Italienische Datenschutzbehörde verhängt Bußgelder
Die italienische Datenschutzbehörde hat gegen Poste Italiane und Deutsche Bank Geldbußen von zusammen 81.000 Euro verhängt. Anlass waren nach den Feststellungen der Behörde unzureichende Informationen über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Vermittlung und Vergabe von BancoPosta-Krediten.
Die beiden Sanktionsentscheidungen mit den Registernummern 746 und 747 datieren vom 7. Oktober 2026. Die Behörde setzte gegen Poste Italiane eine Geldbuße von 48.000 Euro und gegen Deutsche Bank eine Geldbuße von 33.000 Euro fest.
Beschwerde einer Beschäftigten von Poste Italiane
Ausgangspunkt des Verfahrens war die Beschwerde einer Mitarbeiterin von Poste Italiane. Nachdem ihr über BancoPosta eingereichter Kreditantrag abgelehnt worden war, stellte sie fest, dass Angaben zu ihrer finanziellen Situation über eine Plattform eingesehen werden konnten, zu der autorisierte Beschäftigte des Unternehmens Zugang hatten.
Zu den dort verfügbaren Daten gehörten ihr Nettoeinkommen und bestehende finanzielle Verpflichtungen. Die Beschwerdeführerin beanstandete die Offenlegung dieser Informationen und verlangte deren Löschung.
Daraufhin untersuchte die italienische Datenschutzbehörde die Verarbeitung personenbezogener Daten durch Poste Italiane und Deutsche Bank bei der Bewerbung und Bereitstellung von BancoPosta-Krediten.
Eigenständige Verantwortlichkeit beider Unternehmen
Tatsächliche Aufgaben waren für die Rollenverteilung maßgeblich
Die Untersuchung ergab, dass Poste Italiane und Deutsche Bank entgegen ihrer vertraglichen Ausgestaltung jeweils als eigenständige Verantwortliche handelten. Die Datenschutzbehörde stellte bei ihrer Bewertung auf die tatsächlich wahrgenommenen Funktionen ab. Die Begriffe des Verantwortlichen und des Auftragsverarbeiters seien funktional zu verstehen und dienten dazu, die datenschutzrechtlichen Verantwortlichkeiten entsprechend den tatsächlich ausgeübten Rollen zuzuordnen.
Die Aufgaben waren nach den Feststellungen der Behörde wie folgt verteilt:
- Poste Italiane nahm die Kreditanträge entgegen und übte Vermittlungstätigkeiten aus. Dazu gehörte auch die Ermittlung von Finanzprodukten, die den Bedürfnissen der Antragsteller entsprachen.
- Deutsche Bank prüfte eigenständig die Kreditwürdigkeit und entschied darüber, ob der jeweilige Kredit gewährt wurde.
Damit verarbeiteten die Unternehmen die personenbezogenen Daten nicht innerhalb eines Verhältnisses von Verantwortlichem und Auftragsverarbeiter. Vielmehr waren sie jeweils eigenständig für die von ihnen vorgenommenen Verarbeitungsvorgänge verantwortlich.
Datenschutzhinweise bildeten Datenverarbeitung nicht hinreichend ab
Unzureichende Angaben durch Poste Italiane
Nach Auffassung der Datenschutzbehörde gaben die Datenschutzhinweise beider Unternehmen weder ihre jeweiligen Rollen noch den zwischen ihnen stattfindenden Austausch personenbezogener Daten angemessen wieder.
Poste Italiane habe insbesondere nicht hinreichend klar über die Datenverarbeitung bei der Bewerbung und dem Vertrieb der Kredite informiert. Die Beanstandung betraf unter anderem die Angaben zu den Empfängern personenbezogener Daten sowie zu den Informationsflüssen unter Beteiligung der Bank.
Unzutreffende Einordnung von Poste Italiane durch Deutsche Bank
Auch die Datenschutzhinweise der Deutschen Bank entsprachen nach den Feststellungen der Behörde nicht den Anforderungen. Darin wurde Poste Italiane bei den Datenempfängern als externer Auftragsverarbeiter bezeichnet. Tatsächlich handelte Poste Italiane nach der behördlichen Bewertung jedoch als eigenständiger Verantwortlicher.
Die Deutsche Bank hatte Poste Italiane damit nicht zutreffend als Empfänger personenbezogener Daten eingeordnet, der diese Daten in eigener datenschutzrechtlicher Verantwortlichkeit verarbeitet.
Transparenz erfordert wesentliche und verständliche Angaben
Die italienische Datenschutzbehörde hob hervor, dass Datenschutzhinweise klare, vollständige und verständliche Informationen über die Verarbeitung personenbezogener Daten enthalten müssen. Das Erfordernis einer prägnanten Information rechtfertige es nicht, wesentliche Einzelheiten wegzulassen, die betroffene Personen benötigen, um die Verwendung ihrer Daten nachvollziehen zu können.
Die Behörde stellte bei beiden Unternehmen Verstöße gegen Art. 5 Abs. 1 Buchst. a und Art. 13 DSGVO fest. Die Transparenzpflichten erfassten in diesem Fall insbesondere die tatsächliche Rollenverteilung, die Empfänger personenbezogener Daten und die maßgeblichen Datenflüsse zwischen den beteiligten Unternehmen.
Anordnungen und Maßnahmen im Verfahren
Während der Untersuchung löschten beide Unternehmen die personenbezogenen Daten der Beschwerdeführerin. Poste Italiane überarbeitete zudem seinen Datenschutzhinweis.
Deutsche Bank erließ interne Anweisungen, um die Aufnahme personenbezogener Daten und kreditbezogener Informationen in Mitteilungen über Kreditanträge zu begrenzen. Darüber hinaus verpflichtete die Datenschutzbehörde die Bank, ihren Datenschutzhinweis innerhalb von sechs Monaten anzupassen. Darin ist die Stellung von Poste Italiane als eigenständiger Verantwortlicher zutreffend wiederzugeben. Deutsche Bank muss der Behörde außerdem die Umsetzung dieser Anordnung nachweisen.
Bedeutung transparenter Rollen bei Kreditprozessen
Die Entscheidungen verdeutlichen, dass vertragliche Bezeichnungen für die datenschutzrechtliche Einordnung nicht allein ausschlaggebend sind. Entscheidend sind die Aufgaben, die ein Unternehmen im konkreten Verarbeitungsvorgang tatsächlich übernimmt, und die damit verbundenen Entscheidungsbefugnisse.
Unternehmen, Investoren und Privatpersonen, die Fragen zu Transparenzpflichten, Verantwortlichkeiten oder zum Austausch personenbezogener Daten haben, können sich an MTR Legal Rechtsanwälte wenden. Weitere Informationen finden sich unter Rechtsberatung im Datenschutzrecht.
