Wer wurde wofür sanktioniert?

Von April bis September 2023 nutzten Angreifer wiederverwendete Zugangsdaten, um auf Daten von 155.592 Personen im Vereinigten Königreich zuzugreifen, darunter Herkunft, Stammbäume und Gesundheitsangaben. Es fehlten MFA, sichere Passwortregeln und wirksame Überwachung; trotz Auffälligkeiten im Juli 2023 begann die volle Untersuchung erst im Oktober. Gemeinsame Untersuchung mit dem kanadischen Datenschutzbeauftragten.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Beschäftigte

250 bis 999

Verschulden

fahrlässig

Veröffentlicht

17.06.2025

Originalbetrag 2.310.000 GBP, umgerechnet zum EZB-Referenzkurs vom 05.06.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem United Lincolnshire Teaching Hospitals NHS Trust eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete der Klinikverbund zwischen März 2021 und März 2022 32 % der Auskunftsersuchen betroffener Personen nicht innerhalb der gesetzlichen Frist von einem Monat. Die ICO sah darin Verstöße gegen die Vorgaben zur fristgerechten Auskunft.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Beschäftigte

1.000 bis 9.999

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber einem englischen NHS-Universitätsklinikum eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete das Krankenhaus zwischen dem 1. August 2022 und dem 1. Juli 2023 nur 59 % der Auskunftsersuchen fristgerecht; am 30. Januar 2024 waren noch 621 Ersuchen offen. Bis Januar 2021 wurden die Ersuchen in alphabetischer Reihenfolge bearbeitet, zudem verlängerte das Haus Fristen pauschal, ohne die Betroffenen zu informieren. Die ICO sah Verstöße gegen Art. 12(3), 15(1) und 15(3) UK GDPR. Das Datum ergibt sich aus der im Bescheid gesetzten Sechsmonatsfrist bis 25. September 2024 und stimmt mit der ICO-Fallseite überein.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 25.03.2026 · Direktlink

Der Krankenhausträger wurde zu 480.000 GBP Geldstrafe und 4.286,15 GBP Kosten verurteilt, nachdem ein Beschäftigter am 1. Februar 2022 beim Freimachen eines Abflusses bewusstlos in einem Schacht gefunden worden war und eine Hirnverletzung erlitt. Die Health and Safety Executive stellte fest, dass der Schacht nicht als enger Raum (confined space) erkannt und die Tätigkeit nicht angemessen beurteilt worden war; es gab kein sicheres Arbeitsverfahren für das Reinigen verstopfter Abflüsse, und das Haustechnik-Team war nicht für Arbeiten in engen Räumen geschult.

Behörde / Gericht

Wellingborough Magistrates' Court (Anklage: Health and Safety Executive)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Section 2(1) Health and Safety at Work etc. Act 1974

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Schuldbekenntnis.

Veröffentlicht

09.01.2024

Originalbetrag 480.000 GBP, umgerechnet zum EZB-Referenzkurs vom 09.01.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Unternehmensname anonymisiert seit 09.01.2026 · Direktlink

Die ICO sprach gegenüber einem englischen NHS-Klinikum eine Verwarnung aus. Nach den Feststellungen der ICO schickte eine Verwaltungskraft des Krankenhauses einen Terminbrief für die Untersuchung eines Kindes an eine falsche Adresse, nämlich an Angehörige der Mutter statt an den Vater; beigelegt war ein Informationsblatt, was bei der Familie erhebliche Belastung auslöste. Die ICO bemängelte, dass der Trust keinen dokumentierten Prozess und keine ausreichende Anleitung für den Umgang mit besonders sensibler Korrespondenz nachweisen konnte, die über ungewöhnliche Kanäle eingeht. Sie sah Verstöße gegen Art. 5(1)(f) und 5(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) und 5(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.12.2025 · Direktlink

Die ICO sprach gegenüber einem schottischen regionalen Gesundheitsdienst eine Verwarnung aus. Nach den Feststellungen der ICO gelangte eine unbefugte Person auf eine Krankenhausstation, erhielt mangels Identitätsprüfung und klarer Abläufe ein Übergabedokument mit personenbezogenen Daten und Gesundheitsdaten von 14 Patientinnen und Patienten und half bei der Versorgung eines Patienten mit; das Dokument wurde mitgenommen und nicht wiedergefunden. Die ICO bemängelte zudem, dass es kein Verfahren gab, um die Vernichtung solcher Dokumente am Schichtende zu dokumentieren, und dass die Schulungsquote der Organisation insgesamt bei 42 % lag. Sie sah einen Verstoß gegen Art. 5(1)(f) UK GDPR; in der Begründung verweist sie auch auf Art. 32(2) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR (in der Begründung zusätzlich Art. 32(2) UK GDPR); Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 23.11.2025 · Direktlink

Der Betreiber einer Klinik in Roehampton wurde zu 140.000 GBP Geldstrafe verurteilt; über die Kosten sollte später entschieden werden. Eine junge Patientin einer psychiatrischen Spezialstation war 2013 bewusstlos in einem Aufenthaltsraum aufgefunden worden und starb drei Tage später. Die Health and Safety Executive stellte fest, dass das Unternehmen die stationäre Behandlung nicht so organisiert hatte, dass Patientinnen und Patienten keinen Gesundheitsrisiken ausgesetzt waren.

Behörde / Gericht

Southwark Crown Court (Anklage: Health and Safety Executive)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Section 3(1) Health and Safety at Work etc. Act 1974

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Schuldbekenntnis.

Veröffentlicht

14.11.2023

Originalbetrag 140.000 GBP, umgerechnet zum EZB-Referenzkurs vom 14.11.2023.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Unternehmensname anonymisiert seit 14.11.2025 · Direktlink

Die ICO sprach gegenüber einem englischen NHS-Universitätsklinikum eine Verwarnung aus. Nach den Feststellungen der ICO fielen Überweisungen für ambulante Termine im elektronischen Überweisungssystem nach 180 Tagen aus der Arbeitsliste und gingen nach über 550 Tagen für das Krankenhaus verloren; der Trust hatte für die manuelle Nachbearbeitung weder einen formalen Prozess noch Schulungen eingerichtet. Betroffen waren 4.768 Personen: Bei 4.199 verzögerten sich die Überweisungen, bei 569 verschwanden die Daten aus dem System; manche warteten über zwei Jahre auf eine Behandlung. Die ICO sah einen Verstoß gegen Art. 5(1)(f) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 30.10.2025 · Direktlink

Der Gesundheitskonzern führte zwei Sätze von Buchhaltungsunterlagen und veröffentlichte zwischen März 2019 und Februar 2020 irreführende Finanzinformationen, die die Verschuldung um etwa 4 Mrd. USD zu niedrig auswiesen. Die FCA sprach eine öffentliche Rüge aus und verzichtete auf eine Geldbuße, um die Gläubiger nicht zu schmälern.

Behörde / Gericht

Financial Conduct Authority (FCA)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Marktmissbrauch und Insiderhandel

Rechtsgrundlage

Art. 15 i. V. m. Art. 12 Abs. 1 lit. c MAR; s. 123(3) FSMA 2000 (öffentliche Rüge)

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

17.11.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 30.08.2025 · Direktlink

Die ICO sprach gegenüber einem schottischen regionalen Gesundheitsdienst eine Verwarnung aus. Nach den Feststellungen der ICO teilten Beschäftigte eines Teams zwischen dem 1. April 2020 und dem 25. April 2022 in einer nicht genehmigten Messenger-Gruppe mit 26 Mitgliedern Patientendaten, darunter mindestens 533 Einträge mit Namen von Erwachsenen und Kindern, Telefonnummern, Geburtsdaten, Anschriften sowie Bilder mit klinischen Angaben; zudem wurde versehentlich eine unbefugte Person in die Gruppe aufgenommen. Die Gruppe diente während der Covid-19-Pandemie als Ersatz für Absprachen im Büro, ohne dass die Organisation davon wusste. Die ICO sah Verstöße gegen Art. 5(1)(f), 25(1) und 32(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 25(1) und 32(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 31.07.2025 · Direktlink

Die ICO sprach gegenüber einer nordirischen Patientenvertretung eine Verwarnung aus. Nach den Feststellungen der ICO versandte eine Beschäftigte am 20. Januar 2021 eine E-Mail an die 15 Mitglieder eines im Aufbau befindlichen Beratungsgremiums von Menschen mit Erfahrung von Geschlechtsdysphorie und setzte die Empfänger versehentlich in CC statt BCC; 13 der Adressen ließen Rückschlüsse auf die Person zu, sodass Gesundheitsdaten offengelegt wurden. Die ICO hielt E-Mail mit BCC angesichts der Sensibilität für ungeeignet und bemängelte fehlende Vorgaben zum Einsatz von BCC sowie eine veraltete E-Mail-Richtlinie. Sie sah Verstöße gegen Art. 5(1)(f) und 32(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) und 32(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 19.07.2025 · Direktlink

Die ICO sprach gegenüber einem englischen NHS-Universitätsklinikum eine Verwarnung aus. Nach den Feststellungen der ICO führte der Trust in Briefen standardmäßig die vollständigen Postanschriften weiterer Empfänger in Kopie auf, ohne deren Einwilligung einzuholen und ohne das Risiko zu bewerten; so wurde die Adresse einer betroffenen Person an den früheren Partner bzw. die frühere Partnerin dieser Person offengelegt, obwohl es zuvor Missbrauchsvorwürfe gegeben hatte. Die ICO bemängelte zudem das Fehlen eines Verfahrens zur Kennzeichnung solcher Konstellationen bei Elternkonflikten und fehlende Schulungen des Verwaltungspersonals. Sie sah einen Verstoß gegen Art. 5(1)(f) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 25.04.2025 · Direktlink

Die ICO sprach gegenüber einem schottischen regionalen Gesundheitsdienst eine Verwarnung aus. Nach den Feststellungen der ICO wurde am 13. Juni 2019 eine Einladung per E-Mail an 37 Personen verschickt, ohne die BCC-Funktion zu nutzen, sodass alle Empfänger die meist namenstragenden Adressen der anderen sehen konnten; da die Empfänger als wahrscheinliche Nutzer von HIV-Angeboten erkennbar waren, handelte es sich laut ICO voraussichtlich um Gesundheitsdaten. Eine betroffene Person erkannte mindestens vier andere Empfänger. Die ICO hielt die Nutzung von BCC für diese Gruppe nicht für die sicherste Lösung und sah Verstöße gegen Art. 5(1)(f), 32(1) und 25 UK GDPR. Laut Bescheid hatte die ICO eine Geldbuße von 35.000 Pfund erwogen, verzichtete aber wegen ihres seit Juni 2022 geänderten Vorgehens gegenüber dem öffentlichen Sektor darauf. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 32(1) und 25 UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.03.2025 · Direktlink

Die ICO sprach am 7. März 2023 gegenüber einem englischen NHS-Klinikverbund eine Verwarnung aus. Nach den Feststellungen der ICO lud der Trust vor dem Auslaufen der Lizenz eines elektronischen Dokumentenanzeigesystems die darin gespeicherten Patientenakten herunter, prüfte aber nicht, dass der Download unvollständig war; dadurch waren Daten von 1.159 Personen betroffen: Akten von 1.155 Personen waren vom 19. Januar 2020 bis 12. Oktober 2021 nicht zugänglich, Teile der Akten von vier Personen gingen dauerhaft verloren. Es fehlten eine Richtlinie zur Außerbetriebnahme und eine angemessene Aufsicht; die Behandlungsplanung einer Person war beeinträchtigt. Die ICO sah Verstöße gegen Art. 5(1)(f), 24(1) und 24(2) UK GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 24(1) und 24(2) UK GDPR; Verwarnung nach Art. 58 UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.03.2025 · Direktlink

Die ICO sprach am 10. November 2022 gegenüber einem Londoner NHS-Klinikum eine Verwarnung aus. Nach den Feststellungen der ICO speicherte der Trust von Mai 2013 an neun Jahre lang Hysteroskopie-Aufnahmen auf USB-Sticks, ohne sie entgegen der eigenen Richtlinie auf Servern zu sichern; die beiden verbliebenen verschlüsselten Sticks wurden am 5. April 2018 unzugänglich, betroffen waren 4.000 bis 10.000 Personen. Der Trust erkannte den Vorfall zunächst nicht als Datenpanne und meldete ihn verspätet; es fehlten Risikobewertungen, Schulungen und zuständige Information Asset Owner. Die ICO sah Verstöße gegen Art. 5(1)(f) und 24(1) UK GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) und 24(1) UK GDPR; Verwarnung nach Art. 58 UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 10.11.2024 · Direktlink