Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach RegionAlle Jurisdiktionen
- EU 4,01 Mrd. € 97 % · 31 Fälle
- Südkorea 64,5 Mio. € 2 % · 3 Fälle
- Vereinigtes Königreich 31,4 Mio. € 1 % · 4 Fälle
- Brasilien 25,6 Mio. € 1 % · 2 Fälle
- USA 13,3 Mio. € 0 % · 4 Fälle
- Singapur 39.609 € 0 % · 1 Fall
- Australien – 0 % · 1 Fall
- Kanada – 0 % · 1 Fall
- Hongkong – 0 % · 1 Fall
- Japan – 0 % · 1 Fall
- 1 weitere0 €
Wofür?
nach Unterthema- Internationale Datentransfers 1,73 Mrd. € 42 % · 3 Fälle
- Betroffenenrechte und Transparenz 786,8 Mio. € 19 % · 14 Fälle
- Datenpannen und Datensicherheit 607,3 Mio. € 15 % · 10 Fälle
- Werbung und Einwilligung 544,7 Mio. € 13 % · 9 Fälle
- Cookies und Tracking 429,1 Mio. € 10 % · 9 Fälle
- ohne Unterthema 42,6 Mio. € 1 % · 5 Fälle
Wen?
nach Unternehmen- Anonymisierte Unternehmen 2,65 Mrd. € 64 % · 26 Fälle
- TikTok Technology Limited 530 Mio. € 13 % · 1 Fall
- Google LLC und Google Ireland Limited 325 Mio. € 8 % · 1 Fall
- LinkedIn Ireland Unlimited Company 310 Mio. € 7 % · 1 Fall
- Meta Platforms Ireland Limited 251 Mio. € 6 % · 1 Fall
- ByteDance Brasil Tecnologia Ltda. (TikTok) 25,6 Mio. € 1 % · 1 Fall
- Reddit, Inc. 16,6 Mio. € 0 % · 1 Fall
- Meta Platforms, Inc. 14,4 Mio. € 0 % · 2 Fälle
- Disney Worldwide Services, Inc. und Disney Entertainment Operations LLC 8,48 Mio. € 0 % · 1 Fall
- Netflix International B.V. 4,75 Mio. € 0 % · 1 Fall
- 13 weitere7,71 Mio. €
Wann?
je Jahr, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| 2022 | 6 | 931,7 Mio. € |
| 2023 | 13 | 1,62 Mrd. € |
| 2024 | 13 | 673,6 Mio. € |
| 2025 | 11 | 867,1 Mio. € |
| 2026 | 7 | 46,3 Mio. € |
50 Fälle
24.08.2026 ByteDance Brasil Tecnologia Ltda. (TikTok)ANPD: 153,77 Mio. BRL Bußgeld gegen TikTok-Betreiber wegen Daten Minderjähriger 25,6 Mio. €
Die brasilianische Datenschutzbehörde ANPD verhängte gegen die ByteDance Brasil Tecnologia Ltda., Betreiberin von TikTok in Brasilien, drei Geldbußen von zusammen 153.769.671,33 BRL (je 63.176.686,67 BRL wegen Verstößen gegen Art. 7 und Art. 6 VIII LGPD sowie 27.416.297,99 BRL wegen Art. 6 X LGPD). Nach der Entscheidung wurden Daten von Kindern und Jugendlichen sowohl im Feed ohne Registrierung als auch bei der Kontoeröffnung ohne gültige Rechtsgrundlage verarbeitet, und wirksame Vorbeugungs- und Nachweismaßnahmen fehlten. Zusätzlich ordnete die Behörde die Löschung der Daten registrierter Jugendlicher zwischen 13 und 18 Jahren an, deren gesetzliche Vertretung nicht binnen 60 Arbeitstagen geregelt wird, abgesichert durch ein Zwangsgeld von 137.081,49 BRL je Tag Verzug.
Plattformen, die Minderjährige erreichen, brauchen eine tragfähige Rechtsgrundlage und nachweislich wirksame Schutzmaßnahmen – auch für Angebote ohne Registrierung.
