Wer wurde wofür sanktioniert?

Laut Sanktionsveröffentlichung des Financial Supervisory Service (FSS) übermittelte die Online-Kreditvermittlungsplattform PFC Technologies am 28. September 2022 die Personenkennnummern von 8.497 Kunden ohne deren Einwilligung an einen Dritten, um die Fehlerquote eines neuen Dienstes für Hypothekenkunden zu berechnen, und erhielt von diesem ebenfalls ohne Einwilligung Kreditinformationen zu denselben Kunden (etwa Adresse und amtlicher Wert ihrer Immobilien); zudem hatte sie bei Prüfungsbeginn keine Passwortregeln gegen leicht zu erratende Zahlen umgesetzt. Die Sanktion vom 17. September 2026 umfasst eine institutionelle Verwarnung, eine Geldbuße (과태료) von 24 Mio. KRW und eine Geldauflage (과징금) von 49 Mio. KRW, zusammen 73 Mio. KRW.

Behörde / Gericht

Financial Supervisory Service (FSS)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 19, 32 und 34 Credit Information Use and Protection Act; Art. 16, 28 und 29 Durchführungsverordnung

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

17.09.2026

Originalbetrag 73.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 17.09.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Bank schickte einem Kunden über ihre App sieben Monate lang (Oktober 2025 bis Mai 2026) weiter Werbung, obwohl er mehrfach widersprochen hatte. Die Garante stellte zudem mangelhafte Systeme zur Umsetzung von Widersprüchen und unzutreffende Auskünfte über die Verarbeitung fest und verhängte 5.508.000 Euro (Provvedimento Nr. 613).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 12, 21, 24 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Bankmitarbeiter rief auf Bitten eines Dritten außerhalb seiner Aufgaben Kontoauszüge einer betroffenen Person ab (Name, IBAN, Transaktionen, Salden). Die Aufsicht sah unzureichende technische und organisatorische Maßnahmen und verhängte 26.172 Lei (5.000 Euro); die Bank hat das Bußgeld bezahlt. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1, 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

02.07.2026

Originalbetrag 26.172 RON, umgerechnet zum EZB-Referenzkurs vom 02.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Inkassounternehmen stellte Personendaten mutmaßlicher Schuldner, teils besonders schützenswerte, ins Internet, um Hinweise auf ihren Aufenthalt zu erhalten und Dritte zu warnen. Das Bundesverwaltungsgericht bestätigte die Verfügung des EDÖB, wonach dies eine ungerechtfertigte Persönlichkeitsverletzung ist.

Behörde / Gericht

Bundesverwaltungsgericht (A-3891/2025) auf Verfügung des EDÖB vom 28.04.2025

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSG Art. 6, Art. 19, Art. 31

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

20.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Betrüger mit vorhandenen Kundendaten gaben sich im „Open24“-Callcenter der Bank als Kunden aus, ließen Kontodaten ändern und erhielten weitere Informationen, weil Sicherheitsprotokolle nicht eingehalten wurden; Betroffene mussten Konten schließen, einige erlitten Verluste. Die DPC verhängte 250.000 Euro wegen unzureichender Sicherheit und 27.500 Euro wegen verspäteter Pannenmeldung (Entscheidung in der Vorwoche der Pressemitteilung zugestellt).

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1, Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

08.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Obwohl der IDPC bereits zugunsten eines Beschwerdeführers entschieden hatte, ließ ein Versicherungsunternehmen (Name geschwärzt) ihn erneut über ein Drittunternehmen zu Werbezwecken anrufen; seine Nummer stand weiter auf Anruflisten. Der IDPC rügte fehlende Schutzvorkehrungen und unzureichende Verträge mit Auftragsverarbeitern, ordnete Abhilfe binnen 20 Tagen an und verhängte zwei Geldbußen von zusammen 1.000 Euro.

Behörde / Gericht

Information and Data Protection Commissioner (IDPC)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 2, Art. 21 Abs. 2, Art. 24 Abs. 1, Art. 28 Abs. 3 i. V. m. Art. 58 Abs. 2 lit. b, d, i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO erließ gegen ein britisches Unternehmen eine Durchsetzungsanordnung (enforcement notice). Nach den Feststellungen der ICO hatte das Unternehmen Anrufe zu Dienstleistungen der Schadensregulierung (claims management) veranlasst, ohne dass die Angerufenen eingewilligt hatten. Solche Anrufe sind nach Regulation 21A der PECR nur mit vorheriger Einwilligung zulässig; zudem sah die ICO einen Verstoß gegen Regulation 24. Der Bescheid ist eine Durchsetzungsanordnung; eine Geldbuße enthält er nicht.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21A und 24 PECR; section 40 DPA 1998

