Was sich geändert hat
- Die italienische Datenschutzbehörde verhängte gegen Barbuti S.p.A. eine Busse von EUR 5 000 wegen Verstosses gegen die Artikel 5 Abs. 2, 12 und 17 DSGVO sowie gegen italienisches Recht.
- Die Behörde entschied, dass Löschungsanträge, die an allgemeine geschäftliche E-Mail-Adressen gesendet werden, gemäss den EDPB-Leitlinien 01/2022 gültig sind.
- Barbuti S.p.A. wurde angewiesen, die Werbekommunikation an Artikel 130 Abs. 5 des italienischen Datenschutzgesetzes anzupassen und innerhalb von 30 Tagen Bericht zu erstatten.
Die italienische Datenschutzbehörde (DPA) hat eine Verwaltungsbusse von EUR 5 000 gegen das Bekleidungsunternehmen Barbuti S.p.A. verhängt und das Unternehmen angewiesen, seine Direktmarketing-Praktiken in Einklang mit den Vorschriften zu bringen, nachdem es den Antrag einer betroffenen Person auf Löschung personenbezogener Daten nicht ausgeführt hatte.
**Sachverhalt und Rechtsverstösse**
Der Fall ging auf die Beschwerde einer Einzelperson über anhaltende Werbe-SMS von Barbuti S.p.A. zurück. Da die Marketingnachrichten keine Informationen darüber enthielten, wie Datenschutzrechte ausgeübt werden können, reichte die Person einen Löschungsantrag an die allgemeine Kontakt-E-Mail-Adresse des Unternehmens ein. Obwohl Barbuti S.p.A. eine automatische Bestätigung versendete, reagierte das Unternehmen nicht auf den Antrag, unternahm keine Schritte und versendete weiterhin Marketing-SMS.
Die italienische Datenschutzbehörde stellte fest, dass Barbuti S.p.A. über keine angemessenen organisatorischen Massnahmen verfügte, um Anträge auf Betroffenenrechte zu bearbeiten, die über allgemeine Kommunikationskanäle eingereicht wurden. Unter Bezugnahme auf die Leitlinien 01/2022 des Europäischen Datenschutzausschusses (EDPB) zu den Rechten betroffener Personen hob die Datenschutzbehörde hervor, dass Anträge, die über einen vom Verantwortlichen bereitgestellten Kommunikationskanal eingereicht werden, im Allgemeinen als gültig behandelt und entsprechend bearbeitet werden müssen, selbst wenn der Kanal vom in den Datenschutzhinweisen angegebenen bevorzugten Weg abweicht.
Infolgedessen stellte die Datenschutzbehörde fest, dass Barbuti S.p.A. gegen die Artikel 5 Abs. 2, 12 und 17 der Datenschutz-Grundverordnung (DSGVO) sowie gegen Artikel 130 des italienischen Datenschutzgesetzes verstossen hat, da das Unternehmen personenbezogene Daten ohne gültige Rechtsgrundlage zu Werbezwecken verarbeitete und keine Kontaktdaten des Empfängers zur Ausübung von Rechten bereitstellte.
**Behördliche Sanktionen und Korrekturmassnahmen**
Zusätzlich zur Verwaltungsbusse von EUR 5 000 erliess die italienische Datenschutzbehörde eine Befolgungsanordnung, mit der Barbuti S.p.A. angewiesen wird, Massnahmen zu ergreifen, um sicherzustellen, dass die Werbekommunikation Artikel 130 Abs. 5 des italienischen Datenschutzgesetzes entspricht. Das Unternehmen muss der Datenschutzbehörde die ergriffenen Massnahmen innerhalb von 30 Tagen nach Zustellung des Entscheids melden.
Wer betroffen sein kann
Verantwortliche für die Datenverarbeitung, Marketingteams und Compliance-Beauftragte, die in Italien tätig sind oder Daten von betroffenen Personen in der EU verarbeiten.
Grenzüberschreitender Kontext
Wendet die EU-DSGVO-Grundsätze und die EDPB-Leitlinien 01/2022 in Italien an und schafft Präzedenzfälle für die Compliance bei grenzüberschreitenden Marketingpraktiken in der EU.
Was als Nächstes zu prüfen ist
- Vollständigen Entscheid der italienischen Datenschutzbehörde (Garante per la protezione dei dati personali) einsehen.
- EDPB-Leitlinien 01/2022 zu Betroffenenrechten bezüglich akzeptierter Kommunikationskanäle für DSGVO-Anträge konsultieren.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.