Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach RegionAlle Jurisdiktionen
Wofür?
nach Maßnahme- Bußgeld 18 Mio. € 100 % · 15 Fälle
Wen?
nach BrancheAlle Branchen
Wann?
je Jahr, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| 2022 | 1 | 3,15 Mio. € |
| 2023 | 3 | 1,44 Mio. € |
| 2024 | 5 | 9,64 Mio. € |
| 2025 | 5 | 3,74 Mio. € |
| 2026 | 1 | 1.135 € |
15 Fälle
07.04.2026 Wspólnota Mieszkaniowa K. (Wohnungseigentümergemeinschaft, im Bescheid pseudonymisiert)Eigentümergemeinschaft: 4.852 PLN – Fehlversand einer Abrechnung nicht gemeldet 1.135 €
Die Hausverwaltung schickte als Auftragsverarbeiterin die Abrechnung der Nutzungsgebühren eines Eigentümers an eine unbefugte Person. Die Gemeinschaft hielt eine Meldung für unnötig, weil nur „gewöhnliche“ Daten eines Mitglieds betroffen seien, und blieb auch im Verfahren dabei; die UODO verhängte 4.852 PLN.
Auch kleine Verantwortliche müssen Datenpannen ihrer Dienstleister bewerten und melden – „nur ein Betroffener“ ist kein Ausnahmegrund.
Fehlversand als Datenpanne erkennen – auch bei Dienstleistern
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Bau und Immobilien
Originalbetrag 4.852 PLN, umgerechnet zum EZB-Referenzkurs vom 07.04.2026.
- UODO, Decyzja DKN.5131.16.2025 vom 07.04.2026 (rechtskräftig) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.10.2025 Komornik Sądowy przy Sądzie Rejonowym w S. (Gerichtsvollzieherkanzlei, im Bescheid pseudonymisiert)Gerichtsvollzieher: 20.900 PLN – Unterlagen mit PESEL fehlversandt, nicht gemeldet 4.938 €
Ein Unbeteiligter erhielt im Oktober 2023 Vollstreckungsunterlagen eines Schuldners mit Name, Anschrift, Geburtsdatum, PESEL-Nummer, Forderungshöhe und Arbeitgeber. Die Kanzlei meldete weder der Aufsicht noch informierte sie den Betroffenen; die UODO verhängte 7.700 PLN für die fehlende Meldung und 13.200 PLN für die fehlende Benachrichtigung und ordnete an, den Betroffenen binnen drei Tagen zu informieren.
Werden Identifikationsnummern wie die PESEL-Nummer offengelegt, ist fast immer von hohem Risiko auszugehen – Meldung und Benachrichtigung sind dann Pflicht.
Postversand prüfen; Datenpannen mit Identifikationsnummern melden
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1, Art. 34 Abs. 1 und 2 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Öffentlicher Sektor
Originalbetrag 20.900 PLN, umgerechnet zum EZB-Referenzkurs vom 23.10.2025.
- UODO, Decyzja DKN.5131.17.2024 vom 23.10.2025 (nicht rechtskräftig) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.10.2025 Infinity Insurance CompanyInfinity Insurance: 2,25 Mio. USD – Datenabfluss über Angebotsrechner zu spät gemeldet 1,95 Mio. €
Angreifer lasen über die Sofortangebots-Anwendungen des Kfz-Versicherers Führerscheinnummern im Klartext aus. Infinity entdeckte die Auffälligkeiten am 9. Februar 2021, meldete den Cybervorfall der NYDFS aber erst am 14. April 2021; die Aufsicht rügte zudem fehlende MFA und unsichere Entwicklungspraktiken.
Auch Missbrauch öffentlich erreichbarer Kundenanwendungen ist ein meldepflichtiger Vorfall – Warnungen der Aufsicht sollten eine sofortige Meldeprüfung auslösen.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- 23 NYCRR § 500.17(a), § 500.12(a) u. a.
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.
- NYDFS Consent Order to Infinity Insurance Company (14.10.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
04.09.2025 A*** GmbH (Werbeagentur, im Bescheid pseudonymisiert)Österreichische Werbeagentur: 870 EUR – Hinweis auf Sicherheitslücke als Spam abgetan 870 €
Über einen ungeschützten Entwicklungsserver der Werbeagentur waren Kundendaten (u. a. Namen, E-Mail-Adressen, Geburtsdaten, Telefonnummern) abrufbar. Eine Mitarbeiterin hielt den ersten Hinweis eines Externen im Januar 2025 für Spam; erst ein zweiter Hinweis im Februar erreichte die Geschäftsführung, die die Lücke schloss, den Vorfall aber erst am 2. Mai 2025 nach Aufforderung der DSB meldete. Die Behörde rechnete das Verhalten der Mitarbeiterin dem Unternehmen zu.
Externe Hinweise auf Sicherheitslücken brauchen einen klaren Eingangskanal – was im Spam landet, gilt trotzdem als bekannt.
Hinweise auf Sicherheitslücken erkennen und eskalieren
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Datenschutzbehörde (DSB)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 iVm Art. 83 Abs. 4 lit. a DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Medien und Online-Plattformen
- Verschulden
- fahrlässig
- Mildernde Umstände
- Keine früheren Verstöße und Mitwirkung im Verfahren; Lücke nach dem zweiten Hinweis sofort geschlossen, Beschäftigte nachträglich geschult.
- DSB, Straferkenntnis GZ 2025-0.699.550 vom 04.09.2025 (RIS) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.08.2025 Healthplex, Inc.Healthplex: 2 Mio. USD – Phishing-Vorfall der Aufsicht monatelang nicht gemeldet 1,71 Mio. €
Ein Beschäftigter des Dentalversicherungsdienstleisters gab über eine Phishing-Mail seine Zugangsdaten preis; das Postfach mit über 100.000 E-Mails und Gesundheits- sowie Sozialversicherungsdaten war zugänglich. Healthplex wusste seit November 2021 von dem Vorfall, meldete ihn der NYDFS aber erst im April 2022 statt binnen 72 Stunden; zudem fehlten MFA für den Webzugang und eine Löschrichtlinie.
Sicherheitsvorfälle brauchen einen festen Meldeprozess mit Fristenkontrolle – die 72-Stunden-Uhr läuft ab Feststellung, nicht ab Abschluss der Forensik.
Phishing erkennen; Meldewege bei Sicherheitsvorfällen
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- 23 NYCRR § 500.17(a), § 500.12(b), § 500.13, § 500.17(b)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.08.2025.
- NYDFS Consent Order to Healthplex, Inc. (14.08.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
10.07.2025 Poste Vita S.p.A.Poste Vita: 80.000 EUR – Datenpanne erst vier Monate nach Kundenhinweis gemeldet 80.000 €
Ein Betrüger gab sich per E-Mail als Kundin aus und erhielt von Sachbearbeitern des Lebensversicherers zwischen 2021 und 2023 Auskünfte und Unterlagen zu drei Policen, ohne dass seine Identität geprüft wurde. Obwohl die Kundin das Unternehmen im September 2024 auf die falsche E-Mail-Adresse hinwies, meldete Poste Vita die Verletzung erst im Januar 2025 an die Aufsicht.
Kundenhinweise auf mögliche Datenabflüsse müssen sofort in die Vorfallsbewertung – nicht erst nach Abschluss interner Prüfungen.
Identitätsprüfung bei Kundenanfragen per E-Mail (Social Engineering)
- Behörde / Gericht
- Garante per la protezione dei dati personali
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 5 Abs. 1 lit. a und f, Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Mildernde Umstände
- Sofortige Sperre weiterer Kommunikation, interne Untersuchung, Strafanzeige und verschärfte Identitätsprüfung.
- Garante privacy, Provvedimento del 10 luglio 2025 [10154110] Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
28.11.2024 Meta PlatformsMeta: 5 Mio. KRW, weil eine Instagram-Störung verspätet gemeldet wurde 3.396 €
Nach einer rund 75-minütigen Anmeldestörung bei Instagram am 22.03.2024, die etwa 3,35 Mio. Nutzer in Korea betraf, meldete Meta Platforms den Vorfall trotz dreimaliger Nachfrage des Ministeriums erst 24 Stunden und 19 Minuten nach Beginn. Vorgeschrieben ist eine Meldung binnen 10 Minuten und ein schriftlicher Bericht binnen zwei Stunden; das Ministerium verhängte nach dem Framework Act on Broadcasting and Communications Development (방송통신발전 기본법) ein Verwaltungsbußgeld von 5.000.000 KRW. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.
Große Plattformbetreiber brauchen einen eingeübten Meldeprozess, damit Ausfälle innerhalb der gesetzlichen Minutenfristen bei der Aufsicht ankommen.
Melde- und Eskalationswege bei IT-Störungen
- Behörde / Gericht
- Ministry of Science and ICT (MSIT, 과학기술정보통신부)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Framework Act on Broadcasting and Communications Development (방송통신발전 기본법) Art. 38; Basisplan zum Management von Kommunikationsstörungen 2024
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Medien und Online-Plattformen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 28.11.2024
Originalbetrag 5.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 28.11.2024.
- MSIT-Pressemitteilung vom 28.11.2024: ‘통신재난 보고의무 미준수’ 메타에 과태료 처분 Pressemitteilung einer Behörde
- MSIT-Pressemitteilung vom 28.11.2024 (Anhang, HWPX) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink
Fehler melden
22.05.2024 ein US-amerikanischer Börsenkonzern und neun seiner TochtergesellschaftenUS-Börsenkonzern: 10 Mio. USD – Cyberangriff nicht an SEC gemeldet 9,23 Mio. €
Im April 2021 wies ein Dritter den Konzern auf eine Schwachstelle in seinem VPN hin; der Konzern fand eingeschleusten Schadcode, informierte die Rechts- und Compliance-Verantwortlichen der Börsen- und Clearing-Töchter aber tagelang nicht. Die Töchter, darunter eine Wertpapierbörse, meldeten den Vorfall deshalb nicht wie nach Regulation SCI vorgeschrieben sofort an die SEC; der Konzern zahlte 10 Mio. USD.
Betreiber kritischer Marktinfrastruktur brauchen interne Meldewege, die Cybervorfälle binnen Stunden an alle meldepflichtigen Einheiten weitergeben.
Interne Eskalation von Cybervorfällen an Compliance
- Behörde / Gericht
- U.S. Securities and Exchange Commission (SEC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Regulation Systems Compliance and Integrity (Regulation SCI), Meldepflichten
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Wiederholungsfall
- ja
Originalbetrag 10.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.05.2024.
- SEC, Pressemitteilungen (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 22.05.2026 · Direktlink
Fehler melden
12.03.2024 eine polnische GroßbankPolnische Großbank: 1,44 Mio. PLN – gestohlene Kundenunterlagen nicht gemeldet 336.066 €
Eine Kuriersendung mit Bankunterlagen (u. a. PESEL-Nummern, Kontonummern, Zugangsdaten) wurde gestohlen und in einer Wohnsiedlung weggeworfen; die Aufsicht erfuhr davon aus den Medien. Die Bank hatte weder die Behörde noch die Betroffenen informiert, weil sie das Risiko als gering einstufte – bereits 2022 war sie wegen unterlassener Benachrichtigung Betroffener sanktioniert worden.
Das Risiko einer Datenpanne ist aus Sicht der Betroffenen zu bewerten – wer bei Verlust sensibler Unterlagen nicht meldet, riskiert eine höhere Strafe als für die Panne selbst.
Risikobewertung und Meldung von Datenpannen
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1, Art. 34 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Wiederholungsfall
- ja
- Veröffentlicht
- 02.04.2024
Originalbetrag 1.440.549 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.
- UODO, Nachrichten (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
- UODO, Entscheidungsdatenbank (Suche) (Entscheidung 2024) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink
Fehler melden
12.03.2024 eine polnische Bank eines AutokonzernsPolnische Bank: 78.575 PLN – Fehlversand erst nach 1,5 Jahren gemeldet 18.331 €
Die Bank schickte Vertragsdaten eines Kunden an einen falschen Empfänger und meldete die Verletzung erst anderthalb Jahre später, als die Aufsicht nach einer Beschwerde nachfragte. Die Behörde sah wegen des Risikos eines Identitätsdiebstahls eine Meldepflicht binnen 72 Stunden.
Auch ein einzelner Fehlversand mit Identitätsdaten ist meldepflichtig – Fehlversand-Fälle brauchen eine dokumentierte Risikobewertung.
Fehlversand erkennen und intern melden
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Veröffentlicht
- 02.04.2024
Originalbetrag 78.575,4 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.
- UODO, Nachrichten (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
- UODO, Entscheidungsdatenbank (Suche) (Entscheidung 2024) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink
Fehler melden
08.02.2024 eine deutsche GroßbankBaFin: 50.000 Euro gegen Großbank wegen fehlerhafter Meldung eines IT-Vorfalls 50.000 €
Die BaFin setzte gegen eine deutsche Großbank ein Bußgeld von 50.000 Euro fest, weil die Bank ihr zu einem schwerwiegenden, kundenrelevanten IT-Sicherheitsvorfall bei ihren Zahlungsdiensten im Jahr 2023 falsche Angaben gemacht und sie deutlich verspätet informiert hatte. Der Bescheid vom 8. Februar 2024 ist rechtskräftig.
Meldungen zu IT-Vorfällen müssen schnell und inhaltlich richtig sein – falsche Angaben gegenüber der Aufsicht werden eigens geahndet.
Schwerwiegende IT-Sicherheitsvorfälle korrekt und fristgerecht melden
- Behörde / Gericht
- Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- § 64 Abs. 3 Nr. 15 ZAG
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 18.03.2024
- BaFin, Maßnahmen und Sanktionen (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 08.02.2026 · Direktlink
Fehler melden
18.10.2023 ein polnischer VersichererPolnischer Versicherer: 103.752 PLN – Fehlversand nach Risikorechner nicht gemeldet 23.362 €
Der Versicherer schickte eine Entschädigungsbestätigung mit Name, Anschrift, Fahrzeug- und Schadensdaten per E-Mail an einen Unbefugten. Nach einer Bewertung mit einem Online-Rechner stufte er das Risiko als gering ein und meldete nicht; die Aufsicht sah die Meldepflicht verletzt und wertete u. a. Vorsatz und mangelnde Kooperation erschwerend.
Werkzeuge zur Risikobewertung ersetzen kein Urteil – wer Versicherungsgeheimnisse verschickt, sollte im Zweifel melden.
E-Mail-Fehlversand vermeiden; Datenpannen melden
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- vorsätzlich
- Wiederholungsfall
- ja
- Veröffentlicht
- 23.11.2023
Originalbetrag 103.752 PLN, umgerechnet zum EZB-Referenzkurs vom 18.10.2023.
- UODO, Nachrichten (Übersicht) (Entscheidung 2023) Pressemitteilung einer Behörde
- UODO, Entscheidungsdatenbank (Suche) (Entscheidung 2023) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 18.10.2025 · Direktlink
Fehler melden
20.02.2023 ein griechischer TelekommunikationsanbieterGriechischer TK-Anbieter: 40.000 EUR – fremde Gesprächsaufnahmen verschickt, nicht gemeldet 40.000 €
Eine Kundin erhielt auf ihr Auskunftsersuchen eine CD mit Callcenter-Gesprächen eines anderen Kunden. Der Anbieter untersuchte den Hinweis nicht selbst, sondern verließ sich auf den Dienstleister und forderte die CD zurück; die Behörde ahndete die unterlassene Meldung und die nicht erfüllte Auskunft.
Meldet ein Betroffener eine Panne beim Dienstleister, muss der Verantwortliche selbst prüfen und melden – die Pflicht lässt sich nicht delegieren.
Hinweise von Betroffenen auf Datenpannen ernst nehmen
- Behörde / Gericht
- Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic DPA)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 15, Art. 33 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 30.03.2023
- Hellenic DPA, Entscheidungen (Übersicht) (Entscheidung 2023) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.02.2025 · Direktlink
Fehler melden
01.02.2023 eine US-amerikanische Telemedizin- und RabattplattformTelemedizinplattform: 1,5 Mio. USD – erste Strafe nach der Health Breach Notification Rule 1,38 Mio. €
Die Telemedizin- und Rabattplattform gab jahrelang Gesundheitsdaten ihrer Nutzer an drei große Werbe- und Technologieunternehmen und andere Werbepartner weiter und meldete diese unbefugten Offenlegungen nicht, wie es die Health Breach Notification Rule verlangt. Im ersten Verfahren nach dieser Regel stimmte die Plattform einer zivilrechtlichen Strafe von 1,5 Mio. USD und einem Verbot der Weitergabe zu Werbezwecken zu; der Vergleich bedurfte noch gerichtlicher Genehmigung.
Die Weitergabe von Gesundheitsdaten über Tracking-Pixel kann selbst ein meldepflichtiger „Breach“ sein – Tracking-Einbindungen gehören in die Vorfallsbewertung.
- Behörde / Gericht
- Federal Trade Commission (FTC) / U.S. Department of Justice
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- FTC Health Breach Notification Rule (16 CFR Part 318); Section 5 FTC Act
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Gesundheitswesen
Originalbetrag 1.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.02.2023.
- FTC, Pressemitteilungen (Übersicht) (Entscheidung 2023) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 01.02.2025 · Direktlink
Fehler melden
07.12.2022 eine spanische BankSpanische Bank: 3,145 Mio. EUR EZB-Sanktion wegen verspäteter Meldung eines Cybervorfalls 3,15 Mio. €
Die Bank meldete der EZB einen erheblichen Cybervorfall vom Februar 2019 nicht innerhalb der vorgeschriebenen zwei Stunden, sondern erst 46 Stunden nach Fristablauf, obwohl sie die Meldepflicht und die Schwere des Vorfalls kannte; damit verstieß sie gegen einen EZB-Beschluss vom 23. Mai 2017. Die EZB stufte den Verstoß als schwer ein, verhängte 3.145.000 EUR und berücksichtigte die sehr aktive Kooperation und eigene Abhilfemaßnahmen mildernd.
Meldefristen für erhebliche Cybervorfälle gelten auch während der Krisenbewältigung; die Meldung an die Aufsicht gehört fest in den Notfallplan.
Meldepflichten bei Cybervorfällen
- Behörde / Gericht
- Europäische Zentralbank (EZB), Bankenaufsicht
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 18 Abs. 7 VO (EU) Nr. 1024/2013; EZB-Beschluss vom 23. Mai 2017 (Meldung erheblicher Cybervorfälle)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- vorsätzlich
- Mildernde Umstände
- Sehr aktive Kooperation mit der EZB, eigene Abhilfemaßnahmen und rasche Behebung der Folgen des Vorfalls.
- Veröffentlicht
- 16.12.2022
- EZB-Bankenaufsicht, veröffentlichte Sanktionen (Übersicht) (Entscheidung 2022) Amtliches Register oder Bekanntmachung
Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 07.12.2024 · Direktlink