Wer wurde wofür sanktioniert?

Angreifer meldeten sich mit anderswo erbeuteten Zugangsdaten massenhaft auf den Websites von GS SHOP (Juni 2024 bis Februar 2025) und GS25 (Dezember 2024 bis Januar 2025) an und griffen Daten von 1.581.025 bzw. 79.128 Personen ab; GS Retail Co., Ltd. erkannte weder die gehäuften Anmeldeversuche aus denselben IP-Adressen noch die steigenden Fehlversuche und stoppte nach dem ersten Fund bei GS25 den parallelen Angriff auf GS SHOP nicht. Die Behörde stellte außerdem eine unzureichende Datenschutzorganisation und die um mehr als 72 Stunden verspätete Benachrichtigung von 1.599 weiteren Betroffenen fest, verhängte ein Bußgeld (Penalty Surcharge) von 12.836.000.000 KRW und ein Verwaltungsbußgeld von 3.000.000 KRW (zusammen 12.839.000.000 KRW) und ordnete Erkennungsmaßnahmen sowie eine Überprüfung der Datenschutzorganisation an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 40 % wegen Kooperation, Abhilfe und Schutzbemühungen (ISMS-P-Zertifizierung, Selbstregulierung, Datenschutz-Folgenabschätzung); Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, eigenes Datenschutzpersonal einzusetzen sowie Befugnisse und Verantwortung des Datenschutzbeauftragten (CPO) klar festzulegen.

Veröffentlicht

31.08.2026

Originalbetrag 12.839.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Datatilsynet verhängte gegen den Online-Händler für Nahrungsergänzungsmittel Lab Pharma AS ein Bußgeld von 205.000 NOK wegen Verletzung der Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde (Art. 31 DSGVO): Das Unternehmen hatte Sachbearbeitende mit Strafanzeigen und Klagen bedroht, um die Prüfung einer Beschwerde zu beenden, und angeforderte Unterlagen verspätet eingereicht. Zugleich ordnete die Behörde an, Namen und Bilder einer früheren Werbepartnerin (Influencerin) von allen Websites des Unternehmens zu löschen und ihre Daten bis zum Nachweis einer Rechtsgrundlage nicht mehr für Marketing zu verwenden, weil der zugrunde liegende Vertrag bereits im März 2017 ausgelaufen war.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 31, Art. 58 Abs. 2 lit. f, g und i, Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Haftung von Führungskräften

Datatilsynet rechnete das vorsätzliche Handeln der Unternehmensleitung dem Unternehmen zu.

Veröffentlicht

17.08.2026

Originalbetrag 205.000 NOK, umgerechnet zum EZB-Referenzkurs vom 12.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO verhängte gegen Elderly Aids Limited, einen Anbieter von Anrufsperr-Geräten, eine Geldbuße von 190.000 Pfund und erließ zusätzlich eine Durchsetzungsanordnung (enforcement notice). Nach den Feststellungen der ICO hatte das Unternehmen 758.053 unerbetene Direktmarketing-Anrufe an Anschlüsse getätigt, die im Telefon-Sperrregister TPS/CTPS eingetragen waren und keine Einwilligung erteilt hatten; daraus gingen 20 Beschwerden hervor. Grundlage sind die Regulations 21 und 24 der PECR. Bei Zahlung bis 7. September 2026 ermäßigt sich der Betrag laut Bescheid um 20 % auf 152.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998 (Geldbuße), section 40 DPA 1998 (Anordnung)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Originalbetrag 190.000 GBP, umgerechnet zum EZB-Referenzkurs vom 06.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Bei einer Schwerpunktprüfung zu Cookies auf Unternehmenswebsites beanstandete die DVI die Seite 4mebeles.lv. Nach einer Verwarnung im Februar 2026 behauptete die Firma, die Mängel seien behoben, was eine erneute Prüfung widerlegte; weitere Auskunftsersuchen blieben unbeantwortet. Die DVI verhängte wegen Nichtkooperation 1.000 Euro und forderte die fehlenden Informationen bis 3. August 2026 an.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Onlinehändler hatte keine Speicherfrist für Kundenkonten festgelegt und Daten bis zu einem Löschantrag der Kunden behalten; Einkäufe waren nur mit Konto möglich. Das Sanktionsgremium verhängte 2024 856.000 Euro, das Verwaltungsgericht setzte die Buße nach aktuellem Umsatz auf 792.639 Euro herab, und der Oberste Verwaltungsgerichtshof bestätigte dies am 12.06.2026.

