Ein Widerspruch gegen Werbung nach der DSGVO darf nicht bei einer App-Einstellung oder einer Nachricht an den Kundenservice enden. Die Entscheidung der italienischen Datenschutzaufsicht gegen BBVA verdeutlicht, dass Unternehmen den Widerspruch technisch, organisatorisch und kommunikativ wirksam umsetzen müssen.
Ist ein Widerspruch gegen Werbung formfrei möglich?
Die italienische Datenschutzaufsicht, der Garante per la protezione dei dati personali, verhängte am 03.09.2026 gegen die italienische Niederlassung der Banco Bilbao Vizcaya Argentaria (BBVA) ein Bußgeld von 5,5 Millionen Euro. Anlass waren fortgesetzte werbliche Push-Nachrichten an einen Kunden, obwohl dieser die entsprechende Einstellung in der Banking-App deaktiviert und mehrfach gegenüber dem Kundenservice widersprochen hatte.
Die Bank räumte ein, dass die Deaktivierung in ihren internen Systemen grundsätzlich erfasst war. Allerdings wurde der Widerspruch nicht an das CRM-System übermittelt, das für den Versand der Marketingmitteilungen verantwortlich war. Dadurch erhielt der Kunde zwischen Oktober 2025 und Mai 2026 mindestens zehn unerwünschte werbliche Benachrichtigungen.
BBVA machte geltend, dass der Kunde sich nicht an die speziell in der Datenschutzerklärung genannte E-Mail-Adresse oder an den Datenschutzbeauftragten gewandt hatte. Hätte er diese Kontaktwege verwendet, wäre sein Anliegen als formelles Betroffenenbegehren bearbeitet worden.
Diese Argumentation überzeugte die Behörde nicht. Art. 12 Abs. 2 DSGVO verpflichtet Verantwortliche, die Ausübung von Betroffenenrechten zu erleichtern. Betroffene dürfen daher nicht auf einen einzigen, eng definierten Kommunikationskanal festgelegt werden, sofern sie ihren Wunsch gegenüber einer geeigneten Kontaktstelle des Unternehmens äußern. Der Kundenservice ist eine geeignete Kontaktstelle der Bank. Zudem hatte der Kunde gerade den von BBVA selbst vorgesehenen Weg in der App genutzt.
Die Behörde betont damit einen zentralen Grundsatz: Unternehmen dürfen sich nicht hinter einem formalen Kommunikationsweg verstecken, wenn ein Widerspruch inhaltlich erkennbar ist und bei einer geeigneten Stelle eingeht.
Welche Wirkung hat der Widerspruch nach Art. 21 DSGVO?
Art. 21 Abs. 2 DSGVO verleiht Betroffenen ein besonders starkes Recht. Werden personenbezogene Daten für Direktwerbung verarbeitet, kann die betroffene Person jederzeit widersprechen. Das umfasst auch Profiling, soweit dieses mit Direktwerbung zusammenhängt.
Die Rechtsfolge ist eindeutig. Nach dem Widerspruch dürfen die Daten für diese Zwecke nicht mehr verarbeitet werden. Anders als beim allgemeinen Widerspruch nach Art. 21 Abs. 1 DSGVO kann der Verantwortliche bei Direktwerbung keine zwingenden schutzwürdigen Gründe entgegenhalten. Eine Interessenabwägung findet nicht statt.
Der Begriff der Direktwerbung ist technologieneutral zu verstehen. Erfasst sein können insbesondere:
- Newsletter und sonstige Werbe-E-Mails
- SMS, Messenger- und Push-Nachrichten
- personalisierte Werbung in Kundenportalen oder Apps
- postalische Werbesendungen
Im entschiedenen Fall konnte sich BBVA nicht darauf berufen, dass die Marketingmitteilungen technisch schwierig zu unterbinden seien oder der Fehler in einer Schnittstelle liege. Ein technischer Fehler erklärt möglicherweise die Ursache, beseitigt aber nicht den Rechtsverstoß.
Wie müssen Unternehmen den Widerspruch gegen Werbung organisieren?
Die Entscheidung verdeutlicht, dass ein Opt-out kein isolierter Vorgang im Frontend einer App oder eines Kundenportals sein darf. Erforderlich ist ein Prozess, der Kundenservice, Datenschutzorganisation, Marketing, CRM, IT sowie gegebenenfalls Auftragsverarbeiter einbindet.
Besondere Bedeutung hat ein systemübergreifender Sperrmechanismus. Eine im Kundenkonto gespeicherte Werbeeinstellung muss alle Systeme erreichen, in denen Kampagnen geplant, Zielgruppen gebildet oder Nachrichten versandt werden. Dazu gehören neben dem CRM häufig auch Marketingsysteme sowie Dienstleisterplattformen.
Folgende Maßnahmen sollten mindestens durchgeführt werden:
- Einheitliche und dokumentierte Statuswerte für Werbewidersprüche definieren
- Datenflüsse zwischen Systemen und Plattformen nachvollziehbar gestalten
- Schnittstellen und Synchronisierungen regelmäßig testen
- Kampagnen vor Versand gegen eine aktuelle Sperrliste prüfen
- Verantwortlichkeiten eindeutig zuweisen
- Kundenservice gezielt schulen
Widersprüche müssen zudem über alle naheliegenden Kanäle erkannt werden. Das betrifft nicht allein die Datenschutz-E-Mail-Adresse. Auch Aussagen wie „Bitte keine Werbung mehr“, „Keine Push-Nachrichten“ oder „Ich möchte diese Angebote nicht erhalten“ gegenüber dem Kundenservice sind als Widerspruch zu erfassen.
Welche Antwortpflicht besteht nach einem Widerspruch?
Die wirksame Sperrung von Werbung und die Kommunikation mit der betroffenen Person sind getrennte, aber eng verbundene Pflichten. Art. 12 Abs. 3 DSGVO verpflichtet Verantwortliche grundsätzlich, unverzüglich und spätestens innerhalb eines Monats über die aufgrund eines Betroffenenantrags ergriffenen Maßnahmen zu informieren.
Eine bloße Beschreibung verfügbarer Self-Service-Einstellungen genügt nicht, wenn ein Betroffener bereits erklärt hat, die Einstellung genutzt zu haben und dennoch Werbung erhält. Ab diesem Zeitpunkt muss das Unternehmen den konkreten Sachverhalt untersuchen, intern eskalieren und verständlich über das Ergebnis informieren.
Die italienische Aufsicht wertete neben der fortgesetzten Werbung nämlich auch die unzureichende Bearbeitung des Kundenanliegens kritisch. Die Bank erläuterte vor allem die allgemeinen App-Einstellungen, ohne den Einzelfall nachvollziehbar aufzuklären oder eine verlässliche Abhilfe zu bestätigen.
Was bedeutet die Entscheidung für die Unternehmenspraxis?
Die Entscheidung verknüpft Art. 21 DSGVO mit mehreren zentralen Datenschutzpflichten: dem Fairness- und Transparenzgebot aus Art. 5 Abs. 1 lit. a DSGVO, der Pflicht zur Erleichterung von Betroffenenrechten nach Art. 12 Abs. 2 DSGVO sowie den Anforderungen an geeignete technische und organisatorische Maßnahmen nach Art. 24 DSGVO.
Für die datenschutzrechtlich Verantwortlichen liegt die zentrale Erkenntnis darin, dass Datenschutzrechte nicht an Abteilungs- oder Systemgrenzen scheitern dürfen. Ein Widerspruch gegen Werbung muss unabhängig vom genutzten offiziellen Eingangskanal erkannt, dokumentiert, technisch übertragen und nachvollziehbar beantwortet werden.
Die hohe Geldbuße gegen BBVA unterstreicht die Risiken mangelhafter Prozesse. Aus einem vermeintlich punktuellen Fehler in CRM, App oder Kundenservice kann ein länger andauernder Datenschutzverstoß entstehen. Belastbare Opt-out-Prozesse, verbindliche Eskalationswege und regelmäßige Kontrollen sind daher wesentliche Bestandteile einer wirksamen Datenschutzorganisation.
