Wer wurde wofür sanktioniert?

Die Hausverwaltung schickte als Auftragsverarbeiterin die Abrechnung der Nutzungsgebühren eines Eigentümers an eine unbefugte Person. Die Gemeinschaft hielt eine Meldung für unnötig, weil nur „gewöhnliche“ Daten eines Mitglieds betroffen seien, und blieb auch im Verfahren dabei; die UODO verhängte 4.852 PLN.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Bau und Immobilien

Originalbetrag 4.852 PLN, umgerechnet zum EZB-Referenzkurs vom 07.04.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Unbeteiligter erhielt im Oktober 2023 Vollstreckungsunterlagen eines Schuldners mit Name, Anschrift, Geburtsdatum, PESEL-Nummer, Forderungshöhe und Arbeitgeber. Die Kanzlei meldete weder der Aufsicht noch informierte sie den Betroffenen; die UODO verhängte 7.700 PLN für die fehlende Meldung und 13.200 PLN für die fehlende Benachrichtigung und ordnete an, den Betroffenen binnen drei Tagen zu informieren.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1, Art. 34 Abs. 1 und 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 20.900 PLN, umgerechnet zum EZB-Referenzkurs vom 23.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei Prüfungen 2021/22 stellte die RDI fest, dass der Mobilfunkbetreiber für sein System zur gesetzlichen Telekommunikationsüberwachung keinen vorgeschriebenen Sicherheitsplan hatte, Beschäftigte mit Zugriff nicht ausreichend überprüft waren (fehlende Funktionsbeschreibungen, Geheimhaltungserklärungen, Führungszeugnisse), Unbefugte Zugang zu Abhördaten hatten und Lieferanten digital auf das System zugreifen konnten. Die RDI verhängte 1.518.750 Euro; Odido hat das System inzwischen erneuert.

Behörde / Gericht

Rijksinspectie Digitale Infrastructuur (RDI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunicatiewet Art. 15.4; Besluit beveiliging gegevens telecommunicatie (Bbgt) Art. 2, 3, 4

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

System erneuert, Risiko unbefugter Zugriffe beseitigt.

Veröffentlicht

17.10.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Nach einem Update der PSD2-Schnittstelle für Drittanbieter im Juli 2023 war die Vertraulichkeit von 57 IBAN-Konten von Bankkunden nicht gewährleistet. Die Bankenaufsicht sprach gegen die Bank eine Verwarnung wegen Verletzung der Pflicht zur Wahrung vertraulicher Daten aus (rechtskräftig).

Behörde / Gericht

Banka Slovenije

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 146, Art. 396 Abs. 1 Nr. 18 ZBan-3 (slowenisches Bankengesetz)

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Über einen ungeschützten Entwicklungsserver der Werbeagentur waren Kundendaten (u. a. Namen, E-Mail-Adressen, Geburtsdaten, Telefonnummern) abrufbar. Eine Mitarbeiterin hielt den ersten Hinweis eines Externen im Januar 2025 für Spam; erst ein zweiter Hinweis im Februar erreichte die Geschäftsführung, die die Lücke schloss, den Vorfall aber erst am 2. Mai 2025 nach Aufforderung der DSB meldete. Die Behörde rechnete das Verhalten der Mitarbeiterin dem Unternehmen zu.

Behörde / Gericht

Datenschutzbehörde (DSB)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1 iVm Art. 83 Abs. 4 lit. a DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Verschulden

fahrlässig

Mildernde Umstände

Keine früheren Verstöße und Mitwirkung im Verfahren; Lücke nach dem zweiten Hinweis sofort geschlossen, Beschäftigte nachträglich geschult.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Betrüger gab sich per E-Mail als Kundin aus und erhielt von Sachbearbeitern des Lebensversicherers zwischen 2021 und 2023 Auskünfte und Unterlagen zu drei Policen, ohne dass seine Identität geprüft wurde. Obwohl die Kundin das Unternehmen im September 2024 auf die falsche E-Mail-Adresse hinwies, meldete Poste Vita die Verletzung erst im Januar 2025 an die Aufsicht.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und f, Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Mildernde Umstände

Sofortige Sperre weiterer Kommunikation, interne Untersuchung, Strafanzeige und verschärfte Identitätsprüfung.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die finnische Finanzaufsicht verhängte gegen S-Pankki Oyj eine gemeinsame Sanktionszahlung von 7.670.000 EUR wegen Mängeln im Management operativer Risiken und sprach zusätzlich eine öffentliche Verwarnung aus. Ein Programmierfehler, der vom 20. April bis 5. August 2022 in einem Banksystem produktiv war, war vorab nicht ausreichend getestet worden; die Bank hatte kein ausreichend sicheres System und kein wirksames Störungsmanagement und war auf Risiken aus der Auslagerung unzureichend vorbereitet. Die Verwarnung betrifft die fehlende vorgeschriebene starke Kundenauthentifizierung und Zahlungen ohne Zustimmung der Zahler vom 6. Mai bis 5. August 2022; frühere Sanktionszahlungen der Aufsicht gegen die Bank (2019 und 2021) wirkten erhöhend. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Finanssivalvonta (FIN-FSA)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Luottolaitostoiminnasta annettu laki 9 luku 16 § (1, 2 und 4 mom.) mit MOK 8/2014; FivaL 40 §, 41 §, 41 b §; öffentliche Verwarnung nach FivaL 39 § wegen Maksupalvelulaki 85 c § 1 mom. und 38 § 1 mom.

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

ja

Mildernde Umstände

Maßnahmen gegen eine Wiederholung und Zusammenarbeit mit der Aufsicht bei der Aufklärung wirkten mindernd.

Veröffentlicht

23.05.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Ein niederländischer Telekommunikationsanbieter traf laut RDI von Oktober 2021 bis Dezember 2022 nicht die nötigen Maßnahmen, um Daten aus der gesetzlichen Telekommunikationsüberwachung vor Unbefugten zu schützen: Der Sicherheitsplan genügte nicht, Personal mit Zugriff war unzureichend überprüft (fehlende Funktionsbeschreibungen, Geheimhaltungserklärungen, Führungszeugnisse), und logische wie physische Zugangskontrollen waren mangelhaft. Ein tatsächlicher unbefugter Zugriff wurde nicht festgestellt; die Buße beträgt 2,25 Mio. Euro.

Behörde / Gericht

Rijksinspectie Digitale Infrastructuur (RDI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunicatiewet Art. 15.4; Besluit beveiliging gegevens telecommunicatie (Bbgt) Art. 2, 3, 4, 8

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Mängel nach Feststellung behoben; kein tatsächlicher unbefugter Zugriff festgestellt.

Veröffentlicht

22.10.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.05.2026 · Direktlink

Eine Kuriersendung mit Bankunterlagen (u. a. PESEL-Nummern, Kontonummern, Zugangsdaten) wurde gestohlen und in einer Wohnsiedlung weggeworfen; die Aufsicht erfuhr davon aus den Medien. Die Bank hatte weder die Behörde noch die Betroffenen informiert, weil sie das Risiko als gering einstufte – bereits 2022 war sie wegen unterlassener Benachrichtigung Betroffener sanktioniert worden.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1, Art. 34 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Wiederholungsfall

ja

Veröffentlicht

02.04.2024

Originalbetrag 1.440.549 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink

Die Bank schickte Vertragsdaten eines Kunden an einen falschen Empfänger und meldete die Verletzung erst anderthalb Jahre später, als die Aufsicht nach einer Beschwerde nachfragte. Die Behörde sah wegen des Risikos eines Identitätsdiebstahls eine Meldepflicht binnen 72 Stunden.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

02.04.2024

Originalbetrag 78.575,4 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink

Die BaFin setzte gegen eine deutsche Großbank ein Bußgeld von 50.000 Euro fest, weil die Bank ihr zu einem schwerwiegenden, kundenrelevanten IT-Sicherheitsvorfall bei ihren Zahlungsdiensten im Jahr 2023 falsche Angaben gemacht und sie deutlich verspätet informiert hatte. Der Bescheid vom 8. Februar 2024 ist rechtskräftig.

Behörde / Gericht

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

§ 64 Abs. 3 Nr. 15 ZAG

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Veröffentlicht

18.03.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 08.02.2026 · Direktlink

Die CSSF verhängte gegen das Kreditinstitut eine Ordnungsbuße (amende d'ordre) von 444.400 EUR, weil die interne Governance und Kontrolle zu IKT- und Sicherheitsrisiken nicht den Anforderungen entsprach. Grundlage waren Feststellungen einer Vor-Ort-Prüfung von Oktober 2022 bis Juni 2023 zu Art. 5(1bis) LSF sowie den Rundschreiben CSSF 20/750 und 12/552.

Behörde / Gericht

Commission de Surveillance du Secteur Financier (CSSF)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 63-2(1)(d) und (2)(e) Loi modifiée du 5 avril 1993 relative au secteur financier (LSF); verletzt Art. 5(1bis) LSF; Circulaires CSSF 20/750 und 12/552

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Das Institut erkannte alle Feststellungen an, legte einen detaillierten Aktionsplan vor und leitete sofort Abhilfe ein.

Veröffentlicht

20.02.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 17.11.2025 · Direktlink

Der Versicherer schickte eine Entschädigungsbestätigung mit Name, Anschrift, Fahrzeug- und Schadensdaten per E-Mail an einen Unbefugten. Nach einer Bewertung mit einem Online-Rechner stufte er das Risiko als gering ein und meldete nicht; die Aufsicht sah die Meldepflicht verletzt und wertete u. a. Vorsatz und mangelnde Kooperation erschwerend.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

vorsätzlich

Wiederholungsfall

ja

Veröffentlicht

23.11.2023

Originalbetrag 103.752 PLN, umgerechnet zum EZB-Referenzkurs vom 18.10.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 18.10.2025 · Direktlink

Finansinspektionen erteilte einer schwedischen Großbank eine Anmerkung (anmärkning) und eine Sanktionsgebühr von 850.000.000 SEK, weil die Bank am 28. April 2022 eine Änderung an einem geschäftskritischen IT-System – zur Umsetzung neuer EU-Sanktionen – ohne ihren internen Änderungsprozess vornahm: ohne Freigabe durch das Change Advisory Board, ohne Risikobewertung und ohne Rückfallplan. Der dabei entstandene Fehler stoppte rund 1,7 Mio. Transaktionen auf etwa 1,1 Mio. Konten, führte bei knapp 960.000 Kunden zu falschen Salden und hinderte rund 160.000 Kunden an Zahlungen; weil keine Kontrolle der Bank die Umgehung des Prozesses erkannt hatte, sah die Aufsicht die interne Kontrolle der systemrelevanten Bank als unzureichend an. Erschwerend wertete sie eine frühere Sanktion von 2020 (Kontrolle der Geldwäscheabwehr in Tochterbanken), zugunsten der Bank, dass der Verstoß weder lang andauernd noch systematisch war.

Behörde / Gericht

Finansinspektionen (FI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

6 kap. 2 § lagen (2004:297) om bank- och finansieringsrörelse (LBF) i. V. m. 2 kap. 1 § första stycket 5 FFFS 2014:1; Anmärkning nach 15 kap. 1 § LBF, Sanktionsavgift nach 15 kap. 7 § LBF

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Wiederholungsfall

ja

Mildernde Umstände

Kein lang andauernder oder systematischer Verstoß; die Bank hat Maßnahmen zur Stärkung der internen Kontrolle ergriffen und weitere angekündigt.

Veröffentlicht

15.03.2023

Originalbetrag 850.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 14.03.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 14.03.2025 · Direktlink

Eine Kundin erhielt auf ihr Auskunftsersuchen eine CD mit Callcenter-Gesprächen eines anderen Kunden. Der Anbieter untersuchte den Hinweis nicht selbst, sondern verließ sich auf den Dienstleister und forderte die CD zurück; die Behörde ahndete die unterlassene Meldung und die nicht erfüllte Auskunft.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic DPA)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 15, Art. 33 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

30.03.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.02.2025 · Direktlink

Die Bank meldete der EZB einen erheblichen Cybervorfall vom Februar 2019 nicht innerhalb der vorgeschriebenen zwei Stunden, sondern erst 46 Stunden nach Fristablauf, obwohl sie die Meldepflicht und die Schwere des Vorfalls kannte; damit verstieß sie gegen einen EZB-Beschluss vom 23. Mai 2017. Die EZB stufte den Verstoß als schwer ein, verhängte 3.145.000 EUR und berücksichtigte die sehr aktive Kooperation und eigene Abhilfemaßnahmen mildernd.

Behörde / Gericht

Europäische Zentralbank (EZB), Bankenaufsicht

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 18 Abs. 7 VO (EU) Nr. 1024/2013; EZB-Beschluss vom 23. Mai 2017 (Meldung erheblicher Cybervorfälle)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

vorsätzlich

Mildernde Umstände

Sehr aktive Kooperation mit der EZB, eigene Abhilfemaßnahmen und rasche Behebung der Folgen des Vorfalls.

Veröffentlicht

16.12.2022

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 07.12.2024 · Direktlink