Schutz der Daten von Kindern und Jugendlichen auf Online-Plattformen
- Behörde / Gericht
- Agência Nacional de Proteção de Dados (ANPD), Superintendência de Fiscalização
- Rechtsgebiet
- Datenschutz
- Rechtsgrundlage
- Art. 6 VIII, Art. 6 X und Art. 7 LGPD (Lei nº 13.709/2018); Sanktionen nach Art. 52 LGPD; Resolução CD/ANPD nº 4/2023 (Regulamento de Dosimetria)
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 25.08.2026
Originalbetrag 153.769.671,33 BRL, umgerechnet zum EZB-Referenzkurs vom 24.08.2026.
- ANPD – Despacho Decisório nº 27/2026/CGS/SFI, Processo nº 00261.006648/2024-02 (ByteDance Brasil) Entscheidung einer Behörde
- ANPD – ANPD multa TikTok em R$ 153,7 milhões por falhas na proteção de dados de crianças e adolescentes (25.08.2026) Pressemitteilung einer Behörde
- Diário Oficial da União, 25.08.2026 – Despacho Decisório nº 27/2026/CGS/SFI Amtliches Register oder Bekanntmachung
- ANPD – Decisões em Processos Sancionadores (Übersicht) Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
26.05.2026 Mediaworks Hungary Zrt.Mediaworks Hungary: 50 Mio. HUF für Links auf geleakte Karte von Parteianhängern 140.706 €
Die Nachrichtenportale Origo und Magyar Nemzet des Verlags verlinkten am 7. November 2025 auf eine von Unbekannten erstellte Karte mit Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geokoordinaten und politischer Präferenz von Tisza-Sympathisanten; Ripost zeigte ein Bild mit dem Namen der Karte. Die Datenschutzbehörde stellte vorsätzliche Verstöße gegen Art. 6 und 9 DSGVO fest, untersagte die erneute Verbreitung und verhängte 50 Mio. HUF.
Auch das Verlinken auf geleakte Daten ist eine eigene Verarbeitung – Redaktionen brauchen eine Datenschutzprüfung vor Veröffentlichung.
Umgang mit geleakten personenbezogenen Daten in Redaktionen
- Behörde / Gericht
- Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
- Rechtsgebiet
- Datenschutz
- Rechtsgrundlage
- DSGVO Art. 6 Abs. 1, Art. 9 Abs. 1, Art. 58 Abs. 2 lit. b und f
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Verschulden
- vorsätzlich
- Veröffentlicht
- 26.05.2026
Originalbetrag 50.000.000 HUF, umgerechnet zum EZB-Referenzkurs vom 26.05.2026.
- NAIH/962-10/2026 – Határozat (Mediaworks Hungary Zrt.) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink
Fehler melden
14.04.2026 Gyldendal A/SGyldendal: Bußgeld wegen jahrelang gespeicherter Daten von 685.000 Ex-Buchclubmitgliedern Bußgeld
Der Verlag bewahrte Daten von rund 685.000 ehemaligen Buchclub-Mitgliedern in einer „passiven Datenbank“ auf, bei rund 395.000 mehr als zehn Jahre nach dem Austritt, ohne Löschregeln. Datatilsynet hatte 2022 ein Bußgeld von 1 Mio. DKK empfohlen; der Fall wurde am 14.04.2026 mit einem Bußgeldbescheid abgeschlossen, dessen Höhe in der Quelle nicht genannt ist.
Auch „passive“ Altbestände brauchen ein Löschkonzept – Speicherung ohne Zweck ist ein eigener Verstoß.
- Behörde / Gericht
- Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet
- Rechtsgebiet
- Datenschutz
- Rechtsgrundlage
- DSGVO Art. 5 Abs. 1 lit. e, Art. 5 Abs. 2
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Mildernde Umstände
- Kooperatives Verhalten; nur zwei Beschäftigte hatten Zugriff auf die passive Datenbank; Löschung nach dem Aufsichtsbesuch.
- Datatilsynet – Gyldendal indstilles til bøde (Opdatering: afgjort 14. april 2026) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.02.2026 Reddit, Inc.ICO: 14,47 Mio. Pfund gegen Reddit wegen Verarbeitung von Kinderdaten ohne Altersprüfung 16,6 Mio. €
Die ICO verhängte gegen Reddit, Inc. eine Geldbuße von 14.472.500 Pfund. Nach den Feststellungen der Behörde setzte die Plattform keine belastbare Altersprüfung ein und hatte daher keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten von Kindern unter 13 Jahren. Außerdem hatte Reddit nach Feststellung der ICO vor Januar 2025 keine Datenschutz-Folgenabschätzung zu den Risiken für Kinder durchgeführt. Die ICO sah Verstöße gegen Art. 5(1)(a), 6, 8 und 35 UK GDPR.
- Behörde / Gericht
- Information Commissioner's Office (ICO)
- Rechtsgebiet
- Datenschutz
- Rechtsgrundlage
- Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155 DPA 2018
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
Originalbetrag 14.472.500 GBP, umgerechnet zum EZB-Referenzkurs vom 23.02.2026.
- ICO Enforcement: Reddit, Inc. Enthält Informationen des Information Commissioner's Office, lizenziert unter der Open Government Licence v3.0. Durchsetzungsdatenbank einer Behörde
- Monetary Penalty Notice: Reddit, Inc. (23 February 2026) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink
Fehler melden
19.02.2026 Restaurant Partner Polska sp. z o.o. (Betreiberin der Plattform Glovo)Glovo Polen: 5,9 Mio. PLN für Ausweiskopien ohne Rechtsgrundlage 1,4 Mio. €
Die Lieferplattform verlangte seit 2019 bei Betrugsverdacht Scans oder Fotos von Personalausweisen und Pässen ihrer Nutzer und berief sich auf berechtigte Interessen. Die Datenschutzbehörde sah darin eine Verarbeitung ohne Rechtsgrundlage und einen Verstoß gegen Datenminimierung, verhängte 5.898.064 PLN und ordnete Stopp und Löschung an.
Betrugsprävention rechtfertigt keine Ausweiskopien – nur gesetzlich Befugte dürfen Dokumente vollständig erfassen.
Kopieren von Ausweisdokumenten und Datenminimierung
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- Art. 5 Abs. 1 lit. a und c, Art. 5 Abs. 2, Art. 6 Abs. 1 DSGVO (DKN.5112.33.2022)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Veröffentlicht
- 16.03.2026
Originalbetrag 5.898.064 PLN, umgerechnet zum EZB-Referenzkurs vom 19.02.2026.
- Nie można kopiować dokumentów bez podstawy prawnej - kara dla Glovo Pressemitteilung einer Behörde
- Decyzja DKN.5112.33.2022 z 19 lutego 2026 Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
11.02.2026 Disney DTC, LLC und ABC Enterprises, Inc. (The Walt Disney Company)Kalifornien: 2,75 Mio. $ gegen Disney wegen unvollständiger Opt-outs beim Streaming 2,31 Mio. €
Disney setzte Widersprüche gegen Verkauf und Weitergabe von Daten nur für einzelne Dienste oder Geräte um statt kontoweit, gab über eingebettete Ad-Tech-Anbieter weiter Daten heraus und bot in Connected-TV-Apps keinen Opt-out. Größter CCPA-Vergleich zum Zeitpunkt der Einigung.
Ein Opt-out muss über alle Dienste, Geräte und eingebundenen Drittanbieter eines Kontos wirken.
- Behörde / Gericht
- Attorney General of California (California Department of Justice)
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 11.02.2026
Originalbetrag 2.750.000 USD, umgerechnet zum EZB-Referenzkurs vom 11.02.2026.
- California Won't Let It Go: Attorney General Bonta Announces $2.75 Million Settlement with Disney Pressemitteilung einer Behörde
- Final Judgment and Permanent Injunction, People v. Disney DTC, LLC et al., LA Superior Court 26STCV04425 Gerichtsentscheidung
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
04.02.2026 MediaLab.AI, Inc.ICO: 247.590 Pfund gegen Imgur-Betreiber MediaLab wegen Kinderdaten ohne Altersprüfung 287.361 €
Die ICO verhängte gegen MediaLab.AI, Inc., die bis 30. September 2025 die Plattform Imgur im Vereinigten Königreich betrieb, eine Geldbuße von 247.590 Pfund. Nach den Feststellungen der ICO ließ Imgur Kinder unter 13 Jahren nach eigener Darstellung unter elterlicher Aufsicht zu und stützte sich auf Einwilligung als Rechtsgrundlage, hatte aber keine Möglichkeit, das Alter der Nutzer festzustellen und damit die erforderliche elterliche Einwilligung einzuholen. Die ICO sah daher keine wirksame Rechtsgrundlage und stellte zudem das Fehlen einer Datenschutz-Folgenabschätzung fest (Art. 5(1)(a), 6, 8 und 35 UK GDPR).
- Behörde / Gericht
- Information Commissioner's Office (ICO)
- Rechtsgebiet
- Datenschutz
- Rechtsgrundlage
- Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155(1)(a) DPA 2018
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
Originalbetrag 247.590 GBP, umgerechnet zum EZB-Referenzkurs vom 04.02.2026.
- ICO Enforcement: MediaLab.AI, Inc. Enthält Informationen des Information Commissioner's Office, lizenziert unter der Open Government Licence v3.0. Durchsetzungsdatenbank einer Behörde
- Penalty Notice: MediaLab.AI, Inc. (4 February 2026) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink
Fehler melden
23.12.2025 Disney Worldwide Services, Inc. und Disney Entertainment Operations LLCDisney: 10 Mio. USD wegen falsch gekennzeichneter Kindervideos auf YouTube 8,48 Mio. €
Das Bundesbezirksgericht für den Central District of California hat auf Klage des U.S. Department of Justice im Auftrag der FTC eine Anordnung gegen zwei Disney-Gesellschaften erlassen. Disney soll kindgerichtete Videos auf YouTube nicht als „Made for Kids“ gekennzeichnet haben, weil es die Einstufung nur kanalweise vornahm; dadurch konnten über YouTube Daten von Kindern unter 13 Jahren ohne Information und Einwilligung der Eltern erhoben und für zielgerichtete Werbung genutzt werden. Disney zahlt eine Zivilstrafe von 10.000.000 USD und muss ein Programm zur Prüfung und Kennzeichnung der Zielgruppe seiner Videos einrichten. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Wer Inhalte über fremde Plattformen verbreitet, bleibt für deren Datenschutz-Einstellungen verantwortlich – Voreinstellungen auf Kanalebene müssen je Inhalt geprüft werden.
Kinderdatenschutz bei Inhalten auf Drittplattformen; Pflege von Plattform-Einstellungen
- Behörde / Gericht
- Federal Trade Commission (FTC); Klage durch das U.S. Department of Justice, Anordnung des U.S. District Court for the Central District of California
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- COPPA Rule, 16 C.F.R. Part 312; Children's Online Privacy Protection Act, 15 U.S.C. §§ 6502(c), 6505(d); Verfahren nach 15 U.S.C. §§ 45(m)(1)(A), 53(b)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 31.12.2025
Originalbetrag 10.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.12.2025.
- U.S. v. Disney Worldwide Services, Inc. et al., No. 2:25-cv-08223 (C.D. Cal.), Order for Permanent Injunction, Civil Penalty Judgment, and Other Relief (23.12.2025) Gerichtsentscheidung
- FTC-Pressemitteilung: Court Approves Order Requiring Disney to Pay $10 Million to Settle FTC Allegations (31.12.2025) Pressemitteilung einer Behörde
- FTC-Pressemitteilung: Disney to Pay $10 Million to Settle FTC Allegations the Company Enabled the Unlawful Collection of Children's Personal Data (02.09.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
02.12.2025 Russmedia Digital SRLEuGH: Online-Marktplatz haftet als Verantwortlicher für Daten in Nutzeranzeigen –
Auf dem rumänischen Marktplatz publi24.ro erschien eine gefälschte Anzeige mit Fotos und Telefonnummer einer Frau, die sexuelle Dienste anbiete. Der EuGH entschied, dass der Betreiber Verantwortlicher im Sinne der DSGVO ist, Anzeigen mit sensiblen Daten vor Veröffentlichung erkennen und die Identität bzw. Einwilligung prüfen muss und sich nicht auf das Haftungsprivileg der E-Commerce-Richtlinie berufen kann.
Plattformen mit Nutzerinhalten müssen sensible Daten vor Veröffentlichung technisch erkennen und prüfen – Notice-and-Takedown allein reicht nicht.
- Behörde / Gericht
- Gerichtshof der Europäischen Union (Große Kammer), Rs. C-492/23
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- DSGVO (Verantwortlicher, Art. 9, Art. 32); Richtlinie 2000/31/EG
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Veröffentlicht
- 02.12.2025
- Press Release No 150/25: Judgment of the Court in Case C-492/23 Russmedia Digital and Inform Media Press Pressemitteilung eines Gerichts
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
21.11.2025 Jam City, Inc.Jam City: 1,4 Mio. USD in Kalifornien wegen fehlender Opt-outs in 21 Spiele-Apps 1,22 Mio. €
Auf Klage des kalifornischen Generalstaatsanwalts hat der Superior Court in Los Angeles ein Vergleichsurteil gegen den Entwickler von Mobile-Games Jam City erlassen. Nach den Ermittlungen bot Jam City in keiner seiner 21 Apps eine dem California Consumer Privacy Act (CCPA) entsprechende Möglichkeit, dem Verkauf oder der Weitergabe personenbezogener Daten für personalisierte Werbung zu widersprechen, und einige Spiele gaben Daten von Jugendlichen zwischen 13 und 16 Jahren ohne deren ausdrückliche Einwilligung weiter. Jam City zahlt 1.400.000 USD, muss Widerspruchsmöglichkeiten in den Apps anbieten, Daten unter 16-Jähriger nur mit Opt-in verkaufen oder weitergeben und die Empfänger zur Löschung solcher Daten auffordern. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Wer über Apps Daten für Werbung weitergibt, muss den Widerspruch dort ermöglichen, wo die Daten anfallen – direkt in der App.
Widerspruchsrecht gegen Datenverkauf in Apps; Schutz Minderjähriger bei Werbe-Tracking
- Behörde / Gericht
- Superior Court of California, County of Los Angeles, auf Klage des Attorney General of California (California Department of Justice)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA), Cal. Civ. Code § 1798.100 ff.; Zahlung nach Cal. Civ. Code § 1798.199.90
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Veröffentlicht
- 21.11.2025
Originalbetrag 1.400.000 USD, umgerechnet zum EZB-Referenzkurs vom 21.11.2025.
- People v. Jam City, Inc., Case No. 25STCV34029, Superior Court Los Angeles, Final Judgment and Permanent Injunction (21.11.2025) Gerichtsentscheidung
- California DOJ, Pressemitteilung: Attorney General Bonta Secures $1.4 Million Settlement with Mobile App Gaming Company (21.11.2025) Pressemitteilung einer Behörde
- California DOJ: Privacy Enforcement Actions (Übersicht) Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
20.11.2025 Les Publications Condé NastCNIL: 750.000 Euro gegen Vanity-Fair-Verlag Condé Nast wegen Cookies ohne Einwilligung 750.000 €
Auf vanityfair.fr wurden einwilligungspflichtige Cookies schon vor jeder Interaktion mit dem Banner gesetzt, Tracker als „unbedingt erforderlich“ ausgewiesen und auch nach „Alle ablehnen“ weiter Cookies platziert. Der Verlag war nach einer Beschwerde von noyb bereits 2021 abgemahnt worden; Nachkontrollen 2023 und 2025 zeigten fortbestehende Verstöße.
Ein Cookie-Banner muss technisch halten, was er verspricht: Nach „Ablehnen“ darf kein Tracker mehr gesetzt werden, und das ist regelmäßig zu testen.
- Behörde / Gericht
- Commission nationale de l'informatique et des libertés (CNIL)
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- Art. 82 Loi Informatique et Libertés
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Wiederholungsfall
- ja
- Veröffentlicht
- 27.11.2025
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
22.10.2025 Incruit CorporationIncruit: 463 Mio. KRW nach erneutem Datenleck bei 7,3 Mio. Jobsuchenden 278.912 €
Angreifer infizierten im Januar 2025 den Arbeitsrechner eines Beschäftigten des Online-Stellenportals Incruit mit Schadsoftware, übernahmen dessen Datenbankzugang und leiteten bis Februar 2025 Daten aller 7.275.843 Mitglieder sowie 54.475 gespeicherte Lebensläufe, Anschreiben und Zeugniskopien ab (insgesamt 438 GB). Trotz auffälliger Datenbankzugriffe außerhalb der Geschäftszeiten bemerkte das Unternehmen den Abfluss erst durch eine Erpressungsnachricht; bereits im Juli 2023 war es wegen mangelhafter Zugriffskontrollen sanktioniert worden. Die Behörde verhängte ein Bußgeld (Penalty Surcharge) von 463.000.000 KRW und ordnete die Benennung eines fachkundigen Datenschutzbeauftragten sowie einen Plan zur Vermeidung weiterer Vorfälle und zur Unterstützung der Betroffenen an.
Wer nach einem ersten Vorfall nur punktuell nachbessert, riskiert eine höhere Strafe – Datenbankzugriffe außerhalb der Geschäftszeiten müssen Alarm auslösen.
Schadsoftware auf Arbeitsplatzrechnern und Erkennung ungewöhnlicher Zugriffe
- Behörde / Gericht
- Personal Information Protection Commission (PIPC, 개인정보보호위원회)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Personal Information Protection Act (개인정보 보호법) Art. 29; Sanktion nach Art. 64-2(1) Nr. 9
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Wiederholungsfall
- ja
- Mildernde Umstände
- Minderung um 55 %, weil kein Vorteil erzielt wurde und das Unternehmen ein mittleres Unternehmen nach dem koreanischen KMU-Rahmengesetz ist, sowie um weitere 20 % wegen Kooperation, Abhilfe und Selbstregulierung; Erhöhung um 65 % wegen einer Verstoßdauer von über zwei Jahren und der Sanktion vom Juli 2023.
- Haftung von Führungskräften
- Angeordnet wurde, einen fachkundigen Datenschutzbeauftragten (CPO) neu zu benennen und seine Verantwortung klar festzulegen.
- Veröffentlicht
- 23.10.2025
Originalbetrag 463.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 22.10.2025.
- PIPC, 심의·의결서 제2025-022-256호 (인크루트(주)), 22.10.2025 Entscheidung einer Behörde
- PIPC, Entscheidungsdatenbank (위원회 결정문), Eintrag 2025조이0034 Durchsetzungsdatenbank einer Behörde
- PIPC-Pressemitteilung vom 23.10.2025: 취업 준비생 개인정보를 유출한 인크루트에 과징금 4.6억원 부과 Pressemitteilung einer Behörde
- PIPC press release (English), 24.10.2025: The PIPC Sanctions Incruit over Data Breach Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink
Fehler melden
23.09.2025 TikTok Pte. Ltd.Kanadische Aufsichten: TikTok schützte Kinderdaten unzureichend Sonstiges
Die gemeinsame Untersuchung ergab, dass jährlich Hunderttausende Kinder trotz Mindestalter 13 die Plattform nutzten und TikTok ohne wirksame Einwilligung Daten auch für Profilbildung und Werbung verarbeitete. TikTok sagte bessere Altersprüfung und verständlichere Datenschutzhinweise zu und stellte schon während der Untersuchung gezielte Werbung an unter 18-Jährige weitgehend ein (außer nach groben Kategorien wie Sprache und ungefährem Ort).
Altersgrenzen in den Nutzungsbedingungen genügen nicht – Plattformen brauchen wirksame Altersprüfung und kindgerechte Transparenz.
- Behörde / Gericht
- Office of the Privacy Commissioner of Canada gemeinsam mit den Aufsichten von Québec, British Columbia und Alberta
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- PIPEDA und Datenschutzgesetze für den Privatsektor von Québec, British Columbia und Alberta
- Maßnahme
- Sonstiges
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 23.09.2025
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
01.09.2025 Google LLC und Google Ireland LimitedGoogle: 325 Mio. EUR – Werbe-Cookies bei Kontoerstellung und Werbung im Gmail-Posteingang 325 Mio. €
Nutzer wurden bei der Erstellung eines Google-Kontos nicht ausreichend darüber informiert, dass dabei zwingend Werbe-Cookies gesetzt werden; zudem zeigte Google in Gmail zwischen den E-Mails Werbeanzeigen ohne vorherige Einwilligung. Die CNIL verhängte 200 Mio. EUR gegen Google LLC und 125 Mio. EUR gegen Google Ireland und ordnete Abhilfe binnen sechs Monaten unter Androhung von 100.000 EUR Zwangsgeld pro Tag an.
Werbe-Cookies dürfen nicht stillschweigend an eine Kontoerstellung gekoppelt werden – und Werbung im Postfach gilt als Direktwerbung, die eine Einwilligung braucht.
- Behörde / Gericht
- Commission nationale de l'informatique et des libertés (CNIL), formation restreinte
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- Art. 82 Loi Informatique et Libertés; Art. L. 34-5 Code des postes et des communications électroniques
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
06.08.2025 DSB: Geldstrafe gegen Nachrichtenportal, das Anweisung zum Cookie-Banner ignorierte 6.200 €
Die DSB hatte einem lokalen Nachrichtenportal (Medien-GmbH & Co KG, Name pseudonymisiert) 2023 per Bescheid aufgetragen, auf der ersten Ebene des Cookie-Banners eine gleichwertige Option zum Schließen ohne Einwilligung anzubieten. Weil das Unternehmen dies von Oktober 2024 bis mindestens März 2025 nicht umsetzte, verhängte die DSB 6.200 Euro wegen Nichtbefolgung einer Anweisung; das Straferkenntnis ist rechtskräftig.
Anordnungen der Aufsicht sind fristgerecht umzusetzen – wer sie ignoriert, riskiert ein eigenes Bußgeld zusätzlich zum ursprünglichen Verstoß.
- Behörde / Gericht
- Datenschutzbehörde (DSB)
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- Art. 58 Abs. 2 lit. d i. V. m. Art. 83 Abs. 6 DSGVO; Art. 7 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- DSB Straferkenntnis GZ 2025-0.276.820 vom 06.08.2025 (RIS) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
01.07.2025 Healthline Media LLCKalifornien: 1,55 Mio. $ gegen Healthline wegen Weitergabe krankheitsbezogener Artikeltitel 1,31 Mio. €
Das Gesundheitsportal gab trotz Widerspruchs weiter Daten an Werbepartner und übermittelte Artikeltitel, die auf Diagnosen schließen lassen, für zielgerichtete Werbung; das Consent-Banner stoppte das Tracking nicht. Zudem fehlten vorgeschriebene Vertragsklauseln mit Werbepartnern.
Consent-Banner technisch testen: Wenn die Ablehnung Tracking nicht wirklich abschaltet, ist das irreführend und rechtswidrig.
- Behörde / Gericht
- Attorney General of California (California Department of Justice)
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA), Unfair Competition Law
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Veröffentlicht
- 01.07.2025
Originalbetrag 1.550.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.07.2025.
- Attorney General Bonta Announces Largest CCPA Settlement to Date, Secures $1.55 Million from Healthline.com Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
02.05.2025 TikTok Technology LimitedDPC: 530 Mio. Euro gegen TikTok wegen Datenzugriffen aus China 530 Mio. €
TikTok ließ Beschäftigte in China per Fernzugriff auf Daten europäischer Nutzer zugreifen, ohne zu prüfen und nachzuweisen, dass Standardvertragsklauseln und Zusatzmaßnahmen ein gleichwertiges Schutzniveau gegenüber chinesischen Behördenzugriffen sichern; zudem informierte es Nutzer unzureichend. Die DPC verhängte 530 Mio. Euro und ordnete an, die Übermittlungen binnen sechs Monaten rechtskonform zu gestalten oder auszusetzen.
Auch reiner Fernzugriff aus einem Drittland ist eine Übermittlung – ohne dokumentierte Transferfolgenabschätzung drohen Bußgeld und Stopp.
- Behörde / Gericht
- Data Protection Commission (DPC)
- Rechtsgebiet
- Datenschutz · Internationale Datentransfers
- Rechtsgrundlage
- Art. 46 Abs. 1, Art. 13 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 02.05.2025
- Irish Data Protection Commission fines TikTok €530 million and orders corrective measures Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
06.03.2025 Polskie Radio – Regionalna Rozgłośnia w Szczecinie „Radio Szczecin” S.A.Polskie Radio Szczecin: 56.824 PLN wegen fehlender Datenschutzprüfung vor Veröffentlichung 13.604 €
Nach einem Beitrag, durch den ein minderjähriges Opfer identifizierbar wurde, stellte eine Kontrolle fest, dass der Sender keine Risikoanalyse für die Redaktionsarbeit, keine Regeln zur Prüfung personenbezogener Daten vor Veröffentlichung und keine Verschlüsselung mobiler Datenträger hatte. Die Behörde verhängte 56.824 PLN; das Verwaltungsgericht Warschau wies die Klage am 18. März 2026 ab.
Redaktionen brauchen eine Datenschutzprüfung vor der Veröffentlichung – das Medienprivileg ersetzt keine technisch-organisatorischen Maßnahmen.
Schutz Betroffener in Presseberichten; Verschlüsselung von Datenträgern
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 24 Abs. 1, Art. 32 Abs. 1 und 2 DSGVO (DKN.5112.10.2024)
- Maßnahme
- Bußgeld
- Verfahrensstand
- angefochten
- Branche
- Medien und Online-Plattformen
- Veröffentlicht
- 11.03.2025
Originalbetrag 56.824 PLN, umgerechnet zum EZB-Referenzkurs vom 06.03.2025.
- Kara dla Polskiego Radia Szczecin za brak procedur chroniących prawa bohaterów publikacji Pressemitteilung einer Behörde
- WSA oddalił skargę na decyzję Prezesa UODO w sprawie kary dla Radia Szczecin Pressemitteilung einer Behörde
- Decyzja DKN.5112.10.2024 z 6 marca 2025 Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
17.12.2024 Meta Platforms Ireland LimitedIrland: 251 Mio. € gegen Meta wegen Datenpanne und mangelhafter Meldung 251 Mio. €
2018 nutzten Angreifer eine Lücke in der Funktion „Anzeigen aus Sicht von“ und erlangten Zugriff auf rund 29 Mio. Konten, davon etwa 3 Mio. im EWR. Die DPC verhängte 8 Mio. € (Art. 33 Abs. 3) und 3 Mio. € (Art. 33 Abs. 5) wegen unvollständiger Meldung und Dokumentation sowie 130 Mio. € und 110 Mio. € wegen Verstößen gegen Datenschutz durch Technikgestaltung (Art. 25 Abs. 1 und 2).
Eine Datenpannenmeldung muss vollständig sein und jede Panne intern nachvollziehbar dokumentiert werden.
- Behörde / Gericht
- Data Protection Commission (DPC)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- DSGVO Art. 33 Abs. 3 und 5, Art. 25 Abs. 1 und 2
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 17.12.2024
- Irish Data Protection Commission fines Meta €251 Million Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink
Fehler melden
17.12.2024 Meta Platforms, Inc.Meta: 50 Mio. AUD Zahlungsprogramm für australische Betroffene von Cambridge Analytica Sonstiges
Zur Beendigung des seit März 2020 vor dem Federal Court geführten Zivilstrafverfahrens nahm der Australian Information Commissioner eine Verpflichtungszusage (enforceable undertaking) von Meta Platforms an, mit der Meta ein Zahlungsprogramm über 50 Mio. AUD für australische Facebook-Nutzer einrichtet, deren Daten an die App „This is Your Digital Life“ weitergegeben worden sein könnten. Die Behörde hatte Meta mutmaßlich schwerwiegende oder wiederholte Verstöße gegen APP 6.1 und 11.1 vorgeworfen; die Zusage erfolgte ohne Anerkennung einer Haftung, und das Verfahren wurde zurückgenommen. Nicht ausgeschöpfte Mittel fließen in den Bundeshaushalt; zusätzlich beteiligte sich Meta an den Verfahrenskosten der Behörde.
Plattformen müssen kontrollieren, welche Daten Drittanbieter-Apps über Nutzer und deren Kontakte abrufen können.
Datenzugriffe von Drittanbieter-Apps über Schnittstellen kontrollieren
- Behörde / Gericht
- Office of the Australian Information Commissioner (OAIC)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Regulatory Powers (Standard Provisions) Act 2014 (Cth) s 114; Vorwurf: Privacy Act 1988 (Cth) s 13G i. V. m. APP 6.1 und 11.1
- Maßnahme
- Sonstiges
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Mildernde Umstände
- Laut Zusage lässt Meta Drittanbieter-Apps nicht mehr auf Daten von Facebook-Freunden zugreifen, die die App nicht selbst installiert und freigegeben haben, hat die abrufbaren Datenfelder verringert, feinere Berechtigungen eingeführt und prüft App-Entwickler regelmäßig.
- Veröffentlicht
- 17.12.2024
- OAIC: Landmark settlement of $50m from Meta for Australian users impacted by Cambridge Analytica incident (17.12.2024) Pressemitteilung einer Behörde
- OAIC: Meta Platforms, Inc.: enforceable undertaking (17 December 2024) Amtliches Register oder Bekanntmachung
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink