Wer wurde wofür sanktioniert?

Klinikpersonal öffnete die elektronische Gesundheitsakte einer Kollegin, um Dienstpläne während Covid zu organisieren, statt zu Behandlungszwecken. Technische Sperren, die den Zugriff auf behandelndes Personal begrenzen, fehlten; die Garante verhängte 24.000 Euro (Provvedimento Nr. 616).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, b, c, f, Art. 9, 25, 32 DSGVO; Art. 75 Codice privacy; Linee guida dossier sanitario

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Im Sommer 2025 verschaffte sich ein Angreifer Zugriff auf die elektronische Patientenakte der Privatklinik und erlangte Daten von 524.867 Patientinnen und Patienten sowie 202.246 Vertrauenspersonen. Es fehlten VPN und Mehr-Faktor-Authentifizierung für externe Nutzer, eine angemessene Zugriffssteuerung und eine Erkennung auffälliger Aktivitäten; die Vertrauenspersonen wurden nicht benachrichtigt. Bußgeld 500.000 EUR (SAN-2026-009).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32, Art. 34

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

03.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Das öffentliche Krankenhaus veröffentlichte von Mai bis Ende August 2024 versehentlich eine OP-Liste mit Telefonnummern, Erkrankungen und geplanten Eingriffen von Patientinnen und Patienten auf seiner Website; ein Bürger fand das Dokument über Google. Die Behörde verhängte insgesamt 25.000 EUR: 10.000 EUR für mangelnde Sicherheit, 2.000 EUR für die verspätete Meldung, 10.000 EUR für die unterlassene Benachrichtigung der Betroffenen und 3.000 EUR für fehlende DSB-Kontaktdaten.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1, 12, 13 i. V. m. 37 (Entscheidung 13/2026)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Ausgangspunkt war eine Beschwerde über unvollständige Herausgabe von Patientendaten; die Klinik ließ mehrere Anfragen der Aufsicht unbeantwortet. Die AKI ordnete an, die Verträge mit Align Technology (Invisalign) auf die DSGVO-Rollen hin zu überarbeiten (Art. 26/28 DSGVO), das Einwilligungsformular und die Datenschutzhinweise nach Art. 7, 9, 13 und 14 DSGVO anzupassen und auf Estnisch zu veröffentlichen; bei Nichterfüllung droht ein Zwangsgeld von 1.000 Euro je Punkt.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

§ 56 Abs. 1 IKS; Art. 58 Abs. 2 lit. d DSGVO i. V. m. Art. 5 Abs. 1 lit. a, 7, 9, 13, 14, 26, 28 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Ein Hausarzt, der den Beschwerdeführer seit Januar 2023 nicht mehr betreute, rief bis August 2024 über seine Praxissoftware insgesamt 47-mal dessen Gesundheitsdaten (Befunde, Rezepte) in der nationalen E-Gesundheitsplattform EESZT ab und beantwortete einen Auskunftsantrag nicht. Die NAIH stellte Verstöße gegen Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2 und 15 Abs. 1 DSGVO fest, ordnete die Erfüllung des Auskunftsantrags an und verhängte 500.000 HUF.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2, 15 Abs. 1 (NAIH-273-7/2026)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

20.03.2026

Originalbetrag 500.000 HUF, umgerechnet zum EZB-Referenzkurs vom 20.03.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Der Geschäftsführer der Klinik meldete selbst, eine ehemalige Mitarbeiterin habe Kontaktdaten und Patientenakten aller Patienten kopiert und diese für eine neue Klinik abgeworben. In der anschließenden Untersuchung beantwortete die Klinik Anfragen der Aufsicht trotz Verwarnung und Anordnung nicht vollständig; die Aufsicht verhängte daher 10.190 Lei (2.000 Euro). Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Februar 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

20.02.2026

Originalbetrag 10.190 RON, umgerechnet zum EZB-Referenzkurs vom 20.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Nach der Tragödie beim Lapu-Lapu-Day-Festival 2025 griffen 36 Beschäftigte dreier Gesundheitsbehörden in 71 Fällen unbefugt auf Patientendaten von 16 eingelieferten Personen zu. Die Betroffenen wurden nicht ohne unangemessene Verzögerung informiert; der Beauftragte sprach neun Empfehlungen aus, u. a. automatisierte Zugriffsüberwachung und abschreckende Disziplinarmaßnahmen.

Behörde / Gericht

Office of the Information and Privacy Commissioner for British Columbia (OIPC BC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Freedom of Information and Protection of Privacy Act (FIPPA) BC, s. 25.1

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Mildernde Umstände

Angemessene Schutzmaßnahmen waren vorhanden; die Behörden reagierten schnell und nahmen alle Empfehlungen an.

Veröffentlicht

18.02.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Zwei Patientinnen erhielten trotz Auskunftsersuchen keine Kopien ihrer Scan-Dateien zum Behandlungsabschluss; die Praxis reagierte nur schleppend auf Anfragen und erschien nicht zu einem Termin bei der Aufsicht. Die AKI ordnete die Herausgabe nach Art. 15 Abs. 3 DSGVO oder eine begründete Ablehnung an und drohte ein Zwangsgeld von 2.000 Euro an.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

§ 56 Abs. 1 IKS; Art. 58 Abs. 2 lit. c, Art. 12 Abs. 4, Art. 15 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

In dem medizinischen Unternehmen war fast sechs Jahre lang der Vorstandsvorsitzende zugleich Datenschutzbeauftragter; aufgefallen war dies nach einer Meldung, dass einem Patienten Unterlagen einer anderen Person ausgehändigt wurden. Die Behörde sah einen Interessenkonflikt und verhängte 11.365 PLN.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 38 Abs. 6 DSGVO (DKN.5131.7.2025)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Im Juli 2024 wurde ein unabhängiger externer Datenschutzbeauftragter bestellt.

Veröffentlicht

29.09.2025

Originalbetrag 11.365 PLN, umgerechnet zum EZB-Referenzkurs vom 12.09.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Eine Ärztin rief am 1. August 2024 zwölfmal E-Rezepte und Medikationsdaten einer ehemaligen Mitarbeiterin in der elektronischen Gesundheitsakte ELGA ab, ohne dass ein Behandlungszusammenhang bestand. Die DSB verhängte 1.000 EUR (plus 100 EUR Kosten), mildernd wirkten Geständnis und Unbescholtenheit.

Behörde / Gericht

Datenschutzbehörde

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a und b, Art. 6 Abs. 1, Art. 9 Abs. 1 und 2

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Unbescholtenheit, Fahrlässigkeit, volle Kooperation und Geständnis.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Von April bis September 2023 nutzten Angreifer wiederverwendete Zugangsdaten, um auf Daten von 155.592 Personen im Vereinigten Königreich zuzugreifen, darunter Herkunft, Stammbäume und Gesundheitsangaben. Es fehlten MFA, sichere Passwortregeln und wirksame Überwachung; trotz Auffälligkeiten im Juli 2023 begann die volle Untersuchung erst im Oktober. Gemeinsame Untersuchung mit dem kanadischen Datenschutzbeauftragten.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

fahrlässig

Veröffentlicht

17.06.2025

Originalbetrag 2.310.000 GBP, umgerechnet zum EZB-Referenzkurs vom 05.06.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Die Online-Apotheke übermittelte 2018–2022 über Google- und Meta-Tracking Daten aus dem Einkauf, auch zu verschreibungspflichtigen Medikamenten, an die Tracking-Anbieter. Die Behörde verhängte 1,1 Mio. EUR und eine Verwarnung; das Verwaltungsgericht Helsinki bestätigte am 01.06.2026 den Verstoß, hob aber das Bußgeld auf, weil unklar sei, ob der Universitätsapotheke überhaupt ein Bußgeld auferlegt werden darf (nicht rechtskräftig).

