Vodafone: Bundesdatenschutzbeauftragte verhängt Rekordbußgeld

Im Juni 2025 verhängte die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ein Bußgeld in Höhe von 45 Millionen Euro gegen die Vodafone GmbH. Anlass waren schwerwiegende Verstöße gegen wesentliche datenschutzrechtliche Bestimmungen, bei denen insbesondere unzureichende Kontrollmechanismen gegenüber Vertriebspartnern und Schwächen in der technischen Absicherung von Kundendaten im Fokus standen. Dieser Vorfall verdeutlicht, wie wichtig eine lückenlose Einhaltung der Datenschutzvorgaben ist, insbesondere für Unternehmen wie Vodafone, die stark digitalisierte Geschäftsprozesse betreiben. Der Fall zeigt auf, dass Vodafone, um regulatorischen Anforderungen gerecht zu werden, in der Zukunft größere Anstrengungen in der strukturellen Anpassung und Sicherstellung des Datenschutzes unternehmen muss.

Defizite in der Partnersteuerung: Unzureichende Kontrolle im Vertrieb

Eine der beiden Geldbußen – in Höhe von 15 Millionen Euro – resultierte aus mangelhaften Kontrollmechanismen bei externen Partneragenturen. Diese waren im Auftrag von Vodafone tätig und für die Kundenakquise zuständig. In mehreren Fällen kam es dabei zu nachweisbaren Manipulationen von Verträgen zulasten der Kund*innen. Die Aufsicht stellte fest, dass Vodafone seine Pflichten als Verantwortlicher gemäß Art. 28 Abs. 1 DSGVO in Bezug auf Auswahl, Überprüfung und Kontrolle von Auftragsverarbeitern in erheblicher Weise vernachlässigt hatte.

Die BfDI betonte, dass Datenschutz auch die Verantwortung gegenüber beauftragten Dritten einschließt – ein Aspekt, der in der Praxis häufig unterschätzt wird. Dadurch geriet der Datenschutz bei Vodafone in eine Schieflage, die strukturelle und organisatorische Konsequenzen erforderlich machte.

Technische Schwachstellen: Sicherheitslücken bei der Authentifizierung

Zusätzlich wurde eine Geldbuße in Höhe von 30 Millionen Euro verhängt, weil im Authentifizierungsverfahren zwischen dem Onlineportal „MeinVodafone“ und der Hotline erhebliche Sicherheitslücken festgestellt wurden. Unbefugte konnten sich mittels einfacher Authentifizierungsumgehung Zugriff auf eSIM-Profile verschaffen – mit potenziell schwerwiegenden Folgen für betroffene Nutzer*innen.

Diese Sicherheitsmängel wurden als Verstoß gegen Art. 32 Abs. 1 DSGVO gewertet, der Unternehmen verpflichtet, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu treffen. Der Vorfall zeigt, dass der Datenschutz bei Vodafone nicht nur prozessuale, sondern auch infrastrukturelle Anforderungen umfasst.

Kooperation und Nachbesserung: Vodafone zeigt Einsicht

Die BfDI hob hervor, dass Vodafone während des gesamten Verfahrens kooperativ agiert und eigeninitiativ relevante Informationen offengelegt habe – auch solche, die das Unternehmen selbst belasteten. Das Unternehmen hat die Bußgeldbescheide akzeptiert und den Betrag bereits vollständig an die Bundeskasse entrichtet.

Darüber hinaus wurden Maßnahmen zur Verbesserung der internen Kontrollsysteme, zur Auswahl und Auditierung von Partneragenturen sowie zur technischen Absicherung digitaler Services umgesetzt. Unter dem neuen Management genießt der Datenschutz bei Vodafone eigenen Angaben zufolge nun eine höhere Priorität. Das Unternehmen investierte zudem in Projekte zur Förderung von Datenschutz, Medienkompetenz und digitaler Bildung.

Einordnung: Datenschutz als kontinuierlicher Prozess

Der Fall Vodafone zeigt, dass Datenschutz mehr ist als ein regulatorisches Erfordernis. Er ist ein wesentlicher Bestandteil einer zukunftsfähigen digitalen Infrastruktur. Die Bundesdatenschutzbeauftragte betonte, dass IT-Investitionen notwendig sind, um Datenschutz nachhaltig umzusetzen. Fehlende Investitionen und einseitige Einsparungen bei der Sicherheit führen zu langfristigen Risiken – sowohl rechtlich als auch reputativ.

Fazit: Rechtssicherheit durch strukturelle Anpassungen

Die BfDI verhängte das bislang höchste DSGVO-Bußgeld einer deutschen Aufsichtsbehörde und sendet damit ein klares Signal: Sie verfolgt Datenschutzverstöße konsequent – unabhängig von Größe oder Branche. Vodafone reagierte auf die Vorwürfe und nahm strukturelle sowie technische Anpassungen vor. Das Unternehmen zeigt, dass es künftig die Anforderungen des Datenschutzrechts proaktiv erfüllen will.

Das Beispiel verdeutlicht, dass Unternehmen Datenschutz nicht nur als rechtliche Notwendigkeit, sondern auch als betriebswirtschaftliche Chance begreifen sollten. Wer Datenschutz strategisch angeht, schafft langfristig Vertrauen – sowohl intern als auch extern.

Links und Hinweise:

Datenschutzberatung procado | Erfahren Sie mehr zu unserer Datenschutzberatung

BfDI verhängt Geldbußen gegen Vodafone | Artikel vom BfDI zum Thema Datenschutzverstöße bei Vodafone