Italien verhängt 31,8 Mio. € Geldstrafe gegen Intesa Sanpaolo wegen interner Datenschutzverletzung

Die Sanktion Italiens in Höhe von 31,8 Millionen Euro gegen Intesa Sanpaolo ist ein Ereignis der internen Zugangskontrolle, nicht nur eine Datenschutzschlagzeile. Die Garante stellte fest, dass ein Bankangestellter über mehr als zwei Jahre auf Bankinformationen von Tausenden von Kunden zugegriffen hatte, darunter auch risikoreiche Kunden, während das Überwachungsmodell der Bank das Muster nicht rechtzeitig erkannte und die späteren Benachrichtigungen den Verstoß herunterspielten. Das strategische Signal ist, dass die Durchsetzung des Bankdatenschutzes von der Meldung von Verstößen hin zur Gestaltung interner Abfragerechte, Überwachungsschwellen, Eskalation und Kommunikation mit Kunden übergeht.

Die Maßnahme der Garante vom März 2026 verwandelt den internen Vorfall bei Intesa Sanpaolo in ein Governance-Signal für den europäischen Bankensektor. Die Regulierungsbehörde erklärte, dass ein Mitarbeiter auf die Bankinformationen von 3 573 Kunden zugegriffen und dabei mehr als 6 600 Abfragen zwischen dem 21. Februar 2022 und dem 24. April 2024 ohne berechtigten Grund durchgeführt habe. Der Zugriff stellte keinen externen Einbruch dar, sondern einen Missbrauch eines internen Zugangs innerhalb einer großen Bank.

Diese Unterscheidung ist der Grund, warum die Sanktion bedeutsam ist. Die Garante konzentrierte sich auf das Kontrollmodell rund um den legitimen Zugriff und nicht nur darauf, ob die Daten die Bank verlassen haben. In ihrer Pressemitteilung stellte sie fest, dass die unangemessenen Zugriffe von den internen Kontrollsystemen nicht erkannt wurden und erhebliche Schwächen bei der Überwachung und Prävention offenbarten.

Die formelle Entscheidung verknüpfte den Fall mit den Grundsätzen der Integrität, Vertraulichkeit, Rechenschaftspflicht, Verarbeitungssicherheit, Meldung von Verstößen und Kommunikation mit betroffenen Personen gemäß den Artikeln 5, 24, 32, 33 und 34 der DSGVO.

Die Auswirkungsoberfläche ist breiter als der Betrag von 31,8 Millionen Euro. Die Regulierungsbehörde beschrieb den Zugriff auf risikoreiche Kunden, darunter Personen in wichtigen öffentlichen Ämtern, für die verstärkte Schutzmaßnahmen hätten bestehen müssen. Die Entscheidung erwähnt auch das spätere Programm der Bank zur Stärkung des Schutzes für bestimmte sensible Kunden, zur Verbesserung der Ex-ante-Autorisierung und der Ex-post-Kontrollen sowie zur Einführung dynamischer Datenmaskierung.

Diese Abhilfemaßnahmen zeigen die Kontrolloberfläche: Wer welche Kundendaten abfragen kann, wie ungewöhnliche Zugriffe erkannt werden, wann es eskaliert und wann betroffene Kunden informiert werden.

Intesa Sanpaolo ist kein kleines Ziel. Die Gruppe bezeichnet sich selbst als eine der führenden europäischen Bankengruppen und als italienischen Marktführer im Retail-, Firmen- und Vermögensverwaltungsgeschäft mit rund 14 Millionen Kunden in Italien. Für ein Institut dieser Größe ist die Überwachung interner Zugriffe von zentraler Bedeutung für die operative Belastbarkeit.

Es lohnt sich, das Ereignis zu verfolgen, um zu sehen, ob die Post-Interventions-Kontrollen der Bank die privilegierte Neugier reduzieren, ob Berufungsverfahren die Sanktion ändern und ob andere europäische Aufsichtsbehörden den Fall als Referenz für die Governance von Bankzugriffen nutzen.