Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa und Nordamerika: 756 Fälle aus 32 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach Land- Deutschland 45 Mio. € 41 % · 1 Fall
- Frankreich 43,7 Mio. € 39 % · 2 Fälle
- Tschechien 13,9 Mio. € 12 % · 1 Fall
- Kroatien 4,5 Mio. € 4 % · 1 Fall
- Italien 1,72 Mio. € 2 % · 1 Fall
- Schweden 724.679 € 1 % · 2 Fälle
- Griechenland 700.000 € 1 % · 1 Fall
- Lettland 300.000 € 0 % · 1 Fall
- Spanien 200.000 € 0 % · 1 Fall
- Belgien 162.176 € 0 % · 2 Fälle
- 3 weitere125.306 €
Wofür?
nach UnterthemaWen?
nach Unternehmen- Vodafone GmbH 45 Mio. € 41 % · 1 Fall
- Free Mobile SAS und Free SAS 42 Mio. € 38 % · 1 Fall
- Avast Software s.r.o. 13,9 Mio. € 12 % · 1 Fall
- Betreiber elektronischer Kommunikationsnetze und -dienste (in der Mitteilung nicht namentlich genannt) 4,5 Mio. € 4 % · 1 Fall
- Wind Tre S.p.A. 1,72 Mio. € 2 % · 1 Fall
- Nexpublica France 1,7 Mio. € 2 % · 1 Fall
- Vodafone – Πάναφον Α.Ε.Ε.Τ. 700.000 € 1 % · 1 Fall
- Sportadmin i Skandinavien AB 564.626 € 1 % · 1 Fall
- SIA "ZZ Dats" 300.000 € 0 % · 1 Fall
- Xfera Móviles, S.A.U. 200.000 € 0 % · 1 Fall
- 7 weitere447.535 €
Wann?
je Quartal, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| Q3 2023 | 0 | — |
| Q4 2023 | 0 | — |
| Q1 2024 | 1 | 157.176 € |
| Q2 2024 | 1 | 13,9 Mio. € |
| Q3 2024 | 0 | — |
| Q4 2024 | 1 | 5.363 € |
| Q1 2025 | 1 | 14.974 € |
| Q2 2025 | 3 | 45,9 Mio. € |
| Q3 2025 | 1 | 300.000 € |
| Q4 2025 | 3 | 6,21 Mio. € |
| Q1 2026 | 3 | 42,6 Mio. € |
| Q2 2026 | 1 | 1,72 Mio. € |
| Q3 2026 | 2 | 260.022 € |
17 Fälle
22.09.2026 Miljödata i Karlskrona AktiebolagIMY: 1,8 Mio. Kronen gegen HR-Softwareanbieter Miljödata nach Datenleck 160.053 €
Der Anbieter webbasierter Systeme für Krankmeldungen, Rehabilitation und Arbeitsschutzvorfälle wurde im August 2025 gehackt; die erbeuteten Personendaten tauchten kurz darauf im Darknet auf. Die IMY stellte fest, dass trotz hohen Schutzbedarfs keine ausreichenden Sicherheitsmaßnahmen und keine automatische Echtzeitüberwachung auf Angriffe bestanden, wertete dies als fahrlässig und verhängte 1.800.000 Kronen.
Wer als Dienstleister Gesundheits- und Personaldaten vieler Arbeitgeber hostet, braucht Angriffserkennung in Echtzeit, nicht nur Perimeterschutz.
- Behörde / Gericht
- Integritetsskyddsmyndigheten (IMY)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 32 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Verschulden
- fahrlässig
- Veröffentlicht
- 22.09.2026
Originalbetrag 1.800.000 SEK, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.
- IMY Tillsyn: Miljödata i Karlskrona AB Pressemitteilung einer Behörde
- Beslut efter tillsyn enligt dataskyddsförordningen – Miljödata i Karlskrona Aktiebolag (IMY-2025-21177) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
17.07.2026 Orange România SAOrange România zahlt 100.000 Euro nach Fehlern in App und gehacktem Ticketsystem 99.969 €
Ein Synchronisationsfehler zwischen zwei Anwendungen ermöglichte einem Kunden, in der Mobile-App Rechnungen anderer Kunden abzurufen; zudem wurde die ohne VPN, MFA oder IP-Beschränkung öffentlich erreichbare Ticketing-Plattform angegriffen und ein sehr großer Datenbestand (u. a. Ausweiskopien, Kartendaten, IBAN) abgezogen. Bußgelder: 104.780 Lei (20.000 Euro, Art. 25) und 419.120 Lei (80.000 Euro, Art. 32), insgesamt 523.900 Lei; dazu Anordnung eines Test- und Änderungsmanagements. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.
Interne Plattformen dürfen nie ohne VPN/MFA im Internet stehen; Software-Änderungen an verknüpften Systemen brauchen Tests vor dem Livegang.
- Behörde / Gericht
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 25 Abs. 1, Art. 32 Abs. 1 lit. b und d, Abs. 2 und 4 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 17.07.2026
Originalbetrag 523.900 RON, umgerechnet zum EZB-Referenzkurs vom 17.07.2026.
- ANSPDCP – Comunicat de presă 17.07.2026 (Orange România SA) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.05.2026 Wind Tre S.p.A.Garante: 1,7 Mio. Euro gegen Wind Tre nach Datenabfluss über getäuschte Shop-Mitarbeiter 1,72 Mio. €
Angreifer gaben sich als technischer Support aus, verleiteten Mitarbeitende von Verkaufsstellen zur Freigabe von Systemzugängen und erbeuteten Daten von über 365.000 Kunden, bei 41.359 auch Zahlungsdaten. Die Garante rügte mangelhafte Verwaltung von Zugangsdaten und digitalen Zertifikaten sowie unzureichende Sicherheitsbewertungen und verhängte 1.715.600 Euro.
Mitarbeitende in Filialen und Partnershops müssen angebliche Support-Anrufe verifizieren, bevor sie Zugänge freigeben.
Social Engineering / falscher IT-Support
- Behörde / Gericht
- Garante per la protezione dei dati personali
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- DSGVO (Integrität und Vertraulichkeit, Art. 32)
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 16.07.2026
- Newsletter del 16 luglio 2026 – Data breach, il Garante privacy sanziona Wind Tre per 1,7 milioni di euro Pressemitteilung einer Behörde
- Garante – Provvedimento del 14 maggio 2026 [10263796] (Wind Tre) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
02.03.2026 Suomen Numerokeskus OySuomen Numerokeskus: 5.000 EUR – Anrufaufzeichnungen nur telefonisch statt als Kopie 5.000 €
Nach sechs Beschwerden stellte die Behörde fest, dass das Unternehmen Kunden, die Aufzeichnungen ihrer Verkaufsgespräche zur Reklamation von Rechnungen verlangten, keine Kopie herausgab, sondern nur ein Anhören über den Kundendienst anbot und Aufzeichnungen teils löschte. Neben einer Verwarnung wurde ein Bußgeld von 5.000 EUR verhängt.
Auskunft heißt Kopie: Wer Gespräche aufzeichnet, muss Betroffenen die Aufnahme in einer Form herausgeben können.
Auskunftsrecht bei Gesprächsaufzeichnungen
- Behörde / Gericht
- Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- DSGVO Art. 15 Abs. 1 und 3
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 25.03.2026
- Finlex – Tietosuojavaltuutettu 2.3.2026 (puhelutallenteet) Entscheidung einer Behörde
- Tietosuojavaltuutettu – Suomen Numerokeskukselle seuraamusmaksu puutteista puhelutallenteiden antamisessa (25.03.2026) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
26.01.2026 Sportadmin i Skandinavien ABSportadmin: 6 Mio. SEK nach Hackerangriff auf Vereinsverwaltung mit Kinderdaten 564.626 €
Der Anbieter einer Verwaltungs-Software und App für Sportvereine wurde im Januar 2025 Opfer eines Datenabflusses durch einen externen Angreifer. Die IMY stellte fest, dass vor und zum Zeitpunkt des Vorfalls keine angemessenen technischen und organisatorischen Sicherheitsmaßnahmen bestanden, obwohl überwiegend Daten von Kindern und auch Gesundheitsangaben (Allergien, Behinderungen) verarbeitet wurden, und verhängte 6 Mio. SEK; bei der Bemessung berücksichtigte sie den Konzernumsatz der Lime-Gruppe 2024 (rund 685,7 Mio. SEK).
Wer als Software-Anbieter sensible Daten vieler Kunden bündelt, muss Sicherheitsniveau und Angriffsflächen an der Schutzbedürftigkeit der Daten (Kinder, Gesundheit) ausrichten – nicht erst nach dem Vorfall.
- Behörde / Gericht
- Integritetsskyddsmyndigheten (IMY)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- DSGVO Art. 32 Abs. 1
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Mildernde Umstände
- Schnelle, umfassende Information der Vereine und Betroffenen nach dem Vorfall; Unterstützung von rund 1.700 Vereinen bei ihren Meldungen innerhalb von 72 Stunden.
- Veröffentlicht
- 26.01.2026
Originalbetrag 6.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 26.01.2026.
- IMY – Tillsyn Sportadmin i Skandinavien AB Entscheidung einer Behörde
- IMY – Beslut efter tillsyn, IMY-2025-7801 (26.01.2026) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
08.01.2026 Free Mobile SAS und Free SASCNIL: 42 Mio. Euro gegen Free Mobile und Free nach Datenleck bei 24 Mio. Verträgen 42 Mio. €
Nach einem Angriff im Oktober 2024, bei dem Daten zu rund 24 Mio. Kundenverträgen einschließlich IBAN abflossen, verhängte die CNIL 27 Mio. Euro gegen Free Mobile und 15 Mio. Euro gegen Free (zusammen 42 Mio. Euro). Beanstandet wurden ein VPN-Zugang ohne ausreichende Authentifizierung, mangelhafte Erkennung auffälliger Zugriffe, unvollständige Benachrichtigung der Betroffenen und bei Free Mobile überlange Speicherung von Altverträgen; zusätzlich ergingen Anordnungen mit Fristen.
Fernzugänge wie VPN gehören hinter Mehr-Faktor-Authentifizierung, und Altdaten gekündigter Verträge müssen konsequent gelöscht werden.
- Behörde / Gericht
- Commission nationale de l'informatique et des libertés (CNIL)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 5 Abs. 1 lit. e, Art. 32, Art. 34 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Mildernde Umstände
- Während des Verfahrens Einführung von Mehr-Faktor-Authentifizierung, eines Security Operations Centers und verbesserter Protokollierung.
- Veröffentlicht
- 14.01.2026
- Violation de données : sanction de 42 millions d'euros à l'encontre des sociétés FREE MOBILE et FREE Pressemitteilung einer Behörde
- Délibération SAN-2026-001 du 8 janvier 2026 (FREE MOBILE) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
22.12.2025 Nexpublica FranceCNIL: 1,7 Mio. Euro gegen Auftragsverarbeiter Nexpublica wegen Sicherheitslücken 1,7 Mio. €
Nexpublica entwickelte und betrieb als Auftragsverarbeiter die Fallverwaltungssoftware „Public CRM“ für die Behindertenbehörde MDPH Nord. Nach zwei Datenpannen 2022 zeigten Audits seit 2021 bestehende kritische Schwachstellen, etwa veraltetes SHA-1-Hashing; die CNIL verhängte 1,7 Mio. Euro direkt gegen den Dienstleister.
Auch Auftragsverarbeiter haften selbst für die Datensicherheit ihrer Software; bekannte Schwachstellen dürfen nicht bis zur nächsten Panne liegen bleiben.
- Behörde / Gericht
- Commission nationale de l'informatique et des libertés (CNIL)
- Rechtsgebiet
- Datenschutz · Auftragsverarbeitung
- Rechtsgrundlage
- Art. 32 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Délibération SAN-2025-015 du 22 décembre 2025 (NEXPUBLICA FRANCE) Entscheidung einer Behörde
- Les sanctions prononcées par la CNIL Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
27.11.2025 Infobel SAInfobel: Datenhändler verkaufte Verbraucherdaten für Direktmarketing ohne Rechtsgrundlage 5.000 €
Der Adresshändler (früher Kapitol) hatte Daten des Beschwerdeführers über eine Mediaagentur an einen Werbetreibenden für Direktmarketing weitergegeben, ohne eine wirksame Einwilligung nachweisen zu können. Die APD verhängte 40.000 EUR und ordnete Löschung sowie Information der Empfänger an; das Marktgericht Brüssel hob diese Teile am 03.06.2026 auf und setzte das Bußgeld selbst auf 5.000 EUR fest.
Datenhändler müssen für jeden Datensatz belegen können, auf welcher Rechtsgrundlage er erhoben und weiterverkauft wird.
- Behörde / Gericht
- Autorité de protection des données (APD/GBA) – Chambre Contentieuse; Cour des marchés
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- DSGVO Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 24
- Maßnahme
- Bußgeld
- Verfahrensstand
- reduziert
- Branche
- Telekommunikation, IT und Software
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.11.2025 Betreiber elektronischer Kommunikationsnetze und -dienste (in der Mitteilung nicht namentlich genannt)Kroatischer Telekomanbieter: 4,5 Mio. EUR – Kundendaten ohne Klauseln nach Serbien 4,5 Mio. €
Der Telekommunikationsanbieter ließ einen konzernangehörigen Softwaredienstleister in Serbien mit Administratorrechten auf die gesamte SAP-CRM-Kundendatenbank zugreifen, ab Ende 2022 ohne Standardvertragsklauseln und ohne klare Information der Kunden. Die AZOP ahndete außerdem das Kopieren von Personalausweisen und Führungszeugnissen der Beschäftigten sowie die fehlende Prüfung eines Telemarketing-Dienstleisters; insgesamt 4,5 Mio. EUR.
Auslaufende oder nie erneuerte Standardvertragsklauseln mit Konzerngesellschaften fallen erst bei einer Prüfung auf – Transferverträge brauchen ein Fristen-Register.
- Behörde / Gericht
- Agencija za zaštitu osobnih podataka (AZOP)
- Rechtsgebiet
- Datenschutz · Internationale Datentransfers
- Rechtsgrundlage
- Art. 44, 46, 12 Abs. 1, 13 Abs. 1 lit. f, 5, 6 Abs. 1, 28 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 14.11.2025
- AZOP: Administrative Fine of EUR 4.5 Million Imposed on a Telecommunications Operator (14.11.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
08.09.2025 SIA "ZZ Dats"IT-Dienstleister ZZ Dats zahlt 300.000 Euro nach Datenleck als Auftragsverarbeiter 300.000 €
Unbekannte griffen über mehrere Websites auf Datenbanken des Systembetreibers zu und erbeuteten personenbezogene Daten. Die DVI verhängte zunächst 400.000 Euro; die Direktorin hob im Widerspruchsverfahren den Vorwurf als Verantwortlicher auf, weil ZZ Dats Auftragsverarbeiter war, und setzte wegen unzureichender Sicherheitsmaßnahmen nach Art. 32 DSGVO 300.000 Euro fest. Das Unternehmen hat Klage erhoben.
Auch Auftragsverarbeiter haften eigenständig für die Sicherheit der von ihnen betriebenen Systeme.
- Behörde / Gericht
- Datu valsts inspekcija (DVI)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 32 Abs. 1 lit. b und d, Abs. 2, Art. 83 Abs. 4 lit. a DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- angefochten
- Branche
- Telekommunikation, IT und Software
- DVI – Zusammenfassung der Entscheidung zu SIA „ZZ Dats“ (08.09.2025) Entscheidung einer Behörde
- Datu valsts inspekcija – Lēmumi (Liste der veröffentlichten Entscheidungen) Amtliches Register oder Bekanntmachung
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
25.06.2025 Vodafone – Πάναφον Α.Ε.Ε.Τ.Griechenland: 700.000 Euro gegen Vodafone wegen auf Fremde registrierter Prepaid-Nummern 700.000 €
Ein Unbekannter registrierte mit dem Ausweis einer Kundin bei einem Vodafone-Partnershop mindestens 15 Prepaid-Nummern auf ihren Namen. Die Datenschutzbehörde verhängte mit Entscheidung 27/2025 gegen Vodafone 350.000 Euro (Auftragsverarbeitung, Art. 28), 200.000 Euro (Datenrichtigkeit) und 150.000 Euro nach dem griechischen ePrivacy-Gesetz und verwarnte das Unternehmen, binnen drei Monaten die Aktivierung neuer Nummern technisch abzusichern (etwa durch eine SMS an den Bestandskunden); der Shop (Karampelas K. & Sia E.E., „DS Phone“) erhielt 40.000 Euro.
Identitätsprüfungen im Filial- und Partnervertrieb sind ein Datenschutzthema – Anbieter haften für schwache Prozesse ihrer Vertriebspartner.
Identitätsprüfung bei Vertragsabschluss im Partnervertrieb
- Behörde / Gericht
- Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)
- Rechtsgebiet
- Datenschutz · Auftragsverarbeitung
- Rechtsgrundlage
- Art. 5 Abs. 1 lit. d, Art. 28 Abs. 1 und 3 DSGVO; Art. 12 Gesetz 3471/2006
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Απόφαση 27/2025 της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
03.06.2025 Vodafone GmbHBfDI: 45 Mio. Euro gegen Vodafone wegen Betrug in Partneragenturen und Authentifizierungslücken 45 Mio. €
Böswillige Mitarbeitende in Partneragenturen, die für Vodafone Verträge vermitteln, hatten fingierte Verträge und Vertragsänderungen zulasten von Kunden angelegt. Die BfDI verhängte 15 Mio. Euro wegen unzureichender Überprüfung und Überwachung der Partneragenturen (Art. 28) und 30 Mio. Euro wegen Authentifizierungsmängeln bei „MeinVodafone“ in Verbindung mit der Hotline, über die Unbefugte u. a. eSIM-Profile abrufen konnten; zusätzlich eine Verwarnung nach Art. 32.
Wer Vertrieb an Partneragenturen auslagert, muss deren Umgang mit Kundendaten auditieren und Missbrauch technisch erschweren.
Innentäter und Kontrolle von Vertriebspartnern
- Behörde / Gericht
- Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI)
- Rechtsgebiet
- Datenschutz · Auftragsverarbeitung
- Rechtsgrundlage
- Art. 28 Abs. 1 S. 1, Art. 32 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Mildernde Umstände
- Uneingeschränkte Kooperation einschließlich Selbstbelastung, Modernisierung der Systeme, Trennung von betrügerischen Partnern; Bußgelder akzeptiert und gezahlt, zusätzlich Spenden in Millionenhöhe.
- Veröffentlicht
- 03.06.2025
- Pressemitteilung 6/2025: BfDI verhängt Geldbußen gegen Vodafone Pressemitteilung einer Behörde
- BfDI – Übersicht Pressemitteilungen (Datum 03.06.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
30.05.2025 Xfera Móviles, S.A.U.AEPD: 200.000 Euro gegen Xfera (MásMóvil) wegen Rufnummernportierung ohne Zustimmung 200.000 €
Die Mobilfunknummer eines Kunden wurde ohne dessen Antrag zu MásMóvil portiert; die neue SIM-Karte wurde an einen Dritten ausgehändigt, der sich nicht auswies. Die AEPD sah eine Verarbeitung ohne Rechtsgrundlage, verhängte 200.000 Euro und ordnete Maßnahmen gegen solche Vorfälle an; der Widerspruch des Unternehmens blieb erfolglos.
SIM-Karten und Portierungen nur nach belastbarer Identitätsprüfung ausgeben – auch Kuriere und Vertriebspartner müssen das einhalten.
Identitätsprüfung bei Portierung und SIM-Übergabe (SIM-Swapping)
- Behörde / Gericht
- Agencia Española de Protección de Datos (AEPD)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 6 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- AEPD Resolución PS/00170/2024 (EXP202301365) Entscheidung einer Behörde
- AEPD Resolución recurso de reposición PS/00170/2024 (Datum der Ausgangsentscheidung 30.05.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
20.01.2025 Vodafone Romania S.A.Vodafone Romania zahlt 15.000 Euro für wiederholte Datenpannen durch Mitarbeiter 14.974 €
Mehrere gemeldete Vorfälle gingen auf Beschäftigte oder Dienstleister zurück: ein Rechnungsfoto an Dritte, offene E-Mail-Verteiler statt BCC, ein per WhatsApp geteilter Screenshot aus der Kundenanwendung und fehlgeleitete Rechnungen. Die Aufsicht sah unzureichende Maßnahmen, um weisungsgemäße Verarbeitung durch Mitarbeiter sicherzustellen, und verhängte 74.526 Lei (15.000 Euro); das Unternehmen zahlte. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.
Viele kleine Mitarbeiterfehler summieren sich zu einem Organisationsversagen – Awareness-Training ist Pflicht, nicht Kür.
BCC, Messenger-Nutzung, Versand von Kundendokumenten
- Behörde / Gericht
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 32 Abs. 4 i. V. m. Abs. 1 lit. b DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 20.01.2025
Originalbetrag 74.526 RON, umgerechnet zum EZB-Referenzkurs vom 20.01.2025.
- ANSPDCP – Comunicat de presă 20.01.2025 (Vodafone Romania S.A.) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
12.11.2024 Uptime-IT ApSDänemark: 40.000 Kronen gegen IT-Dienstleister mit unbrauchbaren Backups nach Ransomware 5.363 €
Als Auftragsverarbeiter eines Chiropraktikerhauses hatte der IT-Dienstleister Backups verschlüsselt, ohne den Schlüssel zu sichern; nach einem Ransomware-Angriff 2020 ließen sich Patientendaten mit Gesundheitsangaben und CPR-Nummern nicht wiederherstellen. Die Datatilsynet zeigte das Unternehmen an und schlug 50.000 Kronen vor; das Gericht verurteilte es am 12.11.2024 zu 40.000 Kronen.
Ein Backup zählt erst, wenn die Wiederherstellung regelmäßig getestet wird – inklusive Zugriff auf die Schlüssel.
- Behörde / Gericht
- Dänisches Gericht auf Anzeige der Datatilsynet
- Rechtsgebiet
- Datenschutz · Auftragsverarbeitung
- Rechtsgrundlage
- Art. 32 DSGVO; Auftragsverarbeitungsvertrag
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
Originalbetrag 40.000 DKK, umgerechnet zum EZB-Referenzkurs vom 12.11.2024.
- Databehandler indstillet til bøde (Uptime-IT ApS) Pressemitteilung einer Behörde
- Datatilsynet – Bødesager Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
15.04.2024 Avast Software s.r.o.Avast: 351 Mio. CZK für Weitergabe von Browserverläufen an Jumpshot 13,9 Mio. €
Der Antivirenhersteller gab 2019 pseudonymisierte Browserverläufe von rund 100 Mio. Nutzern an die Tochter Jumpshot weiter, die Marketingkunden Einblicke ins Onlineverhalten verkaufte. Die als anonym deklarierten Daten ließen eine Re-Identifizierung zu und die Nutzer wurden falsch informiert; die Datenschutzbehörde verhängte rechtskräftig 351 Mio. CZK.
Pseudonymisierte Daten sind keine anonymen Daten – wer Nutzungsdaten weitergibt, muss Re-Identifizierungsrisiken prüfen und ehrlich informieren.
- Behörde / Gericht
- Úřad pro ochranu osobních údajů (ÚOOÚ)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- DSGVO (unrechtmäßige Verarbeitung, Transparenz), One-Stop-Shop-Verfahren
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 15.04.2024
Originalbetrag 351.000.000 CZK, umgerechnet zum EZB-Referenzkurs vom 15.04.2024.
- ÚOOÚ uložil pokutu 351 mil. Kč za porušení GDPR Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
16.01.2024 Black Tiger Belgium (vormals Bisnode Belgium)Black Tiger Belgium: Bußgeld für intransparenten Datenhandel, gerichtlich um 10 % gesenkt 157.176 €
Der Datenhändler verarbeitete aus Fremdquellen (u. a. Unternehmensregister) gewonnene Daten in großem Umfang und lange, ohne die Betroffenen proaktiv zu informieren; Auskunftsersuchen wurden unvollständig beantwortet und das Verarbeitungsverzeichnis war lückenhaft. Die APD verhängte drei Bußgelder von zusammen 174.640 EUR und untersagte u. a. den Dienst „Data Quality“, bis Betroffene informiert sind; das Marktgericht Brüssel hob am 04.09.2024 die Anordnungen auf und senkte die Bußgelder um 10 % auf zusammen 157.176 EUR.
Wer Daten indirekt erhebt, muss Betroffene aktiv informieren – das berechtigte Interesse trägt nicht, wenn Gesetze die Weiterverwendung verbieten.
- Behörde / Gericht
- Autorité de protection des données (APD/GBA) – Chambre Contentieuse
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- DSGVO – Rechtmäßigkeit, Fairness und Transparenz, Auskunftsrecht, Verzeichnis von Verarbeitungstätigkeiten
- Maßnahme
- Bußgeld
- Verfahrensstand
- reduziert
- Branche
- Telekommunikation, IT und Software
- Mildernde Umstände
- Einstellung des Dienstes „Data Delivery“ und Vernichtung der Verbraucherdatenbank CMX.
- Veröffentlicht
- 16.01.2024
- APD – L’APD sanctionne l’entreprise de gestion de données Black Tiger Belgium (16.01.2024) Pressemitteilung einer Behörde
- Hof van beroep Brussel, Marktenhof – Arrest 2024/AR/310 van 4 september 2024 (Black Tiger Belgium t. GBA) Gerichtsentscheidung
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink