Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa und Nordamerika: 718 Fälle aus 32 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach LandWofür?
nach UnterthemaWen?
nach BrancheAlle Branchen
Wann?
je Quartal, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| Q3 2023 | 0 | — |
| Q4 2023 | 1 | 23.362 € |
| Q1 2024 | 2 | 354.397 € |
| Q2 2024 | 0 | — |
| Q3 2024 | 0 | — |
| Q4 2024 | 0 | — |
| Q1 2025 | 0 | — |
| Q2 2025 | 0 | — |
| Q3 2025 | 3 | 80.870 € |
| Q4 2025 | 1 | 4.938 € |
| Q1 2026 | 0 | — |
| Q2 2026 | 1 | 1.135 € |
| Q3 2026 | 0 | — |
8 Fälle
12.03.2024 Santander Bank Polska S.A.Santander Bank Polska: 1,44 Mio. PLN – gestohlene Kundenunterlagen nicht gemeldet 336.066 €
Eine Kuriersendung mit Bankunterlagen (u. a. PESEL-Nummern, Kontonummern, Zugangsdaten) wurde gestohlen und in einer Wohnsiedlung weggeworfen; die Aufsicht erfuhr davon aus den Medien. Die Bank hatte weder die Behörde noch die Betroffenen informiert, weil sie das Risiko als gering einstufte – bereits 2022 war sie wegen unterlassener Benachrichtigung Betroffener sanktioniert worden.
Das Risiko einer Datenpanne ist aus Sicht der Betroffenen zu bewerten – wer bei Verlust sensibler Unterlagen nicht meldet, riskiert eine höhere Strafe als für die Panne selbst.
Risikobewertung und Meldung von Datenpannen
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1, Art. 34 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Wiederholungsfall
- ja
- Veröffentlicht
- 02.04.2024
Originalbetrag 1.440.549 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.
- UODO: Troska o dane osób ważniejsza niż interes administratora (02.04.2024) Pressemitteilung einer Behörde
- UODO, Decyzja DKN.5131.59.2022 vom 12.03.2024 (nicht rechtskräftig) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
07.04.2026 Wspólnota Mieszkaniowa K. (Wohnungseigentümergemeinschaft, im Bescheid pseudonymisiert)Eigentümergemeinschaft: 4.852 PLN – Fehlversand einer Abrechnung nicht gemeldet 1.135 €
Die Hausverwaltung schickte als Auftragsverarbeiterin die Abrechnung der Nutzungsgebühren eines Eigentümers an eine unbefugte Person. Die Gemeinschaft hielt eine Meldung für unnötig, weil nur „gewöhnliche“ Daten eines Mitglieds betroffen seien, und blieb auch im Verfahren dabei; die UODO verhängte 4.852 PLN.
Auch kleine Verantwortliche müssen Datenpannen ihrer Dienstleister bewerten und melden – „nur ein Betroffener“ ist kein Ausnahmegrund.
Fehlversand als Datenpanne erkennen – auch bei Dienstleistern
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Bau und Immobilien
Originalbetrag 4.852 PLN, umgerechnet zum EZB-Referenzkurs vom 07.04.2026.
- UODO, Decyzja DKN.5131.16.2025 vom 07.04.2026 (rechtskräftig) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.10.2025 Komornik Sądowy przy Sądzie Rejonowym w S. (Gerichtsvollzieherkanzlei, im Bescheid pseudonymisiert)Gerichtsvollzieher: 20.900 PLN – Unterlagen mit PESEL fehlversandt, nicht gemeldet 4.938 €
Ein Unbeteiligter erhielt im Oktober 2023 Vollstreckungsunterlagen eines Schuldners mit Name, Anschrift, Geburtsdatum, PESEL-Nummer, Forderungshöhe und Arbeitgeber. Die Kanzlei meldete weder der Aufsicht noch informierte sie den Betroffenen; die UODO verhängte 7.700 PLN für die fehlende Meldung und 13.200 PLN für die fehlende Benachrichtigung und ordnete an, den Betroffenen binnen drei Tagen zu informieren.
Werden Identifikationsnummern wie die PESEL-Nummer offengelegt, ist fast immer von hohem Risiko auszugehen – Meldung und Benachrichtigung sind dann Pflicht.
Postversand prüfen; Datenpannen mit Identifikationsnummern melden
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1, Art. 34 Abs. 1 und 2 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Öffentlicher Sektor
Originalbetrag 20.900 PLN, umgerechnet zum EZB-Referenzkurs vom 23.10.2025.
- UODO, Decyzja DKN.5131.17.2024 vom 23.10.2025 (nicht rechtskräftig) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
22.09.2025 Nova Ljubljanska banka d. d.NLB: Verwarnung, weil PSD2-Schnittstelle 57 Kontonummern offenlegte Verwarnung
Nach einem Update der PSD2-Schnittstelle für Drittanbieter im Juli 2023 war die Vertraulichkeit von 57 IBAN-Konten von Bankkunden nicht gewährleistet. Die Bankenaufsicht sprach gegen die Bank und den verantwortlichen IT-Entwicklungsdirektor eine Verwarnung wegen Verletzung der Pflicht zur Wahrung vertraulicher Daten aus (rechtskräftig).
Jede Änderung an Kundenschnittstellen braucht Tests auf Datenabfluss vor dem Go-live – die Verantwortung trifft auch die zuständige Führungskraft.
Sicherheitstests bei Software-Releases von Schnittstellen
- Behörde / Gericht
- Banka Slovenije
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- Art. 146, Art. 396 Abs. 1 Nr. 18 ZBan-3 (slowenisches Bankengesetz)
- Maßnahme
- Verwarnung
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Haftung von Führungskräften
- Verwarnung auch gegen den verantwortlichen Direktor IT-Entwicklung (Dejan Pust).
- Razkritje informacij o izrečeni sankciji pravni in odgovorni osebi – Nova Ljubljanska banka d. d. Entscheidung einer Behörde
- Banka Slovenije – Informacije o izrečenih ukrepih Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
04.09.2025 A*** GmbH (Werbeagentur, im Bescheid pseudonymisiert)Österreichische Werbeagentur: 870 EUR – Hinweis auf Sicherheitslücke als Spam abgetan 870 €
Über einen ungeschützten Entwicklungsserver der Werbeagentur waren Kundendaten (u. a. Namen, E-Mail-Adressen, Geburtsdaten, Telefonnummern) abrufbar. Eine Mitarbeiterin hielt den ersten Hinweis eines Externen im Januar 2025 für Spam; erst ein zweiter Hinweis im Februar erreichte die Geschäftsführung, die die Lücke schloss, den Vorfall aber erst am 2. Mai 2025 nach Aufforderung der DSB meldete. Die Behörde rechnete das Verhalten der Mitarbeiterin dem Unternehmen zu.
Externe Hinweise auf Sicherheitslücken brauchen einen klaren Eingangskanal – was im Spam landet, gilt trotzdem als bekannt.
Hinweise auf Sicherheitslücken erkennen und eskalieren
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Datenschutzbehörde (DSB)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 iVm Art. 83 Abs. 4 lit. a DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Verschulden
- fahrlässig
- Mildernde Umstände
- Keine früheren Verstöße und Mitwirkung im Verfahren; Lücke nach dem zweiten Hinweis sofort geschlossen, Beschäftigte nachträglich geschult.
- DSB, Straferkenntnis GZ 2025-0.699.550 vom 04.09.2025 (RIS) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
10.07.2025 Poste Vita S.p.A.Poste Vita: 80.000 EUR – Datenpanne erst vier Monate nach Kundenhinweis gemeldet 80.000 €
Ein Betrüger gab sich per E-Mail als Kundin aus und erhielt von Sachbearbeitern des Lebensversicherers zwischen 2021 und 2023 Auskünfte und Unterlagen zu drei Policen, ohne dass seine Identität geprüft wurde. Obwohl die Kundin das Unternehmen im September 2024 auf die falsche E-Mail-Adresse hinwies, meldete Poste Vita die Verletzung erst im Januar 2025 an die Aufsicht.
Kundenhinweise auf mögliche Datenabflüsse müssen sofort in die Vorfallsbewertung – nicht erst nach Abschluss interner Prüfungen.
Identitätsprüfung bei Kundenanfragen per E-Mail (Social Engineering)
- Behörde / Gericht
- Garante per la protezione dei dati personali
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 5 Abs. 1 lit. a und f, Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Mildernde Umstände
- Sofortige Sperre weiterer Kommunikation, interne Untersuchung, Strafanzeige und verschärfte Identitätsprüfung.
- Garante privacy, Provvedimento del 10 luglio 2025 [10154110] Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
12.03.2024 Toyota Bank Polska S.A.Toyota Bank Polska: 78.575 PLN – Fehlversand erst nach 1,5 Jahren gemeldet 18.331 €
Die Bank schickte Vertragsdaten eines Kunden an einen falschen Empfänger und meldete die Verletzung erst anderthalb Jahre später, als die Aufsicht nach einer Beschwerde nachfragte. Die Behörde sah wegen des Risikos eines Identitätsdiebstahls eine Meldepflicht binnen 72 Stunden.
Auch ein einzelner Fehlversand mit Identitätsdaten ist meldepflichtig – Fehlversand-Fälle brauchen eine dokumentierte Risikobewertung.
Fehlversand erkennen und intern melden
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Veröffentlicht
- 02.04.2024
Originalbetrag 78.575,4 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.
- UODO: Troska o dane osób ważniejsza niż interes administratora (02.04.2024) Pressemitteilung einer Behörde
- UODO, Decyzja DKN.5131.28.2023 vom 12.03.2024 (rechtskräftig) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
18.10.2023 Link4 Towarzystwo Ubezpieczeń S.A.Link4: 103.752 PLN – Fehlversand nach Risikorechner nicht gemeldet 23.362 €
Der Versicherer schickte eine Entschädigungsbestätigung mit Name, Anschrift, Fahrzeug- und Schadensdaten per E-Mail an einen Unbefugten. Nach einer Bewertung mit einem Online-Rechner stufte er das Risiko als gering ein und meldete nicht; die Aufsicht sah die Meldepflicht verletzt und wertete u. a. Vorsatz und mangelnde Kooperation erschwerend.
Werkzeuge zur Risikobewertung ersetzen kein Urteil – wer Versicherungsgeheimnisse verschickt, sollte im Zweifel melden.
E-Mail-Fehlversand vermeiden; Datenpannen melden
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- vorsätzlich
- Wiederholungsfall
- ja
- Veröffentlicht
- 23.11.2023
Originalbetrag 103.752 PLN, umgerechnet zum EZB-Referenzkurs vom 18.10.2023.
- UODO: Kolejna administracyjna kara pieniężna za niezgłoszenie naruszenia ochrony danych osobowych (23.11.2023) Pressemitteilung einer Behörde
- UODO, Decyzja DKN.5131.55.2022 vom 18.10.2023 (nicht rechtskräftig) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink