Wer wurde wofür sanktioniert?

Der Anbieter webbasierter Systeme für Krankmeldungen, Rehabilitation und Arbeitsschutzvorfälle wurde im August 2025 gehackt; die erbeuteten Personendaten tauchten kurz darauf im Darknet auf. Die IMY stellte fest, dass trotz hohen Schutzbedarfs keine ausreichenden Sicherheitsmaßnahmen und keine automatische Echtzeitüberwachung auf Angriffe bestanden, wertete dies als fahrlässig und verhängte 1.800.000 Kronen.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

22.09.2026

Originalbetrag 1.800.000 SEK, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut Sanktionsveröffentlichung des Financial Supervisory Service (FSS) übermittelte die Online-Kreditvermittlungsplattform PFC Technologies am 28. September 2022 die Personenkennnummern von 8.497 Kunden ohne deren Einwilligung an einen Dritten, um die Fehlerquote eines neuen Dienstes für Hypothekenkunden zu berechnen, und erhielt von diesem ebenfalls ohne Einwilligung Kreditinformationen zu denselben Kunden (etwa Adresse und amtlicher Wert ihrer Immobilien); zudem hatte sie bei Prüfungsbeginn keine Passwortregeln gegen leicht zu erratende Zahlen umgesetzt. Die Sanktion vom 17. September 2026 umfasst eine institutionelle Verwarnung, eine Geldbuße (과태료) von 24 Mio. KRW und eine Geldauflage (과징금) von 49 Mio. KRW, zusammen 73 Mio. KRW.

Behörde / Gericht

Financial Supervisory Service (FSS)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 19, 32 und 34 Credit Information Use and Protection Act; Art. 16, 28 und 29 Durchführungsverordnung

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

17.09.2026

Originalbetrag 73.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 17.09.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Bank schickte einem Kunden über ihre App sieben Monate lang (Oktober 2025 bis Mai 2026) weiter Werbung, obwohl er mehrfach widersprochen hatte. Die Garante stellte zudem mangelhafte Systeme zur Umsetzung von Widersprüchen und unzutreffende Auskünfte über die Verarbeitung fest und verhängte 5.508.000 Euro (Provvedimento Nr. 613).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 12, 21, 24 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Klinikpersonal öffnete die elektronische Gesundheitsakte einer Kollegin, um Dienstpläne während Covid zu organisieren, statt zu Behandlungszwecken. Technische Sperren, die den Zugriff auf behandelndes Personal begrenzen, fehlten; die Garante verhängte 24.000 Euro (Provvedimento Nr. 616).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, b, c, f, Art. 9, 25, 32 DSGVO; Art. 75 Codice privacy; Linee guida dossier sanitario

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der kommunale Sportstättenbetrieb hatte seit 2007 Kameras in den Umkleiden eines Schwimmbads, die den Spindbereich aufzeichneten. Die Garante sah keine tragfähige Rechtsgrundlage, unvollständige Hinweise und eine nicht durch eine Erforderlichkeitsprüfung begründete Speicherdauer von 72 Stunden und verhängte 8.000 Euro (Provvedimento Nr. 619); im Verfahren wurden die Kameras entfernt.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. c und e DSGVO; Art. 2-ter Codice privacy

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer meldeten sich mit anderswo erbeuteten Zugangsdaten massenhaft auf den Websites von GS SHOP (Juni 2024 bis Februar 2025) und GS25 (Dezember 2024 bis Januar 2025) an und griffen Daten von 1.581.025 bzw. 79.128 Personen ab; GS Retail Co., Ltd. erkannte weder die gehäuften Anmeldeversuche aus denselben IP-Adressen noch die steigenden Fehlversuche und stoppte nach dem ersten Fund bei GS25 den parallelen Angriff auf GS SHOP nicht. Die Behörde stellte außerdem eine unzureichende Datenschutzorganisation und die um mehr als 72 Stunden verspätete Benachrichtigung von 1.599 weiteren Betroffenen fest, verhängte ein Bußgeld (Penalty Surcharge) von 12.836.000.000 KRW und ein Verwaltungsbußgeld von 3.000.000 KRW (zusammen 12.839.000.000 KRW) und ordnete Erkennungsmaßnahmen sowie eine Überprüfung der Datenschutzorganisation an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 40 % wegen Kooperation, Abhilfe und Schutzbemühungen (ISMS-P-Zertifizierung, Selbstregulierung, Datenschutz-Folgenabschätzung); Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, eigenes Datenschutzpersonal einzusetzen sowie Befugnisse und Verantwortung des Datenschutzbeauftragten (CPO) klar festzulegen.

Veröffentlicht

31.08.2026

Originalbetrag 12.839.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Eindringlinge gelangten 2023 in zwei ehemalige psychiatrische Kliniken und stellten Videos von dort gelagerten Patientenakten ins Netz. Die Prüfung von zwölf Standorten ergab Akten mit Schimmel-, Wasser- und Tierschäden in ungeeigneten Räumen bis hin zu Schiffscontainern. Die DPC verhängte 645.000 EUR, sprach eine Verwarnung aus und ordnete Audits und Umlagerungen an.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. e und f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

02.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die brasilianische Datenschutzbehörde ANPD verhängte gegen die ByteDance Brasil Tecnologia Ltda., Betreiberin von TikTok in Brasilien, drei Geldbußen von zusammen 153.769.671,33 BRL (je 63.176.686,67 BRL wegen Verstößen gegen Art. 7 und Art. 6 VIII LGPD sowie 27.416.297,99 BRL wegen Art. 6 X LGPD). Nach der Entscheidung wurden Daten von Kindern und Jugendlichen sowohl im Feed ohne Registrierung als auch bei der Kontoeröffnung ohne gültige Rechtsgrundlage verarbeitet, und wirksame Vorbeugungs- und Nachweismaßnahmen fehlten. Zusätzlich ordnete die Behörde die Löschung der Daten registrierter Jugendlicher zwischen 13 und 18 Jahren an, deren gesetzliche Vertretung nicht binnen 60 Arbeitstagen geregelt wird, abgesichert durch ein Zwangsgeld von 137.081,49 BRL je Tag Verzug.

Behörde / Gericht

Agência Nacional de Proteção de Dados (ANPD), Superintendência de Fiscalização

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 6 VIII, Art. 6 X und Art. 7 LGPD (Lei nº 13.709/2018); Sanktionen nach Art. 52 LGPD; Resolução CD/ANPD nº 4/2023 (Regulamento de Dosimetria)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

25.08.2026

Originalbetrag 153.769.671,33 BRL, umgerechnet zum EZB-Referenzkurs vom 24.08.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Angreifer erbeuteten per Phishing die Zugangsdaten eines Benutzerkontos mit Administratorrechten und griffen auf Kundendaten zu. Die Aufsicht rügte fehlende technische und organisatorische Maßnahmen sowie fehlende regelmäßige Wirksamkeitstests, verhängte 15.728 Lei (3.000 Euro) und ordnete regelmäßige Schulungen der Beschäftigten, u. a. zum Erkennen von Phishing-Mails, an. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

19.08.2026

Originalbetrag 15.728 RON, umgerechnet zum EZB-Referenzkurs vom 19.08.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Über eine Software-Schwachstelle in einer von KDDI entwickelten und mehreren Internetprovidern bereitgestellten Mailplattform erbeuteten Unbefugte die Zugangsdaten (Mailadresse und Passwort) von 12.231.954 Personen; 7.616.173 Passwörter lagen im Klartext, sodass Postfächer einsehbar waren (entdeckt am 17. Juni 2026). Die Behörde erteilte KDDI eine Anleitung (指導) nach Art. 147 APPI, die technischen Sicherheitsmaßnahmen zu verbessern, weil die Zugriffskontrollen gegen die Ausbreitung von Angreifern unzureichend waren, verlangte bis 19. Oktober 2026 einen Bericht und erteilte auch einzelnen Providern, auf die die Klartextspeicherung zurückging, eine solche Anleitung.

Behörde / Gericht

Personal Information Protection Commission (PPC, 個人情報保護委員会)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Act on the Protection of Personal Information (APPI, 個人情報の保護に関する法律) Art. 147, Art. 146 Abs. 1

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

19.08.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Datatilsynet verhängte gegen den Online-Händler für Nahrungsergänzungsmittel Lab Pharma AS ein Bußgeld von 205.000 NOK wegen Verletzung der Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde (Art. 31 DSGVO): Das Unternehmen hatte Sachbearbeitende mit Strafanzeigen und Klagen bedroht, um die Prüfung einer Beschwerde zu beenden, und angeforderte Unterlagen verspätet eingereicht. Zugleich ordnete die Behörde an, Namen und Bilder einer früheren Werbepartnerin (Influencerin) von allen Websites des Unternehmens zu löschen und ihre Daten bis zum Nachweis einer Rechtsgrundlage nicht mehr für Marketing zu verwenden, weil der zugrunde liegende Vertrag bereits im März 2017 ausgelaufen war.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 31, Art. 58 Abs. 2 lit. f, g und i, Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Haftung von Führungskräften

Datatilsynet rechnete das vorsätzliche Handeln der Unternehmensleitung dem Unternehmen zu.

Veröffentlicht

17.08.2026

Originalbetrag 205.000 NOK, umgerechnet zum EZB-Referenzkurs vom 12.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die britische Datenschutzaufsicht ICO sprach gegenüber dem ACRO Criminal Records Office eine Verwarnung (reprimand) aus. Anlass war nach Angaben der ICO ein Cybervorfall, bei dem personenbezogene Daten von rund 10.000 Betroffenen im Vereinigten Königreich betroffen sein konnten. Die ICO sah Verstöße gegen die Pflicht zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen nach Art. 32 UK GDPR. Ein Bußgeld wurde nicht verhängt.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen Elderly Aids Limited, einen Anbieter von Anrufsperr-Geräten, eine Geldbuße von 190.000 Pfund und erließ zusätzlich eine Durchsetzungsanordnung (enforcement notice). Nach den Feststellungen der ICO hatte das Unternehmen 758.053 unerbetene Direktmarketing-Anrufe an Anschlüsse getätigt, die im Telefon-Sperrregister TPS/CTPS eingetragen waren und keine Einwilligung erteilt hatten; daraus gingen 20 Beschwerden hervor. Grundlage sind die Regulations 21 und 24 der PECR. Bei Zahlung bis 7. September 2026 ermäßigt sich der Betrag laut Bescheid um 20 % auf 152.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998 (Geldbuße), section 40 DPA 1998 (Anordnung)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Originalbetrag 190.000 GBP, umgerechnet zum EZB-Referenzkurs vom 06.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Nach mehreren Beschwerden stellte die Aufsicht fest, dass aktuelle und frühere Beschäftigte ungeschult und ohne Verfahrensregeln auf umfangreiche Daten (u. a. Gesundheits-, Familien- und Einkommensdaten) zugreifen konnten, Betroffene nicht nach Art. 14 DSGVO informiert wurden, übermäßig viele Daten erhoben und automatisierte Werbeanrufe ohne Einwilligung getätigt wurden. Bußgelder: 78.465 Lei (15.000 Euro, Art. 32 Abs. 4), 52.310 Lei (10.000 Euro, Art. 14), 104.620 Lei (20.000 Euro, Art. 5/9 DSGVO) und 50.000 Lei (Gesetz 506/2004); zusätzlich Anordnung regelmäßiger Mitarbeiterschulungen. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Juni 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. c i. V. m. Art. 9, Art. 14, Art. 32 Abs. 4 DSGVO; Art. 12 Abs. 1 Gesetz 506/2004

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

06.08.2026

Originalbetrag 285.395 RON, umgerechnet zum EZB-Referenzkurs vom 06.08.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer kopierten Zertifikate aus verlorenen Femtozellen der KT Corporation in selbst gebaute Geräte, waren damit rund elf Monate unbemerkt mit dem Mobilfunknetz verbunden, fingen Daten von 16.647 Teilnehmern ab (Telefonnummer, IMSI, IMEI) und lösten mit abgefangenen Bestätigungscodes unberechtigte Handyzahlungen von rund 240 Mio. KRW bei 368 Betroffenen aus. Die Behörde verhängte wegen mangelhafter Zugangskontrolle – zehn Jahre gültige Zertifikate, keine IP-Beschränkung, keine Erkennung fremder Cell-IDs – ein Bußgeld (Penalty Surcharge) von 53.979.000.000 KRW und ordnete Schwachstellenprüfungen und eine Stärkung des Datenschutzbeauftragten an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Sanktion nach Art. 64-2(1) Nr. 9; gesonderter Beschluss 제2026-015-094호: Art. 63(1)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen Kooperation, Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, Verantwortung und Rolle des Datenschutzbeauftragten (CPO) für das gesamte Unternehmen klar festzulegen und die Governance zu überarbeiten.

Veröffentlicht

30.07.2026

Originalbetrag 53.979.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 29.07.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Eine großflächige Verletzung betraf Informationssysteme der EETAA, mit denen Programme des Ministeriums für Sozialen Zusammenhalt und Familie umgesetzt wurden; betroffen waren Identifikations-, Kontakt-, Finanz- und Gesundheitsdaten zahlreicher Personen. Die Datenschutzbehörde führte den Erfolg des Angriffs auf veraltete Systeme und unzureichende Sicherheitsmaßnahmen zurück und bemängelte das Fehlen eines Auftragsverarbeitungsvertrags. Sie verhängte mit Entscheidung 15/2026 insgesamt 350.000 EUR (Ministerium 150.000 EUR nach Art. 5 Abs. 1 lit. f/Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO; EETAA 100.000 EUR nach Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO) und ordnete binnen eines Monats den Abschluss des Vertrags sowie die Umsetzung der geplanten Sicherheitsmaßnahmen an.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 28 Abs. 3, Art. 32 Abs. 1, Art. 58 Abs. 2 lit. d und i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Das Ministerium erfüllte laut Behörde seine Melde- und Benachrichtigungspflichten nach der Verletzung.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Met Police übergab einem Angeklagten ungeschwärzte Unterlagen mit neuer Adresse und Telefonnummer eines Stalking-Opfers und legte in einer Rundmail 18 Personen mit Parlamentsbezug im offenen Verteiler offen. Die ICO ordnete Verbesserungen binnen 3 und 12 Monaten an, u. a. bei den Schulungsquoten im Datenschutz.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Data Protection Act 2018, Section 40

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Veröffentlicht

05.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein Callcenter, das vor allem für Telekommunikationsprodukte warb, Bußgelder von insgesamt 34.327 Euro: 32.000 Euro wegen unerlaubter Telefonwerbung und 2.327 Euro, weil Einwilligungen in Werbeanrufe nicht vollständig dokumentiert waren. Die Kampagne lief trotz der Lücken weiter, Anrufuntersagungen wurden teils ignoriert; das Unternehmen hat Einspruch eingelegt.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern; § 7a UWG (Dokumentation und Aufbewahrung von Einwilligungen)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Der Garante verhängte gegen TIM eine Geldbuße von 9.516.000 EUR, weil Callcenter außerhalb des offiziellen Vertriebsnetzes im Auftrag des Unternehmens Werbeanrufe über nicht im Betreiberregister ROC erfasste oder verfälschte Rufnummern (Spoofing) tätigten – oft an im Widerspruchsregister eingetragene Anschlüsse – und die so gewonnenen Kontakte über fingierte Rückrufwünsche auf Webformularen von Vertriebspartnern als scheinbar rechtmäßige Leads in die Systeme gelangten. Die Behörde warf TIM unzureichende Auswahl und Überwachung der Vertriebspartner sowie systematisch fehlende oder verspätete Antworten auf Auskunfts-, Lösch- und Widerspruchsanträge vor. Zusätzlich muss TIM das Lead-Verfahren absichern, die Kontrolle der Vertriebskette verstärken und die Verfahren für Betroffenenrechte anpassen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5, 6, 7, 12, 15–22, 24, 25, 28 und 32 DSGVO; Art. 130 Codice in materia di protezione dei dati personali (D.Lgs. 196/2003)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Mildernd berücksichtigt: kurzer Zeitraum und begrenzte Zahl Betroffener, während des Verfahrens ergriffene Maßnahmen (u. a. Kontrollen und Vertragsbeendigungen bei Partnern), hohe Kooperation, keine besonderen Kategorien personenbezogener Daten, Beitritt zum Telemarketing-Verhaltenskodex und erhebliche Investitionen in die Kontrolle der Vertriebskette.

Veröffentlicht

31.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Im Sommer 2025 verschaffte sich ein Angreifer Zugriff auf die elektronische Patientenakte der Privatklinik und erlangte Daten von 524.867 Patientinnen und Patienten sowie 202.246 Vertrauenspersonen. Es fehlten VPN und Mehr-Faktor-Authentifizierung für externe Nutzer, eine angemessene Zugriffssteuerung und eine Erkennung auffälliger Aktivitäten; die Vertrauenspersonen wurden nicht benachrichtigt. Bußgeld 500.000 EUR (SAN-2026-009).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32, Art. 34

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

03.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNIL verhängte gegen das IT- und Ingenieurberatungsunternehmen EXTIA eine Geldbuße von 300.000 EUR, weil von 265 im Jahr 2024 eingegangenen Löschanträgen – überwiegend von Bewerbern, vereinzelt von ehemaligen Beschäftigten – 12 gar nicht bearbeitet und 166 Antragsteller nicht über das Ergebnis informiert wurden; 27 erhielten die Antwort erst nach Ablauf der Monatsfrist. Die CNIL wertete dies als besonders fahrlässig, zumal das Unternehmen 2024 bereits zweimal von der CNIL auf seine Pflichten hingewiesen worden war (Art. 12 und 17 DSGVO).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12 und 17 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Im Verfahren löschte das Unternehmen die betroffenen Daten und informierte die Antragsteller nachträglich.

Veröffentlicht

09.09.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Ein Synchronisationsfehler zwischen zwei Anwendungen ermöglichte einem Kunden, in der Mobile-App Rechnungen anderer Kunden abzurufen; zudem wurde die ohne VPN, MFA oder IP-Beschränkung öffentlich erreichbare Ticketing-Plattform angegriffen und ein sehr großer Datenbestand (u. a. Ausweiskopien, Kartendaten, IBAN) abgezogen. Bußgelder: 104.780 Lei (20.000 Euro, Art. 25) und 419.120 Lei (80.000 Euro, Art. 32), insgesamt 523.900 Lei; dazu Anordnung eines Test- und Änderungsmanagements. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 25 Abs. 1, Art. 32 Abs. 1 lit. b und d, Abs. 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

17.07.2026

Originalbetrag 523.900 RON, umgerechnet zum EZB-Referenzkurs vom 17.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das öffentliche Krankenhaus veröffentlichte von Mai bis Ende August 2024 versehentlich eine OP-Liste mit Telefonnummern, Erkrankungen und geplanten Eingriffen von Patientinnen und Patienten auf seiner Website; ein Bürger fand das Dokument über Google. Die Behörde verhängte insgesamt 25.000 EUR: 10.000 EUR für mangelnde Sicherheit, 2.000 EUR für die verspätete Meldung, 10.000 EUR für die unterlassene Benachrichtigung der Betroffenen und 3.000 EUR für fehlende DSB-Kontaktdaten.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1, 12, 13 i. V. m. 37 (Entscheidung 13/2026)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Datenschutzbehörde hatte einem Unternehmen untersagt, seine drei Dienstfahrzeuge ununterbrochen per GPS zu verfolgen, und die Löschung der Daten angeordnet; erlaubt blieben enge Zwecke wie Diebstahlschutz beim Parken. Das Verwaltungsgericht bestätigte dies und stellte klar, dass eine mit anderen Erklärungen gekoppelte Einwilligung der Beschäftigten unwirksam ist.

Behörde / Gericht

Upravno sodišče Republike Slovenije (bekanntgemacht durch den Informacijski pooblaščenec)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 6 Abs. 1 lit. f, Art. 7 Abs. 2 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Veröffentlicht

07.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Garante verhängte gegen die US-Betreiberin des generativen KI-Dienstes Character.AI, auf dem Nutzer – auch Minderjährige – mit virtuellen Figuren chatten, eine Geldbuße von 158.000 EUR, unter anderem wegen mangelhafter Datenschutzinformationen, einer verspätet erstellten Datenschutz-Folgenabschätzung und der verspäteten Benennung eines Vertreters in der EU. Beanstandet wurden auch Schwächen beim Schutz Minderjähriger und bei der Altersprüfung; binnen 120 Tagen muss das Unternehmen eine funktionierende Altersverifikation, eine wirksame Sperrfrist gegen erneute Registrierung gesperrter Minderjähriger und standardmäßig private Profile für Minderjährige sicherstellen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 2, 12 Abs. 1, 13 Abs. 1 und 2, 14 Abs. 1 und 2, 24 Abs. 1, 25 Abs. 2, 27 Abs. 1 und 35 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Mildernd: schrittweise verstärkte Altersprüfung (eigener Dienst für Minderjährige, Altersverifikation durch einen Drittanbieter), keine früheren einschlägigen Verstöße, Kooperation und Änderungen der Datenschutzerklärung während des Verfahrens.

Veröffentlicht

09.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Ein Bankmitarbeiter rief auf Bitten eines Dritten außerhalb seiner Aufgaben Kontoauszüge einer betroffenen Person ab (Name, IBAN, Transaktionen, Salden). Die Aufsicht sah unzureichende technische und organisatorische Maßnahmen und verhängte 26.172 Lei (5.000 Euro); die Bank hat das Bußgeld bezahlt. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1, 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

02.07.2026

Originalbetrag 26.172 RON, umgerechnet zum EZB-Referenzkurs vom 02.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei einer Schwerpunktprüfung zu Cookies auf Unternehmenswebsites beanstandete die DVI die Seite 4mebeles.lv. Nach einer Verwarnung im Februar 2026 behauptete die Firma, die Mängel seien behoben, was eine erneute Prüfung widerlegte; weitere Auskunftsersuchen blieben unbeantwortet. Die DVI verhängte wegen Nichtkooperation 1.000 Euro und forderte die fehlenden Informationen bis 3. August 2026 an.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach knapp vier Jahren Rechtsstreit hat das Bundesbezirksgericht für Idaho eine zwischen der FTC und dem Datenhändler Kochava vereinbarte Anordnung erlassen. Die FTC hatte Kochava vorgeworfen, präzise Standortdaten von Hunderten Millionen Mobilgeräten ohne Wissen und Einwilligung der Betroffenen verkauft zu haben, aus denen sich etwa Besuche bei Gesundheitseinrichtungen und Gotteshäusern ablesen ließen. Kochava und die Tochter Collective Data Solutions, die das Datenhandelsgeschäft übernommen hat, dürfen sensible Standortdaten nur noch mit ausdrücklicher Einwilligung und für vom Verbraucher angeforderte Dienste weitergeben und müssen unter anderem ein Programm für sensible Orte, Prüfungen ihrer Datenlieferanten, Auskünfte über Empfänger und Löschfristen einführen; eine Geldzahlung ist nicht vorgesehen. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. District Court for the District of Idaho auf Klage der Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Section 5 FTC Act, 15 U.S.C. § 45 (unlautere Praktiken); Verfahren nach Section 13(b), 15 U.S.C. § 53(b)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

26.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Das Unternehmen hatte für rund 2,2 Mio. Menschen statistisch errechnete 'Partei-Affinitäten' gespeichert und teils an Werbekunden verkauft – besondere Kategorien personenbezogener Daten ohne Einwilligung; zudem wurden Paketfrequenzdaten zweckwidrig weiterverarbeitet. Die DSB hatte 2019 18 Mio. EUR verhängt, das BVwG 2024 16 Mio. EUR; der VwGH setzte die Geldbuße nun rechtskräftig auf 13 Mio. EUR (plus 100.000 EUR Verfahrenskosten) fest.

Behörde / Gericht

Verwaltungsgerichtshof (Ausgangsbescheid: Datenschutzbehörde)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a und b, Art. 6 Abs. 4, Art. 9 Abs. 1 (VwGH Ro 2025/04/0007)

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Umfassende Kooperation, Löschung der Partei-Affinitäten, Vergleiche mit Betroffenen, lange Verfahrensdauer (5 Jahre, 10 Monate).

Veröffentlicht

16.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Inkassounternehmen stellte Personendaten mutmaßlicher Schuldner, teils besonders schützenswerte, ins Internet, um Hinweise auf ihren Aufenthalt zu erhalten und Dritte zu warnen. Das Bundesverwaltungsgericht bestätigte die Verfügung des EDÖB, wonach dies eine ungerechtfertigte Persönlichkeitsverletzung ist.

Behörde / Gericht

Bundesverwaltungsgericht (A-3891/2025) auf Verfügung des EDÖB vom 28.04.2025

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSG Art. 6, Art. 19, Art. 31

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

20.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Sicherheitsdienstleister setzte in Fahrzeugen Kameras ein, mit denen personenbezogene Daten verarbeitet wurden, ohne dass dafür eine Rechtsgrundlage bestand. Die schwedische Datenschutzbehörde sprach eine Verwarnung (Reprimand) nach Art. 58 DSGVO aus; ein Bußgeld wurde nicht verhängt.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

DSGVO Art. 6 Abs. 1

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Verteidigung und Sicherheit

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Beschäftigter des für Kaufland România als Auftragsverarbeiter tätigen Dienstleisters ließ einen Dritten in den Videoüberwachungsraum eines Markts; dieser filmte die Bilder ab und verbreitete sie in sozialen Medien. Kaufland meldete den Vorfall. Die Aufsicht verhängte gegen den Auftragsverarbeiter 10.200 Lei (2.000 Euro) und ordnete zusätzliche Kontrollen der Arbeitsanweisungen an; das Bußgeld wurde bezahlt. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im April 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 29, Art. 32 Abs. 1 lit. b, Abs. 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

15.06.2026

Originalbetrag 10.200 RON, umgerechnet zum EZB-Referenzkurs vom 15.06.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Onlinehändler hatte keine Speicherfrist für Kundenkonten festgelegt und Daten bis zu einem Löschantrag der Kunden behalten; Einkäufe waren nur mit Konto möglich. Das Sanktionsgremium verhängte 2024 856.000 Euro, das Verwaltungsgericht setzte die Buße nach aktuellem Umsatz auf 792.639 Euro herab, und der Oberste Verwaltungsgerichtshof bestätigte dies am 12.06.2026.

Behörde / Gericht

Korkein hallinto-oikeus (KHO); Sanktionsgremium des Datenschutzbeauftragten

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Handel und E-Commerce

Veröffentlicht

18.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Betroffener beschwerte sich über die Weitergabe von Aufnahmen aus der Videoüberwachung der Supermarktkette und über die unzureichende Beantwortung seines Auskunftsersuchens. Die Datenschutzbehörde stellte fest, dass Market In das Videomaterial ohne vorherige Information des Betroffenen an die Justizbehörden weitergegeben, mehr Daten als nötig verarbeitet, das Auskunftsrecht nicht erfüllt und nicht mit der Behörde kooperiert hatte, und verhängte mit Entscheidung 10/2026 insgesamt 95.000 Euro (50.000 Euro wegen Rechtmäßigkeit/Transparenz, je 20.000 Euro wegen Datenminimierung und Auskunftsrecht, 5.000 Euro wegen fehlender Kooperation); im selben Verfahren erhielt die ΜΕΔΕ ΑΕ 65.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, c, Art. 5 Abs. 2, Art. 12, 13, 15, 31 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Monash IVF erhob über Tracking-Pixel von Drittanbietern auf seiner Website für Kinderwunschbehandlungen sensible Informationen von Besucherinnen und Besuchern. Die Privacy Commissioner entschied, dass das Verfolgen von Besuchern gesundheitsbezogener Websites mit anschließender gezielter Werbung in sozialen Netzwerken eine Erhebung sensibler Daten ist, die eine Einwilligung erfordert, und stellte Verstöße gegen APP 3.3, 5.1, 5.2 und 7.1 fest. Monash IVF darf das Vorgehen nicht fortsetzen oder wiederholen und muss festgelegte Abhilfeschritte umsetzen; am selben Tag erging eine gleichgerichtete Entscheidung gegen den Telemedizinanbieter Medmate Australia.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Privacy Act 1988 (Cth), APP 3.3, 5.1, 5.2, 7.1

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

24.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Ein ehemaliger Beschäftigter nutzte Signaturschlüssel für die Authentifizierung, auf die er während seiner Tätigkeit im Klartext zugreifen konnte und die nach seinem Ausscheiden weder erneuert noch vernichtet wurden, um gefälschte Tokens zu erstellen und von April bis November 2025 Daten von rund 33,22 Mio. Kundinnen und Kunden sowie Lieferdaten von rund 4,33 Mio. weiteren Personen abzurufen. Die Behörde verhängte gegen Coupang Corp. wegen unzureichender Sicherheitsmaßnahmen ein Bußgeld (Penalty Surcharge) von 423.575.000.000 KRW und wegen verspäteter Benachrichtigung und unterlassener Löschung ein Verwaltungsbußgeld von 16.800.000 KRW (zusammen 423.591.800.000 KRW) und rügte den Ausschluss des Datenschutzbeauftragten von der internen Untersuchung. Ein gesonderter Beschluss vom selben Tag verhängte weitere 201.106.000.000 KRW wegen Erhebung von Verhaltensdaten auf fremden Websites und Apps ohne Einwilligung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1), Art. 21(1), Art. 31(6), Art. 63(2); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 50 % wegen Abhilfe, Entschädigung, Zertifizierung und Verhältnismäßigkeit; Erhöhungen um 25 % (Verstoßdauer), 30 % (mindestens zwei frühere Geldbußen) und 10 % (Behinderung der Untersuchung).

Haftung von Führungskräften

Der Datenschutzbeauftragte (CPO) war von interner Untersuchung und Veröffentlichung ausgeschlossen; angeordnet wurde eine Governance, die seine unabhängige Arbeit und seinen Zugang zu Informationen bei Vorfällen sichert.

Veröffentlicht

11.06.2026

Originalbetrag 423.591.800.000 KRW, umgerechnet zum EZB-Referenzkurs vom 10.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Im November 2018 verschlüsselten Angreifer Patientendaten im Laborinformationssystem des Midlands Regional Hospital Tullamore. Die DPC stellte Verstöße der HSE gegen Art. 5(1)(f), 28, 30, 32(1) und 34 DSGVO fest (u. a. unzureichende Sicherheit, lückenhafte Auftragsverarbeitungsverträge und Verarbeitungsverzeichnis, unvollständige Benachrichtigung Betroffener), erteilte einen Verweis, verhängte 300.000 Euro für die Sicherheitsmängel (Art. 5(1)(f) und 32(1)) und ordnete an, festgelegte Richtlinien und Verfahren zur sicheren Verarbeitung einzuführen.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 28, 30, 32(1), 34 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die BlnBDI hatte 2019 14,5 Mio. Euro gegen den Wohnungskonzern verhängt, weil Mieterdaten wie Gehaltsbescheinigungen, Kontoauszüge und Sozialversicherungsdaten in einem Archivsystem ohne Löschmöglichkeit lagen. Nach dem EuGH-Urteil von 2023 zur direkten Unternehmenshaftung bestätigte das LG Berlin I am 09.06.2026 Verstöße gegen Datenminimierung und Speicherbegrenzung; die vom Gericht festgesetzte Bußgeldhöhe nennt die Pressemitteilung nicht.

Behörde / Gericht

Landgericht Berlin I (Bußgeldbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5, Art. 25 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Haftung von Führungskräften

Nach EuGH (C-807/21) muss für das Unternehmensbußgeld keine Pflichtverletzung einer Leitungsperson nachgewiesen werden.

Veröffentlicht

10.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Durch Fehler eines Auftragsverarbeiters des Stromanbieters wurden falsche Angaben zu einem Lastschriftmandat erfasst, sodass drei statt einer Rechnung vom Konto des Kunden abgebucht wurden; Gesprächsaufzeichnungen und Mandatsformular waren nicht aufbewahrt. ZENITH beantwortete das Auskunftsersuchen unzureichend und korrigierte die Daten nicht (100.000 Euro), die Piraeus Bank verletzte das Auskunftsrecht (10.000 Euro und Rüge); Entscheidung Nr. 8/2026.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic DPA)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. d, Art. 12 Abs. 3, Art. 15, Art. 28 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut FTC-Beschwerde versprach Illuminate Schulen Datensicherheit, schützte seine Cloud-Datenbanken aber nicht angemessen, obwohl ein Dienstleister fast zwei Jahre vorher auf Schwachstellen hingewiesen hatte; ein Hacker griff auf Daten von 10,1 Mio. Schülern inkl. Gesundheitsangaben zu. Die Anordnung verlangt ein Informationssicherheitsprogramm, Datenminimierung und einen öffentlichen Löschplan und untersagt Falschangaben zu Sicherheit und Meldefristen.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

FTC Act (Verbot unlauterer und irreführender Praktiken)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

05.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Datatilsynet verhängte gegen Elkjøp Nordic AS und Elkjøp Norge AS ein Bußgeld von 20.000.000 NOK. Nach einer Vor-Ort-Prüfung im Juni 2022 stellte die Behörde fest, dass die Einwilligung für den Kundenclub weder informiert noch spezifisch noch freiwillig war, Clubdaten ohne Rechtsgrundlage für das Werkzeug „kundematch“ weiterverwendet wurden, die Rechtmäßigkeit sogenannter Offline-Konversionen nicht geprüft und dokumentiert war und Berichtigungsanträge nicht fristgerecht bearbeitet wurden. Die Entscheidung erging im Kooperationsverfahren mit den Aufsichtsbehörden Schwedens, Islands, Finnlands und Dänemarks; in den nordischen Ländern waren über sechs Millionen Clubmitglieder betroffen.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 6 Abs. 1 i. V. m. Art. 4 Nr. 11, Art. 6 Abs. 4, Art. 5 Abs. 2 i. V. m. Art. 5 Abs. 1 lit. a, Art. 12 Abs. 3 DSGVO; Art. 58 Abs. 2 lit. i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Mildernde Umstände

Verbesserungen nach der Prüfung, lange Verfahrensdauer bei Datatilsynet und fehlender Nachweis der Verarbeitung sensibler Daten; der Betrag liegt deutlich unter dem Ausgangswert der EDSA-Leitlinien (0,4–0,8 % des Konzernumsatzes).

Veröffentlicht

04.06.2026

Originalbetrag 20.000.000 NOK, umgerechnet zum EZB-Referenzkurs vom 01.06.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO verhängte gegen Thermotech Wall and Loft Surveys Ltd eine Geldbuße von 240.000 Pfund und erließ eine Durchsetzungsanordnung. Nach einer Durchsuchung im April 2025 stellte die Behörde fest, dass das Unternehmen zwischen Oktober 2024 und März 2025 575.062 unerbetene Werbeanrufe an Nummern veranlasst hatte, die seit mehr als 28 Tagen im TPS-Register eingetragen waren. Es gingen 132 Beschwerden ein. Grundlage sind die Regulations 21 und 24 der PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Originalbetrag 240.000 GBP, umgerechnet zum EZB-Referenzkurs vom 28.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die CNIL verhängte gegen IQVIA Operations France eine Geldbuße von 5.000.000 EUR, weil die Gesellschaft bei zwei von der CNIL genehmigten Gesundheitsdatenlagern (Daten aus rund 14.000 Apotheken und mehreren Tausend Arztpraxen) die Auflagen der Genehmigungen nicht einhielt, u. a. bei Protokollauswertung, Mehrfaktor-Authentifizierung, Patienteninformation und Widerspruchsrecht. Zudem wurden Apothekenkunden nicht über die Weitergabe ihrer Daten informiert, eigene Studien ohne die erforderliche Genehmigung durchgeführt und über die Apothekensoftware Daten auch nach einer Ablehnung übermittelt (Art. 25 DSGVO). Die CNIL wertete die Daten als pseudonym, nicht anonym, und ordnete Abhilfe binnen sechs Monaten unter einem Zwangsgeld von 10.000 EUR je Tag an.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 66 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés); Art. 14 und 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Die Sicherheitsmängel wurden nach den Kontrollen behoben.

Veröffentlicht

28.05.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die Nachrichtenportale Origo und Magyar Nemzet des Verlags verlinkten am 7. November 2025 auf eine von Unbekannten erstellte Karte mit Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geokoordinaten und politischer Präferenz von Tisza-Sympathisanten; Ripost zeigte ein Bild mit dem Namen der Karte. Die Datenschutzbehörde stellte vorsätzliche Verstöße gegen Art. 6 und 9 DSGVO fest, untersagte die erneute Verbreitung und verhängte 50 Mio. HUF.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

DSGVO Art. 6 Abs. 1, Art. 9 Abs. 1, Art. 58 Abs. 2 lit. b und f

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Verschulden

vorsätzlich

Veröffentlicht

26.05.2026

Originalbetrag 50.000.000 HUF, umgerechnet zum EZB-Referenzkurs vom 26.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die öffentliche Berufsschule hatte Berichte zur Überprüfung von Qualifikationen und Vorstrafen dreier Beschäftigter im September 2022 versehentlich per E-Mail an weitere Mitarbeitende verschickt, weder die Behörde noch die Betroffenen informiert und keinen Information Officer (Informationsbeauftragten) registriert. Abweichend von der Einschätzung ihres Enforcement Committee (Durchsetzungsausschuss) sah die Behörde darin auch eine unzulässige Weiterverarbeitung und stellte Verstöße gegen Rechenschaftspflicht, Zweckbindung, Datensicherheit und Meldepflicht fest; am 22. Mai 2026 ordnete sie u. a. die Registrierung, die nachträgliche Meldung, eine schriftliche Entschuldigung, ein Compliance-Framework und POPIA-Schulungen für alle Beschäftigten an.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Sections 8, 15(1), 19(1) und 22(1) Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Schule rief die E-Mail zwei Tage später zurück, informierte die Beschäftigten über den Fehler und ergriff Maßnahmen gegen die Verantwortlichen; das entband sie laut Behörde aber nicht von der Meldepflicht.

Veröffentlicht

02.06.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die ICO verhängte gegen ein britisches Marketingunternehmen eine Geldbuße von 300.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen mehr als 5,5 Millionen unerbetene Werbe-SMS versendet, darunter Nachrichten, die wie Schreiben von Gerichtsvollziehern aufgemacht waren. Beim Spam-Meldedienst 7726 gingen über 60.000 Beschwerden ein. Die ICO stützte sich auf die Regulations 22 und 23 der PECR (elektronische Werbung ohne Einwilligung, verschleierte Absenderidentität).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 22 und 23 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 300.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Angreifer gaben sich als technischer Support aus, verleiteten Mitarbeitende von Verkaufsstellen zur Freigabe von Systemzugängen und erbeuteten Daten von über 365.000 Kunden, bei 41.359 auch Zahlungsdaten. Die Garante rügte mangelhafte Verwaltung von Zugangsdaten und digitalen Zertifikaten sowie unzureichende Sicherheitsbewertungen und verhängte 1.715.600 Euro.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO (Integrität und Vertraulichkeit, Art. 32)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

16.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der wallonische Wasserversorger zeichnete Kundengespräche zur Qualitätskontrolle und Schulung auf und hörte sie mit; die Kammer stellte Verstöße gegen Transparenz und Fairness sowie bei der Einbindung eines Unterauftragsverarbeiters fest. Sie verhängte zwei Bußgelder von zusammen 86.000 EUR (85.000 + 1.000), nachdem sie die Beträge wegen der Lage des öffentlichen Versorgers gesenkt hatte; gegen die Entscheidung wurde Rechtsmittel beim Marktgericht eingelegt.

Behörde / Gericht

Autorité de protection des données (APD/GBA) – Chambre Contentieuse

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 12 Abs. 1, Art. 13, Art. 28 Abs. 3

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Betrüger mit vorhandenen Kundendaten gaben sich im „Open24“-Callcenter der Bank als Kunden aus, ließen Kontodaten ändern und erhielten weitere Informationen, weil Sicherheitsprotokolle nicht eingehalten wurden; Betroffene mussten Konten schließen, einige erlitten Verluste. Die DPC verhängte 250.000 Euro wegen unzureichender Sicherheit und 27.500 Euro wegen verspäteter Pannenmeldung (Entscheidung in der Vorwoche der Pressemitteilung zugestellt).

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1, Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

08.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Über eine Phishing-Mail gelangte 2020 Schadsoftware in das Netz des Wasserversorgers und blieb rund 20 Monate unentdeckt; 2022 erlangten Angreifer Administratorrechte und stahlen Daten von 633.887 Personen, die im Darknet landeten. Die ICO bemängelte u. a. eine Überwachung von nur 5 % der IT-Umgebung, veraltete Software wie Windows Server 2003 und fehlendes Schwachstellen- und Patchmanagement.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Energie und Versorgung

Verschulden

fahrlässig

Mildernde Umstände

40 % Minderung wegen frühen Schuldeingeständnisses; Zahlung ohne Rechtsmittel vereinbart.

Veröffentlicht

11.05.2026

Originalbetrag 963.900 GBP, umgerechnet zum EZB-Referenzkurs vom 07.05.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Seit 2020 kam es bei der CRA zu mehr als 42.000 einzelnen Verletzungen, bei denen Unbefugte auf Steuerkonten zugriffen oder Daten änderten, um Leistungen umzuleiten. Der Datenschutzbeauftragte bemängelte in einem Sonderbericht an das Parlament u. a. die verzögerte Einführung verpflichtender MFA und lückenhafte Vorfallserfassung und sprach neun Empfehlungen aus, von denen acht vollständig und eine teilweise angenommen wurden.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act (Kanada)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Obwohl der IDPC bereits zugunsten eines Beschwerdeführers entschieden hatte, ließ ein Versicherungsunternehmen (Name geschwärzt) ihn erneut über ein Drittunternehmen zu Werbezwecken anrufen; seine Nummer stand weiter auf Anruflisten. Der IDPC rügte fehlende Schutzvorkehrungen und unzureichende Verträge mit Auftragsverarbeitern, ordnete Abhilfe binnen 20 Tagen an und verhängte zwei Geldbußen von zusammen 1.000 Euro.

Behörde / Gericht

Information and Data Protection Commissioner (IDPC)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 2, Art. 21 Abs. 2, Art. 24 Abs. 1, Art. 28 Abs. 3 i. V. m. Art. 58 Abs. 2 lit. b, d, i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Auftragsverarbeiter der BVG, der Anfang 2025 Kundenschreiben versandt hatte, wurde gehackt; rund 180.000 Kundendatensätze waren betroffen, obwohl sie nach Auftragsende längst hätten gelöscht sein müssen. Die BVG hatte die Löschung nie kontrolliert, im Auftragsverarbeitungsvertrag kein Verfahren für Datenpannen vereinbart und den Vorfall erst nach Ablauf der 72-Stunden-Frist gemeldet; die BlnBDI sprach eine Verwarnung aus.

Behörde / Gericht

Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 5 Abs. 2 i. V. m. Abs. 1 lit. c, e, f, Art. 28 Abs. 3 S. 2 lit. f, Art. 32 Abs. 1, Art. 33 DSGVO

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Mildernde Umstände

Die BVG hat Maßnahmen gegen ähnliche Vorfälle angekündigt.

Veröffentlicht

04.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei einem am 31.10.2025 gemeldeten Ransomware-Angriff auf das Mitgliederverwaltungssystem von Yau Yat Chuen Garden City Club Limited, einem privaten, nicht gewinnorientierten Freizeitclub, waren Daten von 9.045 aktuellen und ehemaligen Mitgliedern und Zusatzkarteninhabern betroffen, darunter Ausweis- oder Passnummern. Der Angreifer nutzte eine bekannte Schwachstelle in veralteter Fernwartungssoftware des externen Dienstleisters und gelangte ohne weitere Authentifizierung auf den angemeldet belassenen Server; Virenschutz und Firewall waren veraltet, und personenbezogene Daten wurden länger als nötig aufbewahrt. In seinem am 23.04.2026 veröffentlichten Untersuchungsbericht stellte der PCPD Verstöße gegen DPP 4(1) und DPP 2(2) fest und erließ eine Enforcement Notice.

Behörde / Gericht

Privacy Commissioner for Personal Data (PCPD), Hongkong

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data (Privacy) Ordinance, Data Protection Principles 4(1) und 2(2); Enforcement Notice

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

23.04.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die ICO erließ gegen ein britisches Unternehmen eine Durchsetzungsanordnung (enforcement notice). Nach den Feststellungen der ICO hatte das Unternehmen Anrufe zu Dienstleistungen der Schadensregulierung (claims management) veranlasst, ohne dass die Angerufenen eingewilligt hatten. Solche Anrufe sind nach Regulation 21A der PECR nur mit vorheriger Einwilligung zulässig; zudem sah die ICO einen Verstoß gegen Regulation 24. Der Bescheid ist eine Durchsetzungsanordnung; eine Geldbuße enthält er nicht.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21A und 24 PECR; section 40 DPA 1998

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Beide Unternehmen nutzten E-Mail-Adressen und Telefonnummern aus Onlinekäufen weiter für Werbung, obwohl Betroffene widersprochen hatten – teils nach bestätigter Löschung. Der EDÖB verfügte die Einstellung der Werbebearbeitung und die Löschung auf Verlangen.

Behörde / Gericht

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSG Art. 6, Art. 30 Abs. 2 lit. b, Art. 31

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Veröffentlicht

26.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ausgangspunkt war eine Beschwerde über unvollständige Herausgabe von Patientendaten; die Klinik ließ mehrere Anfragen der Aufsicht unbeantwortet. Die AKI ordnete an, die Verträge mit Align Technology (Invisalign) auf die DSGVO-Rollen hin zu überarbeiten (Art. 26/28 DSGVO), das Einwilligungsformular und die Datenschutzhinweise nach Art. 7, 9, 13 und 14 DSGVO anzupassen und auf Estnisch zu veröffentlichen; bei Nichterfüllung droht ein Zwangsgeld von 1.000 Euro je Punkt.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

§ 56 Abs. 1 IKS; Art. 58 Abs. 2 lit. d DSGVO i. V. m. Art. 5 Abs. 1 lit. a, 7, 9, 13, 14, 26, 28 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ein Erbringer öffentlicher Versorgungsleistungen erfasste über GPS-Sender in Dienstfahrzeugen dauerhaft und anlasslos die Standortdaten der Beschäftigten, ohne Zweckfestlegung, Interessenabwägung und ausreichende Information. Die Behörde verhängte 6.000 EUR gegen das Unternehmen.

Behörde / Gericht

Informacijski pooblaščenec Republike Slovenije (IP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 und Art. 6 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

15.04.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der Verlag bewahrte Daten von rund 685.000 ehemaligen Buchclub-Mitgliedern in einer „passiven Datenbank“ auf, bei rund 395.000 mehr als zehn Jahre nach dem Austritt, ohne Löschregeln. Datatilsynet hatte 2022 ein Bußgeld von 1 Mio. DKK empfohlen; der Fall wurde am 14.04.2026 mit einem Bußgeldbescheid abgeschlossen, dessen Höhe in der Quelle nicht genannt ist.

Behörde / Gericht

Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet

Rechtsgebiet

Datenschutz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. e, Art. 5 Abs. 2

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Mildernde Umstände

Kooperatives Verhalten; nur zwei Beschäftigte hatten Zugriff auf die passive Datenbank; Löschung nach dem Aufsichtsbesuch.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Arbeitgeber installierte auf Dienstrechnern einzelner Beschäftigter die Software Spyrix Employee Monitoring, die monatelang Bildschirminhalte, Tonaufnahmen und sogar private E-Mails und Gespräche aufzeichnete, ohne die Beschäftigten zu informieren. Die Aufsichtsbehörde verhängte 71.474 EUR gegen das Unternehmen.

Behörde / Gericht

Informacijski pooblaščenec Republike Slovenije (IP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 und Art. 6 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

vorsätzlich

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

09.04.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Amsterdamer Ridetech bot die Fahrdienst-App Yango in Finnland und Norwegen an und übermittelte Daten von Fahrern und Kunden an die Konzerngesellschaften Yandex.Taxi LLC und Yandex LLC in Russland, ohne geeignete Garantien nachzuweisen. Die AP verhängte 100 Mio. EUR gegen die Rechtsnachfolgerin und untersagte weitere Übermittlungen nach Russland.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44, Art. 46 iVm Art. 5 Abs. 1 lit. a und Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Datenschutzbeauftragte stellte fest, dass die Mietbewerbungsplattform 2Apply von März 2020 bis März 2025 mehr personenbezogene Daten erhob als erforderlich, etwa Geschlecht, Studierendenstatus, Staatsbürgerschaft, Visumsablauf und frühere Wohnverhältnisse, und dabei durch Gestaltungsmittel wie „Confirmshaming“, einseitige Darstellung und gebündelte Einwilligungen unfair vorging. Die Entscheidung verpflichtet IRE, diese Datenerhebung binnen 60 Tagen einzustellen, eine unabhängige Prüfung zu beauftragen und der OAIC binnen zwölf Monaten über die Umsetzung der Empfehlungen zu berichten.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

APP 3.2 und APP 3.5 (Privacy Act 1988 (Cth)); Feststellungen nach s 52(1A)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

IRE passte seine Erhebungspraxis während der Untersuchung an, ohne eine Rechtsverletzung anzuerkennen.

Veröffentlicht

22.04.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die Eigentümergemeinschaft (Management Corporation) der Wohnanlage Riverfront Residences hatte bis März 2025 keinen Datenschutzbeauftragten (Data Protection Officer) benannt, keine eigenen Datenschutzregeln und ihrem Hausverwalter, der als Auftragsverarbeiter (data intermediary) für sie tätig war, keine Vorgaben zum Umgang mit personenbezogenen Daten gemacht; im April 2025 schickte ein Beschäftigter des Verwalters Namen, Adressen und Hausgeldangaben zweier Eigentümer versehentlich an einen anderen Eigentümer. Die Datenschutzbehörde PDPC stellte Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) und die Schutzpflicht (Protection Obligation) fest; in der Versendung eines Antrags auf eine außerordentliche Versammlung mit Namen und Unterschriften von 303 Eigentümern sah sie dagegen wegen vorrangigen Wohnungseigentumsrechts keinen Verstoß. Sie ordnete an, binnen 90 Tagen Richtlinien und Verfahren für die Datenverarbeitung durch den Verwalter einzuführen und diesem mitzuteilen; der Verwalter selbst hatte eine freiwillige Verpflichtungszusage abgegeben.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Sections 11(3) und 12(a) PDPA 2012 (Accountability Obligation); Section 24 i. V. m. Section 4(3) PDPA (Protection Obligation bei Einsatz eines Data Intermediary)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die ICO verhängte gegen Energy Prices Direct Limited, einen Vermittler von Energietarifwechseln, eine Geldbuße von 160.000 Pfund. Nach den Feststellungen der ICO hatte das Unternehmen Kontaktdaten aus öffentlichen Quellen und von Listenanbietern bezogen und vor seinen Werbeanrufen nicht mit den Sperrregistern TPS/CTPS abgeglichen. Grundlage sind die Regulations 21 und 24 der PECR. Bei fristgerechter Zahlung ermäßigt sich der Betrag laut Bescheid um 20 % auf 128.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Originalbetrag 160.000 GBP, umgerechnet zum EZB-Referenzkurs vom 30.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Bei einem Angriff auf eine von einem Auftragsverarbeiter betriebene Anwendung wurden Daten einer sehr großen Zahl von Personen (u. a. Personenkennziffer, Führerschein- und Ausweisnummern, Fahrgestellnummern) abgegriffen und veröffentlicht. Die Aufsicht bemängelte fehlende Sicherheitsmaßnahmen und Wirksamkeitstests sowie die Auswahl eines Dienstleisters ohne ausreichende Garantien und verhängte 637.262,50 Lei (125.000 Euro).

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und d, Abs. 2 i. V. m. Art. 28 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Automobil

Veröffentlicht

25.03.2026

Originalbetrag 637.262,5 RON, umgerechnet zum EZB-Referenzkurs vom 25.03.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine Person beschwerte sich, dass Fitsypro auf ihr Auskunfts-, Berichtigungs- und Löschersuchen vom November 2023 nicht reagiert habe. Drei Informationsanforderungen der DVI zwischen 2024 und 2026 blieben unbeantwortet, zu Verhandlung erschien niemand. Die DVI verhängte 1.500 Euro und forderte die Informationen bis 21. April 2026 an.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 58 Abs. 1 lit. e, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

vorsätzlich

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Stadtgericht Kolding verurteilte die Region Syddanmark im Dezember 2024 wegen zweier Verstöße gegen die Pflicht zu angemessener Datensicherheit zu 1.000.000 DKK. Das Vestre Landsret bestätigte am 23. März 2026 nur den ersten Vorwurf – in einer Datenbank für Forschung und Klinik konnten eingeloggte Nutzer durch Ändern der URL auf PDF-Dokumente von über 23.000 Registrierten zugreifen, darunter Gesundheitsdaten Minderjähriger aus der Psychiatrie – und setzte die Buße auf 500.000 DKK herab; vom Vorwurf zu Patientendaten in einer Präsentation auf der Website sprach es die Region frei.

Behörde / Gericht

Retten i Kolding; Vestre Landsret (auf Anzeige der Datatilsynet)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1, Art. 83 Abs. 4 lit. a und Abs. 9 DSGVO; databeskyttelseslovens § 41 stk. 1 nr. 1, stk. 3 og 6

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Wiederholungsfall

ja

Originalbetrag 500.000 DKK, umgerechnet zum EZB-Referenzkurs vom 23.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Ein Hausarzt, der den Beschwerdeführer seit Januar 2023 nicht mehr betreute, rief bis August 2024 über seine Praxissoftware insgesamt 47-mal dessen Gesundheitsdaten (Befunde, Rezepte) in der nationalen E-Gesundheitsplattform EESZT ab und beantwortete einen Auskunftsantrag nicht. Die NAIH stellte Verstöße gegen Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2 und 15 Abs. 1 DSGVO fest, ordnete die Erfüllung des Auskunftsantrags an und verhängte 500.000 HUF.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2, 15 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

20.03.2026

Originalbetrag 500.000 HUF, umgerechnet zum EZB-Referenzkurs vom 20.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Singtel Optus fragte Kundinnen und Kunden, die ihre Rufnummer zu Optus mitnahmen, ob sie im Telefonbuch stehen wollen, setzte den Wunsch nach einer nicht eingetragenen Nummer zwischen Oktober 2015 und September 2019 aber nicht um, sodass 41.278 Betroffene in den White Pages veröffentlicht blieben. Die Privacy Commissioner stellte einen Verstoß gegen APP 11.1 fest, weil Optus das über den ganzen Zeitraum bekannte Fehlerrisiko nicht mit angemessenen Schritten wie regelmäßigen Systemabgleichen beseitigte, und erklärte, dass das Unternehmen dieses Verhalten nicht wiederholen darf. Über Entschädigungen will die Behörde gesondert im Verfahren über eine Sammelbeschwerde (representative complaint) zum selben Sachverhalt entscheiden.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act 1988 (Cth) s 13(1), APP 11.1; Erklärung nach s 52(1A)(a)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

11.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Nach einem Cyberangriff im Frühjahr 2025, bei dem Daten von rund 375.000 aktuellen und 540.000 früheren Kundinnen und Kunden abflossen, darunter Bankkonto-, Führerschein- und Sozialversicherungsnummern, hat Nova Scotia Power gegenüber dem Privacy Commissioner of Canada ein Compliance-Schreiben (Compliance Letter) unterzeichnet. Das Unternehmen sagt zu, die Sozialversicherungsnummern von Kundinnen und Kunden zu löschen und bis 31. Oktober 2026 eine unabhängige Sicherheitsprüfung – einschließlich Mitarbeiterschulung und Benachrichtigungsprozessen – vorzulegen und über die Umsetzung der Empfehlungen zu berichten; erst dann wird die Untersuchung eingestellt. Ausgangspunkt war laut Schreiben, dass ein Beschäftigter auf einer kompromittierten Website einen Link in einem Pop-up anklickte und dadurch Schadsoftware installierte.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection and Electronic Documents Act (PIPEDA); Einstellung nach Paragraph 12.2(1)(c) bei Erfüllung der Zusagen

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die ICO verhängte im März 2026 gegen ein kleines britisches Direktmarketing-Unternehmen eine Geldbuße von 130.000 Pfund und erließ zusätzlich eine Durchsetzungsanordnung. Nach den Feststellungen der ICO ließ das Unternehmen 2024 innerhalb von knapp elf Monaten mehr als 230.000 persönliche (nicht automatisierte) Werbeanrufe an Anschlüsse tätigen, die seit über 28 Tagen im britischen Sperrregister für Werbeanrufe (Telephone Preference Service, TPS) eingetragen waren; dazu gingen 12 Beschwerden ein. Die ICO wertete dies als Verstoß gegen Regulation 21 PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 130.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die CNPD hatte 2021 wegen verhaltensbasierter Onlinewerbung 746 Mio. Euro und eine Anpassungsanordnung verhängt; das Tribunal administratif bestätigte dies am 18.03.2025. Die Cour administrative bestätigte am 12.03.2026, dass berechtigtes Interesse keine tragfähige Rechtsgrundlage war und die Information unzureichend, hob das Bußgeld aber wegen neuerer EuGH-Rechtsprechung zum Verschuldenserfordernis auf; die CNPD prüft die Sanktion neu.

Behörde / Gericht

Cour administrative (Luxemburg); Verfahren der CNPD

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 6 Abs. 1 lit. f, Art. 12 ff. DSGVO

Maßnahme

Anordnung

Verfahrensstand

aufgehoben

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Mildernde Umstände

Amazon hatte die Anpassungsanordnung vor der Verhandlung umgesetzt.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im Februar 2023 kam es zu einem externen, unbefugten Zugriff auf ein von einem Auftragsverarbeiter betriebenes System mit Daten von Nutzern und Beschäftigten. Die AEPD verhängte als federführende Behörde 650.000 Euro wegen Verstoßes gegen Art. 5 Abs. 1 lit. f DSGVO, stellte die Vorwürfe nach Art. 32 und 34 ein und ordnete binnen sechs Monaten angemessene Sicherheitsmaßnahmen an. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Direktlink

Die in Montréal ansässige World Anti-Doping Agency (WADA), eine Stiftung schweizerischen Rechts, hat mit dem Privacy Commissioner of Canada eine Compliance-Vereinbarung nach PIPEDA geschlossen, mit der eine im November 2024 nach einer Beschwerde eingeleitete Untersuchung ruht und nach Erfüllung eingestellt wird. WADA muss sicherstellen, dass Anti-Doping-Organisationen die Personendaten von Athletinnen und Athleten im System ADAMS ab 1. Januar 2027 nur noch für Anti-Doping-Zwecke nutzen, den Welt-Anti-Doping-Code und die ADAMS-Verträge entsprechend anpassen, einen Kontrollmechanismus nachweisen und vierteljährlich berichten. WADA bestreitet Verstöße und die Zuständigkeit des Commissioner; hält sie die Vereinbarung nicht ein, kann dieser beim Federal Court eine Anordnung beantragen.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Personal Information Protection and Electronic Documents Act (PIPEDA), Sections 17.1 und 17.2 (Compliance Agreement)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

17.03.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein Unternehmen, das Finanz- und Versicherungsprodukte bewarb, ein Bußgeld von 50.000 Euro wegen unerlaubter Telefonwerbung. Die Anrufer belästigten besonders intensiv, gaben sich wahrheitswidrig als unabhängige Beratungsstelle aus und stellten Werbeanrufe als Serviceanrufe dar; das Unternehmen hat Einspruch eingelegt.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Während einer Boykottwelle 2024 bearbeitete Loblaw Löschanträge nicht rechtzeitig und bewahrte Kauf- und Nutzungsdaten des Treueprogramms (über 17 Mio. Mitglieder) auch nach Kontoschließung auf, ohne eine wirksame Anonymisierung nachzuweisen. Loblaw sagte eine unabhängige Prüfung der Anonymisierung und jährliche Löschungen zu.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

PIPEDA

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Veröffentlicht

05.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Reinigungsunternehmen reagierte trotz mehrfacher Nachfragen der Gewerkschaft nicht auf das Auskunftsersuchen eines Gewerkschaftsmitglieds und befolgte auch die Anordnung der Datatilsynet nicht, über das Ersuchen zu entscheiden. Datatilsynet zeigte das Unternehmen an; der Fall wurde am 02.03.2026 mit einem Bußgeldbescheid über 60.000 DKK abgeschlossen.

Behörde / Gericht

Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15; Nichtbefolgung einer Anordnung der Datatilsynet; databeskyttelsesloven

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Sonstige

Originalbetrag 60.000 DKK, umgerechnet zum EZB-Referenzkurs vom 02.03.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach sechs Beschwerden stellte die Behörde fest, dass das Unternehmen Kunden, die Aufzeichnungen ihrer Verkaufsgespräche zur Reklamation von Rechnungen verlangten, keine Kopie herausgab, sondern nur ein Anhören über den Kundendienst anbot und Aufzeichnungen teils löschte. Neben einer Verwarnung wurde ein Bußgeld von 5.000 EUR verhängt.

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15 Abs. 1 und 3

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei einer Inspektion im Logistikzentrum Passo Corese (rund 1.800 Beschäftigte) stellte der Garante fest, dass in Freitextfeldern einer mit der Zeiterfassung verbundenen und vielen Führungskräften zugänglichen Plattform nach Rückkehrgesprächen Angaben zu Krankheiten, Streikbeteiligung, Gewerkschaftsaktivitäten und familiären Verhältnissen der Beschäftigten festgehalten wurden, die für die berufliche Eignung unerheblich sind. Er ordnete mit sofortiger Wirkung die endgültige Einschränkung der Verarbeitung dieser Einträge – auch an allen anderen Standorten, die die Plattform nutzen – sowie von vier Kameras vor Zugängen zu Toiletten und Pausenbereichen an; die Ermittlungen dauerten an.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, c und e, Art. 6, 9 und 88 DSGVO; Art. 113 Codice privacy (D.Lgs. 196/2003); Maßnahme nach Art. 58 Abs. 2 lit. f DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Beschäftigte

10.000 und mehr

Veröffentlicht

24.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO verhängte gegen Reddit, Inc. eine Geldbuße von 14.472.500 Pfund. Nach den Feststellungen der Behörde setzte die Plattform keine belastbare Altersprüfung ein und hatte daher keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten von Kindern unter 13 Jahren. Außerdem hatte Reddit nach Feststellung der ICO vor Januar 2025 keine Datenschutz-Folgenabschätzung zu den Risiken für Kinder durchgeführt. Die ICO sah Verstöße gegen Art. 5(1)(a), 6, 8 und 35 UK GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155 DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Originalbetrag 14.472.500 GBP, umgerechnet zum EZB-Referenzkurs vom 23.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink