Wer wurde wofür sanktioniert?

Der kommunale Sportstättenbetrieb hatte seit 2007 Kameras in den Umkleiden eines Schwimmbads, die den Spindbereich aufzeichneten. Die Garante sah keine tragfähige Rechtsgrundlage, unvollständige Hinweise und eine nicht durch eine Erforderlichkeitsprüfung begründete Speicherdauer von 72 Stunden und verhängte 8.000 Euro (Provvedimento Nr. 619); im Verfahren wurden die Kameras entfernt.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. c und e DSGVO; Art. 2-ter Codice privacy

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eindringlinge gelangten 2023 in zwei ehemalige psychiatrische Kliniken und stellten Videos von dort gelagerten Patientenakten ins Netz. Die Prüfung von zwölf Standorten ergab Akten mit Schimmel-, Wasser- und Tierschäden in ungeeigneten Räumen bis hin zu Schiffscontainern. Die DPC verhängte 645.000 EUR, sprach eine Verwarnung aus und ordnete Audits und Umlagerungen an.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. e und f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

02.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die britische Datenschutzaufsicht ICO sprach gegenüber dem ACRO Criminal Records Office eine Verwarnung (reprimand) aus. Anlass war nach Angaben der ICO ein Cybervorfall, bei dem personenbezogene Daten von rund 10.000 Betroffenen im Vereinigten Königreich betroffen sein konnten. Die ICO sah Verstöße gegen die Pflicht zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen nach Art. 32 UK GDPR. Ein Bußgeld wurde nicht verhängt.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Eine großflächige Verletzung betraf Informationssysteme der EETAA, mit denen Programme des Ministeriums für Sozialen Zusammenhalt und Familie umgesetzt wurden; betroffen waren Identifikations-, Kontakt-, Finanz- und Gesundheitsdaten zahlreicher Personen. Die Datenschutzbehörde führte den Erfolg des Angriffs auf veraltete Systeme und unzureichende Sicherheitsmaßnahmen zurück und bemängelte das Fehlen eines Auftragsverarbeitungsvertrags. Sie verhängte mit Entscheidung 15/2026 insgesamt 350.000 EUR (Ministerium 150.000 EUR nach Art. 5 Abs. 1 lit. f/Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO; EETAA 100.000 EUR nach Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO) und ordnete binnen eines Monats den Abschluss des Vertrags sowie die Umsetzung der geplanten Sicherheitsmaßnahmen an.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 28 Abs. 3, Art. 32 Abs. 1, Art. 58 Abs. 2 lit. d und i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Das Ministerium erfüllte laut Behörde seine Melde- und Benachrichtigungspflichten nach der Verletzung.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Met Police übergab einem Angeklagten ungeschwärzte Unterlagen mit neuer Adresse und Telefonnummer eines Stalking-Opfers und legte in einer Rundmail 18 Personen mit Parlamentsbezug im offenen Verteiler offen. Die ICO ordnete Verbesserungen binnen 3 und 12 Monaten an, u. a. bei den Schulungsquoten im Datenschutz.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Data Protection Act 2018, Section 40

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Veröffentlicht

05.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die öffentliche Berufsschule hatte Berichte zur Überprüfung von Qualifikationen und Vorstrafen dreier Beschäftigter im September 2022 versehentlich per E-Mail an weitere Mitarbeitende verschickt, weder die Behörde noch die Betroffenen informiert und keinen Information Officer (Informationsbeauftragten) registriert. Abweichend von der Einschätzung ihres Enforcement Committee (Durchsetzungsausschuss) sah die Behörde darin auch eine unzulässige Weiterverarbeitung und stellte Verstöße gegen Rechenschaftspflicht, Zweckbindung, Datensicherheit und Meldepflicht fest; am 22. Mai 2026 ordnete sie u. a. die Registrierung, die nachträgliche Meldung, eine schriftliche Entschuldigung, ein Compliance-Framework und POPIA-Schulungen für alle Beschäftigten an.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Sections 8, 15(1), 19(1) und 22(1) Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Schule rief die E-Mail zwei Tage später zurück, informierte die Beschäftigten über den Fehler und ergriff Maßnahmen gegen die Verantwortlichen; das entband sie laut Behörde aber nicht von der Meldepflicht.

Veröffentlicht

02.06.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Seit 2020 kam es bei der CRA zu mehr als 42.000 einzelnen Verletzungen, bei denen Unbefugte auf Steuerkonten zugriffen oder Daten änderten, um Leistungen umzuleiten. Der Datenschutzbeauftragte bemängelte in einem Sonderbericht an das Parlament u. a. die verzögerte Einführung verpflichtender MFA und lückenhafte Vorfallserfassung und sprach neun Empfehlungen aus, von denen acht vollständig und eine teilweise angenommen wurden.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act (Kanada)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Stadtgericht Kolding verurteilte die Region Syddanmark im Dezember 2024 wegen zweier Verstöße gegen die Pflicht zu angemessener Datensicherheit zu 1.000.000 DKK. Das Vestre Landsret bestätigte am 23. März 2026 nur den ersten Vorwurf – in einer Datenbank für Forschung und Klinik konnten eingeloggte Nutzer durch Ändern der URL auf PDF-Dokumente von über 23.000 Registrierten zugreifen, darunter Gesundheitsdaten Minderjähriger aus der Psychiatrie – und setzte die Buße auf 500.000 DKK herab; vom Vorwurf zu Patientendaten in einer Präsentation auf der Website sprach es die Region frei.

Behörde / Gericht

Retten i Kolding; Vestre Landsret (auf Anzeige der Datatilsynet)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1, Art. 83 Abs. 4 lit. a und Abs. 9 DSGVO; databeskyttelseslovens § 41 stk. 1 nr. 1, stk. 3 og 6

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Wiederholungsfall

ja

Originalbetrag 500.000 DKK, umgerechnet zum EZB-Referenzkurs vom 23.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO sprach gegenüber der City of London Police eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizeibehörde zwischen 1. April 2023 und 31. Juli 2025 Auskunftsersuchen betroffener Personen (subject access requests) nicht innerhalb der gesetzlichen Frist beantwortet. Die ICO sah darin Verstöße gegen Art. 12(3) UK GDPR und section 45(3) DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) UK GDPR; section 45(3) DPA 2018; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Zehn Gemeinden (Delft, Ede, Eindhoven, Gooise Meren, Haarlemmermeer, Hilversum, Huizen, Tilburg, Veenendaal und Zoetermeer) hatten von einem externen Forschungsbüro erstellte Analysen der örtlichen islamischen Gemeinschaft (meist sogenannte Kräftefeldanalysen, in Haarlemmermeer ein Quickscan) erhalten, gespeichert und genutzt, die auch Angaben zur Religion und weitere sensible Merkmale einzelner Personen enthielten. Die AP verhängte am 3. Februar 2026 in getrennten Bescheiden gegen jedes Kollegium 25.000 EUR (zusammen 250.000 EUR); bei sieben Gemeinden beschränkte sie zudem die weitere Verarbeitung der Analysen auf die Wahrnehmung von Betroffenenrechten und Gerichtsverfahren.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a i. V. m. Art. 6 Abs. 1 und Art. 9 Abs. 1 DSGVO (AVG); Verarbeitungsbeschränkung nach Art. 58 Abs. 2 DSGVO (sieben Bescheide)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

05.02.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Angreifer übernahmen Anfang 2024 per Social Engineering Konten von Cap-Emploi-Beratern und griffen auf Daten von Arbeitsuchenden der letzten 20 Jahre zu, darunter Sozialversicherungsnummern. Die CNIL rügte schwache Authentifizierung, unzureichende Protokollierung und zu weite Zugriffsrechte und verhängte 5 Mio. Euro sowie eine Anordnung mit 5.000 Euro Zwangsgeld je Verzugstag.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

29.01.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

In einem für die Beschäftigten einsehbaren Tagesbefehlsbuch einer Feuerwehrdienststelle wurden neben der Versetzung einer Offizierin in den leichten Dienst auch ihre Erkrankung, die Behandlung und die verordneten Medikamente vermerkt. Die Datenschutzbehörde sah darin einen Verstoß gegen Rechtmäßigkeit und Datenminimierung und verhängte gegen das Feuerwehr-Hauptquartier mit Entscheidung 1/2026 eine Geldbuße von 10.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Hacker gelangte 2021 über ein Webformular auf einen Web- und einen Datenbankserver der Hochschule, erbeutete u. a. Namen mit Passwörtern und Bürgerservicenummern von Studierenden und Beschäftigten und forderte vergeblich Lösegeld. Die Sicherheit war nicht auf die Risiken abgestimmt, die Rechte eines Datenbankkontos waren nicht beschränkt.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Mildernde Umstände

Vergleich ohne Einspruch; aktive Schadensbegrenzung, gestärkte Resilienz und Weitergabe der Erfahrungen an andere Organisationen.

Veröffentlicht

17.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte gegen die Police Service of Scotland eine Geldbuße von 66.000 Pfund und sprach zugleich eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei im Rahmen eines Strafverfahrens in großem Umfang Daten vom Mobiltelefon einer bei ihr beschäftigten Person heruntergeladen, die Anzeige erstattet hatte, ohne sicherzustellen, dass dies rechtmäßig, fair und auf das Erforderliche beschränkt war; die ICO sah darin Verstöße im Zeitraum 18. Januar bis 5. April 2021. Dafür sprach die ICO die Verwarnung nach sections 35 und 37 DPA 2018 (Part 3) aus. Ebenfalls nach Feststellung der ICO gab später die Abteilung für Berufsstandards (Professional Standards Department) diese Daten in einem internen Disziplinarverfahren unbefugt an die beschuldigte Person weiter. Für die Zusammenstellung solcher Disziplinarunterlagen fehlten angemessene technische und organisatorische Maßnahmen, und die Datenpanne wurde der ICO erst am 30.06.2022 gemeldet, obwohl die Polizei seit dem 17.06.2022 davon wusste. Für diese Verstöße verhängte die ICO die Geldbuße. Der gemeinsame Bescheid stützt sich unter anderem auf Art. 5(1)(f) und 32(1) UK GDPR (Sicherheit der Verarbeitung), Art. 5(1)(c) und 25 UK GDPR (Datenminimierung, Datenschutz durch Technikgestaltung) sowie Art. 33(1) UK GDPR (Meldung von Datenpannen).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(c), 5(1)(f), 25(1)-(2), 32(1) und 33(1) UK GDPR; section 155 DPA 2018 (Geldbuße); sections 35 und 37 DPA 2018 (Part 3), Verwarnung nach Schedule 13 para 2(c) DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 66.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Zwischen 2018 und 2020 meldete die Universität zwölf Datenpannen, davon sechs, bei denen Unbefugte per Phishing in dienstliche E-Mail-Konten gelangten und teils Weiterleitungsregeln einrichteten. Die DPC stellte Verstöße gegen Art. 5(1)(f), 30(1), 32(1), 33(1) und 34(1) DSGVO fest, erteilte einen Verweis und verhängte Geldbußen von 45.000, 3.000, 35.000 und 15.000 Euro, zusammen 98.000 Euro.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 30(1), 32(1), 33(1), 34(1) DSGVO; ss. 110–111 Data Protection Act 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Universität erkannte die meisten Feststellungen an, übernahm Verantwortung und verbesserte Systeme, Schulungen und Richtlinien; die Bußen liegen deutlich unter dem Entwurf, eine Abhilfeanordnung entfiel.

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die Gemeinde hatte personenbezogene Daten einer früheren beschäftigten Person verarbeitet, die im Internet offengelegt wurden; der Information Regulator wertete dies als schweren Eingriff in die Privatsphäre und erließ eine Enforcement Notice. Weil die Gemeinde die Abhilfeanordnungen nicht umsetzte, folgte eine Geldbuße von 500.000 ZAR; da sie nicht zahlte, hat der Regulator die Beitreibung gerichtlich eingeleitet.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice und Infringement Notice

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

13.11.2025

Originalbetrag 500.000 ZAR, umgerechnet zum EZB-Referenzkurs vom 13.11.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Gemeinde in der Provinz Padua überwachte öffentliche Straßen und Arbeitsbereiche ohne tragfähige Rechtsgrundlage, ohne ausreichende Information und ohne Datenschutz-Folgenabschätzung; Aufnahmen wurden für Disziplinarzwecke genutzt, eine Beschäftigte wurde während einer Krankschreibung heimlich gefilmt. Bußgeld 15.000 EUR (5.000 EUR öffentliche Überwachung, 10.000 EUR Arbeitsplatzüberwachung).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

DSGVO Art. 5, 6, 12, 13, 35, 88

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO erließ gegen die South Wales Police eine Durchsetzungsanordnung wegen erheblicher Verzögerungen bei Auskunftsersuchen betroffener Personen. Nach den Feststellungen der ICO beantwortete die Polizei von April 2023 bis März 2024 nur 29 % der Ersuchen fristgerecht; im August 2025 waren 352 Ersuchen überfällig, eines seit fast zwei Jahren. Die ICO verpflichtete die Behörde, den Rückstand bis Juni 2026 abzubauen. Grundlage sind Art. 12(3), 15(1) und 15(3) UK GDPR sowie section 45 DPA 2018. Laut Anordnung beschäftigt die Polizei knapp 3.000 Polizeibeamte und über 2.200 weitere Mitarbeitende.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; section 45 DPA 2018; section 149 DPA 2018

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

1.000 bis 9.999

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der SRB gab Stellungnahmen früherer Banco-Popular-Aktionäre pseudonymisiert an Deloitte weiter, ohne die Betroffenen darüber zu informieren; der EDSB sah darin einen Verstoß gegen die Informationspflicht. Der EuGH hob das Urteil des EuG auf und stellte klar, dass die Informationspflicht aus Sicht des Verantwortlichen zum Zeitpunkt der Erhebung zu beurteilen ist; die Sache ging an das EuG zurück.

Behörde / Gericht

Gerichtshof der Europäischen Union, Rs. C-413/23 P

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Verordnung (EU) 2018/1725 (Informationspflicht)

Verfahrensstand

angefochten

Branche

Öffentlicher Sektor

Veröffentlicht

04.09.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO erließ gegen den Bristol City Council eine Durchsetzungsanordnung, weil die Kommune nach ihren Feststellungen Auskunftsersuchen betroffener Personen nicht wie gesetzlich vorgeschrieben beantwortet hatte. Die Anordnung stützt sich auf Art. 12(3), 15(1) und 15(3) UK GDPR und betrachtet unter anderem den Zeitraum 1. April 2023 bis 31. März 2024.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; section 149 DPA 2018

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink