Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach Behörde- Privacy Commissioner for Personal Data (PCPD), Hongkong – 0 % · 7 Fälle
Wofür?
nach UnterthemaWen?
nach BrancheAlle Branchen
Wann?
je Jahr, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| 2022 | 2 | – |
| 2023 | 2 | – |
| 2024 | 1 | – |
| 2025 | 1 | – |
| 2026 | 1 | – |
7 Fälle
23.04.2026 Yau Yat Chuen Garden City Club LimitedRansomware über Fernwartungszugang: Enforcement Notice gegen Privatclub Anordnung
Bei einem am 31.10.2025 gemeldeten Ransomware-Angriff auf das Mitgliederverwaltungssystem von Yau Yat Chuen Garden City Club Limited, einem privaten, nicht gewinnorientierten Freizeitclub, waren Daten von 9.045 aktuellen und ehemaligen Mitgliedern und Zusatzkarteninhabern betroffen, darunter Ausweis- oder Passnummern. Der Angreifer nutzte eine bekannte Schwachstelle in veralteter Fernwartungssoftware des externen Dienstleisters und gelangte ohne weitere Authentifizierung auf den angemeldet belassenen Server; Virenschutz und Firewall waren veraltet, und personenbezogene Daten wurden länger als nötig aufbewahrt. In seinem am 23.04.2026 veröffentlichten Untersuchungsbericht stellte der PCPD Verstöße gegen DPP 4(1) und DPP 2(2) fest und erließ eine Enforcement Notice.
Fernwartungszugänge von Dienstleistern gehören ins eigene Sicherheitskonzept: aktuelle Software, zusätzliche Authentifizierung und keine dauerhaft angemeldeten Server.
Fernwartungszugänge von Dienstleistern, Patch-Management und Aufbewahrungsfristen
- Behörde / Gericht
- Privacy Commissioner for Personal Data (PCPD), Hongkong
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Personal Data (Privacy) Ordinance, Data Protection Principles 4(1) und 2(2); Enforcement Notice
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Sonstige
- Veröffentlicht
- 23.04.2026
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
21.08.2025 Kwong's Art Jewellery Trading Company Limited, My Jewelry Management LimitedSchmuckunternehmen: Datenabfluss bei rund 79.400 Personen – Enforcement Notices Anordnung
Bei Kwong's Art Jewellery Trading Company Limited und ihrer Einzelhandelstochter My Jewelry Management Limited, die ihre IT-Systeme gemeinsam betreiben, verschaffte sich ein Angreifer (Meldung im November 2024) per Brute-Force-Angriff die Zugangsdaten eines Administratorkontos, entwendete die Datenbank und löschte sie; betroffen waren rund 79.400 Personen, darunter Kunden sowie aktuelle und ehemalige Beschäftigte. Der PCPD stellte in seinem am 21.08.2025 veröffentlichten Bericht Verstöße gegen DPP 4(1) fest, u. a. weil das Konto eines ausgeschiedenen Mitarbeiters nicht rechtzeitig gelöscht worden war, Server-Betriebssysteme veraltet waren und Sicherheitsrichtlinien sowie Sicherheitsprüfungen fehlten. Beide Unternehmen erhielten Enforcement Notices zur Beseitigung der Mängel und zur Vermeidung weiterer Verstöße.
Konten ausgeschiedener Beschäftigter sofort löschen, Server aktuell halten und Administratorzugänge gegen Brute-Force-Angriffe absichern.
Zugangsverwaltung beim Austritt, Patch-Management und Schutz von Administratorkonten
- Behörde / Gericht
- Privacy Commissioner for Personal Data (PCPD), Hongkong
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Personal Data (Privacy) Ordinance, Data Protection Principle 4(1); Enforcement Notices
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Handel und E-Commerce
- Veröffentlicht
- 21.08.2025
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
02.04.2024 eine staatseigene Hongkonger Technologiepark-GesellschaftRansomware bei Technologiepark: PCPD stellt Verstöße fest und erlässt Enforcement Notice Anordnung
Nach einem Ransomware-Angriff im August 2023 auf die Technologiepark-Gesellschaft, die vollständig der Hongkonger Regierung gehört, waren Daten von 13.632 Personen betroffen; Datenproben tauchten im Darknet auf. Der PCPD stellte am 02.04.2024 Verstöße gegen die Datensicherheitspflicht (DPP 4(1)) und die Löschpflicht (DPP 2(2)) fest: Brute-Force-Angriffe wurden nicht erkannt, Fernzugriffe liefen ohne Multi-Faktor-Authentifizierung, Sicherheitsaudits waren unzureichend, die Sicherheitsrichtlinie war zu unkonkret, und Daten von 5.292 abgelehnten Bewerbern und ehemaligen Beschäftigten waren über die Aufbewahrungsfrist hinaus gespeichert. Per Enforcement Notice muss die Gesellschaft u. a. Multi-Faktor-Authentifizierung einführen, jährlich unabhängige Sicherheitsaudits durchführen und überfällige Daten löschen.
Multi-Faktor-Authentifizierung für Fernzugänge und konsequentes Löschen nach Fristablauf begrenzen Schaden und Haftung bei Cyberangriffen.
Ransomware, Multi-Faktor-Authentifizierung für Fernzugriffe und Löschfristen
- Behörde / Gericht
- Privacy Commissioner for Personal Data (PCPD), Hongkong
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Personal Data (Privacy) Ordinance (Cap. 486), Data Protection Principles 4(1) und 2(2); Enforcement Notice nach s. 50(1)
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Öffentlicher Sektor
- Veröffentlicht
- 02.04.2024
- Privacy Commissioner for Personal Data (PCPD), Hongkong, Veröffentlichung der Behörde (Entscheidung 2024) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 02.04.2026 · Direktlink
Fehler melden
21.12.2023 ein Online-Marktplatz (Hongkonger Gesellschaft)PCPD: Durchsetzungsanordnung gegen Online-Marktplatz nach Abgriff von Nutzerdaten Anordnung
Nachdem Daten von 2,6 Mio. Nutzern des Marktplatzes weltweit, darunter 324.232 Konten in Hongkong, in einem Onlineforum zum Kauf angeboten worden waren, stellte die PCPD einen Verstoß der Hongkonger Gesellschaft des Marktplatzes gegen DPP 4(1) fest. Ursache war eine bei einer Systemmigration im Januar 2022 entstandene Schwachstelle in einer Programmierschnittstelle; es fehlten eine Datenschutz-Folgenabschätzung, eine vollständige Code-Prüfung, eine gründliche Sicherheitsbewertung, eine schriftliche Code-Review-Richtlinie und wirksame Erkennungsmaßnahmen. Die PCPD erließ eine Enforcement Notice, obwohl die Systeme zentral von der Unternehmensgruppe betrieben wurden.
Eine lokale Gesellschaft bleibt für die Datensicherheit verantwortlich, auch wenn der Konzern die Systeme zentral betreibt; Migrationen brauchen vorab Folgenabschätzung und Sicherheitsprüfung.
Datenschutz und Code-Prüfung bei Systemmigrationen
- Behörde / Gericht
- Privacy Commissioner for Personal Data (PCPD), Hongkong
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Data Protection Principle 4(1) Schedule 1 und Section 50(1) Personal Data (Privacy) Ordinance (Cap. 486)
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Mildernde Umstände
- Rasche Meldung der Datenpanne an die PCPD und die betroffenen Nutzer, Kooperation bei der Untersuchung, freiwilliges Eingeständnis der Mängel sowie technische und organisatorische Maßnahmen der Unternehmensgruppe nach dem Vorfall.
- Veröffentlicht
- 21.12.2023
- Privacy Commissioner for Personal Data (PCPD), Hongkong, Veröffentlichung der Behörde (Entscheidung 2023) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 21.12.2025 · Direktlink
Fehler melden
21.12.2023 ein Luxusmodeunternehmen in HongkongPCPD: Durchsetzungsanordnung gegen Luxusmodeunternehmen wegen Gesundheitsdaten im Chat Anordnung
Ein Vorgesetzter bei dem Luxusmodeunternehmen teilte das Foto einer ärztlichen Diagnosebescheinigung eines Beschäftigten in einer dienstlichen Chatgruppe mit rund 14 Mitgliedern und leitete dessen Krankschreibung in eine weitere Gruppe mit rund 10 Mitgliedern weiter. Die PCPD sah darin eine Nutzung der Gesundheitsdaten zu einem neuen Zweck ohne ausdrückliche Einwilligung und damit einen Verstoß gegen DPP 3(1). Sie erließ eine Enforcement Notice, die Richtlinien, deren Aufnahme in Schulungen, Sensibilisierung der Beschäftigten und regelmäßige Überwachung verlangt.
Krankmeldungen und Diagnosen gehören nur zu den Personen, die sie für Personalentscheidungen brauchen, nicht in Team-Chats.
Umgang mit Gesundheitsdaten von Beschäftigten in Messenger-Gruppen
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Privacy Commissioner for Personal Data (PCPD), Hongkong
- Rechtsgebiet
- Datenschutz · Beschäftigtendaten
- Rechtsgrundlage
- Data Protection Principle 3(1) Schedule 1 Personal Data (Privacy) Ordinance (Cap. 486)
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Handel und E-Commerce
- Veröffentlicht
- 21.12.2023
- Privacy Commissioner for Personal Data (PCPD), Hongkong, Veröffentlichung der Behörde (Entscheidung 2023) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 21.12.2025 · Direktlink
Fehler melden
14.11.2022 eine Hongkonger Fotoservice-KettePCPD: Durchsetzungsanordnung gegen Fotoservice-Kette nach Angriff über ungepatchtes VPN Anordnung
Nach einem Ransomware-Angriff im Oktober 2021 auf die Datenbank des Onlineshops der Fotoservice-Kette, von dem 544.862 Mitglieder und 73.957 Kunden des Onlineshops betroffen waren, stellte die PCPD einen Verstoß gegen das Datensicherheitsprinzip DPP 4(1) fest. Das Unternehmen wusste spätestens seit September 2019 von einer im Mai 2019 bekannt gemachten Schwachstelle im SSL-VPN seiner Firewall, spielte die Korrektur aber nicht ein und nutzte für den Fernzugang keine Mehr-Faktor-Authentifizierung. Die PCPD erließ eine Enforcement Notice, die eine Sicherheitsüberprüfung, regelmäßige Prüfungen durch einen unabhängigen Experten, Schwachstellenscans und Regeln zum Patch-Management verlangt; die Umsetzung ist binnen drei Monaten nachzuweisen.
Bekannte Schwachstellen in Fernzugängen müssen umgehend gepatcht werden, besonders wenn sich durch Homeoffice die Zahl der Nutzer erhöht.
Patch-Management und Mehr-Faktor-Authentifizierung für Fernzugänge
- Behörde / Gericht
- Privacy Commissioner for Personal Data (PCPD), Hongkong
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Data Protection Principle 4(1) Schedule 1 und Section 50(1) Personal Data (Privacy) Ordinance (Cap. 486)
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Handel und E-Commerce
- Mildernde Umstände
- Rechtzeitige Meldung der Datenpanne, Kooperation mit der PCPD und technische wie organisatorische Maßnahmen nach dem Vorfall.
- Veröffentlicht
- 14.11.2022
- Privacy Commissioner for Personal Data (PCPD), Hongkong, Veröffentlichung der Behörde (Entscheidung 2022) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 14.11.2024 · Direktlink
Fehler melden
14.11.2022 ein Hongkonger börsennotierter GesundheitskonzernGesundheitskonzern teilte Kundendaten markenübergreifend: Enforcement Notice Anordnung
Der Privacy Commissioner for Personal Data (PCPD) stellte in einem am 14.11.2022 veröffentlichten Untersuchungsbericht fest, dass der börsennotierte Gesundheitskonzern nach der Übernahme zweier Marken deren Kundendaten in ein konzernweites System übernommen und dem Personal anderer Marken zugänglich gemacht hatte; in den zwei zugrunde liegenden Beschwerdefällen waren die Betroffenen weder informiert worden noch hatten sie eingewilligt. Das System wurde von 28 der 39 Konzernmarken genutzt und enthielt Daten von rund 1,08 Mio. Mitgliedern; der PCPD sah einen Verstoß gegen die Zweckbindung nach DPP 3(1). Per Enforcement Notice muss der Konzern das markenübergreifende Teilen ohne Einwilligung einstellen, Richtlinien für Kundendaten aus Übernahmen erlassen und das Personal schulen.
Bei Übernahmen dürfen Kundendaten nicht einfach in Konzernsysteme überführt werden – Erhebungszweck und Einwilligung müssen die Weitergabe tragen.
Zweckbindung und Datenteilung im Konzern nach Übernahmen
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Privacy Commissioner for Personal Data (PCPD), Hongkong
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- Personal Data (Privacy) Ordinance (Cap. 486), Schedule 1, Data Protection Principle 3(1); Enforcement Notice nach s. 50(1)
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Gesundheitswesen
- Veröffentlicht
- 14.11.2022
- Privacy Commissioner for Personal Data (PCPD), Hongkong, Veröffentlichung der Behörde (Entscheidung 2022) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 14.11.2024 · Direktlink