Kurz gefasst
Die italienische Datenschutzbehörde hat gegen Altroconsumo Edizioni Srl ein Bußgeld von 280.000 Euro verhängt (Bescheid vom 18. Juni 2026, Doc. web 10269624). Zwei Stränge: die Nutzung der über www.altroconsumo.it erhobenen Daten für E-Mail-Marketing und die verspätete Beantwortung von Betroffenenanfragen. Zum zweiten Punkt war das Unternehmen bereits zuvor mit einem Bescheid belegt worden.
Der Sachverhalt
Das Verfahren geht auf die Beschwerde eines Bürgers zurück, der Werbe-E-Mails des Verlags erhielt, ohne die erforderliche Rechtsgrundlage und obwohl er bereits um Einstellung gebeten hatte. Der Beschwerdeführer hatte das Mitgliedsformular auf der Website nie ausgefüllt, und das Unternehmen konnte die Richtigkeit des Vertragsverhältnisses, auf das es den Versand stützte, nicht nachweisen.
Der technische Fehler, der eigentliche Grund des Bußgelds
Im Verfahren stellte sich heraus, dass die Registrierungsprozedur der Website nicht durch geeignete technische und organisatorische Maßnahmen begleitet war, um das Risiko rechtswidriger Verarbeitungen zu verhindern, insbesondere dann nicht, wenn Registrierung und Vertragsverhältnis nicht zustande kamen. Konkret: Auch wenn Nutzer die Kontoerstellung nicht bestätigten — sich also nicht anmeldeten — behandelte das Unternehmen den Vertrag als geschlossen und versandte Werbe-E-Mails.
Warum das fast alle Ihre Mandanten betrifft
Das Muster ist alltäglich: ein Registrierungsformular, eine Bestätigungsmail und eine Datenbank, die den Datensatz im ersten statt im zweiten Schritt schreibt. Niemand macht das absichtlich. Das Ergebnis ist aber, dass die Adresse derjenigen, die auf halbem Weg abgesprungen sind — der größte Anteil jedes Anmeldetrichters — mit einem Kennzeichen „registrierter Nutzer" in der Liste bleibt, das nie jemand geprüft hat.
Die Fragen an den Mandanten
- Wann wird der Nutzerdatensatz geschrieben: beim Absenden des Formulars oder bei Bestätigung des per E-Mail versandten Links?
- Wenn die Bestätigung nie kommt: Was passiert mit dem Datensatz nach 24 Stunden, 7 Tagen, 30 Tagen? Gibt es eine automatische Löschung?
- Ist die im Verzeichnis angegebene Rechtsgrundlage der Vertrag oder die Einwilligung? Und kann das System beide Gruppen unterscheiden?
- Wirkt ein auf einem Kanal erklärter Werbewiderspruch in allen Systemen oder nur dort, wo er erfasst wurde?
- Wie viel Zeit vergeht zwischen Betroffenenanfrage und Antwort? Wird das gemessen, oder merkt man es erst bei der Beschwerde?
Die angeordneten Maßnahmen
- Geldbuße von 280.000 Euro
- Anordnung, die Verarbeitung der Daten derjenigen einzustellen, die die Kontoerstellung nicht bestätigt haben
- Anordnung, die Verarbeitungsverfahren an die DSGVO anzupassen
Schwerer umzusetzen ist die zweite Anordnung
Die Verarbeitung derjenigen einzustellen, die das Konto nicht bestätigt haben, setzt voraus, dass das Unternehmen diese Gruppe überhaupt isolieren kann. Unterscheidet die Datenbank bestätigte nicht von nie bestätigten Konten, verlangt die Umsetzung eine Bereinigung noch vor der Löschung. Diese Arbeit macht man besser, bevor eine Behörde sie verlangt.
Der zweite Strang verdient eine eigene Anmerkung: das Fehlen geeigneter Maßnahmen für die wirksame Ausübung der Rechte und eine Antwort ohne unangemessene Verzögerung. Das Unternehmen war dafür bereits sanktioniert worden. Ein Wiederholungsfall bei einer Verfahrenspflicht — Antwort binnen eines Monats — wiegt schwerer, als die meisten Verantwortlichen annehmen, denn er zeigt, dass der erste Bescheid organisatorisch folgenlos blieb.
Offizielle Quelle:Garante privacy - Provvedimento del 18 giugno 2026 [10269624]Offizielle Quelle:Garante privacy - Newsletter n. 550 del 29 luglio 2026Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
