⏱ Lesezeit: 12 Minuten
Zwei Jahre, ein Bescheid, ein gescheiterter Widerspruch und noch immer kein Schlusspunkt! Manche Datenschutzfälle sind schnell erzählt. Dieser hier nicht.
Von den ersten Ermittlungen bis zur endgültigen Bestätigung der Strafe vergingen über zwei Jahre. Genau das ist einer der Gründe, warum wir uns diesmal nicht nur die Strafe selbst ansehen, sondern den kompletten DSGVO-Bußgeld-Widerspruch von YOTI: wie er argumentiert wurde, wie die Behörde entschied und wie es danach weiterging.
Eine feste Höchstdauer für ein DSGVO-Bußgeldverfahren gibt die Verordnung selbst übrigens gar nicht vor. Art. 83 Abs. 8 DSGVO überlässt Verfahrensfragen bewusst dem nationalen Recht der Mitgliedstaaten. Wie lange sich ein Fall hinzieht, hängt also stark davon ab, wo er geführt wird.
Selbst nationale Fristen werden dabei nicht immer eingehalten: Für die Entscheidung über einen Widerspruch sieht das spanische Verwaltungsrecht eigentlich einen Monat vor. Auch diese Frist wurde im Fall YOTI überschritten. Die Behörde verweist in ihrer Entscheidung sogar ausdrücklich darauf, dass sie trotz Fristablauf weiterhin zur Entscheidung verpflichtet bleibt. Schon der zeitliche Rahmen zeigt also: Ein DSGVO-Verfahren ist selten ein Sprint.
Und die Behörde hat nicht immer das letzte Wort.
Die Zeitleiste im Überblick
Unterm Strich steht eine Strafe von 950.000 Euro. Und ein Widerspruch, der der Behörde mehr Steilvorlagen lieferte als Argumente.
Die Pointe dabei: Bezahlt hat YOTI bis heute keinen Cent, dazu am Ende mehr.
Schauen wir uns den Fall der Reihe nach an: Wer ist YOTI, was wirft die Behörde dem Unternehmen vor, woran ist der Widerspruch gescheitert, und wie geht es jetzt weiter?
Wer ist YOTI und worum ging es?
YOTI LTD ist ein britisches Unternehmen, das Dienste zur Altersverifizierung anbietet, unter anderem über die App „Digital ID“. Beim Einrichten eines Nutzerkontos erstellt die App ein biometrisches Gesichtsprofil. Dieses Profil dient nicht nur zur einmaligen Bestätigung, dass hinter der Kamera ein echter Mensch sitzt. Es wird später auch genutzt, um PIN-Änderungen oder eine Kontowiederherstellung mit demselben Gesicht abzugleichen.
Und genau hier beginnt das Problem. YOTI stufte diese Verarbeitung als bloße Authentifizierung ein und argumentierte, man wolle niemanden identifizieren, sondern nur prüfen, ob dieselbe Person zurückkommt. Die AEPD sah das anders: Wer ein Gesicht mit einer gespeicherten Vorlage abgleicht, um eine konkrete Person wiederzuerkennen, verarbeitet biometrische Daten zur eindeutigen Identifizierung und damit eine besonders geschützte Datenkategorie nach Art. 9 DSGVO.
Der Unterschied klingt akademisch, hat aber massive Folgen: Personenbezogene Daten besonderer Kategorien dürfen grundsätzlich gar nicht verarbeitet werden, außer es greift eine der eng gefassten Ausnahmen. Weil YOTI von einer normalen Verarbeitung ausging, hatte das Unternehmen für diese Ausnahme nie vorgesorgt. Die eingeholte Einwilligung war damit für biometrische Daten schlicht nicht ausreichend.
Dazu kamen zwei weitere Beanstandungen: Die Zustimmung zur Nutzung der Daten für Forschungszwecke war aus Sicht der Behörde nicht wirksam eingeholt. Und die Daten wurden deutlich länger aufbewahrt, als der Zweck es rechtfertigt. Wie YOTI beides später zu verteidigen versuchte, sehen wir uns gleich genauer an.
Die drei Vergehen im Überblick
Gesamtstrafe
950.000 €
Zusätzlich muss YOTI innerhalb von sechs Monaten ab Bestandskraft der Entscheidung nachweisen, dass die biometrische Datenverarbeitung, die Einwilligungsprozesse und die Speicherfristen nun DSGVO-konform sind.
Der Haken für die Behörde: Diese Frist hat bis heute nicht zu laufen begonnen. Woran das liegt, kommt in Kürze.
Zwei Details, die den Fall noch heikler machen
Die Zielgruppe: Minderjährige
Die App richtet sich explizit auch an Jugendliche, Mindestalter 14 in Spanien, 13 in UK. Die AEPD wertete die Betroffenheit von Minderjährigen ausdrücklich als erschwerenden Umstand bei der Bemessung der Strafe.
