Intesa Sanpaolo muss 17,6 Millionen Euro Strafe zahlen: Was die Isybank-Datenaffäre für Kunden bedeutet

Wer mir damals gesagt hat, dass man in Italien nichts geschenkt bekommt, sollte Recht behalten. Besonders wenn es um Banken geht und um diese "Angebote", die in der App auftauchen und wie ein Gefallen wirken – bis man merkt, dass die eigene IBAN geändert wurde und die Filiale plötzlich verschwunden ist. Die Nachricht, die derzeit in aller Munde ist: Intesa Sanpaolo muss eine saftige Strafe von 17,6 Millionen Euro zahlen. Eine Summe, die es in sich hat und mit der die Datenschutzbehörde ein klares Zeichen setzen will – Schluss mit der undurchsichtigen Überweisung von Kundenkonten an Isybank.

Was ist genau passiert? Der Fall um die Millionenstrafe gegen Intesa Sanpaolo und Isybank

Machen Sie es sich bequem, ich erzähle Ihnen die Geschichte, als hätte ich sie am eigenen Leib erfahren. Alles begann Ende 2023 und Anfang 2024. Die Intesa Sanpaolo Gruppe wollte so richtig aufs Digital-Tempo drücken und gründete Isybank, ihre reine Online-Tochter, ganz ohne Filialen, nur per App nutzbar. Soweit, so modern und innovativ. Das Problem war das "Wie" – also wie man dieses neue Baby mit Leben füllen wollte.

Kurzerhand wurden etwa 2,4 Millionen Girokontokunden per Beschluss zu Isybank verfrachtet. Aber wer waren die Auserwählten? Die Bank erstellte ein regelrechtes Profiling, als würde sie im Supermarkt das beste Obst aussuchen: Kunden unter 65 Jahren, keine Wertpapierdepots (also keine Fonds oder Aktien), eine finanzielle Reserve unter einer bestimmten Grenze (es ist von Guthaben unter 100.000 Euro die Rede) und eine häufige Nutzung des Online-Bankings. Kurz gesagt: Die "verlorenen Söhne" der Digitalisierung, bereit für den Umzug ins gelobte Land ohne Filialen.

Der Kern des Problems: unrechtmäßige Datenverarbeitung und Phantom-Kommunikation

Und hier liegt der Hase im Pfeffer. Oder besser gesagt: hier liegt das Problem der Bank. Für diese Auswahl nutzte Intesa Sanpaolo die personenbezogenen Daten der Kunden und berief sich dabei auf das "berechtigte Interesse". "Moment", werden Sie jetzt sagen, "ist das berechtigte Interesse nicht etwas Seriöses?" Absolut. Aber die Datenschutzbehörde entschied, dass es in diesem Fall nicht ausreichte. Für einen Schritt, der Ihr Bankleben grundlegend verändert (neue IBAN, die Sie Ihrem Arbeitgeber mitteilen müssen, keine Filiale vor Ort mehr, ein neuer "Verantwortlicher" für Ihre Daten), wäre eine ausdrückliche Einwilligung nötig gewesen. Und die wurde nicht eingeholt. Das Ergebnis: unrechtmäßige Verarbeitung von Daten – und die Strafe war fällig.

Und dann die Krönung, die jeden so richtig auf die Palme bringt: Wie wurde diese bahnbrechende Änderung kommuniziert? Nicht mit einem klaren Push-Benachrichtigung, nicht mit einer SMS. Man versenkte die Information einfach im "Archiv"-Bereich der Intesa Sanpaolo App. Und raten Sie mal? Das Ganze geschah mitten im Sommer. In einer Zeit, in der wir alle mit den Gedanken eher am Meer oder beim Eis sind. Eine perfekte Strategie, um sicherzustellen, dass möglichst niemand rechtzeitig widersprechen konnte. Für die Behörde war die Kommunikation schlichtweg "mangelhaft" und hat dieser einschneidenden Veränderung nicht die nötige Bedeutung beigemessen.

Was ändert sich jetzt für Kunden? Ein kleiner Leitfaden zur Orientierung

Und jetzt die Frage, die sich alle stellen: "Was mache ich jetzt, wenn ich in diesem Topf gelandet bin?" Die Strafe ist verhängt, das Geld zahlt die Bank (und es ist keine Kleinigkeit), aber Sie haben Rechte. Hier ist eine kleine Zusammenfassung der Lage und wie Sie vorgehen können:

• Ist der Schaden bereits eingetreten? Für viele ja. Wenn Sie überführt wurden, haben Sie die neuen Bedingungen und die geänderte Konto-Führung erlebt. Die Behörde erkennt dies als "erhebliche Unannehmlichkeit" an.
• Kann ich rückgängig machen? Das ist der entscheidende Punkt. Prüfen Sie, ob Ihnen zum Zeitpunkt der Überführung klar und deutlich die Möglichkeit zum Widerspruch gegeben wurde. Angesichts der Kommunikationspanne ist es wahrscheinlich, dass viele diese Wahl nicht informiert treffen konnten. Theoretisch hätte das neue Verhältnis auf Ihrer bewussten Entscheidung basieren müssen.
• Was sollte ich jetzt tun? Wenn Sie zu den 2,4 Millionen Betroffenen gehören, bleiben Sie wachsam. Die Verbraucherzentralen wittern bereits Morgenluft. Möglicherweise haben Sie Anspruch auf Schadensersatz oder zumindest darauf, zu den alten Konditionen bei Intesa Sanpaolo (der "Muttergesellschaft") zurückzukehren.

Isybank: Eine Million Kunden und eine ungewisse Zukunft

Trotz allem ist Isybank ein echtes Kind seiner Zeit: Die Bank hat Anfang 2026 bereits die Millionenmarke geknackt und will bis 2029 verdoppeln. Als "Cloud-native" Bank will sie mit den Fintechs mithalten. Aber diese 17,6 Millionen Euro Strafe sind ein harter Schlag für die Reputation. Denn die Strafe an sich ist eine einmalige Sache, aber Vertrauen ist etwas ganz anderes. Und Vertrauen ist bekanntlich wie Glas: Ist es erst einmal gesprungen, wird es schwer, es wieder zu kitten.

Bei der Festsetzung der Strafe berücksichtigte die Behörde die enorme Zahl der betroffenen Kunden und die Schwere des Verstoßes, aber auch die Kooperation der Bank und dass das Verhalten als "fahrlässig" und nicht "vorsätzlich" eingestuft wurde (also nicht mit böser Absicht, aber mit einer gehörigen Portion Oberflächlichkeit). So nach dem Motto: "Das war ein dicker Patzer, und der wird jetzt richtig teuer."

Kurzum: Der Fall ist noch nicht abgeschlossen. Die Bank kann vor dem Verwaltungsgericht in Rom dagegen klagen. Und Sie, liebe Kunden, sollten einfach wachsam bleiben. Denn die Lehre des Tages ist einfach: Wenn eine Nachricht von Ihrer Bank kommt, selbst wenn sie in einer virtuellen Schublade der App landet – lesen Sie sie. Und wenn Ihnen etwas spanisch vorkommt, wissen Sie jetzt: Vielleicht ist die Aufsichtsbehörde ja auf Ihrer Seite.