BfDI selbst schreibt. In einem ersten Schritt wurde demnach zunächst der Authentifizierungsprozess durch die Abfrage zusätzlicher Angaben stärker abgesichert. In einem weiteren Schritt wird bei der 1&1 Telecom GmbH derzeit und nach Absprache mit dem BfDI ein neues, technisch und datenschutzrechtlich deutlich verbessertes Authentifizierungsverfahren eingeführt.

Obwohl 1&1 kooperierte verhängte der BfDI die Geldbuße. Da unter anderem der Verstoß nicht nur auf einen geringen Teil der Kunden begrenzt war, sondern ein Risiko für den gesamten Kundenbestand darstellte. Bei der Festsetzung der Höhe der Geldbuße blieb der BfDI laut eigenen Angaben im unteren Bereich des möglichen Bußgeldrahmens, weil 1&1 kooperiert hatte.

1&1 hat mittlerweile angekündigt, dass es Klage gegen den Bußgeldbescheid einreichen werde. Es habe sich bei dem vom BfDI kritisierten Vorgang um einen Einzelfall aus dem Jahr 2018 gehandelt. 1&1 schreibt: „Konkret ging es um die telefonische Abfrage der Handynummer eines ehemaligen Lebenspartners. Die zuständige Mitarbeiterin erfüllte dabei alle Anforderungen der damals bei 1&1 gültigen Sicherheitsrichtlinien. Zu diesem Zeitpunkt war eine Zwei-Faktor-Authentifizierung üblich, einen einheitlichen Marktstandard für höhere Sicherheitsanforderungen gab es nicht.“

Seit damals habe 1&1 die Sicherheitsanforderungen weiterentwickelt. So sei beispielsweise zwischenzeitlich eine dreistufige Authentifizierung eingeführt worden. In den nächsten Tagen werde 1&1 zudem jedem Kunden eine persönliche Service-PIN bereitstellen.

Die Datenschutzbeauftragte von 1&1, Dr. Julia Zirfas kritisiert: „Das Bußgeld ist absolut unverhältnismäßig. Die neue Bußgeldregelung, nach der die Summe berechnet wurde und die für die gesamte deutsche Wirtschaft gilt, wurde am 14. Oktober 2019 veröffentlicht und orientiert sich am jährlichen Konzern-Umsatz. So können bereits kleinste Abweichungen riesige Geldbußen zur Folge haben. In der Datenschutz-Grundverordnung (DSGVO) ist der Umsatz allerdings nicht als Kriterium für die Bemessung der Bußgeldhöhe vorgesehen. Darüber hinaus verstößt die neue Bußgeldlogik gegen das Grundgesetz, insbesondere die Grundsätze der Gleichbehandlung und der Verhältnismäßigkeit.“

BfDI verhängt noch ein weiteres Bußgeld

Ein weiteres Verfahren gegen den Telekommunikationsanbieter Rapidata GmbH wurde erforderlich, da dieses Kleinst-Unternehmen seiner gesetzlichen Auflage nach Artikel 37 DSGVO zur Benennung des betrieblichen Datenschutzbeauftragten trotz mehrmaliger Aufforderung nicht nachgekommen sei. Deshalb verhängte der BfDI ein Bußgeld in Höhe von 10.000 Euro gegen die Rapidata GmbH.

PC-WELT Marktplatz

2474618