Der Datenweg: von UK über Indien
Gespeichert werden die Daten in britischen Rechenzentren. Bei manuellen Verifizierungen greift zusätzlich ein Sicherheitszentrum in Indien remote darauf zu. Das war kein eigener Sanktionspunkt, wurde von der Behörde aber als weiterer Kontrollverlust der Nutzer über die eigenen Daten gewertet.
Der DSGVO-Bußgeld-Widerspruch von YOTI: eine Fundgrube für Gegenargumente
So weit die Verstöße. Mindestens ebenso aufschlussreich ist aber, was danach kam: YOTIs Widerspruch und wie die AEPD damit umging. Vier Punkte stechen besonders heraus.
1Freiwillig und zwingend gleichzeitig?
YOTI räumte im Widerspruch erstmals ein: Die Daten aus der Kontokonfiguration fallen tatsächlich unter die besonders geschützte Datenkategorie. Als Rechtsgrundlage berief sich das Unternehmen deshalb neu auf ausdrückliche Einwilligung.
Gleichzeitig behauptete YOTI aber, die App funktioniere grundsätzlich nicht ohne biometrische Daten, quasi ein technisches Naturgesetz. Nur: Bei Geschäftskunden verpflichtet man sich vertraglich immer zu einer alternativen Verifizierungsmethode.
Die AEPD fragte, mit einem Anflug von Ironie, wie beides gleichzeitig stimmen soll. Wenn es eine Alternative gibt, kann die App die biometrischen Daten weder zwingend voraussetzen, noch kann die Einwilligung dabei als frei im Sinne der DSGVO gelten. Der innere Widerspruch in der eigenen Argumentation entzog damit gleich zwei Punkten auf einmal die Grundlage.
2Der Rechtsgrundlagenwechsel mitten im Verfahren
Für die Nutzung der Daten zu Forschungszwecken hatte YOTI ursprünglich eine vorangekreuzte Checkbox verwendet, klassisches Opt-out statt Opt-in. Im Widerspruch wechselte das Unternehmen die Argumentation und berief sich plötzlich auf berechtigtes Interesse statt auf Einwilligung.
Ein Rollenwechsel, der uns bekannt vorkommt: Auch ein Hotel berief sich bei einer internen Mitarbeiter-App auf ebendieses berechtigte Interesse und scheiterte damit vor der österreichischen Datenschutzbehörde. Nachzuhören in Folge 40 unseres Podcasts DSGVOMG, „Verbotene Hotelkommunikation? Zustimmung zu Datenverwendung ist keine Einwilligung“.
Die AEPD ließ sich von YOTIs nachträglichem Rechtsgrundlagenwechsel jedenfalls nicht beeindrucken, zumal berechtigtes Interesse ohnehin keine der zulässigen Ausnahmen für besonders geschützte Datenkategorien nach Art. 9 Abs. 2 DSGVO ist.
3Verschlüsselung ersetzt keine Zweckbindung
Zur Rechtfertigung der langen Speicherfristen – bis zu drei Jahre Inaktivität bei biometrischen Profilen, fünf Jahre bei Geodaten – argumentierte YOTI mit starker Verschlüsselung als Risikominderung.
Besonders kurios wird es bei den als potenziell betrügerisch eingestuften Dokumenten. Die behielt YOTI, um damit die eigenen Erkennungsalgorithmen zu trainieren – ein aus Unternehmenssicht nachvollziehbarer Zweck, nur eben nicht der, für den die Nutzer ihre Ausweise hochgeladen hatten. Im ursprünglichen Verfahren hatte YOTI dafür eine Speicherfrist von bis zu zwei Jahren angegeben. Im Widerspruch behauptete das Unternehmen plötzlich, es seien bis zu sechs Jahre: Ein Verteidigungsargument, das der eigenen früheren Aussage widerspricht.
Die AEPD verwies auf einschlägige EuGH-Rechtsprechung (Rs. C-77/21 vom 20. Oktober 2022): Verschlüsselung schützt vor unbefugtem Zugriff, ersetzt aber keine Zweckbindung. Daten auf Vorrat für eine hypothetische künftige Nutzung bleiben unzulässig, egal wie gut sie verschlüsselt sind.
4„Es hat sich niemand beschwert“ reicht nicht
YOTI versuchte außerdem, die Strafe mit klassischen mildernden Argumenten zu drücken: wenig Nutzer in Spanien, kein nachgewiesener Schaden, solide technische Schutzmaßnahmen, ein an sich guter Zweck (Jugendschutz).
Die AEPD wischte das mit einem einzigen Grundsatz vom Tisch: Der bloße Kontrollverlust über die eigenen Daten reicht bereits aus, um einen Verstoß und damit eine Sanktion zu begründen, unabhängig davon, ob ein konkreter Schaden nachweisbar ist oder sich überhaupt jemand beschwert hat. Aufsichtsbehörden müssen zudem von Amts wegen tätig werden, auch ganz ohne Einzelbeschwerden. Diese Linie stützt sich auf gleich mehrere aktuelle EuGH-Entscheidungen aus 2024 und 2025.
Passend dazu: Das Verfahren gegen YOTI wurde ohnehin nicht durch eine Beschwerde ausgelöst, sondern von der AEPD von sich aus eingeleitet.
Klare Ansage
„Niemand hat sich beschwert“ ist vor der DSGVO schlicht keine Verteidigung.
Selbst zwei Nebenschauplätze des Widerspruchs scheiterten. Der Versuch, die Zustellung des ursprünglichen Bescheids anzuzweifeln, kollidierte mit einem beglaubigten Zustellnachweis der Post, dem lediglich ein nicht unterschriebenes Sendungsverfolgungs-Dokument entgegenstand. Laut YOTI soll die Sendung am 20. August 2025 an die AEPD zurückgegangen sein, ein Rücklauf, den die Behörde jedoch nie erhalten haben will.
Und der Antrag, die Veröffentlichung der Entscheidung auszusetzen, wurde ebenfalls abgelehnt: Die Publikationspflicht ist in Spanien gesetzlich vorgeschrieben (Art. 50 LOPDGDD), ein möglicher Reputationsschaden lässt sich im Zweifel später gerichtlich korrigieren.
Fazit zum DSGVO-Bußgeld-Widerspruch
Die Lehre
Ein Widerspruch ist kein zweiter Versuch, sich eine bessere Geschichte auszudenken.
Wer mitten im Verfahren die Rechtsgrundlage wechselt oder zwei Behauptungen aufstellt, die sich gegenseitig ausschließen, macht es der Behörde eher leichter als schwerer. Oder anders gesagt: Er sägt an genau dem Ast, auf dem er sitzt.
Der Fall YOTI zeigt außerdem, wie viel Gewicht der EuGH inzwischen dem bloßen Kontrollverlust über die eigenen Daten beimisst, ganz unabhängig von einem konkret bewiesenen Schaden.
Wie es weiterging: Ein Gericht drückt auf Pause
Mit der Ablehnung des Widerspruchs endet die Geschichte nämlich noch nicht. YOTI hat Klage vor der Audiencia Nacional erhoben, dem spanischen Nationalgericht.
Zwei Dinge will das Unternehmen offenbar partout nicht akzeptieren:
Und damit kommt die Wendung, die den Fall aktuell offen hält: Nach Angaben des Unternehmens hat das Gericht am 7. April 2026 die Vollstreckung des Bescheids vorläufig ausgesetzt. Weder muss YOTI die 950.000 Euro zahlen, noch läuft die Frist für die geforderten Korrekturmaßnahmen weiter, bis über die Klage entschieden ist. Der CEO des Unternehmens veröffentlichte einen Auszug des Gerichtsbeschlusses selbst auf LinkedIn und zeigte sich erleichtert, den Dienst in Spanien vorerst unverändert weiterbetreiben zu können.
Aufgeschoben ist nicht aufgehoben
Für YOTI ist das eine Atempause, keine Entwarnung. Verliert das Unternehmen vor Gericht, werden die 950.000 Euro fällig zuzüglich möglicher Verfahrenskosten und mit der Auflage, die Beanstandungen doch noch abzustellen. Bis dahin können Jahre vergehen; YOTI selbst rechnet damit, dass sich das Verfahren hinziehen kann.
Wie das Gericht entscheidet, steht in den Sternen. Was Unternehmen aus dem bisherigen Verlauf mitnehmen können, dagegen ziemlich klar.
MeineBerater-Tipps für Unternehmen nach diesem DSGVO-Bußgeld-Widerspruch
Sie möchten wissen, welche weiteren DSGVO-Entscheidungen aus dem ersten Halbjahr 2026 für Ihr Unternehmen relevant sein könnten? Genau darum geht es in unserem E-Learning „DSGVO & Recht: Datenschutz-Highlights 2026, die wichtigsten Urteile aus dem 1. Halbjahr“.
Hält Ihre Argumentation einer Prüfung stand?
Wer möchte, dass die eigene Argumentation auch einer kritischen Prüfung standhält, bevor sie bei einer Aufsichtsbehörde landet, weiß, wo wir sind. Als externer Datenschutzbeauftragter behalten wir Rechtsgrundlagen, Einwilligungen und Fristen im Blick, bevor jemand anderes sie prüft… Und wenn es doch einmal ernst wird, stehen wir Ihnen im Verfahren fachlich zur Seite.
Wir verhindern Strafen 😉
MeineBerater – die Beratungsboutique für Datenschutz, Compliance & Informationssicherheit