Die italienische Datenschutzbehörde hat einen bedeutsamen Bescheid gegen Intesa Sanpaolo gefällt und damit erneut unterstrichen, wie ernst europäische Regulatoren Datenschutzverletzungen nehmen. Die verhängte Buße in Höhe von 31,8 Millionen Euro basiert auf einer umfassenden Untersuchung, die nach einer im Juli 2024 gemeldeten Datenpanne eingeleitet wurde.
Das zentrale Problem: Ein Angestellter der Bank konnte über mehr als zwei Jahre hinweg auf sensitive Bankdaten von 3.573 Kunden zugreifen, ohne dass dafür eine geschäftliche Notwendigkeit bestand. Noch beunruhigender ist die Tatsache, dass die internen Kontrollsysteme diese unbefugten Zugriffe nicht erkannten. Dies deutet auf gravierende Schwachstellen in den Überwachungs- und Präventionsmechanismen hin.
Die Behörde kritisierte insbesondere das Betriebsmodell von Intesa Sanpaolo, das es Operatoren ermöglichte, die gesamte Kundenbasis in einer unkontrollierten Weise abzufragen. Die Balance zwischen Funktionalität und Sicherheitskontrollen war nicht gegeben. Besonders problematisch: Die betroffenen Konten gehörten hochriskanten Kunden – einige davon prominente Persönlichkeiten des öffentlichen Lebens. Diese hätten unter verstärkten Sicherheitsmaßnahmen stehen sollen.
Neben den unbefugten Zugriffen selbst rügte die Behörde auch die mangelhafte Reaktion der Bank. Die Benachrichtigungen an betroffene Kunden waren unvollständig und kamen verspätet an – ein weiterer Verstoß gegen die geltenden Datenschutzbestimmungen.
Die Höhe der Buße wurde basierend auf mehreren Faktoren festgesetzt: der Schwere und Dauer der Verstöße, der Anzahl betroffener Kunden sowie der Maßnahmen, die Intesa Sanpaolo nach Entdeckung der Probleme ergriff.
Für deutsche Finanzinstitute sendet dieser Fall ein klares Signal: Datenschutz ist nicht optional, sondern eine rechtliche Verpflichtung, die mit massiven Geldstrafen durchgesetzt wird. Unter der DSGVO und nationalen Datenschutzgesetzen müssen Banken gewährleisten, dass der Zugriff auf Kundendaten rollengerecht beschränkt ist, dass Zugriffe protokolliert und überwacht werden, und dass verdächtige Aktivitäten automatisch erkannt werden. Der Fall Intesa Sanpaolo zeigt, dass eine Compliance nur auf dem Papier nicht ausreicht – die tatsächliche Umsetzung wird streng überprüft.