Compliance-Radar

Wer wurde wofür sanktioniert?

Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.

50Fälle aus 24 Jurisdiktionen
4,14 Mrd. €Summe der Geldbeträge (38 Fälle mit Betrag)
5,25 Mio. €Median je Fall mit Betrag

Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.

Wann?

je Jahr, nach Entscheidungsdatum
Verlauf
ZeitraumFälleSumme
20226931,7 Mio. €
2023131,62 Mrd. €
202413673,6 Mio. €
202511867,1 Mio. €
2026746,3 Mio. €

50 Fälle

24.08.2026 ByteDance Brasil Tecnologia Ltda. (TikTok)ANPD: 153,77 Mio. BRL Bußgeld gegen TikTok-Betreiber wegen Daten Minderjähriger BrasilienDatenschutz 25,6 Mio. €

Die brasilianische Datenschutzbehörde ANPD verhängte gegen die ByteDance Brasil Tecnologia Ltda., Betreiberin von TikTok in Brasilien, drei Geldbußen von zusammen 153.769.671,33 BRL (je 63.176.686,67 BRL wegen Verstößen gegen Art. 7 und Art. 6 VIII LGPD sowie 27.416.297,99 BRL wegen Art. 6 X LGPD). Nach der Entscheidung wurden Daten von Kindern und Jugendlichen sowohl im Feed ohne Registrierung als auch bei der Kontoeröffnung ohne gültige Rechtsgrundlage verarbeitet, und wirksame Vorbeugungs- und Nachweismaßnahmen fehlten. Zusätzlich ordnete die Behörde die Löschung der Daten registrierter Jugendlicher zwischen 13 und 18 Jahren an, deren gesetzliche Vertretung nicht binnen 60 Arbeitstagen geregelt wird, abgesichert durch ein Zwangsgeld von 137.081,49 BRL je Tag Verzug.

Was Unternehmen daraus mitnehmen

Plattformen, die Minderjährige erreichen, brauchen eine tragfähige Rechtsgrundlage und nachweislich wirksame Schutzmaßnahmen – auch für Angebote ohne Registrierung.

Bezug zu Schulung und Awareness

Schutz der Daten von Kindern und Jugendlichen auf Online-Plattformen

Behörde / Gericht
Agência Nacional de Proteção de Dados (ANPD), Superintendência de Fiscalização
Rechtsgebiet
Datenschutz
Rechtsgrundlage
Art. 6 VIII, Art. 6 X und Art. 7 LGPD (Lei nº 13.709/2018); Sanktionen nach Art. 52 LGPD; Resolução CD/ANPD nº 4/2023 (Regulamento de Dosimetria)
Maßnahme
Bußgeld
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen
Beschäftigte
10.000 und mehr
Veröffentlicht
25.08.2026

Originalbetrag 153.769.671,33 BRL, umgerechnet zum EZB-Referenzkurs vom 24.08.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

26.05.2026 Mediaworks Hungary Zrt.Mediaworks Hungary: 50 Mio. HUF für Links auf geleakte Karte von Parteianhängern UngarnDatenschutz 140.706 €

Die Nachrichtenportale Origo und Magyar Nemzet des Verlags verlinkten am 7. November 2025 auf eine von Unbekannten erstellte Karte mit Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geokoordinaten und politischer Präferenz von Tisza-Sympathisanten; Ripost zeigte ein Bild mit dem Namen der Karte. Die Datenschutzbehörde stellte vorsätzliche Verstöße gegen Art. 6 und 9 DSGVO fest, untersagte die erneute Verbreitung und verhängte 50 Mio. HUF.

Was Unternehmen daraus mitnehmen

Auch das Verlinken auf geleakte Daten ist eine eigene Verarbeitung – Redaktionen brauchen eine Datenschutzprüfung vor Veröffentlichung.

