Wer wurde wofür sanktioniert?

Das Saatgutunternehmen ließ auf Vorgabe einer Konzerngesellschaft mit Sitz in der Schweiz Telematikgeräte in Dienstwagen einbauen, die auch private Fahrten erfassten und Beschäftigten Punktwerte für ihr Fahrverhalten zuwiesen. Die Aufsicht sah Verstöße gegen Transparenz, Zweckbindung, Datenminimierung und Arbeitnehmerschutzregeln, verhängte 120.000 EUR und ordnete die Löschung der Daten zu Privatfahrten an.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a-c, 6 Abs. 1 lit. f, 13, 28, 88; Codice privacy Art. 2-quaterdecies, 113, 114

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Lebensmittel und Landwirtschaft

Mildernde Umstände

Geringe Zahl Betroffener (fünf Beschäftigte), sofortige Aussetzung der Verarbeitung.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Starbucks Corporation ließ Zulieferer in Korea im Rahmen ihres Ethical-Sourcing-Programms durch Elevate Hong Kong Holdings Limited prüfen, schloss dafür keinen Auftragsverarbeitungsvertrag mit allen gesetzlichen Inhalten und beaufsichtigte den Dienstleister nicht ausreichend; Elevate verarbeitete unnötig viele Daten von Zulieferbeschäftigten, etwa Personalunterlagen, Lohn- und Arbeitszeitaufzeichnungen, und übertrug sie aus den Betrieben heraus. Die Behörde ordnete an, solche Aufträge nur mit schriftlichem Vertrag mit allen Pflichtangaben zu vergeben und den Dienstleister zu schulen und zu überwachen, und empfahl Datenminimierung; gegen Elevate erging eine eigene Anordnung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 26(1) und (4)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Beschäftigte

10.000 und mehr

Veröffentlicht

27.11.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Daten von Beschäftigten von McDonald’s und seinen Franchisenehmern aus dem Dienstplanmodul (u. a. Namen, PESEL- oder Passnummern, Arbeitszeiten, Positionen) lagen in einem öffentlich zugänglichen Verzeichnis. Die UODO stellte fest, dass McDonald’s Polska keine Risikoanalyse vorgenommen, keine geeigneten Sicherungen umgesetzt und den Auftragsverarbeiter nicht wirksam kontrolliert hatte, und verhängte Geldbußen von 1.632.063, 13.600.528 und 1.700.066 PLN (zusammen 16.932.657 PLN) sowie eine Verwarnung; der Auftragsverarbeiter 24/7 Communication erhielt 94.286, 42.429 und 47.143 PLN (183.858 PLN), insgesamt 17.116.515 PLN. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. c und f, Art. 5 Abs. 2, Art. 25 Abs. 1, Art. 28 Abs. 1, Art. 32 Abs. 1 und 2, Art. 38 Abs. 1 DSGVO sowie Art. 34 Abs. 1 und 3 lit. c DSGVO (Verwarnung) (Verantwortlicher); Art. 28 Abs. 3 lit. c, Abs. 4 und 9, Art. 32 Abs. 1 und 2, Art. 38 Abs. 1 DSGVO (Auftragsverarbeiter)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Lebensmittel und Landwirtschaft

Veröffentlicht

21.07.2025

Originalbetrag 17.116.515 PLN, umgerechnet zum EZB-Referenzkurs vom 23.06.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Ein Beschäftigter des Gastronomiebetriebs verlor einen USB-Stick mit unverschlüsselten Daten eines Kollegen, u. a. PESEL-Nummer, Passdaten und Gehalt. Die Risikoanalyse hatte den bloßen Verlust von Datenträgern nicht vorgesehen, Verschlüsselung war nur per Anleitungsvideo den Beschäftigten überlassen und die Wirksamkeit der Maßnahmen wurde nicht getestet; die UODO verhängte 238.345 Złoty (nicht rechtskräftig).

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 5 Abs. 2, Art. 24 Abs. 1, Art. 25 Abs. 1, Art. 32 Abs. 1 und 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Mildernde Umstände

Selbstanzeige des Vorfalls und Kooperation im Verfahren wirkten erheblich bußgeldmindernd.

Veröffentlicht

17.05.2024

Originalbetrag 238.345 PLN, umgerechnet zum EZB-Referenzkurs vom 29.04.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 5 · Unternehmensname anonymisiert seit 29.04.2026 · Direktlink

Persónuvernd verhängte gegen die Betreiberin einer Schnellrestaurantkette in Island eine Geldbuße von 1.500.000 ISK, weil der Leiter einer Filiale Aufnahmen der Überwachungskameras genutzt hatte, um die Arbeit eines Beschäftigten zu kontrollieren, und dazu kommentierte Standbilder anfertigte. Die Behörde wertete dies als unzulässige Verarbeitung außerhalb des erklärten Überwachungszwecks und beanstandete zudem Hinweisschilder ohne Angabe des Verantwortlichen sowie eine unzureichende Information der Beschäftigten; sie ordnete an, die Standbilder zu löschen, in den Filialen vorschriftsgemäße Hinweisschilder anzubringen, die Beschäftigten zu informieren und ein Verzeichnis der Verarbeitungstätigkeiten zu führen.

Behörde / Gericht

Persónuvernd

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 Bst. a–c, Art. 6 Abs. 1, Art. 12 und 13 DSGVO; §§ 8, 9, 14 Abs. 1 und 4 und 17 Gesetz Nr. 90/2018 (isländisches Datenschutzgesetz); Regeln Nr. 837/2006 über elektronische Überwachung; Geldbuße nach § 46 Abs. 3 Gesetz Nr. 90/2018 i.V.m. Art. 83 Abs. 5 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Verschulden

fahrlässig

Mildernde Umstände

Nur eine Filiale und relativ wenige Personen betroffen, kein nachgewiesener unmittelbarer Schaden, nur ein belegter Fall der Leistungskontrolle.

Haftung von Führungskräften

Die Kontrolle ging vom Leiter einer Filiale aus; die Behörde hielt fest, dass Unternehmen Beschäftigte mit Zugriff auf Aufnahmen anleiten müssen. Die Geldbuße traf die Betreibergesellschaft.

Veröffentlicht

20.03.2024

Originalbetrag 1.500.000 ISK, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink

Eine Gastronomie-GmbH mit Liefer- und Abholbetrieb (Name pseudonymisiert) zeichnete Arbeitsplätze in Küche und Abholbereich ununterbrochen auf, auch außerhalb der Öffnungszeiten, und speicherte die Aufnahmen 14 Tage. Zusätzlich fehlte seit 2018 ein Verarbeitungsverzeichnis; die DSB verhängte 20.000 Euro, das Straferkenntnis ist rechtskräftig.

Behörde / Gericht

Datenschutzbehörde (DSB)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1, Art. 30 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Lebensmittel und Landwirtschaft

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.12.2025 · Direktlink

Der Betreiber zweier Lokale in Andalusien filmte mit seinen Kameras unverhältnismäßig den öffentlichen Raum, u. a. die Terrassentische vor einem Restaurant, und hatte keine Hinweisschilder angebracht. Die AEPD verhängte 3.000 Euro und ordnete an, die Kameras binnen 15 Arbeitstagen zu entfernen oder neu auszurichten; der Widerspruch wurde zurückgewiesen.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. c, Art. 13 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 31.07.2025 · Direktlink