Wer wurde wofür sanktioniert?

Durch Fehler eines Auftragsverarbeiters des Stromanbieters wurden falsche Angaben zu einem Lastschriftmandat erfasst, sodass drei statt einer Rechnung vom Konto des Kunden abgebucht wurden; Gesprächsaufzeichnungen und Mandatsformular waren nicht aufbewahrt. ZENITH beantwortete das Auskunftsersuchen unzureichend und korrigierte die Daten nicht (100.000 Euro), die Piraeus Bank verletzte das Auskunftsrecht (10.000 Euro und Rüge); Entscheidung Nr. 8/2026.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic DPA)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. d, Art. 12 Abs. 3, Art. 15, Art. 28 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der wallonische Wasserversorger zeichnete Kundengespräche zur Qualitätskontrolle und Schulung auf und hörte sie mit; die Kammer stellte Verstöße gegen Transparenz und Fairness sowie bei der Einbindung eines Unterauftragsverarbeiters fest. Sie verhängte zwei Bußgelder von zusammen 86.000 EUR (85.000 + 1.000), nachdem sie die Beträge wegen der Lage des öffentlichen Versorgers gesenkt hatte; gegen die Entscheidung wurde Rechtsmittel beim Marktgericht eingelegt.

Behörde / Gericht

Autorité de protection des données (APD/GBA) – Chambre Contentieuse

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 12 Abs. 1, Art. 13, Art. 28 Abs. 3

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Über eine Phishing-Mail gelangte 2020 Schadsoftware in das Netz des Wasserversorgers und blieb rund 20 Monate unentdeckt; 2022 erlangten Angreifer Administratorrechte und stahlen Daten von 633.887 Personen, die im Darknet landeten. Die ICO bemängelte u. a. eine Überwachung von nur 5 % der IT-Umgebung, veraltete Software wie Windows Server 2003 und fehlendes Schwachstellen- und Patchmanagement.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Energie und Versorgung

Verschulden

fahrlässig

Mildernde Umstände

40 % Minderung wegen frühen Schuldeingeständnisses; Zahlung ohne Rechtsmittel vereinbart.

Veröffentlicht

11.05.2026

Originalbetrag 963.900 GBP, umgerechnet zum EZB-Referenzkurs vom 07.05.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Erbringer öffentlicher Versorgungsleistungen erfasste über GPS-Sender in Dienstfahrzeugen dauerhaft und anlasslos die Standortdaten der Beschäftigten, ohne Zweckfestlegung, Interessenabwägung und ausreichende Information. Die Behörde verhängte 6.000 EUR gegen das Unternehmen.

Behörde / Gericht

Informacijski pooblaščenec Republike Slovenije (IP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 und Art. 6 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

15.04.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen Energy Prices Direct Limited, einen Vermittler von Energietarifwechseln, eine Geldbuße von 160.000 Pfund. Nach den Feststellungen der ICO hatte das Unternehmen Kontaktdaten aus öffentlichen Quellen und von Listenanbietern bezogen und vor seinen Werbeanrufen nicht mit den Sperrregistern TPS/CTPS abgeglichen. Grundlage sind die Regulations 21 und 24 der PECR. Bei fristgerechter Zahlung ermäßigt sich der Betrag laut Bescheid um 20 % auf 128.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Originalbetrag 160.000 GBP, umgerechnet zum EZB-Referenzkurs vom 30.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Nach einem Cyberangriff im Frühjahr 2025, bei dem Daten von rund 375.000 aktuellen und 540.000 früheren Kundinnen und Kunden abflossen, darunter Bankkonto-, Führerschein- und Sozialversicherungsnummern, hat Nova Scotia Power gegenüber dem Privacy Commissioner of Canada ein Compliance-Schreiben (Compliance Letter) unterzeichnet. Das Unternehmen sagt zu, die Sozialversicherungsnummern von Kundinnen und Kunden zu löschen und bis 31. Oktober 2026 eine unabhängige Sicherheitsprüfung – einschließlich Mitarbeiterschulung und Benachrichtigungsprozessen – vorzulegen und über die Umsetzung der Empfehlungen zu berichten; erst dann wird die Untersuchung eingestellt. Ausgangspunkt war laut Schreiben, dass ein Beschäftigter auf einer kompromittierten Website einen Link in einem Pop-up anklickte und dadurch Schadsoftware installierte.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection and Electronic Documents Act (PIPEDA); Einstellung nach Paragraph 12.2(1)(c) bei Erfüllung der Zusagen

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Nach zahlreichen Beschwerden über Werbeanrufe für Heron stellte die Datenschutzbehörde mit Entscheidung 43/2025 Mängel bei der Kontrolle der beauftragten Callcenter und bei den Sicherheitsmaßnahmen fest, sodass auch Teilnehmer aus dem Sperrregister nach Art. 11 ν. 3471/2006 angerufen wurden; zudem wurden Daten teils rechtswidrig erhoben. Sie verhängte insgesamt 165.000 EUR: 115.000 EUR gegen Heron (Art. 32 DSGVO) samt Verwarnung und der Anordnung, binnen sechs Monaten ein Kontrollverfahren für Callcenter-Partner mit mindestens jährlicher Prüfung einzuführen, 35.000 EUR gegen ICOMM (5.000 Art. 32, 10.000 Art. 29, 20.000 Art. 5 Abs. 1 lit. a DSGVO) mit Löschanordnung sowie 15.000 EUR gegen ein weiteres Callcenter (Art. 32 DSGVO).

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 29, Art. 32, Art. 58 Abs. 2 lit. d, f und i DSGVO; Art. 11 ν. 3471/2006; Art. 21 ν. 2472/1997 i. V. m. Art. 84 ν. 4624/2019

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Ein Mitarbeiter des Kundenservice-Dienstleisters bediente im Chat zwei Kunden gleichzeitig und ordnete einem die E-Mail-Adresse des anderen zu; der Beschwerdeführer erhielt so Namen, Schulden und Rechnungsdaten eines Fremden. Die AEPD sah die Ursache im Prozessdesign, das parallele Chats zuließ, und verhängte 500.000 Euro wegen fehlenden Datenschutzes durch Technikgestaltung; der Widerspruch wurde zurückgewiesen.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein werbendes Energieunternehmen ein Bußgeld von 210.000 Euro wegen unerlaubter Telefonwerbung. Die Anrufer gaben sich vielfach als Energieversorger der Angerufenen aus, wodurch in vielen Fällen Verträge untergeschoben wurden; das Unternehmen hat Einspruch eingelegt.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein werbendes Photovoltaik-Unternehmen Bußgelder von insgesamt 100.500 Euro: 66.000 Euro wegen unerlaubter Telefonwerbung und 34.500 Euro wegen Rufnummernunterdrückung bei Werbeanrufen. Die Anrufer verschleierten den wahren Auftraggeber und gaben Werbeanrufe teils wahrheitswidrig als bloße Beratungsgespräche aus.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern; Verbot der Rufnummernunterdrückung bei Werbeanrufen

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein werbendes Energieunternehmen Bußgelder von insgesamt 130.000 Euro: 105.000 Euro wegen unerlaubter Telefonwerbung gegenüber Verbrauchern und 25.000 Euro wegen Rufnummernunterdrückung bei Werbeanrufen. Die Anrufer verschleierten vielfach ihre Identität, wodurch Angerufenen oft Verträge untergeschoben wurden; das Unternehmen legte Einspruch ein.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern; Verbot der Rufnummernunterdrückung bei Werbeanrufen

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Das Fernwärmeunternehmen speicherte die Passwörter von fast 16.000 Nutzern seines Kundenportals „Moj račun“ lesbar und verschickte bei „Passwort vergessen“ das alte Passwort per E-Mail. Die AZOP verhängte 320.000 Euro wegen fehlender Sicherheitsmaßnahmen und mangelnder Kooperation, weil das Unternehmen weder die Behebung belegte noch alle Informationen herausgab (Datum = Veröffentlichung).

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 31, Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Veröffentlicht

22.07.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Weil die Wechselanfrage einer anderen Kundin mit fast identischem Namen im Kundenkonto der Beschwerdeführerin erfasst wurde, liefen Gas- und Stromverträge für eine ihr unbekannte Lieferstelle unter ihren Daten, und ein Dritter erhielt als Vertragsinhaber Zugang zu diesen Daten. Die AEPD verhängte 130.000 Euro wegen Verstoßes gegen den Grundsatz der Richtigkeit (Art. 5 Abs. 1 lit. d) und 1.250.000 Euro wegen unzureichender Sicherheitsmaßnahmen (Art. 32), zusammen 1.380.000 Euro.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. d, Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Gemeinsame Ermittlungen mit der Guardia di Finanza ergaben, dass ein Netz von Agenturen für Acea Energia Personen anrief, die kurz zuvor den Energieanbieter gewechselt hatten, ihnen nicht existierende technische Probleme beim Wechsel vorspiegelte und dafür Datenlisten nutzte, die ohne Einwilligung und ohne vorherige Information weitergegeben worden waren. Der Garante verhängte gegen Acea Energia 3.000.000 EUR, weil die Kontrolle über Auftragsverarbeiter und Vertriebskette unzureichend war; das Unternehmen muss die Betroffenen informieren und die Verträge der Agenturen mit Unteragenten überprüfen. In einem gesonderten Bescheid wurden gegen die beteiligten Agenturen und Gesellschaften insgesamt 850.000 EUR verhängt.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und f, 6, 7, 13, 24, 25, 28 und 32 DSGVO; Art. 130 Codice privacy (D.Lgs. 196/2003)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Verschulden

fahrlässig

Mildernde Umstände

Acea entzog der betroffenen Agentur nach Bekanntwerden der Ermittlungsergebnisse den Auftrag und ergriff Maßnahmen zur Verbesserung der Sicherheit; Kooperation im Verfahren.

