Wer wurde wofür sanktioniert?

Klinikpersonal öffnete die elektronische Gesundheitsakte einer Kollegin, um Dienstpläne während Covid zu organisieren, statt zu Behandlungszwecken. Technische Sperren, die den Zugriff auf behandelndes Personal begrenzen, fehlten; die Garante verhängte 24.000 Euro (Provvedimento Nr. 616).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, b, c, f, Art. 9, 25, 32 DSGVO; Art. 75 Codice privacy; Linee guida dossier sanitario

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im Sommer 2025 verschaffte sich ein Angreifer Zugriff auf die elektronische Patientenakte der Privatklinik und erlangte Daten von 524.867 Patientinnen und Patienten sowie 202.246 Vertrauenspersonen. Es fehlten VPN und Mehr-Faktor-Authentifizierung für externe Nutzer, eine angemessene Zugriffssteuerung und eine Erkennung auffälliger Aktivitäten; die Vertrauenspersonen wurden nicht benachrichtigt. Bußgeld 500.000 EUR (SAN-2026-009).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32, Art. 34

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

03.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das öffentliche Krankenhaus veröffentlichte von Mai bis Ende August 2024 versehentlich eine OP-Liste mit Telefonnummern, Erkrankungen und geplanten Eingriffen von Patientinnen und Patienten auf seiner Website; ein Bürger fand das Dokument über Google. Die Behörde verhängte insgesamt 25.000 EUR: 10.000 EUR für mangelnde Sicherheit, 2.000 EUR für die verspätete Meldung, 10.000 EUR für die unterlassene Benachrichtigung der Betroffenen und 3.000 EUR für fehlende DSB-Kontaktdaten.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1, 12, 13 i. V. m. 37 (Entscheidung 13/2026)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Auf Antrag eines Konkurrenten prüfte die KZK, dass das Labor landesweit über längere Zeiträume Pakete medizinischer Laboruntersuchungen kostenlos anbot (nur gegen eine Gebühr von 2 Lewa für die Blutentnahme) – ein Verhalten, das kein anderer Marktteilnehmer außerhalb gemeinsamer Kampagnen zeigte. Sie sah darin einen Verstoß gegen die Generalklausel des Lauterkeitsrechts (Art. 29 ZZK) und verhängte 0,3 % des Umsatzes 2024, also 52.096,55 Euro. Gegen die Entscheidung wurden Beschwerden eingelegt.

Behörde / Gericht

Комисия за защита на конкуренцията (КЗК, Bulgarische Wettbewerbskommission)

Rechtsgebiet

Kartellrecht und Wettbewerb

Rechtsgrundlage

Art. 29 ZZK (Generalklausel unlauterer Wettbewerb)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Gesundheitswesen

Veröffentlicht

02.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Im November 2018 verschlüsselten Angreifer Patientendaten im Laborinformationssystem des Midlands Regional Hospital Tullamore. Die DPC stellte Verstöße der HSE gegen Art. 5(1)(f), 28, 30, 32(1) und 34 DSGVO fest (u. a. unzureichende Sicherheit, lückenhafte Auftragsverarbeitungsverträge und Verarbeitungsverzeichnis, unvollständige Benachrichtigung Betroffener), erteilte einen Verweis, verhängte 300.000 Euro für die Sicherheitsmängel (Art. 5(1)(f) und 32(1)) und ordnete an, festgelegte Richtlinien und Verfahren zur sicheren Verarbeitung einzuführen.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 28, 30, 32(1), 34 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die CNIL verhängte gegen IQVIA Operations France eine Geldbuße von 5.000.000 EUR, weil die Gesellschaft bei zwei von der CNIL genehmigten Gesundheitsdatenlagern (Daten aus rund 14.000 Apotheken und mehreren Tausend Arztpraxen) die Auflagen der Genehmigungen nicht einhielt, u. a. bei Protokollauswertung, Mehrfaktor-Authentifizierung, Patienteninformation und Widerspruchsrecht. Zudem wurden Apothekenkunden nicht über die Weitergabe ihrer Daten informiert, eigene Studien ohne die erforderliche Genehmigung durchgeführt und über die Apothekensoftware Daten auch nach einer Ablehnung übermittelt (Art. 25 DSGVO). Die CNIL wertete die Daten als pseudonym, nicht anonym, und ordnete Abhilfe binnen sechs Monaten unter einem Zwangsgeld von 10.000 EUR je Tag an.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 66 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés); Art. 14 und 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Die Sicherheitsmängel wurden nach den Kontrollen behoben.

Veröffentlicht

28.05.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Vier Labore und ihr Verband stimmten Verhandlungen mit Krankenkassen über Preise ab, koordinierten sich in Ausschreibungen, tauschten sensible Informationen und teilten Kunden auf. Die Behörde verhängte erstinstanzlich 14.551.800 EUR und dreijährige Vergabesperren; Unilabs erhielt als Kronzeuge und im Vergleich eine stark reduzierte Buße.

Behörde / Gericht

Protimonopolný úrad Slovenskej republiky (PMÚ SR)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Slowakisches Wettbewerbsschutzgesetz (Kartellverbot)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Mildernde Umstände

Unilabs: Kronzeugenreduktion (50 %) und Vergleich (weitere 30 %).

Veröffentlicht

12.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ausgangspunkt war eine Beschwerde über unvollständige Herausgabe von Patientendaten; die Klinik ließ mehrere Anfragen der Aufsicht unbeantwortet. Die AKI ordnete an, die Verträge mit Align Technology (Invisalign) auf die DSGVO-Rollen hin zu überarbeiten (Art. 26/28 DSGVO), das Einwilligungsformular und die Datenschutzhinweise nach Art. 7, 9, 13 und 14 DSGVO anzupassen und auf Estnisch zu veröffentlichen; bei Nichterfüllung droht ein Zwangsgeld von 1.000 Euro je Punkt.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

§ 56 Abs. 1 IKS; Art. 58 Abs. 2 lit. d DSGVO i. V. m. Art. 5 Abs. 1 lit. a, 7, 9, 13, 14, 26, 28 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ein Hausarzt, der den Beschwerdeführer seit Januar 2023 nicht mehr betreute, rief bis August 2024 über seine Praxissoftware insgesamt 47-mal dessen Gesundheitsdaten (Befunde, Rezepte) in der nationalen E-Gesundheitsplattform EESZT ab und beantwortete einen Auskunftsantrag nicht. Die NAIH stellte Verstöße gegen Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2 und 15 Abs. 1 DSGVO fest, ordnete die Erfüllung des Auskunftsantrags an und verhängte 500.000 HUF.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2, 15 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

20.03.2026

Originalbetrag 500.000 HUF, umgerechnet zum EZB-Referenzkurs vom 20.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Parallel zur US-Declination schloss die PNF mit der US-Tochter des französischen Medizintechnikherstellers eine CJIP über 1.765.493 EUR (nach Anrechnung der US-Gewinnabschöpfung) und ein dreijähriges AFA-Compliance-Programm. Anlass war die Selbstanzeige der Balt SAS vom 22.05.2023 zu Vorgängen bei der übernommenen Blockade Medical.

Behörde / Gericht

Parquet national financier (PNF); Validierung durch den Präsidenten des Tribunal judiciaire de Paris

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

Art. 41-1-2 Code de procédure pénale (CJIP); aktive und passive Bestechung von Amtsträgern

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Beschäftigte

250 bis 999

Verschulden

vorsätzlich

Mildernde Umstände

Selbstanzeige bei PNF und DOJ; koordinierte Erledigung mit Anrechnung.

Haftung von Führungskräften

Die CJIP regelt nicht die strafrechtliche Lage natürlicher Personen.

Veröffentlicht

19.03.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der Geschäftsführer der Klinik meldete selbst, eine ehemalige Mitarbeiterin habe Kontaktdaten und Patientenakten aller Patienten kopiert und diese für eine neue Klinik abgeworben. In der anschließenden Untersuchung beantwortete die Klinik Anfragen der Aufsicht trotz Verwarnung und Anordnung nicht vollständig; die Aufsicht verhängte daher 10.190 Lei (2.000 Euro). Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Februar 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

20.02.2026

Originalbetrag 10.190 RON, umgerechnet zum EZB-Referenzkurs vom 20.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die beiden Unternehmen sprachen sich bei Ausschreibungen der Allgemeinen Krankenversicherung über Arzneimittellieferungen (2017–2020) ab. Aufgedeckt wurde das Kartell erstmals mit Hinweisen eines Whistleblowers; PHOENIX erhielt 7.595.200 EUR und ein einjähriges, TRANSMEDIC 201.800 EUR und ein dreijähriges Vergabeverbot (erstinstanzlich).

Behörde / Gericht

Protimonopolný úrad Slovenskej republiky (PMÚ SR)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Slowakisches Wettbewerbsschutzgesetz (Submissionsabsprache)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Mildernde Umstände

PHOENIX: Vergleich mit 30 % Bußgeldminderung und verkürzter Vergabesperre.

Veröffentlicht

24.02.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Krankenhaus der Gruppe hatte frühere MRT-Aufnahmen, die ein Patient zum Vergleich mitgebracht hatte, nach Ablauf einer internen Abholfrist aus dem Archiv entfernt, sodass sie nicht mehr verfügbar waren. Die AEPD verhängte je 100.000 Euro wegen Verarbeitung von Gesundheitsdaten ohne Rechtsgrundlage (Art. 9 und Art. 6) und 1.000.000 Euro wegen mangelnden Datenschutzes durch Technikgestaltung im Verfahren (Art. 25), zusammen 1.200.000 Euro.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 6, 9, 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

20.03.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Doctolib band Ärzte mit Exklusivitätsklauseln, koppelte die Telemedizin an das Terminbuchungs-Abo und übernahm 2018 den wichtigsten Konkurrenten, um ihn auszuschalten (Entscheidung 25-D-06). Geldbußen: 4,615 Mio. € für Exklusivität und Kopplung, 50.000 € für die Übernahme.

Behörde / Gericht

Autorité de la concurrence

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 102 AEUV, Art. L.420-2 Code de commerce

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Veröffentlicht

06.11.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Zwei Patientinnen erhielten trotz Auskunftsersuchen keine Kopien ihrer Scan-Dateien zum Behandlungsabschluss; die Praxis reagierte nur schleppend auf Anfragen und erschien nicht zu einem Termin bei der Aufsicht. Die AKI ordnete die Herausgabe nach Art. 15 Abs. 3 DSGVO oder eine begründete Ablehnung an und drohte ein Zwangsgeld von 2.000 Euro an.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

§ 56 Abs. 1 IKS; Art. 58 Abs. 2 lit. c, Art. 12 Abs. 4, Art. 15 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

In dem medizinischen Unternehmen war fast sechs Jahre lang der Vorstandsvorsitzende zugleich Datenschutzbeauftragter; aufgefallen war dies nach einer Meldung, dass einem Patienten Unterlagen einer anderen Person ausgehändigt wurden. Die Behörde sah einen Interessenkonflikt und verhängte 11.365 PLN.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 38 Abs. 6 DSGVO (DKN.5131.7.2025)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Im Juli 2024 wurde ein unabhängiger externer Datenschutzbeauftragter bestellt.

Veröffentlicht

29.09.2025

Originalbetrag 11.365 PLN, umgerechnet zum EZB-Referenzkurs vom 12.09.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine Praxis für ästhetische Behandlungen warb auf ihrer Website und auf Instagram mit Vorher-Nachher-Darstellungen für Hyaluron-Unterspritzungen an Nase und Kinn. Auf Klage einer Verbraucherzentrale bestätigte der BGH das Unterlassungsurteil des OLG Hamm: Solche Eingriffe gelten als operative plastisch-chirurgische Eingriffe, für die diese Werbung verboten ist.

Behörde / Gericht

Bundesgerichtshof (I. Zivilsenat), Az. I ZR 170/24

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

§ 11 Abs. 1 Satz 3 Nr. 1, § 1 Abs. 1 Nr. 2 Buchst. c HWG; UKlaG

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

31.07.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Online-Apotheke übermittelte 2018–2022 über Google- und Meta-Tracking Daten aus dem Einkauf, auch zu verschreibungspflichtigen Medikamenten, an die Tracking-Anbieter. Die Behörde verhängte 1,1 Mio. EUR und eine Verwarnung; das Verwaltungsgericht Helsinki bestätigte am 01.06.2026 den Verstoß, hob aber das Bußgeld auf, weil unklar sei, ob der Universitätsapotheke überhaupt ein Bußgeld auferlegt werden darf (nicht rechtskräftig).

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio; Helsingin hallinto-oikeus

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

DSGVO Art. 9, Art. 25, Art. 32

Maßnahme

Bußgeld

Verfahrensstand

aufgehoben

Branche

Gesundheitswesen

Veröffentlicht

04.06.2025

Betrag in EUR; für diese Währung liegt kein EZB-Referenzkurs vor.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Gesundheitsdienstleister (Name geschwärzt) korrigierte trotz Aufforderung die Anschrift einer Patientin nicht, sodass Gesundheitsberichte an Dritte gingen, und nutzte Adressdaten aus dem Wählerregister ohne Rechtsgrundlage. Der IDPC sprach eine Rüge aus, ordnete Berichtigung, Löschung der Registerdaten und die Benennung eines Datenschutzbeauftragten an und verhängte Bußen von 12.500, 5.000 und 2.500 Euro.

Behörde / Gericht

Information and Data Protection Commissioner (IDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und d, Art. 6 Abs. 1, Art. 14, 16, 37 Abs. 1 lit. c DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Marktgericht verhängte gegen den Pflegedienstleister Attendo Suomi Oy eine Sanktionszahlung von 1.500.000 EUR wegen Behinderung einer unangekündigten Nachprüfung der Wettbewerbsbehörde im Januar 2023: Eine Führungskraft löschte nach Beginn der Nachprüfung auf einem auch dienstlich genutzten Mobiltelefon Chatverläufe und das Anrufprotokoll. Es war die erste Sanktion wegen eines solchen Verfahrensverstoßes in Finnland; die Behörde hatte 4.373.760 EUR beantragt, das Gericht gab Attendos eigenen Maßnahmen, darunter der raschen Wiederherstellung der gelöschten Chats, deutlich mehr Gewicht.

Behörde / Gericht

Markkinaoikeus (Marktgericht) auf Antrag des Kilpailu- ja kuluttajavirasto (KKV)

Rechtsgebiet

Kartellrecht und Wettbewerb

Rechtsgrundlage

Kilpailulaki (948/2011) 37 a § 1 mom. 1 kohta i. V. m. 35 § und 37 §

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Schulungen und Anweisungen der Beschäftigten zum Verhalten bei Nachprüfungen schon vor dem Vorfall; rasche Wiederherstellung und Übergabe der gelöschten Chats aus einer Sicherung; kein erlangter Vorteil und keine früheren Sanktionen wegen Verfahrensverstößen.

Veröffentlicht

31.03.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink