[datensicherheit.de, 03.06.2025] Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat am 3. Juni 2025 gemeldet, dass sie Geldbußen gegen Vodafone verhängt hat: Demnach hat die BfDI, Prof. Dr. Louisa Specht-Riemenschneider, der Vodafone GmbH zwei Geldbußen in einer Gesamthöhe von 45 Millionen Euro auferlegt. Durch böswillig handelnde Mitarbeiter in Partneragenturen, die im Auftrag von Vodafone Verträge an Kunden vermittelten, sei es unter anderem zu Betrugsfällen durch fingierte Verträge oder Vertragsänderungen zulasten von Kunden gekommen.

Vodafone-Partneragenturen nicht im ausreichenden Umfang datenschutzrechtlich überprüft …

Eine Geldbuße in Höhe von 15 Millionen Euro sei ergangen, „weil die Vodafone GmbH für sie tätige Partneragenturen nicht im ausreichenden Umfang datenschutzrechtlich überprüft und überwacht hatte (Art. 28 Abs. 1 S. 1 DSGVO)“. Darüber hinaus hat die BfDI Vodafone aufgrund eines Verstoßes gegen Art. 32 Abs. 1 DSGVO wegen „festgestellter Schwachstellen in bestimmten Vertriebssystemen“ verwarnt.

Eine weitere Geldbuße in Höhe von 30 Millionen Euro sei wegen Sicherheitsmängeln beim Authentifizierungsprozess bei der kombinierten Nutzung des Onlineportals „MeinVodafone“ mit der Vodafone-Hotline verhängt worden. Die aufgedeckten Schwachstellen der Authentifizierung hätten unter anderem den Abruf von eSIM-Profilen durch unbefugte Dritte ermöglicht.

Vodafone hat Geldbußen akzeptiert und vollständig an Bundeskasse gezahlt

Die Vodafone GmbH habe ihre Prozesse und Systeme inzwischen verbessert und teilweise sogar vollständig ersetzt, um solche Gefahren künftig auszuschließen. Außerdem habe sie die Prozesse zur Auswahl und Auditierung von Partneragenturen überarbeitet – „und sich von Partnern getrennt, bei denen Betrugsfälle festgestellt wurden“. Die BfDI werde die praktische Wirksamkeit der von Vodafone ergriffenen Maßnahmen in einer Folgekontrolle überprüfen.

„Ich möchte hervorheben, dass Vodafone während der Dauer des gesamten Verfahrens ununterbrochen und uneingeschränkt mit mir kooperiert und auch Umstände offengelegt hat, durch die sich das Unternehmen selbst belastet hat“, unterstreicht Specht-Riemenschneider. Die Geldbußen seien akzeptiert und schon vollständig an die Bundeskasse gezahlt worden.

In vielen Branchen Investitionsstau bei Modernisierung und Konsolidierung der IT

Die Erfahrungen der Datenschutzbehörden zeigten, dass bei Unternehmen in vielen Branchen ein Investitionsstau bei der Modernisierung und Konsolidierung von IT-Systemen bestehe. Bei der Sicherheit werde daher teilweise gespart. Auch der Einsatz von Auftragsverarbeitern werde in der Praxis häufig nicht ausreichend kontrolliert. Neue technische Möglichkeiten und komplexere Bedrohungsszenarien führten zu erhöhten Risiken für Kunden, denen durch fehlenden Datenschutz Schäden entstehen könnten.

Datenschutz werde häufig fälschlicherweise als Hindernis für IT-Investitionen angesehen. Dabei sei das Gegenteil der Fall: Ohne IT-Investitionen drohten Sicherheitsvorfälle und auch Sanktionen der Datenschutzaufsicht. „Daher mein Aufruf: Investieren statt Riskieren!“

Vodafone hat sich zu starkem Datenschutz und digitalen Grundrechten bekannt

Im Falle der Vodafone GmbH habe das Unternehmen umgesteuert und Projekte der IT-Konsolidierung sowie -Modernisierung priorisiert, die Bereiche „Compliance“ und Datenschutz seien gestärkt worden. „So hat sich Vodafone zu einem starken Datenschutz und digitalen Grundrechten bekannt und sieht sie als Grundlage für das Vertrauen der Kunden.“

Als Bekenntnis zur Bedeutung des Datenschutzes habe die Vodafone GmbH zudem eine Gesamtsumme in Höhe von mehreren Millionen Euro an unterschiedliche Organisationen gespendet, „die sich für die Förderung des Datenschutzes, der Medienkompetenz und ,Digital Literacy’ sowie die Bekämpfung von Cybermobbing einsetzen“.

Specht-Riemenschneider möchte Datenschutzverstöße verhindern helfen

Specht-Riemenschneider abschließend: „Wo Datenschutzverstöße stattfinden, muss sanktioniert werden! Ich möchte mit meiner Arbeit aber auch erreichen, dass es gar nicht erst zu Datenschutzverstößen kommt.“

Unternehmen, die das Datenschutzrecht einhalten wollen, müssten dazu befähigt werden. Datenschutz sei Vertrauensfaktor für Nutzer digitaler Angebote und könne daher zum Wettbewerbsvorteil werden. „Das verstehen auch mehr und mehr Unternehmen.“

Weitere Informationen zum Thema:

verbraucherzentrale Hamburg, 26.08.2024
Probleme mit Festnetz, Handy oder Internet / Immer wieder untergeschobene Verträge von Vodafone

datensicherheit.de, 18.05.2025
BfDI erläutert ihre Position zum Datenschutz in der Digitalen Ära / Prof. Dr. Louisa Specht-Riemenschneider hat am 13. Mai 2025 beim „26. Datenschutzkongress“ in Berlin eine Keynote gehalten

datensicherheit.de, 10.04.2025
BfDI-Stellungnahme zum Koalitionsvertrag: Bereitschaft zur Bündelung der datenschutzrechtlichen Aufsicht / CDU/CSU und SPD streben laut Entwurf ihres Koalitionsvertrages an, die datenschutzrechtliche Aufsicht über die private Wirtschaft bei der BfDI zu bündeln

[datensicherheit.de, 20.04.2020] Der Datenschutz hat sich seit der Einführung der Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union im Jahr 2018 zu einem der heißesten Themen in den Vorstandsetagen entwickelt. Einige Unternehmen haben dennoch immer noch damit zu kämpfen, die richtigen Strategien zum Schutz der Daten ihrer Kunden zu finden, wie Palo Alto Networks beobachtet.

DSGVO verpflichtet Unternehmenpersönlichen Daten zu schützen

Die DSGVO gibt Verbrauchern das Recht, zu kontrollieren, wie ihre persönlichen Daten von Unternehmen verwendet werden. Das Gesetz verpflichtet Unternehmen, die persönlichen Daten von Interessenten, Kunden und Mitarbeitern zu schützen, und wird durch ein System von Sanktionen für den Fall der Nichteinhaltung dieser Verpflichtung ergänzt. Die Regulierungsbehörden können Geldstrafen von bis zu vier Prozent des weltweiten Jahresumsatzes verhängen, wenn ein Unternehmen die persönlichen Daten von Personen in Europa nicht vor Missbrauch, Diebstahl oder Verlust schützt.

Hohe Geldstrafen werden erwartet

Seit der Einführung der DSGVO haben die Aufsichtsbehörden Bußgelder in Höhe von über 114 Millionen Euro gegen Unternehmen wegen mangelnden Datenschutzes verhängt. Weitere hohe Geldstrafen dürften folgen. Ein Unternehmen hat eine Abgabe von mehr als 90 Millionen Euro, drei Prozent seiner Jahreseinnahmen, angefochten. Einem anderen Unternehmen droht eine Geldstrafe von mehreren Hunderte Millionen Euro für eine größere Datenschutzverletzung bei seinen Kundendaten.

