Wer wurde wofür sanktioniert?

Die Eigentümergemeinschaft (Management Corporation) der Wohnanlage Riverfront Residences hatte bis März 2025 keinen Datenschutzbeauftragten (Data Protection Officer) benannt, keine eigenen Datenschutzregeln und ihrem Hausverwalter, der als Auftragsverarbeiter (data intermediary) für sie tätig war, keine Vorgaben zum Umgang mit personenbezogenen Daten gemacht; im April 2025 schickte ein Beschäftigter des Verwalters Namen, Adressen und Hausgeldangaben zweier Eigentümer versehentlich an einen anderen Eigentümer. Die Datenschutzbehörde PDPC stellte Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) und die Schutzpflicht (Protection Obligation) fest; in der Versendung eines Antrags auf eine außerordentliche Versammlung mit Namen und Unterschriften von 303 Eigentümern sah sie dagegen wegen vorrangigen Wohnungseigentumsrechts keinen Verstoß. Sie ordnete an, binnen 90 Tagen Richtlinien und Verfahren für die Datenverarbeitung durch den Verwalter einzuführen und diesem mitzuteilen; der Verwalter selbst hatte eine freiwillige Verpflichtungszusage abgegeben.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Sections 11(3) und 12(a) PDPA 2012 (Accountability Obligation); Section 24 i. V. m. Section 4(3) PDPA (Protection Obligation bei Einsatz eines Data Intermediary)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Anbieter cloudbasierter HR-Software erhielt im April 2024 eine Erpresser-E-Mail; ein Angreifer hatte Datenbanken auf seinen AWS-Servern gelöscht und wahrscheinlich Daten ausgeleitet, mutmaßlich entwendete Daten wurden im Darknet angeboten – gefährdet waren Daten von 95.000 Beschäftigten seiner Kunden (u. a. Ausweisnummer, Gehalt, Bankkonto, Religion) sowie von 24.765 Notfallkontakten und Kindern. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil der Anbieter trotz der ihm von Kunden anvertrauten Personaldaten keine Web Application Firewall gegen vorhandene SQL-Injection-Lücken, einen offen aus dem Internet erreichbaren Remote-Desktop-Zugang ohne Zwei-Faktor-Authentifizierung und nur alle zwei Jahre Schwachstellenscans hatte. Sie verhängte 17.500 SGD, wegen der Liquiditätslage zahlbar in zwölf Monatsraten, und ordnete u. a. eine Web Application Firewall, jährliche Penetrationstests, Zwei-Faktor-Authentifizierung und die Verschlüsselung aller Personaldatenfelder an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß; Ratenzahlung mit Rücksicht auf die Liquidität, ein Erlass wurde abgelehnt.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 08.01.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Im August 2024 verschlüsselte ein Angreifer ein von SESAMi und ihrer Tochter Abecha gemeinsam genutztes Netzlaufwerk mit Zahlungsdaten (u. a. vollständige Kreditkartennummern und Kontodaten) von rund 20.471 Kunden eines Kraftstoff-Flottenrabattprogramms der Tochter und bis zu 18.837 Personen aus der Registrierung für SESAMis B2B-Plattform; eine Ausleitung ließ sich nicht nachweisen. Die Datenschutzbehörde PDPC stufte SESAMi, das das Netz ohne schriftlichen Vertrag für die Tochter betrieb, insoweit als Auftragsverarbeiter (data intermediary) ein und stellte bei SESAMi einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (u. a. veraltete Firewall- und VPN-Firmware, kein Patch-Management, nicht durchgesetzte Passwort- und MFA-Regeln), ebenso bei Abecha, die als Verantwortliche nichts unternommen hatte, um angemessene Sicherheit bei SESAMi sicherzustellen. SESAMi erhielt 8.750 SGD und Anordnungen, Abecha als verantwortliche Stelle nur Anordnungen, darunter eine schriftliche Regelung der Rollen und Datenschutzpflichten im Konzern.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 4(3) PDPA (Pflichten bei Einsatz eines Data Intermediary); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Kooperation, rasche und wirksame Abhilfe, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure); bei Abecha zudem geringere Schuld wegen begrenzter Eigenständigkeit als hundertprozentige Tochter, einer der Gründe, von einer Geldbuße gegen sie abzusehen.

Veröffentlicht

26.02.2026

Originalbetrag 8.750 SGD, umgerechnet zum EZB-Referenzkurs vom 29.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach einem im Dezember 2023 öffentlich gewordenen Cyberangriff auf das Reisebüro waren im Buchungssystem Daten von 336.759 Personen betroffen, teils mit vollständigen Bildern von Ausweisen, Pässen und Geburtsurkunden; ein Teil der Daten wurde ausgeleitet. Die Datenschutzbehörde PDPC stellte fahrlässige Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) fest – Datenschutzbeauftragter erst im April 2024 benannt, außer der Datenschutzerklärung für Kunden keine internen Richtlinien, kein Beschwerdeverfahren und keine Information der Beschäftigten – sowie gegen die Schutzpflicht (Protection Obligation), weil Verträge mit den IT-Dienstleistern zu Sicherheitsaufgaben fehlten, keine Sicherheitsüberprüfungen stattfanden, keine Mehr-Faktor-Authentifizierung bestand und der Server noch mit dem nicht mehr unterstützten Windows Server 2012 lief. Sie verhängte 47.000 SGD, wies Einwände zu Corona-Verlusten und Vergleichsfällen zurück und ordnete u. a. Richtlinien, Sicherheitsklauseln in Dienstleisterverträgen und einen Penetrationstest durch einen von der Cyber Security Agency (CSA) lizenzierten Anbieter an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Sections 11(3) und 12 PDPA 2012 (Accountability Obligation); Section 24 PDPA (Protection Obligation); Section 48J(1)(a) PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Freiwilliges frühes Eingeständnis der Verstöße (als erheblich mildernd gewertet) sowie rasche und wirksame Abhilfe.

Veröffentlicht

08.01.2026

Originalbetrag 47.000 SGD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Bei der manuellen Übertragung von API-Konfigurationen auf eine neue Middleware (September 2022 bis März 2023) ließ ein allein verantwortlicher Mitarbeiter eine App-Kennung aus, sodass die Token-Prüfung für die Webseite des Museumsprogramms ArtScience Friends mindestens sechs Monate nicht griff; ein Angreifer nutzte dies im Oktober 2023 und rief Daten von 665.495 Mitgliedern des Treueprogramms Sands Rewards Lifestyle ab, die anschließend im Darknet angeboten wurden. Die Datenschutzbehörde PDPC wertete es als fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation), dass sich das Resort ohne unabhängige Gegenprüfung oder Automatisierung auf diesen einen Mitarbeiter verließ. Die vorläufig vorgesehenen 450.000 SGD setzte sie nach der Stellungnahme des Unternehmens auf 315.000 SGD herab; Anordnungen ergingen wegen der bereits umgesetzten Abhilfe nicht.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 Personal Data Protection Act 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Im Übrigen angemessene Sicherheitsvorkehrungen, Eindämmung noch am Tag der Entdeckung, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure), Kooperation und freiwillige Benachrichtigung aller Betroffenen.

Veröffentlicht

28.10.2025

Originalbetrag 315.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der SaaS-Anbieter betreibt für lizenzierte Geldverleiher ein an das Kreditbüro für Geldverleiher angebundenes System, in das die Kunden Daten von Kreditantragstellern und Schuldnern eingeben; im Juni 2024 übernahm ein Angreifer über eine verwundbare Webanwendung das Systemadministratorkonto des SQL-Servers, das nur mit einem leicht zu erratenden Passwort geschützt war, löschte Datenbanken und leitete Daten von 190.589 Personen samt Kreditauskunftsdaten aus, die im Darknet angeboten wurden. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (unzureichende Zugriffskontrolle, keine Schwachstellen- oder Penetrationstests) und hielt wegen der Rolle als Anbieter, der ihm anvertraute Kundendaten verarbeitet, eine Geldbuße von 17.500 SGD für angemessen; den Antrag auf Erlass oder Minderung wies sie ab. Zusätzlich muss das Unternehmen für sein neues Netz binnen neun Monaten die Cyber-Trust-Mark-Zertifizierung der Cyber Security Agency of Singapore (CSA) erlangen.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

03.07.2025

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 03.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Einen im Februar 2022 bereitgestellten Patch für eine bekannte Schwachstelle (CVE-2022-24086) der Magento-Plattform seines Onlineshops spielte der Juwelier erst im Januar 2023 ein; über die Lücke zog ein Angreifer die Kundendatenbank mit Daten von 41.379 Personen ab und stellte sie im Mai 2023 in ein Onlineforum. Die Datenschutzbehörde PDPC stellte einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil sich das Unternehmen beim Patchen ganz auf seinen Wartungsdienstleister verließ, ohne dies zu steuern oder zu überwachen, und verwarf den Einwand, der Dienstleister sei Auftragsverarbeiter (data intermediary) gewesen. Neben 58.000 SGD (vorläufig 64.000 SGD; der Vorwurf zu im Klartext gespeicherten Zugangsdaten entfiel nach der Stellungnahme) ordnete sie einen externen Sicherheitsaudit der Zugriffskontrollen mit Behebung der Lücken an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Rasche Abhilfe nach Bekanntwerden, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und Kooperation.

Veröffentlicht

08.01.2026

Originalbetrag 58.000 SGD, umgerechnet zum EZB-Referenzkurs vom 20.06.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Eine an einem Verkehrsunfall neben der Wohnanlage beteiligte Person verlangte im April 2024 Zugang zu den Aufnahmen der Überwachungskameras; der Sicherheitsdienst konnte sie mangels Administratorzugang nicht sichern, das System überschrieb sie nach 17 Tagen, und die Eigentümergemeinschaft lehnte das Ersuchen danach unter Verweis auf Daten Dritter und das Wohnungseigentumsrecht ab. Die Datenschutzbehörde PDPC hielt eine pauschale Ablehnung für nicht gerechtfertigt (Dritte hätten unkenntlich gemacht werden können), traf zur Auskunftspflicht mangels noch vorhandener Aufnahmen aber keine Feststellung und stellte einen fahrlässigen Verstoß gegen die Rechenschaftspflicht (Accountability Obligation) fest: kein Datenschutzbeauftragter, keine eigene Datenschutzrichtlinie (nur die des Verwalters) und keine Vorgaben an Verwalter und Sicherheitsdienst zu Auskunftsersuchen. Sie ordnete an, binnen 60 Tagen Richtlinien und ein Verfahren für Auskunftsersuchen zu Videoaufnahmen einzuführen und an Verwalter und Auftragnehmer weiterzugeben.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Sections 11(3) und 12 PDPA 2012 (Accountability Obligation); geprüft auch Sections 21 und 22A PDPA (Auskunft, Aufbewahrung bei Ablehnung)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Verschulden

fahrlässig

Mildernde Umstände

Die Eigentümergemeinschaft benannte nach dem Vorfall einen Datenschutzbeauftragten.

Veröffentlicht

07.08.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Anbieter von Kassen- und CRM-Software für kleine und mittlere Unternehmen meldete 2024 zwei Angriffe, bei denen Täter u. a. über SQL-Injection Dateien mit Daten von insgesamt 698.112 Personen abzogen, darunter Gesundheitsangaben (Hautbefunde und Behandlungen) von 9.122 Personen; die Daten wurden mutmaßlich in einem Hackerforum veröffentlicht. Die Datenschutzbehörde PDPC betonte, dass der SaaS-Anbieter große Datenmengen im Auftrag seiner Kunden vorhält, und stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest: öffentlich erreichbare Server, keine Netzwerk-Firewall, keine Sicherheitstests vor Releases, nicht mehr unterstützte Betriebssystem- und PHP-Versionen sowie ungeschützt in Quellcode- und Konfigurationsdateien hinterlegte Zugangsdaten. Neben 17.500 SGD ordnete sie ein Bündel von Maßnahmen an, von Netzsegmentierung und Patch-Management bis zu mindestens jährlichen Schwachstellen- und Penetrationstests.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 07.04.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Das Unternehmen versäumte bei einer Cloud-Migration 2020 und einer Umstrukturierung 2022, Daten von Beschäftigten, ehemaligen Beschäftigten, Direktoren und Aktionären auf einem gemeinsam genutzten Server der Tochter löschen zu lassen; im September 2022 verschaffte sich ein Angreifer über das kompromittierte Konto eines Dienstleisters der früheren Tochter Zugang zu diesem Server. Gefährdet waren zahlreiche Personen, bei einem Teil von ihnen könnten Daten – teils Ausweisbilder, Unterschriften, Bankkonten und Gehälter – abgeflossen sein. Die Datenschutzbehörde PDPC wertete die über zweijährige Nichtlöschung ohne klare Anweisungen an und Aufsicht über die Beschäftigten als fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) und verhängte wegen Dauer, Art der Daten und zur Abschreckung 120.000 SGD; von der früheren Tochter nahm sie eine freiwillige Verpflichtungszusage an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Verschulden

fahrlässig

Mildernde Umstände

Rasches Handeln nach dem Hinweis auf den Vorfall, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und Kooperation.

Veröffentlicht

02.08.2024

Originalbetrag 120.000 SGD, umgerechnet zum EZB-Referenzkurs vom 14.05.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 14.05.2026 · Direktlink

Über ein kompromittiertes Nutzerkonto verschaffte sich ein Angreifer zwischen Dezember 2022 und Januar 2023 per Remote Desktop Zugang zu Servern des Lohnabrechnungsdienstleisters und leitete Daten aus; auf einer Leak-Seite erschienen Daten von Beschäftigten eines Kunden, darunter Name, Ausweisnummer, Bankkonto und Gehalt. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil die sensiblen Daten auf ungesicherten internen Laufwerken lagen, Beschäftigte lokale Administratorrechte hatten und keine Mehr-Faktor-Authentifizierung bestand. Wegen der Rolle als Lohnabrechner und der Art der Daten hielt sie eine Geldbuße für angemessen und setzte 4.000 SGD fest.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

22.04.2024

Originalbetrag 4.000 SGD, umgerechnet zum EZB-Referenzkurs vom 22.04.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 22.04.2026 · Direktlink

Beim Online-Marktplatz hängte ein Softwarefehler 2022 E-Mail-Adressen und Namen von Nutzern an Chatnachrichten an Anbieter an, und eine fehlerhafte Programmierschnittstelle ließ einen Angreifer nicht öffentliche Nutzerdaten abgreifen; eine Person bot danach Daten zahlreicher Nutzer des Marktplatzes in einem Onlineforum zum Kauf an. Die PDPC stellte am 28. Dezember 2023 eine fahrlässige Verletzung der Schutzpflicht fest, weil Tests vor der Einführung zu eng angelegt und Funktions- und Technikspezifikationen unzureichend dokumentiert waren. Sie verhängte 58.000 SGD und wies den Marktplatz an, Testverfahren und Dokumentation zu überprüfen und Lücken zu schließen.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data Protection Act 2012, s 24 (Protection Obligation); Geldbuße nach s 48J PDPA ([2023] SGPDPC 13)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, rasche und wirksame Abhilfe, keine früheren Verstöße und frühes Eingeständnis im beschleunigten Verfahren; der Angreifer umging die vorhandenen Schutzmaßnahmen besonders geschickt.

Veröffentlicht

22.02.2024

Originalbetrag 58.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.12.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 28.12.2025 · Direktlink

Beim Betreiber einer Online-Sprachlernplattform für Kinder erriet ein Angreifer im April 2022 per Brute-Force-Angriff das seit über zwei Jahren unveränderte, schwache Passwort eines Administratorkontos und griff auf Daten zahlreicher Nutzer weltweit zu, darunter Schülerinnen und Schüler sowie Gehalts- und Bankdaten von Lehrkräften. Die Datenschutzbehörde PDPC stellte fahrlässige Verstöße gegen die Schutzpflicht (Protection Obligation) wegen fehlender Passwortregeln und gegen die Rechenschaftspflicht (Accountability Obligation) fest, weil seit der Gründung 2016 kein Datenschutzbeauftragter benannt war. Sie verhängte 74.000 SGD und lehnte die beantragte Senkung auf höchstens 35.000 SGD ab; Anordnungen ergingen wegen der umgesetzten Abhilfe nicht.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 11(3) PDPA (Accountability Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Kein Nachweis einer Ausleitung oder eines Missbrauchs, rasche Abhilfe einschließlich Benachrichtigung der Nutzer, freiwilliges Eingeständnis und Kooperation.

Veröffentlicht

21.03.2024

Originalbetrag 74.000 SGD, umgerechnet zum EZB-Referenzkurs vom 24.10.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 24.10.2025 · Direktlink

Im Juni 2022 stellte der Leasing- und Mietkaufanbieter fest, dass Ransomware sieben Server und sechs Arbeitsplatzrechner mit Daten zahlreicher Personen (Kunden, Bürgen und Beschäftigte) verschlüsselt hatte, darunter Ausweis-, Einkommens- und Bankdaten. Die PDPC stellte am 4. September 2023 einen Verstoß gegen die Schutzpflicht fest, weil ein seit zwei Jahren und neun Monaten verfügbarer Patch für die ausgenutzte Schwachstelle des VPN-Geräts nicht eingespielt war und Administratorkonten keine Mehr-Faktor-Authentifizierung hatten, und verhängte 82.000 SGD.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data Protection Act 2012, s 24 (Protection Obligation); s 48J PDPA ([2023] SGPDPC 9)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Kooperation, zügige Abhilfe und freiwillige Übernahme der Verantwortung im beschleunigten Verfahren.

Veröffentlicht

10.11.2023

Originalbetrag 82.000 SGD, umgerechnet zum EZB-Referenzkurs vom 04.09.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 04.09.2025 · Direktlink

Der Gesundheitsdienstleister hatte Callcenter- und Terminbuchungsdienste an ein Sozialunternehmen ausgelagert, das für seine Callcenter-Kräfte Kundendaten auf einen aus dem Internet erreichbaren Dateiserver kopierte, dessen Passwortschutz rund 20 Monate lang deaktiviert war; 2021 wurden Daten zahlreicher Kunden (u. a. Diagnosecodes und Bankdaten) unbefugt abgerufen und im Darknet angeboten. Die Datenschutzbehörde PDPC stellte beim Auftragsverarbeiter (data intermediary), dem Sozialunternehmen, Mängel bei Sicherheitsüberprüfungen und Passwortverwaltung fest und beim Gesundheitsdienstleister unzureichende laufende Aufsicht über den Dienstleister sowie die unnötige Weitergabe sensibler Finanz- und Gesundheitsdaten. Sie verhängte gegen beide zusammen 68.000 SGD und ordnete bei beiden Überprüfungen von Verträgen, Datenweitergabe und Prüfumfang an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation) i. V. m. Sections 4(2) und 4(3) PDPA (Data Intermediary); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Beide kooperierten, räumten die Verstöße im beschleunigten Verfahren (Expedited Decision Procedure) ein und leiteten rasch Abhilfe ein; bei der Bemessung wurde der rund 50-fach höhere Umsatz des Gesundheitsdienstleisters berücksichtigt.

Veröffentlicht

22.06.2023

Originalbetrag 68.000 SGD, umgerechnet zum EZB-Referenzkurs vom 23.03.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 23.03.2025 · Direktlink

Ein Angreifer übernahm 2020 das Konto eines Beschäftigten der Online-Lebensmittelplattform bei einem Code-Hosting-Dienst fand im Quellcode einen hoch privilegierten Zugangsschlüssel, in der Cloud einen weiteren und gelangte so an eine Datenbank mit Daten zahlreicher Kunden und Verkäufer, die danach in einem Onlineforum zum Kauf angeboten wurde. Die PDPC stellte am 28. Oktober 2022 einen Verstoß gegen die Schutzpflicht fest, weil die Schlüssel offenkundig unzureichend gesichert waren und die Datenbank keine eigene Authentifizierung hatte, und verhängte 72.000 SGD; Einwände gegen die Höhe wies sie zurück.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data Protection Act 2012, s 24 (Protection Obligation); s 48J PDPA ([2022] SGPDPC 8)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, teilweise Schwärzung gespeicherter Kreditkartennummern, rasche wirksame Abhilfe und die späte, aber freiwillige Anerkennung der Feststellungen.

Veröffentlicht

19.12.2022

Originalbetrag 72.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.10.2022.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 28.10.2024 · Direktlink

Nachdem zwei Auftragnehmer der ausländischen Konzernmutter des Plattformbetreibers 2020 Kundendaten aus deren Systemen abgezogen hatten – betroffen waren Daten zahlreicher Personen, darunter Kunden des Onlinehändlers –, prüfte die Datenschutzbehörde PDPC die Übermittlungen aus Singapur ins Ausland. Der Onlinehändler als Verantwortlicher hatte keine vertraglichen Zusagen eingeholt, die ein dem PDPA vergleichbares Schutzniveau für die über seinen Auftragsverarbeiter (data intermediary) übermittelten Daten sichern, und der singapurischen Plattformgesellschaft fehlten für die Weitergabe eigener Plattformdaten an die ausländische Konzernmutter innerhalb des Konzerns verbindliche Verträge oder Binding Corporate Rules. Die PDPC ordnete beiden an, Verfahren zur Einhaltung der Transfer Limitation Obligation einzuführen – der Plattformgesellschaft binnen 60 Tagen, dem Onlinehändler als KMU binnen sechs Monaten – und verwies auf die ASEAN-Modellvertragsklauseln.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Section 26(1) PDPA 2012 (Transfer Limitation Obligation) i. V. m. Regulations 9(1)(b) und 10(1) Personal Data Protection Regulations 2014; Section 4(3) PDPA; Section 48I PDPA (Directions)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Mildernde Umstände

Beide Unternehmen kooperierten nach Feststellung der PDPC in hohem Maße.

Veröffentlicht

18.11.2022

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 06.10.2024 · Direktlink