Datenschutzverstöße bei Vodafone führen zu Millionenstrafe

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat gegen die Vodafone GmbH zwei Geldbußen in Höhe von insgesamt 45 Millionen Euro verhängt.

Anlass dafür waren Verstöße gegen die Datenschutz-Grundverordnung (DSGVO), die vor allem durch betrügerische Aktivitäten in Partneragenturen begangen wurden. Diese Agenturen hatten im Namen von Vodafone Verträge manipuliert oder fingiert, wodurch Kunden benachteiligt wurden. Vodafone wurde dabei mangelnde Kontrolle über diese Partner vorgeworfen.

Eine der Geldbußen in Höhe von 15 Millionen Euro bezog sich konkret auf unzureichende datenschutzrechtliche Prüfungen und Überwachungen der beauftragten Agenturen gemäß Art. 28 DSGVO. Zusätzlich wurde Vodafone wegen Schwächen in den eigenen Vertriebssystemen gerügt, woraus sich eine formale Verwarnung ergab.

Ein weiteres Bußgeld in Höhe von 30 Millionen Euro betraf Sicherheitslücken im Authentifizierungsprozess zwischen dem Onlineportal „MeinVodafone“ und der Hotline. Diese Schwachstellen ermöglichten Dritten den unautorisierten Zugriff auf eSIM-Profile.

Sicherheitsmängel und strukturelle Defizite bei Vodafone

Vodafone hat nach eigenen Angaben als Reaktion auf die Datenschutzverstöße seine Systeme modernisiert und Sicherheitslücken geschlossen. Zudem wurden Prozesse zur Auswahl und Kontrolle der Partneragenturen überarbeitet und Geschäftsbeziehungen mit problematischen Partnern beendet. Die BfDI kündigte an, die tatsächliche Wirksamkeit dieser Maßnahmen in einer späteren Folgekontrolle zu überprüfen.

Laut BfDI zeigen die Fälle rund um Vodafone generelle Probleme in der Wirtschaft auf, darunter einen Investitionsrückstand bei der IT-Sicherheit und unzureichende Kontrollen bei der Beauftragung von Dienstleistern.

Die BfDI forderte Unternehmen auf, den Datenschutz nicht als Kostenfaktor, sondern als Voraussetzung für Sicherheit und Vertrauen zu begreifen. Zwar wurde betont, dass Vodafone im Verfahren umfassend kooperiert habe, dies änderte jedoch nichts an der Höhe der verhängten Sanktionen.