Was geschehen ist
Ein Kunde von BBVA Italia schaltet in der App Werbemitteilungen ab. Die Werbebenachrichtigungen gehen weiter. Er widerspricht ein zweites Mal, diesmal schriftlich beim Kundendienst. Sie gehen trotzdem weiter. Das zieht sich von Oktober 2025 bis Mai 2026, rund sieben Monate, bis er am 11. März 2026 Beschwerde bei der Behörde einlegt. Mit der Entscheidung Nr. 613 vom 3. September 2026 belegte die Behörde die Bank mit 5.508.000 Euro wegen Verstößen gegen Art. 5, 12, 21 und 24 DSGVO und ordnete technische und organisatorische Maßnahmen an, die eine korrekte und zeitnahe Bearbeitung von Betroffenenanfragen sicherstellen.
Die Verteidigung der Bank war technisch: eine Störung im CRM, der Software, die die Kundendaten zusammenhält. Der Widerspruch war erfasst worden, er wurde nur nicht an die Systeme weitergegeben, die die Benachrichtigungen versenden. So gesagt klingt es nach Pech; von der Seite der betroffenen Person aus ist es genau dasselbe, als hätte man ihn nie erfasst.
Warum eine Störung keine Entschuldigung ist
Art. 21 Abs. 3 sagt nicht, der Verantwortliche müsse den Widerspruch zur Kenntnis nehmen: er sagt, die Daten werden nicht mehr für Zwecke der Direktwerbung verarbeitet. Das ist eine Erfolgspflicht, keine Sorgfaltspflicht. Und Art. 24 verlangt geeignete technische und organisatorische Maßnahmen, einschließlich jener, die prüfen, ob die übrigen wirken. Ein Widerspruch, der ins System hineingeht und auf der anderen Seite nicht herauskommt, belegt genau das Fehlen dieser Prüfung.
- Der Widerspruch gegen Direktwerbung ist absolut: keine Abwägung, kein berechtigtes Interesse, das standhält, und die betroffene Person muss ihn nicht begründen.
- Er ist ohne unangemessene Verzögerung umzusetzen, Bezugsfrist ist die des Art. 12 Abs. 3: ein Monat.
- Die Präferenz zu erfassen und sie weiterzugeben sind zwei verschiedene Vorgänge: der zweite zählt, und fast niemand prüft ihn.
- Eine zweite Meldung derselben Person ist ein Alarm: sie bedeutet, dass die erste nicht gewirkt hat und es niemand bemerkt hat.
- Der Verantwortliche muss nachweisen können, dass der Widerspruch umgesetzt wurde, nicht nur eingegangen ist — das ist Art. 5 Abs. 2.
Der Test von einer halben Stunde, den fast niemand macht
Er heißt Propagationstest und geht so: man nimmt ein Dienstpostfach, meldet es an, widerspricht über den Kanal, den ein Kunde nutzen würde, und wartet. Kommt nach zwei Wochen noch etwas an, besteht das Problem und ist dokumentiert, bevor eine Behörde es dokumentiert. Es lohnt sich für jedes System, das Mitteilungen versendet: E-Mail, SMS, In-App-Benachrichtigungen, Telefon. Das sind oft vier verschiedene Systeme, und der Widerspruch muss in allen vieren ankommen.
Dann der Punkt, der diese Entscheidung weit über das Bankwesen hinaus nützlich macht. Eine Störung ist ein Risiko, das das Verarbeitungsverzeichnis nicht sieht: im Verzeichnis steht, dass Widersprüche bearbeitet werden, und formal stimmt das. Was das Verzeichnis nicht sagt, ist, ob zwischen dem Formular und dem versendenden System ein Schritt liegt, der lautlos brechen kann. Diese Frage stellt keine Vorlage: sie stellt der Datenschutzbeauftragte, der hinschaut.
Was heute konkret zu tun ist. Für jeden Mandanten, der Werbemitteilungen versendet, drei Zeilen in der Akte: aus welchen Systemen die Nachrichten kommen, wo der Widerspruch erfasst wird, und wer — mit Datum — geprüft hat, dass das Zweite das Erste stoppt. Ist die dritte Zeile leer, ist das die Zeile, die diese Woche zu füllen ist, denn sie ist die einzige, deren Nachweis eine Behörde verlangen würde.
Offizielle Quelle:Garante per la protezione dei dati personali — BescheideOffizielle Quelle:Altalex — Wenn das CRM das Widerspruchsrecht gegen Direktwerbung aushebeltOffizielle Quelle:Cybersecurity360 — Bußgeld gegen BBVA: wenn das CRM das Widerspruchsrecht aushebeltSuchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
