Ein ausgeschalteter Werbeschalter genügt nicht, wenn das versendende CRM die Entscheidung nicht übernimmt. Eine italienische Aufsichtsentscheidung zeigt, wie aus einer einzelnen Beschwerde, mindestens zehn unerwünschten Nachrichten und einem Systembruch ein Bußgeld von 5.508.000 Euro wurde.
Ein Kunde schaltet Werbung in einer App aus. Er meldet sich zusätzlich beim Kundenservice. Trotzdem erscheinen weiter kommerzielle Nachrichten. Was wie ein kleines technisches Problem klingt, berührt gleich mehrere Grundpflichten der DSGVO.
Der Fall macht eine unbequeme Wahrheit sichtbar: Werbung und Datenschutz werden nicht allein in einer Einwilligungsmaske entschieden. Entscheidend ist, ob der erklärte Wille einer Person durch alle beteiligten Prozesse und Systeme läuft. Ein Opt out, das im Eingangssystem stecken bleibt, ist praktisch kein wirksames Opt out.
Der Fall: Der Schalter war aus, die Werbung lief weiter
Der italienische Garante per la protezione dei dati personali befasste sich mit Werbenachrichten in der App der italienischen Niederlassung von Banco Bilbao Vizcaya Argentaria. Der Kunde hatte die Einstellung für kommerzielle Mitteilungen in der App deaktiviert. Außerdem widersprach er gegenüber dem Kundenservice am 2. Oktober und am 9. Dezember 2025 der werblichen Verarbeitung.
Die Werbung endete nicht. Nach den Feststellungen der Behörde erhielt der Kunde zwischen Oktober 2025 und Mai 2026 mindestens zehn unerwünschte kommerzielle Mitteilungen in der App. Der Kundenservice teilte ihm am 10. Dezember 2025 sinngemäß mit, Pop up Benachrichtigungen könnten nicht entfernt werden und seien bei fehlendem Interesse zu ignorieren.
Die spätere technische Prüfung ergab etwas anderes. Die geänderte Entscheidung war in internen Systemen erfasst, aber nicht mit der für den Versand zuständigen CRM Einheit synchronisiert worden. Erst nach der Anfrage der Aufsichtsbehörde wurde das Profil korrigiert. Nach den Angaben der Bank erhielt der Kunde seit dem 13. Mai 2026 keine entsprechenden Nachrichten mehr.
Ein Werbewiderspruch wirkt nicht erst nach der nächsten Kampagne
Art. 21 Abs. 2 DSGVO gibt betroffenen Personen das Recht, einer Verarbeitung für Direktwerbung jederzeit zu widersprechen. Nach Art. 21 Abs. 3 DSGVO dürfen die personenbezogenen Daten anschließend nicht mehr für diese Zwecke verarbeitet werden.
Das ist mehr als eine Pflicht, den Status in einer Datenbank umzubenennen. Das werbende System muss tatsächlich aufhören. Wenn eine App „Werbung aus” speichert, das CRM aber weiter versendet, ist der dokumentierte Wille von der operativen Wirkung getrennt.
Für Unternehmen ist deshalb nicht nur die Frage wichtig, ob ein Widerspruch erfasst wird. Ebenso wichtig ist, wo er wirksam werden muss. Dazu können das CRM, ein Newsletter Dienst, eine Marketing Automation, ein Callcenter System, ein Kampagnentool und Listen externer Dienstleister gehören.
Die praktische Kontrollfrage lautet: Können Sie für jeden Eingangskanal nachweisen, dass der Widerspruch alle werbenden Systeme erreicht und dort vor dem nächsten Versand berücksichtigt wird?
Der Kunde muss nicht die interne Zuständigkeit erraten
Die Bank argumentierte unter anderem, der Kunde habe nicht die in der Datenschutzerklärung genannten Adressen für Datenschutzanfragen oder den Datenschutzbeauftragten genutzt. Damit drang sie nicht durch.
Nach Art. 12 Abs. 2 DSGVO muss der Verantwortliche die Ausübung der Betroffenenrechte erleichtern. Nach Art. 12 Abs. 3 DSGVO muss er unverzüglich, grundsätzlich aber spätestens innerhalb eines Monats, über die ergriffenen Maßnahmen informieren.
Im konkreten Fall hatte der Kunde sogar den von der Bank vorgesehenen Schalter in der App verwendet. Seine zusätzliche Meldung an den Kundenservice bestätigte seinen Willen nochmals. Der Kundenservice hatte die Bitte verstanden, leitete die Sache aber offenbar nicht wirksam an die zuständigen Stellen weiter.
Das lässt sich auf viele Unternehmen übertragen. Wer einen offiziellen Kontaktkanal eröffnet, sollte dort erkennbare Datenschutzanliegen nicht liegen lassen. Eine besondere E Mail Adresse kann die Bearbeitung erleichtern. Sie darf aber nicht dazu führen, dass Vertrieb, Support oder Filiale einen eindeutig geäußerten Widerspruch ignorieren.
Kundenservice als Datenschutz-Schnittstelle: Betroffenenrechte im Alltag erkennen und richtig weiterleiten.
Falsche Auskünfte sind ein eigenes Organisationsproblem
Besonders kritisch war nicht nur die fortgesetzte Werbung. Der Kundenservice erklärte, die Benachrichtigungen könnten technisch nicht abgestellt werden. Später konnte die Bank den Versand durch den Abgleich ihrer Systeme stoppen.
Für die Behörde zeigte dieser Widerspruch, dass die organisatorischen Maßnahmen nicht ausreichten. Art. 24 Abs. 1 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, mit denen der Verantwortliche die Einhaltung der DSGVO sicherstellt und nachweisen kann. Art. 5 Abs. 1 lit. a) DSGVO verlangt außerdem eine rechtmäßige, faire und transparente Verarbeitung.
Kundenservice ist damit kein Randthema des Datenschutzes. Er ist häufig der erste Ort, an dem ein Widerspruch, eine Löschungsbitte oder ein Auskunftsverlangen sichtbar wird. Wenn Mitarbeiter nur Bedienhinweise geben, aber keine Eskalation auslösen können, ist der Prozess unvollständig.
Ein tragfähiger Ablauf braucht mindestens drei Elemente:
Mitarbeiter müssen ein Datenschutzanliegen erkennen.
Sie müssen es an eine eindeutig zuständige Stelle übergeben können.
Und das Unternehmen muss kontrollieren, ob die technische Umsetzung tatsächlich erfolgt ist.
Warum ein einzelner Fall Millionen kosten kann
Die Behörde stufte die Intensität des Verstoßes im konkreten Fall als niedrig ein. Betroffen war nach den Feststellungen nur eine Person. Verarbeitet wurden Kontaktdaten. Das Verhalten wurde als fahrlässig bewertet.
Trotzdem fiel das Bußgeld hoch aus. In die Bemessung flossen
der siebenmonatige Zeitraum,
der Werbezweck,
der weltweite Jahresumsatz von mehr als 500 Millionen Euro und
ein einschlägiger früherer Bescheid ein.
Als entlastend berücksichtigte die Behörde Maßnahmen, die während des Verfahrens zur Beendigung des Verstoßes ergriffen wurden. Als belastend bewertete sie unter anderem die unzureichende Organisation und Schulung des Kundenservice.
Das ist für kleinere Unternehmen nicht eins zu eins übertragbar. Die konkrete Höhe hängt stets von den Umständen des Einzelfalls ab. Übertragbar ist aber die Risikologik: Auch eine einzelne Beschwerde kann einen strukturellen Fehler sichtbar machen. Wiederholte Mängel und fehlende Nachweise erhöhen das Risiko deutlich.
So sollte ein Werbewiderspruch durch das Unternehmen laufen
Ein wirksamer Prozess beginnt nicht im Kampagnentool, sondern an jedem möglichen Kontaktpunkt. App, Website, E Mail, Telefon, Filiale und Brief sollten in eine zentrale Steuerung münden. Dort werden Entscheidung, Zeitpunkt, Quelle und betroffene Kennungen dokumentiert.
Anschließend muss die Änderung an alle Systeme verteilt werden, die Werbung auswählen oder versenden. Der letzte Schritt ist eine technische Bestätigung. Ohne Rückmeldung aus dem Zielsystem bleibt offen, ob die Sperre tatsächlich gesetzt wurde.
Wichtig ist auch die Identitätszuordnung. Dieselbe Person kann mit Kundennummer, E Mail Adresse, Mobilnummer und App Konto in verschiedenen Systemen vorkommen. Ein Widerspruch muss deshalb anhand geeigneter Kennungen auf die relevanten Datensätze übertragen werden, ohne dabei mehr Daten zu verarbeiten als nötig.
Vom Widerspruch bis zur Werbesperre: Ein Opt-out muss in allen relevanten Systemen wirksam werden.
Was jetzt zwingend zu prüfen ist
Zwingender Handlungsbedarf: Unternehmen müssen sicherstellen, dass ein Widerspruch gegen Direktwerbung wirksam umgesetzt wird. Betroffenenrechte sind zu erleichtern. Anfragen müssen unverzüglich bearbeitet und grundsätzlich innerhalb eines Monats beantwortet werden. Die dafür eingesetzten Maßnahmen müssen nach Art. 24 Abs. 1 DSGVO angemessen und nachweisbar sein.
Empfehlenswerte Maßnahmen: Richten Sie eine zentrale Präferenzverwaltung oder eine verlässliche Sperrlogik ein. Definieren Sie, welche Eingangskanäle einen Vorgang auslösen. Nutzen Sie Zeitstempel, Statusmeldungen und automatische Fehlerhinweise. Schulen Sie insbesondere Kundenservice, Vertrieb, Marketing und Filialpersonal. Prüfen Sie auch Dienstleister und Schnittstellen.
Vorsorgliche Maßnahmen: Testen Sie regelmäßig mit kontrollierten Testprofilen, ob ein Opt out in jedem Zielsystem ankommt. Führen Sie Abgleiche zwischen der zentralen Präferenzverwaltung und den Versandlisten durch. Nehmen Sie Systemänderungen und neue Marketing Werkzeuge in das Datenschutz Änderungsmanagement auf.
Vier Kontrollen vor jedem Werbeversand
Eine einmal eingerichtete Schnittstelle genügt nicht dauerhaft. Vor jeder Kampagne sollte klar sein, welchem Zweck die Nachricht dient, welche Empfänger ausgewählt werden dürfen, wann die Sperrlisten zuletzt abgeglichen wurden und wie der Versand später belegt werden kann.
Besonders riskant sind manuelle Exporte. Wird eine Empfängerliste aus dem CRM exportiert und erst Tage später verwendet, können zwischenzeitliche Widersprüche fehlen. Ein erneuter Abgleich unmittelbar vor dem Versand reduziert dieses Risiko.
Checkliste für Marketing, Kundenservice und Datenschutz
Werbung und Datenschutz treffen sich an den Schnittstellen zwischen Menschen, Prozessen und Systemen. Ein gut sichtbarer Schalter schafft Vertrauen nur dann, wenn seine Wirkung bis zum letzten Versandkanal reicht.
Die wichtigste Frage ist deshalb nicht, ob Ihr Unternehmen ein Opt out anbietet. Die wichtigere Frage lautet: Können Sie jederzeit nachweisen, dass es überall funktioniert?
Muss ein Werbewiderspruch an den Datenschutzbeauftragten geschickt werden?
Nein. Die DSGVO verlangt keine bestimmte Form und grundsätzlich keinen einzigen exklusiven Kontaktweg. Ein Unternehmen darf geeignete Kanäle anbieten. Ein klar erkennbarer Widerspruch, der an einem offiziellen Kontaktpunkt wie Kundenservice, Filiale oder allgemeinem Kontakt eingeht, sollte aber erkannt und intern weitergeleitet werden. Für völlig zufällige oder offensichtlich unzutreffende Adressen kann die Bewertung anders ausfallen. Unternehmen sollten ihre offiziellen Kanäle deshalb organisatorisch einbinden.
Was ist der Unterschied zwischen Widerruf und Widerspruch?
Der Widerruf betrifft eine zuvor erteilte Einwilligung und ist in Art. 7 Abs. 3 DSGVO geregelt. Der Widerspruch nach Art. 21 DSGVO richtet sich gegen eine Verarbeitung, die auf einer anderen Rechtsgrundlage beruhen kann. Bei Direktwerbung ist das Widerspruchsrecht besonders stark. Nach Art. 21 Abs. 3 DSGVO dürfen die Daten nach dem Widerspruch nicht mehr für Direktwerbung verarbeitet werden. Unternehmen sollten beide Erklärungen korrekt einordnen und technisch zum richtigen Ergebnis führen.
Wie schnell muss Werbung nach einem Widerspruch enden?
Die Verarbeitung für Direktwerbung darf nach dem Widerspruch nicht fortgesetzt werden. Die Monatsfrist aus Art. 12 Abs. 3 DSGVO ist keine zusätzliche Werbefrist. Sie betrifft die Information über die ergriffenen Maßnahmen. Technische und organisatorische Abläufe sollten daher so gestaltet sein, dass die Sperre unverzüglich wirksam wird und die Antwort anschließend fristgerecht erfolgt.
Gilt ein Werbewiderspruch automatisch für alle Kanäle?
Das hängt vom Inhalt der Erklärung und von der konkreten Datenverarbeitung ab. Ein allgemeiner Widerspruch gegen Direktwerbung sollte nicht künstlich auf einen Kanal verengt werden. Nennt die Person dagegen ausdrücklich nur einen bestimmten Kanal, muss der Umfang sorgfältig geprüft werden. Praktisch ist eine zentrale Präferenzverwaltung sinnvoll, die globale und kanalspezifische Entscheidungen unterscheiden kann.
Darf ein Unternehmen Daten in einer Werbesperrliste behalten?
Eine begrenzte Sperrliste kann notwendig sein, damit ein Widerspruch dauerhaft beachtet wird. Würden alle Kennungen sofort vollständig gelöscht, könnte die Person bei einem späteren Datenimport erneut in eine Werbeliste gelangen. Das Unternehmen muss Zweck, Rechtsgrundlage, Datenumfang, Zugriffe und Speicherdauer der Sperrliste festlegen. Die Daten dürfen nicht für neue Werbezwecke verwendet werden.
Ist jede Nachricht an Kunden Werbung?
Nein. Vertragsinformationen, Sicherheitswarnungen oder zwingende Servicehinweise können anderen Zwecken dienen. Entscheidend sind Inhalt, Anlass und Gestaltung der Nachricht. Werden notwendige Informationen mit Produktangeboten oder Kaufanreizen vermischt, kann der werbliche Charakter überwiegen. Unternehmen sollten Servicekommunikation und Werbung organisatorisch und inhaltlich sauber trennen.
Kann ein einzelner Betroffener ein hohes Bußgeld auslösen?
Ja. Die Zahl der betroffenen Personen ist nur ein Faktor unter mehreren. Dauer, Verschulden, Umsatz, Wiederholungen, Art der Daten, Kooperation und getroffene Abhilfemaßnahmen können die Bewertung erheblich beeinflussen. Ein Einzelfall kann außerdem einen strukturellen Mangel in Prozessen oder Systemen offenlegen.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
