Wer wurde wofür sanktioniert?

Bei einer Schwerpunktprüfung zu Cookies auf Unternehmenswebsites beanstandete die DVI die Seite 4mebeles.lv. Nach einer Verwarnung im Februar 2026 behauptete die Firma, die Mängel seien behoben, was eine erneute Prüfung widerlegte; weitere Auskunftsersuchen blieben unbeantwortet. Die DVI verhängte wegen Nichtkooperation 1.000 Euro und forderte die fehlenden Informationen bis 3. August 2026 an.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Wiederholungsfall

ja

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Monash IVF erhob über Tracking-Pixel von Drittanbietern auf seiner Website für Kinderwunschbehandlungen sensible Informationen von Besucherinnen und Besuchern. Die Privacy Commissioner entschied, dass das Verfolgen von Besuchern gesundheitsbezogener Websites mit anschließender gezielter Werbung in sozialen Netzwerken eine Erhebung sensibler Daten ist, die eine Einwilligung erfordert, und stellte Verstöße gegen APP 3.3, 5.1, 5.2 und 7.1 fest. Monash IVF darf das Vorgehen nicht fortsetzen oder wiederholen und muss festgelegte Abhilfeschritte umsetzen; am selben Tag erging eine gleichgerichtete Entscheidung gegen den Telemedizinanbieter Medmate Australia.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Privacy Act 1988 (Cth), APP 3.3, 5.1, 5.2, 7.1

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

24.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Disney setzte Widersprüche gegen Verkauf und Weitergabe von Daten nur für einzelne Dienste oder Geräte um statt kontoweit, gab über eingebettete Ad-Tech-Anbieter weiter Daten heraus und bot in Connected-TV-Apps keinen Opt-out. Größter CCPA-Vergleich zum Zeitpunkt der Einigung.

Behörde / Gericht

Attorney General of California (California Department of Justice)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

California Consumer Privacy Act (CCPA)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

11.02.2026

Originalbetrag 2.750.000 USD, umgerechnet zum EZB-Referenzkurs vom 11.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Beim Aufruf der Website wurden acht nicht ausgenommene Cookies ohne Nutzeraktion gesetzt; nach „Alle ablehnen“ landeten beim Wechsel auf eine verbundene Domain dennoch drei Marketing-Cookies, und nach Widerruf der Einwilligung wurden Cookies weiter ausgelesen. Die CNIL verhängte dafür 1,5 Mio. EUR und verzichtete wegen der Nachbesserung im Verfahren auf eine Anordnung; einen Verstoß gegen die Datenminimierung bei der Aufzeichnung von Kundengesprächen stellte sie fest, sanktionierte ihn aber nicht.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 82 Loi Informatique et Libertés (Geldbuße); Verstoß gegen Art. 5 Abs. 1 lit. c DSGVO (Gesprächsaufzeichnungen) festgestellt, aber nicht sanktioniert

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Mildernde Umstände

Korrekturen während des Verfahrens, Kooperation.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Auf vanityfair.fr wurden einwilligungspflichtige Cookies schon vor jeder Interaktion mit dem Banner gesetzt, Tracker als „unbedingt erforderlich“ ausgewiesen und auch nach „Alle ablehnen“ weiter Cookies platziert. Der Verlag war nach einer Beschwerde von noyb bereits 2021 abgemahnt worden; Nachkontrollen 2023 und 2025 zeigten fortbestehende Verstöße.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 82 Loi Informatique et Libertés

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Wiederholungsfall

ja

Veröffentlicht

27.11.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Texas hatte Google wegen unrechtmäßiger Erfassung von Standortdaten, Aktivitäten im Inkognito-Modus und biometrischen Merkmalen verklagt. Google unterzeichnete einen Vergleich über 1,375 Mrd. $, der zwei Verfahren abschließt.

Behörde / Gericht

Office of the Attorney General of Texas

Rechtsgebiet

Datenschutz · Cookies und Tracking

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

31.10.2025

Originalbetrag 1.375.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nutzer wurden bei der Erstellung eines Google-Kontos nicht ausreichend darüber informiert, dass dabei zwingend Werbe-Cookies gesetzt werden; zudem zeigte Google in Gmail zwischen den E-Mails Werbeanzeigen ohne vorherige Einwilligung. Die CNIL verhängte 200 Mio. EUR gegen Google LLC und 125 Mio. EUR gegen Google Ireland und ordnete Abhilfe binnen sechs Monaten unter Androhung von 100.000 EUR Zwangsgeld pro Tag an.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 82 Loi Informatique et Libertés; Art. L. 34-5 Code des postes et des communications électroniques