Behörde / Gericht

Korkein hallinto-oikeus (KHO); Sanktionsgremium des Datenschutzbeauftragten

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Handel und E-Commerce

Veröffentlicht

18.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Betroffener beschwerte sich über die Weitergabe von Aufnahmen aus der Videoüberwachung der Supermarktkette und über die unzureichende Beantwortung seines Auskunftsersuchens. Die Datenschutzbehörde stellte fest, dass Market In das Videomaterial ohne vorherige Information des Betroffenen an die Justizbehörden weitergegeben, mehr Daten als nötig verarbeitet, das Auskunftsrecht nicht erfüllt und nicht mit der Behörde kooperiert hatte, und verhängte mit Entscheidung 10/2026 insgesamt 95.000 Euro (50.000 Euro wegen Rechtmäßigkeit/Transparenz, je 20.000 Euro wegen Datenminimierung und Auskunftsrecht, 5.000 Euro wegen fehlender Kooperation); im selben Verfahren erhielt die ΜΕΔΕ ΑΕ 65.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, c, Art. 5 Abs. 2, Art. 12, 13, 15, 31 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein ehemaliger Beschäftigter nutzte Signaturschlüssel für die Authentifizierung, auf die er während seiner Tätigkeit im Klartext zugreifen konnte und die nach seinem Ausscheiden weder erneuert noch vernichtet wurden, um gefälschte Tokens zu erstellen und von April bis November 2025 Daten von rund 33,22 Mio. Kundinnen und Kunden sowie Lieferdaten von rund 4,33 Mio. weiteren Personen abzurufen. Die Behörde verhängte gegen Coupang Corp. wegen unzureichender Sicherheitsmaßnahmen ein Bußgeld (Penalty Surcharge) von 423.575.000.000 KRW und wegen verspäteter Benachrichtigung und unterlassener Löschung ein Verwaltungsbußgeld von 16.800.000 KRW (zusammen 423.591.800.000 KRW) und rügte den Ausschluss des Datenschutzbeauftragten von der internen Untersuchung. Ein gesonderter Beschluss vom selben Tag verhängte weitere 201.106.000.000 KRW wegen Erhebung von Verhaltensdaten auf fremden Websites und Apps ohne Einwilligung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1), Art. 21(1), Art. 31(6), Art. 63(2); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 50 % wegen Abhilfe, Entschädigung, Zertifizierung und Verhältnismäßigkeit; Erhöhungen um 25 % (Verstoßdauer), 30 % (mindestens zwei frühere Geldbußen) und 10 % (Behinderung der Untersuchung).

Haftung von Führungskräften

Der Datenschutzbeauftragte (CPO) war von interner Untersuchung und Veröffentlichung ausgeschlossen; angeordnet wurde eine Governance, die seine unabhängige Arbeit und seinen Zugang zu Informationen bei Vorfällen sichert.

Veröffentlicht

11.06.2026

Originalbetrag 423.591.800.000 KRW, umgerechnet zum EZB-Referenzkurs vom 10.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Datatilsynet verhängte gegen Elkjøp Nordic AS und Elkjøp Norge AS ein Bußgeld von 20.000.000 NOK. Nach einer Vor-Ort-Prüfung im Juni 2022 stellte die Behörde fest, dass die Einwilligung für den Kundenclub weder informiert noch spezifisch noch freiwillig war, Clubdaten ohne Rechtsgrundlage für das Werkzeug „kundematch“ weiterverwendet wurden, die Rechtmäßigkeit sogenannter Offline-Konversionen nicht geprüft und dokumentiert war und Berichtigungsanträge nicht fristgerecht bearbeitet wurden. Die Entscheidung erging im Kooperationsverfahren mit den Aufsichtsbehörden Schwedens, Islands, Finnlands und Dänemarks; in den nordischen Ländern waren über sechs Millionen Clubmitglieder betroffen.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 6 Abs. 1 i. V. m. Art. 4 Nr. 11, Art. 6 Abs. 4, Art. 5 Abs. 2 i. V. m. Art. 5 Abs. 1 lit. a, Art. 12 Abs. 3 DSGVO; Art. 58 Abs. 2 lit. i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Mildernde Umstände

Verbesserungen nach der Prüfung, lange Verfahrensdauer bei Datatilsynet und fehlender Nachweis der Verarbeitung sensibler Daten; der Betrag liegt deutlich unter dem Ausgangswert der EDSA-Leitlinien (0,4–0,8 % des Konzernumsatzes).

Veröffentlicht

04.06.2026

Originalbetrag 20.000.000 NOK, umgerechnet zum EZB-Referenzkurs vom 01.06.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Beide Unternehmen nutzten E-Mail-Adressen und Telefonnummern aus Onlinekäufen weiter für Werbung, obwohl Betroffene widersprochen hatten – teils nach bestätigter Löschung. Der EDÖB verfügte die Einstellung der Werbebearbeitung und die Löschung auf Verlangen.

