Wer wurde wofür sanktioniert?

Der Anbieter webbasierter Systeme für Krankmeldungen, Rehabilitation und Arbeitsschutzvorfälle wurde im August 2025 gehackt; die erbeuteten Personendaten tauchten kurz darauf im Darknet auf. Die IMY stellte fest, dass trotz hohen Schutzbedarfs keine ausreichenden Sicherheitsmaßnahmen und keine automatische Echtzeitüberwachung auf Angriffe bestanden, wertete dies als fahrlässig und verhängte 1.800.000 Kronen.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

22.09.2026

Originalbetrag 1.800.000 SEK, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut Sanktionsveröffentlichung des Financial Supervisory Service (FSS) übermittelte die Online-Kreditvermittlungsplattform PFC Technologies am 28. September 2022 die Personenkennnummern von 8.497 Kunden ohne deren Einwilligung an einen Dritten, um die Fehlerquote eines neuen Dienstes für Hypothekenkunden zu berechnen, und erhielt von diesem ebenfalls ohne Einwilligung Kreditinformationen zu denselben Kunden (etwa Adresse und amtlicher Wert ihrer Immobilien); zudem hatte sie bei Prüfungsbeginn keine Passwortregeln gegen leicht zu erratende Zahlen umgesetzt. Die Sanktion vom 17. September 2026 umfasst eine institutionelle Verwarnung, eine Geldbuße (과태료) von 24 Mio. KRW und eine Geldauflage (과징금) von 49 Mio. KRW, zusammen 73 Mio. KRW.

Behörde / Gericht

Financial Supervisory Service (FSS)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 19, 32 und 34 Credit Information Use and Protection Act; Art. 16, 28 und 29 Durchführungsverordnung

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

17.09.2026

Originalbetrag 73.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 17.09.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Bank schickte einem Kunden über ihre App sieben Monate lang (Oktober 2025 bis Mai 2026) weiter Werbung, obwohl er mehrfach widersprochen hatte. Die Garante stellte zudem mangelhafte Systeme zur Umsetzung von Widersprüchen und unzutreffende Auskünfte über die Verarbeitung fest und verhängte 5.508.000 Euro (Provvedimento Nr. 613).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 12, 21, 24 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Klinikpersonal öffnete die elektronische Gesundheitsakte einer Kollegin, um Dienstpläne während Covid zu organisieren, statt zu Behandlungszwecken. Technische Sperren, die den Zugriff auf behandelndes Personal begrenzen, fehlten; die Garante verhängte 24.000 Euro (Provvedimento Nr. 616).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, b, c, f, Art. 9, 25, 32 DSGVO; Art. 75 Codice privacy; Linee guida dossier sanitario

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der kommunale Sportstättenbetrieb hatte seit 2007 Kameras in den Umkleiden eines Schwimmbads, die den Spindbereich aufzeichneten. Die Garante sah keine tragfähige Rechtsgrundlage, unvollständige Hinweise und eine nicht durch eine Erforderlichkeitsprüfung begründete Speicherdauer von 72 Stunden und verhängte 8.000 Euro (Provvedimento Nr. 619); im Verfahren wurden die Kameras entfernt.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. c und e DSGVO; Art. 2-ter Codice privacy

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer meldeten sich mit anderswo erbeuteten Zugangsdaten massenhaft auf den Websites von GS SHOP (Juni 2024 bis Februar 2025) und GS25 (Dezember 2024 bis Januar 2025) an und griffen Daten von 1.581.025 bzw. 79.128 Personen ab; GS Retail Co., Ltd. erkannte weder die gehäuften Anmeldeversuche aus denselben IP-Adressen noch die steigenden Fehlversuche und stoppte nach dem ersten Fund bei GS25 den parallelen Angriff auf GS SHOP nicht. Die Behörde stellte außerdem eine unzureichende Datenschutzorganisation und die um mehr als 72 Stunden verspätete Benachrichtigung von 1.599 weiteren Betroffenen fest, verhängte ein Bußgeld (Penalty Surcharge) von 12.836.000.000 KRW und ein Verwaltungsbußgeld von 3.000.000 KRW (zusammen 12.839.000.000 KRW) und ordnete Erkennungsmaßnahmen sowie eine Überprüfung der Datenschutzorganisation an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 40 % wegen Kooperation, Abhilfe und Schutzbemühungen (ISMS-P-Zertifizierung, Selbstregulierung, Datenschutz-Folgenabschätzung); Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, eigenes Datenschutzpersonal einzusetzen sowie Befugnisse und Verantwortung des Datenschutzbeauftragten (CPO) klar festzulegen.

Veröffentlicht

31.08.2026

Originalbetrag 12.839.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Eindringlinge gelangten 2023 in zwei ehemalige psychiatrische Kliniken und stellten Videos von dort gelagerten Patientenakten ins Netz. Die Prüfung von zwölf Standorten ergab Akten mit Schimmel-, Wasser- und Tierschäden in ungeeigneten Räumen bis hin zu Schiffscontainern. Die DPC verhängte 645.000 EUR, sprach eine Verwarnung aus und ordnete Audits und Umlagerungen an.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. e und f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

02.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die brasilianische Datenschutzbehörde ANPD verhängte gegen die ByteDance Brasil Tecnologia Ltda., Betreiberin von TikTok in Brasilien, drei Geldbußen von zusammen 153.769.671,33 BRL (je 63.176.686,67 BRL wegen Verstößen gegen Art. 7 und Art. 6 VIII LGPD sowie 27.416.297,99 BRL wegen Art. 6 X LGPD). Nach der Entscheidung wurden Daten von Kindern und Jugendlichen sowohl im Feed ohne Registrierung als auch bei der Kontoeröffnung ohne gültige Rechtsgrundlage verarbeitet, und wirksame Vorbeugungs- und Nachweismaßnahmen fehlten. Zusätzlich ordnete die Behörde die Löschung der Daten registrierter Jugendlicher zwischen 13 und 18 Jahren an, deren gesetzliche Vertretung nicht binnen 60 Arbeitstagen geregelt wird, abgesichert durch ein Zwangsgeld von 137.081,49 BRL je Tag Verzug.

Behörde / Gericht

Agência Nacional de Proteção de Dados (ANPD), Superintendência de Fiscalização

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 6 VIII, Art. 6 X und Art. 7 LGPD (Lei nº 13.709/2018); Sanktionen nach Art. 52 LGPD; Resolução CD/ANPD nº 4/2023 (Regulamento de Dosimetria)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

25.08.2026

Originalbetrag 153.769.671,33 BRL, umgerechnet zum EZB-Referenzkurs vom 24.08.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Angreifer erbeuteten per Phishing die Zugangsdaten eines Benutzerkontos mit Administratorrechten und griffen auf Kundendaten zu. Die Aufsicht rügte fehlende technische und organisatorische Maßnahmen sowie fehlende regelmäßige Wirksamkeitstests, verhängte 15.728 Lei (3.000 Euro) und ordnete regelmäßige Schulungen der Beschäftigten, u. a. zum Erkennen von Phishing-Mails, an. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

19.08.2026

Originalbetrag 15.728 RON, umgerechnet zum EZB-Referenzkurs vom 19.08.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Über eine Software-Schwachstelle in einer von KDDI entwickelten und mehreren Internetprovidern bereitgestellten Mailplattform erbeuteten Unbefugte die Zugangsdaten (Mailadresse und Passwort) von 12.231.954 Personen; 7.616.173 Passwörter lagen im Klartext, sodass Postfächer einsehbar waren (entdeckt am 17. Juni 2026). Die Behörde erteilte KDDI eine Anleitung (指導) nach Art. 147 APPI, die technischen Sicherheitsmaßnahmen zu verbessern, weil die Zugriffskontrollen gegen die Ausbreitung von Angreifern unzureichend waren, verlangte bis 19. Oktober 2026 einen Bericht und erteilte auch einzelnen Providern, auf die die Klartextspeicherung zurückging, eine solche Anleitung.

Behörde / Gericht

Personal Information Protection Commission (PPC, 個人情報保護委員会)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Act on the Protection of Personal Information (APPI, 個人情報の保護に関する法律) Art. 147, Art. 146 Abs. 1

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

19.08.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Datatilsynet verhängte gegen den Online-Händler für Nahrungsergänzungsmittel Lab Pharma AS ein Bußgeld von 205.000 NOK wegen Verletzung der Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde (Art. 31 DSGVO): Das Unternehmen hatte Sachbearbeitende mit Strafanzeigen und Klagen bedroht, um die Prüfung einer Beschwerde zu beenden, und angeforderte Unterlagen verspätet eingereicht. Zugleich ordnete die Behörde an, Namen und Bilder einer früheren Werbepartnerin (Influencerin) von allen Websites des Unternehmens zu löschen und ihre Daten bis zum Nachweis einer Rechtsgrundlage nicht mehr für Marketing zu verwenden, weil der zugrunde liegende Vertrag bereits im März 2017 ausgelaufen war.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 31, Art. 58 Abs. 2 lit. f, g und i, Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Haftung von Führungskräften

Datatilsynet rechnete das vorsätzliche Handeln der Unternehmensleitung dem Unternehmen zu.

Veröffentlicht

17.08.2026

Originalbetrag 205.000 NOK, umgerechnet zum EZB-Referenzkurs vom 12.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die britische Datenschutzaufsicht ICO sprach gegenüber dem ACRO Criminal Records Office eine Verwarnung (reprimand) aus. Anlass war nach Angaben der ICO ein Cybervorfall, bei dem personenbezogene Daten von rund 10.000 Betroffenen im Vereinigten Königreich betroffen sein konnten. Die ICO sah Verstöße gegen die Pflicht zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen nach Art. 32 UK GDPR. Ein Bußgeld wurde nicht verhängt.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO verhängte gegen Elderly Aids Limited, einen Anbieter von Anrufsperr-Geräten, eine Geldbuße von 190.000 Pfund und erließ zusätzlich eine Durchsetzungsanordnung (enforcement notice). Nach den Feststellungen der ICO hatte das Unternehmen 758.053 unerbetene Direktmarketing-Anrufe an Anschlüsse getätigt, die im Telefon-Sperrregister TPS/CTPS eingetragen waren und keine Einwilligung erteilt hatten; daraus gingen 20 Beschwerden hervor. Grundlage sind die Regulations 21 und 24 der PECR. Bei Zahlung bis 7. September 2026 ermäßigt sich der Betrag laut Bescheid um 20 % auf 152.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998 (Geldbuße), section 40 DPA 1998 (Anordnung)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Originalbetrag 190.000 GBP, umgerechnet zum EZB-Referenzkurs vom 06.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Nach mehreren Beschwerden stellte die Aufsicht fest, dass aktuelle und frühere Beschäftigte ungeschult und ohne Verfahrensregeln auf umfangreiche Daten (u. a. Gesundheits-, Familien- und Einkommensdaten) zugreifen konnten, Betroffene nicht nach Art. 14 DSGVO informiert wurden, übermäßig viele Daten erhoben und automatisierte Werbeanrufe ohne Einwilligung getätigt wurden. Bußgelder: 78.465 Lei (15.000 Euro, Art. 32 Abs. 4), 52.310 Lei (10.000 Euro, Art. 14), 104.620 Lei (20.000 Euro, Art. 5/9 DSGVO) und 50.000 Lei (Gesetz 506/2004); zusätzlich Anordnung regelmäßiger Mitarbeiterschulungen. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Juni 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. c i. V. m. Art. 9, Art. 14, Art. 32 Abs. 4 DSGVO; Art. 12 Abs. 1 Gesetz 506/2004

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

06.08.2026

Originalbetrag 285.395 RON, umgerechnet zum EZB-Referenzkurs vom 06.08.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer kopierten Zertifikate aus verlorenen Femtozellen der KT Corporation in selbst gebaute Geräte, waren damit rund elf Monate unbemerkt mit dem Mobilfunknetz verbunden, fingen Daten von 16.647 Teilnehmern ab (Telefonnummer, IMSI, IMEI) und lösten mit abgefangenen Bestätigungscodes unberechtigte Handyzahlungen von rund 240 Mio. KRW bei 368 Betroffenen aus. Die Behörde verhängte wegen mangelhafter Zugangskontrolle – zehn Jahre gültige Zertifikate, keine IP-Beschränkung, keine Erkennung fremder Cell-IDs – ein Bußgeld (Penalty Surcharge) von 53.979.000.000 KRW und ordnete Schwachstellenprüfungen und eine Stärkung des Datenschutzbeauftragten an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Sanktion nach Art. 64-2(1) Nr. 9; gesonderter Beschluss 제2026-015-094호: Art. 63(1)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen Kooperation, Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, Verantwortung und Rolle des Datenschutzbeauftragten (CPO) für das gesamte Unternehmen klar festzulegen und die Governance zu überarbeiten.

Veröffentlicht

30.07.2026

Originalbetrag 53.979.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 29.07.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Eine großflächige Verletzung betraf Informationssysteme der EETAA, mit denen Programme des Ministeriums für Sozialen Zusammenhalt und Familie umgesetzt wurden; betroffen waren Identifikations-, Kontakt-, Finanz- und Gesundheitsdaten zahlreicher Personen. Die Datenschutzbehörde führte den Erfolg des Angriffs auf veraltete Systeme und unzureichende Sicherheitsmaßnahmen zurück und bemängelte das Fehlen eines Auftragsverarbeitungsvertrags. Sie verhängte mit Entscheidung 15/2026 insgesamt 350.000 EUR (Ministerium 150.000 EUR nach Art. 5 Abs. 1 lit. f/Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO; EETAA 100.000 EUR nach Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO) und ordnete binnen eines Monats den Abschluss des Vertrags sowie die Umsetzung der geplanten Sicherheitsmaßnahmen an.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 28 Abs. 3, Art. 32 Abs. 1, Art. 58 Abs. 2 lit. d und i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Das Ministerium erfüllte laut Behörde seine Melde- und Benachrichtigungspflichten nach der Verletzung.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Met Police übergab einem Angeklagten ungeschwärzte Unterlagen mit neuer Adresse und Telefonnummer eines Stalking-Opfers und legte in einer Rundmail 18 Personen mit Parlamentsbezug im offenen Verteiler offen. Die ICO ordnete Verbesserungen binnen 3 und 12 Monaten an, u. a. bei den Schulungsquoten im Datenschutz.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Data Protection Act 2018, Section 40

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Veröffentlicht

05.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein Callcenter, das vor allem für Telekommunikationsprodukte warb, Bußgelder von insgesamt 34.327 Euro: 32.000 Euro wegen unerlaubter Telefonwerbung und 2.327 Euro, weil Einwilligungen in Werbeanrufe nicht vollständig dokumentiert waren. Die Kampagne lief trotz der Lücken weiter, Anrufuntersagungen wurden teils ignoriert; das Unternehmen hat Einspruch eingelegt.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern; § 7a UWG (Dokumentation und Aufbewahrung von Einwilligungen)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Der Garante verhängte gegen TIM eine Geldbuße von 9.516.000 EUR, weil Callcenter außerhalb des offiziellen Vertriebsnetzes im Auftrag des Unternehmens Werbeanrufe über nicht im Betreiberregister ROC erfasste oder verfälschte Rufnummern (Spoofing) tätigten – oft an im Widerspruchsregister eingetragene Anschlüsse – und die so gewonnenen Kontakte über fingierte Rückrufwünsche auf Webformularen von Vertriebspartnern als scheinbar rechtmäßige Leads in die Systeme gelangten. Die Behörde warf TIM unzureichende Auswahl und Überwachung der Vertriebspartner sowie systematisch fehlende oder verspätete Antworten auf Auskunfts-, Lösch- und Widerspruchsanträge vor. Zusätzlich muss TIM das Lead-Verfahren absichern, die Kontrolle der Vertriebskette verstärken und die Verfahren für Betroffenenrechte anpassen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5, 6, 7, 12, 15–22, 24, 25, 28 und 32 DSGVO; Art. 130 Codice in materia di protezione dei dati personali (D.Lgs. 196/2003)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Mildernd berücksichtigt: kurzer Zeitraum und begrenzte Zahl Betroffener, während des Verfahrens ergriffene Maßnahmen (u. a. Kontrollen und Vertragsbeendigungen bei Partnern), hohe Kooperation, keine besonderen Kategorien personenbezogener Daten, Beitritt zum Telemarketing-Verhaltenskodex und erhebliche Investitionen in die Kontrolle der Vertriebskette.

Veröffentlicht

31.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Im Sommer 2025 verschaffte sich ein Angreifer Zugriff auf die elektronische Patientenakte der Privatklinik und erlangte Daten von 524.867 Patientinnen und Patienten sowie 202.246 Vertrauenspersonen. Es fehlten VPN und Mehr-Faktor-Authentifizierung für externe Nutzer, eine angemessene Zugriffssteuerung und eine Erkennung auffälliger Aktivitäten; die Vertrauenspersonen wurden nicht benachrichtigt. Bußgeld 500.000 EUR (SAN-2026-009).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32, Art. 34

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

03.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNIL verhängte gegen das IT- und Ingenieurberatungsunternehmen EXTIA eine Geldbuße von 300.000 EUR, weil von 265 im Jahr 2024 eingegangenen Löschanträgen – überwiegend von Bewerbern, vereinzelt von ehemaligen Beschäftigten – 12 gar nicht bearbeitet und 166 Antragsteller nicht über das Ergebnis informiert wurden; 27 erhielten die Antwort erst nach Ablauf der Monatsfrist. Die CNIL wertete dies als besonders fahrlässig, zumal das Unternehmen 2024 bereits zweimal von der CNIL auf seine Pflichten hingewiesen worden war (Art. 12 und 17 DSGVO).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12 und 17 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Im Verfahren löschte das Unternehmen die betroffenen Daten und informierte die Antragsteller nachträglich.

Veröffentlicht

09.09.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Ein Synchronisationsfehler zwischen zwei Anwendungen ermöglichte einem Kunden, in der Mobile-App Rechnungen anderer Kunden abzurufen; zudem wurde die ohne VPN, MFA oder IP-Beschränkung öffentlich erreichbare Ticketing-Plattform angegriffen und ein sehr großer Datenbestand (u. a. Ausweiskopien, Kartendaten, IBAN) abgezogen. Bußgelder: 104.780 Lei (20.000 Euro, Art. 25) und 419.120 Lei (80.000 Euro, Art. 32), insgesamt 523.900 Lei; dazu Anordnung eines Test- und Änderungsmanagements. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 25 Abs. 1, Art. 32 Abs. 1 lit. b und d, Abs. 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

17.07.2026

Originalbetrag 523.900 RON, umgerechnet zum EZB-Referenzkurs vom 17.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das öffentliche Krankenhaus veröffentlichte von Mai bis Ende August 2024 versehentlich eine OP-Liste mit Telefonnummern, Erkrankungen und geplanten Eingriffen von Patientinnen und Patienten auf seiner Website; ein Bürger fand das Dokument über Google. Die Behörde verhängte insgesamt 25.000 EUR: 10.000 EUR für mangelnde Sicherheit, 2.000 EUR für die verspätete Meldung, 10.000 EUR für die unterlassene Benachrichtigung der Betroffenen und 3.000 EUR für fehlende DSB-Kontaktdaten.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1, 12, 13 i. V. m. 37 (Entscheidung 13/2026)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Datenschutzbehörde hatte einem Unternehmen untersagt, seine drei Dienstfahrzeuge ununterbrochen per GPS zu verfolgen, und die Löschung der Daten angeordnet; erlaubt blieben enge Zwecke wie Diebstahlschutz beim Parken. Das Verwaltungsgericht bestätigte dies und stellte klar, dass eine mit anderen Erklärungen gekoppelte Einwilligung der Beschäftigten unwirksam ist.

Behörde / Gericht

Upravno sodišče Republike Slovenije (bekanntgemacht durch den Informacijski pooblaščenec)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 6 Abs. 1 lit. f, Art. 7 Abs. 2 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Veröffentlicht

07.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Garante verhängte gegen die US-Betreiberin des generativen KI-Dienstes Character.AI, auf dem Nutzer – auch Minderjährige – mit virtuellen Figuren chatten, eine Geldbuße von 158.000 EUR, unter anderem wegen mangelhafter Datenschutzinformationen, einer verspätet erstellten Datenschutz-Folgenabschätzung und der verspäteten Benennung eines Vertreters in der EU. Beanstandet wurden auch Schwächen beim Schutz Minderjähriger und bei der Altersprüfung; binnen 120 Tagen muss das Unternehmen eine funktionierende Altersverifikation, eine wirksame Sperrfrist gegen erneute Registrierung gesperrter Minderjähriger und standardmäßig private Profile für Minderjährige sicherstellen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 2, 12 Abs. 1, 13 Abs. 1 und 2, 14 Abs. 1 und 2, 24 Abs. 1, 25 Abs. 2, 27 Abs. 1 und 35 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Mildernd: schrittweise verstärkte Altersprüfung (eigener Dienst für Minderjährige, Altersverifikation durch einen Drittanbieter), keine früheren einschlägigen Verstöße, Kooperation und Änderungen der Datenschutzerklärung während des Verfahrens.

Veröffentlicht

09.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Ein Bankmitarbeiter rief auf Bitten eines Dritten außerhalb seiner Aufgaben Kontoauszüge einer betroffenen Person ab (Name, IBAN, Transaktionen, Salden). Die Aufsicht sah unzureichende technische und organisatorische Maßnahmen und verhängte 26.172 Lei (5.000 Euro); die Bank hat das Bußgeld bezahlt. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1, 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

02.07.2026

Originalbetrag 26.172 RON, umgerechnet zum EZB-Referenzkurs vom 02.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei einer Schwerpunktprüfung zu Cookies auf Unternehmenswebsites beanstandete die DVI die Seite 4mebeles.lv. Nach einer Verwarnung im Februar 2026 behauptete die Firma, die Mängel seien behoben, was eine erneute Prüfung widerlegte; weitere Auskunftsersuchen blieben unbeantwortet. Die DVI verhängte wegen Nichtkooperation 1.000 Euro und forderte die fehlenden Informationen bis 3. August 2026 an.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach knapp vier Jahren Rechtsstreit hat das Bundesbezirksgericht für Idaho eine zwischen der FTC und dem Datenhändler Kochava vereinbarte Anordnung erlassen. Die FTC hatte Kochava vorgeworfen, präzise Standortdaten von Hunderten Millionen Mobilgeräten ohne Wissen und Einwilligung der Betroffenen verkauft zu haben, aus denen sich etwa Besuche bei Gesundheitseinrichtungen und Gotteshäusern ablesen ließen. Kochava und die Tochter Collective Data Solutions, die das Datenhandelsgeschäft übernommen hat, dürfen sensible Standortdaten nur noch mit ausdrücklicher Einwilligung und für vom Verbraucher angeforderte Dienste weitergeben und müssen unter anderem ein Programm für sensible Orte, Prüfungen ihrer Datenlieferanten, Auskünfte über Empfänger und Löschfristen einführen; eine Geldzahlung ist nicht vorgesehen. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. District Court for the District of Idaho auf Klage der Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Section 5 FTC Act, 15 U.S.C. § 45 (unlautere Praktiken); Verfahren nach Section 13(b), 15 U.S.C. § 53(b)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

26.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Das Unternehmen hatte für rund 2,2 Mio. Menschen statistisch errechnete 'Partei-Affinitäten' gespeichert und teils an Werbekunden verkauft – besondere Kategorien personenbezogener Daten ohne Einwilligung; zudem wurden Paketfrequenzdaten zweckwidrig weiterverarbeitet. Die DSB hatte 2019 18 Mio. EUR verhängt, das BVwG 2024 16 Mio. EUR; der VwGH setzte die Geldbuße nun rechtskräftig auf 13 Mio. EUR (plus 100.000 EUR Verfahrenskosten) fest.

Behörde / Gericht

Verwaltungsgerichtshof (Ausgangsbescheid: Datenschutzbehörde)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a und b, Art. 6 Abs. 4, Art. 9 Abs. 1 (VwGH Ro 2025/04/0007)

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Umfassende Kooperation, Löschung der Partei-Affinitäten, Vergleiche mit Betroffenen, lange Verfahrensdauer (5 Jahre, 10 Monate).

Veröffentlicht

16.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Inkassounternehmen stellte Personendaten mutmaßlicher Schuldner, teils besonders schützenswerte, ins Internet, um Hinweise auf ihren Aufenthalt zu erhalten und Dritte zu warnen. Das Bundesverwaltungsgericht bestätigte die Verfügung des EDÖB, wonach dies eine ungerechtfertigte Persönlichkeitsverletzung ist.

Behörde / Gericht

Bundesverwaltungsgericht (A-3891/2025) auf Verfügung des EDÖB vom 28.04.2025

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSG Art. 6, Art. 19, Art. 31

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

20.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Sicherheitsdienstleister setzte in Fahrzeugen Kameras ein, mit denen personenbezogene Daten verarbeitet wurden, ohne dass dafür eine Rechtsgrundlage bestand. Die schwedische Datenschutzbehörde sprach eine Verwarnung (Reprimand) nach Art. 58 DSGVO aus; ein Bußgeld wurde nicht verhängt.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

DSGVO Art. 6 Abs. 1

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Verteidigung und Sicherheit

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Beschäftigter des für Kaufland România als Auftragsverarbeiter tätigen Dienstleisters ließ einen Dritten in den Videoüberwachungsraum eines Markts; dieser filmte die Bilder ab und verbreitete sie in sozialen Medien. Kaufland meldete den Vorfall. Die Aufsicht verhängte gegen den Auftragsverarbeiter 10.200 Lei (2.000 Euro) und ordnete zusätzliche Kontrollen der Arbeitsanweisungen an; das Bußgeld wurde bezahlt. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im April 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 29, Art. 32 Abs. 1 lit. b, Abs. 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

15.06.2026

Originalbetrag 10.200 RON, umgerechnet zum EZB-Referenzkurs vom 15.06.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Onlinehändler hatte keine Speicherfrist für Kundenkonten festgelegt und Daten bis zu einem Löschantrag der Kunden behalten; Einkäufe waren nur mit Konto möglich. Das Sanktionsgremium verhängte 2024 856.000 Euro, das Verwaltungsgericht setzte die Buße nach aktuellem Umsatz auf 792.639 Euro herab, und der Oberste Verwaltungsgerichtshof bestätigte dies am 12.06.2026.

Behörde / Gericht

Korkein hallinto-oikeus (KHO); Sanktionsgremium des Datenschutzbeauftragten

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Handel und E-Commerce

Veröffentlicht

18.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Betroffener beschwerte sich über die Weitergabe von Aufnahmen aus der Videoüberwachung der Supermarktkette und über die unzureichende Beantwortung seines Auskunftsersuchens. Die Datenschutzbehörde stellte fest, dass Market In das Videomaterial ohne vorherige Information des Betroffenen an die Justizbehörden weitergegeben, mehr Daten als nötig verarbeitet, das Auskunftsrecht nicht erfüllt und nicht mit der Behörde kooperiert hatte, und verhängte mit Entscheidung 10/2026 insgesamt 95.000 Euro (50.000 Euro wegen Rechtmäßigkeit/Transparenz, je 20.000 Euro wegen Datenminimierung und Auskunftsrecht, 5.000 Euro wegen fehlender Kooperation); im selben Verfahren erhielt die ΜΕΔΕ ΑΕ 65.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, c, Art. 5 Abs. 2, Art. 12, 13, 15, 31 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Monash IVF erhob über Tracking-Pixel von Drittanbietern auf seiner Website für Kinderwunschbehandlungen sensible Informationen von Besucherinnen und Besuchern. Die Privacy Commissioner entschied, dass das Verfolgen von Besuchern gesundheitsbezogener Websites mit anschließender gezielter Werbung in sozialen Netzwerken eine Erhebung sensibler Daten ist, die eine Einwilligung erfordert, und stellte Verstöße gegen APP 3.3, 5.1, 5.2 und 7.1 fest. Monash IVF darf das Vorgehen nicht fortsetzen oder wiederholen und muss festgelegte Abhilfeschritte umsetzen; am selben Tag erging eine gleichgerichtete Entscheidung gegen den Telemedizinanbieter Medmate Australia.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Privacy Act 1988 (Cth), APP 3.3, 5.1, 5.2, 7.1

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

24.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Ein ehemaliger Beschäftigter nutzte Signaturschlüssel für die Authentifizierung, auf die er während seiner Tätigkeit im Klartext zugreifen konnte und die nach seinem Ausscheiden weder erneuert noch vernichtet wurden, um gefälschte Tokens zu erstellen und von April bis November 2025 Daten von rund 33,22 Mio. Kundinnen und Kunden sowie Lieferdaten von rund 4,33 Mio. weiteren Personen abzurufen. Die Behörde verhängte gegen Coupang Corp. wegen unzureichender Sicherheitsmaßnahmen ein Bußgeld (Penalty Surcharge) von 423.575.000.000 KRW und wegen verspäteter Benachrichtigung und unterlassener Löschung ein Verwaltungsbußgeld von 16.800.000 KRW (zusammen 423.591.800.000 KRW) und rügte den Ausschluss des Datenschutzbeauftragten von der internen Untersuchung. Ein gesonderter Beschluss vom selben Tag verhängte weitere 201.106.000.000 KRW wegen Erhebung von Verhaltensdaten auf fremden Websites und Apps ohne Einwilligung.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 34(1), Art. 21(1), Art. 31(6), Art. 63(2); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um 50 % wegen Abhilfe, Entschädigung, Zertifizierung und Verhältnismäßigkeit; Erhöhungen um 25 % (Verstoßdauer), 30 % (mindestens zwei frühere Geldbußen) und 10 % (Behinderung der Untersuchung).

Haftung von Führungskräften

Der Datenschutzbeauftragte (CPO) war von interner Untersuchung und Veröffentlichung ausgeschlossen; angeordnet wurde eine Governance, die seine unabhängige Arbeit und seinen Zugang zu Informationen bei Vorfällen sichert.

Veröffentlicht

11.06.2026

Originalbetrag 423.591.800.000 KRW, umgerechnet zum EZB-Referenzkurs vom 10.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Im November 2018 verschlüsselten Angreifer Patientendaten im Laborinformationssystem des Midlands Regional Hospital Tullamore. Die DPC stellte Verstöße der HSE gegen Art. 5(1)(f), 28, 30, 32(1) und 34 DSGVO fest (u. a. unzureichende Sicherheit, lückenhafte Auftragsverarbeitungsverträge und Verarbeitungsverzeichnis, unvollständige Benachrichtigung Betroffener), erteilte einen Verweis, verhängte 300.000 Euro für die Sicherheitsmängel (Art. 5(1)(f) und 32(1)) und ordnete an, festgelegte Richtlinien und Verfahren zur sicheren Verarbeitung einzuführen.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 28, 30, 32(1), 34 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die BlnBDI hatte 2019 14,5 Mio. Euro gegen den Wohnungskonzern verhängt, weil Mieterdaten wie Gehaltsbescheinigungen, Kontoauszüge und Sozialversicherungsdaten in einem Archivsystem ohne Löschmöglichkeit lagen. Nach dem EuGH-Urteil von 2023 zur direkten Unternehmenshaftung bestätigte das LG Berlin I am 09.06.2026 Verstöße gegen Datenminimierung und Speicherbegrenzung; die vom Gericht festgesetzte Bußgeldhöhe nennt die Pressemitteilung nicht.

Behörde / Gericht

Landgericht Berlin I (Bußgeldbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5, Art. 25 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Haftung von Führungskräften

Nach EuGH (C-807/21) muss für das Unternehmensbußgeld keine Pflichtverletzung einer Leitungsperson nachgewiesen werden.

Veröffentlicht

10.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Durch Fehler eines Auftragsverarbeiters des Stromanbieters wurden falsche Angaben zu einem Lastschriftmandat erfasst, sodass drei statt einer Rechnung vom Konto des Kunden abgebucht wurden; Gesprächsaufzeichnungen und Mandatsformular waren nicht aufbewahrt. ZENITH beantwortete das Auskunftsersuchen unzureichend und korrigierte die Daten nicht (100.000 Euro), die Piraeus Bank verletzte das Auskunftsrecht (10.000 Euro und Rüge); Entscheidung Nr. 8/2026.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic DPA)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. d, Art. 12 Abs. 3, Art. 15, Art. 28 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut FTC-Beschwerde versprach Illuminate Schulen Datensicherheit, schützte seine Cloud-Datenbanken aber nicht angemessen, obwohl ein Dienstleister fast zwei Jahre vorher auf Schwachstellen hingewiesen hatte; ein Hacker griff auf Daten von 10,1 Mio. Schülern inkl. Gesundheitsangaben zu. Die Anordnung verlangt ein Informationssicherheitsprogramm, Datenminimierung und einen öffentlichen Löschplan und untersagt Falschangaben zu Sicherheit und Meldefristen.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

FTC Act (Verbot unlauterer und irreführender Praktiken)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

05.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Datatilsynet verhängte gegen Elkjøp Nordic AS und Elkjøp Norge AS ein Bußgeld von 20.000.000 NOK. Nach einer Vor-Ort-Prüfung im Juni 2022 stellte die Behörde fest, dass die Einwilligung für den Kundenclub weder informiert noch spezifisch noch freiwillig war, Clubdaten ohne Rechtsgrundlage für das Werkzeug „kundematch“ weiterverwendet wurden, die Rechtmäßigkeit sogenannter Offline-Konversionen nicht geprüft und dokumentiert war und Berichtigungsanträge nicht fristgerecht bearbeitet wurden. Die Entscheidung erging im Kooperationsverfahren mit den Aufsichtsbehörden Schwedens, Islands, Finnlands und Dänemarks; in den nordischen Ländern waren über sechs Millionen Clubmitglieder betroffen.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 6 Abs. 1 i. V. m. Art. 4 Nr. 11, Art. 6 Abs. 4, Art. 5 Abs. 2 i. V. m. Art. 5 Abs. 1 lit. a, Art. 12 Abs. 3 DSGVO; Art. 58 Abs. 2 lit. i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Mildernde Umstände

Verbesserungen nach der Prüfung, lange Verfahrensdauer bei Datatilsynet und fehlender Nachweis der Verarbeitung sensibler Daten; der Betrag liegt deutlich unter dem Ausgangswert der EDSA-Leitlinien (0,4–0,8 % des Konzernumsatzes).

Veröffentlicht

04.06.2026

Originalbetrag 20.000.000 NOK, umgerechnet zum EZB-Referenzkurs vom 01.06.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO verhängte gegen Thermotech Wall and Loft Surveys Ltd eine Geldbuße von 240.000 Pfund und erließ eine Durchsetzungsanordnung. Nach einer Durchsuchung im April 2025 stellte die Behörde fest, dass das Unternehmen zwischen Oktober 2024 und März 2025 575.062 unerbetene Werbeanrufe an Nummern veranlasst hatte, die seit mehr als 28 Tagen im TPS-Register eingetragen waren. Es gingen 132 Beschwerden ein. Grundlage sind die Regulations 21 und 24 der PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Originalbetrag 240.000 GBP, umgerechnet zum EZB-Referenzkurs vom 28.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die CNIL verhängte gegen IQVIA Operations France eine Geldbuße von 5.000.000 EUR, weil die Gesellschaft bei zwei von der CNIL genehmigten Gesundheitsdatenlagern (Daten aus rund 14.000 Apotheken und mehreren Tausend Arztpraxen) die Auflagen der Genehmigungen nicht einhielt, u. a. bei Protokollauswertung, Mehrfaktor-Authentifizierung, Patienteninformation und Widerspruchsrecht. Zudem wurden Apothekenkunden nicht über die Weitergabe ihrer Daten informiert, eigene Studien ohne die erforderliche Genehmigung durchgeführt und über die Apothekensoftware Daten auch nach einer Ablehnung übermittelt (Art. 25 DSGVO). Die CNIL wertete die Daten als pseudonym, nicht anonym, und ordnete Abhilfe binnen sechs Monaten unter einem Zwangsgeld von 10.000 EUR je Tag an.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 66 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés); Art. 14 und 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Die Sicherheitsmängel wurden nach den Kontrollen behoben.

Veröffentlicht

28.05.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die Nachrichtenportale Origo und Magyar Nemzet des Verlags verlinkten am 7. November 2025 auf eine von Unbekannten erstellte Karte mit Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geokoordinaten und politischer Präferenz von Tisza-Sympathisanten; Ripost zeigte ein Bild mit dem Namen der Karte. Die Datenschutzbehörde stellte vorsätzliche Verstöße gegen Art. 6 und 9 DSGVO fest, untersagte die erneute Verbreitung und verhängte 50 Mio. HUF.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

DSGVO Art. 6 Abs. 1, Art. 9 Abs. 1, Art. 58 Abs. 2 lit. b und f

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Verschulden

vorsätzlich

Veröffentlicht

26.05.2026

Originalbetrag 50.000.000 HUF, umgerechnet zum EZB-Referenzkurs vom 26.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die öffentliche Berufsschule hatte Berichte zur Überprüfung von Qualifikationen und Vorstrafen dreier Beschäftigter im September 2022 versehentlich per E-Mail an weitere Mitarbeitende verschickt, weder die Behörde noch die Betroffenen informiert und keinen Information Officer (Informationsbeauftragten) registriert. Abweichend von der Einschätzung ihres Enforcement Committee (Durchsetzungsausschuss) sah die Behörde darin auch eine unzulässige Weiterverarbeitung und stellte Verstöße gegen Rechenschaftspflicht, Zweckbindung, Datensicherheit und Meldepflicht fest; am 22. Mai 2026 ordnete sie u. a. die Registrierung, die nachträgliche Meldung, eine schriftliche Entschuldigung, ein Compliance-Framework und POPIA-Schulungen für alle Beschäftigten an.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Sections 8, 15(1), 19(1) und 22(1) Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Schule rief die E-Mail zwei Tage später zurück, informierte die Beschäftigten über den Fehler und ergriff Maßnahmen gegen die Verantwortlichen; das entband sie laut Behörde aber nicht von der Meldepflicht.

Veröffentlicht

02.06.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die ICO verhängte gegen ein britisches Marketingunternehmen eine Geldbuße von 300.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen mehr als 5,5 Millionen unerbetene Werbe-SMS versendet, darunter Nachrichten, die wie Schreiben von Gerichtsvollziehern aufgemacht waren. Beim Spam-Meldedienst 7726 gingen über 60.000 Beschwerden ein. Die ICO stützte sich auf die Regulations 22 und 23 der PECR (elektronische Werbung ohne Einwilligung, verschleierte Absenderidentität).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 22 und 23 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 300.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Angreifer gaben sich als technischer Support aus, verleiteten Mitarbeitende von Verkaufsstellen zur Freigabe von Systemzugängen und erbeuteten Daten von über 365.000 Kunden, bei 41.359 auch Zahlungsdaten. Die Garante rügte mangelhafte Verwaltung von Zugangsdaten und digitalen Zertifikaten sowie unzureichende Sicherheitsbewertungen und verhängte 1.715.600 Euro.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO (Integrität und Vertraulichkeit, Art. 32)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

16.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der wallonische Wasserversorger zeichnete Kundengespräche zur Qualitätskontrolle und Schulung auf und hörte sie mit; die Kammer stellte Verstöße gegen Transparenz und Fairness sowie bei der Einbindung eines Unterauftragsverarbeiters fest. Sie verhängte zwei Bußgelder von zusammen 86.000 EUR (85.000 + 1.000), nachdem sie die Beträge wegen der Lage des öffentlichen Versorgers gesenkt hatte; gegen die Entscheidung wurde Rechtsmittel beim Marktgericht eingelegt.

Behörde / Gericht

Autorité de protection des données (APD/GBA) – Chambre Contentieuse

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 12 Abs. 1, Art. 13, Art. 28 Abs. 3

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Betrüger mit vorhandenen Kundendaten gaben sich im „Open24“-Callcenter der Bank als Kunden aus, ließen Kontodaten ändern und erhielten weitere Informationen, weil Sicherheitsprotokolle nicht eingehalten wurden; Betroffene mussten Konten schließen, einige erlitten Verluste. Die DPC verhängte 250.000 Euro wegen unzureichender Sicherheit und 27.500 Euro wegen verspäteter Pannenmeldung (Entscheidung in der Vorwoche der Pressemitteilung zugestellt).

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1, Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

08.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Über eine Phishing-Mail gelangte 2020 Schadsoftware in das Netz des Wasserversorgers und blieb rund 20 Monate unentdeckt; 2022 erlangten Angreifer Administratorrechte und stahlen Daten von 633.887 Personen, die im Darknet landeten. Die ICO bemängelte u. a. eine Überwachung von nur 5 % der IT-Umgebung, veraltete Software wie Windows Server 2003 und fehlendes Schwachstellen- und Patchmanagement.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Energie und Versorgung

Verschulden

fahrlässig

Mildernde Umstände

40 % Minderung wegen frühen Schuldeingeständnisses; Zahlung ohne Rechtsmittel vereinbart.

Veröffentlicht

11.05.2026

Originalbetrag 963.900 GBP, umgerechnet zum EZB-Referenzkurs vom 07.05.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Seit 2020 kam es bei der CRA zu mehr als 42.000 einzelnen Verletzungen, bei denen Unbefugte auf Steuerkonten zugriffen oder Daten änderten, um Leistungen umzuleiten. Der Datenschutzbeauftragte bemängelte in einem Sonderbericht an das Parlament u. a. die verzögerte Einführung verpflichtender MFA und lückenhafte Vorfallserfassung und sprach neun Empfehlungen aus, von denen acht vollständig und eine teilweise angenommen wurden.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act (Kanada)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Obwohl der IDPC bereits zugunsten eines Beschwerdeführers entschieden hatte, ließ ein Versicherungsunternehmen (Name geschwärzt) ihn erneut über ein Drittunternehmen zu Werbezwecken anrufen; seine Nummer stand weiter auf Anruflisten. Der IDPC rügte fehlende Schutzvorkehrungen und unzureichende Verträge mit Auftragsverarbeitern, ordnete Abhilfe binnen 20 Tagen an und verhängte zwei Geldbußen von zusammen 1.000 Euro.

Behörde / Gericht

Information and Data Protection Commissioner (IDPC)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 2, Art. 21 Abs. 2, Art. 24 Abs. 1, Art. 28 Abs. 3 i. V. m. Art. 58 Abs. 2 lit. b, d, i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Auftragsverarbeiter der BVG, der Anfang 2025 Kundenschreiben versandt hatte, wurde gehackt; rund 180.000 Kundendatensätze waren betroffen, obwohl sie nach Auftragsende längst hätten gelöscht sein müssen. Die BVG hatte die Löschung nie kontrolliert, im Auftragsverarbeitungsvertrag kein Verfahren für Datenpannen vereinbart und den Vorfall erst nach Ablauf der 72-Stunden-Frist gemeldet; die BlnBDI sprach eine Verwarnung aus.

Behörde / Gericht

Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 5 Abs. 2 i. V. m. Abs. 1 lit. c, e, f, Art. 28 Abs. 3 S. 2 lit. f, Art. 32 Abs. 1, Art. 33 DSGVO

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Mildernde Umstände

Die BVG hat Maßnahmen gegen ähnliche Vorfälle angekündigt.

Veröffentlicht

04.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei einem am 31.10.2025 gemeldeten Ransomware-Angriff auf das Mitgliederverwaltungssystem von Yau Yat Chuen Garden City Club Limited, einem privaten, nicht gewinnorientierten Freizeitclub, waren Daten von 9.045 aktuellen und ehemaligen Mitgliedern und Zusatzkarteninhabern betroffen, darunter Ausweis- oder Passnummern. Der Angreifer nutzte eine bekannte Schwachstelle in veralteter Fernwartungssoftware des externen Dienstleisters und gelangte ohne weitere Authentifizierung auf den angemeldet belassenen Server; Virenschutz und Firewall waren veraltet, und personenbezogene Daten wurden länger als nötig aufbewahrt. In seinem am 23.04.2026 veröffentlichten Untersuchungsbericht stellte der PCPD Verstöße gegen DPP 4(1) und DPP 2(2) fest und erließ eine Enforcement Notice.

Behörde / Gericht

Privacy Commissioner for Personal Data (PCPD), Hongkong

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data (Privacy) Ordinance, Data Protection Principles 4(1) und 2(2); Enforcement Notice

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

23.04.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die ICO erließ gegen ein britisches Unternehmen eine Durchsetzungsanordnung (enforcement notice). Nach den Feststellungen der ICO hatte das Unternehmen Anrufe zu Dienstleistungen der Schadensregulierung (claims management) veranlasst, ohne dass die Angerufenen eingewilligt hatten. Solche Anrufe sind nach Regulation 21A der PECR nur mit vorheriger Einwilligung zulässig; zudem sah die ICO einen Verstoß gegen Regulation 24. Der Bescheid ist eine Durchsetzungsanordnung; eine Geldbuße enthält er nicht.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21A und 24 PECR; section 40 DPA 1998

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Beide Unternehmen nutzten E-Mail-Adressen und Telefonnummern aus Onlinekäufen weiter für Werbung, obwohl Betroffene widersprochen hatten – teils nach bestätigter Löschung. Der EDÖB verfügte die Einstellung der Werbebearbeitung und die Löschung auf Verlangen.

Behörde / Gericht

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSG Art. 6, Art. 30 Abs. 2 lit. b, Art. 31

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Veröffentlicht

26.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ausgangspunkt war eine Beschwerde über unvollständige Herausgabe von Patientendaten; die Klinik ließ mehrere Anfragen der Aufsicht unbeantwortet. Die AKI ordnete an, die Verträge mit Align Technology (Invisalign) auf die DSGVO-Rollen hin zu überarbeiten (Art. 26/28 DSGVO), das Einwilligungsformular und die Datenschutzhinweise nach Art. 7, 9, 13 und 14 DSGVO anzupassen und auf Estnisch zu veröffentlichen; bei Nichterfüllung droht ein Zwangsgeld von 1.000 Euro je Punkt.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

§ 56 Abs. 1 IKS; Art. 58 Abs. 2 lit. d DSGVO i. V. m. Art. 5 Abs. 1 lit. a, 7, 9, 13, 14, 26, 28 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ein Erbringer öffentlicher Versorgungsleistungen erfasste über GPS-Sender in Dienstfahrzeugen dauerhaft und anlasslos die Standortdaten der Beschäftigten, ohne Zweckfestlegung, Interessenabwägung und ausreichende Information. Die Behörde verhängte 6.000 EUR gegen das Unternehmen.

Behörde / Gericht

Informacijski pooblaščenec Republike Slovenije (IP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 und Art. 6 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

15.04.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der Verlag bewahrte Daten von rund 685.000 ehemaligen Buchclub-Mitgliedern in einer „passiven Datenbank“ auf, bei rund 395.000 mehr als zehn Jahre nach dem Austritt, ohne Löschregeln. Datatilsynet hatte 2022 ein Bußgeld von 1 Mio. DKK empfohlen; der Fall wurde am 14.04.2026 mit einem Bußgeldbescheid abgeschlossen, dessen Höhe in der Quelle nicht genannt ist.

Behörde / Gericht

Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet

Rechtsgebiet

Datenschutz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. e, Art. 5 Abs. 2

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Mildernde Umstände

Kooperatives Verhalten; nur zwei Beschäftigte hatten Zugriff auf die passive Datenbank; Löschung nach dem Aufsichtsbesuch.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Arbeitgeber installierte auf Dienstrechnern einzelner Beschäftigter die Software Spyrix Employee Monitoring, die monatelang Bildschirminhalte, Tonaufnahmen und sogar private E-Mails und Gespräche aufzeichnete, ohne die Beschäftigten zu informieren. Die Aufsichtsbehörde verhängte 71.474 EUR gegen das Unternehmen.

Behörde / Gericht

Informacijski pooblaščenec Republike Slovenije (IP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 und Art. 6 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

vorsätzlich

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

09.04.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Amsterdamer Ridetech bot die Fahrdienst-App Yango in Finnland und Norwegen an und übermittelte Daten von Fahrern und Kunden an die Konzerngesellschaften Yandex.Taxi LLC und Yandex LLC in Russland, ohne geeignete Garantien nachzuweisen. Die AP verhängte 100 Mio. EUR gegen die Rechtsnachfolgerin und untersagte weitere Übermittlungen nach Russland.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44, Art. 46 iVm Art. 5 Abs. 1 lit. a und Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Datenschutzbeauftragte stellte fest, dass die Mietbewerbungsplattform 2Apply von März 2020 bis März 2025 mehr personenbezogene Daten erhob als erforderlich, etwa Geschlecht, Studierendenstatus, Staatsbürgerschaft, Visumsablauf und frühere Wohnverhältnisse, und dabei durch Gestaltungsmittel wie „Confirmshaming“, einseitige Darstellung und gebündelte Einwilligungen unfair vorging. Die Entscheidung verpflichtet IRE, diese Datenerhebung binnen 60 Tagen einzustellen, eine unabhängige Prüfung zu beauftragen und der OAIC binnen zwölf Monaten über die Umsetzung der Empfehlungen zu berichten.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

APP 3.2 und APP 3.5 (Privacy Act 1988 (Cth)); Feststellungen nach s 52(1A)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

IRE passte seine Erhebungspraxis während der Untersuchung an, ohne eine Rechtsverletzung anzuerkennen.

Veröffentlicht

22.04.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die Eigentümergemeinschaft (Management Corporation) der Wohnanlage Riverfront Residences hatte bis März 2025 keinen Datenschutzbeauftragten (Data Protection Officer) benannt, keine eigenen Datenschutzregeln und ihrem Hausverwalter, der als Auftragsverarbeiter (data intermediary) für sie tätig war, keine Vorgaben zum Umgang mit personenbezogenen Daten gemacht; im April 2025 schickte ein Beschäftigter des Verwalters Namen, Adressen und Hausgeldangaben zweier Eigentümer versehentlich an einen anderen Eigentümer. Die Datenschutzbehörde PDPC stellte Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) und die Schutzpflicht (Protection Obligation) fest; in der Versendung eines Antrags auf eine außerordentliche Versammlung mit Namen und Unterschriften von 303 Eigentümern sah sie dagegen wegen vorrangigen Wohnungseigentumsrechts keinen Verstoß. Sie ordnete an, binnen 90 Tagen Richtlinien und Verfahren für die Datenverarbeitung durch den Verwalter einzuführen und diesem mitzuteilen; der Verwalter selbst hatte eine freiwillige Verpflichtungszusage abgegeben.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Sections 11(3) und 12(a) PDPA 2012 (Accountability Obligation); Section 24 i. V. m. Section 4(3) PDPA (Protection Obligation bei Einsatz eines Data Intermediary)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die ICO verhängte gegen Energy Prices Direct Limited, einen Vermittler von Energietarifwechseln, eine Geldbuße von 160.000 Pfund. Nach den Feststellungen der ICO hatte das Unternehmen Kontaktdaten aus öffentlichen Quellen und von Listenanbietern bezogen und vor seinen Werbeanrufen nicht mit den Sperrregistern TPS/CTPS abgeglichen. Grundlage sind die Regulations 21 und 24 der PECR. Bei fristgerechter Zahlung ermäßigt sich der Betrag laut Bescheid um 20 % auf 128.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Originalbetrag 160.000 GBP, umgerechnet zum EZB-Referenzkurs vom 30.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Bei einem Angriff auf eine von einem Auftragsverarbeiter betriebene Anwendung wurden Daten einer sehr großen Zahl von Personen (u. a. Personenkennziffer, Führerschein- und Ausweisnummern, Fahrgestellnummern) abgegriffen und veröffentlicht. Die Aufsicht bemängelte fehlende Sicherheitsmaßnahmen und Wirksamkeitstests sowie die Auswahl eines Dienstleisters ohne ausreichende Garantien und verhängte 637.262,50 Lei (125.000 Euro).

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und d, Abs. 2 i. V. m. Art. 28 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Automobil

Veröffentlicht

25.03.2026

Originalbetrag 637.262,5 RON, umgerechnet zum EZB-Referenzkurs vom 25.03.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine Person beschwerte sich, dass Fitsypro auf ihr Auskunfts-, Berichtigungs- und Löschersuchen vom November 2023 nicht reagiert habe. Drei Informationsanforderungen der DVI zwischen 2024 und 2026 blieben unbeantwortet, zu Verhandlung erschien niemand. Die DVI verhängte 1.500 Euro und forderte die Informationen bis 21. April 2026 an.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 58 Abs. 1 lit. e, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

vorsätzlich

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Stadtgericht Kolding verurteilte die Region Syddanmark im Dezember 2024 wegen zweier Verstöße gegen die Pflicht zu angemessener Datensicherheit zu 1.000.000 DKK. Das Vestre Landsret bestätigte am 23. März 2026 nur den ersten Vorwurf – in einer Datenbank für Forschung und Klinik konnten eingeloggte Nutzer durch Ändern der URL auf PDF-Dokumente von über 23.000 Registrierten zugreifen, darunter Gesundheitsdaten Minderjähriger aus der Psychiatrie – und setzte die Buße auf 500.000 DKK herab; vom Vorwurf zu Patientendaten in einer Präsentation auf der Website sprach es die Region frei.

Behörde / Gericht

Retten i Kolding; Vestre Landsret (auf Anzeige der Datatilsynet)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1, Art. 83 Abs. 4 lit. a und Abs. 9 DSGVO; databeskyttelseslovens § 41 stk. 1 nr. 1, stk. 3 og 6

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Wiederholungsfall

ja

Originalbetrag 500.000 DKK, umgerechnet zum EZB-Referenzkurs vom 23.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Ein Hausarzt, der den Beschwerdeführer seit Januar 2023 nicht mehr betreute, rief bis August 2024 über seine Praxissoftware insgesamt 47-mal dessen Gesundheitsdaten (Befunde, Rezepte) in der nationalen E-Gesundheitsplattform EESZT ab und beantwortete einen Auskunftsantrag nicht. Die NAIH stellte Verstöße gegen Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2 und 15 Abs. 1 DSGVO fest, ordnete die Erfüllung des Auskunftsantrags an und verhängte 500.000 HUF.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2, 15 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

20.03.2026

Originalbetrag 500.000 HUF, umgerechnet zum EZB-Referenzkurs vom 20.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Singtel Optus fragte Kundinnen und Kunden, die ihre Rufnummer zu Optus mitnahmen, ob sie im Telefonbuch stehen wollen, setzte den Wunsch nach einer nicht eingetragenen Nummer zwischen Oktober 2015 und September 2019 aber nicht um, sodass 41.278 Betroffene in den White Pages veröffentlicht blieben. Die Privacy Commissioner stellte einen Verstoß gegen APP 11.1 fest, weil Optus das über den ganzen Zeitraum bekannte Fehlerrisiko nicht mit angemessenen Schritten wie regelmäßigen Systemabgleichen beseitigte, und erklärte, dass das Unternehmen dieses Verhalten nicht wiederholen darf. Über Entschädigungen will die Behörde gesondert im Verfahren über eine Sammelbeschwerde (representative complaint) zum selben Sachverhalt entscheiden.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act 1988 (Cth) s 13(1), APP 11.1; Erklärung nach s 52(1A)(a)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

11.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Nach einem Cyberangriff im Frühjahr 2025, bei dem Daten von rund 375.000 aktuellen und 540.000 früheren Kundinnen und Kunden abflossen, darunter Bankkonto-, Führerschein- und Sozialversicherungsnummern, hat Nova Scotia Power gegenüber dem Privacy Commissioner of Canada ein Compliance-Schreiben (Compliance Letter) unterzeichnet. Das Unternehmen sagt zu, die Sozialversicherungsnummern von Kundinnen und Kunden zu löschen und bis 31. Oktober 2026 eine unabhängige Sicherheitsprüfung – einschließlich Mitarbeiterschulung und Benachrichtigungsprozessen – vorzulegen und über die Umsetzung der Empfehlungen zu berichten; erst dann wird die Untersuchung eingestellt. Ausgangspunkt war laut Schreiben, dass ein Beschäftigter auf einer kompromittierten Website einen Link in einem Pop-up anklickte und dadurch Schadsoftware installierte.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection and Electronic Documents Act (PIPEDA); Einstellung nach Paragraph 12.2(1)(c) bei Erfüllung der Zusagen

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die ICO verhängte im März 2026 gegen ein kleines britisches Direktmarketing-Unternehmen eine Geldbuße von 130.000 Pfund und erließ zusätzlich eine Durchsetzungsanordnung. Nach den Feststellungen der ICO ließ das Unternehmen 2024 innerhalb von knapp elf Monaten mehr als 230.000 persönliche (nicht automatisierte) Werbeanrufe an Anschlüsse tätigen, die seit über 28 Tagen im britischen Sperrregister für Werbeanrufe (Telephone Preference Service, TPS) eingetragen waren; dazu gingen 12 Beschwerden ein. Die ICO wertete dies als Verstoß gegen Regulation 21 PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21 und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 130.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die CNPD hatte 2021 wegen verhaltensbasierter Onlinewerbung 746 Mio. Euro und eine Anpassungsanordnung verhängt; das Tribunal administratif bestätigte dies am 18.03.2025. Die Cour administrative bestätigte am 12.03.2026, dass berechtigtes Interesse keine tragfähige Rechtsgrundlage war und die Information unzureichend, hob das Bußgeld aber wegen neuerer EuGH-Rechtsprechung zum Verschuldenserfordernis auf; die CNPD prüft die Sanktion neu.

Behörde / Gericht

Cour administrative (Luxemburg); Verfahren der CNPD

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 6 Abs. 1 lit. f, Art. 12 ff. DSGVO

Maßnahme

Anordnung

Verfahrensstand

aufgehoben

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Mildernde Umstände

Amazon hatte die Anpassungsanordnung vor der Verhandlung umgesetzt.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im Februar 2023 kam es zu einem externen, unbefugten Zugriff auf ein von einem Auftragsverarbeiter betriebenes System mit Daten von Nutzern und Beschäftigten. Die AEPD verhängte als federführende Behörde 650.000 Euro wegen Verstoßes gegen Art. 5 Abs. 1 lit. f DSGVO, stellte die Vorwürfe nach Art. 32 und 34 ein und ordnete binnen sechs Monaten angemessene Sicherheitsmaßnahmen an. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Direktlink

Die in Montréal ansässige World Anti-Doping Agency (WADA), eine Stiftung schweizerischen Rechts, hat mit dem Privacy Commissioner of Canada eine Compliance-Vereinbarung nach PIPEDA geschlossen, mit der eine im November 2024 nach einer Beschwerde eingeleitete Untersuchung ruht und nach Erfüllung eingestellt wird. WADA muss sicherstellen, dass Anti-Doping-Organisationen die Personendaten von Athletinnen und Athleten im System ADAMS ab 1. Januar 2027 nur noch für Anti-Doping-Zwecke nutzen, den Welt-Anti-Doping-Code und die ADAMS-Verträge entsprechend anpassen, einen Kontrollmechanismus nachweisen und vierteljährlich berichten. WADA bestreitet Verstöße und die Zuständigkeit des Commissioner; hält sie die Vereinbarung nicht ein, kann dieser beim Federal Court eine Anordnung beantragen.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Personal Information Protection and Electronic Documents Act (PIPEDA), Sections 17.1 und 17.2 (Compliance Agreement)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Sonstige

Veröffentlicht

17.03.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein Unternehmen, das Finanz- und Versicherungsprodukte bewarb, ein Bußgeld von 50.000 Euro wegen unerlaubter Telefonwerbung. Die Anrufer belästigten besonders intensiv, gaben sich wahrheitswidrig als unabhängige Beratungsstelle aus und stellten Werbeanrufe als Serviceanrufe dar; das Unternehmen hat Einspruch eingelegt.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Während einer Boykottwelle 2024 bearbeitete Loblaw Löschanträge nicht rechtzeitig und bewahrte Kauf- und Nutzungsdaten des Treueprogramms (über 17 Mio. Mitglieder) auch nach Kontoschließung auf, ohne eine wirksame Anonymisierung nachzuweisen. Loblaw sagte eine unabhängige Prüfung der Anonymisierung und jährliche Löschungen zu.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

PIPEDA

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Veröffentlicht

05.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Reinigungsunternehmen reagierte trotz mehrfacher Nachfragen der Gewerkschaft nicht auf das Auskunftsersuchen eines Gewerkschaftsmitglieds und befolgte auch die Anordnung der Datatilsynet nicht, über das Ersuchen zu entscheiden. Datatilsynet zeigte das Unternehmen an; der Fall wurde am 02.03.2026 mit einem Bußgeldbescheid über 60.000 DKK abgeschlossen.

Behörde / Gericht

Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15; Nichtbefolgung einer Anordnung der Datatilsynet; databeskyttelsesloven

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Sonstige

Originalbetrag 60.000 DKK, umgerechnet zum EZB-Referenzkurs vom 02.03.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach sechs Beschwerden stellte die Behörde fest, dass das Unternehmen Kunden, die Aufzeichnungen ihrer Verkaufsgespräche zur Reklamation von Rechnungen verlangten, keine Kopie herausgab, sondern nur ein Anhören über den Kundendienst anbot und Aufzeichnungen teils löschte. Neben einer Verwarnung wurde ein Bußgeld von 5.000 EUR verhängt.

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15 Abs. 1 und 3

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei einer Inspektion im Logistikzentrum Passo Corese (rund 1.800 Beschäftigte) stellte der Garante fest, dass in Freitextfeldern einer mit der Zeiterfassung verbundenen und vielen Führungskräften zugänglichen Plattform nach Rückkehrgesprächen Angaben zu Krankheiten, Streikbeteiligung, Gewerkschaftsaktivitäten und familiären Verhältnissen der Beschäftigten festgehalten wurden, die für die berufliche Eignung unerheblich sind. Er ordnete mit sofortiger Wirkung die endgültige Einschränkung der Verarbeitung dieser Einträge – auch an allen anderen Standorten, die die Plattform nutzen – sowie von vier Kameras vor Zugängen zu Toiletten und Pausenbereichen an; die Ermittlungen dauerten an.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, c und e, Art. 6, 9 und 88 DSGVO; Art. 113 Codice privacy (D.Lgs. 196/2003); Maßnahme nach Art. 58 Abs. 2 lit. f DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Beschäftigte

10.000 und mehr

Veröffentlicht

24.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO verhängte gegen Reddit, Inc. eine Geldbuße von 14.472.500 Pfund. Nach den Feststellungen der Behörde setzte die Plattform keine belastbare Altersprüfung ein und hatte daher keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten von Kindern unter 13 Jahren. Außerdem hatte Reddit nach Feststellung der ICO vor Januar 2025 keine Datenschutz-Folgenabschätzung zu den Risiken für Kinder durchgeführt. Die ICO sah Verstöße gegen Art. 5(1)(a), 6, 8 und 35 UK GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155 DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Originalbetrag 14.472.500 GBP, umgerechnet zum EZB-Referenzkurs vom 23.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der Geschäftsführer der Klinik meldete selbst, eine ehemalige Mitarbeiterin habe Kontaktdaten und Patientenakten aller Patienten kopiert und diese für eine neue Klinik abgeworben. In der anschließenden Untersuchung beantwortete die Klinik Anfragen der Aufsicht trotz Verwarnung und Anordnung nicht vollständig; die Aufsicht verhängte daher 10.190 Lei (2.000 Euro). Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Februar 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

20.02.2026

Originalbetrag 10.190 RON, umgerechnet zum EZB-Referenzkurs vom 20.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO sprach gegenüber der City of London Police eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizeibehörde zwischen 1. April 2023 und 31. Juli 2025 Auskunftsersuchen betroffener Personen (subject access requests) nicht innerhalb der gesetzlichen Frist beantwortet. Die ICO sah darin Verstöße gegen Art. 12(3) UK GDPR und section 45(3) DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) UK GDPR; section 45(3) DPA 2018; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Lieferplattform verlangte seit 2019 bei Betrugsverdacht Scans oder Fotos von Personalausweisen und Pässen ihrer Nutzer und berief sich auf berechtigte Interessen. Die Datenschutzbehörde sah darin eine Verarbeitung ohne Rechtsgrundlage und einen Verstoß gegen Datenminimierung, verhängte 5.898.064 PLN und ordnete Stopp und Löschung an.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c, Art. 5 Abs. 2, Art. 6 Abs. 1 DSGVO (DKN.5112.33.2022)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Veröffentlicht

16.03.2026

Originalbetrag 5.898.064 PLN, umgerechnet zum EZB-Referenzkurs vom 19.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine Immobilienagentur (Name nicht veröffentlicht) bewahrte 11.887 Maklerverträge aus 2010 bis 2019 samt 914 Kopien von Ausweisen, Pässen und Bankkarten ohne Rechtsgrundlage auf, obwohl der Geschäftsführer angab, keine Kartenkopien zu erheben. Die AZOP rügte zudem unregelmäßige und unzureichende Datenschutzschulungen der Beschäftigten und verhängte 100.000 Euro (Veröffentlichungsdatum, genaues Bescheiddatum nicht angegeben).

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. c und e, Art. 6 Abs. 1, Art. 32 Abs. 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Verschulden

fahrlässig

Mildernde Umstände

Kein Schaden für Betroffene festgestellt.

Veröffentlicht

19.02.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach der Tragödie beim Lapu-Lapu-Day-Festival 2025 griffen 36 Beschäftigte dreier Gesundheitsbehörden in 71 Fällen unbefugt auf Patientendaten von 16 eingelieferten Personen zu. Die Betroffenen wurden nicht ohne unangemessene Verzögerung informiert; der Beauftragte sprach neun Empfehlungen aus, u. a. automatisierte Zugriffsüberwachung und abschreckende Disziplinarmaßnahmen.

Behörde / Gericht

Office of the Information and Privacy Commissioner for British Columbia (OIPC BC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Freedom of Information and Protection of Privacy Act (FIPPA) BC, s. 25.1

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Mildernde Umstände

Angemessene Schutzmaßnahmen waren vorhanden; die Behörden reagierten schnell und nahmen alle Empfehlungen an.

Veröffentlicht

18.02.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Disney setzte Widersprüche gegen Verkauf und Weitergabe von Daten nur für einzelne Dienste oder Geräte um statt kontoweit, gab über eingebettete Ad-Tech-Anbieter weiter Daten heraus und bot in Connected-TV-Apps keinen Opt-out. Größter CCPA-Vergleich zum Zeitpunkt der Einigung.

Behörde / Gericht

Attorney General of California (California Department of Justice)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

California Consumer Privacy Act (CCPA)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

11.02.2026

Originalbetrag 2.750.000 USD, umgerechnet zum EZB-Referenzkurs vom 11.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die UODO verhängte gegen den Paketdienst DPD Polska sp. z o.o. Bußgelder von insgesamt 11.461.030 PLN. 6.251.471 PLN entfallen darauf, dass das Unternehmen externe Transportunternehmen für den Sendungsverkehr zwischen seinen Niederlassungen ohne Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO einsetzte, obwohl diese beim Be- und Entladen Zugang zu den Adressetiketten hatten; 5.209.559 PLN darauf, dass Beschäftigten keine wirksamen Berechtigungen zur Datenverarbeitung erteilt und die eigene Datenschutzrichtlinie nicht umgesetzt wurde (Art. 24, 29, 32 DSGVO). Die Behörde wertete beide Verstöße als vorsätzlich und frühere Verwarnungen gegen das Unternehmen als erschwerend. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 28 Abs. 3 i. V. m. Art. 5 Abs. 1 lit. a und Abs. 2 DSGVO; Art. 24 Abs. 1 und 2, Art. 29, Art. 32 Abs. 1 und 4 i. V. m. Art. 5 Abs. 1 lit. f und Abs. 2 DSGVO; Art. 83 Abs. 4 lit. a und Abs. 5 lit. a DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Verschulden

vorsätzlich

Wiederholungsfall

ja

Mildernde Umstände

Mildernd wirkte, dass DPD nach Einleitung des Verfahrens die Verträge mit den Transportunternehmen um Regelungen zur Auftragsverarbeitung ergänzte und das Verfahren zur Erteilung von Berechtigungen änderte.

Haftung von Führungskräften

Keine persönliche Haftung festgestellt.

Veröffentlicht

23.02.2026

Originalbetrag 11.461.030 PLN, umgerechnet zum EZB-Referenzkurs vom 05.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO verhängte gegen MediaLab.AI, Inc., die bis 30. September 2025 die Plattform Imgur im Vereinigten Königreich betrieb, eine Geldbuße von 247.590 Pfund. Nach den Feststellungen der ICO ließ Imgur Kinder unter 13 Jahren nach eigener Darstellung unter elterlicher Aufsicht zu und stützte sich auf Einwilligung als Rechtsgrundlage, hatte aber keine Möglichkeit, das Alter der Nutzer festzustellen und damit die erforderliche elterliche Einwilligung einzuholen. Die ICO sah daher keine wirksame Rechtsgrundlage und stellte zudem das Fehlen einer Datenschutz-Folgenabschätzung fest (Art. 5(1)(a), 6, 8 und 35 UK GDPR).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5(1)(a), 6, 8 und 35 UK GDPR; section 155(1)(a) DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Originalbetrag 247.590 GBP, umgerechnet zum EZB-Referenzkurs vom 04.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Zehn Gemeinden (Delft, Ede, Eindhoven, Gooise Meren, Haarlemmermeer, Hilversum, Huizen, Tilburg, Veenendaal und Zoetermeer) hatten von einem externen Forschungsbüro erstellte Analysen der örtlichen islamischen Gemeinschaft (meist sogenannte Kräftefeldanalysen, in Haarlemmermeer ein Quickscan) erhalten, gespeichert und genutzt, die auch Angaben zur Religion und weitere sensible Merkmale einzelner Personen enthielten. Die AP verhängte am 3. Februar 2026 in getrennten Bescheiden gegen jedes Kollegium 25.000 EUR (zusammen 250.000 EUR); bei sieben Gemeinden beschränkte sie zudem die weitere Verarbeitung der Analysen auf die Wahrnehmung von Betroffenenrechten und Gerichtsverfahren.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a i. V. m. Art. 6 Abs. 1 und Art. 9 Abs. 1 DSGVO (AVG); Verarbeitungsbeschränkung nach Art. 58 Abs. 2 DSGVO (sieben Bescheide)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

05.02.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die ICO verhängte gegen TMAC Ltd eine Geldbuße von 100.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen zwischen 8. Februar und 24. September 2024 260.332 unerbetene Werbeanrufe an Nummern getätigt, die im Telefon-Präferenzregister TPS (betrieben von der Telephone Preference Service Ltd) eingetragen waren. Außerdem erhielten die Angerufenen nicht die nach Regulation 24 der PECR vorgeschriebenen Angaben zum Anrufer. Grundlage sind die Regulations 21 und 24 der PECR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulations 21(1)(b) und 24 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 100.000 GBP, umgerechnet zum EZB-Referenzkurs vom 03.02.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der Anbieter einer Verwaltungs-Software und App für Sportvereine wurde im Januar 2025 Opfer eines Datenabflusses durch einen externen Angreifer. Die IMY stellte fest, dass vor und zum Zeitpunkt des Vorfalls keine angemessenen technischen und organisatorischen Sicherheitsmaßnahmen bestanden, obwohl überwiegend Daten von Kindern und auch Gesundheitsangaben (Allergien, Behinderungen) verarbeitet wurden, und verhängte 6 Mio. SEK; bei der Bemessung berücksichtigte sie den Konzernumsatz der Lime-Gruppe 2024 (rund 685,7 Mio. SEK).

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Schnelle, umfassende Information der Vereine und Betroffenen nach dem Vorfall; Unterstützung von rund 1.700 Vereinen bei ihren Meldungen innerhalb von 72 Stunden.

Veröffentlicht

26.01.2026

Originalbetrag 6.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 26.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer übernahmen Anfang 2024 per Social Engineering Konten von Cap-Emploi-Beratern und griffen auf Daten von Arbeitsuchenden der letzten 20 Jahre zu, darunter Sozialversicherungsnummern. Die CNIL rügte schwache Authentifizierung, unzureichende Protokollierung und zu weite Zugriffsrechte und verhängte 5 Mio. Euro sowie eine Anordnung mit 5.000 Euro Zwangsgeld je Verzugstag.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

29.01.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Agentur führte für Kundenunternehmen telefonische Vorauswahlgespräche mit Bewerbenden, zeichnete sie ohne wirksame Einwilligung auf, speicherte sie unbefristet und gab sich dabei als das Kundenunternehmen aus. Die DSB verhängte 25.500 EUR (plus 2.550 EUR Kosten) wegen fehlender Rechtsgrundlage und Transparenz; das Unternehmen hat gegen die Strafhöhe Beschwerde beim Bundesverwaltungsgericht erhoben.

Behörde / Gericht

Datenschutzbehörde

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, c und e, Art. 6 Abs. 1, Art. 12, 13

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Sonstige

Beschäftigte

Unter 50

Mildernde Umstände

Keine einschlägigen Vorverstöße, Mitwirkung am Verfahren; Anpassung des Ausgangsbetrags an die geringe Unternehmensgröße.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im Unternehmen wurde wiederholt eine Excel-Datei mit Daten aus ärztlichen Bescheinigungen aktueller und ehemaliger Beschäftigter intern verteilt; das Unternehmen meldete den Vorfall selbst. Die Aufsicht verhängte 25.455 Lei (5.000 Euro) wegen Verstoßes gegen Datenminimierung und Rechenschaftspflicht sowie 50.911 Lei (10.000 Euro) wegen unzureichender Sicherheitsmaßnahmen und ordnete ein Überwachungs- und Kontrollverfahren an. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. c und Abs. 2, Art. 32 Abs. 1 lit. b und Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Automobil

Veröffentlicht

19.01.2026

Originalbetrag 76.366 RON, umgerechnet zum EZB-Referenzkurs vom 19.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Datatilsynet verhängte gegen den Anbieter von Zeiterfassungssystemen Timegrip AS ein Bußgeld von 250.000 NOK, weil das Unternehmen nach der Insolvenz einer Einzelhandelskette 80 früheren Beschäftigten die Auskunft über ihre Stempeldaten verweigerte, die sie zum Nachweis ihrer Lohnforderungen brauchten. Die Behörde stufte Timegrip als Verantwortlichen ein, weil das Unternehmen nach der Insolvenz faktisch allein über Speicherung, Nutzung und Zugang entschied, und sah einen Verstoß gegen das Auskunftsrecht nach Art. 15 Abs. 1 und 3 DSGVO. Angekündigt waren 750.000 NOK; die Behörde berücksichtigte u. a. die unübersichtliche Lage und die eigene lange Verfahrensdauer.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 15 Abs. 1 und 3, Art. 58 Abs. 2 lit. i, Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Mildernde Umstände

Unübersichtliche Lage nach der Insolvenz des Kunden (nur begrenzt gewichtet) und lange Verfahrensdauer bei Datatilsynet; angekündigt waren 750.000 NOK.

Veröffentlicht

20.01.2026

Originalbetrag 250.000 NOK, umgerechnet zum EZB-Referenzkurs vom 16.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO verhängte gegen Allay Claims Ltd eine Geldbuße von 120.000 Pfund und erließ eine Durchsetzungsanordnung. Nach den Feststellungen der ICO hatte das Unternehmen in großem Umfang unerbetene SMS verschickt, mit denen es Dienstleistungen zur Rückforderung von Steuern auf PPI-Erstattungen bewarb; die Anordnung nennt dafür den Zeitraum 1. Februar 2023 bis 13. Februar 2024. Die ICO sah einen schweren Verstoß gegen Regulation 22 der PECR (elektronische Werbung ohne Einwilligung).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulation 22 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Originalbetrag 120.000 GBP, umgerechnet zum EZB-Referenzkurs vom 15.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die FTC hat ihre Anordnung gegen General Motors und OnStar endgültig erlassen. Nach dem Vorwurf der Behörde führte GM Kunden mit einem irreführenden Anmeldeprozess in den Dienst OnStar und die Funktion Smart Driver, erfasste präzise Standort- und Fahrverhaltensdaten aus Millionen Fahrzeugen und verkaufte sie ohne klare Information und ausdrückliche Einwilligung an Dritte, darunter Verbraucherauskunfteien. GM darf diese Daten fünf Jahre lang nicht an Verbraucherauskunfteien weitergeben und muss während der 20-jährigen Laufzeit vor Erhebung, Nutzung oder Weitergabe vernetzter Fahrzeugdaten eine ausdrückliche Einwilligung einholen, Auskunft und Löschung ermöglichen und das Abschalten der Standorterfassung anbieten; eine Geldzahlung sieht die Anordnung nicht vor. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Automobil

Beschäftigte

10.000 und mehr

Veröffentlicht

14.01.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Nach einem Angriff im Oktober 2024, bei dem Daten zu rund 24 Mio. Kundenverträgen einschließlich IBAN abflossen, verhängte die CNIL 27 Mio. Euro gegen Free Mobile und 15 Mio. Euro gegen Free (zusammen 42 Mio. Euro). Beanstandet wurden ein VPN-Zugang ohne ausreichende Authentifizierung, mangelhafte Erkennung auffälliger Zugriffe, unvollständige Benachrichtigung der Betroffenen und bei Free Mobile überlange Speicherung von Altverträgen; zusätzlich ergingen Anordnungen mit Fristen.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. e, Art. 32, Art. 34 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Während des Verfahrens Einführung von Mehr-Faktor-Authentifizierung, eines Security Operations Centers und verbesserter Protokollierung.

Veröffentlicht

14.01.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Anbieter cloudbasierter HR-Software erhielt im April 2024 eine Erpresser-E-Mail; ein Angreifer hatte Datenbanken auf seinen AWS-Servern gelöscht und wahrscheinlich Daten ausgeleitet, mutmaßlich entwendete Daten wurden im Darknet angeboten – gefährdet waren Daten von 95.000 Beschäftigten seiner Kunden (u. a. Ausweisnummer, Gehalt, Bankkonto, Religion) sowie von 24.765 Notfallkontakten und Kindern. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil der Anbieter trotz der ihm von Kunden anvertrauten Personaldaten keine Web Application Firewall gegen vorhandene SQL-Injection-Lücken, einen offen aus dem Internet erreichbaren Remote-Desktop-Zugang ohne Zwei-Faktor-Authentifizierung und nur alle zwei Jahre Schwachstellenscans hatte. Sie verhängte 17.500 SGD, wegen der Liquiditätslage zahlbar in zwölf Monatsraten, und ordnete u. a. eine Web Application Firewall, jährliche Penetrationstests, Zwei-Faktor-Authentifizierung und die Verschlüsselung aller Personaldatenfelder an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß; Ratenzahlung mit Rücksicht auf die Liquidität, ein Erlass wurde abgelehnt.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 08.01.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

In einem für die Beschäftigten einsehbaren Tagesbefehlsbuch einer Feuerwehrdienststelle wurden neben der Versetzung einer Offizierin in den leichten Dienst auch ihre Erkrankung, die Behandlung und die verordneten Medikamente vermerkt. Die Datenschutzbehörde sah darin einen Verstoß gegen Rechtmäßigkeit und Datenminimierung und verhängte gegen das Feuerwehr-Hauptquartier mit Entscheidung 1/2026 eine Geldbuße von 10.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Funktion des Datenschutzbeauftragten übte eine Führungskraft aus, die zugleich für Sicherheit und Geheimschutz zuständig war und damit ihre eigene Tätigkeit überwachte; eine Konfliktanalyse fehlte. Die Behörde verhängte 978.128 PLN und verwies auf zahlreiche frühere Verwarnungen und Anordnungen gegen das Unternehmen.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 38 Abs. 3 und 6 DSGVO (DKN.5131.4.2025)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Beschäftigte

10.000 und mehr

Wiederholungsfall

ja

Mildernde Umstände

Die Funktion wurde während des Verfahrens verselbständigt und direkt dem Vorstand unterstellt.

Veröffentlicht

26.01.2026

Originalbetrag 978.128 PLN, umgerechnet zum EZB-Referenzkurs vom 02.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach zahlreichen Beschwerden über Werbeanrufe für den Gasversorger ZENITH stellte die Behörde fest, dass das beauftragte Callcenter unzureichende Sicherheitsmaßnahmen hatte und Personen ohne gültige Einwilligung anrief. Mit Entscheidung 44/2025 erhielt One Way je 40.000 Euro als Auftragsverarbeiter und als Verantwortlicher sowie die Anordnung, Daten von Personen ohne wirksame Einwilligung zu löschen; ZENITH und zwei weitere Dienstleister wurden ebenfalls belangt (10.000, 10.000 und 5.000 Euro).

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5, 6, 7, 29, 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNIL verhängte gegen eine nicht namentlich genannte Einzelhandelskette eine Geldbuße von 3.500.000 EUR (2.500.000 EUR nach Art. 6 Abs. 1 lit. a, 13, 32 und 35 DSGVO sowie 1.000.000 EUR nach Art. 82 Loi Informatique et Libertés). Das Unternehmen hatte seit 2018 E-Mail-Adressen und Telefonnummern von Mitgliedern seines Kundenprogramms ohne wirksame Einwilligung an ein soziales Netzwerk übermittelt, um dort gezielt Werbung auszuspielen; betroffen waren mehr als 10,5 Mio. Personen. Hinzu kamen unzureichende Information, schwache Passwortregeln mit SHA-256-Hashing, eine fehlende Datenschutz-Folgenabschätzung sowie Cookies, die vor jeder Wahl gesetzt und nach einer Ablehnung weiter ausgelesen wurden.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 6 Abs. 1 lit. a, 13, 32 und 35 DSGVO; Art. 82 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Veröffentlicht

22.01.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Der texanische Wiederverkäufer handelte ohne Registrierung als Datenhändler mit Namen und Kontaktdaten von Millionen Menschen, sortiert nach Krankheiten wie Alzheimer oder Suchterkrankungen, nach Alter, vermuteter Ethnie und politischer Einstellung. Neben dem Bußgeld muss er den Verkauf von Daten aller Kalifornier einstellen.

Behörde / Gericht

California Privacy Protection Agency (CPPA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

California Delete Act (Registrierungspflicht für Datenhändler)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Sonstige

Veröffentlicht

08.01.2026

Originalbetrag 45.000 USD, umgerechnet zum EZB-Referenzkurs vom 30.12.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im August 2024 verschlüsselte ein Angreifer ein von SESAMi und ihrer Tochter Abecha gemeinsam genutztes Netzlaufwerk mit Zahlungsdaten (u. a. vollständige Kreditkartennummern und Kontodaten) von rund 20.471 Kunden eines Kraftstoff-Flottenrabattprogramms der Tochter und bis zu 18.837 Personen aus der Registrierung für SESAMis B2B-Plattform; eine Ausleitung ließ sich nicht nachweisen. Die Datenschutzbehörde PDPC stufte SESAMi, das das Netz ohne schriftlichen Vertrag für die Tochter betrieb, insoweit als Auftragsverarbeiter (data intermediary) ein und stellte bei SESAMi einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (u. a. veraltete Firewall- und VPN-Firmware, kein Patch-Management, nicht durchgesetzte Passwort- und MFA-Regeln), ebenso bei Abecha, die als Verantwortliche nichts unternommen hatte, um angemessene Sicherheit bei SESAMi sicherzustellen. SESAMi erhielt 8.750 SGD und Anordnungen, Abecha als verantwortliche Stelle nur Anordnungen, darunter eine schriftliche Regelung der Rollen und Datenschutzpflichten im Konzern.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 4(3) PDPA (Pflichten bei Einsatz eines Data Intermediary); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Kooperation, rasche und wirksame Abhilfe, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure); bei Abecha zudem geringere Schuld wegen begrenzter Eigenständigkeit als hundertprozentige Tochter, einer der Gründe, von einer Geldbuße gegen sie abzusehen.

Veröffentlicht

26.02.2026

Originalbetrag 8.750 SGD, umgerechnet zum EZB-Referenzkurs vom 29.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach zahlreichen Beschwerden über Werbeanrufe für Heron stellte die Datenschutzbehörde mit Entscheidung 43/2025 Mängel bei der Kontrolle der beauftragten Callcenter und bei den Sicherheitsmaßnahmen fest, sodass auch Teilnehmer aus dem Sperrregister nach Art. 11 ν. 3471/2006 angerufen wurden; zudem wurden Daten teils rechtswidrig erhoben. Sie verhängte insgesamt 165.000 EUR: 115.000 EUR gegen Heron (Art. 32 DSGVO) samt Verwarnung und der Anordnung, binnen sechs Monaten ein Kontrollverfahren für Callcenter-Partner mit mindestens jährlicher Prüfung einzuführen, 35.000 EUR gegen ICOMM (5.000 Art. 32, 10.000 Art. 29, 20.000 Art. 5 Abs. 1 lit. a DSGVO) mit Löschanordnung sowie 15.000 EUR gegen ein weiteres Callcenter (Art. 32 DSGVO).

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 29, Art. 32, Art. 58 Abs. 2 lit. d, f und i DSGVO; Art. 11 ν. 3471/2006; Art. 21 ν. 2472/1997 i. V. m. Art. 84 ν. 4624/2019

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die CNIL hatte 2023 wegen der Echtzeit-Überwachung von Lagerbeschäftigten per Scanner-Kennzahlen 32 Mio. Euro verhängt. Der Conseil d'État hielt drei Kennzahlen („Stow Machine Gun“, „Idle Time“, „Latency“) für durch berechtigtes Interesse gedeckt, bestätigte aber die 31-tägige Speicherung aller Kennzahlen, Informationsmängel und Sicherheitslücken bei der Videoüberwachung und setzte die Buße auf 15 Mio. Euro herab.

Behörde / Gericht

Conseil d'État

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. c, Art. 12, 13, 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Transport, Logistik und Schifffahrt

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Bundesbezirksgericht für den Central District of California hat auf Klage des U.S. Department of Justice im Auftrag der FTC eine Anordnung gegen zwei Disney-Gesellschaften erlassen. Disney soll kindgerichtete Videos auf YouTube nicht als „Made for Kids“ gekennzeichnet haben, weil es die Einstufung nur kanalweise vornahm; dadurch konnten über YouTube Daten von Kindern unter 13 Jahren ohne Information und Einwilligung der Eltern erhoben und für zielgerichtete Werbung genutzt werden. Disney zahlt eine Zivilstrafe von 10.000.000 USD und muss ein Programm zur Prüfung und Kennzeichnung der Zielgruppe seiner Videos einrichten. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

Federal Trade Commission (FTC); Klage durch das U.S. Department of Justice, Anordnung des U.S. District Court for the Central District of California

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

COPPA Rule, 16 C.F.R. Part 312; Children's Online Privacy Protection Act, 15 U.S.C. §§ 6502(c), 6505(d); Verfahren nach 15 U.S.C. §§ 45(m)(1)(A), 53(b)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

31.12.2025

Originalbetrag 10.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.12.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Nexpublica entwickelte und betrieb als Auftragsverarbeiter die Fallverwaltungssoftware „Public CRM“ für die Behindertenbehörde MDPH Nord. Nach zwei Datenpannen 2022 zeigten Audits seit 2021 bestehende kritische Schwachstellen, etwa veraltetes SHA-1-Hashing; die CNIL verhängte 1,7 Mio. Euro direkt gegen den Dienstleister.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Mitarbeiter des Kundenservice-Dienstleisters bediente im Chat zwei Kunden gleichzeitig und ordnete einem die E-Mail-Adresse des anderen zu; der Beschwerdeführer erhielt so Namen, Schulden und Rechnungsdaten eines Fremden. Die AEPD sah die Ursache im Prozessdesign, das parallele Chats zuließ, und verhängte 500.000 Euro wegen fehlenden Datenschutzes durch Technikgestaltung; der Widerspruch wurde zurückgewiesen.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Kameras an Stationen und Haltestellen der Budapester Vorortbahn HÉV zeichneten jahrelang auch Ton auf; die NAIH sah darin Verstöße gegen Transparenz, Datenminimierung, Rechtmäßigkeit, Speicherbegrenzung und die Pflicht zur Datenschutz-Folgenabschätzung. Gegen die Rechtsnachfolgerin des Betreibers verhängte sie 50.000.000 HUF und verwarnte sie zugleich vor einer künftigen Tonaufzeichnung ohne nachgewiesene Erforderlichkeit.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, c, e, Art. 6 Abs. 1, Art. 12 Abs. 1, Art. 13 Abs. 1 lit. e, Art. 35 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Verschulden

fahrlässig

Veröffentlicht

19.12.2025

Originalbetrag 50.000.000 HUF, umgerechnet zum EZB-Referenzkurs vom 19.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Mobile-Banking-App einer Bank (Name nicht veröffentlicht) scannte auf Android- und Huawei-Geräten von 433.922 Kunden die Liste aller installierten Anwendungen und speicherte sie zentral – ohne Rechtsgrundlage, ohne transparente Information und ohne datensparsame Gestaltung. Die AZOP verhängte 1,5 Mio. Euro; der Bescheid ist nicht rechtskräftig (Datum = Veröffentlichung).

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1, Art. 12, 13, 25 Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

18.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein werbendes Energieunternehmen ein Bußgeld von 210.000 Euro wegen unerlaubter Telefonwerbung. Die Anrufer gaben sich vielfach als Energieversorger der Angerufenen aus, wodurch in vielen Fällen Verträge untergeschoben wurden; das Unternehmen hat Einspruch eingelegt.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Das Saatgutunternehmen ließ auf Vorgabe einer Konzerngesellschaft mit Sitz in der Schweiz Telematikgeräte in Dienstwagen einbauen, die auch private Fahrten erfassten und Beschäftigten Punktwerte für ihr Fahrverhalten zuwiesen. Die Aufsicht sah Verstöße gegen Transparenz, Zweckbindung, Datenminimierung und Arbeitnehmerschutzregeln, verhängte 120.000 EUR und ordnete die Löschung der Daten zu Privatfahrten an.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a-c, 6 Abs. 1 lit. f, 13, 28, 88; Codice privacy Art. 2-quaterdecies, 113, 114

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Lebensmittel und Landwirtschaft

Mildernde Umstände

Geringe Zahl Betroffener (fünf Beschäftigte), sofortige Aussetzung der Verarbeitung.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Bundesnetzagentur verhängte gegen ein werbendes Photovoltaik-Unternehmen Bußgelder von insgesamt 100.500 Euro: 66.000 Euro wegen unerlaubter Telefonwerbung und 34.500 Euro wegen Rufnummernunterdrückung bei Werbeanrufen. Die Anrufer verschleierten den wahren Auftraggeber und gaben Werbeanrufe teils wahrheitswidrig als bloße Beratungsgespräche aus.

Behörde / Gericht

Bundesnetzagentur (BNetzA)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

UWG – Verbot unerlaubter Telefonwerbung gegenüber Verbraucherinnen und Verbrauchern; Verbot der Rufnummernunterdrückung bei Werbeanrufen

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Bei einer Vor-Ort-Prüfung im November 2023 übergab ein luxemburgischer Hersteller technischer Ausrüstung (in der Entscheidung pseudonymisiert als „Société A“) sein Verzeichnis der Verarbeitungstätigkeiten nicht, sondern zeigte es nur in einer Online-Anwendung; das am Folgetag aus der Software exportierte Verzeichnis mit 40 Einträgen war unvollständig und ungenau, u. a. bei Kontaktangaben, Kategorien betroffener Personen und Daten, Empfängern und Drittlandübermittlungen. Die CNPD verhängte 7.000 Euro, sprach eine Ermahnung aus und ordnete binnen zwei Monaten die Vervollständigung an.

Behörde / Gericht

Commission nationale pour la protection des données (CNPD), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 30 Abs. 1 lit. a, c, d, e

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Industrie und Maschinenbau

Verschulden

fahrlässig

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die CNPD verhängte gegen ein Luxemburger Unternehmen für private Sicherheitsdienste mit mehr als 250 Beschäftigten eine Geldbuße von 2.784 EUR, eine Verwarnung und eine Anordnung, weil sein Verzeichnis der Verarbeitungstätigkeiten Pflichtangaben nach Art. 30(1) DSGVO nicht vollständig enthielt. Binnen eines Monats musste es für die Verarbeitung zur Bearbeitung von Hinweisen (Whistleblowing) die Sicherheitsmaßnahmen beschreiben oder ausdrücklich deren Fehlen angeben.

Behörde / Gericht

Commission nationale pour la protection des données (CNPD), formation restreinte

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 30(1)(a), (c), (d), (e), (f) und (g) DSGVO; Art. 58(2) und 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Verteidigung und Sicherheit

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Ein Hacker gelangte 2021 über ein Webformular auf einen Web- und einen Datenbankserver der Hochschule, erbeutete u. a. Namen mit Passwörtern und Bürgerservicenummern von Studierenden und Beschäftigten und forderte vergeblich Lösegeld. Die Sicherheit war nicht auf die Risiken abgestimmt, die Rechte eines Datenbankkontos waren nicht beschränkt.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Mildernde Umstände

Vergleich ohne Einspruch; aktive Schadensbegrenzung, gestärkte Resilienz und Weitergabe der Erfahrungen an andere Organisationen.

Veröffentlicht

17.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte gegen die Police Service of Scotland eine Geldbuße von 66.000 Pfund und sprach zugleich eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei im Rahmen eines Strafverfahrens in großem Umfang Daten vom Mobiltelefon einer bei ihr beschäftigten Person heruntergeladen, die Anzeige erstattet hatte, ohne sicherzustellen, dass dies rechtmäßig, fair und auf das Erforderliche beschränkt war; die ICO sah darin Verstöße im Zeitraum 18. Januar bis 5. April 2021. Dafür sprach die ICO die Verwarnung nach sections 35 und 37 DPA 2018 (Part 3) aus. Ebenfalls nach Feststellung der ICO gab später die Abteilung für Berufsstandards (Professional Standards Department) diese Daten in einem internen Disziplinarverfahren unbefugt an die beschuldigte Person weiter. Für die Zusammenstellung solcher Disziplinarunterlagen fehlten angemessene technische und organisatorische Maßnahmen, und die Datenpanne wurde der ICO erst am 30.06.2022 gemeldet, obwohl die Polizei seit dem 17.06.2022 davon wusste. Für diese Verstöße verhängte die ICO die Geldbuße. Der gemeinsame Bescheid stützt sich unter anderem auf Art. 5(1)(f) und 32(1) UK GDPR (Sicherheit der Verarbeitung), Art. 5(1)(c) und 25 UK GDPR (Datenminimierung, Datenschutz durch Technikgestaltung) sowie Art. 33(1) UK GDPR (Meldung von Datenpannen).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(c), 5(1)(f), 25(1)-(2), 32(1) und 33(1) UK GDPR; section 155 DPA 2018 (Geldbuße); sections 35 und 37 DPA 2018 (Part 3), Verwarnung nach Schedule 13 para 2(c) DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 66.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die CNIL verhängte gegen MOBIUS SOLUTIONS LTD, einen Anbieter von Werkzeugen für personalisierte Werbekampagnen ohne Niederlassung in der EU, 1.000.000 Euro Bußgeld: Als Auftragsverarbeiter von Deezer hatte das Unternehmen nach Vertragsende eine Kopie der Daten von mehr als 46 Millionen Nutzern behalten, die Daten ohne Weisung zur Verbesserung eigener Dienste genutzt und kein Verzeichnis seiner Verarbeitungstätigkeiten geführt (Art. 28 Abs. 3 lit. g, Art. 29, Art. 30 DSGVO). Deezer hatte der CNIL im November 2022 gemeldet, dass Nutzerdaten im Darknet aufgetaucht waren.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 28 Abs. 3 lit. g, Art. 29 und Art. 30 DSGVO (Délibération SAN-2025-014 vom 11.12.2025)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

19.12.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die ICO verhängte gegen ZMLUK Limited eine Geldbuße von 105.000 Pfund. Nach den Feststellungen der ICO hatte das Unternehmen unerbetene Werbe-E-Mails für Energiesparprodukte verschickt; der Bescheid nennt dafür den Zeitraum 1. Januar bis 21. Juli 2023. Die ICO sah einen schweren Verstoß gegen Regulation 22 der PECR (elektronische Werbung ohne Einwilligung). Bei fristgerechter Zahlung ermäßigt sich der Betrag laut Bescheid um 20 % auf 84.000 Pfund.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Regulation 22 PECR; section 55A DPA 1998

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Originalbetrag 105.000 GBP, umgerechnet zum EZB-Referenzkurs vom 11.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Zwischen 2018 und 2020 meldete die Universität zwölf Datenpannen, davon sechs, bei denen Unbefugte per Phishing in dienstliche E-Mail-Konten gelangten und teils Weiterleitungsregeln einrichteten. Die DPC stellte Verstöße gegen Art. 5(1)(f), 30(1), 32(1), 33(1) und 34(1) DSGVO fest, erteilte einen Verweis und verhängte Geldbußen von 45.000, 3.000, 35.000 und 15.000 Euro, zusammen 98.000 Euro.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 30(1), 32(1), 33(1), 34(1) DSGVO; ss. 110–111 Data Protection Act 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Universität erkannte die meisten Feststellungen an, übernahm Verantwortung und verbesserte Systeme, Schulungen und Richtlinien; die Bußen liegen deutlich unter dem Entwurf, eine Abhilfeanordnung entfiel.

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die ICO sprach am 2. Dezember 2025 gegenüber der Post Office Limited eine Verwarnung aus. Nach den Feststellungen der ICO hatte das Unternehmen am 25. April 2024 statt der vorgesehenen geschwärzten die ungeschwärzte Fassung einer Vergleichsurkunde auf seiner Unternehmenswebsite veröffentlicht. Dadurch wurden personenbezogene Daten von 502 Postmastern öffentlich, die am Gruppenverfahren von 2017 im Zusammenhang mit dem Horizon-IT-Skandal beteiligt waren. Die ICO sah darin mangels angemessener technischer und organisatorischer Maßnahmen Verstöße gegen Art. 5(1)(f), 32(1) und 32(2) UK GDPR; eine Geldbuße verhängte sie nicht.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 32(1) und 32(2) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt