Italienische Datenschutzbehörde verhängt Bußgeld gegen BBVA
Die italienische Datenschutzaufsicht Garante per la protezione dei dati personali hat gegen die italienische Niederlassung der Banco Bilbao Vizcaya Argentaria, S.A. ein Bußgeld in Höhe von 5.508.000 Euro verhängt. Gegenstand der Entscheidung war der Umgang mit dem Widerspruch eines Kunden gegen Direktmarketing über die mobile Anwendung der Bank.
Nach der Mitteilung des Europäischen Datenschutzausschusses wurde die abschließende Entscheidung auf den 3. Juli 2026 datiert. Die amtliche Veröffentlichung des Garante weist das Provvedimento n. 613 hingegen mit Datum vom 3. September 2026 aus; veröffentlicht ist es im Register der Behörde unter doc. web n. 10291895. Öffentlich bekannt gemacht wurde der Vorgang durch den Garante zudem erst mit Newsletter Nr. 551 vom 11. September 2026.
Adressatin der Entscheidung ist die italienische Niederlassung der Banco Bilbao Vizcaya Argentaria, S.A. mit Sitz in Corso Vittorio Emanuele 9, 20122 Mailand. Gegen die Entscheidung kann nach Art. 152 des italienischen Datenschutzkodex und Art. 10 des D.Lgs. Nr. 150/2011 Opposition vor dem ordentlichen Gericht erhoben werden.
Ausgangspunkt des Verfahrens
Widerspruch gegen Werbung über die BBVA-App
Auslöser des behördlichen Verfahrens war die Beschwerde eines Kunden. Dieser hatte über die in der mobilen BBVA-App vorgesehenen Einstellungen seinen Widerspruch gegen Direktmarketing erklärt. Zusätzlich wandte er sich an den Kundenservice der Bank.
Nach den von der Behörde herangezogenen Angaben erklärte der Beschwerdeführer seinen Widerspruch gegenüber dem Kundenservice insbesondere mit Mitteilungen vom 2. Oktober 2025 und vom 9. Dezember 2025. Gleichwohl erhielt er weiterhin werbliche Mitteilungen über die App. Der Zeitraum der fortgesetzten Benachrichtigungen erstreckte sich nach der Darstellung der Aufsichtsbehörde von Oktober 2025 bis Mai 2026.
Die Beschwerde ging nach den veröffentlichten Angaben am 11. März 2026 beim Garante ein. Im weiteren Verlauf richtete die Behörde am 28. April 2026 unter dem Protokollzeichen Prot. Nr. 64723/26 ein förmliches Auskunftsersuchen an die Bank.
Darstellung der Bank zum technischen Ablauf
BBVA trug gegenüber der Behörde vor, die vom Kunden getroffene Auswahl sei ordnungsgemäß erfasst worden. Die weitere Zusendung werblicher Benachrichtigungen sei auf einen technischen Fehler zurückzuführen gewesen. Dieser habe eine Synchronisierung zwischen internen Systemen und der für die Versendung kommerzieller Kommunikation zuständigen Customer-Relationship-Management-Einheit verhindert.
Die Bank stellte das Geschehen gegenüber der Behörde als punktuellen und isolierten technischen Koordinationsfehler zwischen internen Systemen dar. Für Marketing-Widersprüche waren nach den veröffentlichten Informationen zwei gesonderte E-Mail-Adressen sowie der Postweg vorgesehen. Diese Kanäle waren jedoch von der Opt-out-Funktion in der App abgekoppelt.
Bewertung durch den Garante
Wirksamkeit des Widerspruchs über die App
Der Garante kam zu dem Ergebnis, dass BBVA den Widerspruch des Kunden nicht ordnungsgemäß und nicht rechtzeitig umgesetzt hatte. Während des maßgeblichen Zeitraums erhielt der Kunde nach den Feststellungen der Behörde mindestens zehn nicht angeforderte kommerzielle Benachrichtigungen.
Die Behörde ließ das Argument der Bank nicht gelten, der Kunde hätte die in der Datenschutzerklärung genannten besonderen E-Mail-Adressen nutzen müssen. Nach Auffassung des Garante hatte der Kunde sein Recht wirksam über die App ausgeübt und sich zusätzlich an den Kundenservice gewandt. Verantwortliche müssen die Ausübung von Betroffenenrechten erleichtern und dürfen eine gültige Erklärung nicht allein deshalb unbeachtet lassen, weil sie nicht über einen bevorzugten Kanal übermittelt wurde.
Diesen Grundsatz hatte der Garante nach veröffentlichten Fachberichten bereits in einem früheren Verfahren gegenüber Verisure im Zusammenhang mit einem Bußgeld von 400.000 Euro betont. Auch dort stand die Wirksamkeit eines Marketing-Widerspruchs über verschiedene Kommunikationswege im Mittelpunkt.
Mängel bei technischen und organisatorischen Maßnahmen
Neben der unzureichenden Umsetzung des Widerspruchs beanstandete die Behörde technische und organisatorische Defizite. Insbesondere stellte der Garante darauf ab, dass der Kundenservice dem Beschwerdeführer unzutreffende Informationen erteilt hatte. Dem Kunden war mitgeteilt worden, werbliche Pop-up-Benachrichtigungen in der App könnten nicht deaktiviert werden.
BBVA zeigte später gegenüber der Behörde, dass solche Benachrichtigungen tatsächlich gestoppt werden konnten. Der Garante bewertete die Verantwortlichkeit der Bank als mittelgradig. Maßgeblich war dabei nach der amtlichen Entscheidung insbesondere, dass keine angemessenen organisatorischen Maßnahmen getroffen worden seien, vor allem keine geeignete Schulung des Kundenservice.
Festgestellte Verstöße gegen die DSGVO
Der Garante stellte Verstöße gegen mehrere Vorschriften der Datenschutz-Grundverordnung fest. Betroffen waren nach der Entscheidung insbesondere:
- Art. 5 Abs. 1 lit. a DSGVO zu den Grundsätzen einer rechtmäßigen, fairen und transparenten Verarbeitung,
- Art. 12 DSGVO zu transparenter Information, Kommunikation und Modalitäten für die Ausübung der Rechte betroffener Personen,
- Art. 21 DSGVO zum Widerspruchsrecht,
- Art. 24 DSGVO zur Verantwortung des Verantwortlichen.
Die Verstöße beruhten nach der Bewertung des Garante auf miteinander verbundenen Verarbeitungsvorgängen. Deshalb wandte die Behörde die Kappungsregel des Art. 83 Abs. 3 DSGVO an. Der Gesamtbetrag der Geldbuße durfte danach den Rahmen für den schwersten Verstoß nicht überschreiten.
Inhalt der behördlichen Anordnung
Bußgeld und Compliance-Anordnung
Die italienische Datenschutzaufsicht setzte eine administrative Geldbuße in Höhe von 5.508.000 Euro fest. Darüber hinaus ordnete sie an, dass BBVA geeignete technische und organisatorische Maßnahmen ergreifen muss. Diese sollen die Ausübung von Betroffenenrechten erleichtern und sicherstellen, dass entsprechende Anfragen korrekt sowie ohne unangemessene Verzögerung bearbeitet werden.
BBVA wurde zudem verpflichtet, die Behörde innerhalb von 30 Tagen nach Zustellung der Entscheidung über die zur Umsetzung der Anordnung getroffenen Maßnahmen zu informieren. Der Garante ordnete außerdem die Veröffentlichung der Ordinanza-ingiunzione auf der Website der Behörde an.
Beteiligte der behördlichen Entscheidung
Berichterstatter war Behördenpräsident Pasquale Stanzione. An der Sitzung nahmen außerdem Vizepräsidentin Ginevra Cerrina Feroni, das Mitglied Agostino Ghiglia und Generalsekretär Luigi Montuori teil.
Bemessung der Geldbuße
Bei der Höhe des Bußgelds berücksichtigte der Garante mehrere Umstände. Nach der Mitteilung des Europäischen Datenschutzausschusses bezog sich der festgestellte Verstoß auf eine betroffene Person, dauerte sieben Monate und betraf Kontaktdaten zu Marketingzwecken.
Als mildernden Umstand wertete die Behörde die von BBVA ergriffenen Abhilfemaßnahmen. Erschwerend berücksichtigte sie einen einschlägigen früheren Verstoß. Konkret zog der Garante das frühere Provvedimento Nr. 413 vom 10. Juli 2025 gegen BBVA heran.
In jenem vorangegangenen Verfahren aus Juli 2025 ging es um eine Beschwerde im Zusammenhang mit dem Kundenservice von BBVA. Dort hatte der Garante noch zugunsten der Bank berücksichtigt, dass keine einschlägigen Vorverstöße vorlagen. Im nun entschiedenen Verfahren stellte die Behörde außerdem ausdrücklich darauf ab, dass die Verantwortliche einen Umsatz von mehr als 500 Millionen Euro aufweist.
In der deutschsprachigen Fachbeobachtung wurde das Bußgeld den fünf höchsten DSGVO-Bußgeldern des Monats September 2026 zugerechnet.
Bedeutung für Datenschutz und Direktmarketing
Die Entscheidung verdeutlicht die hohen Anforderungen an die praktische Umsetzung von Widersprüchen gegen Direktmarketing. Maßgeblich ist nicht nur, ob eine betroffene Person formal auf bestimmte Kommunikationswege verwiesen wird. Entscheidend kann vielmehr sein, ob ein tatsächlich erklärter Widerspruch erkannt, intern zutreffend weiterverarbeitet und wirksam umgesetzt wird.
Für Unternehmen mit appbasierten Kundenbeziehungen zeigt der Fall zudem, dass isolierte Systeme und voneinander getrennte Kommunikationskanäle datenschutzrechtliche Risiken begründen können. Dies gilt insbesondere, wenn Einstellungen in einer App, Kundenservice-Antworten und Marketing-Systeme nicht in der Weise zusammenwirken, dass Betroffenenrechte ohne unangemessene Verzögerung beachtet werden.
Rechtsfragen im Zusammenhang mit Datenschutz, Direktmarketing, Betroffenenrechten und behördlichen Verfahren erfordern regelmäßig eine sorgfältige Bewertung des konkreten Einzelfalls. MTR Legal Rechtsanwälte berät Unternehmen, Investoren und vermögende Privatpersonen in datenschutzrechtlichen Fragestellungen; weitere Informationen finden Sie unter Rechtsberatung im Datenschutzrecht.