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Bundesnetzagentur verhängte gegen ein Unternehmen, das Finanz- und Versicherungsprodukte bewarb, ein Bußgeld von 50.000 Euro wegen unerlaubter Telefonwerbung. Die Anrufer belästigten besonders intensiv, gaben sich wahrheitswidrig als unabhängige Beratungsstelle aus und stellten Werbeanrufe als Serviceanrufe dar; das Unternehmen hat Einspruch eingelegt.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die ICO verhängte gegen Allay Claims Ltd eine Geldbuße von 120.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen in großem Umfang unerbetene SMS verschickt, mit denen es Dienstleistungen zur Rückforderung von Steuern auf PPI-Erstattungen bewarb; die Anordnung nennt dafür den Zeitraum 1. Februar 2023 bis 13. Februar 2024. Die ICO sah einen schweren Verstoß gegen Regulation 22 der PECR (elektronische Werbung ohne Einwilligung).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulation 22 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Originalbetrag 120.000 GBP, umgerechnet zum EZB-Referenzkurs vom 15.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Mobile-Banking-App einer Bank (Name nicht veröffentlicht) scannte auf Android- und Huawei-Geräten von 433.922 Kunden die Liste aller installierten Anwendungen und speicherte sie zentral – ohne Rechtsgrundlage, ohne transparente Information und ohne datensparsame Gestaltung. Die AZOP verhängte 1,5 Mio. Euro; der Bescheid ist nicht rechtskräftig (Datum = Veröffentlichung).

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1, Art. 12, 13, 25 Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

18.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Beim Aufruf der Website wurden acht nicht ausgenommene Cookies ohne Nutzeraktion gesetzt; nach „Alle ablehnen“ landeten beim Wechsel auf eine verbundene Domain dennoch drei Marketing-Cookies, und nach Widerruf der Einwilligung wurden Cookies weiter ausgelesen. Die CNIL verhängte dafür 1,5 Mio. EUR und verzichtete wegen der Nachbesserung im Verfahren auf eine Anordnung; einen Verstoß gegen die Datenminimierung bei der Aufzeichnung von Kundengesprächen stellte sie fest, sanktionierte ihn aber nicht.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 82 Loi Informatique et Libertés (Geldbuße); Verstoß gegen Art. 5 Abs. 1 lit. c DSGVO (Gesprächsaufzeichnungen) festgestellt, aber nicht sanktioniert

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Mildernde Umstände

Korrekturen während des Verfahrens, Kooperation.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach einer technischen Änderung am Dienst für starke elektronische Identifizierung der Bank kam es im Januar 2023 zu einer rund einstündigen Störung, in der sich Kunden mit Aktia-Zugangsdaten bei Diensten wie OmaKanta, OmaKela, Arbeitslosenkassen, Versicherern und Gesundheitsanbietern anmeldeten und dabei Daten anderer Personen sahen; betroffen waren rund 350 Personen. Das Sanktionsgremium rügte mangelhafte Planung, Umsetzung und Tests der Änderung und verhängte zusätzlich zur Verwarnung 865.000 EUR.

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. f, Art. 25, Art. 32

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

28.10.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Experian Nederland B.V. verarbeitete für ihren bis Ende 2024 angebotenen Dienst Credit Check Daten zur Kreditwürdigkeit von Verbrauchern, ohne sich wirksam auf ein berechtigtes Interesse stützen zu können, und informierte die Betroffenen unzureichend. Im Einspruchsverfahren hob die AP ihren ursprünglichen Bußgeldbescheid vom 6. Dezember 2023 auf und setzte das Bußgeld neu auf 2.700.000 EUR fest; Experian erkannte beide Verstöße an.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a i. V. m. Art. 6 Abs. 1 sowie Art. 12 Abs. 1 i. V. m. Art. 14 Abs. 1 und 2 DSGVO (AVG)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

17.10.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Ein Finanzunternehmen hatte Kreditkartenanträge mehrerer Kundinnen und Kunden trotz guter Bonität automatisiert ohne menschliches Eingreifen abgelehnt und auf Nachfrage die gesetzlich geschuldeten Informationen und Auskünfte zur Entscheidung nicht ausreichend erteilt. Der HmbBfDI verhängte 492.000 Euro; erhebliche Verbesserungen am Prozess und die Zusammenarbeit wirkten deutlich mildernd, das Unternehmen akzeptierte den Bescheid.

Behörde / Gericht

Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit (HmbBfDI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO – Informations- und Auskunftspflichten bei automatisierten Entscheidungen im Einzelfall

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Erhebliche Verbesserung des Prozesses für Betroffenenrechte bei automatisierten Entscheidungen; umfassende Zusammenarbeit mit der Behörde.

Veröffentlicht

30.09.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Im Dezember 2023 nutzte ein Angreifer anderswo abgeflossene Zugangsdaten, um über einen Dienst des Finanzdienstleisters Kundendaten einschließlich teilweiser Zahlungsmitteldaten abzurufen. Die AEPD sah einen Verstoß gegen Art. 5 Abs. 1 lit. f DSGVO; die Sanktion von 2.500.000 Euro ermäßigte sich wegen Anerkennung der Verantwortung und freiwilliger Zahlung um 40 % auf 1.500.000 Euro.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Ermäßigung um 40 % wegen Anerkennung der Verantwortung und freiwilliger Zahlung (Art. 85 LPACAP).

Veröffentlicht

19.12.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Nach Einführung einer neuen Login-Funktion in der S-mobiili-App im April 2022 konnte bis August 2022 über eine Schwachstelle im Identifizierungsdienst mit den Zugangsdaten anderer Kunden auf das Online-Banking und Dienste mit starker Authentifizierung zugegriffen werden; Missbrauch verursachte finanzielle Schäden. Die Bank hatte die Funktion ohne ausreichende Risikoanalyse und Tests eingeführt; das Sanktionsgremium verhängte zusätzlich zur Verwarnung 1,8 Mio. EUR, erschwerend wirkte eine frühere Verwarnung.

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. f, Art. 25 Abs. 1, Art. 32 Abs. 1 und 2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

ja

Mildernde Umstände

Das Bußgeld der Finanzaufsicht (7,67 Mio. EUR) zum selben Sachverhalt wurde berücksichtigt (Bußgeld rund ein Drittel des sonst verhängten Betrags); die Bank hat nach eigener Angabe unmittelbare Kundenschäden ersetzt.

Veröffentlicht

10.09.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine Schulangestellte verschaffte sich Zugriff auf das offizielle E-Mail-Postfach ihrer Schule und schickte gefälschte Unterlagen, auf deren Basis der Kreditverein 2023/2024 ohne Wissen der Betroffenen 17 Kredite abschloss. Die Aufsicht bemängelte die unzureichende Identitätsprüfung bei Fernanträgen und verhängte 15.141,6 Lei (3.000 Euro). Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Juni 2025 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

12.08.2025

Originalbetrag 15.141,6 RON, umgerechnet zum EZB-Referenzkurs vom 12.08.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Ratenkauf-Anbieter legte Personen, die sich über Händler-Checkouts anmeldeten, ohne Vertrag Kundenprofile an, verweigerte ehemaligen Kunden die Kontoschließung und schickte ihnen weiter Transaktions-E-Mails mit Werbeinhalt. Die AKI ordnete transparente Information, eine wirksame Einwilligung, Löschmöglichkeiten nach Art. 17 DSGVO und die Trennung von Transaktions- und Werbemails an; je nicht erfülltem Punkt droht ein Zwangsgeld von 5.000 Euro.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

§ 56 Abs. 1, § 58 Abs. 1 IKS; Art. 58 Abs. 2 lit. d, Art. 4 Nr. 11, 5, 6, 7, 12–14, 17 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach einem anonymen Hinweis auf einen USB-Stick mit Daten von über einer Million Fahrzeughaltern (Name, OIB, Adresse, Kennzeichen, Versicherungsdaten) stellte die AZOP fest, dass die Daten aus der Datenbank des Versicherungsbüros stammten, das keine angemessenen Schutzmaßnahmen und keine Löschfristen festgelegt hatte. Wegen seiner öffentlichen Aufgaben wurde die Buße auf 101.000 Euro begrenzt (Veröffentlichungsdatum, genaues Bescheiddatum nicht angegeben).

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. e, Art. 32 Abs. 2 und 4 DSGVO; Art. 44 kroatisches DSGVO-Durchführungsgesetz

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Begrenzung wegen öffentlicher Aufgaben (Art. 44 Durchführungsgesetz).

Veröffentlicht

02.07.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine Person, die nicht (mehr) Kundin war, erhielt von CaixaBank Post zur Aktualisierung der Datenschutzerklärung mit der Ankündigung, man werde sie zu Werbepräferenzen kontaktieren. Die AEPD wertete die fortgesetzte Speicherung ihrer Daten als Verstoß gegen den Grundsatz der Speicherbegrenzung und verhängte 200.000 Euro; der Widerspruch der Bank wurde als unzulässig verworfen.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink