Ulrich Kelber, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat den Telekommunikationsdienstleister 1&1 Telecom GmbH mit einer Geldbuße in Höhe von 9,5 Millionen Euro belegt. Das Unternehmen habe keine hinreichenden technisch-organisatorischen Maßnahmen ergriffen, um zu verhindern, dass Unberechtigte bei der telefonischen Kundenbetreuung Auskünfte zu Kundendaten erhalten können, lautet der Vorwurf.
In einem weiteren Fall sprach der ein Bußgeld in Höhe von 10.000 Euro gegen die Rapidata GmbH aus. Der Bundesbeauftragte sagte: “Datenschutz ist Grundrechtsschutz. Die ausgesprochenen Geldbußen sind ein klares Zeichen, dass wir diesen Grundrechtsschutz durchsetzen werden. Die europäische Datenschutzgrundverordnung (DSGVO) gibt uns die Möglichkeit, die unzureichende Sicherung von personenbezogenen Daten entscheidend zu ahnden. Wir wenden diese Befugnisse unter Berücksichtigung der gebotenen Angemessenheit an.”
Im Fall von 1&1 Telecom GmbH habe der BfDI Kenntnis erlangt, dass Anrufer bei der Kundenbetreuung des Unternehmens durch Angabe des Namens und Geburtsdatums eines Kunden weitreichende Informationen zu weiteren personenbezogenen Kundendaten erhalten konnten. Dieses Authentifizierungsverfahren verstößt laut der Mitteilung der BfDI gegen Artikel 32 DSGVO, nach dem das Unternehmen verpflichtet ist, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Verarbeitung von personenbezogenen Daten systematisch zu schützen.
Die 1&1 Telecom GmbH habe sich einsichtig und kooperativ gezeigt, so das BfDI. Der Authentifizierungsprozess sei durch Abfrage zusätzlicher Angaben besser abgesichert worden. Zudem wolle 1&1 nach Absprache mit dem BfDI ein neues, technisch und datenschutzrechtlich verbessertes Authentifizierungsverfahren einführen.
Ggen den Bußgeldbescheid hat die 1&1 Telecom GmbH eine Klage angekündigt. Es sei in diesem Verfahren nicht um den generellen Schutz der bei 1&1 gespeicherten Daten gegangen, sondern um die Frage, wie Kunden auf ihre Vertragsinformationen zugreifen können, teilt 1&1 mit. Der fragliche Fall ereignete sich bereits 2018 bei einer telefonische Abfrage der Handynummer eines ehemaligen Lebenspartners. Die zuständige Mitarbeiterin habe die damals geltenden Anforderungen der 1&1 Sicherheitsrichtlinien erfüllt. Damals sei eine Zwei-Faktor-Authentifizierung üblich gewesen. Zwischenzeitlich sei eine dreistufige Authentifizierung eingeführt und in den nächsten Tagen wolle 1&1 jedem Kunden eine persönliche Service-PIN bereitstellen.
