Auf einen Blick

Der Garante Privacy hat TIM mit fast 9,5 Millionen Euro wegen unlauterer Telemarketing-Praktiken und mangelnden Schutzes der Daten seiner Kunden und potenziellen Kunden bestraft. Das Unternehmen wurde dafür verantwortlich befunden, externen, auch illegalen Callcentern erlaubt zu haben, Personen ohne deren Zustimmung zu kontaktieren, wobei oft Tricks angewendet wurden, um die Anrufe legitim erscheinen zu lassen. Darüber hinaus hat TIM es den Bürgern nicht leicht gemacht, ihre Daten zu löschen oder unerwünschte Anrufe zu blockieren. Die Entscheidung unterstreicht, dass große Unternehmen ihr gesamtes Vertriebsnetz sorgfältig kontrollieren und sicherstellen müssen, dass Daten von Anfang an korrekt verwaltet werden, unter Wahrung der Rechte aller.

Was zu tun ist

Wenn Sie Werbeanrufe erhalten, überprüfen Sie immer die Identität des Operators und dessen Berechtigung;
Klicken Sie nicht auf verdächtige oder unerwünschte Links;
Tragen Sie sich in das Öffentliche Widerspruchsregister ein, um unerwünschte Anrufe zu blockieren;
Üben Sie Ihre Rechte auf Löschung oder Widerspruch klar und, falls erforderlich, per PEC aus;
Melden Sie dem Garante Privacy unlautere Telemarketing-Praktiken oder Schwierigkeiten bei der Ausübung Ihrer Rechte.

Was zu vermeiden ist

Geben Sie keine personenbezogenen Daten an nicht verifizierte Operator weiter;
Stimmen Sie keinen Anrufen oder Werbemitteilungen zu, ohne genau verstanden zu haben, was Sie autorisieren;
Ignorieren Sie nicht die Möglichkeit, Einwilligungen zu widerrufen oder die Löschung Ihrer Daten zu beantragen.

Hintergrund

Die Behörde hat eine Inspektionsmaßnahme gegen TIM S.p.A. eingeleitet, nachdem zahlreiche Beschwerden und Meldungen über ein Phänomen des missbräuchlichen Telemarketings eingegangen waren. Nicht autorisierte Callcenter führten im Auftrag von TIM Werbeanrufe durch, wobei sie Rufnummern außerhalb des offiziellen Netzes oder Verschleierungstechniken (Spoofing) nutzten, auch gegenüber Nutzern, die im Öffentlichen Widerspruchsregister (RPO) eingetragen waren. Diese Praktiken zielten auf die unrechtmäßige Erhebung personenbezogener Daten ab, oft durch das Senden von Links per SMS, die falsche Rückrufanfragen (Leads) generierten, wodurch der Vertragsprozess formal als regulär erschien. Die Untersuchung ergab systemische Mängel in den Kontrollen von TIM über seine Vertriebspartner, das völlige Fehlen von Mechanismen zur Überprüfung der tatsächlichen Inhaberschaft der Rufnummern in Online-Formularen und komplexe Hindernisse bei der Ausübung der Betroffenenrechte (z.B. umständliche Opt-out-Verfahren, verspätete oder unzureichende Antworten).

Die Entscheidung

Der Garante hat die Verantwortung von TIM S.p.A. für Verstöße gegen Art. 5, 6, 7, 12, 15 bis 22, 24, 25, 28, 32 der Verordnung (DSGVO) und Art. 130 des Codice Privacy festgestellt. Die Verstöße betreffen hauptsächlich das Fehlen einer gültigen Rechtsgrundlage für Werbekontakte, den Verstoß gegen das Rechenschaftsprinzip (Accountability) aufgrund der Ineffektivität der Kontrollsysteme im Vertriebsnetz, das Versäumnis, angemessene technische und organisatorische Maßnahmen bereits bei der Entwicklung (Datenschutz durch Technikgestaltung) zu ergreifen, die Unzulänglichkeit der Sicherheitsmaßnahmen für die Erhebung von Einwilligungen und die Bearbeitung von Bestellungen sowie die Nicht-Erleichterung der Ausübung der Betroffenenrechte. Der Garante hat TIM angewiesen, Korrekturen in den Rückrufverfahren einzuführen, angemessene Kontrollmaßnahmen für die Partner zu ergreifen und die Verfahren zur Ausübung der Rechte zu verbessern. Eine Geldbuße in Höhe von 9.516.000,00 Euro wurde verhängt, unter Berücksichtigung von erschwerenden Umständen (Fahrlässigkeit, frühere Verstöße) und mildernden Umständen (Kooperation, Investitionen, keine Beteiligung sensibler Daten, Einhaltung eines Verhaltenskodex).

