Das Wichtigste in Kürze
- Hohes DSGVO-Bußgeld von 9,55 Mio. Euro gegen 1&1 wegen mangelhafter Authentifizierung bei der Kundenhotline.
- Verstoß gegen Art. 32 DSGVO aufgrund unzureichender technisch-organisatorischer Maßnahmen (TOMs), die Unbefugten Zugang zu Kundendaten ermöglichten.
- 1&1 legt Klage gegen den Bußgeldbescheid ein und verweist auf die Weiterentwicklung ihrer Sicherheitsstandards seit dem Vorfall im Jahr 2018.
- Unternehmen müssen ihre Authentifizierungsverfahren und TOMs kontinuierlich überprüfen und anpassen, um hohe Bußgelder und Reputationsschäden zu vermeiden.
- Besondere Relevanz für Bereiche mit direktem Kundenkontakt wie Hotlines und Support im SaaS-Bereich, wo sichere Authentifizierung unerlässlich ist.
Hohes DSGVO-Bußgeld für 1&1 Telecom GmbH wegen mangelhaften Datenschutzes
Die Datenschutzbehörden verstärken ihre Aktivitäten, und immer mehr Bußgeldverfahren werden eingeleitet. Nun hat der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) die 1&1 Telecom GmbH mit einer Geldbuße in Höhe von 9.550.000 Euro belegt. Dieser Fall unterstreicht die wachsende Ernsthaftigkeit, mit der Datenschutzverstöße geahndet werden.
Hintergrund des DSGVO-Bußgeldes gegen 1&1 Telecom GmbH
Nach Auffassung des BfDI hatte das Unternehmen keine hinreichenden technisch-organisatorischen Maßnahmen (TOMs) ergriffen. Dies führte dazu, dass Unbefugte bei der telefonischen Kundenbetreuung weitreichende Auskünfte zu Kundendaten erhalten konnten.
Verstoß gegen Artikel 32 DSGVO
Anrufer konnten bei der Kundenbetreuung des Unternehmens allein durch Angabe des Namens und Geburtsdatums eines Kunden Zugang zu sensiblen, personenbezogenen Daten erhalten. In diesem Authentifizierungsverfahren sieht der BfDI einen klaren Verstoß gegen Artikel 32 DSGVO. Dieser Artikel verpflichtet Unternehmen, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Verarbeitung von personenbezogenen Daten systematisch zu schützen.
Die Reaktion von 1&1 Telecom GmbH und die Bedeutung für andere Unternehmen
Nachdem der BfDI den unzureichenden Datenschutz bemängelt hatte, zeigte sich die 1&1 Telecom GmbH einsichtig. Das Unternehmen kündigte an, ein neues, technisch und datenschutzrechtlich deutlich verbessertes Authentifizierungsverfahren einzuführen. Auch wenn die Höhe des Bußgeldes primär der Größe von 1&1 und der potenziellen Menge an Kundendaten geschuldet ist, ist der Umgang mit persönlichen Daten – sei es telefonisch oder per E-Mail – für die meisten Unternehmen relevant. Viele unterschätzen das Risiko eines DSGVO-Bußgeldes oft noch.
Es ist daher entscheidend, sich umfassend mit dem betrieblichen Datenschutz auseinanderzusetzen und angemessene Schutzmaßnahmen zu implementieren. Dies gilt insbesondere für Bereiche mit direktem Kundenkontakt, wie etwa die Kundenhotline und Support im SaaS-Bereich, wo eine sichere Authentifizierung unerlässlich ist.
Update: Stellungnahme der 1&1 Telecom GmbH zum Bußgeldbescheid
Die 1&1 Telecom GmbH hat angekündigt, den gegen sie erlassenen Bußgeldbescheid des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit nicht zu akzeptieren und dagegen Klage einzureichen. Der Bundesdatenschutzbeauftragte hatte für einen Einzelfall ein Bußgeld in Höhe von 9,55 Mio. Euro verhängt. Die Behörde wirft 1&1 vor, durch eine nicht den Standards entsprechende Authentifizierung am Telefon die technischen und organisatorischen Maßnahmen zum Schutz von personenbezogenen Daten nicht eingehalten zu haben.
Der konkrete Vorwurf und die damaligen Standards
In diesem Verfahren ging es nicht um den generellen Schutz der bei 1&1 gespeicherten Daten. Vielmehr stand die Frage im Vordergrund, wie Kunden auf ihre Vertragsinformationen zugreifen können. Der fragliche Fall ereignete sich bereits 2018. Konkret handelte es sich um die telefonische Abfrage der Handynummer eines ehemaligen Lebenspartners.
Die zuständige Mitarbeiterin erfüllte dabei alle Anforderungen der damals bei 1&1 gültigen Sicherheitsrichtlinien. Zu diesem Zeitpunkt war eine Zwei-Faktor-Authentifizierung üblich, einen einheitlichen Marktstandard für höhere Sicherheitsanforderungen gab es zu diesem Zeitpunkt nicht.
Kontinuierliche Sicherheitsentwicklung bei 1&1
- Einführung einer dreistufigen Authentifizierung
- Bereitstellung einer persönlichen Service-PIN für jeden Kunden
Die Datenschutzbeauftragte von 1&1, Dr. Julia Zirfas, betont die hohen Sicherheitsstandards des Unternehmens: „Die Sicherheit der Daten vieler Millionen Kunden hat für uns oberste Priorität. Deshalb hält sich 1&1 strikt an die geltenden Datenschutzvorschriften.“
Fazit
Der Fall 1&1 zeigt deutlich, wie wichtig robuste Authentifizierungsverfahren und ein kontinuierliches Monitoring des Datenschutzes sind. Unternehmen sollten diesen Vorfall als Anlass nehmen, ihre eigenen technischen und organisatorischen Maßnahmen kritisch zu überprüfen und bei Bedarf anzupassen. Nur so lassen sich hohe Bußgelder und Reputationsschäden vermeiden.