Kurz gefasst
Die italienische Datenschutzbehörde hat gegen Lusha Systems Inc. 2 Millionen Euro verhängt. Das US-Unternehmen betreibt eine Plattform zur Kontaktanreicherung: berufliche Position, E-Mail-Adressen, Telefonnummern. Der Bescheid datiert vom 14. Juli 2026 und wurde am 27. Juli bekannt gegeben.
Woher die Daten kamen
Das Unternehmen sammelte Informationen aus mehreren Quellen: Scraping sozialer Netzwerke und Zukauf bei anderen Datenhändlern. Anschließend stellte es sie den Plattformkunden für kommerzielle Zwecke oder zur Betrugsabwehr bereit. Unter den abrufbaren Informationen fanden sich auch Daten hoher Amtsträger, Beamter der öffentlichen Verwaltung, Angehöriger der Polizei und von Richtern.
Genau das unterscheidet diesen Fall von üblichen Marketingfällen: keine dieser Personen hatte je eine Beziehung zum Unternehmen, und keine wusste, in einem zum Verkauf stehenden Katalog zu stehen.
Was die Behörde beanstandet hat
- Verstoß gegen die Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz
- Verstoß gegen den Grundsatz der Datenminimierung
- Eine Information, die für die Betroffenen weder klar noch leicht zugänglich war
- Fehlen einer geeigneten Rechtsgrundlage: das berechtigte Interesse wurde für diese Verarbeitung nicht als tragfähig angesehen
Die Zurückweisung des berechtigten Interesses ist der Teil, der über den Einzelfall hinausreicht. Der Datenhandel stützt sich seit Jahren darauf: öffentlich zugängliche berufliche Daten sammeln, anreichern, weiterverkaufen und das eigene wirtschaftliche Interesse für überwiegend halten. Die Behörde sagt, diese Abwägung trägt nicht, wenn die betroffene Person keinerlei Beziehung zum Verantwortlichen hat, die Verarbeitung nicht erwarten kann und keine verständliche Information erhält.
Das Unternehmen ist amerikanisch — na und?
Lusha hat keine Niederlassung in Italien, und das hat nicht geschützt. Der Bescheid ist ein Beispiel für die extraterritoriale Reichweite der Verordnung: betrifft die Verarbeitung Personen in der Union und knüpft sie an das Angebot von Diensten oder die Beobachtung ihres Verhaltens an, gelten die Regeln unabhängig vom Sitz des Verantwortlichen.
Neben dem Bußgeld untersagte die Behörde dem Unternehmen die Verarbeitung personenbezogener Daten von Personen in Italien und ordnete die Löschung des unrechtmäßig Erhobenen an.
Die Frage an Mandanten, die Listen kaufen
Nutzt ein Mandant eine Plattform zur Kontaktanreicherung für den Vertrieb — und das tun sehr viele — betrifft ihn dieser Bescheid unmittelbar. Nicht als Sanktionierter, sondern als Verantwortlicher, der Daten aus unrechtmäßiger Quelle bezogen hat: im Verfahren haftet, wer die Nachricht sendet, nicht wer die Liste verkauft hat. Eine Frage: woher stammen diese Kontakte, und kann die Plattform das für jeden einzelnen belegen?
Was sich praktisch ändert
- Eine vertragliche Erklärung, „die Daten werden DSGVO-konform erhoben", ist kein Nachweis, sondern ein Versprechen
- Die Pflicht, die betroffene Person binnen eines Monats zu informieren, wenn die Daten nicht bei ihr erhoben wurden, trifft den, der sie nutzt
- Wird der Anbieter mit einem Verarbeitungsverbot belegt, werden bereits heruntergeladene Daten nicht dadurch rechtmäßig, dass sie früher heruntergeladen wurden
- Für jede eingesetzte Plattform lohnt die Prüfung, ob gegen sie Bescheide europäischer Behörden ergangen sind: sie sind öffentlich
Der Markt für berufliche Kontaktdaten ist in der Grauzone zwischen „öffentliche Daten" und „frei verwendbare Daten" gewachsen — zweierlei. Dieser Bescheid sagt so klar wie wenige: öffentlich zugänglich heißt nicht zum Weiterverkauf verfügbar.
Offizielle Quelle:Garante privacy - Il Garante privacy sanziona Lusha per 2 milioni di euro. Monitorati e in vendita i dati di un elevato numero di persone (comunicato 27 luglio 2026)Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
