DSFA

Das Warten hat ein Ende
Ailance™ DSFA ist da!

BfDI verhängt gegen Vodafone Bußgelder in Höhe von 45 Millionen Euro

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat gegen Vodafone 45 Millionen Euro Bußgelder verhängt.
Kategorien:

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Louisa Specht-Riemenschneider, hat gegen die Vodafone GmbH zwei Bußgelder in Höhe von insgesamt 45 Millionen Euro verhängt. Im Zentrum der Sanktionierung stehen Defizite im Umgang mit Auftragsverarbeitern sowie Mängel bei der technischen und organisatorischen Sicherheit von Verarbeitungssystemen.

Unzureichende Kontrolle von Auftragsverarbeitern

Ausgangspunkt waren zahlreiche Beschwerden über betrügerische Vertragsabschlüsse durch Mitarbeitende von Partneragenturen, die im Auftrag von Vodafone Kundenverträge vermitteln. Dabei wurden insbesondere fingierte Vertragsänderungen und unautorisierte Vertragsabschlüsse zu Lasten der Kundinnen und Kunden festgestellt. Diese Vorfälle haben strukturelle Schwächen in der datenschutzrechtlichen Steuerung der eingesetzten Auftragsverarbeiter offengelegt.

Für diese Versäumnisse wurde eine Geldbuße in Höhe von 15 Millionen Euro verhängt. Die BfDI stellte fest, dass Vodafone seinen datenschutzrechtlichen Pflichten gemäß Art. 28 Abs. 1 Satz 1 DSGVO nicht ausreichend nachgekommen ist. Danach sind Verantwortliche verpflichtet, nur solche Auftragsverarbeiter zu beauftragen, die ausreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen getroffen werden, um die Verarbeitung im Einklang mit der DSGVO sicherzustellen.

Insbesondere mangelte es an einer angemessenen Auswahl und laufenden Überprüfung der Partneragenturen. Diese Vorfälle verdeutlichen ein in der Praxis häufig anzutreffendes Problem: Die datenschutzrechtliche Verantwortung für beauftragte Dritte wird vielfach unterschätzt oder vernachlässigt, was erhebliche Risiken für Betroffene mit sich bringen kann.

Lese-Tipp: Das sind die fünf höchsten DSGVO-Bußgelder im Mai 2025

Mängel bei der technischen Sicherheit

Ein zweiter zentraler Kritikpunkt der BfDI betraf Schwachstellen in der Authentifizierung bei der kombinierten Nutzung des Kundenportals „MeinVodafone“ und der Vodafone-Hotline. Über diese Sicherheitslücken konnten unbefugte Dritte auf eSIM-Profile und somit auf personenbezogene Daten zugreifen. Für diesen Verstoß gegen Art. 32 Abs. 1 DSGVO wurde eine weitere Geldbuße in Höhe von 30 Millionen Euro verhängt.

Art. 32 DSGVO verpflichtet Verantwortliche zur Implementierung angemessener technischer und organisatorischer Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Fall Vodafone zeigt exemplarisch, welche Gefahren von unzureichenden Authentifizierungsmechanismen ausgehen können. Und das in einer Zeit, in der Bedrohungsszenarien durch Cyberangriffe und Social Engineering stetig zunehmen.

BfDI lobt Vodafone: Während Verfahren alle Umstände offengelegt

Vodafone hat umfassend auf die Kritik der Datenschutzaufsicht reagiert. Laut der BfDI wurden Vertriebsprozesse überarbeitet, Systeme modernisiert und Sicherheitsarchitekturen grundlegend verbessert. Auch die Auswahl- und Kontrollprozesse für Partneragenturen wurden neu strukturiert. Dabei hat sich das Unternehmen von problematischen Vertragspartnern getrennt. In einer Folgekontrolle will die BfDI nun prüfen, ob die getroffenen Maßnahmen dauerhaft wirksam sind.

Besonders hervorzuheben ist, dass Vodafone während des gesamten Verfahrens uneingeschränkt kooperiert und auch selbstbelastende Umstände offengelegt hat. Die Geldbußen wurden akzeptiert und bereits vollständig an die Bundeskasse gezahlt.

Überwachung von Auftragsverarbeitern

Der Fall Vodafone ist exemplarisch für die strukturellen Herausforderungen vieler Unternehmen im Bereich Datenschutz-Compliance. Wie die BfDI betont, bestehen in zahlreichen Branchen Investitionsstaus bei der IT-Modernisierung. Infolge dessen werden häufig Einsparungen bei der Sicherheit vorgenommen, während die Überwachung von Auftragsverarbeitern zu kurz kommt.

Dennoch zeigt das Beispiel auch, dass Datenschutz eine strategische Bedeutung für Unternehmen gewinnen kann. Vodafone hat im Zuge der Aufarbeitung nicht nur seine internen Strukturen gestärkt, sondern darüber hinaus mehrere Millionen Euro an Organisationen gespendet, die sich für Datenschutz, Medienkompetenz und Digital Literacy engagieren.

Mit der Verhängung der Bußgelder sendet die BfDI ein klares Signal: Datenschutzverstöße bleiben nicht folgenlos. Gleichzeitig verfolgt die Behörde einen konstruktiven Ansatz: Unternehmen, die Datenschutz ernst nehmen und sich transparent zeigen, sollen unterstützt werden.

Quelle: Mitteilung der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zum Bußgeldverfahren gegen Vodafone

Tags:
Share this post :
de_DEGerman