1&1-Callcenter nahmen Namen und Geburtsdatum als Ausweis – 9,55 Mio. € DSGVO-Geldbuße, auf 900.000 € reduziert

Im Jahr 2018 rief eine Frau die Kundenhotline der 1&1 Telecom GmbH an, nannte den Namen und das Geburtsdatum ihres Ex-Mannes – und der Callcenter-Mitarbeiter las ihr seine neue Mobilfunknummer vor. Das war kein einmaliges Versäumnis: Der Bundesbeauftragte für den Datenschutz (BfDI) stellte fest, dass die Callcenter von 1&1 im Regelfall einen Namen und ein Geburtsdatum als ausreichende Identifikation akzeptierten, selbst wenn erkennbar war, dass ein Dritter für den Kunden anrief.

Am 9. Dezember 2019 verhängte der BfDI, die Bundesaufsichtsbehörde für den Datenschutz in der Telekommunikation, gegen 1&1 eine Geldbuße von 9,55 Mio. € nach Artikel 32 DSGVO. Der Betrag ergab sich aus der Bußgeldformel der deutschen Aufsichtsbehörden, die an den Konzernumsatz anknüpft, lag wegen der Kooperation von 1&1 am unteren Ende der Spanne und spiegelte eine Schwachstelle wider, die der BfDI als den gesamten Kundenstamm betreffend einstufte. 1&1 weigerte sich zu zahlen, bezeichnete die Geldbuße als unverhältnismäßig – Auslöser sei eine einzelne Anfrage aus dem Jahr 2018 gewesen und Namens- und Geburtsdatumsprüfungen seien Branchenstandard – und kündigte an zu klagen. Wenige Tage später führte das Unternehmen eine fünfstellige Service-PIN ein, die ab dem 16. Dezember 2019 verpflichtend war.

Das Landgericht Bonn (LG Bonn, 29 OWi 1/20, 11. November 2020) – das erste deutsche Urteil zu einer DSGVO-Millionenbuße – bestätigte den Verstoß: Die Callcenter von 1&1 ließen routinemäßig einen Namen und ein Geburtsdatum als Authentifizierung gelten. Es reduzierte die Geldbuße jedoch auf 900.000 €: ein geringfügiger Verstoß ohne massenhafte Offenlegung, eine Praxis, die zuvor von keiner Aufsichtsbehörde beanstandet worden war, und kein verbindlicher rechtlicher Standard für die Authentifizierung in Callcentern. Das Gericht entschied zudem, dass ein Unternehmen ohne den Nachweis eines persönlichen Verschuldens eines Managers mit einer Geldbuße belegt werden kann.

9,55 Mio. € Geldbuße des BfDI – Deutschlands zweite DSGVO-Millionenbuße; ein Gericht reduzierte sie auf 900.000 € im ersten deutschen Urteil zu einer DSGVO-Geldbuße

Das Authentifizierungsgeheimnis waren Daten, die ein Angreifer bereits hat: Name und Geburtsdatum sind öffentlich, erratbar oder jedem Stalker, Schuldner und entfremdeten Angehörigen bekannt.

Der Prozess versagte genau dort, wo es darauf ankam – Mitarbeiter gaben Daten preis, selbst wenn der Anrufer erkennbar nicht der Kunde war.

Niemand verantwortete das Risiko: Die Praxis lief jahrelang ohne Messung oder Hinterfragung, bis der Fall eines Opfers die Bundesaufsichtsbehörde erreichte.

1&1 verglich sich mit dem Markt („damalige Standardpraxis“) statt mit der Bedrohung – die Version der Geschichte, die Aufsichtsbehörden nie akzeptieren.

Eine Authentifizierung, die auf öffentlichen oder erratbaren Tatsachen beruht, schützt niemanden: Ein Name und ein Geburtsdatum identifizieren eine Person, verifizieren aber keinen Anrufer. „Branchenstandard“ ist kein Sicherheitsniveau.

1&1 stellte im Dezember 2019 für den Telefonsupport auf eine fünfstellige Service-PIN um. Das Urteil des LG Bonn reduzierte die Geldbuße auf 900.000 € und wurde zum ersten deutschen Maßstab für DSGVO-Geldbußen: Unternehmen können ohne individuelle Zurechnung mit einer Geldbuße belegt werden, umsatzbasierte Beträge müssen jedoch in einem angemessenen Verhältnis zum tatsächlichen Verstoß stehen. Der BfDI erklärte, er prüfe andere Telekommunikationsanbieter auf dieselbe Authentifizierungsschwäche.