Wer wurde wofür sanktioniert?

Die britische Datenschutzaufsicht ICO sprach gegenüber dem ACRO Criminal Records Office eine Verwarnung (reprimand) aus. Anlass war nach Angaben der ICO ein Cybervorfall, bei dem personenbezogene Daten von rund 10.000 Betroffenen im Vereinigten Königreich betroffen sein konnten. Die ICO sah Verstöße gegen die Pflicht zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen nach Art. 32 UK GDPR. Ein Bußgeld wurde nicht verhängt.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen Elderly Aids Limited, einen Anbieter von Anrufsperr-Geräten, eine Geldbuße von 190.000 Pfund und erließ zusätzlich eine Durchsetzungsanordnung (enforcement notice). Nach den Feststellungen der ICO hatte das Unternehmen 758.053 unerbetene Direktmarketing-Anrufe an Anschlüsse getätigt, die im Telefon-Sperrregister TPS/CTPS eingetragen waren und keine Einwilligung erteilt hatten; daraus gingen 20 Beschwerden hervor. Grundlage sind die Regulations 21 und 24 der PECR. Bei Zahlung bis 7. September 2026 ermäßigt sich der Betrag laut Bescheid um 20 % auf 152.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998 (Geldbuße), section 40 DPA 1998 (Anordnung)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Originalbetrag 190.000 GBP, umgerechnet zum EZB-Referenzkurs vom 06.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Met Police übergab einem Angeklagten ungeschwärzte Unterlagen mit neuer Adresse und Telefonnummer eines Stalking-Opfers und legte in einer Rundmail 18 Personen mit Parlamentsbezug im offenen Verteiler offen. Die ICO ordnete Verbesserungen binnen 3 und 12 Monaten an, u. a. bei den Schulungsquoten im Datenschutz.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Data Protection Act 2018, Section 40

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Veröffentlicht

05.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte gegen Thermotech Wall and Loft Surveys Ltd eine Geldbuße von 240.000 Pfund und erließ eine Durchsetzungsanordnung. Nach einer Durchsuchung im April 2025 stellte die Behörde fest, dass das Unternehmen zwischen Oktober 2024 und März 2025 575.062 unerbetene Werbeanrufe an Nummern veranlasst hatte, die seit mehr als 28 Tagen im TPS-Register eingetragen waren. Es gingen 132 Beschwerden ein. Grundlage sind die Regulations 21 und 24 der PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Originalbetrag 240.000 GBP, umgerechnet zum EZB-Referenzkurs vom 28.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen ein britisches Marketingunternehmen eine Geldbuße von 300.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen mehr als 5,5 Millionen unerbetene Werbe-SMS versendet, darunter Nachrichten, die wie Schreiben von Gerichtsvollziehern aufgemacht waren. Beim Spam-Meldedienst 7726 gingen über 60.000 Beschwerden ein. Die ICO stützte sich auf die Regulations 22 und 23 der PECR (elektronische Werbung ohne Einwilligung, verschleierte Absenderidentität).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 22 und 23 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 300.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Über eine Phishing-Mail gelangte 2020 Schadsoftware in das Netz des Wasserversorgers und blieb rund 20 Monate unentdeckt; 2022 erlangten Angreifer Administratorrechte und stahlen Daten von 633.887 Personen, die im Darknet landeten. Die ICO bemängelte u. a. eine Überwachung von nur 5 % der IT-Umgebung, veraltete Software wie Windows Server 2003 und fehlendes Schwachstellen- und Patchmanagement.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Energie und Versorgung

Verschulden

fahrlässig

Mildernde Umstände

40 % Minderung wegen frühen Schuldeingeständnisses; Zahlung ohne Rechtsmittel vereinbart.

Veröffentlicht

11.05.2026

Originalbetrag 963.900 GBP, umgerechnet zum EZB-Referenzkurs vom 07.05.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO erließ gegen ein britisches Unternehmen eine Durchsetzungsanordnung (enforcement notice). Nach den Feststellungen der ICO hatte das Unternehmen Anrufe zu Dienstleistungen der Schadensregulierung (claims management) veranlasst, ohne dass die Angerufenen eingewilligt hatten. Solche Anrufe sind nach Regulation 21A der PECR nur mit vorheriger Einwilligung zulässig; zudem sah die ICO einen Verstoß gegen Regulation 24. Der Bescheid ist eine Durchsetzungsanordnung; eine Geldbuße enthält er nicht.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21A und 24 PECR; section 40 DPA 1998

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen Energy Prices Direct Limited, einen Vermittler von Energietarifwechseln, eine Geldbuße von 160.000 Pfund. Nach den Feststellungen der ICO hatte das Unternehmen Kontaktdaten aus öffentlichen Quellen und von Listenanbietern bezogen und vor seinen Werbeanrufen nicht mit den Sperrregistern TPS/CTPS abgeglichen. Grundlage sind die Regulations 21 und 24 der PECR. Bei fristgerechter Zahlung ermäßigt sich der Betrag laut Bescheid um 20 % auf 128.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Originalbetrag 160.000 GBP, umgerechnet zum EZB-Referenzkurs vom 30.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte im März 2026 gegen ein kleines britisches Direktmarketing-Unternehmen eine Geldbuße von 130.000 Pfund und erließ zusätzlich eine Durchsetzungsanordnung. Nach den Feststellungen der ICO ließ das Unternehmen 2024 innerhalb von knapp elf Monaten mehr als 230.000 persönliche (nicht automatisierte) Werbeanrufe an Anschlüsse tätigen, die seit über 28 Tagen im britischen Sperrregister für Werbeanrufe (Telephone Preference Service, TPS) eingetragen waren; dazu gingen 12 Beschwerden ein. Die ICO wertete dies als Verstoß gegen Regulation 21 PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 130.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen Reddit, Inc. eine Geldbuße von 14.472.500 Pfund. Nach den Feststellungen der Behörde setzte die Plattform keine belastbare Altersprüfung ein und hatte daher keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten von Kindern unter 13 Jahren. Außerdem hatte Reddit nach Feststellung der ICO vor Januar 2025 keine Datenschutz-Folgenabschätzung zu den Risiken für Kinder durchgeführt. Die ICO sah Verstöße gegen Art. 5(1)(a), 6, 8 und 35 UK GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155 DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Originalbetrag 14.472.500 GBP, umgerechnet zum EZB-Referenzkurs vom 23.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber der City of London Police eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizeibehörde zwischen 1. April 2023 und 31. Juli 2025 Auskunftsersuchen betroffener Personen (subject access requests) nicht innerhalb der gesetzlichen Frist beantwortet. Die ICO sah darin Verstöße gegen Art. 12(3) UK GDPR und section 45(3) DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) UK GDPR; section 45(3) DPA 2018; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen MediaLab.AI, Inc., die bis 30. September 2025 die Plattform Imgur im Vereinigten Königreich betrieb, eine Geldbuße von 247.590 Pfund. Nach den Feststellungen der ICO ließ Imgur Kinder unter 13 Jahren nach eigener Darstellung unter elterlicher Aufsicht zu und stützte sich auf Einwilligung als Rechtsgrundlage, hatte aber keine Möglichkeit, das Alter der Nutzer festzustellen und damit die erforderliche elterliche Einwilligung einzuholen. Die ICO sah daher keine wirksame Rechtsgrundlage und stellte zudem das Fehlen einer Datenschutz-Folgenabschätzung fest (Art. 5(1)(a), 6, 8 und 35 UK GDPR).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155(1)(a) DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Originalbetrag 247.590 GBP, umgerechnet zum EZB-Referenzkurs vom 04.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen TMAC Ltd eine Geldbuße von 100.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen zwischen 8. Februar und 24. September 2024 260.332 unerbetene Werbeanrufe an Nummern getätigt, die im Telefon-Präferenzregister TPS (betrieben von der Telephone Preference Service Ltd) eingetragen waren. Außerdem erhielten die Angerufenen nicht die nach Regulation 24 der PECR vorgeschriebenen Angaben zum Anrufer. Grundlage sind die Regulations 21 und 24 der PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21(1)(b) und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 100.000 GBP, umgerechnet zum EZB-Referenzkurs vom 03.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen Allay Claims Ltd eine Geldbuße von 120.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen in großem Umfang unerbetene SMS verschickt, mit denen es Dienstleistungen zur Rückforderung von Steuern auf PPI-Erstattungen bewarb; die Anordnung nennt dafür den Zeitraum 1. Februar 2023 bis 13. Februar 2024. Die ICO sah einen schweren Verstoß gegen Regulation 22 der PECR (elektronische Werbung ohne Einwilligung).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulation 22 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Originalbetrag 120.000 GBP, umgerechnet zum EZB-Referenzkurs vom 15.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen die Police Service of Scotland eine Geldbuße von 66.000 Pfund und sprach zugleich eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei im Rahmen eines Strafverfahrens in großem Umfang Daten vom Mobiltelefon einer bei ihr beschäftigten Person heruntergeladen, die Anzeige erstattet hatte, ohne sicherzustellen, dass dies rechtmäßig, fair und auf das Erforderliche beschränkt war; die ICO sah darin Verstöße im Zeitraum 18. Januar bis 5. April 2021. Dafür sprach die ICO die Verwarnung nach sections 35 und 37 DPA 2018 (Part 3) aus. Ebenfalls nach Feststellung der ICO gab später die Abteilung für Berufsstandards (Professional Standards Department) diese Daten in einem internen Disziplinarverfahren unbefugt an die beschuldigte Person weiter. Für die Zusammenstellung solcher Disziplinarunterlagen fehlten angemessene technische und organisatorische Maßnahmen, und die Datenpanne wurde der ICO erst am 30.06.2022 gemeldet, obwohl die Polizei seit dem 17.06.2022 davon wusste. Für diese Verstöße verhängte die ICO die Geldbuße. Der gemeinsame Bescheid stützt sich unter anderem auf Art. 5(1)(f) und 32(1) UK GDPR (Sicherheit der Verarbeitung), Art. 5(1)(c) und 25 UK GDPR (Datenminimierung, Datenschutz durch Technikgestaltung) sowie Art. 33(1) UK GDPR (Meldung von Datenpannen).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(c), 5(1)(f), 25(1)-(2), 32(1) und 33(1) UK GDPR; section 155 DPA 2018 (Geldbuße); sections 35 und 37 DPA 2018 (Part 3), Verwarnung nach Schedule 13 para 2(c) DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 66.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen ZMLUK Limited eine Geldbuße von 105.000 Pfund. Nach den Feststellungen der ICO hatte das Unternehmen unerbetene Werbe-E-Mails für Energiesparprodukte verschickt; der Bescheid nennt dafür den Zeitraum 1. Januar bis 21. Juli 2023. Die ICO sah einen schweren Verstoß gegen Regulation 22 der PECR (elektronische Werbung ohne Einwilligung). Bei fristgerechter Zahlung ermäßigt sich der Betrag laut Bescheid um 20 % auf 84.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulation 22 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 105.000 GBP, umgerechnet zum EZB-Referenzkurs vom 11.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach am 2. Dezember 2025 gegenüber der Post Office Limited eine Verwarnung aus. Nach den Feststellungen der ICO hatte das Unternehmen am 25. April 2024 statt der vorgesehenen geschwärzten die ungeschwärzte Fassung einer Vergleichsurkunde auf seiner Unternehmenswebsite veröffentlicht. Dadurch wurden personenbezogene Daten von 502 Postmastern öffentlich, die am Gruppenverfahren von 2017 im Zusammenhang mit dem Horizon-IT-Skandal beteiligt waren. Die ICO sah darin mangels angemessener technischer und organisatorischer Maßnahmen Verstöße gegen Art. 5(1)(f), 32(1) und 32(2) UK GDPR; eine Geldbuße verhängte sie nicht.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 32(1) und 32(2) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

2022 kompromittierte ein Angreifer zunächst den Firmenlaptop eines Beschäftigten und dann den privaten Laptop eines leitenden Mitarbeiters, dessen Masterpasswort er per Keylogger abgriff. Weil privater und geschäftlicher Passwort-Tresor über dasselbe Masterpasswort verknüpft waren, gelangte er an die dort hinterlegten Zugangs- und Entschlüsselungsschlüssel und entwendete aus der Backup-Datenbank Daten von bis zu 1,6 Mio. britischen Nutzern. Laut beim britischen Unternehmensregister hinterlegtem Jahresabschluss für das Geschäftsjahr 2025 hatte das Unternehmen rund 35 Beschäftigte.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1 lit. f

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

Unter 50

Verschulden

fahrlässig

Veröffentlicht

11.12.2025

Originalbetrag 1.228.283 GBP, umgerechnet zum EZB-Referenzkurs vom 20.11.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Die ICO verhängte gegen Lead Pronto Ltd eine Geldbuße von 30.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen unerbetene SMS verschickt, die für staatlich geförderte Zuschüsse für Heizkessel warben. Die ICO sah einen schweren Verstoß gegen Regulation 22 der PECR (elektronische Werbung ohne Einwilligung).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulation 22 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 30.000 GBP, umgerechnet zum EZB-Referenzkurs vom 06.11.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Im März 2023 lud ein Beschäftigter unbeabsichtigt Schaddateien herunter; obwohl nach zehn Minuten ein Alarm auslöste, wurde das Gerät erst nach 58 Stunden isoliert. Angreifer entwendeten rund ein Terabyte Daten von 6,6 Mio. Menschen (u. a. Pensionsdaten, Strafregisterangaben). Bußgeld: 8 Mio. £ gegen Capita plc und 6 Mio. £ gegen Capita Pension Solutions.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Sonstige

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Mildernde Umstände

Vorläufig waren 45 Mio. £ angesetzt; Reduktion u. a. wegen Sicherheitsverbesserungen, Kreditüberwachung für Betroffene und Kooperation mit Behörden und NCSC.

Veröffentlicht

15.10.2025

Originalbetrag 14.000.000 GBP, umgerechnet zum EZB-Referenzkurs vom 15.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink