Poste Italiane und Postepay: 12,5 Millionen Euro für Betrugsbekämpfung, die installierte Apps auslas

Am 17. April 2026 hat der Garante für den Schutz personenbezogener Daten das Untersuchungsverfahren zu den Apps BancoPosta und PostePay mit einem einzigen Beschluss abgeschlossen und dabei Poste Italiane S.p.A. mit 6.624.000 Euro und Postepay S.p.A. mit 5.877.000 Euro sanktioniert. Insgesamt über 12,5 Millionen Euro, wie in der Pressemitteilung vom 20. April 2026 berichtet. Im Mittelpunkt des Falls stand eine Betrugsbekämpfungsfunktion, die, um die App weiterhin nutzen zu können, Millionen von Android-Kunden den Zugriff auf die Liste der auf dem Telefon installierten und ausgeführten Anwendungen verlangte. Der Fall verdient Beachtung weit über den Bankensektor hinaus, weil der Garante alle Argumente einzeln widerlegt, die am häufigsten vorgebracht werden, wenn eine invasive Verarbeitung mit Sicherheit gerechtfertigt wird.

Ein einziger Beschluss, zwei Sanktionen

Die Entscheidung ist der Beschluss des Garante Nr. 237 vom 17. April 2026, vom Kollegium, bestehend aus Pasquale Stanzione, Präsident und Berichterstatter, Ginevra Cerrina Feroni und Agostino Ghiglia, angenommen. Die beiden Unternehmen werden als gemeinsame Verantwortliche zur Rechenschaft gezogen, nicht als Verantwortlicher und Dienstleister: Beide haben über die Zwecke und Mittel der Apps entschieden, daher sind beide vollständig verantwortlich. Die festgestellten Verstöße betreffen die Artikel 5, 6, 13, 25, 28, 32 und 35 der DSGVO und Artikel 122 des Codice Privacy.

Im veröffentlichten Text sind die Beträge nicht aufgeführt, da im Beschluss eingangs erwähnt wird, dass einige Teile während des laufenden Widerspruchsverfahrens weggelassen wurden. Die beiden Unternehmen haben die Entscheidung tatsächlich angefochten, weshalb sie noch nicht rechtskräftig ist: Die genauen Zahlen sind nur in der Mitteilung der Behörde zu finden, und auch der Absatz über den Verstoß gegen Artikel 32 zur Sicherheit ist geschwärzt.

Wie es begann: 140 Meldungen in zwei Monaten

Zwischen April und Mai 2024 gingen beim Garante 140 Meldungen und 12 Beschwerden ein. Die Nutzer der BancoPosta- und PostePay-Apps auf Android hatten eine Nachricht erhalten, die sie dazu aufforderte, „die App zu autorisieren, auf Daten zuzugreifen, um das Vorhandensein potenziell schädlicher Software zu erkennen“. Die Nachricht wies darauf hin, dass die Option obligatorisch und sofort zu aktivieren sei: Ohne Aktivierung waren maximal drei Zugriffe gestattet, danach wurde die App gesperrt.

Der Bildschirm, auf den der Nutzer weitergeleitet wurde, ermöglichte den Apps den Zugriff auf die sogenannten „Nutzungsdaten“, d.h. die Überwachung der verwendeten Anwendungen und ihrer Nutzungshäufigkeit, sowie die Identifizierung des Telefonanbieters und der Spracheinstellungen. Im selben Zusammenhang eröffnete die Autorità Garante della Concorrenza e del Mercato am 22. April 2024 ein Verfahren wegen unlauterer Geschäftspraktiken und vermutete einen Verstoß gegen die Artikel 20, 24 und 25 des Codice del consumo.

Die Untersuchung des Garante dauerte zwei Jahre: erste Informationsanfrage am 16. April 2024, Inspektionsfeststellung bei Poste Italiane am 17. Juli 2024, zweite Anfrage am 15. Oktober 2024, weitere Klarstellungen im Januar 2025, technischer Bericht der Abteilung für digitale Technologien am 20. März 2025, Einleitung des Sanktionsverfahrens am 2. April 2025, Verteidigungsschrift der Unternehmen am 30. April 2025 und Anhörung am 4. Juni 2025.

Was die App tatsächlich sammelte

Das Tool heißt ThreatMetrix und ist eine in die Apps integrierte Bibliothek, die von Drittanbietern bereitgestellt wird, deren Namen im veröffentlichten Text weggelassen werden. Das Produkt, so erklärt der Garante, ist modular. In der Grundkonfiguration greift es auf eine breite Palette technischer Attribute des Geräts zu, wie Betriebssystem, Hardwaremerkmale, Nutzung von VPNs und Proxys, IP-Adressen, Mobilfunknetz und verschiedene Identifikatoren, die das Geräte-Fingerprinting ermöglichen. Die Unternehmen haben dieser Basis jedoch ein optionales Malware-Erkennungsmodul hinzugefügt, das die Liste der installierten und ausgeführten Apps in Form von MD5-Hash-Signaturen und zugehörigen Metadaten abruft.

Diese Hinzufügung, nicht das Produkt selbst, ist der Kern des Einwands. Die von den Inspektoren überprüfte Überwachungskonsole weist das Attribut „malicious installed apps“ auf, das, wenn es mit einem Wert versehen ist, die Liste der installierten schädlichen Anwendungen als durch Kommas getrennte Hash-Strings zurückgibt. Bei der Inspektion stellte sich außerdem heraus, dass der Zugriff auf diese Konsole mit einer Ein-Faktor-Authentifizierung (Benutzername und Passwort) erfolgte und dass darin direkt den betroffenen Personen zuzuordnende Informationen mit Benutzer-IDs in der Form Vorname.Nachname vorhanden waren.

Die Inspektionszahlen

Zum Zeitpunkt der Feststellung waren die installierten Android-Apps 5.969.456 für BancoPosta und 8.596.350 für PostePay, in beiden Fällen mit über einer Million Installationen, die die Funktionalität nicht unterstützten. Die Einwilligung wurde für 3.226.938 BancoPosta-Apps und 4.492.040 PostePay-Apps eingeholt. Dagegen waren 108.051 BancoPosta-Apps und 195.829 PostePay-Apps blockiert wegen fehlender Erteilung der Autorisierung: über dreihunderttausend Personen, die die App ihrer Bank nicht mehr nutzen konnten. Die Funktion war in Android-Versionen bis einschließlich 7 nicht aktiv, da sie vom Betriebssystem nicht unterstützt wurde, und wurde mit den Releases 20.336.5 von BancoPosta und 11.405.9 von PostePay eingeführt.

Warum die Liste der Apps keine technischen Daten ist

Die Verteidigung der Unternehmen stützte sich auf Artikel 122 des Codice Privacy, der den Zugriff auf bereits auf dem Gerät vorhandene Informationen von der Einwilligung befreit, wenn dies „streng notwendig“ ist, um den vom Nutzer angeforderten Dienst bereitzustellen. Der Garante erinnert daran, dass es sich um eine eng auszulegende Ausnahme handelt, die auf für den technischen Betrieb des Dienstes unerlässliche Vorgänge beschränkt ist und nicht auf Verarbeitungen ausgedehnt werden kann, die, auch wenn sie der Sicherheit oder Betrugsprävention dienen, nicht untrennbar mit dem angeforderten Dienst verbunden sind.

Die wichtigste Passage betrifft die Art der Daten. Die Liste der installierten Anwendungen, so schreibt die Behörde, gehört nicht zu den technischen Merkmalen eines Geräts wie Modell, Betriebssystemversion oder Bildschirmauflösung, da sie indirekt Informationen über die Person preisgeben kann. Der Beschluss nennt konkrete Beispiele: Apps zur Überwachung medizinischer Zustände können den Gesundheitszustand offenbaren, Apps religiöser oder politischer Organisationen können auf religiöse Überzeugungen oder politische Orientierungen schließen lassen, Dating-Apps können Aspekte des Privatlebens oder der sexuellen Orientierung nahelegen, Trading-, Glücksspiel- oder Kredit-Apps können die finanzielle Situation anzeigen, Antivirus-Apps und VPNs offenbaren die Sicherheitsposition des Nutzers. Es handelt sich teilweise um besondere Kategorien personenbezogener Daten im Sinne des Artikels 9 der DSGVO.

Auch die Analogie zu den sogenannten Sicherheits-Cookies, die der Garante in seinen Cookie-Leitlinien von 2021 zu den von der Einwilligung ausgenommenen technischen Cookies zählt, ist nicht haltbar. Für die Behörde sammelt die gewählte Konfiguration Daten, die über das einfache Fingerprinting hinausgehen und potenziell eine Profilerstellung des Nutzers ermöglichen, daher ist sie mit Profiling-Cookies vergleichbar, nicht mit technischen Cookies. Mit einem erschwerenden Umstand im Vergleich zu Cookies: Fingerprinting ist eine passive Technik; der Nutzer kann nichts von seinem Gerät löschen, da nichts gespeichert wird, und das Profil verbleibt allein in der Verfügungsgewalt des Verantwortlichen.

Es gab Alternativen, und die Unternehmen selbst haben es bewiesen

Das Prinzip der Datenminimierung erfordert die bevorzugte Nutzung der weniger invasiven Lösung, wenn es Instrumente gibt, die ein gleichwertiges Sicherheitsniveau gewährleisten. Der Garante listet jene auf, die auch von anderen Betreibern desselben Sektors verwendet werden: Multi-Faktor-Authentifizierung mit Step-Up-Autorisierungen, anonyme Scoring-Algorithmen, Netzwerküberwachung, RASP-Typ-Laufzeitkontrollen, informative In-App-Bildschirme während der Zahlungsvalidierung. Die ThreatMetrix-Lösung selbst generiert in der Basiskonfiguration und ohne das optionale Modul bereits den Geräte-Fingerprint mit ausreichender Präzision.

Um die Argumentation abzurunden, gibt es zwei Fakten, nicht zwei Meinungen. Erstens: Die Unternehmen haben die Funktion später deaktiviert und den vorherigen Betrieb ohne besondere Störungen wiederhergestellt, was bestätigt, dass sie technisch nicht unverzichtbar war. Zweitens: Im Verfahren vor der Kartellbehörde erklärten die Parteien, dass „der Einsatz des neuen Systems in den ersten sieben Monaten der Umsetzung zu keiner größeren oder effizienteren Erkennung von Betrugsfällen führte“, wie im Beschluss der AGCM Nr. 31566/2025 vom 20. Mai 2025 erwähnt. Ein invasiveres Instrument, das keine besseren Ergebnisse liefert, besteht keinen Notwendigkeitstest.

Die Android-Berechtigung ist nicht die DSGVO-Einwilligung

Die Unternehmen behaupteten, nie eine Einwilligung, sondern lediglich eine „technische Autorisierung“ angefordert zu haben, die Android als Zugriff auf Nutzungsdaten bezeichnet und die der Nutzer manuell in den Systemeinstellungen erteilen muss. Der Garante erwiderte, dass Betriebssystemberechtigungen, so nützlich sie auch sein mögen, nicht dafür konzipiert sind, eine gültige Einwilligung im Sinne der Artikel 4 Absatz 11 und 7 der Verordnung einzuholen. Die Einwilligung muss daher unabhängig davon eingeholt werden, ob das Betriebssystem einen Autorisierungsbildschirm anzeigt oder nicht, und sie muss informiert, spezifisch und freiwillig erteilt werden. Es ist schwierig, die Freiwilligkeit einer Entscheidung zu behaupten, wenn die Alternative darin besteht, nach drei Zugriffen den Zugang zur App zu verlieren.

Die PSD2 ist keine Blankovollmacht

Für die nachgelagerte Verarbeitung, d.h. die eigentliche Betrugsüberwachung, beriefen sich die Unternehmen auf die rechtliche Verpflichtung gemäß Artikel 6 Absatz 1 Buchstabe c) der DSGVO und verwiesen auf die Artikel 2 und 18 der technischen EBA-Standards, die mit der Delegierten Verordnung (EU) 2018/389 zur Umsetzung der PSD2 angenommen wurden. Der Garante stellte fest, dass diese Bestimmungen nichts über die Verarbeitung personenbezogener Daten im Rahmen der Betrugsüberwachung aussagen: Sie legen weder Zwecke und Methoden fest noch bestimmen sie die Bedingungen für die Rechtmäßigkeit. Eine rechtliche Verpflichtung dient nur dann als Rechtsgrundlage, wenn die Verarbeitung ausdrücklich gesetzlich vorgeschrieben ist, wie in den Guidelines 1/2024 des EDPB unter Punkt 107 und in Erwägungsgrund 45 der Verordnung klargestellt.

Die korrekte Grundlage, so die Behörde, wäre die Einwilligung oder das berechtigte Interesse gewesen. Aber das berechtigte Interesse erfordert eine dokumentierte Abwägung, die sogenannte LIA (Legitimate Interest Assessment), und im vorliegenden Fall war dieses Dokument für diese Verarbeitungen nicht erstellt worden. Die Unternehmen wendeten ein, sie hätten bereits seit 2021 eine allgemeine Bewertung der Betrugsbekämpfungsaktivitäten vorgenommen: Zu alt und zu allgemein, entgegnet der Garante, da sie die technische Spezifität der beanstandeten Verarbeitungen nicht berücksichtige. Ergebnis: Verstoß gegen Artikel 6, da die Verarbeitung zwar auf ein berechtigtes Interesse zurückzuführen war, aber ohne die Abwägung erfolgte, die dieses berechtigte Interesse voraussetzt.

Information, Beauftragung des Auftragsverarbeiters, DPIA, Speicherung

Transparenz. Die Datenschutzerklärung der Apps nannte unter den gesammelten Daten „die Telefonnummer zur Übermittlung an die Betrugsbekämpfungssysteme von Poste Italiane“. Nirgendwo wurde erwähnt, dass Daten über installierte oder ausgeführte Apps zur Erkennung von Malware gesammelt wurden. Die Nachricht zur Anforderung der Autorisierung erfüllt nach Ansicht des Garante nicht die Anforderungen von Artikel 13. Daraus folgt der Verstoß gegen Artikel 5 Absatz 1 Buchstabe a) und Artikel 13: Eine Verarbeitung, die die betroffene Person vernünftigerweise nicht vorhersehen kann, ist unrechtmäßig. Die Unternehmen haben die Datenschutzerklärungen später im Laufe des Verfahrens überarbeitet.

Artikel 28. Hier ist die Feststellung für jeden aufschlussreich, der Auftragsverarbeiter-Bestellungen unterschreibt. Die Unternehmen haben den Auftragsverarbeiter benannt, ohne die Garantien der technologischen Lösung zu überprüfen, die dieser Auftragsverarbeiter bereits nutzte, und mit einem am 4. April 2024 unterzeichneten Vertrag, der die durch ThreatMetrix durchgeführten Verarbeitungen überhaupt nicht erwähnt. Anhang IV, betitelt „Liste der Unterauftragsverarbeiter“, enthält keine Liste: nur einen Namen mit der Bezeichnung Datenschutzbeauftragter. Die Unternehmen sprechen von materiellen Fehlern ohne Folgen; der Garante erwidert, dass die korrekte Definition der Rollen keine formale Erfüllung ist, sondern die Bedingung, die Rechtmäßigkeit, Transparenz und Kontrolle über die Lieferkette der Unterauftragnehmer ermöglicht.

DPIA und Privacy by Design. Eine Datenschutz-Folgenabschätzung (DPIA) existierte, die sich allgemein auf die Betrugsbekämpfungsplattform bezog. Die Liste der in diesem Dokument verarbeiteten Daten umfasste jedoch Steuernummer, IBAN, IP, Personaldaten, Transaktionen und Geolokalisierung, aber nicht die installierten Apps oder Fingerprinting-Daten. Das heißt, sie betraf nicht die beanstandete Verarbeitung. In diesem Punkt weist der Garante auch das technische Argument zurück, dass der MD5-Hash die Daten nicht personenbezogen machen würde: Der Hash ist eine Pseudonymisierung, keine Anonymisierung, und die Wiederherstellung des Klartextnamens der App anhand ihres Fingerabdrucks ist mit online verfügbaren Diensten einfach und schnell möglich. Es wird der Kassationshof, Zivilkammer I, vom 11. Oktober 2023 zitiert: Die Risikobewertung muss zum Zeitpunkt der Systemgestaltung erfolgen, also bevor die Verarbeitung beginnt.

Speicherung. Bei der Inspektion hatten die Unternehmen 6 Monate angegeben. Danach gaben sie 24 Monate in der Analysedatenbank des Anbieters an, um schließlich auf 28 Monate zu korrigieren, mit der Begründung, dass die zusätzliche Speicherung analytischen und statistischen Zwecken diene und später, dass die vier zusätzlichen Monate die technische Zeit für die sichere Löschung seien. Der Garante widerlegt auch dies: Die Anbieterdokumentation besagt, dass die Daten den Analysten dazu dienen, Analysen zu verbessern und neue Funktionalitäten zu entwickeln, und die Löschung einem automatisierten täglichen Prozess anvertraut ist, weshalb sie keine Monate dauert. Die interne Plattform von Poste speichert übrigens dieselben Daten für 24 Monate. Das Prinzip der Speicherbegrenzung wurde verletzt.

Was der Garante neben der Sanktion angeordnet hat

• Innerhalb von 10 Tagen nach der Benachrichtigung die Verarbeitungen bezüglich der Erhebung von Gerätedaten über installierte oder ausgeführte Apps gemäß Artikel 58 Absatz 2 Buchstabe f) der DSGVO einstellen.
• Innerhalb von 30 Tagen spezifische Speicherfristen für die noch über ThreatMetrix verarbeiteten Daten gemäß Artikel 58 Absatz 2 Buchstabe d) festlegen.
• Dem Garante innerhalb der gleichen Fristen und gemäß Artikel 157 des Codice die ergriffenen Initiativen dokumentieren. Eine Nichtbeantwortung kann die zusätzliche Sanktion gemäß Artikel 83 Absatz 5 Buchstabe e) der Verordnung nach sich ziehen.
• Veröffentlichung des Beschlusses auf der Website der Behörde und Eintragung der Verstöße im internen Register.

Was lernen kann, wer nicht Poste Italiane ist

Es ist verlockend, den Fall als eine Angelegenheit eines großen Bankkonzerns abzutun. Das wäre ein Fehler, denn die beanstandeten Fehler finden sich genau so in Organisationen jeder Größe, nur in kleinerem Maßstab.

• „Die Branchenvorschrift schreibt es vor“ ist keine Rechtsgrundlage. Wenn die Norm die betreffende Verarbeitung nicht beschreibt, deckt die rechtliche Verpflichtung nichts ab. Dies gilt für die PSD2 wie für die NIS2, für die Geldwäschevorschriften wie für Tarifverträge: Prüfen Sie, ob die von Ihnen zitierte Bestimmung tatsächlich besagt, dass diese Daten auf diese Weise verarbeitet werden müssen.
• Die vom Nutzer dem Betriebssystem erteilte Berechtigung ist keine Einwilligung. App-Entwickler müssen diese beiden Dinge trennen: Die technische Autorisierung von Android oder iOS ermöglicht den Zugriff, die Einwilligung gemäß der DSGVO muss gesondert, informiert, spezifisch und widerruflich eingeholt werden. Und sie ist nicht freiwillig, wenn die Ablehnung den Dienst blockiert.
• Wenn Sie berechtigtes Interesse nutzen, muss die LIA existieren und die betreffende Verarbeitung betreffen. Ein generisches, Jahre zuvor erstelltes Dokument deckt keine später eingeführte Technologie ab. Im Falle einer Kontrolle führt das Fehlen der Abwägung zum Wegfall der Rechtsgrundlage, nicht nur der Rechenschaftspflicht.
• Die DPIA muss für das Tool erstellt werden, nicht für den abstrakten Prozess. Wenn das Dokument die Daten, die Sie tatsächlich sammeln, nicht auflistet, ist es für die Behörde so, als ob es nicht existiert. Und sie muss vor der Aktivierung erfolgen, nicht während der Untersuchung.
• Einen Auftragsverarbeiter zu benennen, reicht nicht aus: Man muss ihn überprüfen. Die Garantien von Artikel 28 müssen festgestellt und nicht aus dem Ruf des Anbieters abgeleitet werden. Der Vertrag muss die tatsächlichen Verarbeitungen beschreiben, und die Liste der Unterauftragsverarbeiter muss tatsächlich Namen enthalten.
• Die angegebenen Speicherfristen müssen die tatsächlichen sein, auch beim Anbieter. Eine Abweichung zwischen Datenschutzerklärung und Praxis ist ein eigenständiger Verstoß, und niemand kann Ihnen sagen, wie lange Ihr Unterauftragnehmer Daten tatsächlich speichert, wenn Sie ihn nicht schriftlich danach fragen.
• Sicherheit ist kein Freifahrtschein, um mehr zu sammeln. Die Pflicht zur Ergreifung geeigneter Maßnahmen legitimiert an sich keine über das Notwendige hinausgehende Erhebung: Wenn ein weniger invasiver Weg bei gleicher Wirksamkeit existiert, ist dieser der obligatorische Weg.

PL Consulting unterstützt Unternehmen und Organisationen genau in diesen Punkten: Datenschutz-Folgenabschätzungen, die sich auf die einzelne Technologie und nicht auf den generischen Prozess beziehen, und die Ernennung von Auftragsverarbeitern mit effektiver Überprüfung der Garantien und der Lieferkette der Unterauftragnehmer. Wenn Sie ein Tool einführen, das etwas auf den Geräten Ihrer Nutzer oder Mitarbeiter ausliest, ist der richtige Zeitpunkt, dies zu prüfen, bevor Sie es aktivieren.

Artikel aktualisiert am 2. August 2026 anhand des vom Garante veröffentlichten Beschlusses Nr. 237 vom 17. April 2026 (Dokumenten-Web 10241537) und der Pressemitteilung vom 20. April 2026 (Dokumenten-Web 10241568). Die Unternehmen haben Widerspruch eingelegt: Das Verfahren ist anhängig und einige Teile des Beschlusses, darunter die Beträge und die Begründungen zur Sicherheit, sind im veröffentlichten Text weggelassen worden.