Was geschah
Eine Mitarbeiterin von Poste Italiane fand nach der Ablehnung ihres eigenen Kreditantrags auf einer Plattform, die einigen Beschäftigten zugänglich war, Angaben zu ihrer finanziellen Lage: Nettoeinkommen und laufende Verpflichtungen. Ihre Beschwerde löste das Verfahren aus. Mit den Entscheidungen Nr. 746 und 747 vom 7. Oktober 2026, bekanntgegeben im Newsletter vom 23. Oktober, verhängte der Garante 48.000 Euro gegen Poste Italiane und 33.000 Euro gegen die Deutsche Bank.
Kern ist nicht die Plattform, sondern das Verhältnis der beiden Unternehmen. Poste nahm Anträge entgegen und vermittelte, indem es das passende Produkt auswählte; die Deutsche Bank prüfte eigenständig die Kreditwürdigkeit und entschied über die Vergabe. Jedes bestimmte also selbst Zwecke und Mittel: Für den Garante handelten sie als eigenständige Verantwortliche, entgegen der formalen Regelung in ihren Verträgen.
Die zwei Verstöße
- Poste Italiane hatte die Antragsteller nicht ausreichend über die Verarbeitung bei Bewerbung und Vermittlung informiert, insbesondere nicht über Empfänger und Datenflüsse zur Bank.
- Die Deutsche Bank hatte in ihrem Hinweis die Rolle von Poste Italiane als Empfänger und eigenständiger Verantwortlicher nicht korrekt angegeben; sie muss ihn binnen sechs Monaten anpassen.
- Im Verfahren löschten beide die Daten der Beschwerdeführerin; Poste aktualisierte den Hinweis, die Bank wies ihr Personal an, personenbezogene und Kreditdaten in der Kommunikation zu begrenzen.
Der Garante erinnerte daran, dass Datenschutzhinweise klar, vollständig und verständlich angeben müssen, wer die Daten verarbeitet, zu welchen Zwecken und an wen sie weitergegeben werden: Kürze darf nicht zum Weglassen wesentlicher Angaben führen.
Die Prüfung bei Mandanten, die Produkte anderer vertreiben
Agenturen, Vermittler, Vertriebsnetze, Vergleichsportale, Abholstellen: Legen Sie den Vertrag mit dem Partner neben das, was tatsächlich geschieht. Wer wählt das Produkt? Wer entscheidet über das Ergebnis? Wer darf die Daten für sich nutzen? Entscheidet jeder selbst, gibt es zwei Verantwortliche, und ein Auftragsverarbeitungsvertrag (Art. 28) trägt nicht. Prüfen Sie dann den Hinweis: Er muss sagen, dass Daten an den Partner gehen, in welcher Rolle und wozu.
Rollen werden nicht gewählt, indem man sie in den Vertrag schreibt: Sie ergeben sich daraus, wer Zwecke und Mittel bestimmt (Art. 4 Nr. 7 DSGVO). Ein Vertrag, der ein anderes Verhältnis beschreibt als das tatsächliche, schützt keine Partei; er führt zu falschen Hinweisen, genau das wurde hier sanktioniert.
Halten Sie in der Mandantenakte für jeden Geschäftspartner die tatsächliche Rolle (eigenständig Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter), das regelnde Dokument und die Stelle im Datenschutzhinweis fest. In DPO Workspace halten die Beziehungskarte und das Verarbeitungsverzeichnis alle drei zusammen.
Offizielle Quelle:Garante per la protezione dei dati personali — Newsletter n. 554 del 23 ottobre 2026Offizielle Quelle:Garante per la protezione dei dati personali — provvedimento n. 746 del 7 ottobre 2026 [doc. web 10310707]Offizielle Quelle:Garante per la protezione dei dati personali — provvedimento n. 747 del 7 ottobre 2026 [doc. web 10310391]Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