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio; Helsingin hallinto-oikeus

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

DSGVO Art. 9, Art. 25, Art. 32

Maßnahme

Bußgeld

Verfahrensstand

aufgehoben

Branche

Gesundheitswesen

Veröffentlicht

04.06.2025

Betrag in EUR; für diese Währung liegt kein EZB-Referenzkurs vor.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Ein Gesundheitsdienstleister (Name geschwärzt) korrigierte trotz Aufforderung die Anschrift einer Patientin nicht, sodass Gesundheitsberichte an Dritte gingen, und nutzte Adressdaten aus dem Wählerregister ohne Rechtsgrundlage. Der IDPC sprach eine Rüge aus, ordnete Berichtigung, Löschung der Registerdaten und die Benennung eines Datenschutzbeauftragten an und verhängte Bußen von 12.500, 5.000 und 2.500 Euro.

Behörde / Gericht

Information and Data Protection Commissioner (IDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und d, Art. 6 Abs. 1, Art. 14, 16, 37 Abs. 1 lit. c DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Eine GmbH mit diagnostischem Labor (Name pseudonymisiert), die in der Pandemie mit rund 200 Beschäftigten täglich bis zu 45.000 PCR-Analysen durchführte, hatte ihren Geschäftsführer zugleich als Datenschutzbeauftragten benannt. Wegen des damit verbundenen Interessenkonflikts verhängte die DSB 5.000 Euro; das Straferkenntnis ist rechtskräftig.

Behörde / Gericht

Datenschutzbehörde (DSB)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 37, Art. 38 Abs. 6 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Beschäftigte

50 bis 249

Haftung von Führungskräften

Geschäftsführer war zugleich als Datenschutzbeauftragter benannt – unzulässiger Interessenkonflikt.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Die Krebshilfe-Organisation meldete 2019 und 2020 Diebstähle von Computern aus ihren Büros in Kopenhagen und Aarhus sowie Phishing-Angriffe; laut Datatilsynet waren mindestens 1.448 Personen betroffen, teils mit Gesundheitsdaten. Obwohl sie nach einem Angriff 2018 selbst Multifaktor-Authentifizierung für nötig gehalten hatte, fehlten diese und eine Verschlüsselung der Rechner; das Stadtgericht Kopenhagen verurteilte sie rechtskräftig zu 75.000 DKK (Empfehlung der Datatilsynet und Antrag der Anklage: 800.000 DKK).

Behörde / Gericht

Københavns Byret (auf Anzeige der Datatilsynet)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32 Abs. 1; databeskyttelsesloven § 41

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Wiederholungsfall

ja

Originalbetrag 75.000 DKK, umgerechnet zum EZB-Referenzkurs vom 01.10.2024.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Die DVI prüfte mehrere Beschwerden gegen das staatliche Krankenhaus, u. a. zur Verarbeitung von Patienten- und Gesundheitsdaten durch einen Arzthelfer und zu einer unbeantworteten Auskunftsanfrage. Weil die Klinik die angeforderten Informationen nicht lieferte, verhängte die Behörde 2.000 Euro wegen Verstoßes gegen die Kooperationspflicht.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden

Eine Spezialklinik aus dem Raum Rijeka (Name nicht veröffentlicht) verlor 2019 unwiederbringlich radiologische Bilder von Patienten, weil sie keine Sicherungskopien anlegte, und meldete den Vorfall nicht, obwohl die Leitung informiert war. Die AZOP verhängte 190.000 Euro, u. a. auch wegen fehlenden Auftragsverarbeitungsvertrags, Gesprächsaufzeichnungen ohne Rechtsgrundlage und Nichteinbindung der Datenschutzbeauftragten.

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. e, Art. 6, 12, 13, 28 Abs. 3, 32 Abs. 1 lit. b, 33 Abs. 1, 38 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

13.09.2024

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Website Was stimmt nicht? Bitte mit Beleg, wenn möglich.

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

Meldung senden