Intesa Sanpaolo Isybank muss 17,6 Millionen Euro Strafe zahlen: Was Sie über den Datenskandal wissen müssen

Wer hat mir bloß gesagt, dass man in Italien nichts geschenkt bekommt? Derjenige hatte leider recht. Besonders wenn es um Banken und diese "Angebote" geht, die plötzlich in der App auftauchen und wie ein Service wirken – bis man merkt, dass die IBAN geändert wurde und die eigene Filiale plötzlich verschwunden ist. Die Nachricht, die derzeit in aller Munde ist: die Rekordstrafe von 17,6 Millionen Euro gegen Intesa Sanpaolo. Kein Pappenstiel, den die italienische Datenschutzbehörde da aus dem Hut gezaubert hat, um der stillen und heimlichen Überweisung von Kundenkonten zu Isybank einen Riegel vorzuschieben.

Was ist genau passiert? Der Fall Intesa Sanpaolo und Isybank

Machen Sie es sich bequem, ich erzähle Ihnen die Geschichte, als hätte ich sie am eigenen Leib erfahren. Ende 2023, Anfang 2024 war es so weit. Die Intesa Sanpaolo Gruppe wollte so richtig aufs Digital-Tempo drücken und gründete Isybank, ihre neue, reine Online-Tochter. Keine Filialen, nur via App. Soweit, so modern und irgendwie spannend. Das Problem war das "Wie" – also wie man diese Neugründung mit Leben füllen wollte.

Kurzerhand wurden etwa 2,4 Millionen Kunden einfach per Beschluss zu Isybank überstellt. Aber wer waren die Auserwählten? Die Bank hat eine gründliche Datenanalyse durchgeführt, als würde sie im Supermarkt das beste Obst aussuchen: Kunden unter 65 Jahren, ohne Wertpapierdepot (also keine Fonds oder Aktien), mit einem Kontostand unter einer bestimmten Grenze (man spricht von unter 100.000 Euro) und die ohnehin schon fleißig das Online-Banking nutzten. Kurz: Die "Digital Natives" unter den Kunden, bereit für den Umzug ins gelobte Land ohne Bankschalter.

Der Kern des Problems: Unrechtmäßige Datenverarbeitung und versteckte Infos

Und genau hier liegt der Hase im Pfeffer. Oder besser gesagt, der Fehler der Bank. Für diese Selektion nutzte Intesa Sanpaolo die Daten ihrer Kunden und berief sich dabei auf ihr "berechtigtes Interesse". Jetzt werden Sie vielleicht sagen: "Aber das berechtigte Interesse ist doch ein solider Grund?". Ja, grundsätzlich schon. Die Datenschutzbehörde (Garante) entschied jedoch, dass dies hier bei Weitem nicht ausreichte. Für einen derart tiefgreifenden Einschnitt in die Banking-Beziehung (neue IBAN fürs Gehalt, keine Filiale mehr, ein neuer Datenverantwortlicher) wäre eine ausdrückliche Einwilligung der Kunden nötig gewesen. Und die wurde nicht eingeholt. Die Folge: unrechtmäßige Datenverarbeitung – und die Strafe folgte auf dem Fuß.

Und dann die Krönung, die jeden Kunden auf die Palme bringt: Wie wurde diese bahnbrechende Änderung kommuniziert? Nicht mit einem klaren Push-Up, nicht per SMS. Die Nachricht wurde im "Archiv"-Bereich der Intesa Sanpaolo App versteckt. Und raten Sie mal, wann das passierte? Mitten im Sommer. In der Zeit, in der wir alle eher an Strand und Eis denken. Eine perfekte Strategie, um sicherzustellen, dass möglichst niemand rechtzeitig widersprechen konnte. Für die Datenschützer waren diese Informationen völlig unzureichend und haben dieser grundlegenden Änderung nicht die nötige Aufmerksamkeit verschafft.

Was ändert sich jetzt für die Kunden? Ein kleiner Leitfaden

Die Frage, die sich jetzt jeder stellt: "Ich bin in diesem Topf gelandet – was mache ich jetzt?" Die Strafe ist verhängt, das Geld zahlt die Bank (und das sind keine Peanuts), aber Sie haben Rechte. Hier ein kleiner Überblick über die Situation und wie Sie vorgehen können:

• Ist das Kind bereits in den Brunnen gefallen? Für viele leider ja. Wenn Sie überstellt wurden, haben Sie die neuen Bedingungen und die Art der Kontoführung bereits am eigenen Leib erfahren. Die Datenschutzbehörde stellt klar, dass dies eine erhebliche Unannehmlichkeit darstellt.
• Kann ich wieder zurück? Das ist der entscheidende Punkt. Prüfen Sie, ob Ihnen damals eine klare und verständliche Möglichkeit zum Widerspruch gegeben wurde. Angesichts der dürftigen Kommunikation ist es wahrscheinlich, dass viele diese Wahl nicht bewusst treffen konnten. Eigentlich hätte das Ganze auf Ihrer informierten Entscheidung basieren müssen.
• Was sollte ich jetzt tun? Wenn Sie zu den 2,4 Millionen Betroffenen gehören, bleiben Sie wachsam. Die Konsumentenschutzverbände wittern bereits Morgenluft. Möglicherweise haben Sie Anspruch auf Schadenersatz oder zumindest das Recht, die Rückkehr zu den alten Konditionen bei Intesa Sanpaolo (der "Mutter") zu verlangen.

Isybank: Eine Million Kunden und eine ungewisse Zukunft

Trotz allem ist Isybank inzwischen Realität: Anfang 2026 zählt die Bank bereits über eine Million Kunden und will diese Zahl bis 2029 verdoppeln. Sie ist eine "Cloud-native" Bank, ein Kind ihrer Zeit, die im Wettbewerb mit den Fintechs mithalten will. Aber diese 17,6 Millionen Euro Strafe sind ein harter Schlag fürs Image. Denn die Strafe selbst ist zwar eine einmalige Sache, aber das Vertrauen der Kunden etwas ganz anderes. Und Vertrauen ist bekanntlich wie Glas: Ist es erst einmal gesprungen, wird es schwer, es wieder zu kitten.

Bei der Festsetzung der Strafe hat die Behörde die enorme Anzahl der betroffenen Kunden und die Schwere des Verstoßes berücksichtigt, aber auch die Kooperation der Bank und die Tatsache, dass das Verhalten als "fahrlässig" und nicht "vorsätzlich" eingestuft wurde. Also nicht mit böser Absicht, aber mit einer gehörigen Portion Leichtfertigkeit. Frei nach dem Motto: "Ein grober Fehler, der Sie jetzt teuer zu stehen kommt."

Die Angelegenheit ist also noch nicht vom Tisch. Die Bank kann vor dem Verwaltungsgericht (TAR) Einspruch einlegen. Und Sie, liebe Kunden, sollten wachsam bleiben. Die Lehre des Tages ist simpel: Wenn eine Nachricht von Ihrer Bank kommt, selbst wenn sie im virtuellen Schubfach der App landet – lesen Sie sie. Und wenn Ihnen etwas spanisch vorkommt, dann wissen Sie jetzt: Die Datenschutzbehörde steht vielleicht auf Ihrer Seite.