Die Verordnung betrifft jedes Unternehmen, das mit Daten von Einzelpersonen in Europa umgeht, so dass auch die meisten globalen Unternehmen davon betroffen sind. Während viele Vorstände und Geschäftsführer den Datenschutz ernst nehmen und strenge Maßnahmen zur Einhaltung der Vorschriften eingeführt haben, überlassen es zu viele noch dem Zufall oder üben keine angemessene Aufsicht aus.

Die Regulierungsbehörden werden eher mit Unternehmen nachsichtig sein, die nachweisen können, dass sie alle Anstrengungen unternommen haben, um die DSGVO einzuhalten, selbst wenn sie einen Verstoß erleiden, vermutet Palo Alto Networks. Allerdings könnten diejenigen, von denen man annimmt, dass sie dem Datenschutz nur wenig Aufmerksamkeit gewidmet haben, schwer bestraft werden.

Von Haus aus integrierter Datenschutz ist der beste Ansatz

Was Vorstände tun können um die persönlichen Daten im Unternehmen zu schützen und sicherzustellen, dass die DSGVO eingehalten wir: Vor allem verlangen die Regeln, dass Unternehmen „Privacy by Design“ umsetzen. Das bedeutet, dass Datenschutz und Datensicherheit von Anfang an in die technologische Infrastruktur der Unternehmen eingebaut werden müssen, anstatt sie später als nachträglichen Aspekt hinzuzufügen.

Folgeabschätzungen für jede Aktivität und jedes Projekt nötig

Für jede Aktivität oder jedes Projekt muss eine Folgenabschätzung durchgeführt werden, um die Auswirkungen auf die persönlichen Daten zu prüfen. Wenn möglich, sollten die Unternehmen eine Pseudonymisierung in Betracht ziehen, die das Risiko für personenbezogene Daten verringert. Unternehmen sollten nur die Daten verarbeiten, die zur Erreichung ihrer legitimen Geschäftsziele notwendig sind, und dürfen Daten nur so lange speichern, wie es für solche legitimen Zwecke erforderlich ist.

Die Datenhygiene sollte ebenso Teil der Unternehmens-DNA sein wie die Lebensmittelhygiene in einem Restaurant. Um den Datenschutz zu erreichen, muss der Vorstand sicherstellen, dass das Unternehmen eine vollständige Transparenz aller Daten, die es besitzt, hat und über klare Richtlinien für den Umgang mit den Daten verfügt.

Ein Unternehmen muss immer wissen, wo persönliche Daten gespeichert sind, welche Mitarbeiter und Dritte Zugang zu ihnen haben und wie sie verwendet werden. Es muss eine klare Unterscheidung zwischen persönlichen und nichtpersönlichen Daten getroffen werden. Das System sollte sicherstellen, dass die Daten nicht unbefugt zugänglich sind und nicht für Zwecke verwendet werden können, die den betroffenen Personen nicht bekannt sind.

Wichtige Fragen müssen geklärt werden

Um sicherzustellen, dass „Privacy by Design“ in die Geschäftsprozesse eingebettet ist, müssen die Vorstände der Unternehmen regelmäßige Aktualisierungen von den Mitarbeitern anfordern, die für die Umsetzung der DSGVO verantwortlich sind. Dies kann der Datenschutzbeauftragte, der Chief Data Officer, der Chief Risk Officer oder der Chief Information Security Officer sein.

Zu den Fragen, die geklärt werden müssen, gehören nach Meinung von Palo Alto Networks:

• Wer ist für den Datenschutz in unserem Unternehmen verantwortlich?
• Wie ist der Stand der Einhaltung des Datenschutzes bei uns?
• Haben wir die richtigen Prozesse eingeführt?
• Wie sieht unsere Politik zur Datenverarbeitung aus? Wie gut ist sie entwickelt?
• Ist bekannt, wo sich alle persönlichen Daten in unseren Systemen befinden?
• Sind die Daten sicher, auch was die Anbieter betrifft?
• Wie stellen wir sicher, dass die Datenverarbeitung mit DSGVO und anderen anwendbaren Gesetzen übereinstimmt?
• Wie hoch ist die Wahrscheinlichkeit einer Datenschutzverletzung?
• Wie schwerwiegend könnte sie sein?
• Sind wir bereit zu reagieren, wenn der Ernstfall eintritt?
• Was sind die konkreten Schritte, die wir unternehmen können, um diese Risiken zu mindern?

Wie bei jeder Risikofrage müssen die Vorstände die Kosten für die Einhaltung der DSGVO gegen die möglichen Verluste durch Bußgelder und den Betriebs- und Reputationsschaden, der durch eine Datenverletzung verursacht wird, abwägen.

Compliance ist nicht billig. Dazu gehört die Bezahlung von Fachpersonal für die Überwachung des Datenschutzes, vielleicht auch die Investition in Technologie, die alle Daten des Unternehmens abbildet und anzeigt. Der Datenschutzbeauftragte kann dann zentral einsehen, wo sich welche Daten befinden, und Risiken und Schutzmaßnahmen für wichtige persönliche Daten identifizieren.

Die Kosten für den Datenschutz

Es stellt isch also die Frage wieviel ein Unternehmen in den Datenschutz investieren sollte Das hängt davon ab, wie das Unternehmen persönliche Daten verwendet und welchen Risiken sie ausgesetzt sind. CISOs sollten in der Lage sein, die Risiken einer Datenschutzverletzung und die voraussichtlichen Kosten zu beurteilen. Sie können dies tun, indem sie eine Risikobeurteilung durchführen und Bewertungen vergeben, zum Beispiel zwischen eins und fünf.

Besteht beispielsweise ein hohes Risiko einer Verletzung, weil die Daten weit verbreitet sind und die Aufmerksamkeit von Hackern auf sich ziehen oder von Mitarbeitern missbraucht werden können, kann die Risikobewertung eine Fünf sein. Dann sollte dem potenziellen Schaden, den eine Verletzung verursachen könnte, eine andere Bewertung zugewiesen werden.

Im Falle eines Unternehmens, das mit den Kreditkartendaten seiner Kunden umgeht, könnte er hoch sein – zum Beispiel eine Vier. Durch Multiplikation dieser beiden Zahlen würde der Risiko-Score 20 betragen. Dies ist ein hohes Risiko, so dass das Unternehmen stark in das Personal, die Instrumente und die Folgenabschätzungen investieren sollte, die zum Schutz dieser persönlichen Daten erforderlich sind.

Investitionen in Datenschutz dienen auch der Cybersicherheit

Ein großer Vorteil einer solchen Investition besteht darin, dass sie sich nahtlos in einen effektiven Ansatz für die Cybersicherheit einfügt. Unternehmen, die die Cybersicherheit ernst nehmen und Strategien für „Security by Design“ entwickeln, werden auch bei der Einhaltung der DSGVO erfolgreich sein.

Die Datenschutzbehörden haben ihre Muskeln spielen lassen und gezeigt, dass sie bereit sind, Unternehmen, die es versäumen, die modernsten Datenschutzrichtlinien umzusetzen, mit Strafen zu belegen. Jedes Unternehmen muss darauf achten und sicherstellen, dass seine Systeme und Prozesse der Aufgabe gewachsen sind.

Die DSGVO ist generell zu begrüßen, weil sie die Unternehmen zwingt, mit Daten sorgsam umzugehen. Die Best Practices zur Einhaltung der DSGVO sind auch die Bausteine einer glaubwürdigen Cybersicherheitsstrategie. Der Schutz der Privatsphäre und „Security by Design“ sind nach Meinung von Palo Alto Networks die Grundvoraussetzungen für die Geschäftstätigkeit im Datenzeitalter.

Weitere Informationen zum Thema:

Palo Alto Networks
General Data Protection Regulation (GDPR)

datensicherheit.de, 21.08.2019
DSGVO vs. CLOUD Act: EU-Unternehmen im Spannungsfeld

datensicherheit.de, 21.08.2019
Datenschutzbeauftragter: Pflicht für Kleinbetriebe umstritten

datensicherheit.de, 24.05.2019
Ein Jahr DSGVO: BfDI sieht Erfolg mit Steigerungspotenzial