Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach Behörde- Information Regulator (South Africa) 35.595 € 100 % · 7 Fälle
Wofür?
nach UnterthemaWen?
nach BrancheAlle Branchen
Wann?
je Jahr, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| 2023 | 1 | – |
| 2024 | 3 | 5.224 € |
| 2025 | 2 | 30.371 € |
| 2026 | 1 | – |
7 Fälle
22.05.2026 Central Johannesburg TVET College (CJC)Central Johannesburg TVET College: Anordnung nach Fehlversand von Personalprüfberichten Anordnung
Die öffentliche Berufsschule hatte Berichte zur Überprüfung von Qualifikationen und Vorstrafen dreier Beschäftigter im September 2022 versehentlich per E-Mail an weitere Mitarbeitende verschickt, weder die Behörde noch die Betroffenen informiert und keinen Information Officer (Informationsbeauftragten) registriert. Abweichend von der Einschätzung ihres Enforcement Committee (Durchsetzungsausschuss) sah die Behörde darin auch eine unzulässige Weiterverarbeitung und stellte Verstöße gegen Rechenschaftspflicht, Zweckbindung, Datensicherheit und Meldepflicht fest; am 22. Mai 2026 ordnete sie u. a. die Registrierung, die nachträgliche Meldung, eine schriftliche Entschuldigung, ein Compliance-Framework und POPIA-Schulungen für alle Beschäftigten an.
Sensible Personalunterlagen gehören getrennt abgelegt – und auch ein interner Fehlversand ist ein meldepflichtiger Sicherheitsvorfall.
Fehlversand von E-Mails und Umgang mit Personalunterlagen
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Information Regulator (South Africa)
- Rechtsgebiet
- Datenschutz · Beschäftigtendaten
- Rechtsgrundlage
- Sections 8, 15(1), 19(1) und 22(1) Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Öffentlicher Sektor
- Mildernde Umstände
- Die Schule rief die E-Mail zwei Tage später zurück, informierte die Beschäftigten über den Fehler und ergriff Maßnahmen gegen die Verantwortlichen; das entband sie laut Behörde aber nicht von der Meldepflicht.
- Veröffentlicht
- 02.06.2026
- Information Regulator: Enforcement Notice (Section 95 POPIA) – Central Johannesburg TVET College, dated 22 May 2026 (redacted) Entscheidung einer Behörde
- Information Regulator Media Statement, 02 June 2026: Information Regulator issues enforcement notices for the contraventions of POPIA and PAIA by public and private bodies Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink
Fehler melden
13.11.2025 Blouberg Local MunicipalityInformation Regulator: 500.000 ZAR gegen Gemeinde Blouberg wegen Personaldaten im Netz 25.309 €
Die Gemeinde hatte personenbezogene Daten einer früheren beschäftigten Person verarbeitet, die im Internet offengelegt wurden; der Information Regulator wertete dies als schweren Eingriff in die Privatsphäre und erließ eine Enforcement Notice. Weil die Gemeinde die Abhilfeanordnungen nicht umsetzte, folgte eine Geldbuße von 500.000 ZAR; da sie nicht zahlte, hat der Regulator die Beitreibung gerichtlich eingeleitet.
Personaldaten bleiben auch nach dem Ausscheiden geschützt; wer Anordnungen der Aufsicht ignoriert, riskiert eine hohe Geldbuße und ein Beitreibungsverfahren.
Schutz von Personaldaten ehemaliger Beschäftigter
- Behörde / Gericht
- Information Regulator (South Africa)
- Rechtsgebiet
- Datenschutz · Beschäftigtendaten
- Rechtsgrundlage
- Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice und Infringement Notice
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Öffentlicher Sektor
- Veröffentlicht
- 13.11.2025
Originalbetrag 500.000 ZAR, umgerechnet zum EZB-Referenzkurs vom 13.11.2025.
- Information Regulator: Media briefing – high-level cases on POPIA and PAIA (13.11.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink
Fehler melden
13.11.2025 Lancet LaboratoriesInformation Regulator: 100.000 ZAR gegen Lancet Laboratories, Datenpannen nicht gemeldet 5.062 €
Eine Prüfung nach mehreren Sicherheitsvorfällen ergab, dass das Laborunternehmen die Vorfälle weder dem Information Regulator noch den betroffenen Personen gemeldet hatte. Nach einer Enforcement Notice, die es nicht befolgte, erhielt es eine Infringement Notice mit 100.000 ZAR Geldbuße, die inzwischen bezahlt ist.
Datenpannen müssen sowohl der Aufsicht als auch den Betroffenen gemeldet werden; wer mehrere Vorfälle nicht meldet, zieht eine Prüfung und Sanktionen nach sich.
Meldung von Datenpannen an Aufsicht und Betroffene
- Behörde / Gericht
- Information Regulator (South Africa)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Protection of Personal Information Act 4 of 2013 (POPIA), s. 22
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Gesundheitswesen
- Veröffentlicht
- 13.11.2025
Originalbetrag 100.000 ZAR, umgerechnet zum EZB-Referenzkurs vom 13.11.2025.
- Information Regulator: Media briefing – high-level cases on POPIA and PAIA (13.11.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink
Fehler melden
13.11.2024 Electoral Commission of South Africa (IEC)Information Regulator: 100.000 ZAR gegen Wahlkommission nach Leck der Kandidatenlisten 5.224 €
Nach der unbefugten Veröffentlichung von Kandidatenlisten für die Wahlen 2024 stellte der Information Regulator unzureichende organisatorische Schutzmaßnahmen fest und erließ am 10. September 2024 eine Enforcement Notice. Weil die Wahlkommission die Umsetzung nicht fristgerecht (31 Tage) nachwies, folgte eine Infringement Notice mit einer Geldbuße von 100.000 ZAR.
Nach einer Datenpanne ist nicht nur Abhilfe nötig, sondern auch der fristgerechte Nachweis gegenüber der Aufsicht; versäumte Fristen führen direkt zur Geldbuße.
Umsetzung behördlicher Abhilfeanordnungen nach einem Datenleck
- Behörde / Gericht
- Information Regulator (South Africa)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice und Infringement Notice
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Öffentlicher Sektor
- Veröffentlicht
- 13.11.2024
Originalbetrag 100.000 ZAR, umgerechnet zum EZB-Referenzkurs vom 13.11.2024.
Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink
Fehler melden
10.09.2024 ein großer US-amerikanischer MessengerdienstUS-Messengerdienst: Anordnung zur Überarbeitung der Datenschutzrichtlinie für Südafrika Anordnung
Die Behörde befand, dass die für Südafrika geltende überarbeitete Datenschutzrichtlinie des Messengerdienstes – anders als die europäische Fassung – keine ausreichenden Rechtsgrundlagen und Zwecke nannte, die Einwilligung durch Nutzungszwang nicht freiwillig war, die Weitergabe an Unternehmen des eigenen Konzerns und Dritte eine unzulässige Weiterverarbeitung darstellte und der Dienst weder die Dokumentationspflicht noch angemessene Sicherheitsmaßnahmen nachwies. Das Enforcement Notice vom 10. September 2024 verpflichtete den Anbieter u. a., die Richtlinie POPIA-konform zu überarbeiten, eine Datenschutz-Folgenabschätzung vorzulegen und ein Risikoregister zu führen; eine vom Anbieter angestrengte gerichtliche Überprüfung wurde laut Behörde (Stand 13. November 2025) durch einen Vergleich über zusätzliche Transparenzinformationen beigelegt, der zum Gerichtsbeschluss gemacht werden soll.
Globale Datenschutzrichtlinien müssen je Rechtsordnung Rechtsgrundlagen und Zwecke benennen – eine Zustimmung als Nutzungsbedingung ist keine freiwillige Einwilligung.
Freiwillige Einwilligung und transparente Datenschutzhinweise
- Behörde / Gericht
- Information Regulator (South Africa)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- Sections 8, 9, 11, 13, 15, 17 und 19 Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA; Section 51 PAIA (Dokumentation)
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Information Regulator (South Africa), Veröffentlichung der Behörde (Entscheidung 2024) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 10.09.2026 · Direktlink
Fehler melden
26.03.2024 eine südafrikanische KreditauskunfteiInformation Regulator: Anordnung gegen eine Kreditauskunftei wegen mangelnder Zugriffskontrolle Anordnung
Nach einem im März 2022 gemeldeten Sicherheitsvorfall stellte der Information Regulator fest, dass die Kreditauskunftei die Vertraulichkeit der Daten nicht gesichert, eigene Zugriffsrichtlinien nicht umgesetzt und Unbefugten über kompromittierte Zugangsdaten und ein schwaches Passwort Zugang ermöglicht hatte. Per Enforcement Notice wurde sie verpflichtet, Sicherheitsmaßnahmen einzuführen, alle Nutzerkonten durch einen qualifizierten Prüfer anhand ihrer SFTP-Richtlinie zur Nutzeranlage prüfen zu lassen und eine Datenschutz-Folgenabschätzung durchzuführen; Nachweisfrist war der 26. Mai 2024.
Richtlinien zur Nutzeranlage und Zugriffsverwaltung schützen nur, wenn ihre Einhaltung technisch überwacht wird; kompromittierte Zugangsdaten und schwache Passwörter sind ein Einfallstor.
Zugriffsverwaltung und Passwortsicherheit
- Behörde / Gericht
- Information Regulator (South Africa)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Protection of Personal Information Act 4 of 2013 (POPIA), Bedingungen für die rechtmäßige Verarbeitung (Sicherheitsmaßnahmen); Enforcement Notice
- Maßnahme
- Anordnung
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Veröffentlicht
- 26.03.2024
- Information Regulator (South Africa), Veröffentlichung der Behörde (Entscheidung 2024) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 26.03.2026 · Direktlink
Fehler melden
31.08.2023 eine südafrikanische ApothekenketteApothekenkette: Anordnung nach Datenleck beim Dienstleister mit rund 3,6 Mio. Datensätzen Anordnung
Unbefugte hatten im April/Mai 2022 per Brute-Force-Angriff bei einem Dienstleister auf rund 3,6 Mio. Datensätze (Namen, E-Mail-Adressen, Mobilnummern) aus dem E-Statement-Dienst der Apothekenkette zugegriffen; die Behörde stellte schwache Passwörter, fehlendes Monitoring, einen fehlenden schriftlichen Vertrag mit dem Auftragsverarbeiter und die unterlassene Benachrichtigung der Betroffenen fest. Mit dem Enforcement Notice vom 31. August 2023 ordnete sie u. a. eine Datenschutz-Folgenabschätzung, einen Incident-Response-Plan, Maßnahmen nach PCI DSS und schriftliche Verträge mit allen Auftragsverarbeitern an; im März 2024 bestätigte sie die Umsetzung und schloss den Fall.
Wer Kundendaten an Dienstleister gibt, braucht einen Vertrag mit Sicherheits- und Meldepflichten – und muss Betroffene nach einem Vorfall selbst benachrichtigen.
Passwortsicherheit und Steuerung von Dienstleistern
- Behörde / Gericht
- Information Regulator (South Africa)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Sections 19(1)(b), 19(2), 19(3), 21(1) und 22(1)(b) Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Gesundheitswesen
- Veröffentlicht
- 01.09.2023
- Information Regulator (South Africa), Veröffentlichung der Behörde (Entscheidung 2023) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 31.08.2025 · Direktlink