Wer wurde wofür sanktioniert?

Die Amsterdamer Ridetech bot die Fahrdienst-App Yango in Finnland und Norwegen an und übermittelte Daten von Fahrern und Kunden an die Konzerngesellschaften Yandex.Taxi LLC und Yandex LLC in Russland, ohne geeignete Garantien nachzuweisen. Die AP verhängte 100 Mio. EUR gegen die Rechtsnachfolgerin und untersagte weitere Übermittlungen nach Russland.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44, Art. 46 iVm Art. 5 Abs. 1 lit. a und Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Telekommunikationsanbieter ließ einen konzernangehörigen Softwaredienstleister in Serbien mit Administratorrechten auf die gesamte SAP-CRM-Kundendatenbank zugreifen, ab Ende 2022 ohne Standardvertragsklauseln und ohne klare Information der Kunden. Die AZOP ahndete außerdem das Kopieren von Personalausweisen und Führungszeugnissen der Beschäftigten sowie die fehlende Prüfung eines Telemarketing-Dienstleisters; insgesamt 4,5 Mio. EUR.

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44, 46, 12 Abs. 1, 13 Abs. 1 lit. f, 5, 6 Abs. 1, 28 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

14.11.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

TikTok ließ Beschäftigte in China per Fernzugriff auf Daten europäischer Nutzer zugreifen, ohne zu prüfen und nachzuweisen, dass Standardvertragsklauseln und Zusatzmaßnahmen ein gleichwertiges Schutzniveau gegenüber chinesischen Behördenzugriffen sichern; zudem informierte es Nutzer unzureichend. Die DPC verhängte 530 Mio. Euro und ordnete an, die Übermittlungen binnen sechs Monaten rechtskonform zu gestalten oder auszusetzen.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 46 Abs. 1, Art. 13 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

02.05.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Kakaopay Corp. übermittelte 2018 dreimal Daten aller Nutzer und von Juni 2019 bis Mai 2024 täglich Daten von rund 40 Mio. Nutzern ohne Einwilligung an Alipay in Singapur, das damit für Apple einen Wert zur Wahrscheinlichkeit fehlender Deckung bei gebündelten App-Store-Zahlungen (NSF-Score) berechnete. Die Behörde wertete dies als unzulässige Übermittlung ins Ausland, verhängte ein Bußgeld (Penalty Surcharge) von 5.968.000.000 KRW und ordnete Abhilfe sowie die Veröffentlichung der Entscheidung auf der eigenen Website an. In getrennten Beschlüssen desselben Tages erhielt Apple ein Bußgeld von 2.405.000.000 KRW und ein Verwaltungsbußgeld von 2.200.000 KRW, Alipay die Anordnung, das Bewertungsmodell zu löschen.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 28-8(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Minderung um 30 % wegen abgeschlossener Abhilfe, Kooperation und ISMS-P-Zertifizierung; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren (Juni 2019 bis Mai 2024).

Veröffentlicht

23.01.2025

Originalbetrag 5.968.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 22.01.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Beratungsfirma für Aufenthaltsgenehmigungen schickte Heiratsurkunde und Gehaltsnachweis eines Kundenpaars ohne Information zur Übersetzung an eine Schwesterfirma in Georgien; die Dokumente tauchten danach öffentlich auf der Plattform Scribd auf. Die Kommissarin verhängte je 2.000 Euro wegen unzulässiger Drittlandübermittlung und fehlender Sicherheitsmaßnahmen sowie eine Rüge wegen mangelnder Kooperation.

Behörde / Gericht

Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Commissioner for Personal Data Protection)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 31, Art. 44 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Das Unternehmen speicherte sensible Daten europäischer Fahrer – darunter Standort-, Zahlungs- und Ausweisdaten, teils Straf- und Gesundheitsdaten – auf Servern in den USA und nutzte ab August 2021 kein Übermittlungsinstrument mehr. Die AP verhängte nach Beschwerden von über 170 französischen Fahrern 290 Mio. EUR; es war die dritte Geldbuße der AP gegen das Unternehmen.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Transport, Logistik und Schifffahrt

Beschäftigte

10.000 und mehr

Wiederholungsfall

ja

Veröffentlicht

26.08.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 22.07.2026 · Direktlink

Die ICO sprach gegenüber einer britischen Polizeibehörde eine Verwarnung aus. Nach den Feststellungen der ICO gab die Auslieferungsabteilung der Behörde von 2016 bis zum 15. Oktober 2020 personenbezogene Daten von 174 Personen außerhalb der vorgesehenen Verfahren an das US-Heimatschutzministerium (Department of Homeland Security, DHS) weiter, darunter Identifikationsdaten, Angaben aus ESTA-Anträgen (elektronische Reisegenehmigung für die USA) und Visumanträgen, Daten zu Vermissten, Daten über strafrechtliche Verurteilungen und biometrische Daten. Die ICO bemängelte fehlende Aufsicht durch Vorgesetzte und unzureichend geregelte Systemzugriffe. Sie sah Verstöße gegen section 34(3), 35(1), 40, 42(1) und 73(1) DPA 2018 (Part 3). Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Section 34(3), 35(1), 40, 42(1) und 73(1) DPA 2018; Verwarnung nach Schedule 13(2)(c) DPA 2018

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 26.10.2025 · Direktlink

Der Anbieter übermittelte über Google Analytics personenbezogene Daten von Website-Besuchern in die USA. Die zusätzlichen technischen Schutzmaßnahmen neben den Standardvertragsklauseln reichten nach Ansicht der IMY nicht aus; der Anbieter hatte das Werkzeug inzwischen von sich aus abgeschaltet.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Nutzung von Google Analytics bereits eigenständig beendet.

Veröffentlicht

03.07.2023

Originalbetrag 12.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 30.06.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 30.06.2025 · Direktlink

Der Onlinehändler übermittelte über Google Analytics Besucherdaten in die USA, ohne ausreichende Zusatzmaßnahmen zu den Standardvertragsklauseln. Die IMY verhängte eine Sanktionsgebühr und ordnete an, das Werkzeug in dieser Form nicht mehr zu nutzen.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44 DSGVO; Art. 58 Abs. 2 lit. d DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Veröffentlicht

03.07.2023

Originalbetrag 300.000 SEK, umgerechnet zum EZB-Referenzkurs vom 30.06.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 30.06.2025 · Direktlink

Auch bei dem Händler stellte die IMY fest, dass die über Google Analytics erfolgende Übermittlung von Besucherdaten in die USA nicht ausreichend abgesichert war. Weil der Händler umfangreichere Schutzmaßnahmen getroffen hatte als zwei ebenfalls geprüfte Unternehmen (ein Telekommunikationsanbieter und ein Onlinehändler), blieb es bei einer Anordnung, die Nutzung einzustellen.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44 DSGVO; Art. 58 Abs. 2 lit. d DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Mildernde Umstände

Umfangreichere technische Zusatzmaßnahmen als bei anderen geprüften Unternehmen.

Veröffentlicht

03.07.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 30.06.2025 · Direktlink

Die Wirtschaftszeitung übermittelte über Google Analytics Daten ihrer Website-Besucher in die USA. Die IMY hielt die ergänzenden Schutzmaßnahmen für unzureichend und ordnete an, das Werkzeug in dieser Form nicht weiter einzusetzen.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44 DSGVO; Art. 58 Abs. 2 lit. d DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Veröffentlicht

03.07.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 30.06.2025 · Direktlink

Das Unternehmen übermittelte nach dem Schrems-II-Urteil weiterhin Daten von Nutzern seines sozialen Netzwerks aus der EU/dem EWR auf Grundlage von Standardvertragsklauseln in die USA, ohne die vom EuGH festgestellten Risiken wirksam auszuräumen. Auf Anweisung des EDPB verhängte die DPC 1,2 Mrd. EUR und ordnete an, künftige Übermittlungen auszusetzen und die rechtswidrig in den USA gespeicherten Daten nicht weiter zu verarbeiten.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 46 Abs. 1 DSGVO; Art. 58 Abs. 2 lit. d und j DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

22.05.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.05.2025 · Direktlink

Das portugiesische Statistikamt ließ die Online-Erhebung des Zensus 2021 über einen US-amerikanischen CDN-Anbieter abwickeln; der Vertrag erlaubte die Verarbeitung auf Servern weltweit und stützte sich auf Standardvertragsklauseln ohne Zusatzmaßnahmen gegen Behördenzugriffe in den USA. Die CNPD ahndete fünf Verstöße – u. a. unzulässige Drittlandübermittlung, mangelhafte Auswahl des Auftragsverarbeiters, unklare Freiwilligkeit bei Gesundheits- und Religionsfragen, fehlende DSFA – mit einer Gesamtgeldbuße von 4,3 Mio. EUR.

Behörde / Gericht

Comissão Nacional de Proteção de Dados (CNPD)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44, Art. 46 Abs. 2, Art. 28 Abs. 1 und 3, Art. 9, Art. 35 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 02.11.2024 · Direktlink

Nachdem zwei Auftragnehmer der ausländischen Konzernmutter des Plattformbetreibers 2020 Kundendaten aus deren Systemen abgezogen hatten – betroffen waren Daten zahlreicher Personen, darunter Kunden des Onlinehändlers –, prüfte die Datenschutzbehörde PDPC die Übermittlungen aus Singapur ins Ausland. Der Onlinehändler als Verantwortlicher hatte keine vertraglichen Zusagen eingeholt, die ein dem PDPA vergleichbares Schutzniveau für die über seinen Auftragsverarbeiter (data intermediary) übermittelten Daten sichern, und der singapurischen Plattformgesellschaft fehlten für die Weitergabe eigener Plattformdaten an die ausländische Konzernmutter innerhalb des Konzerns verbindliche Verträge oder Binding Corporate Rules. Die PDPC ordnete beiden an, Verfahren zur Einhaltung der Transfer Limitation Obligation einzuführen – der Plattformgesellschaft binnen 60 Tagen, dem Onlinehändler als KMU binnen sechs Monaten – und verwies auf die ASEAN-Modellvertragsklauseln.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Section 26(1) PDPA 2012 (Transfer Limitation Obligation) i. V. m. Regulations 9(1)(b) und 10(1) Personal Data Protection Regulations 2014; Section 4(3) PDPA; Section 48I PDPA (Directions)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Mildernde Umstände

Beide Unternehmen kooperierten nach Feststellung der PDPC in hohem Maße.

Veröffentlicht

18.11.2022

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 06.10.2024 · Direktlink