Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach EbeneWofür?
nach UnterthemaWen?
nach BrancheAlle Branchen
Wann?
je Jahr, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| 2024 | 1 | – |
| 2025 | 3 | – |
| 2026 | 5 | – |
9 Fälle
07.05.2026 Canada Revenue Agency (CRA)Datenschutzbeauftragter: Kanadas Steuerbehörde CRA muss Schutz vor Kontoübernahmen stärken Sonstiges
Seit 2020 kam es bei der CRA zu mehr als 42.000 einzelnen Verletzungen, bei denen Unbefugte auf Steuerkonten zugriffen oder Daten änderten, um Leistungen umzuleiten. Der Datenschutzbeauftragte bemängelte in einem Sonderbericht an das Parlament u. a. die verzögerte Einführung verpflichtender MFA und lückenhafte Vorfallserfassung und sprach neun Empfehlungen aus, von denen acht vollständig und eine teilweise angenommen wurden.
Online-Konten mit Zahlungsfunktionen brauchen verpflichtende starke Authentifizierung und eine lückenlose Erfassung von Vorfällen.
- Behörde / Gericht
- Office of the Privacy Commissioner of Canada (OPC)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Privacy Act (Kanada)
- Maßnahme
- Sonstiges
- Verfahrensstand
- unbekannt
- Branche
- Öffentlicher Sektor
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 07.05.2026
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
18.03.2026 Nova Scotia PowerNova Scotia Power: Zusagen an Datenschutzbeauftragten nach Ransomware-Angriff Sonstiges
Nach einem Cyberangriff im Frühjahr 2025, bei dem Daten von rund 375.000 aktuellen und 540.000 früheren Kundinnen und Kunden abflossen, darunter Bankkonto-, Führerschein- und Sozialversicherungsnummern, hat Nova Scotia Power gegenüber dem Privacy Commissioner of Canada ein Compliance-Schreiben (Compliance Letter) unterzeichnet. Das Unternehmen sagt zu, die Sozialversicherungsnummern von Kundinnen und Kunden zu löschen und bis 31. Oktober 2026 eine unabhängige Sicherheitsprüfung – einschließlich Mitarbeiterschulung und Benachrichtigungsprozessen – vorzulegen und über die Umsetzung der Empfehlungen zu berichten; erst dann wird die Untersuchung eingestellt. Ausgangspunkt war laut Schreiben, dass ein Beschäftigter auf einer kompromittierten Website einen Link in einem Pop-up anklickte und dadurch Schadsoftware installierte.
Ein einziger Klick auf ein gefälschtes Pop-up kann Hunderttausende Kundendaten kosten – Schulung, beschränkte Adminrechte und schnelle Benachrichtigung gehören zusammen.
Gefälschte Update-Pop-ups und Schadsoftware
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Office of the Privacy Commissioner of Canada (OPC)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Personal Information Protection and Electronic Documents Act (PIPEDA); Einstellung nach Paragraph 12.2(1)(c) bei Erfüllung der Zusagen
- Maßnahme
- Sonstiges
- Verfahrensstand
- unbekannt
- Branche
- Energie und Versorgung
- Veröffentlicht
- 25.03.2026
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
10.03.2026 World Anti-Doping Agency (WADA)WADA: Compliance-Vereinbarung mit Kanadas Datenschutzbeauftragtem zu Athletendaten Sonstiges
Die in Montréal ansässige World Anti-Doping Agency (WADA), eine Stiftung schweizerischen Rechts, hat mit dem Privacy Commissioner of Canada eine Compliance-Vereinbarung nach PIPEDA geschlossen, mit der eine im November 2024 nach einer Beschwerde eingeleitete Untersuchung ruht und nach Erfüllung eingestellt wird. WADA muss sicherstellen, dass Anti-Doping-Organisationen die Personendaten von Athletinnen und Athleten im System ADAMS ab 1. Januar 2027 nur noch für Anti-Doping-Zwecke nutzen, den Welt-Anti-Doping-Code und die ADAMS-Verträge entsprechend anpassen, einen Kontrollmechanismus nachweisen und vierteljährlich berichten. WADA bestreitet Verstöße und die Zuständigkeit des Commissioner; hält sie die Vereinbarung nicht ein, kann dieser beim Federal Court eine Anordnung beantragen.
Wer eine Datenplattform für Partner betreibt, muss vertraglich und technisch durchsetzen, dass diese die Daten nur für den vorgesehenen Zweck nutzen.
Zweckbindung bei gemeinsam genutzten Datenplattformen
- Behörde / Gericht
- Office of the Privacy Commissioner of Canada (OPC)
- Rechtsgebiet
- Datenschutz
- Rechtsgrundlage
- Personal Information Protection and Electronic Documents Act (PIPEDA), Sections 17.1 und 17.2 (Compliance Agreement)
- Maßnahme
- Sonstiges
- Verfahrensstand
- unbekannt
- Branche
- Sonstige
- Veröffentlicht
- 17.03.2026
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
05.03.2026 Loblaw Companies LimitedOPC: Loblaw muss Aufbewahrung von PC-Optimum-Daten nach Kontolöschung ändern Sonstiges
Während einer Boykottwelle 2024 bearbeitete Loblaw Löschanträge nicht rechtzeitig und bewahrte Kauf- und Nutzungsdaten des Treueprogramms (über 17 Mio. Mitglieder) auch nach Kontoschließung auf, ohne eine wirksame Anonymisierung nachzuweisen. Loblaw sagte eine unabhängige Prüfung der Anonymisierung und jährliche Löschungen zu.
Wer Daten nach Kontolöschung als anonym weiterverwendet, muss das Re-Identifizierungsrisiko belegen können – IP-Adressen reichen oft zur Zuordnung.
- Behörde / Gericht
- Office of the Privacy Commissioner of Canada (OPC)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- PIPEDA
- Maßnahme
- Sonstiges
- Verfahrensstand
- unbekannt
- Branche
- Handel und E-Commerce
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 05.03.2026
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
18.02.2026 Fraser Health Authority, Provincial Health Services Authority, Vancouver Coastal HealthBritish Columbia: 36 Klinikbeschäftigte sahen unbefugt Akten von Lapu-Lapu-Day-Opfern ein Sonstiges
Nach der Tragödie beim Lapu-Lapu-Day-Festival 2025 griffen 36 Beschäftigte dreier Gesundheitsbehörden in 71 Fällen unbefugt auf Patientendaten von 16 eingelieferten Personen zu. Die Betroffenen wurden nicht ohne unangemessene Verzögerung informiert; der Beauftragte sprach neun Empfehlungen aus, u. a. automatisierte Zugriffsüberwachung und abschreckende Disziplinarmaßnahmen.
Neugier ist kein Zugriffsgrund: Zugriffe auf Akten prominenter Fälle sollten in Echtzeit überwacht und Verstöße spürbar sanktioniert werden.
Unbefugte Einsicht in Patientenakten (Snooping)
- Behörde / Gericht
- Office of the Information and Privacy Commissioner for British Columbia (OIPC BC)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Freedom of Information and Protection of Privacy Act (FIPPA) BC, s. 25.1
- Maßnahme
- Sonstiges
- Verfahrensstand
- unbekannt
- Branche
- Gesundheitswesen
- Verschulden
- vorsätzlich
- Mildernde Umstände
- Angemessene Schutzmaßnahmen waren vorhanden; die Behörden reagierten schnell und nahmen alle Empfehlungen an.
- Veröffentlicht
- 18.02.2026
- Investigation reveals 71 snooping incidents by 36 healthcare workers following Lapu Lapu Day tragedy Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.09.2025 TikTok Pte. Ltd.Kanadische Aufsichten: TikTok schützte Kinderdaten unzureichend Sonstiges
Die gemeinsame Untersuchung ergab, dass jährlich Hunderttausende Kinder trotz Mindestalter 13 die Plattform nutzten und TikTok ohne wirksame Einwilligung Daten auch für Profilbildung und Werbung verarbeitete. TikTok sagte bessere Altersprüfung und verständlichere Datenschutzhinweise zu und stellte schon während der Untersuchung gezielte Werbung an unter 18-Jährige weitgehend ein (außer nach groben Kategorien wie Sprache und ungefährem Ort).
Altersgrenzen in den Nutzungsbedingungen genügen nicht – Plattformen brauchen wirksame Altersprüfung und kindgerechte Transparenz.
- Behörde / Gericht
- Office of the Privacy Commissioner of Canada gemeinsam mit den Aufsichten von Québec, British Columbia und Alberta
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- PIPEDA und Datenschutzgesetze für den Privatsektor von Québec, British Columbia und Alberta
- Maßnahme
- Sonstiges
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 23.09.2025
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
20.05.2025 13859380 Canada Inc. (Crane Supply)Crane Supply: CAI begrenzt Fahrerkameras mit KI-Ereigniserkennung in Lieferwagen Anordnung
Der Großhändler für Rohre und Armaturen hatte 2023 in allen Lieferfahrzeugen ein Kamerasystem installiert, das auch die Fahrerkabine vom Motorstart bis 20 Minuten nach dem Abstellen filmt und per künstlicher Intelligenz Ereignisse wie Handynutzung, fehlenden Gurt oder Rauchen erkennt. Die Commission d'accès à l'information sah die Notwendigkeit der Erhebung nicht belegt, weil der Eingriff in die Privatsphäre der Fahrer nicht ausreichend minimiert war, und ordnete an, Innenaufnahmen auf wenige Sekunden vor und nach einem Vorfall zu begrenzen oder einzustellen, nach dem Abstellen des Motors nicht mehr zu filmen und darüber hinausgehende Aufnahmen zu vernichten.
Kameras in Firmenfahrzeugen sollten nur ereignisbezogen aufzeichnen; eine durchgehende Aufnahme der Fahrer lässt sich kaum rechtfertigen.
Videoüberwachung von Beschäftigten in Firmenfahrzeugen
- Behörde / Gericht
- Commission d'accès à l'information du Québec (CAI), section de surveillance
- Rechtsgebiet
- Datenschutz · Beschäftigtendaten
- Rechtsgrundlage
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), Art. 5 (Notwendigkeit der Erhebung) und Art. 83
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Handel und E-Commerce
- CAI, section de surveillance: Décision 1031833-S, 13859380 Canada Inc. (Crane Supply), 20.05.2025 Entscheidung einer Behörde
- CAI: Répertoire des décisions rendues par la section de surveillance Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
18.02.2025 Metro Inc.Metro: CAI verbietet Gesichtserkennungs-Datenbank gegen Ladendiebstahl Anordnung
Metro meldete der Commission d'accès à l'information 2024 ein Pilotprojekt, bei dem Personen in Filialen der Marken Metro, Super C und Jean Coutu über die Videokameras an Ein- und Ausgängen per Gesichtserkennung mit einer biometrischen Datenbank abgeglichen werden sollten; aufgenommen werden sollten Personen, die an Ladendiebstählen oder Betrug mit Polizeieinsatz beteiligt waren. Die CAI wertete dies als Identitätsprüfung mit biometrischen Merkmalen, die nach Art. 44 LCCJTI die ausdrückliche Einwilligung der Betroffenen erfordert, und untersagte die Inbetriebnahme der Datenbank. Die Entscheidung wird vor der Cour du Québec angefochten. Die Entscheidung ist nicht rechtskräftig.
Biometrische Gesichtserkennung im Handel setzt in Québec die ausdrückliche Einwilligung der Betroffenen voraus, auch bei Pilotprojekten.
Biometrie und Gesichtserkennung zur Diebstahlprävention im Handel
- Behörde / Gericht
- Commission d'accès à l'information du Québec (CAI), section de surveillance
- Rechtsgebiet
- Datenschutz · Videoüberwachung
- Rechtsgrundlage
- Loi concernant le cadre juridique des technologies de l'information (RLRQ c. C-1.1), Art. 44 und 45; Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), Art. 83
- Maßnahme
- Anordnung
- Verfahrensstand
- angefochten
- Branche
- Handel und E-Commerce
- Beschäftigte
- 10.000 und mehr
- CAI, section de surveillance: Décision 1037199-S, Metro Inc., 18.02.2025 Entscheidung einer Behörde
- CAI, section de surveillance: Décision 1037199-S, Metro Inc., 01.04.2026 (Folgeentscheidung, Rn. 5–6: Anfechtung der Entscheidung vom 18.02.2025 vor der Cour du Québec) Entscheidung einer Behörde
- CAI: Répertoire des décisions rendues par la section de surveillance Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
04.09.2024 eine kanadische DruckereiDruckerei: CAI ordnet Ende der Gesichtserkennung bei der Zutrittskontrolle an Anordnung
Die Druckerei hatte 2020 in der Pandemie ein Zutrittssystem mit Gesichtserkennung und Temperaturmessung für ihre Beschäftigten eingeführt und die Gesichtserkennung weiter genutzt, nachdem die Temperaturmessung im Oktober 2022 eingestellt worden war. Die Commission d'accès à l'information befand, das Unternehmen habe nicht nachgewiesen, dass die Erhebung der biometrischen Daten für die Zutrittskontrolle notwendig ist, und ordnete an, binnen 90 Tagen die Erhebung und die Nutzung der Gesichtserkennung zu beenden und die erzeugten biometrischen Vorlagen zu vernichten.
Biometrische Zutrittskontrollen für Beschäftigte brauchen einen dokumentierten Nachweis, dass ihr Nutzen den Eingriff in die Privatsphäre überwiegt.
Biometrische Zutrittskontrolle am Arbeitsplatz
- Behörde / Gericht
- Commission d'accès à l'information du Québec (CAI), section de surveillance
- Rechtsgebiet
- Datenschutz · Beschäftigtendaten
- Rechtsgrundlage
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), Art. 4 (Notwendigkeit der Erhebung) und Art. 83
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Industrie und Maschinenbau
- CAI, Entscheidungen der Überwachungssektion (Übersicht) (Entscheidung 2024) Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Unternehmensname anonymisiert seit 04.09.2026 · Direktlink