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Auf shein.com wurden bereits beim Aufruf Werbe-Cookies ohne Einwilligung gesetzt; neben einem unvollständigen Cookie-Banner gab es ein Werbe-Pop-up ohne Ablehnungsmöglichkeit. Nach Klick auf „Alle ablehnen“ bzw. nach Widerruf der Einwilligung wurden Cookies weiter gelesen. Die CNIL verhängte 150 Mio. EUR.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 82 Loi Informatique et Libertés (Umsetzung von Art. 5 Abs. 3 ePrivacy-Richtlinie)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die DSB hatte einem lokalen Nachrichtenportal (Medien-GmbH & Co KG, Name pseudonymisiert) 2023 per Bescheid aufgetragen, auf der ersten Ebene des Cookie-Banners eine gleichwertige Option zum Schließen ohne Einwilligung anzubieten. Weil das Unternehmen dies von Oktober 2024 bis mindestens März 2025 nicht umsetzte, verhängte die DSB 6.200 Euro wegen Nichtbefolgung einer Anweisung; das Straferkenntnis ist rechtskräftig.

Behörde / Gericht

Datenschutzbehörde (DSB)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 58 Abs. 2 lit. d i. V. m. Art. 83 Abs. 6 DSGVO; Art. 7 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Gesundheitsportal gab trotz Widerspruchs weiter Daten an Werbepartner und übermittelte Artikeltitel, die auf Diagnosen schließen lassen, für zielgerichtete Werbung; das Consent-Banner stoppte das Tracking nicht. Zudem fehlten vorgeschriebene Vertragsklauseln mit Werbepartnern.

Behörde / Gericht

Attorney General of California (California Department of Justice)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

California Consumer Privacy Act (CCPA), Unfair Competition Law

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Veröffentlicht

01.07.2025

Originalbetrag 1.550.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.07.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Unternehmen hinter der Drogeriekette Kruidvat verfolgte Besucher von Kruidvat.nl ohne Wissen und Einwilligung mit Tracking-Cookies und konnte so Profile aus Standort, besuchten Seiten, Warenkorb und Käufen bilden. Die AP hatte 2024 600.000 Euro verhängt, gab dem Einspruch im Mai 2025 statt und setzte die Buße auf 50.000 Euro herab.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 6 Abs. 1 i. V. m. Art. 5 Abs. 1 lit. a DSGVO (Tracking-Cookies ohne Einwilligung)

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Handel und E-Commerce

Veröffentlicht

12.06.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Online-Apotheke übermittelte 2018–2022 über Google- und Meta-Tracking Daten aus dem Einkauf, auch zu verschreibungspflichtigen Medikamenten, an die Tracking-Anbieter. Die Behörde verhängte 1,1 Mio. EUR und eine Verwarnung; das Verwaltungsgericht Helsinki bestätigte am 01.06.2026 den Verstoß, hob aber das Bußgeld auf, weil unklar sei, ob der Universitätsapotheke überhaupt ein Bußgeld auferlegt werden darf (nicht rechtskräftig).

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio; Helsingin hallinto-oikeus

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

DSGVO Art. 9, Art. 25, Art. 32

Maßnahme

Bußgeld

Verfahrensstand

aufgehoben

Branche

Gesundheitswesen

Veröffentlicht

04.06.2025

Betrag in EUR; für diese Währung liegt kein EZB-Referenzkurs vor.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das falsch konfigurierte Datenschutzportal des Modehändlers verarbeitete 40 Tage lang keine Widersprüche gegen Verkauf und Weitergabe personenbezogener Daten; zudem verlangte das Unternehmen zu viele Daten und eine Identitätsprüfung vor dem Opt-out. Die CPPA verhängte 345.178 USD, verlangte eine korrekte Konfiguration der Einwilligungsverwaltung und Schulungen der Beschäftigten.

Behörde / Gericht

California Privacy Protection Agency (CPPA), Board

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

California Consumer Privacy Act (CCPA)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Originalbetrag 345.178 USD, umgerechnet zum EZB-Referenzkurs vom 06.05.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Auf eine Beschwerde hin – eine von mehreren bei europäischen Datenschutzbehörden eingereichten Beschwerden zu Cookie-Bannern – stellte die IMY fest, dass der Wettanbieter den Widerruf der Einwilligung nicht so einfach machte wie ihre Erteilung und durch irreführende Gestaltung des Banners (Farbwahl, Kontrast, Ablehnen nur als Link) eine informierte, freiwillige Einwilligung erschwerte. Die IMY sprach eine Verwarnung (Reprimand) aus; ATG hatte das Banner inzwischen geändert.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

DSGVO Art. 6, Art. 7 Abs. 3

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber einem britischen Anbieter von Online-Sportwetten und Glücksspiel (Teil eines internationalen Glücksspielkonzerns) eine Verwarnung aus. Nach den Feststellungen der ICO setzte die Website des Anbieters zwischen Januar und März 2023 beim Aufruf Werbe-Cookies von Drittanbietern und verarbeitete so personenbezogene Daten der Besucher, bevor diese eingewilligt hatten. Die ICO sah darin eine Verarbeitung ohne Rechtsgrundlage und ohne wirksame Einwilligung.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 5(1)(a), 6(1)(a) und 7(1) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 02.09.2026 · Direktlink

Die FTC hat ihre endgültige Anordnung gegen einen britischen Softwarehersteller, dessen tschechische Tochter und die frühere Datentochter des Herstellers erlassen. Nach dem Vorwurf der Behörde sammelte der Hersteller über Browsererweiterungen und Virenschutzsoftware detaillierte Browsingdaten, speicherte sie unbegrenzt und verkaufte sie über die Datentochter ohne ausreichende Information und Einwilligung an mehr als 100 Dritte, obwohl die Produkte mit dem Schutz vor Online-Tracking beworben wurden. Der Hersteller muss 16.500.000 USD zur Entschädigung von Verbrauchern zahlen, darf Browsingdaten nicht mehr für Werbezwecke verkaufen oder lizenzieren, muss die an die Datentochter übertragenen Daten samt daraus abgeleiteter Produkte und Algorithmen löschen und ein Datenschutzprogramm einrichten.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)

Maßnahme

Gewinnabschöpfung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

27.06.2024

Originalbetrag 16.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 26.06.2024.

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 26.06.2026 · Direktlink

Die CNIL verhängte gegen einen irischen Internetdienstleister eine Geldbuße von 10.000.000 EUR nach Art. 82 Loi Informatique et Libertés, weil beim Aufruf seines Webportals mindestens 20 Werbe-Cookies ohne vorherige Einwilligung gesetzt wurden und Nutzer, die ihre Cookie-Einwilligung zurücknehmen wollten, mit dem Hinweis auf den Verlust des Zugangs zu seinem E-Mail-Dienst davon abgehalten wurden. Anlass waren 27 Beschwerden aus den Jahren 2019 und 2020; der Conseil d'État wies die Klage des Unternehmens am 7. Oktober 2025 ab.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 82 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Verschulden

fahrlässig

Veröffentlicht

18.01.2024

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 29.12.2025 · Direktlink

Die CNIL verhängte gegen einen französischen Anbieter zielgerichteter Online-Werbung eine Geldbuße von 40.000.000 EUR, weil er für sein Retargeting über Cookies nicht nachweisen konnte, dass die Nutzer auf den Partner-Websites eingewilligt hatten, Betroffene unzureichend informierte, Auskunfts-, Widerrufs- und Löschrechte nicht vollständig umsetzte und die Vereinbarung mit Partnern als gemeinsam Verantwortliche lückenhaft war (Art. 7, 12, 13, 15, 17 und 26 DSGVO). Der Conseil d'État wies die Klage am 4. März 2026 ab.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 7, 12, 13, 15, 17 und 26 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Beschäftigte

1.000 bis 9.999

Veröffentlicht

22.06.2023

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 15.06.2025 · Direktlink

Die DVI hatte dem Händler bei einer präventiven Prüfung Mängel beim Cookie-Einsatz auf seiner Website aufgezeigt und 2022 mehrfach Fristen zur Behebung gesetzt; das Unternehmen bat um Aufschub, beseitigte die Mängel aber nicht und beantwortete die Anfragen nicht in der Sache. Am 26. Januar 2023 verhängte die DVI 20.000 Euro (Art. 83 Abs. 5 lit. a, b, e DSGVO); die Direktorin wies den Widerspruch am 7. März 2023 zurück und bejahte Vorsatz.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 83 Abs. 5 lit. a, b und e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

vorsätzlich

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.03.2025 · Direktlink

Die CNIL verhängte gegen ein Technologieunternehmen eine Geldbuße von 8.000.000 EUR nach Art. 82 Loi Informatique et Libertés, weil auf den Smartphones des Unternehmens zur Personalisierung von Werbung in seinem App-Marktplatz Kennungen auf dem Gerät gespeichert und ausgelesen wurden, ohne vorher die Einwilligung der Nutzer einzuholen. Der Conseil d'État wies die Klage am 15. Oktober 2025 ab; dass die Werbesegmente erst auf den Servern des Unternehmens gebildet werden, ändere nichts an der Einwilligungspflicht für den Zugriff auf das Endgerät.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Art. 82 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

05.01.2023

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 29.12.2024 · Direktlink