Die Arbeitswelt ist von arbeitsteiligen Prozessen geprägt. Kein Unternehmen kann heutzutage alle Aufgaben eigenständig erledigen und nutzt Dienstleister für die Auslagerung von Aufgaben.

Werden im Rahmen dieser Auslagerungen auch personenbezogene Daten verarbeitet, lohnt sich immer ein Blick in die Datenschutzgrundverordnung. Wir empfehlen aus aktuellem Anlass besonders die Artikel 28 und 32 DSGVO.

Was war passiert?

Am 04.06.2025 veröffentlichte die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit eine Pressemitteilung. Demnach wurden gegen die Vodafone GmbH zwei Geldbußen in Höhe von insgesamt 45 Millionen Euro verhängt.

• 15 Millionen Euro Geldbuße wurden verhängt, da im Auftrag tätige Partneragenturen nicht ausreichend datenschutzrechtlich überprüft und überwacht wurden.
• 30 Millionen Euro Geldbuße wurden aufgrund eines Verstoßes gegen Art. 32 Abs. 1 DSGVO verhängt, da in bestimmten Vertriebssystemen Schwachstellen festgestellt wurden.

Wie kam es dazu?

Mehrere Ursachen wurden identifiziert:

• Betrugsfälle durch fingierte Verträge
• Böswillig handelnde Mitarbeitende in Partneragenturen
• Sicherheitsmängel bei Authentifizierungsprozessen
• Schwachstellen in bestimmten Vertriebssystemen

Welche Erkenntnisse nehmen wir mit?

Auftragsverarbeitungsverhältnisse sind kein Selbstläufer. Der für die Datenverarbeitung Verantwortliche wählt grundsätzlich geeignete Auftragsverarbeiter aus, die den Schutz der Rechte der betroffenen Person gewährleisten. Er etabliert regelmäßige Kontrollen der technisch-organisatorischen Maßnahmen und führt Audits bei den Auftragsverarbeitern durch.

Böswillige Handlungen können leider nicht vollständig ausgeschlossen werden. Es sollte potenziellen Tätern aber nicht zu leicht gemacht werden.

Hier geht’s zur Pressemitteilung der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit: BfDI – Pressemitteilungen – BfDI verhängt Geldbußen gegen Vodafone