Behörde / Gericht

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSG Art. 6, Art. 30 Abs. 2 lit. b, Art. 31

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Veröffentlicht

26.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNPD hatte 2021 wegen verhaltensbasierter Onlinewerbung 746 Mio. Euro und eine Anpassungsanordnung verhängt; das Tribunal administratif bestätigte dies am 18.03.2025. Die Cour administrative bestätigte am 12.03.2026, dass berechtigtes Interesse keine tragfähige Rechtsgrundlage war und die Information unzureichend, hob das Bußgeld aber wegen neuerer EuGH-Rechtsprechung zum Verschuldenserfordernis auf; die CNPD prüft die Sanktion neu.

Behörde / Gericht

Cour administrative (Luxemburg); Verfahren der CNPD

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 6 Abs. 1 lit. f, Art. 12 ff. DSGVO

Maßnahme

Anordnung

Verfahrensstand

aufgehoben

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Mildernde Umstände

Amazon hatte die Anpassungsanordnung vor der Verhandlung umgesetzt.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Während einer Boykottwelle 2024 bearbeitete Loblaw Löschanträge nicht rechtzeitig und bewahrte Kauf- und Nutzungsdaten des Treueprogramms (über 17 Mio. Mitglieder) auch nach Kontoschließung auf, ohne eine wirksame Anonymisierung nachzuweisen. Loblaw sagte eine unabhängige Prüfung der Anonymisierung und jährliche Löschungen zu.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

PIPEDA

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Veröffentlicht

05.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNIL verhängte gegen eine nicht namentlich genannte Einzelhandelskette eine Geldbuße von 3.500.000 EUR (2.500.000 EUR nach Art. 6 Abs. 1 lit. a, 13, 32 und 35 DSGVO sowie 1.000.000 EUR nach Art. 82 Loi Informatique et Libertés). Das Unternehmen hatte seit 2018 E-Mail-Adressen und Telefonnummern von Mitgliedern seines Kundenprogramms ohne wirksame Einwilligung an ein soziales Netzwerk übermittelt, um dort gezielt Werbung auszuspielen; betroffen waren mehr als 10,5 Mio. Personen. Hinzu kamen unzureichende Information, schwache Passwortregeln mit SHA-256-Hashing, eine fehlende Datenschutz-Folgenabschätzung sowie Cookies, die vor jeder Wahl gesetzt und nach einer Ablehnung weiter ausgelesen wurden.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 6 Abs. 1 lit. a, 13, 32 und 35 DSGVO; Art. 82 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Veröffentlicht

22.01.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Nach einem Cyberangriff mit unbefugtem Zugriff auf Daten, von dem laut Entscheidung bis zu rund 6,38 Millionen Personen betroffen sein konnten (darunter rund 4,67 Millionen Kunden in Spanien sowie Beschäftigte und ehemalige Beschäftigte), stellte die AEPD als federführende Behörde unzureichende Sicherheitsmaßnahmen fest (Art. 5 Abs. 1 lit. f DSGVO). Die Sanktion von 2.600.000 Euro ermäßigte sich wegen Anerkennung der Verantwortung und freiwilliger Zahlung um 40 % auf 1.560.000 Euro; zudem wurden Abhilfemaßnahmen angeordnet.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Beschäftigte

1.000 bis 9.999

Mildernde Umstände

Ermäßigung um 40 % wegen Anerkennung der Verantwortung und freiwilliger Zahlung (Art. 85 LPACAP).

Veröffentlicht

19.12.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Beim Online-Weinhändler kam es 2022 während eines großen Datenmigrationsprojekts zu einem unbefugten Zugriff auf eine Datenbank mit Daten von rund 928.760 Kunden und Mitgliedern (Identitäts-, Kontakt- und Finanzdaten). Die Datenschutzbeauftragte stellte fest, dass Vinomofo keine angemessenen Schutzmaßnahmen getroffen hatte, obwohl ihm Mängel seiner Sicherheitsorganisation mindestens zwei Jahre vor dem Vorfall bekannt waren, und untersagte die Fortsetzung dieser Praktiken samt Auflagen zur Abhilfe.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

APP 11.1 (Privacy Act 1988 (Cth))

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Veröffentlicht

29.10.2025

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Ein Handelsunternehmen (Name nicht veröffentlicht) ließ Werbebriefe über Dienstleister versenden und erfüllte die daraufhin geltend gemachten Betroffenenrechte der Empfänger in mehreren Fällen über längere Zeit nicht fristgerecht. Der HmbBfDI setzte ein Bußgeld von 195.000 Euro fest; die Maßnahme wurde in der Zwischenbilanz vom 30.09.2025 veröffentlicht (genaues Bescheiddatum nicht angegeben).

Behörde / Gericht

Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit (HmbBfDI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO (Betroffenenrechte)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Veröffentlicht

30.09.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Landhandelsriese informierte Verbraucher und Stellenbewerber unzureichend über ihre Rechte, bot keine wirksame Widerspruchsmöglichkeit gegen Verkauf und Weitergabe (auch kein Global Privacy Control) und gab Daten ohne vorgeschriebene Verträge an Dritte weiter. Ein Organ muss vier Jahre lang jährlich die Einhaltung bestätigen.

Behörde / Gericht

California Privacy Protection Agency (CPPA)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

California Consumer Privacy Act (CCPA)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Veröffentlicht

30.09.2025

Originalbetrag 1.350.000 USD, umgerechnet zum EZB-Referenzkurs vom 26.09.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNIL verhängte gegen die Samaritaine SAS, Betreiberin des gleichnamigen Pariser Kaufhauses, eine Geldbuße von 100.000 EUR, weil sie im August 2023 wegen Warendiebstählen in zwei Lagerräumen als Rauchmelder getarnte Kameras mit Tonaufzeichnung angebracht hatte, die Beschäftigte wenige Wochen später entdeckten. Beanstandet wurden die fehlende vorherige Prüfung und Dokumentation des verdeckten, nur vorübergehend gedachten Einsatzes, die übermäßige Aufnahme von Gesprächen der Beschäftigten, die verspätete Einbindung der Datenschutzbeauftragten sowie die unterbliebene Meldung und Dokumentation einer Datenschutzverletzung, nachdem Beschäftigte beim Abbau der Kameras die Speicherkarten mit den Aufnahmen behalten hatten (Art. 33 Abs. 1 und 5 DSGVO).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 5 Abs. 2, Art. 5 Abs. 1 lit. c, Art. 33 Abs. 1 und 5, Art. 38 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Beschäftigte

250 bis 999

Verschulden

fahrlässig

Veröffentlicht

23.09.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Der Möbelhändler hatte in einem Altsystem Daten von rund 385.000 Kunden ohne Löschfristen gespeichert. Das Amtsgericht hatte 100.000 DKK verhängt; nach einer Vorlage an den EuGH zur Frage, ob sich das Bußgeld am Umsatz des gesamten Konzerns bemisst, erhöhte das Landgericht die Geldbuße auf 1,5 Mio. DKK.

Behörde / Gericht

Vestre Landsret (auf Anzeige der Datatilsynet)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. e, Art. 83

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Originalbetrag 1.500.000 DKK, umgerechnet zum EZB-Referenzkurs vom 02.09.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Auf shein.com wurden bereits beim Aufruf Werbe-Cookies ohne Einwilligung gesetzt; neben einem unvollständigen Cookie-Banner gab es ein Werbe-Pop-up ohne Ablehnungsmöglichkeit. Nach Klick auf „Alle ablehnen“ bzw. nach Widerruf der Einwilligung wurden Cookies weiter gelesen. Die CNIL verhängte 150 Mio. EUR.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 82 Loi Informatique et Libertés (Umsetzung von Art. 5 Abs. 3 ePrivacy-Richtlinie)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Kmart Australia erfasste von Juni 2020 bis Juli 2022 in 28 Filialen per Gesichtserkennung die Gesichter aller eintretenden Personen und aller Kundinnen und Kunden an den Rückgabetheken, um Rückgabebetrug aufzudecken, ohne darüber zu informieren oder eine Einwilligung einzuholen. Die Privacy Commissioner verneinte die Ausnahme für die Bekämpfung rechtswidriger Handlungen, weil die unterschiedslose Erfassung sensibler biometrischer Daten angesichts milderer Alternativen und des geringen Nutzens unverhältnismäßig war, und untersagte die Fortsetzung oder Wiederholung. Die Entscheidung wird derzeit vor dem Administrative Review Tribunal überprüft; Verhandlungen sind für Anfang 2027 angesetzt. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Privacy Act 1988 (Cth), APP 1.3, 1.4, 3.3, 3.4, 5.1, 5.2

Maßnahme

Anordnung

Verfahrensstand

angefochten

Branche

Handel und E-Commerce

Mildernde Umstände

Kmart stellte das System im Juli 2022 mit Beginn der Untersuchung ein und kooperierte durchgehend mit der Behörde.

Veröffentlicht

18.09.2025

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink