Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach EbeneWofür?
nach UnterthemaWen?
nach BrancheAlle Branchen
- Telekommunikation, IT und Software 1,21 Mrd. € 95 % · 4 Fälle
- Finanzdienstleistungen und Versicherungen 35 Mio. € 3 % · 1 Fall
- Medien und Online-Plattformen 13,3 Mio. € 1 % · 4 Fälle
- Gesundheitswesen 7,16 Mio. € 1 % · 1 Fall
- Handel und E-Commerce 1,46 Mio. € 0 % · 2 Fälle
- Automobil 582.573 € 0 % · 2 Fälle
- Sonstige 273.481 € 0 % · 2 Fälle
Wann?
je Jahr, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| 2022 | 1 | 35 Mio. € |
| 2023 | 1 | 7,16 Mio. € |
| 2024 | 2 | 15,7 Mio. € |
| 2025 | 8 | 1,2 Mrd. € |
| 2026 | 4 | 2,31 Mio. € |
16 Fälle
25.06.2026 Kochava Inc. und Collective Data Solutions, LLCKochava: Gerichtliche Anordnung beendet FTC-Klage um Handel mit Standortdaten Anordnung
Nach knapp vier Jahren Rechtsstreit hat das Bundesbezirksgericht für Idaho eine zwischen der FTC und dem Datenhändler Kochava vereinbarte Anordnung erlassen. Die FTC hatte Kochava vorgeworfen, präzise Standortdaten von Hunderten Millionen Mobilgeräten ohne Wissen und Einwilligung der Betroffenen verkauft zu haben, aus denen sich etwa Besuche bei Gesundheitseinrichtungen und Gotteshäusern ablesen ließen. Kochava und die Tochter Collective Data Solutions, die das Datenhandelsgeschäft übernommen hat, dürfen sensible Standortdaten nur noch mit ausdrücklicher Einwilligung und für vom Verbraucher angeforderte Dienste weitergeben und müssen unter anderem ein Programm für sensible Orte, Prüfungen ihrer Datenlieferanten, Auskünfte über Empfänger und Löschfristen einführen; eine Geldzahlung ist nicht vorgesehen. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Wer Standortdaten einkauft oder weitergibt, muss die Einwilligung an der Quelle prüfen und sensible Orte konsequent herausfiltern.
Standortdaten als sensible Daten; Sorgfalt beim Einkauf und Weiterverkauf von Daten
- Behörde / Gericht
- U.S. District Court for the District of Idaho auf Klage der Federal Trade Commission (FTC)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- Section 5 FTC Act, 15 U.S.C. § 45 (unlautere Praktiken); Verfahren nach Section 13(b), 15 U.S.C. § 53(b)
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 26.06.2026
- FTC v. Kochava, Inc., No. 2:22-cv-00377-BLW (D. Idaho), Stipulated Order for Injunction and Other Relief (Document 138, dated 25.06.2026) Gerichtsentscheidung
- FTC-Pressemitteilung: FTC to Ban Kochava and Subsidiary from Selling Sensitive Location Data (04.05.2026) Pressemitteilung einer Behörde
- FTC Legal Library: FTC v Kochava, Inc. (Fallseite mit Zeitleiste) Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
05.06.2026 Illuminate Education Inc.FTC: Endgültige Anordnung gegen Bildungssoftware Illuminate nach Datenleck von 10,1 Mio. Schülern Anordnung
Laut FTC-Beschwerde versprach Illuminate Schulen Datensicherheit, schützte seine Cloud-Datenbanken aber nicht angemessen, obwohl ein Dienstleister fast zwei Jahre vorher auf Schwachstellen hingewiesen hatte; ein Hacker griff auf Daten von 10,1 Mio. Schülern inkl. Gesundheitsangaben zu. Die Anordnung verlangt ein Informationssicherheitsprogramm, Datenminimierung und einen öffentlichen Löschplan und untersagt Falschangaben zu Sicherheit und Meldefristen.
Bekannte Schwachstellen nicht jahrelang liegen lassen – Sicherheitsversprechen an Kunden werden als verbindliche Zusagen gemessen.
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- FTC Act (Verbot unlauterer und irreführender Praktiken)
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Verschulden
- fahrlässig
- Veröffentlicht
- 05.06.2026
- FTC Gives Final Approval to Order Against Illuminate Settling Allegations It Failed to Secure Students' Personal Data Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
11.02.2026 Disney DTC, LLC und ABC Enterprises, Inc. (The Walt Disney Company)Kalifornien: 2,75 Mio. $ gegen Disney wegen unvollständiger Opt-outs beim Streaming 2,31 Mio. €
Disney setzte Widersprüche gegen Verkauf und Weitergabe von Daten nur für einzelne Dienste oder Geräte um statt kontoweit, gab über eingebettete Ad-Tech-Anbieter weiter Daten heraus und bot in Connected-TV-Apps keinen Opt-out. Größter CCPA-Vergleich zum Zeitpunkt der Einigung.
Ein Opt-out muss über alle Dienste, Geräte und eingebundenen Drittanbieter eines Kontos wirken.
- Behörde / Gericht
- Attorney General of California (California Department of Justice)
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 11.02.2026
Originalbetrag 2.750.000 USD, umgerechnet zum EZB-Referenzkurs vom 11.02.2026.
- California Won't Let It Go: Attorney General Bonta Announces $2.75 Million Settlement with Disney Pressemitteilung einer Behörde
- Final Judgment and Permanent Injunction, People v. Disney DTC, LLC et al., LA Superior Court 26STCV04425 Gerichtsentscheidung
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
13.01.2026 General Motors LLC, General Motors Holdings LLC und OnStar, LLCGeneral Motors/OnStar: FTC-Anordnung nach Verkauf von Standort- und Fahrdaten Anordnung
Die FTC hat ihre Anordnung gegen General Motors und OnStar endgültig erlassen. Nach dem Vorwurf der Behörde führte GM Kunden mit einem irreführenden Anmeldeprozess in den Dienst OnStar und die Funktion Smart Driver, erfasste präzise Standort- und Fahrverhaltensdaten aus Millionen Fahrzeugen und verkaufte sie ohne klare Information und ausdrückliche Einwilligung an Dritte, darunter Verbraucherauskunfteien. GM darf diese Daten fünf Jahre lang nicht an Verbraucherauskunfteien weitergeben und muss während der 20-jährigen Laufzeit vor Erhebung, Nutzung oder Weitergabe vernetzter Fahrzeugdaten eine ausdrückliche Einwilligung einholen, Auskunft und Löschung ermöglichen und das Abschalten der Standorterfassung anbieten; eine Geldzahlung sieht die Anordnung nicht vor. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Daten aus vernetzten Produkten dürfen erst nach verständlicher Information und ausdrücklicher Einwilligung an Dritte gehen – ein Häkchen im Anmeldeprozess ersetzt das nicht.
Einwilligung bei vernetzten Produkten; Weitergabe von Standort- und Nutzungsdaten
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Automobil
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 14.01.2026
- FTC, In the Matter of General Motors LLC et al., Docket No. C-4828, Decision and Order (issued 13.01.2026) Entscheidung einer Behörde
- FTC-Pressemitteilung: FTC Finalizes Order Settling Allegations that GM and OnStar Collected and Sold Geolocation Data Without Consumers' Informed Consent (14.01.2026) Pressemitteilung einer Behörde
- FTC, In the Matter of General Motors LLC et al., Docket No. C-4828, Complaint Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
30.12.2025 Rickenbacher Data LLC (Datamasters)CPPA: 45.000 $ gegen Datenhändler Datamasters wegen fehlender Registrierung 38.275 €
Der texanische Wiederverkäufer handelte ohne Registrierung als Datenhändler mit Namen und Kontaktdaten von Millionen Menschen, sortiert nach Krankheiten wie Alzheimer oder Suchterkrankungen, nach Alter, vermuteter Ethnie und politischer Einstellung. Neben dem Bußgeld muss er den Verkauf von Daten aller Kalifornier einstellen.
Wer Adresslisten für Werbung kauft oder verkauft, muss Registrierungspflichten prüfen – Gesundheitslisten sind besonders riskant.
- Behörde / Gericht
- California Privacy Protection Agency (CPPA)
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- California Delete Act (Registrierungspflicht für Datenhändler)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Sonstige
- Veröffentlicht
- 08.01.2026
Originalbetrag 45.000 USD, umgerechnet zum EZB-Referenzkurs vom 30.12.2025.
- CalPrivacy Data Broker Enforcement Strike Force: enforcement actions Pressemitteilung einer Behörde
- CPPA Order of Decision: Rickenbacher Data LLC d/b/a Datamasters (ENF25-172-D-DA) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.12.2025 Disney Worldwide Services, Inc. und Disney Entertainment Operations LLCDisney: 10 Mio. USD wegen falsch gekennzeichneter Kindervideos auf YouTube 8,48 Mio. €
Das Bundesbezirksgericht für den Central District of California hat auf Klage des U.S. Department of Justice im Auftrag der FTC eine Anordnung gegen zwei Disney-Gesellschaften erlassen. Disney soll kindgerichtete Videos auf YouTube nicht als „Made for Kids“ gekennzeichnet haben, weil es die Einstufung nur kanalweise vornahm; dadurch konnten über YouTube Daten von Kindern unter 13 Jahren ohne Information und Einwilligung der Eltern erhoben und für zielgerichtete Werbung genutzt werden. Disney zahlt eine Zivilstrafe von 10.000.000 USD und muss ein Programm zur Prüfung und Kennzeichnung der Zielgruppe seiner Videos einrichten. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Wer Inhalte über fremde Plattformen verbreitet, bleibt für deren Datenschutz-Einstellungen verantwortlich – Voreinstellungen auf Kanalebene müssen je Inhalt geprüft werden.
Kinderdatenschutz bei Inhalten auf Drittplattformen; Pflege von Plattform-Einstellungen
- Behörde / Gericht
- Federal Trade Commission (FTC); Klage durch das U.S. Department of Justice, Anordnung des U.S. District Court for the Central District of California
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- COPPA Rule, 16 C.F.R. Part 312; Children's Online Privacy Protection Act, 15 U.S.C. §§ 6502(c), 6505(d); Verfahren nach 15 U.S.C. §§ 45(m)(1)(A), 53(b)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 31.12.2025
Originalbetrag 10.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.12.2025.
- U.S. v. Disney Worldwide Services, Inc. et al., No. 2:25-cv-08223 (C.D. Cal.), Order for Permanent Injunction, Civil Penalty Judgment, and Other Relief (23.12.2025) Gerichtsentscheidung
- FTC-Pressemitteilung: Court Approves Order Requiring Disney to Pay $10 Million to Settle FTC Allegations (31.12.2025) Pressemitteilung einer Behörde
- FTC-Pressemitteilung: Disney to Pay $10 Million to Settle FTC Allegations the Company Enabled the Unlawful Collection of Children's Personal Data (02.09.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
21.11.2025 Jam City, Inc.Jam City: 1,4 Mio. USD in Kalifornien wegen fehlender Opt-outs in 21 Spiele-Apps 1,22 Mio. €
Auf Klage des kalifornischen Generalstaatsanwalts hat der Superior Court in Los Angeles ein Vergleichsurteil gegen den Entwickler von Mobile-Games Jam City erlassen. Nach den Ermittlungen bot Jam City in keiner seiner 21 Apps eine dem California Consumer Privacy Act (CCPA) entsprechende Möglichkeit, dem Verkauf oder der Weitergabe personenbezogener Daten für personalisierte Werbung zu widersprechen, und einige Spiele gaben Daten von Jugendlichen zwischen 13 und 16 Jahren ohne deren ausdrückliche Einwilligung weiter. Jam City zahlt 1.400.000 USD, muss Widerspruchsmöglichkeiten in den Apps anbieten, Daten unter 16-Jähriger nur mit Opt-in verkaufen oder weitergeben und die Empfänger zur Löschung solcher Daten auffordern. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Wer über Apps Daten für Werbung weitergibt, muss den Widerspruch dort ermöglichen, wo die Daten anfallen – direkt in der App.
Widerspruchsrecht gegen Datenverkauf in Apps; Schutz Minderjähriger bei Werbe-Tracking
- Behörde / Gericht
- Superior Court of California, County of Los Angeles, auf Klage des Attorney General of California (California Department of Justice)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA), Cal. Civ. Code § 1798.100 ff.; Zahlung nach Cal. Civ. Code § 1798.199.90
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Veröffentlicht
- 21.11.2025
Originalbetrag 1.400.000 USD, umgerechnet zum EZB-Referenzkurs vom 21.11.2025.
- People v. Jam City, Inc., Case No. 25STCV34029, Superior Court Los Angeles, Final Judgment and Permanent Injunction (21.11.2025) Gerichtsentscheidung
- California DOJ, Pressemitteilung: Attorney General Bonta Secures $1.4 Million Settlement with Mobile App Gaming Company (21.11.2025) Pressemitteilung einer Behörde
- California DOJ: Privacy Enforcement Actions (Übersicht) Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
31.10.2025 Google LLCTexas: Google zahlt 1,375 Mrd. $ wegen Standort-, Inkognito- und Biometriedaten 1,19 Mrd. €
Texas hatte Google wegen unrechtmäßiger Erfassung von Standortdaten, Aktivitäten im Inkognito-Modus und biometrischen Merkmalen verklagt. Google unterzeichnete einen Vergleich über 1,375 Mrd. $, der zwei Verfahren abschließt.
Einstellungen wie Standortverlauf oder Inkognito-Modus müssen halten, was sie Nutzern versprechen – sonst drohen Milliardenrisiken auch auf Ebene einzelner US-Staaten.
- Behörde / Gericht
- Office of the Attorney General of Texas
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Maßnahme
- Sonstiges
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 31.10.2025
Originalbetrag 1.375.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.
- Attorney General Ken Paxton Finalizes Historic Settlement with Google and Secures $1.375 Billion Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
26.09.2025 Tractor Supply CompanyCPPA: 1,35 Mio. $ gegen Tractor Supply wegen fehlender Opt-out-Wege 1,16 Mio. €
Der Landhandelsriese informierte Verbraucher und Stellenbewerber unzureichend über ihre Rechte, bot keine wirksame Widerspruchsmöglichkeit gegen Verkauf und Weitergabe (auch kein Global Privacy Control) und gab Daten ohne vorgeschriebene Verträge an Dritte weiter. Ein Organ muss vier Jahre lang jährlich die Einhaltung bestätigen.
Datenschutzhinweise müssen auch Bewerber abdecken, und Browser-Opt-out-Signale wie GPC sind technisch umzusetzen.
- Behörde / Gericht
- California Privacy Protection Agency (CPPA)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Handel und E-Commerce
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 30.09.2025
Originalbetrag 1.350.000 USD, umgerechnet zum EZB-Referenzkurs vom 26.09.2025.
- CPPA: Tractor Supply Company enforcement decision Pressemitteilung einer Behörde
- CPPA Order of Decision and Stipulated Final Order: Tractor Supply Company (ENF24-M-TR-04) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
01.07.2025 Healthline Media LLCKalifornien: 1,55 Mio. $ gegen Healthline wegen Weitergabe krankheitsbezogener Artikeltitel 1,31 Mio. €
Das Gesundheitsportal gab trotz Widerspruchs weiter Daten an Werbepartner und übermittelte Artikeltitel, die auf Diagnosen schließen lassen, für zielgerichtete Werbung; das Consent-Banner stoppte das Tracking nicht. Zudem fehlten vorgeschriebene Vertragsklauseln mit Werbepartnern.
Consent-Banner technisch testen: Wenn die Ablehnung Tracking nicht wirklich abschaltet, ist das irreführend und rechtswidrig.
- Behörde / Gericht
- Attorney General of California (California Department of Justice)
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA), Unfair Competition Law
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Veröffentlicht
- 01.07.2025
Originalbetrag 1.550.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.07.2025.
- Attorney General Bonta Announces Largest CCPA Settlement to Date, Secures $1.55 Million from Healthline.com Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
06.05.2025 Todd Snyder, Inc.Todd Snyder: 345.178 USD – Opt-out vom Tracking 40 Tage lang wirkungslos 304.793 €
Das falsch konfigurierte Datenschutzportal des Modehändlers verarbeitete 40 Tage lang keine Widersprüche gegen Verkauf und Weitergabe personenbezogener Daten; zudem verlangte das Unternehmen zu viele Daten und eine Identitätsprüfung vor dem Opt-out. Die CPPA verhängte 345.178 USD, verlangte eine korrekte Konfiguration der Einwilligungsverwaltung und Schulungen der Beschäftigten.
Eine Consent-Management-Plattform entlastet nicht: Unternehmen müssen regelmäßig prüfen, ob Opt-outs technisch tatsächlich umgesetzt werden.
Konfiguration und Kontrolle von Consent-Management-Plattformen
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- California Privacy Protection Agency (CPPA), Board
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Handel und E-Commerce
Originalbetrag 345.178 USD, umgerechnet zum EZB-Referenzkurs vom 06.05.2025.
- CPPA Orders Clothing Retailer Todd Snyder to Pay Six-Figure Fine, Overhaul Privacy Practices (06.05.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
07.03.2025 American Honda Motor Co., Inc.CPPA: 632.500 $ gegen Honda wegen erschwerter Datenschutzanträge 582.573 €
Honda verlangte für Opt-out-Anträge übermäßig viele Angaben, nutzte ein Cookie-Tool ohne gleichwertige Wahlmöglichkeiten, erschwerte die Beauftragung von Bevollmächtigten und gab Daten ohne vorgeschriebene Verträge an Ad-Tech-Firmen weiter. Die Anordnung verlangt u. a. ein vereinfachtes Verfahren und Schulung der Beschäftigten.
Betroffenenrechte dürfen nicht durch Formularhürden oder asymmetrische Einwilligungsdialoge ausgehebelt werden.
- Behörde / Gericht
- California Privacy Protection Agency (CPPA)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- California Consumer Privacy Act (CCPA)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Automobil
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 12.03.2025
Originalbetrag 632.500 USD, umgerechnet zum EZB-Referenzkurs vom 07.03.2025.
- CPPA: Enforcement action against American Honda Motor Co. Pressemitteilung einer Behörde
- CPPA Order of Decision: American Honda Motor Co., Inc. (ENF23-V-HO-2) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
13.11.2024 National Amusements, Inc.Kinobetreiber National Amusements: 250.000 USD wegen Datenpanne und später Meldung 235.206 €
Im Dezember 2022 drang ein Angreifer mit gestohlenen Zugangsdaten eines Beschäftigten in die Systeme des Kinobetreibers National Amusements ein, weil die Multi-Faktor-Authentifizierung nicht für alle Zugangswege erzwungen wurde; betroffen waren Daten wie Sozialversicherungs-, Pass- und Kontonummern von 82.128 Personen, nach Angaben des Unternehmens aktuellen und ehemaligen Beschäftigten und Auftragnehmern, davon 23.365 in New York, wobei ein Teil der Sozialversicherungsnummern unverschlüsselt gespeichert war. Die Betroffenen wurden erst am 18. Dezember 2023 und damit über ein Jahr nach dem Vorfall benachrichtigt. Nach der Einstellungsvereinbarung mit der New Yorker Generalstaatsanwaltschaft zahlt das Unternehmen 250.000 USD und muss unter anderem Verschlüsselung, Passwortregeln, Schwachstellentests und einen Notfallplan für Sicherheitsvorfälle einführen. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Auch Beschäftigtendaten lösen Meldepflichten aus – die Benachrichtigung darf nicht warten, bis die Datenauswertung vollständig abgeschlossen ist.
Multi-Faktor-Authentifizierung für alle Zugänge; fristgerechte Benachrichtigung bei Datenpannen
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Office of the New York State Attorney General (Bureau of Internet & Technology)
- Rechtsgebiet
- Datenschutz · Beschäftigtendaten
- Rechtsgrundlage
- New York Executive Law § 63(12); New York General Business Law § 899-aa (Benachrichtigung bei Datenpannen) und § 899-bb (SHIELD Act, Datensicherheit)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Sonstige
- Veröffentlicht
- 15.11.2024
Originalbetrag 250.000 USD, umgerechnet zum EZB-Referenzkurs vom 13.11.2024.
- NYAG, In the Matter of National Amusements, Inc., Assurance of Discontinuance No. 24-024 (wirksam 13.11.2024) Entscheidung einer Behörde
- NYAG-Pressemitteilung: Attorney General James Secures $250,000 from Movie Theater Operator for Failing to Protect Employees' Personal Information (15.11.2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
26.06.2024 ein britischer Softwarehersteller mit zwei TochtergesellschaftenSoftwarehersteller: 16,5 Mio. USD und Verkaufsverbot für Browsingdaten 15,4 Mio. €
Die FTC hat ihre endgültige Anordnung gegen einen britischen Softwarehersteller, dessen tschechische Tochter und die frühere Datentochter des Herstellers erlassen. Nach dem Vorwurf der Behörde sammelte der Hersteller über Browsererweiterungen und Virenschutzsoftware detaillierte Browsingdaten, speicherte sie unbegrenzt und verkaufte sie über die Datentochter ohne ausreichende Information und Einwilligung an mehr als 100 Dritte, obwohl die Produkte mit dem Schutz vor Online-Tracking beworben wurden. Der Hersteller muss 16.500.000 USD zur Entschädigung von Verbrauchern zahlen, darf Browsingdaten nicht mehr für Werbezwecke verkaufen oder lizenzieren, muss die an die Datentochter übertragenen Daten samt daraus abgeleiteter Produkte und Algorithmen löschen und ein Datenschutzprogramm einrichten.
Wer mit Schutz vor Tracking wirbt, darf dieselben Nutzungsdaten nicht selbst zu Geld machen – Werbeaussage und Datenverwendung müssen zusammenpassen.
Datenschutzversprechen und tatsächliche Datenverwendung; Verkauf von Nutzungsdaten
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Datenschutz · Cookies und Tracking
- Rechtsgrundlage
- Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)
- Maßnahme
- Gewinnabschöpfung
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 27.06.2024
Originalbetrag 16.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 26.06.2024.
- Federal Trade Commission (FTC), Veröffentlichung der Behörde (Entscheidung 2024) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 26.06.2026 · Direktlink
Fehler melden
07.07.2023 ein US-Anbieter von Online-TherapieOnline-Therapieanbieter: 7,8 Mio. USD nach Weitergabe von Gesundheitsdaten für Werbung 7,16 Mio. €
Die FTC hat ihre Anordnung gegen einen Online-Therapieanbieter endgültig erlassen. Nach dem Vorwurf der Behörde gab das Unternehmen trotz Vertraulichkeitszusagen E-Mail-Adressen, IP-Adressen und Angaben aus dem Gesundheitsfragebogen an drei soziale Netzwerke und einen Werbetechnikanbieter für Werbezwecke weiter, ohne eine ausdrückliche Einwilligung einzuholen. Der Anbieter zahlt 7.800.000 USD für Teilerstattungen an Kunden, darf Gesundheitsdaten nicht mehr für Werbung weitergeben, muss vor Weitergaben an bestimmte Dritte ausdrücklich einwilligen lassen, die Empfänger zur Löschung auffordern und Aufbewahrungsfristen festlegen.
Marketing-Werkzeuge wie Zielgruppenabgleich dürfen nie mit Gesundheitsangaben gefüttert werden, ohne dass eine ausdrückliche Einwilligung vorliegt.
Gesundheitsdaten und Marketing-Tools; Tracking-Pixel und Custom Audiences
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)
- Maßnahme
- Gewinnabschöpfung
- Verfahrensstand
- rechtskräftig
- Branche
- Gesundheitswesen
- Veröffentlicht
- 14.07.2023
Originalbetrag 7.800.000 USD, umgerechnet zum EZB-Referenzkurs vom 07.07.2023.
- Federal Trade Commission (FTC), Veröffentlichung der Behörde (Entscheidung 2023) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 07.07.2025 · Direktlink
Fehler melden
20.09.2022 ein großer US-amerikanischer Broker und VermögensverwalterSEC: 35 Mio. $ gegen US-Vermögensverwalter wegen unsicherer Entsorgung von Festplatten 35 Mio. €
Ab 2015 ließ das Unternehmen Tausende Festplatten und Server mit Daten von rund 15 Mio. Kunden von einem Umzugsunternehmen ohne Erfahrung in Datenvernichtung ausmustern; die Geräte wurden unverschlüsselt weiterverkauft und online angeboten. Zudem verschwanden 42 Server mit unverschlüsselten Kundendaten.
Datenträgerentsorgung ist Chefsache: nur zertifizierte Dienstleister beauftragen, Vernichtung nachweisen lassen und vorhandene Verschlüsselung auch aktivieren.
Sichere Entsorgung von Datenträgern und Dienstleistersteuerung
- Behörde / Gericht
- U.S. Securities and Exchange Commission (SEC)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Regulation S-P (Safeguards Rule und Disposal Rule)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Verschulden
- fahrlässig
- Veröffentlicht
- 20.09.2022
Originalbetrag 35.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 20.09.2022.
- SEC, Pressemitteilungen (Übersicht) (Entscheidung 2022) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.09.2024 · Direktlink