1&1 muss Millionenstrafe zahlen – wegen Verstoßes gegen die DSGVO

Die Datenschutz-Grundverordnung soll Kundendaten schützen. Wer das nicht ausreichend macht, muss mit hohen Geldstrafen rechnen. Jetzt hat es einen Internetanbieter getroffen.

Der Bundesbeauftragte für Datenschutz hat gegen den Telefon- und Internetanbieter 1&1 eine Geldbuße in Millionenhöhe verhängt. Die 1&1 Telecom GmbH soll laut dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) eine Strafe in Höhe von 9,55 Millionen Euro zahlen. Der BfDI wirft dem Unternehmen vor, seine Kundendaten nicht ausreichend geschützt zu haben.

So hätten Unbefugte bei telefonischen Auskünften Informationen zu Kunden abfragen können. Dazu hätte es gereicht, zu wissen, wie der Name und das Geburtsdatum des Kunden lauten. "Die europäische Datenschutz-Grundverordnung (DSGVO) gibt uns die Möglichkeit, die unzureichende Sicherung von personenbezogenen Daten entscheidend zu ahnden. Wir wenden diese Befugnisse unter Berücksichtigung der gebotenen Angemessenheit an.", sagt der Bundesbeauftragte in einer Pressemitteilung.

Reaktion von 1&1

1&1 schreibt dazu: "Der fragliche Fall ereignete sich bereits 2018. Konkret ging es um die telefonische Abfrage der Handynummer eines ehemaligen Lebenspartners. Die zuständige Mitarbeiterin erfüllte dabei alle Anforderungen der damals bei 1&1 gültigen Sicherheitsrichtlinien. Zu diesem Zeitpunkt war eine Zwei-Faktor-Authentifizierung üblich, einen einheitlichen Marktstandard für höhere Sicherheitsanforderungen gab es nicht".

Mittlerweile habe 1&1 die Sicherheitsmaßnahmen erhöht. Auch der Bundesbeauftragte erkennt die Verbesserungen in den Sicherheitsmaßnahmen an. Dennoch sei dies für die Strafe nicht ausschlaggebend: "Ungeachtet dieser Maßnahmen war die Verhängung einer Geldbuße geboten. So war unter anderem der Verstoß nicht nur auf einen geringen Teil der Kunden begrenzt, sondern stellte ein Risiko für den gesamten Kundenbestand dar.", heißt es in der Meldung.

1&1 will klagen

Die 1&1 Telecom GmbH hat angekündigt, gegen die Geldbuße zu klagen: "Das Bußgeld ist absolut unverhältnismäßig. Die neue Bußgeldregelung, nach der die Summe berechnet wurde und die für die gesamte deutsche Wirtschaft gilt, wurde am 14. Oktober 2019 veröffentlicht und orientiert sich am jährlichen Konzernumsatz. So können bereits kleinste Abweichungen riesige Geldbußen zur Folge haben. In der Datenschutz-Grundverordnung (DSGVO) ist der Umsatz allerdings nicht als Kriterium für die Bemessung der Bußgeldhöhe vorgesehen. Darüber hinaus verstößt die neue Bußgeldlogik gegen das Grundgesetz, insbesondere die Grundsätze der Gleichbehandlung und der Verhältnismäßigkeit".

• Zum Schutz vor Angriffen:
• Selbstversuch: Reicht heute noch ein Handy von früher?
• Hass-Postings: Soziale Netzwerke sollen Nutzer dem BKA melden

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit belegte außerdem die Rapidata GmbH mit einer Geldbuße von 10.000 Euro. Auch diese habe laut BfDI gegen die Datenschutz-Grundverordnung verstoßen.