Ratio decidendi Die Entscheidung basiert auf dem Rechenschaftsprinzip (Accountability, Art. 5 Abs. 2, 24 DSGVO), das den Verantwortlichen (TIM) verpflichtet, die Einhaltung der DSGVO für die gesamte Verarbeitungskette, einschließlich der Geschäftspartner, zu gewährleisten und nachzuweisen. Die Erhebung personenbezogener Daten durch illegale Callcenter und Spoofing-Techniken ohne gültige Einwilligung verstößt gegen die Rechtmäßigkeit der Verarbeitung (Art. 5 Abs. 1 lit. a, 6, 7 DSGVO und Art. 130 Codice Privacy), wodurch nachfolgende 'Bereinigungen' durch falsche Leads unwirksam werden. Die strukturellen Mängel in den Kontroll- und Überwachungssystemen (Art. 25, 28, 32 DSGVO) deuten auf die Unzulänglichkeit der technischen und organisatorischen Maßnahmen bereits bei der Entwicklung hin. Schließlich verstoßen die Komplexität und die Verspätung bei der Bearbeitung von Anfragen zur Ausübung von Rechten gegen die Transparenz- und Erleichterungspflichten (Art. 12, 15-22 DSGVO). Die Strafe ist verhältnismäßig zu den in Art. 83 Abs. 2 der Verordnung genannten Elementen, wobei der weltweite Umsatz der TIM Gruppe als Höchstgrenze dient.

Verletzte DSGVO-Artikel

Artikel	Beschreibung	Relevanz
5 par.1 lett.a DSGVO	Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz.	unrechtmäßige verarbeitung personenbezogener daten zu werbezwecken ohne gültige rechtsgrundlage.
5 par.2 DSGVO	Rechenschaftsprinzip (Accountability), das den Verantwortlichen verpflichtet, die Einhaltung der Verordnung nachweisen zu können.	versäumnis, angemessene kontroll- und Überwachungssysteme im vertriebsnetz einzuführen, um die einhaltung der dsgvo und die rechtmäßigkeit der marketingaktivitäten zu gewährleisten.
6 DSGVO	Rechtmäßigkeit der Verarbeitung, die eine gültige Rechtsgrundlage (z.B. Einwilligung, Vertragserfüllung) für die Verarbeitung personenbezogener Daten erfordert.	durchführung oder zulassung von werbekontakten ohne gültige rechtsgrundlage, wie z.b. eine freie und spezifische einwilligung, auch gegenüber im rpo eingetragenen nutzern.
7 DSGVO	Bedingungen für die Einwilligung, die freiwillig, spezifisch, informiert und eindeutig sein muss.	keine echte einwilligung für marketingaktivitäten, die durch illegale lead-generierungspraktiken und schwierigkeiten beim widerruf (nicht so einfach wie die erteilung) beeinträchtigt wurde.
12 par.2 DSGVO	Transparenz der Kommunikation und Modalitäten zur Erleichterung der Ausübung der Betroffenenrechte.	nicht-erleichterung der ausübung der betroffenenrechte, wodurch die abmeldungsverfahren (opt-out) umständlich und komplex gestaltet wurden, mit hindernissen wie obligatorischen logins.
12 par.3 DSGVO	Fristen für die Beantwortung von Betroffenenanfragen, die unverzüglich und in jedem Fall innerhalb eines Monats erfolgen muss.	nicht erfolgte, verspätete oder unzureichende beantwortung von anfragen zur ausübung von rechten der betroffenen, Überschreitung der gesetzlichen fristen und unsachgemäße verwendung von zwischenbescheiden.
15 DSGVO	Auskunftsrecht der betroffenen Person über ihre personenbezogenen Daten.	nicht erfolgte oder unzureichende beantwortung von auskunftsersuchen zur herkunft und den modalitäten der verarbeitung personenbezogener daten.
16 DSGVO	Recht auf Berichtigung unrichtiger personenbezogener Daten.	verstoß gegen die bestimmungen zur ausübung der betroffenenrechte, für diesen artikel nicht spezifisch detailliert.
17 DSGVO	Recht auf Löschung ('Recht auf Vergessenwerden') personenbezogener Daten.	nicht erfolgte oder verspätete bearbeitung von anträgen auf löschung personenbezogener daten und ineffektive opt-out-verfahren.
18 DSGVO	Recht auf Einschränkung der Verarbeitung personenbezogener Daten.	verstoß gegen die bestimmungen zur ausübung der betroffenenrechte, für diesen artikel nicht spezifisch detailliert.
19 DSGVO	Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung.	verstoß gegen die bestimmungen zur ausübung der betroffenenrechte, für diesen artikel nicht spezifisch detailliert.
20 DSGVO	Recht auf Datenübertragbarkeit personenbezogener Daten.	verstoß gegen die bestimmungen zur ausübung der betroffenenrechte, für diesen artikel nicht spezifisch detailliert.
21 DSGVO	Widerspruchsrecht gegen die Verarbeitung personenbezogener Daten, einschließlich Direktmarketing.	nicht erfolgte bearbeitung von anträgen auf widerspruch gegen die verarbeitung zu werbezwecken, mit wiederholten zusendungen unerwünschter mitteilungen.
22 DSGVO	Automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling.	verstoß gegen die bestimmungen zur ausübung der betroffenenrechte, für diesen artikel nicht spezifisch detailliert.
24 DSGVO	Verantwortung des Verantwortlichen für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen.	versäumnis, geeignete technische und organisatorische maßnahmen zu ergreifen, um die konformität der verarbeitungen zu gewährleisten und verstöße durch die vertriebskette zu verhindern.
25 DSGVO	Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.	versäumnis, angemessene technische und organisatorische maßnahmen zu ergreifen, um den datenschutz bereits bei der gestaltung der lead-akquisitionssysteme und der Überwachung zu gewährleisten.
28 DSGVO	Auftragsverarbeiter, der verlangt, dass der Verantwortliche nur Auftragsverarbeiter hinzuzieht, die hinreichende Garantien bieten.	fehlende vorherige Überprüfung der partner als auftragsverarbeiter und unterlassene Überwachung der einhaltung der vorschriften durch das vertriebsnetz.
32 DSGVO	Sicherheit der Verarbeitung, die angemessene technische und organisatorische Maßnahmen erfordert, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.	unzureichende und unangemessene sicherheitsmaßnahmen in bezug auf die einwilligungsströme und die auftragserfassungssysteme.
130 Codice Privacy	Unerwünschte Kommunikation über automatisierte Systeme ohne menschliches Eingreifen oder per E-Mail.	versand von werbemitteilungen ohne vorherige und gültige einwilligung, auch an im rpo eingetragene nutzer.

Sanktion

TIM S.p.A. wurde mit einer Geldstrafe von 9.516.000,00 Euro wegen mehrfacher Verstöße gegen die DSGVO und den Codice Privacy belegt. Die festgestellten Verstöße umfassen die unrechtmäßige Handhabung des Telemarketings (Werbekontakte ohne Einwilligung, auch an RPO-Nutzer, getarnt als falsche Rückrufanfragen), das Fehlen angemessener Kontroll- und Überwachungssysteme im Vertriebsnetz (Verstoß gegen das Rechenschaftsprinzip (Accountability)), das Versäumnis, angemessene technische und organisatorische Maßnahmen bereits bei der Entwicklung (Datenschutz durch Technikgestaltung) zu ergreifen, die Unzulänglichkeit der Sicherheitsmaßnahmen für die Erhebung von Einwilligungen und das Hochladen von Bestellungen sowie die Nicht-Erleichterung der Ausübung der Betroffenenrechte (nicht erfolgte, verspätete oder unzureichende Beantwortung von Anfragen, umständliche Opt-out-Verfahren). Die Strafe wurde unter Berücksichtigung von erschwerenden Faktoren wie dem erheblich fahrlässigen Charakter der Verstöße, dem Grad der Verantwortung im Telemarketing-Sektor und den zahlreichen früheren Verstößen sowie von mildernden Faktoren wie der nachgewiesenen Kooperation, den während des Untersuchungsverfahrens ergriffenen Korrekturmaßnahmen, der Einhaltung von Verhaltenskodizes und den erheblichen Investitionen in Kontrollverfahren festgelegt.

Fristen: Innerhalb von 30 Tagen nach Zustellung dieser Verfügung zur Zahlung der Geldbuße und zur Mitteilung der zur Umsetzung der auferlegten Maßnahmen ergriffenen Initiativen.

Praktische Auswirkungen

Diese Verfügung unterstreicht die entscheidende Bedeutung für Unternehmen, insbesondere solche mit großen Vertriebsnetzen und externen Partnern, robuste Governance- und Kontrollsysteme für die Verwaltung personenbezogener Daten zu implementieren. Die Verantwortung des Verantwortlichen (Accountability) erstreckt sich auf die gesamte Verarbeitungskette, auch wenn Daten von Dritten oder durch Prozesse erhoben werden, die digitale und telefonische Kanäle kombinieren. Es ist unerlässlich, dass die Verfahren zur Einholung der Einwilligung eindeutig und überprüft sind und dass die Mechanismen zur Ausübung der Betroffenenrechte (wie Opt-out oder Löschung) einfach, unmittelbar und wirklich effektiv sind. Die Gestaltung der Systeme (Datenschutz durch Technikgestaltung) muss Missbräuche von Anfang an verhindern, und die Sicherheitsmaßnahmen müssen angemessen sein, um die Datenflüsse in allen Phasen zu schützen. Die bloße Beendigung der Beziehungen zu betrügerischen Partnern, obwohl notwendig, heilt weder frühere Verstöße noch ersetzt sie eine angemessene präventive Überwachung und eine ständige Kontrolle.

Empfohlene Maßnahmen

Mechanismen zur Überprüfung der tatsächlichen Inhaberschaft der in Online-Formularen eingegebenen Rufnummern implementieren;
Verfahren zur vorherigen Bestätigung der Einwilligung (Opt-in) für Werbekontakte einführen;
Die Kontroll- und Überwachungssysteme in der gesamten Datenverarbeitungskette und für die Tätigkeit der Geschäftspartner stärken;
Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) mit den Partnern abschließen, einschließlich Audit-Klauseln und strenger Vertragsstrafen;
Sicherstellen, dass Werbemitteilungen auf einer gültigen und dokumentierten Einwilligung basieren und Kontakte mit RPO-Nutzern vermieden werden;
Die Verfahren zur Ausübung der Rechte (z.B. Opt-out, Löschung) vereinfachen und beschleunigen, Hindernisse wie komplexe Logins oder dedizierte Apps vermeiden;
Zeitnahe und effektive Antworten auf Anfragen von Betroffenen sicherstellen, unter Einhaltung der DSGVO-Fristen;
Angemessene technische und organisatorische Maßnahmen (wie IP-Sperre oder Anti-Spoofing-Systeme) implementieren, um illegales Verhalten von Partnern zu verhindern.

Zu vermeidende Fehler

Sich auf Geschäftspartner ohne angemessene Vorabprüfungen und ohne ständige Überwachung zu verlassen;
Keine Maßnahmen zum Datenschutz durch Technikgestaltung bereits bei der Entwicklung von Datenerfassungssystemen zu implementieren;
Meldungen über statistische Anomalien bei Kontaktvolumina und Konversionsraten zu ignorieren;
Den Widerruf der Einwilligung oder die Ausübung der Betroffenenrechte zu erschweren;
Nicht oder verspätet auf Anfragen von Betroffenen zu reagieren;
Die Fristverlängerung für die Beantwortung unsachgemäß oder ohne angemessene Begründung zu nutzen;
Kommerzielle Mitteilungen als 'Dienstleistungskommunikation' zu qualifizieren, um die Einwilligungspflicht zu umgehen;
Die Auswirkungen früherer Verstöße bei der Bewertung der eigenen Compliance nicht zu berücksichtigen.

Fragen zur Selbsteinschätzung

Haben wir eine klare und dokumentierte Governance für die Verwaltung personenbezogener Daten, die externe Partner einbezieht?
Gewährleisten unsere Lead-Akquisitionssysteme die Gültigkeit und Authentizität der Rückrufanfragen?
Sind unsere Telemarketing-Verfahren vollständig konform mit den Vorschriften zur Einwilligung und zum RPO?
Haben wir aktuelle Auftragsverarbeitungsverträge mit all unseren Partnern und Unterauftragnehmern, die personenbezogene Daten in unserem Auftrag verarbeiten?
Verhindern unsere technischen und organisatorischen Maßnahmen die Nutzung illegaler Techniken (z.B. Spoofing) durch Partner?
Sind unsere Prozesse zur Ausübung der Betroffenenrechte einfach, zugänglich und gewährleisten sie eine zeitnahe Antwort?
Überwachen wir ständig die Wirksamkeit unserer Compliance-Maßnahmen und die Tätigkeit unserer Partner, auch durch Audits oder Mystery Shopping?
Sind unsere Investitionen in Datenschutz und Sicherheit der Komplexität unserer Verarbeitungen und den damit verbundenen Risiken angemessen?

Verweise

EDPB-Leitlinien: Linee guida EDPB 1/2019 sui codici di condotta e sugli organismi di monitoraggio a norma del Regolamento

Nationales Recht: D.Lgs. 196/2003 · L. 24 novembre 1981, n. 689

Anmerkungen

Die Verfügung bezieht sich auf den Verhaltenskodex für Telemarketing- und Teleselling-Aktivitäten, der vom Garante am 7. März 2024 endgültig genehmigt wurde. Der Garante hat die Akten Nr. 519239 und 500303 aus den angegebenen spezifischen Gründen archiviert.