Wer wurde wofür sanktioniert?

Klinikpersonal öffnete die elektronische Gesundheitsakte einer Kollegin, um Dienstpläne während Covid zu organisieren, statt zu Behandlungszwecken. Technische Sperren, die den Zugriff auf behandelndes Personal begrenzen, fehlten; die Garante verhängte 24.000 Euro (Provvedimento Nr. 616).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, b, c, f, Art. 9, 25, 32 DSGVO; Art. 75 Codice privacy; Linee guida dossier sanitario

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Datenschutzbehörde hatte einem Unternehmen untersagt, seine drei Dienstfahrzeuge ununterbrochen per GPS zu verfolgen, und die Löschung der Daten angeordnet; erlaubt blieben enge Zwecke wie Diebstahlschutz beim Parken. Das Verwaltungsgericht bestätigte dies und stellte klar, dass eine mit anderen Erklärungen gekoppelte Einwilligung der Beschäftigten unwirksam ist.

Behörde / Gericht

Upravno sodišče Republike Slovenije (bekanntgemacht durch den Informacijski pooblaščenec)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 6 Abs. 1 lit. f, Art. 7 Abs. 2 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Veröffentlicht

07.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die öffentliche Berufsschule hatte Berichte zur Überprüfung von Qualifikationen und Vorstrafen dreier Beschäftigter im September 2022 versehentlich per E-Mail an weitere Mitarbeitende verschickt, weder die Behörde noch die Betroffenen informiert und keinen Information Officer (Informationsbeauftragten) registriert. Abweichend von der Einschätzung ihres Enforcement Committee (Durchsetzungsausschuss) sah die Behörde darin auch eine unzulässige Weiterverarbeitung und stellte Verstöße gegen Rechenschaftspflicht, Zweckbindung, Datensicherheit und Meldepflicht fest; am 22. Mai 2026 ordnete sie u. a. die Registrierung, die nachträgliche Meldung, eine schriftliche Entschuldigung, ein Compliance-Framework und POPIA-Schulungen für alle Beschäftigten an.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Sections 8, 15(1), 19(1) und 22(1) Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Schule rief die E-Mail zwei Tage später zurück, informierte die Beschäftigten über den Fehler und ergriff Maßnahmen gegen die Verantwortlichen; das entband sie laut Behörde aber nicht von der Meldepflicht.

Veröffentlicht

02.06.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Ein Erbringer öffentlicher Versorgungsleistungen erfasste über GPS-Sender in Dienstfahrzeugen dauerhaft und anlasslos die Standortdaten der Beschäftigten, ohne Zweckfestlegung, Interessenabwägung und ausreichende Information. Die Behörde verhängte 6.000 EUR gegen das Unternehmen.

Behörde / Gericht

Informacijski pooblaščenec Republike Slovenije (IP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 und Art. 6 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

15.04.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ein Arbeitgeber installierte auf Dienstrechnern einzelner Beschäftigter die Software Spyrix Employee Monitoring, die monatelang Bildschirminhalte, Tonaufnahmen und sogar private E-Mails und Gespräche aufzeichnete, ohne die Beschäftigten zu informieren. Die Aufsichtsbehörde verhängte 71.474 EUR gegen das Unternehmen.

Behörde / Gericht

Informacijski pooblaščenec Republike Slovenije (IP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 und Art. 6 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

vorsätzlich

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

09.04.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Bei einer Inspektion im Logistikzentrum Passo Corese (rund 1.800 Beschäftigte) stellte der Garante fest, dass in Freitextfeldern einer mit der Zeiterfassung verbundenen und vielen Führungskräften zugänglichen Plattform nach Rückkehrgesprächen Angaben zu Krankheiten, Streikbeteiligung, Gewerkschaftsaktivitäten und familiären Verhältnissen der Beschäftigten festgehalten wurden, die für die berufliche Eignung unerheblich sind. Er ordnete mit sofortiger Wirkung die endgültige Einschränkung der Verarbeitung dieser Einträge – auch an allen anderen Standorten, die die Plattform nutzen – sowie von vier Kameras vor Zugängen zu Toiletten und Pausenbereichen an; die Ermittlungen dauerten an.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, c und e, Art. 6, 9 und 88 DSGVO; Art. 113 Codice privacy (D.Lgs. 196/2003); Maßnahme nach Art. 58 Abs. 2 lit. f DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Beschäftigte

10.000 und mehr

Veröffentlicht

24.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Im Unternehmen wurde wiederholt eine Excel-Datei mit Daten aus ärztlichen Bescheinigungen aktueller und ehemaliger Beschäftigter intern verteilt; das Unternehmen meldete den Vorfall selbst. Die Aufsicht verhängte 25.455 Lei (5.000 Euro) wegen Verstoßes gegen Datenminimierung und Rechenschaftspflicht sowie 50.911 Lei (10.000 Euro) wegen unzureichender Sicherheitsmaßnahmen und ordnete ein Überwachungs- und Kontrollverfahren an. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. c und Abs. 2, Art. 32 Abs. 1 lit. b und Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Automobil

Veröffentlicht

19.01.2026

Originalbetrag 76.366 RON, umgerechnet zum EZB-Referenzkurs vom 19.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

In einem für die Beschäftigten einsehbaren Tagesbefehlsbuch einer Feuerwehrdienststelle wurden neben der Versetzung einer Offizierin in den leichten Dienst auch ihre Erkrankung, die Behandlung und die verordneten Medikamente vermerkt. Die Datenschutzbehörde sah darin einen Verstoß gegen Rechtmäßigkeit und Datenminimierung und verhängte gegen das Feuerwehr-Hauptquartier mit Entscheidung 1/2026 eine Geldbuße von 10.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNIL hatte 2023 wegen der Echtzeit-Überwachung von Lagerbeschäftigten per Scanner-Kennzahlen 32 Mio. Euro verhängt. Der Conseil d'État hielt drei Kennzahlen („Stow Machine Gun“, „Idle Time“, „Latency“) für durch berechtigtes Interesse gedeckt, bestätigte aber die 31-tägige Speicherung aller Kennzahlen, Informationsmängel und Sicherheitslücken bei der Videoüberwachung und setzte die Buße auf 15 Mio. Euro herab.

Behörde / Gericht

Conseil d'État

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. c, Art. 12, 13, 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Transport, Logistik und Schifffahrt

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Saatgutunternehmen ließ auf Vorgabe einer Konzerngesellschaft mit Sitz in der Schweiz Telematikgeräte in Dienstwagen einbauen, die auch private Fahrten erfassten und Beschäftigten Punktwerte für ihr Fahrverhalten zuwiesen. Die Aufsicht sah Verstöße gegen Transparenz, Zweckbindung, Datenminimierung und Arbeitnehmerschutzregeln, verhängte 120.000 EUR und ordnete die Löschung der Daten zu Privatfahrten an.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a-c, 6 Abs. 1 lit. f, 13, 28, 88; Codice privacy Art. 2-quaterdecies, 113, 114

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Lebensmittel und Landwirtschaft

Mildernde Umstände

Geringe Zahl Betroffener (fünf Beschäftigte), sofortige Aussetzung der Verarbeitung.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Gemeinde hatte personenbezogene Daten einer früheren beschäftigten Person verarbeitet, die im Internet offengelegt wurden; der Information Regulator wertete dies als schweren Eingriff in die Privatsphäre und erließ eine Enforcement Notice. Weil die Gemeinde die Abhilfeanordnungen nicht umsetzte, folgte eine Geldbuße von 500.000 ZAR; da sie nicht zahlte, hat der Regulator die Beitreibung gerichtlich eingeleitet.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice und Infringement Notice

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

13.11.2025

Originalbetrag 500.000 ZAR, umgerechnet zum EZB-Referenzkurs vom 13.11.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Daten von Beschäftigten von McDonald’s und seinen Franchisenehmern aus dem Dienstplanmodul (u. a. Namen, PESEL- oder Passnummern, Arbeitszeiten, Positionen) lagen in einem öffentlich zugänglichen Verzeichnis. Die UODO stellte fest, dass McDonald’s Polska keine Risikoanalyse vorgenommen, keine geeigneten Sicherungen umgesetzt und den Auftragsverarbeiter nicht wirksam kontrolliert hatte, und verhängte Geldbußen von 1.632.063, 13.600.528 und 1.700.066 PLN (zusammen 16.932.657 PLN) sowie eine Verwarnung; der Auftragsverarbeiter 24/7 Communication erhielt 94.286, 42.429 und 47.143 PLN (183.858 PLN), insgesamt 17.116.515 PLN. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. c und f, Art. 5 Abs. 2, Art. 25 Abs. 1, Art. 28 Abs. 1, Art. 32 Abs. 1 und 2, Art. 38 Abs. 1 DSGVO sowie Art. 34 Abs. 1 und 3 lit. c DSGVO (Verwarnung) (Verantwortlicher); Art. 28 Abs. 3 lit. c, Abs. 4 und 9, Art. 32 Abs. 1 und 2, Art. 38 Abs. 1 DSGVO (Auftragsverarbeiter)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Lebensmittel und Landwirtschaft

Veröffentlicht

21.07.2025

Originalbetrag 17.116.515 PLN, umgerechnet zum EZB-Referenzkurs vom 23.06.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Schifffahrtsgesellschaft verarbeitete Ergebnisse der Atemalkoholkontrollen an Bord, die einem als Kapitän beschäftigten Beschwerdeführer zugeordnet werden konnten. Die IMY sah darin eine Verarbeitung ohne Rechtsgrundlage und eine unzulässige Verarbeitung von Gesundheitsdaten und verhängte 75.000 SEK.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

DSGVO Art. 6, Art. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Veröffentlicht

18.06.2025

Originalbetrag 75.000 SEK, umgerechnet zum EZB-Referenzkurs vom 18.06.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Großhändler für Rohre und Armaturen hatte 2023 in allen Lieferfahrzeugen ein Kamerasystem installiert, das auch die Fahrerkabine vom Motorstart bis 20 Minuten nach dem Abstellen filmt und per künstlicher Intelligenz Ereignisse wie Handynutzung, fehlenden Gurt oder Rauchen erkennt. Die Commission d'accès à l'information sah die Notwendigkeit der Erhebung nicht belegt, weil der Eingriff in die Privatsphäre der Fahrer nicht ausreichend minimiert war, und ordnete an, Innenaufnahmen auf wenige Sekunden vor und nach einem Vorfall zu begrenzen oder einzustellen, nach dem Abstellen des Motors nicht mehr zu filmen und darüber hinausgehende Aufnahmen zu vernichten.

Behörde / Gericht

Commission d'accès à l'information du Québec (CAI), section de surveillance

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), Art. 5 (Notwendigkeit der Erhebung) und Art. 83

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Ein Bote des Versicherers stellte die Kündigung eines Mitarbeiters unverschlossen im Elternhaus zu und ließ sie, als der Vater die Annahme verweigerte, dort liegen, sodass Dritte den Inhalt lesen konnten. Die Kommissarin rügte Verstöße gegen Rechtmäßigkeit, Vertraulichkeit und Rechenschaftspflicht und ordnete an, das Zustellverfahren für Kündigungen binnen eines Monats zu überarbeiten.

Behörde / Gericht

Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Commissioner for Personal Data Protection)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und f, Art. 6, Art. 24 Abs. 1 DSGVO

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Lieferplattform verarbeitete Daten von über 35.000 Fahrern unrechtmäßig: Gesichtserkennung zur Identitätsprüfung, Standortortung auch außerhalb der Arbeitszeit und automatisierte Bewertungen ohne menschliche Überprüfung. Foodinho war bereits 2021 mit 2,6 Mio. Euro sanktioniert worden; neben 5 Mio. Euro verbot die Garante die biometrische Verarbeitung.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

DSGVO (u. a. Transparenz, biometrische Daten, automatisierte Entscheidungen)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Wiederholungsfall

ja

Veröffentlicht

22.11.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Im Dezember 2022 drang ein Angreifer mit gestohlenen Zugangsdaten eines Beschäftigten in die Systeme des Kinobetreibers National Amusements ein, weil die Multi-Faktor-Authentifizierung nicht für alle Zugangswege erzwungen wurde; betroffen waren Daten wie Sozialversicherungs-, Pass- und Kontonummern von 82.128 Personen, nach Angaben des Unternehmens aktuellen und ehemaligen Beschäftigten und Auftragnehmern, davon 23.365 in New York, wobei ein Teil der Sozialversicherungsnummern unverschlüsselt gespeichert war. Die Betroffenen wurden erst am 18. Dezember 2023 und damit über ein Jahr nach dem Vorfall benachrichtigt. Nach der Einstellungsvereinbarung mit der New Yorker Generalstaatsanwaltschaft zahlt das Unternehmen 250.000 USD und muss unter anderem Verschlüsselung, Passwortregeln, Schwachstellentests und einen Notfallplan für Sicherheitsvorfälle einführen. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

Office of the New York State Attorney General (Bureau of Internet & Technology)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

New York Executive Law § 63(12); New York General Business Law § 899-aa (Benachrichtigung bei Datenpannen) und § 899-bb (SHIELD Act, Datensicherheit)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Sonstige

Veröffentlicht

15.11.2024

Originalbetrag 250.000 USD, umgerechnet zum EZB-Referenzkurs vom 13.11.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die Druckerei hatte 2020 in der Pandemie ein Zutrittssystem mit Gesichtserkennung und Temperaturmessung für ihre Beschäftigten eingeführt und die Gesichtserkennung weiter genutzt, nachdem die Temperaturmessung im Oktober 2022 eingestellt worden war. Die Commission d'accès à l'information befand, das Unternehmen habe nicht nachgewiesen, dass die Erhebung der biometrischen Daten für die Zutrittskontrolle notwendig ist, und ordnete an, binnen 90 Tagen die Erhebung und die Nutzung der Gesichtserkennung zu beenden und die erzeugten biometrischen Vorlagen zu vernichten.

Behörde / Gericht

Commission d'accès à l'information du Québec (CAI), section de surveillance

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), Art. 4 (Notwendigkeit der Erhebung) und Art. 83

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Industrie und Maschinenbau

Gegen die amtliche Quelle geprüft am 03.10.2026 · Unternehmensname anonymisiert seit 04.09.2026 · Direktlink

Die Präsidentin der CNIL erteilte einem französischen Energiekonzern nach Beschwerden von drei Beschäftigten eine Rüge (rappel à ses obligations légales nach Art. 20 III Loi Informatique et Libertés). Die Beschäftigten waren von einer internen Untersuchung nach Meldungen betroffen; das Unternehmen hatte ihren Widerspruch gegen die Datenverarbeitung ohne tragfähige Begründung abgelehnt, sie unvollständig informiert, Auskunftsersuchen verweigert und eine Anfrage verspätet beantwortet. Der Conseil d'État bestätigte am 1. Dezember 2025, dass die Verarbeitung auf berechtigtem Interesse und nicht auf einer gesetzlichen Pflicht beruhte, das Widerspruchsrecht also galt, und dass Auskunft notfalls mit Schwärzungen zum Schutz Dritter zu erteilen war.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), présidente

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 20 III Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés); Art. 6 Abs. 1 lit. c und f, 12, 15 und 21 DSGVO

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Energie und Versorgung

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 19.07.2026 · Direktlink

Über ein kompromittiertes Nutzerkonto verschaffte sich ein Angreifer zwischen Dezember 2022 und Januar 2023 per Remote Desktop Zugang zu Servern des Lohnabrechnungsdienstleisters und leitete Daten aus; auf einer Leak-Seite erschienen Daten von Beschäftigten eines Kunden, darunter Name, Ausweisnummer, Bankkonto und Gehalt. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil die sensiblen Daten auf ungesicherten internen Laufwerken lagen, Beschäftigte lokale Administratorrechte hatten und keine Mehr-Faktor-Authentifizierung bestand. Wegen der Rolle als Lohnabrechner und der Art der Daten hielt sie eine Geldbuße für angemessen und setzte 4.000 SGD fest.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

22.04.2024

Originalbetrag 4.000 SGD, umgerechnet zum EZB-Referenzkurs vom 22.04.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 22.04.2026 · Direktlink