Die italienische Datenschutzaufsichtsbehörde Garante per la Protezione dei dati Personali (GPDP) hat mit ihrer Entscheidung vom 23. Juli 2026 gegen den Telekommunikationsanbieter TIM S.p.A. ein Bußgeld in Höhe von 9.516.000 Euro verhängt.
Anlass waren rund 7000 Beschwerden und Meldungen aus dem Jahr 2025. Im Mittelpunkt standen dabei rechtswidrige Marketingkontakte über fiktive Leads, Defizite bei der Überwachung von Vertriebspartnern sowie Verstöße bei der Wahrnehmung von Betroffenenrechten.
Rechtswidrige Erstkontakte durch Spoofing-Anrufe
Die GPDP stellt ein mehrstufiges Vertriebsmuster fest. Betroffene, deren Rufnummern unter anderem im italienischen Widerspruchsregister (RPO) eingetragen waren, erhielten unerwünschte Werbeanrufe. Dabei wurden mittels CLI-Spoofing jedoch Rufnummern angezeigt, die nicht im einschlägigen Register ROC registriert waren und sich offiziell somit nicht auf TIM zurückführen ließen. Im Anschluss erhielten Betroffene per SMS einen Link zu einem Webformular eines offiziellen TIM-Vertriebspartners. Bekundeten Betroffene über diesen Link ihr Interesse, erschien der anschließende Rückruf in den Vertriebssystemen von TIM als vom Betroffenen selbst veranlasster Lead.
Bereits die Erhebung der Kontaktdaten und der erste Marketingkontakt stellen der GPDP zufolge eigenständige Datenverarbeitungsvorgänge dar und bedürfen jeweils einer Rechtsgrundlage. Eine später erteilte Einwilligung über den SMS-Link kann dabei einen bereits rechtswidrig erfolgten Erstkontakt nicht rückwirkend legitimieren.
Fehlende Verifikation und unzureichende Kontrolle der Vertriebskette
Bei der Leadgenerierung sei außerdem nicht ausreichend überprüft worden, ob die eingegebene Telefonnummer tatsächlich der handelnden Person gehörte. Die GPDP bewertet dabei ein während des Verfahrens eingeführtes Opt-out per SMS mit fünfminütiger Widerspruchsmöglichkeit als ungeeignet.
Eine wirksame Einwilligung setzt eine aktive Handlung voraus. Das Schweigen im Rahmen der Opt-out-Funktion kann nicht zur Grundlage der Rechtmäßigkeit der Verarbeitung gemacht werden. Eine geeignete Alternative sei der GPDP zufolge ein vorheriges Opt-in mit der Verifizierung des Nummerninhabers, die etwa durch ein One-Time-Password erfolgen könne.
Besondere Bedeutung misst die Entscheidung außerdem der Überwachung der Vertriebskette bei. TIMs Kontrollen stützten sich auf von den Partnern selbst gemachten Angaben und erfassten vor allem die nachgelagerten, bereits als Leads dokumentierten Kontakte. Gleichzeitig waren erhebliche statistische Auffälligkeiten erkennbar. Während bei einer Agentur 22.242 dokumentierten Kontakten lediglich 17.388 gemeldete Leads gegenüberstanden, waren es bei einer weiteren 6.075 Leads bei 16.102 Kontakten. Nach Ansicht der GPDP hätten solche Abweichungen bereits zu unmittelbaren Kontrollen führen müssen.
Die italienische Datenschutzaufsichtsbehörde knüpft die Verantwortlichkeit an eigenes Auswahl- und Überwachungsverschulden und verlangt eine kontinuierliche, risikobasierte Kontrolle der Vertriebskette. Insbesondere konnte sich TIM dabei nicht auf die eigenständige Verantwortung seiner Vertriebspartner berufen.
Weitere Verstöße und Sanktionen
Daneben stellte die GPDP Verstöße bei der Bearbeitung von Betroffenenrechten fest. In einzelnen Fällen wurden Werbemitteilungen trotz Widerspruchs noch über Monate versandt. Zudem wurden Abmeldungen teilweise mit zusätzlichen Authentifizierungs- oder Registrierungsschritten für Betroffene erschwert.
Insgesamt stellte die Behörde Verstöße gegen die Art. 5, 6, 7, 12, 15 bis 22 sowie 24, 25, 28 und 32 DSGVO fest. Ebenso liegt ein Verstoß gegen Art. 130 des italienischen Datenschutzkodex vor.
Neben dem Bußgeld in Höhe von 9,5 Mio. Euro ordnete die GPDP drei Korrekturmaßnahmen an.
TIM muss das Verfahren zur Generierung von Rückrufanfragen überarbeiten eine angemessene Kontrolle seiner Vertriebspartner sicherstellen und die Verfahren zur Ausübung von Betroffenenrechten anpassen.
Fazit
Die Entscheidung der GPDP verdeutlicht, dass sich Verantwortliche im Direktmarketing nicht auf formal ordnungsgemäß erscheinende Leads verlassen dürfen. Entscheidend ist vielmehr, ob bereits die Datenerhebung und der erste Kontakt rechtmäßig erfolgt sind. Zugleich bestätigt die Behörde, dass die datenschutzrechtliche Verantwortung auch die wirksame Auswahl und Überwachung ausgelagerter Vertriebsketten umfasst.
Bei einer Nutzung solcher Vertriebsstrukturen muss deshalb nicht nur der sichtbare Endkontakt, sondern der gesamte Weg der Leadgenerierung auf Datenschutzkonformität kontrolliert werden.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
