Wer wurde wofür sanktioniert?

Angreifer erbeuteten per Phishing die Zugangsdaten eines Benutzerkontos mit Administratorrechten und griffen auf Kundendaten zu. Die Aufsicht rügte fehlende technische und organisatorische Maßnahmen sowie fehlende regelmäßige Wirksamkeitstests, verhängte 15.728 Lei (3.000 Euro) und ordnete regelmäßige Schulungen der Beschäftigten, u. a. zum Erkennen von Phishing-Mails, an. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

19.08.2026

Originalbetrag 15.728 RON, umgerechnet zum EZB-Referenzkurs vom 19.08.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach mehreren Beschwerden stellte die Aufsicht fest, dass aktuelle und frühere Beschäftigte ungeschult und ohne Verfahrensregeln auf umfangreiche Daten (u. a. Gesundheits-, Familien- und Einkommensdaten) zugreifen konnten, Betroffene nicht nach Art. 14 DSGVO informiert wurden, übermäßig viele Daten erhoben und automatisierte Werbeanrufe ohne Einwilligung getätigt wurden. Bußgelder: 78.465 Lei (15.000 Euro, Art. 32 Abs. 4), 52.310 Lei (10.000 Euro, Art. 14), 104.620 Lei (20.000 Euro, Art. 5/9 DSGVO) und 50.000 Lei (Gesetz 506/2004); zusätzlich Anordnung regelmäßiger Mitarbeiterschulungen. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Juni 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. c i. V. m. Art. 9, Art. 14, Art. 32 Abs. 4 DSGVO; Art. 12 Abs. 1 Gesetz 506/2004

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

06.08.2026

Originalbetrag 285.395 RON, umgerechnet zum EZB-Referenzkurs vom 06.08.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein Callcenter, das vor allem für Telekommunikationsprodukte warb, Bußgelder von insgesamt 34.327 Euro: 32.000 Euro wegen unerlaubter Telefonwerbung und 2.327 Euro, weil Einwilligungen in Werbeanrufe nicht vollständig dokumentiert waren. Die Kampagne lief trotz der Lücken weiter, Anrufuntersagungen wurden teils ignoriert; das Unternehmen hat Einspruch eingelegt.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern; § 7a UWG (Dokumentation und Aufbewahrung von Einwilligungen)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Das Unternehmen hatte für rund 2,2 Mio. Menschen statistisch errechnete 'Partei-Affinitäten' gespeichert und teils an Werbekunden verkauft – besondere Kategorien personenbezogener Daten ohne Einwilligung; zudem wurden Paketfrequenzdaten zweckwidrig weiterverarbeitet. Die DSB hatte 2019 18 Mio. EUR verhängt, das BVwG 2024 16 Mio. EUR; der VwGH setzte die Geldbuße nun rechtskräftig auf 13 Mio. EUR (plus 100.000 EUR Verfahrenskosten) fest.

Behörde / Gericht

Verwaltungsgerichtshof (Ausgangsbescheid: Datenschutzbehörde)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a und b, Art. 6 Abs. 4, Art. 9 Abs. 1 (VwGH Ro 2025/04/0007)

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Umfassende Kooperation, Löschung der Partei-Affinitäten, Vergleiche mit Betroffenen, lange Verfahrensdauer (5 Jahre, 10 Monate).

Veröffentlicht

16.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Beschäftigter des für Kaufland România als Auftragsverarbeiter tätigen Dienstleisters ließ einen Dritten in den Videoüberwachungsraum eines Markts; dieser filmte die Bilder ab und verbreitete sie in sozialen Medien. Kaufland meldete den Vorfall. Die Aufsicht verhängte gegen den Auftragsverarbeiter 10.200 Lei (2.000 Euro) und ordnete zusätzliche Kontrollen der Arbeitsanweisungen an; das Bußgeld wurde bezahlt. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im April 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 29, Art. 32 Abs. 1 lit. b, Abs. 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

15.06.2026

Originalbetrag 10.200 RON, umgerechnet zum EZB-Referenzkurs vom 15.06.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte gegen ein britisches Marketingunternehmen eine Geldbuße von 300.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen mehr als 5,5 Millionen unerbetene Werbe-SMS versendet, darunter Nachrichten, die wie Schreiben von Gerichtsvollziehern aufgemacht waren. Beim Spam-Meldedienst 7726 gingen über 60.000 Beschwerden ein. Die ICO stützte sich auf die Regulations 22 und 23 der PECR (elektronische Werbung ohne Einwilligung, verschleierte Absenderidentität).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 22 und 23 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 300.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Bei einem am 31.10.2025 gemeldeten Ransomware-Angriff auf das Mitgliederverwaltungssystem von Yau Yat Chuen Garden City Club Limited, einem privaten, nicht gewinnorientierten Freizeitclub, waren Daten von 9.045 aktuellen und ehemaligen Mitgliedern und Zusatzkarteninhabern betroffen, darunter Ausweis- oder Passnummern. Der Angreifer nutzte eine bekannte Schwachstelle in veralteter Fernwartungssoftware des externen Dienstleisters und gelangte ohne weitere Authentifizierung auf den angemeldet belassenen Server; Virenschutz und Firewall waren veraltet, und personenbezogene Daten wurden länger als nötig aufbewahrt. In seinem am 23.04.2026 veröffentlichten Untersuchungsbericht stellte der PCPD Verstöße gegen DPP 4(1) und DPP 2(2) fest und erließ eine Enforcement Notice.

Behörde / Gericht

Privacy Commissioner for Personal Data (PCPD), Hongkong

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data (Privacy) Ordinance, Data Protection Principles 4(1) und 2(2); Enforcement Notice

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

23.04.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Ein Arbeitgeber installierte auf Dienstrechnern einzelner Beschäftigter die Software Spyrix Employee Monitoring, die monatelang Bildschirminhalte, Tonaufnahmen und sogar private E-Mails und Gespräche aufzeichnete, ohne die Beschäftigten zu informieren. Die Aufsichtsbehörde verhängte 71.474 EUR gegen das Unternehmen.

Behörde / Gericht

Informacijski pooblaščenec Republike Slovenije (IP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 und Art. 6 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

vorsätzlich

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

09.04.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Eine Person beschwerte sich, dass Fitsypro auf ihr Auskunfts-, Berichtigungs- und Löschersuchen vom November 2023 nicht reagiert habe. Drei Informationsanforderungen der DVI zwischen 2024 und 2026 blieben unbeantwortet, zu Verhandlung erschien niemand. Die DVI verhängte 1.500 Euro und forderte die Informationen bis 21. April 2026 an.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 58 Abs. 1 lit. e, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

vorsätzlich

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte im März 2026 gegen ein kleines britisches Direktmarketing-Unternehmen eine Geldbuße von 130.000 Pfund und erließ zusätzlich eine Durchsetzungsanordnung. Nach den Feststellungen der ICO ließ das Unternehmen 2024 innerhalb von knapp elf Monaten mehr als 230.000 persönliche (nicht automatisierte) Werbeanrufe an Anschlüsse tätigen, die seit über 28 Tagen im britischen Sperrregister für Werbeanrufe (Telephone Preference Service, TPS) eingetragen waren; dazu gingen 12 Beschwerden ein. Die ICO wertete dies als Verstoß gegen Regulation 21 PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 130.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die in Montréal ansässige World Anti-Doping Agency (WADA), eine Stiftung schweizerischen Rechts, hat mit dem Privacy Commissioner of Canada eine Compliance-Vereinbarung nach PIPEDA geschlossen, mit der eine im November 2024 nach einer Beschwerde eingeleitete Untersuchung ruht und nach Erfüllung eingestellt wird. WADA muss sicherstellen, dass Anti-Doping-Organisationen die Personendaten von Athletinnen und Athleten im System ADAMS ab 1. Januar 2027 nur noch für Anti-Doping-Zwecke nutzen, den Welt-Anti-Doping-Code und die ADAMS-Verträge entsprechend anpassen, einen Kontrollmechanismus nachweisen und vierteljährlich berichten. WADA bestreitet Verstöße und die Zuständigkeit des Commissioner; hält sie die Vereinbarung nicht ein, kann dieser beim Federal Court eine Anordnung beantragen.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Personal Information Protection and Electronic Documents Act (PIPEDA), Sections 17.1 und 17.2 (Compliance Agreement)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

17.03.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Das Reinigungsunternehmen reagierte trotz mehrfacher Nachfragen der Gewerkschaft nicht auf das Auskunftsersuchen eines Gewerkschaftsmitglieds und befolgte auch die Anordnung der Datatilsynet nicht, über das Ersuchen zu entscheiden. Datatilsynet zeigte das Unternehmen an; der Fall wurde am 02.03.2026 mit einem Bußgeldbescheid über 60.000 DKK abgeschlossen.

Behörde / Gericht

Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15; Nichtbefolgung einer Anordnung der Datatilsynet; databeskyttelsesloven

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Sonstige

Originalbetrag 60.000 DKK, umgerechnet zum EZB-Referenzkurs vom 02.03.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte gegen TMAC Ltd eine Geldbuße von 100.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen zwischen 8. Februar und 24. September 2024 260.332 unerbetene Werbeanrufe an Nummern getätigt, die im Telefon-Präferenzregister TPS (betrieben von der Telephone Preference Service Ltd) eingetragen waren. Außerdem erhielten die Angerufenen nicht die nach Regulation 24 der PECR vorgeschriebenen Angaben zum Anrufer. Grundlage sind die Regulations 21 und 24 der PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21(1)(b) und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 100.000 GBP, umgerechnet zum EZB-Referenzkurs vom 03.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Agentur führte für Kundenunternehmen telefonische Vorauswahlgespräche mit Bewerbenden, zeichnete sie ohne wirksame Einwilligung auf, speicherte sie unbefristet und gab sich dabei als das Kundenunternehmen aus. Die DSB verhängte 25.500 EUR (plus 2.550 EUR Kosten) wegen fehlender Rechtsgrundlage und Transparenz; das Unternehmen hat gegen die Strafhöhe Beschwerde beim Bundesverwaltungsgericht erhoben.

Behörde / Gericht

Datenschutzbehörde

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, c und e, Art. 6 Abs. 1, Art. 12, 13

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Sonstige

Beschäftigte

Unter 50

Mildernde Umstände

Keine einschlägigen Vorverstöße, Mitwirkung am Verfahren; Anpassung des Ausgangsbetrags an die geringe Unternehmensgröße.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach zahlreichen Beschwerden über Werbeanrufe für den Gasversorger ZENITH stellte die Behörde fest, dass das beauftragte Callcenter unzureichende Sicherheitsmaßnahmen hatte und Personen ohne gültige Einwilligung anrief. Mit Entscheidung 44/2025 erhielt One Way je 40.000 Euro als Auftragsverarbeiter und als Verantwortlicher sowie die Anordnung, Daten von Personen ohne wirksame Einwilligung zu löschen; ZENITH und zwei weitere Dienstleister wurden ebenfalls belangt (10.000, 10.000 und 5.000 Euro).

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5, 6, 7, 29, 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der texanische Wiederverkäufer handelte ohne Registrierung als Datenhändler mit Namen und Kontaktdaten von Millionen Menschen, sortiert nach Krankheiten wie Alzheimer oder Suchterkrankungen, nach Alter, vermuteter Ethnie und politischer Einstellung. Neben dem Bußgeld muss er den Verkauf von Daten aller Kalifornier einstellen.

Behörde / Gericht

California Privacy Protection Agency (CPPA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

California Delete Act (Registrierungspflicht für Datenhändler)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Sonstige

Veröffentlicht

08.01.2026

Originalbetrag 45.000 USD, umgerechnet zum EZB-Referenzkurs vom 30.12.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte gegen ZMLUK Limited eine Geldbuße von 105.000 Pfund. Nach den Feststellungen der ICO hatte das Unternehmen unerbetene Werbe-E-Mails für Energiesparprodukte verschickt; der Bescheid nennt dafür den Zeitraum 1. Januar bis 21. Juli 2023. Die ICO sah einen schweren Verstoß gegen Regulation 22 der PECR (elektronische Werbung ohne Einwilligung). Bei fristgerechter Zahlung ermäßigt sich der Betrag laut Bescheid um 20 % auf 84.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulation 22 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 105.000 GBP, umgerechnet zum EZB-Referenzkurs vom 11.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Bundesnetzagentur setzte gegen ein Callcenter mit Schwerpunkt Energiewerbung ein Bußgeld von 104.400 Euro wegen unerlaubter Telefonwerbung fest. Die Anrufer gaben sich vielfach fälschlich als örtlicher oder eigener Energieversorger der Angerufenen aus und versuchten, den Werbecharakter der Gespräche zu verschleiern.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die ICO verhängte gegen Lead Pronto Ltd eine Geldbuße von 30.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen unerbetene SMS verschickt, die für staatlich geförderte Zuschüsse für Heizkessel warben. Die ICO sah einen schweren Verstoß gegen Regulation 22 der PECR (elektronische Werbung ohne Einwilligung).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulation 22 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 30.000 GBP, umgerechnet zum EZB-Referenzkurs vom 06.11.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Nach einem im Dezember 2023 öffentlich gewordenen Cyberangriff auf das Reisebüro waren im Buchungssystem Daten von 336.759 Personen betroffen, teils mit vollständigen Bildern von Ausweisen, Pässen und Geburtsurkunden; ein Teil der Daten wurde ausgeleitet. Die Datenschutzbehörde PDPC stellte fahrlässige Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) fest – Datenschutzbeauftragter erst im April 2024 benannt, außer der Datenschutzerklärung für Kunden keine internen Richtlinien, kein Beschwerdeverfahren und keine Information der Beschäftigten – sowie gegen die Schutzpflicht (Protection Obligation), weil Verträge mit den IT-Dienstleistern zu Sicherheitsaufgaben fehlten, keine Sicherheitsüberprüfungen stattfanden, keine Mehr-Faktor-Authentifizierung bestand und der Server noch mit dem nicht mehr unterstützten Windows Server 2012 lief. Sie verhängte 47.000 SGD, wies Einwände zu Corona-Verlusten und Vergleichsfällen zurück und ordnete u. a. Richtlinien, Sicherheitsklauseln in Dienstleisterverträgen und einen Penetrationstest durch einen von der Cyber Security Agency (CSA) lizenzierten Anbieter an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Sections 11(3) und 12 PDPA 2012 (Accountability Obligation); Section 24 PDPA (Protection Obligation); Section 48J(1)(a) PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Freiwilliges frühes Eingeständnis der Verstöße (als erheblich mildernd gewertet) sowie rasche und wirksame Abhilfe.

Veröffentlicht

08.01.2026

Originalbetrag 47.000 SGD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink