Wer wurde wofür sanktioniert?

Datatilsynet verhängte gegen den Online-Händler für Nahrungsergänzungsmittel Lab Pharma AS ein Bußgeld von 205.000 NOK wegen Verletzung der Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde (Art. 31 DSGVO): Das Unternehmen hatte Sachbearbeitende mit Strafanzeigen und Klagen bedroht, um die Prüfung einer Beschwerde zu beenden, und angeforderte Unterlagen verspätet eingereicht. Zugleich ordnete die Behörde an, Namen und Bilder einer früheren Werbepartnerin (Influencerin) von allen Websites des Unternehmens zu löschen und ihre Daten bis zum Nachweis einer Rechtsgrundlage nicht mehr für Marketing zu verwenden, weil der zugrunde liegende Vertrag bereits im März 2017 ausgelaufen war.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 31, Art. 58 Abs. 2 lit. f, g und i, Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Haftung von Führungskräften

Datatilsynet rechnete das vorsätzliche Handeln der Unternehmensleitung dem Unternehmen zu.

Veröffentlicht

17.08.2026

Originalbetrag 205.000 NOK, umgerechnet zum EZB-Referenzkurs vom 12.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die CNIL verhängte gegen das IT- und Ingenieurberatungsunternehmen EXTIA eine Geldbuße von 300.000 EUR, weil von 265 im Jahr 2024 eingegangenen Löschanträgen – überwiegend von Bewerbern, vereinzelt von ehemaligen Beschäftigten – 12 gar nicht bearbeitet und 166 Antragsteller nicht über das Ergebnis informiert wurden; 27 erhielten die Antwort erst nach Ablauf der Monatsfrist. Die CNIL wertete dies als besonders fahrlässig, zumal das Unternehmen 2024 bereits zweimal von der CNIL auf seine Pflichten hingewiesen worden war (Art. 12 und 17 DSGVO).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12 und 17 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Im Verfahren löschte das Unternehmen die betroffenen Daten und informierte die Antragsteller nachträglich.

Veröffentlicht

09.09.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Der Garante verhängte gegen die US-Betreiberin des generativen KI-Dienstes Character.AI, auf dem Nutzer – auch Minderjährige – mit virtuellen Figuren chatten, eine Geldbuße von 158.000 EUR, unter anderem wegen mangelhafter Datenschutzinformationen, einer verspätet erstellten Datenschutz-Folgenabschätzung und der verspäteten Benennung eines Vertreters in der EU. Beanstandet wurden auch Schwächen beim Schutz Minderjähriger und bei der Altersprüfung; binnen 120 Tagen muss das Unternehmen eine funktionierende Altersverifikation, eine wirksame Sperrfrist gegen erneute Registrierung gesperrter Minderjähriger und standardmäßig private Profile für Minderjährige sicherstellen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 2, 12 Abs. 1, 13 Abs. 1 und 2, 14 Abs. 1 und 2, 24 Abs. 1, 25 Abs. 2, 27 Abs. 1 und 35 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Mildernd: schrittweise verstärkte Altersprüfung (eigener Dienst für Minderjährige, Altersverifikation durch einen Drittanbieter), keine früheren einschlägigen Verstöße, Kooperation und Änderungen der Datenschutzerklärung während des Verfahrens.

Veröffentlicht

09.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Nach knapp vier Jahren Rechtsstreit hat das Bundesbezirksgericht für Idaho eine zwischen der FTC und dem Datenhändler Kochava vereinbarte Anordnung erlassen. Die FTC hatte Kochava vorgeworfen, präzise Standortdaten von Hunderten Millionen Mobilgeräten ohne Wissen und Einwilligung der Betroffenen verkauft zu haben, aus denen sich etwa Besuche bei Gesundheitseinrichtungen und Gotteshäusern ablesen ließen. Kochava und die Tochter Collective Data Solutions, die das Datenhandelsgeschäft übernommen hat, dürfen sensible Standortdaten nur noch mit ausdrücklicher Einwilligung und für vom Verbraucher angeforderte Dienste weitergeben und müssen unter anderem ein Programm für sensible Orte, Prüfungen ihrer Datenlieferanten, Auskünfte über Empfänger und Löschfristen einführen; eine Geldzahlung ist nicht vorgesehen. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. District Court for the District of Idaho auf Klage der Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Section 5 FTC Act, 15 U.S.C. § 45 (unlautere Praktiken); Verfahren nach Section 13(b), 15 U.S.C. § 53(b)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

26.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Das Inkassounternehmen stellte Personendaten mutmaßlicher Schuldner, teils besonders schützenswerte, ins Internet, um Hinweise auf ihren Aufenthalt zu erhalten und Dritte zu warnen. Das Bundesverwaltungsgericht bestätigte die Verfügung des EDÖB, wonach dies eine ungerechtfertigte Persönlichkeitsverletzung ist.

Behörde / Gericht

Bundesverwaltungsgericht (A-3891/2025) auf Verfügung des EDÖB vom 28.04.2025

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSG Art. 6, Art. 19, Art. 31

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

20.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Onlinehändler hatte keine Speicherfrist für Kundenkonten festgelegt und Daten bis zu einem Löschantrag der Kunden behalten; Einkäufe waren nur mit Konto möglich. Das Sanktionsgremium verhängte 2024 856.000 Euro, das Verwaltungsgericht setzte die Buße nach aktuellem Umsatz auf 792.639 Euro herab, und der Oberste Verwaltungsgerichtshof bestätigte dies am 12.06.2026.

Behörde / Gericht

Korkein hallinto-oikeus (KHO); Sanktionsgremium des Datenschutzbeauftragten

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Handel und E-Commerce

Veröffentlicht

18.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Durch Fehler eines Auftragsverarbeiters des Stromanbieters wurden falsche Angaben zu einem Lastschriftmandat erfasst, sodass drei statt einer Rechnung vom Konto des Kunden abgebucht wurden; Gesprächsaufzeichnungen und Mandatsformular waren nicht aufbewahrt. ZENITH beantwortete das Auskunftsersuchen unzureichend und korrigierte die Daten nicht (100.000 Euro), die Piraeus Bank verletzte das Auskunftsrecht (10.000 Euro und Rüge); Entscheidung Nr. 8/2026.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic DPA)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. d, Art. 12 Abs. 3, Art. 15, Art. 28 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNIL verhängte gegen IQVIA Operations France eine Geldbuße von 5.000.000 EUR, weil die Gesellschaft bei zwei von der CNIL genehmigten Gesundheitsdatenlagern (Daten aus rund 14.000 Apotheken und mehreren Tausend Arztpraxen) die Auflagen der Genehmigungen nicht einhielt, u. a. bei Protokollauswertung, Mehrfaktor-Authentifizierung, Patienteninformation und Widerspruchsrecht. Zudem wurden Apothekenkunden nicht über die Weitergabe ihrer Daten informiert, eigene Studien ohne die erforderliche Genehmigung durchgeführt und über die Apothekensoftware Daten auch nach einer Ablehnung übermittelt (Art. 25 DSGVO). Die CNIL wertete die Daten als pseudonym, nicht anonym, und ordnete Abhilfe binnen sechs Monaten unter einem Zwangsgeld von 10.000 EUR je Tag an.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 66 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés); Art. 14 und 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Die Sicherheitsmängel wurden nach den Kontrollen behoben.

Veröffentlicht

28.05.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Der wallonische Wasserversorger zeichnete Kundengespräche zur Qualitätskontrolle und Schulung auf und hörte sie mit; die Kammer stellte Verstöße gegen Transparenz und Fairness sowie bei der Einbindung eines Unterauftragsverarbeiters fest. Sie verhängte zwei Bußgelder von zusammen 86.000 EUR (85.000 + 1.000), nachdem sie die Beträge wegen der Lage des öffentlichen Versorgers gesenkt hatte; gegen die Entscheidung wurde Rechtsmittel beim Marktgericht eingelegt.

Behörde / Gericht

Autorité de protection des données (APD/GBA) – Chambre Contentieuse

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 12 Abs. 1, Art. 13, Art. 28 Abs. 3

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Energie und Versorgung

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Datenschutzbeauftragte stellte fest, dass die Mietbewerbungsplattform 2Apply von März 2020 bis März 2025 mehr personenbezogene Daten erhob als erforderlich, etwa Geschlecht, Studierendenstatus, Staatsbürgerschaft, Visumsablauf und frühere Wohnverhältnisse, und dabei durch Gestaltungsmittel wie „Confirmshaming“, einseitige Darstellung und gebündelte Einwilligungen unfair vorging. Die Entscheidung verpflichtet IRE, diese Datenerhebung binnen 60 Tagen einzustellen, eine unabhängige Prüfung zu beauftragen und der OAIC binnen zwölf Monaten über die Umsetzung der Empfehlungen zu berichten.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

APP 3.2 und APP 3.5 (Privacy Act 1988 (Cth)); Feststellungen nach s 52(1A)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

IRE passte seine Erhebungspraxis während der Untersuchung an, ohne eine Rechtsverletzung anzuerkennen.

Veröffentlicht

22.04.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Eine Person beschwerte sich, dass Fitsypro auf ihr Auskunfts-, Berichtigungs- und Löschersuchen vom November 2023 nicht reagiert habe. Drei Informationsanforderungen der DVI zwischen 2024 und 2026 blieben unbeantwortet, zu Verhandlung erschien niemand. Die DVI verhängte 1.500 Euro und forderte die Informationen bis 21. April 2026 an.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 58 Abs. 1 lit. e, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

vorsätzlich

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Hausarzt, der den Beschwerdeführer seit Januar 2023 nicht mehr betreute, rief bis August 2024 über seine Praxissoftware insgesamt 47-mal dessen Gesundheitsdaten (Befunde, Rezepte) in der nationalen E-Gesundheitsplattform EESZT ab und beantwortete einen Auskunftsantrag nicht. Die NAIH stellte Verstöße gegen Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2 und 15 Abs. 1 DSGVO fest, ordnete die Erfüllung des Auskunftsantrags an und verhängte 500.000 HUF.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2, 15 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

20.03.2026

Originalbetrag 500.000 HUF, umgerechnet zum EZB-Referenzkurs vom 20.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Während einer Boykottwelle 2024 bearbeitete Loblaw Löschanträge nicht rechtzeitig und bewahrte Kauf- und Nutzungsdaten des Treueprogramms (über 17 Mio. Mitglieder) auch nach Kontoschließung auf, ohne eine wirksame Anonymisierung nachzuweisen. Loblaw sagte eine unabhängige Prüfung der Anonymisierung und jährliche Löschungen zu.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

PIPEDA

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Veröffentlicht

05.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Reinigungsunternehmen reagierte trotz mehrfacher Nachfragen der Gewerkschaft nicht auf das Auskunftsersuchen eines Gewerkschaftsmitglieds und befolgte auch die Anordnung der Datatilsynet nicht, über das Ersuchen zu entscheiden. Datatilsynet zeigte das Unternehmen an; der Fall wurde am 02.03.2026 mit einem Bußgeldbescheid über 60.000 DKK abgeschlossen.

Behörde / Gericht

Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15; Nichtbefolgung einer Anordnung der Datatilsynet; databeskyttelsesloven

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Sonstige

Originalbetrag 60.000 DKK, umgerechnet zum EZB-Referenzkurs vom 02.03.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach sechs Beschwerden stellte die Behörde fest, dass das Unternehmen Kunden, die Aufzeichnungen ihrer Verkaufsgespräche zur Reklamation von Rechnungen verlangten, keine Kopie herausgab, sondern nur ein Anhören über den Kundendienst anbot und Aufzeichnungen teils löschte. Neben einer Verwarnung wurde ein Bußgeld von 5.000 EUR verhängt.

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15 Abs. 1 und 3

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO sprach gegenüber der City of London Police eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizeibehörde zwischen 1. April 2023 und 31. Juli 2025 Auskunftsersuchen betroffener Personen (subject access requests) nicht innerhalb der gesetzlichen Frist beantwortet. Die ICO sah darin Verstöße gegen Art. 12(3) UK GDPR und section 45(3) DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) UK GDPR; section 45(3) DPA 2018; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Lieferplattform verlangte seit 2019 bei Betrugsverdacht Scans oder Fotos von Personalausweisen und Pässen ihrer Nutzer und berief sich auf berechtigte Interessen. Die Datenschutzbehörde sah darin eine Verarbeitung ohne Rechtsgrundlage und einen Verstoß gegen Datenminimierung, verhängte 5.898.064 PLN und ordnete Stopp und Löschung an.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c, Art. 5 Abs. 2, Art. 6 Abs. 1 DSGVO (DKN.5112.33.2022)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Veröffentlicht

16.03.2026

Originalbetrag 5.898.064 PLN, umgerechnet zum EZB-Referenzkurs vom 19.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine Immobilienagentur (Name nicht veröffentlicht) bewahrte 11.887 Maklerverträge aus 2010 bis 2019 samt 914 Kopien von Ausweisen, Pässen und Bankkarten ohne Rechtsgrundlage auf, obwohl der Geschäftsführer angab, keine Kartenkopien zu erheben. Die AZOP rügte zudem unregelmäßige und unzureichende Datenschutzschulungen der Beschäftigten und verhängte 100.000 Euro (Veröffentlichungsdatum, genaues Bescheiddatum nicht angegeben).

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. c und e, Art. 6 Abs. 1, Art. 32 Abs. 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Verschulden

fahrlässig

Mildernde Umstände

Kein Schaden für Betroffene festgestellt.

Veröffentlicht

19.02.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Agentur führte für Kundenunternehmen telefonische Vorauswahlgespräche mit Bewerbenden, zeichnete sie ohne wirksame Einwilligung auf, speicherte sie unbefristet und gab sich dabei als das Kundenunternehmen aus. Die DSB verhängte 25.500 EUR (plus 2.550 EUR Kosten) wegen fehlender Rechtsgrundlage und Transparenz; das Unternehmen hat gegen die Strafhöhe Beschwerde beim Bundesverwaltungsgericht erhoben.

Behörde / Gericht

Datenschutzbehörde

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, c und e, Art. 6 Abs. 1, Art. 12, 13

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Sonstige

Beschäftigte

Unter 50

Mildernde Umstände

Keine einschlägigen Vorverstöße, Mitwirkung am Verfahren; Anpassung des Ausgangsbetrags an die geringe Unternehmensgröße.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Datatilsynet verhängte gegen den Anbieter von Zeiterfassungssystemen Timegrip AS ein Bußgeld von 250.000 NOK, weil das Unternehmen nach der Insolvenz einer Einzelhandelskette 80 früheren Beschäftigten die Auskunft über ihre Stempeldaten verweigerte, die sie zum Nachweis ihrer Lohnforderungen brauchten. Die Behörde stufte Timegrip als Verantwortlichen ein, weil das Unternehmen nach der Insolvenz faktisch allein über Speicherung, Nutzung und Zugang entschied, und sah einen Verstoß gegen das Auskunftsrecht nach Art. 15 Abs. 1 und 3 DSGVO. Angekündigt waren 750.000 NOK; die Behörde berücksichtigte u. a. die unübersichtliche Lage und die eigene lange Verfahrensdauer.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 15 Abs. 1 und 3, Art. 58 Abs. 2 lit. i, Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Mildernde Umstände

Unübersichtliche Lage nach der Insolvenz des Kunden (nur begrenzt gewichtet) und lange Verfahrensdauer bei Datatilsynet; angekündigt waren 750.000 NOK.

Veröffentlicht

20.01.2026

Originalbetrag 250.000 NOK, umgerechnet zum EZB-Referenzkurs vom 16.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink