Millionenstrafe für Vodafone wegen Datenschutzverstößen

Wegen schwerwiegender Datenschutzverstöße hat der Telekommunikationskonzern Vodafone zwei Geldbußen in Höhe von insgesamt 45 Millionen Euro zahlen müssen. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Louisa Specht-Riemenschneider, gab bekannt, dass es sich um die höchste Summe handelt, die ihre Behörde jemals verhängt hat. Die Sanktionen stehen im Zusammenhang mit unlauteren Geschäftspraktiken bei Partneragenturen sowie Sicherheitsmängeln im Online- und Telefonservice von Vodafone.

Mitarbeitende von Partneragenturen hatten Verträge mit Kundinnen und Kunden abgeschlossen, ohne deren Zustimmung. Teilweise wurden sogar falsche Verträge erstellt, die die betroffenen Personen gar nicht abgeschlossen hatten. Vodafone wurde in diesem Zusammenhang mit einer Geldbuße von 15 Millionen Euro belegt, weil das Unternehmen seine Partner unzureichend überwacht habe. Zusätzlich sprach die Datenschutzbeauftragte eine Verwarnung wegen Schwachstellen in Vertriebssystemen aus.

Eine weitere Strafe in Höhe von 30 Millionen Euro betrifft erhebliche Sicherheitslücken im Zusammenhang mit der Nutzung des Onlineportals „MeinVodafone“ und der Unternehmenshotline. Schwächen bei der Authentifizierung ermöglichten es Unbefugten, Zugriff auf elektronische SIM-Profile zu erlangen und so Mobilfunkprofile zu übernehmen. Diese Übernahmen konnten weitreichende Betrügereien nach sich ziehen, da Handynummern häufig zur Identitätsbestätigung im Internet verwendet werden.

Die Datenschutzbehörde hatte bereits 2021 mit Ermittlungen zu fingierten Verträgen bei Partnerfirmen begonnen. Die technischen Sicherheitsprobleme rund um eSIMs wurden seit 2022 und 2023 untersucht. Vodafone hat die Bußgelder inzwischen vollständig gezahlt und die Vorwürfe akzeptiert. Die Datenschutzbeauftragte betonte, dass das Unternehmen während des gesamten Verfahrens kooperativ gewesen sei und sogar selbstbelastende Informationen offengelegt habe.

Vodafone erklärte, man habe auf die Vorfälle mit tiefgreifenden Maßnahmen reagiert. Dazu gehörten die Überarbeitung der Zusammenarbeit mit Partneragenturen, die Trennung von problematischen Vertragspartnern sowie die Einführung höherer Sicherheitsstandards bei der Authentifizierung und im Umgang mit sensiblen Daten. Zudem habe das Unternehmen mehrere Millionen Euro an Organisationen gespendet, die sich für Datenschutzbelange engagieren. Die zuständige Behörde kündigte an, die Wirksamkeit der umgesetzten Maßnahmen weiterhin zu überprüfen.