Bezug zu Schulung und Awareness

Umgang mit geleakten personenbezogenen Daten in Redaktionen

Behörde / Gericht
Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
Rechtsgebiet
Datenschutz
Rechtsgrundlage
DSGVO Art. 6 Abs. 1, Art. 9 Abs. 1, Art. 58 Abs. 2 lit. b und f
Maßnahme
Bußgeld
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen
Verschulden
vorsätzlich
Veröffentlicht
26.05.2026

Originalbetrag 50.000.000 HUF, umgerechnet zum EZB-Referenzkurs vom 26.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

14.04.2026 Gyldendal A/SGyldendal: Bußgeld wegen jahrelang gespeicherter Daten von 685.000 Ex-Buchclubmitgliedern DänemarkDatenschutz Bußgeld

Der Verlag bewahrte Daten von rund 685.000 ehemaligen Buchclub-Mitgliedern in einer „passiven Datenbank“ auf, bei rund 395.000 mehr als zehn Jahre nach dem Austritt, ohne Löschregeln. Datatilsynet hatte 2022 ein Bußgeld von 1 Mio. DKK empfohlen; der Fall wurde am 14.04.2026 mit einem Bußgeldbescheid abgeschlossen, dessen Höhe in der Quelle nicht genannt ist.

Was Unternehmen daraus mitnehmen

Auch „passive“ Altbestände brauchen ein Löschkonzept – Speicherung ohne Zweck ist ein eigener Verstoß.

Behörde / Gericht
Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet
Rechtsgebiet
Datenschutz
Rechtsgrundlage
DSGVO Art. 5 Abs. 1 lit. e, Art. 5 Abs. 2
Maßnahme
Bußgeld
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen
Mildernde Umstände
Kooperatives Verhalten; nur zwei Beschäftigte hatten Zugriff auf die passive Datenbank; Löschung nach dem Aufsichtsbesuch.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

23.02.2026 Reddit, Inc.ICO: 14,47 Mio. Pfund gegen Reddit wegen Verarbeitung von Kinderdaten ohne Altersprüfung Vereinigtes KönigreichDatenschutz 16,6 Mio. €

Die ICO verhängte gegen Reddit, Inc. eine Geldbuße von 14.472.500 Pfund. Nach den Feststellungen der Behörde setzte die Plattform keine belastbare Altersprüfung ein und hatte daher keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten von Kindern unter 13 Jahren. Außerdem hatte Reddit nach Feststellung der ICO vor Januar 2025 keine Datenschutz-Folgenabschätzung zu den Risiken für Kinder durchgeführt. Die ICO sah Verstöße gegen Art. 5(1)(a), 6, 8 und 35 UK GDPR.

Behörde / Gericht
Information Commissioner's Office (ICO)
Rechtsgebiet
Datenschutz
Rechtsgrundlage
Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155 DPA 2018
Maßnahme
Bußgeld
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen

Originalbetrag 14.472.500 GBP, umgerechnet zum EZB-Referenzkurs vom 23.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

19.02.2026 Restaurant Partner Polska sp. z o.o. (Betreiberin der Plattform Glovo)Glovo Polen: 5,9 Mio. PLN für Ausweiskopien ohne Rechtsgrundlage PolenBetroffenenrechte und Transparenz 1,4 Mio. €

Die Lieferplattform verlangte seit 2019 bei Betrugsverdacht Scans oder Fotos von Personalausweisen und Pässen ihrer Nutzer und berief sich auf berechtigte Interessen. Die Datenschutzbehörde sah darin eine Verarbeitung ohne Rechtsgrundlage und einen Verstoß gegen Datenminimierung, verhängte 5.898.064 PLN und ordnete Stopp und Löschung an.

Was Unternehmen daraus mitnehmen

Betrugsprävention rechtfertigt keine Ausweiskopien – nur gesetzlich Befugte dürfen Dokumente vollständig erfassen.

Bezug zu Schulung und Awareness

Kopieren von Ausweisdokumenten und Datenminimierung

Behörde / Gericht
Prezes Urzędu Ochrony Danych Osobowych (UODO)
Rechtsgebiet
Datenschutz · Betroffenenrechte und Transparenz
Rechtsgrundlage
Art. 5 Abs. 1 lit. a und c, Art. 5 Abs. 2, Art. 6 Abs. 1 DSGVO (DKN.5112.33.2022)
Maßnahme
Bußgeld
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen
Veröffentlicht
16.03.2026

Originalbetrag 5.898.064 PLN, umgerechnet zum EZB-Referenzkurs vom 19.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

11.02.2026 Disney DTC, LLC und ABC Enterprises, Inc. (The Walt Disney Company)Kalifornien: 2,75 Mio. $ gegen Disney wegen unvollständiger Opt-outs beim Streaming USA, CACookies und Tracking 2,31 Mio. €

Disney setzte Widersprüche gegen Verkauf und Weitergabe von Daten nur für einzelne Dienste oder Geräte um statt kontoweit, gab über eingebettete Ad-Tech-Anbieter weiter Daten heraus und bot in Connected-TV-Apps keinen Opt-out. Größter CCPA-Vergleich zum Zeitpunkt der Einigung.

Was Unternehmen daraus mitnehmen

Ein Opt-out muss über alle Dienste, Geräte und eingebundenen Drittanbieter eines Kontos wirken.

Behörde / Gericht
Attorney General of California (California Department of Justice)
Rechtsgebiet
Datenschutz · Cookies und Tracking
Rechtsgrundlage
California Consumer Privacy Act (CCPA)
Maßnahme
Bußgeld
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen
Beschäftigte
10.000 und mehr
Veröffentlicht
11.02.2026

Originalbetrag 2.750.000 USD, umgerechnet zum EZB-Referenzkurs vom 11.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

04.02.2026 MediaLab.AI, Inc.ICO: 247.590 Pfund gegen Imgur-Betreiber MediaLab wegen Kinderdaten ohne Altersprüfung Vereinigtes KönigreichDatenschutz 287.361 €

Die ICO verhängte gegen MediaLab.AI, Inc., die bis 30. September 2025 die Plattform Imgur im Vereinigten Königreich betrieb, eine Geldbuße von 247.590 Pfund. Nach den Feststellungen der ICO ließ Imgur Kinder unter 13 Jahren nach eigener Darstellung unter elterlicher Aufsicht zu und stützte sich auf Einwilligung als Rechtsgrundlage, hatte aber keine Möglichkeit, das Alter der Nutzer festzustellen und damit die erforderliche elterliche Einwilligung einzuholen. Die ICO sah daher keine wirksame Rechtsgrundlage und stellte zudem das Fehlen einer Datenschutz-Folgenabschätzung fest (Art. 5(1)(a), 6, 8 und 35 UK GDPR).

Behörde / Gericht
Information Commissioner's Office (ICO)
Rechtsgebiet
Datenschutz
Rechtsgrundlage
Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155(1)(a) DPA 2018
Maßnahme
Bußgeld
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen

Originalbetrag 247.590 GBP, umgerechnet zum EZB-Referenzkurs vom 04.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

23.12.2025 Disney Worldwide Services, Inc. und Disney Entertainment Operations LLCDisney: 10 Mio. USD wegen falsch gekennzeichneter Kindervideos auf YouTube USAWerbung und Einwilligung 8,48 Mio. €

Das Bundesbezirksgericht für den Central District of California hat auf Klage des U.S. Department of Justice im Auftrag der FTC eine Anordnung gegen zwei Disney-Gesellschaften erlassen. Disney soll kindgerichtete Videos auf YouTube nicht als „Made for Kids“ gekennzeichnet haben, weil es die Einstufung nur kanalweise vornahm; dadurch konnten über YouTube Daten von Kindern unter 13 Jahren ohne Information und Einwilligung der Eltern erhoben und für zielgerichtete Werbung genutzt werden. Disney zahlt eine Zivilstrafe von 10.000.000 USD und muss ein Programm zur Prüfung und Kennzeichnung der Zielgruppe seiner Videos einrichten. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Was Unternehmen daraus mitnehmen

Wer Inhalte über fremde Plattformen verbreitet, bleibt für deren Datenschutz-Einstellungen verantwortlich – Voreinstellungen auf Kanalebene müssen je Inhalt geprüft werden.

Bezug zu Schulung und Awareness

Kinderdatenschutz bei Inhalten auf Drittplattformen; Pflege von Plattform-Einstellungen

Behörde / Gericht
Federal Trade Commission (FTC); Klage durch das U.S. Department of Justice, Anordnung des U.S. District Court for the Central District of California
Rechtsgebiet
Datenschutz · Werbung und Einwilligung
Rechtsgrundlage
COPPA Rule, 16 C.F.R. Part 312; Children's Online Privacy Protection Act, 15 U.S.C. §§ 6502(c), 6505(d); Verfahren nach 15 U.S.C. §§ 45(m)(1)(A), 53(b)
Maßnahme
Bußgeld
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen
Beschäftigte
10.000 und mehr
Veröffentlicht
31.12.2025

Originalbetrag 10.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.12.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

02.12.2025 Russmedia Digital SRLEuGH: Online-Marktplatz haftet als Verantwortlicher für Daten in Nutzeranzeigen EU-EbeneBetroffenenrechte und Transparenz –

Auf dem rumänischen Marktplatz publi24.ro erschien eine gefälschte Anzeige mit Fotos und Telefonnummer einer Frau, die sexuelle Dienste anbiete. Der EuGH entschied, dass der Betreiber Verantwortlicher im Sinne der DSGVO ist, Anzeigen mit sensiblen Daten vor Veröffentlichung erkennen und die Identität bzw. Einwilligung prüfen muss und sich nicht auf das Haftungsprivileg der E-Commerce-Richtlinie berufen kann.

Was Unternehmen daraus mitnehmen

Plattformen mit Nutzerinhalten müssen sensible Daten vor Veröffentlichung technisch erkennen und prüfen – Notice-and-Takedown allein reicht nicht.

Behörde / Gericht
Gerichtshof der Europäischen Union (Große Kammer), Rs. C-492/23
Rechtsgebiet
Datenschutz · Betroffenenrechte und Transparenz
Rechtsgrundlage
DSGVO (Verantwortlicher, Art. 9, Art. 32); Richtlinie 2000/31/EG
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen
Veröffentlicht
02.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

21.11.2025 Jam City, Inc.Jam City: 1,4 Mio. USD in Kalifornien wegen fehlender Opt-outs in 21 Spiele-Apps USA, CABetroffenenrechte und Transparenz 1,22 Mio. €

Auf Klage des kalifornischen Generalstaatsanwalts hat der Superior Court in Los Angeles ein Vergleichsurteil gegen den Entwickler von Mobile-Games Jam City erlassen. Nach den Ermittlungen bot Jam City in keiner seiner 21 Apps eine dem California Consumer Privacy Act (CCPA) entsprechende Möglichkeit, dem Verkauf oder der Weitergabe personenbezogener Daten für personalisierte Werbung zu widersprechen, und einige Spiele gaben Daten von Jugendlichen zwischen 13 und 16 Jahren ohne deren ausdrückliche Einwilligung weiter. Jam City zahlt 1.400.000 USD, muss Widerspruchsmöglichkeiten in den Apps anbieten, Daten unter 16-Jähriger nur mit Opt-in verkaufen oder weitergeben und die Empfänger zur Löschung solcher Daten auffordern. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Was Unternehmen daraus mitnehmen

Wer über Apps Daten für Werbung weitergibt, muss den Widerspruch dort ermöglichen, wo die Daten anfallen – direkt in der App.

Bezug zu Schulung und Awareness

Widerspruchsrecht gegen Datenverkauf in Apps; Schutz Minderjähriger bei Werbe-Tracking

Behörde / Gericht
Superior Court of California, County of Los Angeles, auf Klage des Attorney General of California (California Department of Justice)
Rechtsgebiet
Datenschutz · Betroffenenrechte und Transparenz
Rechtsgrundlage
California Consumer Privacy Act (CCPA), Cal. Civ. Code § 1798.100 ff.; Zahlung nach Cal. Civ. Code § 1798.199.90
Maßnahme
Bußgeld
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen
Veröffentlicht
21.11.2025

Originalbetrag 1.400.000 USD, umgerechnet zum EZB-Referenzkurs vom 21.11.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

20.11.2025 Les Publications Condé NastCNIL: 750.000 Euro gegen Vanity-Fair-Verlag Condé Nast wegen Cookies ohne Einwilligung FrankreichCookies und Tracking 750.000 €

Auf vanityfair.fr wurden einwilligungspflichtige Cookies schon vor jeder Interaktion mit dem Banner gesetzt, Tracker als „unbedingt erforderlich“ ausgewiesen und auch nach „Alle ablehnen“ weiter Cookies platziert. Der Verlag war nach einer Beschwerde von noyb bereits 2021 abgemahnt worden; Nachkontrollen 2023 und 2025 zeigten fortbestehende Verstöße.

Was Unternehmen daraus mitnehmen

Ein Cookie-Banner muss technisch halten, was er verspricht: Nach „Ablehnen“ darf kein Tracker mehr gesetzt werden, und das ist regelmäßig zu testen.

Behörde / Gericht
Commission nationale de l'informatique et des libertés (CNIL)
Rechtsgebiet
Datenschutz · Cookies und Tracking
Rechtsgrundlage
Art. 82 Loi Informatique et Libertés
Maßnahme
Bußgeld
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen
Wiederholungsfall
ja
Veröffentlicht
27.11.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

22.10.2025 Incruit CorporationIncruit: 463 Mio. KRW nach erneutem Datenleck bei 7,3 Mio. Jobsuchenden SüdkoreaDatenpannen und Datensicherheit 278.912 €

Angreifer infizierten im Januar 2025 den Arbeitsrechner eines Beschäftigten des Online-Stellenportals Incruit mit Schadsoftware, übernahmen dessen Datenbankzugang und leiteten bis Februar 2025 Daten aller 7.275.843 Mitglieder sowie 54.475 gespeicherte Lebensläufe, Anschreiben und Zeugniskopien ab (insgesamt 438 GB). Trotz auffälliger Datenbankzugriffe außerhalb der Geschäftszeiten bemerkte das Unternehmen den Abfluss erst durch eine Erpressungsnachricht; bereits im Juli 2023 war es wegen mangelhafter Zugriffskontrollen sanktioniert worden. Die Behörde verhängte ein Bußgeld (Penalty Surcharge) von 463.000.000 KRW und ordnete die Benennung eines fachkundigen Datenschutzbeauftragten sowie einen Plan zur Vermeidung weiterer Vorfälle und zur Unterstützung der Betroffenen an.

Was Unternehmen daraus mitnehmen

Wer nach einem ersten Vorfall nur punktuell nachbessert, riskiert eine höhere Strafe – Datenbankzugriffe außerhalb der Geschäftszeiten müssen Alarm auslösen.

Bezug zu Schulung und Awareness

Schadsoftware auf Arbeitsplatzrechnern und Erkennung ungewöhnlicher Zugriffe

Behörde / Gericht
Personal Information Protection Commission (PIPC, 개인정보보호위원회)
Rechtsgebiet
Datenschutz · Datenpannen und Datensicherheit
Rechtsgrundlage
Personal Information Protection Act (개인정보 보호법) Art. 29; Sanktion nach Art. 64-2(1) Nr. 9
Maßnahme
Bußgeld
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen
Wiederholungsfall
ja
Mildernde Umstände
Minderung um 55 %, weil kein Vorteil erzielt wurde und das Unternehmen ein mittleres Unternehmen nach dem koreanischen KMU-Rahmengesetz ist, sowie um weitere 20 % wegen Kooperation, Abhilfe und Selbstregulierung; Erhöhung um 65 % wegen einer Verstoßdauer von über zwei Jahren und der Sanktion vom Juli 2023.
Haftung von Führungskräften
Angeordnet wurde, einen fachkundigen Datenschutzbeauftragten (CPO) neu zu benennen und seine Verantwortung klar festzulegen.
Veröffentlicht
23.10.2025

Originalbetrag 463.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 22.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

23.09.2025 TikTok Pte. Ltd.Kanadische Aufsichten: TikTok schützte Kinderdaten unzureichend KanadaWerbung und Einwilligung Sonstiges

Die gemeinsame Untersuchung ergab, dass jährlich Hunderttausende Kinder trotz Mindestalter 13 die Plattform nutzten und TikTok ohne wirksame Einwilligung Daten auch für Profilbildung und Werbung verarbeitete. TikTok sagte bessere Altersprüfung und verständlichere Datenschutzhinweise zu und stellte schon während der Untersuchung gezielte Werbung an unter 18-Jährige weitgehend ein (außer nach groben Kategorien wie Sprache und ungefährem Ort).

Was Unternehmen daraus mitnehmen

Altersgrenzen in den Nutzungsbedingungen genügen nicht – Plattformen brauchen wirksame Altersprüfung und kindgerechte Transparenz.

Behörde / Gericht
Office of the Privacy Commissioner of Canada gemeinsam mit den Aufsichten von Québec, British Columbia und Alberta
Rechtsgebiet
Datenschutz · Werbung und Einwilligung
Rechtsgrundlage
PIPEDA und Datenschutzgesetze für den Privatsektor von Québec, British Columbia und Alberta
Maßnahme
Sonstiges
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen
Beschäftigte
10.000 und mehr
Veröffentlicht
23.09.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

01.09.2025 Google LLC und Google Ireland LimitedGoogle: 325 Mio. EUR – Werbe-Cookies bei Kontoerstellung und Werbung im Gmail-Posteingang FrankreichCookies und Tracking 325 Mio. €

Nutzer wurden bei der Erstellung eines Google-Kontos nicht ausreichend darüber informiert, dass dabei zwingend Werbe-Cookies gesetzt werden; zudem zeigte Google in Gmail zwischen den E-Mails Werbeanzeigen ohne vorherige Einwilligung. Die CNIL verhängte 200 Mio. EUR gegen Google LLC und 125 Mio. EUR gegen Google Ireland und ordnete Abhilfe binnen sechs Monaten unter Androhung von 100.000 EUR Zwangsgeld pro Tag an.

Was Unternehmen daraus mitnehmen

Werbe-Cookies dürfen nicht stillschweigend an eine Kontoerstellung gekoppelt werden – und Werbung im Postfach gilt als Direktwerbung, die eine Einwilligung braucht.

Behörde / Gericht
Commission nationale de l'informatique et des libertés (CNIL), formation restreinte
Rechtsgebiet
Datenschutz · Cookies und Tracking
Rechtsgrundlage
Art. 82 Loi Informatique et Libertés; Art. L. 34-5 Code des postes et des communications électroniques
Maßnahme
Bußgeld
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen
Beschäftigte
10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

06.08.2025 DSB: Geldstrafe gegen Nachrichtenportal, das Anweisung zum Cookie-Banner ignorierte ÖsterreichCookies und Tracking 6.200 €

Die DSB hatte einem lokalen Nachrichtenportal (Medien-GmbH & Co KG, Name pseudonymisiert) 2023 per Bescheid aufgetragen, auf der ersten Ebene des Cookie-Banners eine gleichwertige Option zum Schließen ohne Einwilligung anzubieten. Weil das Unternehmen dies von Oktober 2024 bis mindestens März 2025 nicht umsetzte, verhängte die DSB 6.200 Euro wegen Nichtbefolgung einer Anweisung; das Straferkenntnis ist rechtskräftig.

Was Unternehmen daraus mitnehmen

Anordnungen der Aufsicht sind fristgerecht umzusetzen – wer sie ignoriert, riskiert ein eigenes Bußgeld zusätzlich zum ursprünglichen Verstoß.

Behörde / Gericht
Datenschutzbehörde (DSB)
Rechtsgebiet
Datenschutz · Cookies und Tracking
Rechtsgrundlage
Art. 58 Abs. 2 lit. d i. V. m. Art. 83 Abs. 6 DSGVO; Art. 7 DSGVO
Maßnahme
Bußgeld
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

01.07.2025 Healthline Media LLCKalifornien: 1,55 Mio. $ gegen Healthline wegen Weitergabe krankheitsbezogener Artikeltitel USA, CACookies und Tracking 1,31 Mio. €

Das Gesundheitsportal gab trotz Widerspruchs weiter Daten an Werbepartner und übermittelte Artikeltitel, die auf Diagnosen schließen lassen, für zielgerichtete Werbung; das Consent-Banner stoppte das Tracking nicht. Zudem fehlten vorgeschriebene Vertragsklauseln mit Werbepartnern.

Was Unternehmen daraus mitnehmen

Consent-Banner technisch testen: Wenn die Ablehnung Tracking nicht wirklich abschaltet, ist das irreführend und rechtswidrig.

Behörde / Gericht
Attorney General of California (California Department of Justice)
Rechtsgebiet
Datenschutz · Cookies und Tracking
Rechtsgrundlage
California Consumer Privacy Act (CCPA), Unfair Competition Law
Maßnahme
Bußgeld
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen
Veröffentlicht
01.07.2025

Originalbetrag 1.550.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.07.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

02.05.2025 TikTok Technology LimitedDPC: 530 Mio. Euro gegen TikTok wegen Datenzugriffen aus China IrlandInternationale Datentransfers 530 Mio. €

TikTok ließ Beschäftigte in China per Fernzugriff auf Daten europäischer Nutzer zugreifen, ohne zu prüfen und nachzuweisen, dass Standardvertragsklauseln und Zusatzmaßnahmen ein gleichwertiges Schutzniveau gegenüber chinesischen Behördenzugriffen sichern; zudem informierte es Nutzer unzureichend. Die DPC verhängte 530 Mio. Euro und ordnete an, die Übermittlungen binnen sechs Monaten rechtskonform zu gestalten oder auszusetzen.

Was Unternehmen daraus mitnehmen

Auch reiner Fernzugriff aus einem Drittland ist eine Übermittlung – ohne dokumentierte Transferfolgenabschätzung drohen Bußgeld und Stopp.

Behörde / Gericht
Data Protection Commission (DPC)
Rechtsgebiet
Datenschutz · Internationale Datentransfers
Rechtsgrundlage
Art. 46 Abs. 1, Art. 13 DSGVO
Maßnahme
Bußgeld
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen
Beschäftigte
10.000 und mehr
Veröffentlicht
02.05.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

06.03.2025 Polskie Radio – Regionalna Rozgłośnia w Szczecinie „Radio Szczecin” S.A.Polskie Radio Szczecin: 56.824 PLN wegen fehlender Datenschutzprüfung vor Veröffentlichung PolenDatenpannen und Datensicherheit 13.604 €

Nach einem Beitrag, durch den ein minderjähriges Opfer identifizierbar wurde, stellte eine Kontrolle fest, dass der Sender keine Risikoanalyse für die Redaktionsarbeit, keine Regeln zur Prüfung personenbezogener Daten vor Veröffentlichung und keine Verschlüsselung mobiler Datenträger hatte. Die Behörde verhängte 56.824 PLN; das Verwaltungsgericht Warschau wies die Klage am 18. März 2026 ab.

Was Unternehmen daraus mitnehmen

Redaktionen brauchen eine Datenschutzprüfung vor der Veröffentlichung – das Medienprivileg ersetzt keine technisch-organisatorischen Maßnahmen.

Bezug zu Schulung und Awareness

Schutz Betroffener in Presseberichten; Verschlüsselung von Datenträgern

Behörde / Gericht
Prezes Urzędu Ochrony Danych Osobowych (UODO)
Rechtsgebiet
Datenschutz · Datenpannen und Datensicherheit
Rechtsgrundlage
Art. 24 Abs. 1, Art. 32 Abs. 1 und 2 DSGVO (DKN.5112.10.2024)
Maßnahme
Bußgeld
Verfahrensstand
angefochten
Branche
Medien und Online-Plattformen
Veröffentlicht
11.03.2025

Originalbetrag 56.824 PLN, umgerechnet zum EZB-Referenzkurs vom 06.03.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

17.12.2024 Meta Platforms Ireland LimitedIrland: 251 Mio. € gegen Meta wegen Datenpanne und mangelhafter Meldung IrlandDatenpannen und Datensicherheit 251 Mio. €

2018 nutzten Angreifer eine Lücke in der Funktion „Anzeigen aus Sicht von“ und erlangten Zugriff auf rund 29 Mio. Konten, davon etwa 3 Mio. im EWR. Die DPC verhängte 8 Mio. € (Art. 33 Abs. 3) und 3 Mio. € (Art. 33 Abs. 5) wegen unvollständiger Meldung und Dokumentation sowie 130 Mio. € und 110 Mio. € wegen Verstößen gegen Datenschutz durch Technikgestaltung (Art. 25 Abs. 1 und 2).

Was Unternehmen daraus mitnehmen

Eine Datenpannenmeldung muss vollständig sein und jede Panne intern nachvollziehbar dokumentiert werden.

Behörde / Gericht
Data Protection Commission (DPC)
Rechtsgebiet
Datenschutz · Datenpannen und Datensicherheit
Rechtsgrundlage
DSGVO Art. 33 Abs. 3 und 5, Art. 25 Abs. 1 und 2
Maßnahme
Bußgeld
Verfahrensstand
unbekannt
Branche
Medien und Online-Plattformen
Beschäftigte
10.000 und mehr
Veröffentlicht
17.12.2024
Quellen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

17.12.2024 Meta Platforms, Inc.Meta: 50 Mio. AUD Zahlungsprogramm für australische Betroffene von Cambridge Analytica AustralienDatenpannen und Datensicherheit Sonstiges

Zur Beendigung des seit März 2020 vor dem Federal Court geführten Zivilstrafverfahrens nahm der Australian Information Commissioner eine Verpflichtungszusage (enforceable undertaking) von Meta Platforms an, mit der Meta ein Zahlungsprogramm über 50 Mio. AUD für australische Facebook-Nutzer einrichtet, deren Daten an die App „This is Your Digital Life“ weitergegeben worden sein könnten. Die Behörde hatte Meta mutmaßlich schwerwiegende oder wiederholte Verstöße gegen APP 6.1 und 11.1 vorgeworfen; die Zusage erfolgte ohne Anerkennung einer Haftung, und das Verfahren wurde zurückgenommen. Nicht ausgeschöpfte Mittel fließen in den Bundeshaushalt; zusätzlich beteiligte sich Meta an den Verfahrenskosten der Behörde.

Was Unternehmen daraus mitnehmen

Plattformen müssen kontrollieren, welche Daten Drittanbieter-Apps über Nutzer und deren Kontakte abrufen können.

Bezug zu Schulung und Awareness

Datenzugriffe von Drittanbieter-Apps über Schnittstellen kontrollieren

Behörde / Gericht
Office of the Australian Information Commissioner (OAIC)
Rechtsgebiet
Datenschutz · Datenpannen und Datensicherheit
Rechtsgrundlage
Regulatory Powers (Standard Provisions) Act 2014 (Cth) s 114; Vorwurf: Privacy Act 1988 (Cth) s 13G i. V. m. APP 6.1 und 11.1
Maßnahme
Sonstiges
Verfahrensstand
rechtskräftig
Branche
Medien und Online-Plattformen
Beschäftigte
10.000 und mehr
Mildernde Umstände
Laut Zusage lässt Meta Drittanbieter-Apps nicht mehr auf Daten von Facebook-Freunden zugreifen, die die App nicht selbst installiert und freigegeben haben, hat die abrufbaren Datenfelder verringert, feinere Berechtigungen eingeführt und prüft App-Entwickler regelmäßig.
Veröffentlicht
17.12.2024

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Fehler melden

Anonym: Wir speichern nur Ihren Text, keine Kontaktdaten und keine IP-Adresse.

20 weitere von 30 laden

Bereit für Schulungen, die ankommen?

Testen Sie die Kombination kostenlos: automatisierte Verwaltung für Sie, passende Lernformate für Ihr Team – ohne Mindestvolumen oder Kreditkarte.

14 Tage kostenlos testen