Auf einen Blick
Der Garante Privacy hat TIM mit einem Bußgeld von fast 9,5 Millionen Euro wegen unzulässiger Telemarketing-Praktiken und unzureichenden Schutzes der Daten seiner Kunden und potenziellen Kunden belegt. Das Unternehmen wurde dafür verantwortlich befunden, externe, teils unseriöse Callcenter zugelassen zu haben, die Personen ohne deren Einwilligung kontaktierten und dabei häufig Täuschungsmethoden anwandten, um die Anrufe legitim erscheinen zu lassen. Des Weiteren erschwerte TIM den Bürgern die Löschung ihrer Daten oder die Sperrung unerwünschter Anrufe. Die Entscheidung verdeutlicht, dass große Unternehmen ihr gesamtes Vertriebsnetz sorgfältig überprüfen und sicherstellen müssen, dass Daten von Anfang an korrekt verarbeitet werden, unter Respektierung der Rechte aller Betroffenen.
Was zu tun ist
- Wenn Sie Werbeanrufe erhalten, überprüfen Sie immer die Identität des Anrufers und dessen Berechtigung;
- Klicken Sie nicht auf verdächtige oder unerwünschte Links;
- Melden Sie sich im öffentlichen Widerspruchsregister an, um unerwünschte Anrufe zu sperren;
- Üben Sie Ihre Rechte auf Löschung oder Widerspruch klar aus und, falls erforderlich, per zertifizierter E-Mail (PEC);
- Melden Sie dem Garante Privacy unzulässige Telemarketing-Praktiken oder Schwierigkeiten bei der Ausübung Ihrer Rechte.
Was zu vermeiden ist
- Geben Sie keine personenbezogenen Daten an nicht verifizierte Anrufer weiter;
- Stimmen Sie keinen Werbeanrufen oder -mitteilungen zu, ohne genau verstanden zu haben, was Sie genehmigen;
- Ignorieren Sie nicht die Möglichkeit, Einwilligungen zu widerrufen oder die Löschung Ihrer Daten zu verlangen.
Hintergrund
Die Aufsichtsbehörde leitete eine Untersuchung gegen TIM S.p.A. ein, nachdem zahlreiche Beschwerden und Meldungen auf missbräuchliches Telemarketing hinwiesen. Nicht autorisierte Callcenter führten im Auftrag von TIM Werbeanrufe durch, wobei sie Rufnummern außerhalb des offiziellen Netzes oder Spoofing-Techniken verwendeten, auch gegenüber Anschlüssen, die im öffentlichen Widerspruchsregister (RPO) eingetragen waren. Diese Praktiken zielten auf die unrechtmäßige Erhebung personenbezogener Daten ab, oft durch den Versand von SMS-Links, die falsche Rückrufanfragen (Leads) generierten, was den Vertragsprozess formal korrekt erscheinen ließ. Die Untersuchung deckte systemische Mängel in TIMs Kontrollen über seine Vertriebspartner auf, das vollständige Fehlen von Mechanismen zur Überprüfung der tatsächlichen Inhaberschaft der Rufnummern in Online-Formularen und komplexe Hindernisse bei der Ausübung der Rechte der betroffenen Personen (z. B. umständliche Opt-out-Verfahren, verspätete oder unzureichende Rückmeldungen).
Die Entscheidung
Der Garante stellte die Verantwortung von TIM S.p.A. für Verstöße gegen Art. 5, 6, 7, 12, 15 bis 22, 24, 25, 28, 32 der DSGVO und Art. 130 des Codice Privacy fest. Die Verstöße betreffen hauptsächlich das Fehlen einer gültigen Rechtsgrundlage für Werbekontakte, die Verletzung des Rechenschaftsprinzips (Accountability) aufgrund der Ineffektivität der Kontrollsysteme über das Vertriebsnetz, die unterlassene Einführung angemessener technischer und organisatorischer Maßnahmen bereits bei der Entwicklung (Data Protection by Design), die Unzulänglichkeit der Sicherheitsmaßnahmen für die Einholung von Einwilligungen und die Auftragsverwaltung, und die Erschwernis der Ausübung der Rechte der betroffenen Personen. Der Garante wies TIM an, Korrekturen in den Rückrufverfahren einzuführen, angemessene Kontrollmaßnahmen für die Partner zu ergreifen und die Verfahren zur Ausübung der Rechte zu verbessern. Es wurde ein Bußgeld von 9.516.000,00 Euro verhängt, unter Berücksichtigung erschwerender Umstände (Fahrlässigkeit, frühere Verstöße) und mildernder Umstände (Kooperation, Investitionen, keine Verarbeitung besonderer Datenkategorien, Einhaltung eines Verhaltenskodex).
Verletzte DSGVO-Artikel
| Artikel | Beschreibung | Relevanz |
|---|---|---|
|
5 par.1 lett.a DSGVO |
Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz der Verarbeitung. | unrechtmäßige verarbeitung personenbezogener daten zu werbezwecken ohne gültige rechtsgrundlage. |
|
5 par.2 DSGVO |
Rechenschaftspflicht (Accountability), die den Verantwortlichen verpflichtet, die Einhaltung der Verordnung nachweisen zu können. | unterlassene einführung angemessener kontroll- und Überwachungssysteme im vertriebsnetz zur gewährleistung der dsgvo-konformität und der rechtmäßigkeit der marketingaktivitäten. |
|
6 DSGVO |
Rechtmäßigkeit der Verarbeitung, die eine gültige Rechtsgrundlage (z. B. Einwilligung, Vertragserfüllung) für die Verarbeitung personenbezogener Daten erfordert. | durchführung oder zulassung von werbekontakten ohne gültige rechtsgrundlage, wie eine freie und spezifische einwilligung, auch gegenüber im rpo eingetragenen nutzern. |
|
7 DSGVO |
Bedingungen für die Einwilligung, die freiwillig, spezifisch, informiert und eindeutig sein muss. | nicht genuine einwilligung für marketingaktivitäten, beeinträchtigt durch unrechtmäßige lead-generierungspraktiken und schwierigkeiten beim widerruf (nicht so einfach wie die erteilung). |
|
12 par.2 DSGVO |
Transparenz der Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person, die erleichtert werden müssen. | erschwernis der ausübung der rechte der betroffenen personen, indem die abmeldeverfahren (opt-out) umständlich und komplex gestaltet wurden, mit hindernissen wie obligatorischen logins. |
|
12 par.3 DSGVO |
Fristen für die Beantwortung von Anfragen der betroffenen Person, die unverzüglich und in jedem Fall innerhalb eines Monats erfolgen muss. | ausbleibende, verspätete oder unzureichende beantwortung von anfragen zur ausübung der rechte der betroffenen personen, Überschreitung der gesetzlichen fristen und unsachgemäße verwendung von zwischenbescheiden. |
|
15 DSGVO |
Recht der betroffenen Person auf Auskunft über ihre personenbezogenen Daten. | ausbleibende oder unzureichende beantwortung von auskunftsersuchen zur kenntnis der herkunft und verarbeitungsmodalitäten personenbezogener daten. |
|
16 DSGVO |
Recht auf Berichtigung unrichtiger personenbezogener Daten. | verstoß gegen die bestimmungen zur ausübung der rechte der betroffenen personen, für diesen artikel nicht spezifisch detailliert. |
|
17 DSGVO |
Recht auf Löschung (Recht auf Vergessenwerden) personenbezogener Daten. | ausbleibende oder verspätete bearbeitung von löschungsanträgen personenbezogener daten und ineffektive opt-out-verfahren. |
|
18 DSGVO |
Recht auf Einschränkung der Verarbeitung personenbezogener Daten. | verstoß gegen die bestimmungen zur ausübung der rechte der betroffenen personen, für diesen artikel nicht spezifisch detailliert. |
|
19 DSGVO |
Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung. | verstoß gegen die bestimmungen zur ausübung der rechte der betroffenen personen, für diesen artikel nicht spezifisch detailliert. |
|
20 DSGVO |
Recht auf Datenübertragbarkeit personenbezogener Daten. | verstoß gegen die bestimmungen zur ausübung der rechte der betroffenen personen, für diesen artikel nicht spezifisch detailliert. |
|
21 DSGVO |
Widerspruchsrecht gegen die Verarbeitung personenbezogener Daten, einschließlich Direktmarketing. | ausbleibende bearbeitung von widersprüchen gegen die verarbeitung zu werbezwecken, mit wiederholten sendungen unerwünschter mitteilungen. |
|
22 DSGVO |
Automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling. | verstoß gegen die bestimmungen zur ausübung der rechte der betroffenen personen, für diesen artikel nicht spezifisch detailliert. |
|
24 DSGVO |
Verantwortlichkeit des Verantwortlichen bei der Umsetzung geeigneter technischer und organisatorischer Maßnahmen. | unterlassene einführung geeigneter technischer und organisatorischer maßnahmen zur gewährleistung der verarbeitungskonformität und zur verhinderung von verstößen durch die vertriebskette. |
|
25 DSGVO |
Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. | unterlassene einführung geeigneter technischer und organisatorischer maßnahmen zur gewährleistung des datenschutzes bereits bei der konzeption von lead-akquise- und Überwachungssystemen. |
|
28 DSGVO |
Auftragsverarbeiter, der erfordert, dass der Verantwortliche nur Auftragsverarbeiter hinzuzieht, die hinreichende Garantien bieten. | unterlassene vorabprüfung der partner als auftragsverarbeiter und unterlassene Überwachung der einhaltung der vorschriften durch das vertriebsnetz. |
|
32 DSGVO |
Sicherheit der Verarbeitung, die angemessene technische und organisatorische Maßnahmen erfordert, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. | unzureichende und unangemessene sicherheitsmaßnahmen in bezug auf die einwilligungs-erfassung und die auftragsverwaltungssysteme. |
|
130 Codice Privacy |
Unerwünschte Kommunikation mittels automatisierter Systeme ohne menschliches Eingreifen oder per E-Mail. | versand von werbemitteilungen ohne vorherige und gültige einwilligung, auch an im rpo eingetragene nutzer. |
Auferlegte Maßnahmen
Korrekturen im Kundenrückrufverfahren einzuführen, nach Anfragen, die über die Webseiten des Unternehmens oder seiner Partner übermittelt wurden, um die massive Eingabe von Rufnummern für einen Rückruf zu verhindern und zu dokumentieren, dass die Einwilligung zum Rückruf von der tatsächlich betroffenen Person stammt; Angemessene Kontroll- und Überwachungsmaßnahmen für die Aktivitäten ihrer Partner zu ergreifen und zu gewährleisten, dass die Durchführung von Werbeaktivitäten im Namen des Unternehmens in voller Übereinstimmung mit den Datenschutzvorschriften erfolgt; Die Verfahren zur Gewährleistung der Ausübung der Rechte gemäß Art. 15-22 der DSGVO anzupassen, um das Ausbleiben oder die Verzögerung von Antworten sowie die systematische Verlängerung der Fristen zu verhindern oder zumindest erheblich zu reduzieren; Die Behörde innerhalb von dreißig Tagen nach Zustellung der Verfügung über die ergriffenen Maßnahmen zur Umsetzung der auferlegten Anordnungen zu informieren.
Sanktion
TIM S.p.A. wurde mit einem Bußgeld von 9.516.000,00 Euro wegen mehrfacher Verstöße gegen die DSGVO und den Codice Privacy belegt. Die festgestellten Verstöße umfassen die unrechtmäßige Handhabung von Telemarketing (Werbekontakte ohne Einwilligung, auch an RPO-Nutzer, getarnt als falsche Rückrufanfragen), das Fehlen angemessener Kontroll- und Überwachungssysteme im Vertriebsnetz (Verstoß gegen das Rechenschaftsprinzip), die unterlassene Einführung angemessener technischer und organisatorischer Maßnahmen bereits bei der Konzeption (Data Protection by Design), die Unzulänglichkeit der Sicherheitsmaßnahmen bei der Einholung von Einwilligungen und der Auftragsverwaltung, und die Erschwernis der Ausübung der Rechte der betroffenen Personen (ausbleibende, verspätete oder unzureichende Antworten auf Anfragen, umständliche Opt-out-Verfahren). Das Bußgeld wurde unter Berücksichtigung erschwerender Faktoren wie des erheblich fahrlässigen Charakters der Verstöße, des Verantwortungsgrades im Telemarketing-Sektor und zahlreicher früherer Verstöße, sowie mildernder Faktoren wie der gezeigten Kooperation, der während der Untersuchung ergriffenen Korrekturmaßnahmen, der Einhaltung von Verhaltenskodizes und der erheblichen Investitionen in Kontrollverfahren festgesetzt.
Fristen: Innerhalb von 30 Tagen nach Zustellung dieser Verfügung für die Zahlung des Bußgeldes und zur Mitteilung der zur Umsetzung der auferlegten Maßnahmen ergriffenen Initiativen.
Praktische Auswirkungen
Diese Verfügung unterstreicht die entscheidende Bedeutung für Unternehmen, insbesondere solche mit großen Vertriebsnetzen und externen Partnern, wirksame Governance- und Kontrollsysteme für die Verarbeitung personenbezogener Daten zu implementieren. Die Verantwortung des Verantwortlichen (Accountability) erstreckt sich auf die gesamte Verarbeitungskette, auch wenn Daten von Dritten oder durch Prozesse erhoben werden, die digitale und telefonische Kanäle kombinieren. Es ist wesentlich, dass die Verfahren zur Einholung der Einwilligung eindeutig und überprüft sind und dass die Mechanismen zur Ausübung der Rechte der betroffenen Personen (wie Opt-out oder Löschung) einfach, unmittelbar und tatsächlich wirksam sind. Die Konzeption der Systeme (Data Protection by Design) muss Missbrauch von Anfang an verhindern, und die Sicherheitsmaßnahmen müssen angemessen sein, um die Datenflüsse in allen Phasen zu schützen. Die bloße Beendigung der Beziehungen zu betrügerischen Partnern, obwohl notwendig, heilt weder frühere Verstöße noch ersetzt sie eine angemessene präventive Überwachung und ein konstantes Monitoring.
Empfohlene Maßnahmen
- Mechanismen zur Überprüfung der tatsächlichen Inhaberschaft von in Online-Formularen eingegebenen Rufnummern implementieren;
- Verfahren zur vorherigen Bestätigung der Einwilligung (Opt-in) für Werberückrufe einführen;
- Kontroll- und Überwachungssysteme für die gesamte Datenerfassungskette und die Aktivitäten der Geschäftspartner verstärken;
- Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) mit Partnern abschließen, einschließlich Auditklauseln und strengen Strafen;
- Sicherstellen, dass Werbemitteilungen auf einer gültigen und dokumentierten Einwilligung basieren, und Kontakte mit im RPO eingetragenen Nutzern vermeiden;
- Verfahren zur Ausübung der Rechte (z. B. Opt-out, Löschung) vereinfachen und sofort zugänglich machen, Hindernisse wie komplexe Logins oder dedizierte Apps vermeiden;
- Zeitnahe und effektive Antworten auf Anfragen der betroffenen Personen sicherstellen, unter Einhaltung der DSGVO-Fristen;
- Angemessene technische und organisatorische Maßnahmen implementieren (wie IP-Sperren oder Anti-Spoofing-Systeme), um rechtswidriges Verhalten von Partnern zu verhindern.
Zu vermeidende Fehler
- Sich auf Geschäftspartner ohne angemessene Vorabprüfungen und ohne konstantes Monitoring verlassen;
- Maßnahmen des Datenschutzes durch Technikgestaltung (Data Protection by Design) nicht bereits bei der Konzeption der Datenerfassungssysteme implementieren;
- Meldungen über statistische Anomalien bei Kontaktvolumina und Konversionsraten ignorieren;
- Den Widerruf der Einwilligung oder die Ausübung der Rechte der betroffenen Personen komplex gestalten;
- Nicht oder verspätet auf Anfragen der betroffenen Personen antworten;
- Die Verlängerung der Fristen für die Beantwortung unsachgemäß oder ohne ausreichende Begründung nutzen;
- Kommerzielle Mitteilungen als 'Service-Mitteilungen' qualifizieren, um die Einwilligungspflicht zu umgehen;
- Den Einfluss früherer Verstöße bei der Bewertung der eigenen Compliance nicht berücksichtigen.
Fragen zur Selbsteinschätzung
- Haben wir eine klare und dokumentierte Governance für die Verarbeitung personenbezogener Daten, die externe Partner einbezieht?
- Gewährleisten unsere Lead-Akquisesysteme die Gültigkeit und Authentizität der Rückrufanfragen?
- Entsprechen unsere Telemarketing-Verfahren vollständig den Vorschriften zur Einwilligung und zum RPO?
- Haben wir aktualisierte Auftragsverarbeitungsverträge mit all unseren Partnern und Subunternehmern, die personenbezogene Daten in unserem Auftrag verarbeiten?
- Verhindern unsere technischen und organisatorischen Maßnahmen die Nutzung unrechtmäßiger Techniken (z. B. Spoofing) durch Partner?
- Sind unsere Prozesse zur Ausübung der Rechte der betroffenen Personen einfach, zugänglich und gewährleisten sie eine zeitnahe Antwort?
- Überwachen wir ständig die Wirksamkeit unserer Compliance-Maßnahmen und die Aktivitäten unserer Partner, auch durch Audits oder Mystery Shopping?
- Sind unsere Investitionen in Datenschutz und Sicherheit der Komplexität unserer Verarbeitungen und den damit verbundenen Risiken angemessen?
Verweise
EDPB-Leitlinien: Linee guida EDPB 1/2019 sui codici di condotta e sugli organismi di monitoraggio a norma del Regolamento
Nationales Recht: D.Lgs. 196/2003 · L. 24 novembre 1981, n. 689
Anmerkungen
Die Verfügung bezieht sich auf den vom Garante am 7. März 2024 endgültig genehmigten Verhaltenskodex für Telemarketing- und Teleselling-Aktivitäten. Der Garante hat die Akten Nr. 519239 und 500303 aus spezifischen genannten Gründen archiviert.