Vodafone: 45 Millionen Euro Strafe wegen Datenschutzverstößen

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat gegen Vodafone zwei Geldbußen in einer Gesamthöhe von 45 Millionen Euro verhängt. Es handelt sich um die höchste Geldbuße, die die Datenschutzbehörde jemals ausgesprochen hat. Die Verstöße betreffen sowohl Sicherheitslücken im Kundensystem als auch mangelhafte Kontrolle von Vertriebspartnern, die im Namen von Vodafone Verträge abschlossen.

Der größere Teil – 30 Millionen Euro – bezieht sich auf gravierende Sicherheitsmängel im Authentifizierungsprozess bei der kombinierten Nutzung des Onlineportals "MeinVodafone" mit der Vodafone-Hotline. Diese technischen Schwachstellen ermöglichten es unbefugten Dritten, auf eSIM-Profile zuzugreifen und somit die Telefonnummern von Kunden zu übernehmen.

Weitere 15 Millionen Euro Bußgeld wurden verhängt, weil Vodafone seine Vertriebspartner nicht ausreichend kontrollierte. In Partneragenturen, die im Auftrag des Unternehmens Verträge vermittelten, kam es zu Betrugsfällen. "Böswillig handelnde Mitarbeiter" in diesen Agenturen erstellten fingierte Verträge oder nahmen unerlaubte Vertragsänderungen zum Nachteil der Kunden vor. Vodafone hatte diese Agenturen nicht im ausreichenden Umfang datenschutzrechtlich überprüft und überwacht.

Vodafone hat die Bußgelder akzeptiert und bereits vollständig an die Bundeskasse gezahlt. Das Unternehmen hat während des gesamten Verfahrens "ununterbrochen und uneingeschränkt" mit der Datenschutzbehörde kooperiert und auch Umstände offengelegt, durch die es sich selbst belastet hat.

Das verhängte Bußgeld ist zwar rekordverdächtig, bleibt jedoch deutlich unter dem theoretisch möglichen Höchstbetrag. Die DSGVO erlaubt Strafen von bis zu vier Prozent des weltweiten Jahresumsatzes eines Unternehmens, was bei Vodafone in Deutschland etwa 460 Millionen Euro entsprochen hätte.