Was sich geändert hat
- Die italienische Datenschutzbehörde verhängte Verwaltungsbussen von insgesamt EUR 81'000 gegen Poste Italiane und die Deutsche Bank wegen Verstosses gegen die Artikel 5 Abs. 1 lit. a und 13 der DSGVO.
- Die Untersuchung ergab, dass beide Unternehmen als eigenständige Verantwortliche agierten, ohne Datenflüsse und den Status der Empfänger in ihren Datenschutzhinweisen ordnungsgemäss abzubilden.
- Die Deutsche Bank wurde angewiesen, ihre Datenschutzhinweise innerhalb von sechs Monaten zu überarbeiten, um Poste Italiane korrekt als eigenständigen Verantwortlichen auszuweisen.
Organisationen, die in der Europäischen Union Co-Branding- oder Partner-Finanzprodukte anbieten, müssen die Transparenzpflichten der Datenschutz-Grundverordnung (DSGVO) strikt einhalten, insbesondere bei der Definition der Rollen der datenschutzrechtlich Verantwortlichen. Die italienische Datenschutzbehörde verhängte Verwaltungsbussen von EUR 48'000 gegen Poste Italiane und EUR 33'000 gegen die Deutsche Bank (insgesamt EUR 81'000), weil sie Kreditantragsteller nicht ausreichend über die Verarbeitung personenbezogener Daten informiert hatten.
Die behördliche Untersuchung ging auf die Beschwerde einer Mitarbeiterin von Poste Italiane zurück. Nach der Ablehnung ihres über BancoPosta eingereichten Kreditantrags stellte sie fest, dass Einzelheiten ihrer finanziellen Situation — einschliesslich Nettoeinkommen und bestehender Verpflichtungen — auf einer internen Plattform für autorisiertes Personal weiterhin einsehbar waren. Bei der Überprüfung der Datenverarbeitungspraktiken beider Unternehmen im Zusammenhang mit BancoPosta-Krediten stellte die italienische Datenschutzbehörde fest, dass Poste Italiane und die Deutsche Bank ungeachtet ihrer vertraglichen Vereinbarungen als eigenständige Verantwortliche agierten. Poste Italiane nahm die Anträge entgegen und übernahm Vermittlungsaufgaben, während die Deutsche Bank die Kreditwürdigkeit eigenständig prüfte und die abschliessenden Kreditentscheidungen traf.
Die Datenschutzbehörde stellte fest, dass die Datenschutzhinweise beider Unternehmen gegen die Artikel 5 Abs. 1 lit. a und 13 der DSGVO verstiessen. Poste Italiane versäumte es, die Verarbeitungstätigkeiten bei der Kreditwerbung, die Datenempfänger sowie die Informationsflüsse an die Deutsche Bank klar darzulegen. Die Deutsche Bank versäumte es, Poste Italiane als empfangenden eigenständigen Verantwortlichen zu nennen. Die Behörde betonte, dass Datenschutzinformationen zwar prägnant sein sollten, diese Prägnanz jedoch nicht das Weglassen wesentlicher Details rechtfertigen könne, die Einzelpersonen benötigen, um die Datennutzung zu verstehen.
Im Laufe des Verfahrens löschten beide Unternehmen die Daten der Beschwerdeführerin. Poste Italiane aktualisierte ihre Datenschutzhinweise, während die Deutsche Bank interne Anweisungen erliess, um Kreditdetails in der Kommunikation einzuschränken. Die Datenschutzbehörde wies die Deutsche Bank ausserdem an, ihre Datenschutzhinweise innerhalb von sechs Monaten anzupassen, um Poste Italiane korrekt als eigenständigen Verantwortlichen zu bezeichnen, und den Nachweis der Einhaltung zu erbringen.
Wer betroffen sein kann
Finanzinstitute, gewerbsmässige Kreditvermittler und Kreditantragsteller in Italien und der Europäischen Union.
Grenzüberschreitender Kontext
Wendet die Standards der EU-Datenschutz-Grundverordnung (DSGVO) auf den Vertrieb von Finanzdienstleistungen unter Beteiligung eines italienischen Unternehmens (Poste Italiane) und einer internationalen Bankengruppe (Deutsche Bank) an.
Was als Nächstes zu prüfen ist
- Offizielle Entscheidung der italienischen Datenschutzbehörde betreffend Poste Italiane
- Offizielle Entscheidung der italienischen Datenschutzbehörde betreffend Deutsche Bank
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.