DSGVO-Bußgeld: Direktmarketing im Fokus

(openPR) Stuttgart, 24. Oktober 2026: Die italienische Datenschutzaufsicht Garante per la protezione dei dati personali hat gegen die italienische Niederlassung der Banco Bilbao Vizcaya Argentaria, S.A. eine Geldbuße von 5.508.000 Euro verhängt. Im Mittelpunkt steht ein Widerspruch gegen Direktmarketing, der nach Auffassung der Behörde über die mobile Anwendung der Bank wirksam erklärt, aber nicht ordnungsgemäß umgesetzt wurde.

Widerspruch über App löste Verfahren aus

Ausgangspunkt des Verfahrens war die Beschwerde eines Kunden, der in der mobilen App der Bank die Einstellungen zum Direktmarketing geändert hatte. Zusätzlich wandte er sich an den Kundenservice und erklärte nach den behördlichen Feststellungen insbesondere mit Mitteilungen vom 2. Oktober 2025 und 9. Dezember 2025 seinen Widerspruch. Dennoch erhielt er nach Darstellung des Garante im Zeitraum von Oktober 2025 bis Mai 2026 weiterhin werbliche Benachrichtigungen über die App.

Die Beschwerde ging nach den veröffentlichten Angaben am 11. März 2026 bei der italienischen Datenschutzaufsicht ein. Im weiteren Verfahren richtete die Behörde am 28. April 2026 ein förmliches Auskunftsersuchen an die Bank. Nach der Mitteilung des Europäischen Datenschutzausschusses ist die abschließende Entscheidung auf den 3. Juli 2026 datiert; die amtliche Veröffentlichung des Garante weist das Provvedimento n. 613 mit Datum vom 3. September 2026 aus.

Die Bank machte gegenüber der Behörde geltend, die Auswahl des Kunden sei erfasst worden. Die fortgesetzten Mitteilungen seien auf einen technischen Fehler zurückzuführen gewesen, der die Synchronisierung zwischen internen Systemen und der für kommerzielle Kommunikation zuständigen Customer-Relationship-Management-Einheit verhindert habe. Der Garante folgte dieser Einordnung als entlastender Erklärung nicht in einem Umfang, der eine Sanktion ausgeschlossen hätte.

Garante beanstandet Organisation und Technik

Nach Auffassung der Behörde durfte die Bank den Kunden nicht darauf verweisen, ausschließlich besondere E-Mail-Adressen oder den Postweg für Marketing-Widersprüche zu nutzen. Entscheidend sei gewesen, dass der Betroffene seinen Widerspruch über die App erklärt und zusätzlich den Kundenservice kontaktiert hatte. Verantwortliche müssten die Ausübung von Betroffenenrechten erleichtern und wirksame Erklärungen intern zutreffend verarbeiten.

Der Garante stellte außerdem Mängel bei technischen und organisatorischen Maßnahmen fest. Der Kundenservice hatte dem Beschwerdeführer mitgeteilt, werbliche Pop-up-Benachrichtigungen in der App könnten nicht deaktiviert werden. Später zeigte die Bank gegenüber der Behörde, dass ein Stopp solcher Benachrichtigungen tatsächlich möglich war.

Die Entscheidung nennt insbesondere Verstöße gegen mehrere Vorgaben der Datenschutz-Grundverordnung. Dazu zählen:

• Art. 5 Abs. 1 lit. a DSGVO zu Rechtmäßigkeit, Fairness und Transparenz der Verarbeitung,
• Art. 12 DSGVO zu transparenter Information und der Ausübung von Betroffenenrechten,
• Art. 21 DSGVO zum Widerspruchsrecht,
• Art. 24 DSGVO zur Verantwortung des Verantwortlichen.

Da die festgestellten Verstöße auf miteinander verbundenen Verarbeitungsvorgängen beruhten, wandte die Behörde Art. 83 Abs. 3 DSGVO an. Danach darf der Gesamtbetrag der Geldbuße den Rahmen für den schwersten Verstoß nicht überschreiten. Neben der Geldbuße ordnete der Garante an, geeignete technische und organisatorische Maßnahmen zu treffen und die Behörde innerhalb von 30 Tagen nach Zustellung über die Umsetzung zu informieren.

Folgen für Unternehmen mit digitalem Marketing

Die Entscheidung zeigt, dass Datenschutzaufsichtsbehörden bei Direktmarketing nicht allein auf formale Kommunikationswege abstellen. Wenn ein Kunde in einer App eine Entscheidung trifft oder den Kundenservice kontaktiert, muss die Erklärung in den relevanten Systemen erkannt und ohne unangemessene Verzögerung berücksichtigt werden. Getrennte Datenflüsse zwischen App, Service und Marketing können erhebliche Risiken auslösen.

Bei der Bemessung der Geldbuße berücksichtigte der Garante nach den veröffentlichten Angaben unter anderem, dass eine Person betroffen war, der Zeitraum sieben Monate umfasste und Kontaktdaten zu Marketingzwecken verarbeitet wurden. Mildernd wurden Abhilfemaßnahmen der Bank gewertet. Erschwerend zog die Behörde einen einschlägigen früheren Verstoß heran und verwies zudem auf einen Umsatz von mehr als 500 Millionen Euro.

Rechtsanwalt Michael Rainer, MTR Legal Rechtsanwälte, ordnet ein: „Für Unternehmen macht die Entscheidung deutlich, dass Datenschutz-Compliance nicht bei der Bereitstellung eines Opt-out-Feldes endet. Investoren sollten bei digitalen Geschäftsmodellen auch prüfen, ob Betroffenenrechte über alle Kundenschnittstellen hinweg technisch und organisatorisch belastbar umgesetzt werden.“

Für betroffene Unternehmen ergibt sich daraus ein klarer Prüfungsbedarf bei Prozessen rund um Werbung, Apps und Kundenservice. Sinnvoll ist insbesondere eine konsistente Abstimmung zwischen Datenschutzhinweisen, Service-Antworten, App-Einstellungen und Marketing-Systemen. Auch Schulungen im Kundenservice können wesentlich sein, damit Auskünfte zu Widerspruchsrechten zutreffend erteilt und intern weitergeleitet werden.

Weitere Informationen: https://www.mtrlegal.com/dsgvo-bussgeld-gegen-bbva-wegen-direktmarketing/