Veröffentlicht

07.05.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Ein Kunde bestritt, sich in der EAC Mobile App registriert und dort seine Rechnungsanschrift geändert zu haben; der Versorger konnte nicht belegen, dass die zur Identifizierung genutzte Handynummer vom Kunden selbst stammte. Die Kommissarin stellte Verstöße gegen Rechenschaftspflicht und Datensicherheit fest, sprach eine Rüge aus und ordnete an, die Zustellanschrift schriftlich mit dem Kunden zu klären.

Behörde / Gericht

Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Commissioner for Personal Data Protection)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 24, Art. 32 DSGVO

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Präsidentin der CNIL erteilte einem französischen Energiekonzern nach Beschwerden von drei Beschäftigten eine Rüge (rappel à ses obligations légales nach Art. 20 III Loi Informatique et Libertés). Die Beschäftigten waren von einer internen Untersuchung nach Meldungen betroffen; das Unternehmen hatte ihren Widerspruch gegen die Datenverarbeitung ohne tragfähige Begründung abgelehnt, sie unvollständig informiert, Auskunftsersuchen verweigert und eine Anfrage verspätet beantwortet. Der Conseil d'État bestätigte am 1. Dezember 2025, dass die Verarbeitung auf berechtigtem Interesse und nicht auf einer gesetzlichen Pflicht beruhte, das Widerspruchsrecht also galt, und dass Auskunft notfalls mit Schwärzungen zum Schutz Dritter zu erteilen war.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), présidente

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 20 III Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés); Art. 6 Abs. 1 lit. c und f, 12, 15 und 21 DSGVO

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Energie und Versorgung

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 19.07.2026 · Direktlink

Nach 108 Meldungen und 7 Beschwerden über unerwünschte Werbeanrufe stellte der Garante fest, dass für den Energieversorger ohne Einwilligung oder bei im Widerspruchsregister eingetragenen Nummern telefoniert wurde und das Unternehmen Agenturen und Unteragenturen nicht ausreichend kontrollierte: In einer Stichprobenwoche stammten 657 von 747 Verträgen aus unzulässigen Kontakten. Neben einer Geldbuße von 6.419.631 EUR untersagte die Behörde die weitere Verarbeitung der Daten der Beschwerdeführer und ordnete die Information der 657 Betroffenen sowie Kontrollen an, die Verträge aus unzulässigen Kontakten von den Systemen fernhalten.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, d und f, Abs. 2, Art. 6 Abs. 1 lit. a, 24 Abs. 1, 25 und 28 DSGVO; Art. 130 Abs. 3 und 3-bis Codice privacy (D.Lgs. 196/2003)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Wiederholungsfall

ja

Mildernde Umstände

Mildernd: rasche Umsetzung früherer Anordnungen des Garante (Art. 83 Abs. 2 lit. i DSGVO).

Veröffentlicht

26.06.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 06.06.2026 · Direktlink

Nicht autorisierte Vermittler nutzten Sicherheitslücken in den Kunden- und Aktivierungssystemen des Versorgers für illegales Telemarketing; über Jahre wurden mindestens 9.300 Verträge aktiviert, 978 davon von Firmen außerhalb des Vertriebsnetzes angekauft. Die Garante verhängte 79.107.101 Euro; das Tribunale di Roma bestätigte die Entscheidung am 18.09.2025, ein Rechtsmittel ist anhängig.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSGVO; Codice privacy (Telemarketing)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Energie und Versorgung

Beschäftigte

10.000 und mehr

Veröffentlicht

29.02.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 08.02.2026 · Direktlink

Die Konzernobergesellschaft betreibt als Auftragsverarbeiter eine gemeinsame Datenbank für mehrere Konzerngesellschaften; bei dem Angriff auf die Netztochter des Konzerns gelangte der Angreifer über die unzureichende logische Trennung auch an Kundendaten anderer Konzernfirmen. Weil der Konzern die Risiken der gemeinsamen Speicherung nicht analysiert und keine angemessenen Maßnahmen getroffen hatte, verhängte die AEPD 2.000.000 Euro (Art. 5 Abs. 1 lit. f) und 1.000.000 Euro (Art. 32), zusammen 3.000.000 Euro.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Veröffentlicht

18.04.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 07.02.2026 · Direktlink

Ein für den Energieversorger tätiger Auftragsverarbeiter nutzte Daten aus der Kundendatenbank eines anderen Versorgers, um Kunden telefonisch unter dem Anschein zu werben, im Auftrag ihres bisherigen Anbieters anzurufen; der Energieversorger beendete den Vertrag erst nach Monaten. Die AEPD verhängte je 2.500.000 Euro wegen Verstößen gegen Treu und Glauben/Transparenz (Art. 5 Abs. 1 lit. a) und die Rechenschaftspflicht (Art. 5 Abs. 2), zusammen 5.000.000 Euro, und ordnete Risikoanalyse und Kontrollen der Vertriebsdienstleister an; der Widerspruch wurde zurückgewiesen.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 5 Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Veröffentlicht

18.09.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 06.02.2026 · Direktlink