Wer wurde wofür sanktioniert?

Klinikpersonal öffnete die elektronische Gesundheitsakte einer Kollegin, um Dienstpläne während Covid zu organisieren, statt zu Behandlungszwecken. Technische Sperren, die den Zugriff auf behandelndes Personal begrenzen, fehlten; die Garante verhängte 24.000 Euro (Provvedimento Nr. 616).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, b, c, f, Art. 9, 25, 32 DSGVO; Art. 75 Codice privacy; Linee guida dossier sanitario

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das laut BIS kleine Neurotechnik-Unternehmen aus Dallas lieferte 2022/23 in acht Fällen neuronale Datenerfassungssysteme („OmniPlex“) samt Zubehör im Wert von rund 179.000 USD über seinen asiatischen Vertriebspartner an die chinesische Academy of Military Medical Sciences, die seit Dezember 2021 auf der Entity List steht. Die Strafe von 1,7 Mio. USD wird für fünf Jahre ausgesetzt und danach erlassen, sofern Plexon ein externes Audit seines Exportkontrollprogramms fristgerecht vorlegt und keine weiteren Verstöße begeht; ebenso ausgesetzt ist eine fünfjährige Sperre der Exportrechte, zudem muss Plexon Exportkontrollschulungen durchführen.

Behörde / Gericht

U.S. Department of Commerce, Bureau of Industry and Security (BIS)

Rechtsgebiet

Sanktionen und Exportkontrolle · Exportkontrolle und Dual-Use

Rechtsgrundlage

Export Administration Regulations, 15 C.F.R. § 764.2(a), § 744.11

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Strafe und Exportsperre für fünf Jahre vollständig ausgesetzt, gebunden an ein externes Exportkontroll-Audit.

Veröffentlicht

14.08.2026

Originalbetrag 1.700.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Das Labor aus Houston soll Kickbacks gezahlt und medizinisch unnötige Gentests bei Medicare und Medicaid abgerechnet haben. Die Vergleiche mit dem Labor und weiteren Beteiligten summieren sich auf 36,4 Mio. USD (gemeinsame Summe); das Labor unterliegt einer Corporate Integrity Agreement.

Behörde / Gericht

U.S. Department of Justice

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Originalbetrag 36.400.000 USD, umgerechnet zum EZB-Referenzkurs vom 30.07.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Im Sommer 2025 verschaffte sich ein Angreifer Zugriff auf die elektronische Patientenakte der Privatklinik und erlangte Daten von 524.867 Patientinnen und Patienten sowie 202.246 Vertrauenspersonen. Es fehlten VPN und Mehr-Faktor-Authentifizierung für externe Nutzer, eine angemessene Zugriffssteuerung und eine Erkennung auffälliger Aktivitäten; die Vertrauenspersonen wurden nicht benachrichtigt. Bußgeld 500.000 EUR (SAN-2026-009).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32, Art. 34

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

03.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Labor aus Florida stellte zuweisenden Ärzten Beratungsleistungen unter Marktwert zur Verfügung und zahlte unabhängigen Beratern zuweisungsabhängige Vergütungen für das Anwerben von Ärzten. Nach einer Selbstanzeige zahlte NeoGenomics 9.813.260 USD.

Behörde / Gericht

U.S. Department of Justice

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Selbstanzeige der Vergütungsvereinbarungen.

Originalbetrag 9.813.260 USD, umgerechnet zum EZB-Referenzkurs vom 20.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das öffentliche Krankenhaus veröffentlichte von Mai bis Ende August 2024 versehentlich eine OP-Liste mit Telefonnummern, Erkrankungen und geplanten Eingriffen von Patientinnen und Patienten auf seiner Website; ein Bürger fand das Dokument über Google. Die Behörde verhängte insgesamt 25.000 EUR: 10.000 EUR für mangelnde Sicherheit, 2.000 EUR für die verspätete Meldung, 10.000 EUR für die unterlassene Benachrichtigung der Betroffenen und 3.000 EUR für fehlende DSB-Kontaktdaten.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1, 12, 13 i. V. m. 37 (Entscheidung 13/2026)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Auf Antrag eines Konkurrenten prüfte die KZK, dass das Labor landesweit über längere Zeiträume Pakete medizinischer Laboruntersuchungen kostenlos anbot (nur gegen eine Gebühr von 2 Lewa für die Blutentnahme) – ein Verhalten, das kein anderer Marktteilnehmer außerhalb gemeinsamer Kampagnen zeigte. Sie sah darin einen Verstoß gegen die Generalklausel des Lauterkeitsrechts (Art. 29 ZZK) und verhängte 0,3 % des Umsatzes 2024, also 52.096,55 Euro. Gegen die Entscheidung wurden Beschwerden eingelegt.

Behörde / Gericht

Комисия за защита на конкуренцията (КЗК, Bulgarische Wettbewerbskommission)

Rechtsgebiet

Kartellrecht und Wettbewerb

Rechtsgrundlage

Art. 29 ZZK (Generalklausel unlauterer Wettbewerb)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Gesundheitswesen

Veröffentlicht

02.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Im Virologielabor des Lehrkrankenhauses fiel der Deckel einer Zentrifuge auf eine Beschäftigte, die ihn wegen einer defekten Gasdruckfeder von Hand offen halten musste; sie wurde schwer verletzt. Wartungsberichte von 2023 und 2024 hatten den Austausch der Feder bereits gefordert. Geldstrafe 65.000 CA$ plus Opferzuschlag.

Behörde / Gericht

Provincial Offences Court Hamilton (Ermittlung: Ontario Ministry of Labour, Immigration, Training and Skills Development)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Section 25(1)(b) Occupational Health and Safety Act (Ontario)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Schuldeingeständnis; Reparatur zwei Tage nach dem Unfall.

Veröffentlicht

21.07.2026

Originalbetrag 65.000 CAD, umgerechnet zum EZB-Referenzkurs vom 18.06.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Pathologielabor aus Arkansas und seine Managementgesellschaft sollen unzulässige Kickbacks gewährt und medizinisch unnötige Untersuchungen veranlasst haben. Der Vergleich über 30 Mio. USD ist eine gemeinsame Zahlung aller Vergleichsparteien; das Labor schloss eine Corporate Integrity Agreement.

Behörde / Gericht

U.S. Department of Justice

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Originalbetrag 30.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 17.06.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Monash IVF erhob über Tracking-Pixel von Drittanbietern auf seiner Website für Kinderwunschbehandlungen sensible Informationen von Besucherinnen und Besuchern. Die Privacy Commissioner entschied, dass das Verfolgen von Besuchern gesundheitsbezogener Websites mit anschließender gezielter Werbung in sozialen Netzwerken eine Erhebung sensibler Daten ist, die eine Einwilligung erfordert, und stellte Verstöße gegen APP 3.3, 5.1, 5.2 und 7.1 fest. Monash IVF darf das Vorgehen nicht fortsetzen oder wiederholen und muss festgelegte Abhilfeschritte umsetzen; am selben Tag erging eine gleichgerichtete Entscheidung gegen den Telemedizinanbieter Medmate Australia.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Privacy Act 1988 (Cth), APP 3.3, 5.1, 5.2, 7.1

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

24.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Im November 2018 verschlüsselten Angreifer Patientendaten im Laborinformationssystem des Midlands Regional Hospital Tullamore. Die DPC stellte Verstöße der HSE gegen Art. 5(1)(f), 28, 30, 32(1) und 34 DSGVO fest (u. a. unzureichende Sicherheit, lückenhafte Auftragsverarbeitungsverträge und Verarbeitungsverzeichnis, unvollständige Benachrichtigung Betroffener), erteilte einen Verweis, verhängte 300.000 Euro für die Sicherheitsmängel (Art. 5(1)(f) und 32(1)) und ordnete an, festgelegte Richtlinien und Verfahren zur sicheren Verarbeitung einzuführen.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 28, 30, 32(1), 34 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die gemeinnützige Klinikgruppe Ascension wollte AmSurg für 3,9 Mrd. USD übernehmen. Wegen Überschneidungen bei ambulanten Operationen in fünf Regionen verlangt die FTC den Verkauf von sieben AmSurg-Zentren an SC Affiliates und eine Gastroenterologie-Praxis sowie Übergangsunterstützung.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Section 7 Clayton Act; Section 5 FTC Act (Consent Order)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die CNIL verhängte gegen IQVIA Operations France eine Geldbuße von 5.000.000 EUR, weil die Gesellschaft bei zwei von der CNIL genehmigten Gesundheitsdatenlagern (Daten aus rund 14.000 Apotheken und mehreren Tausend Arztpraxen) die Auflagen der Genehmigungen nicht einhielt, u. a. bei Protokollauswertung, Mehrfaktor-Authentifizierung, Patienteninformation und Widerspruchsrecht. Zudem wurden Apothekenkunden nicht über die Weitergabe ihrer Daten informiert, eigene Studien ohne die erforderliche Genehmigung durchgeführt und über die Apothekensoftware Daten auch nach einer Ablehnung übermittelt (Art. 25 DSGVO). Die CNIL wertete die Daten als pseudonym, nicht anonym, und ordnete Abhilfe binnen sechs Monaten unter einem Zwangsgeld von 10.000 EUR je Tag an.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 66 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés); Art. 14 und 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Die Sicherheitsmängel wurden nach den Kontrollen behoben.

Veröffentlicht

28.05.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Der Anbieter mobiler PET-Scans aus Kalifornien soll zuweisenden Kardiologen überhöhte Honorare für die Beaufsichtigung der Untersuchungen gezahlt haben, um Zuweisungen zu sichern. Der Vergleich über 8.334.350,71 USD zuzüglich umsatzabhängiger Zahlungen richtet sich nach der Zahlungsfähigkeit; dazu kommt eine Corporate Integrity Agreement.

Behörde / Gericht

U.S. Department of Justice / U.S. Attorney's Office, Central District of California

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Originalbetrag 8.334.350,71 USD, umgerechnet zum EZB-Referenzkurs vom 30.04.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der District Court of NSW verurteilte LiveBetter Services Limited nach einer Untersuchung von SafeWork NSW wegen eines Verstoßes gegen ss 32/19(2) des Work Health and Safety Act 2011 zu 675.000 AUD. Im Februar 2022 war eine Teilnehmerin des National Disability Insurance Scheme (NDIS) in ein Bad mit zu heißem Wasser gesetzt worden, erlitt schwere Verbrennungen und starb an den Verletzungen.

Behörde / Gericht

SafeWork NSW

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Work Health and Safety Act 2011 (NSW) ss 32/19(2)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Originalbetrag 675.000 AUD, umgerechnet zum EZB-Referenzkurs vom 30.04.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Vier Labore und ihr Verband stimmten Verhandlungen mit Krankenkassen über Preise ab, koordinierten sich in Ausschreibungen, tauschten sensible Informationen und teilten Kunden auf. Die Behörde verhängte erstinstanzlich 14.551.800 EUR und dreijährige Vergabesperren; Unilabs erhielt als Kronzeuge und im Vergleich eine stark reduzierte Buße.

Behörde / Gericht

Protimonopolný úrad Slovenskej republiky (PMÚ SR)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Slowakisches Wettbewerbsschutzgesetz (Kartellverbot)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Mildernde Umstände

Unilabs: Kronzeugenreduktion (50 %) und Vergleich (weitere 30 %).

Veröffentlicht

12.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ausgangspunkt war eine Beschwerde über unvollständige Herausgabe von Patientendaten; die Klinik ließ mehrere Anfragen der Aufsicht unbeantwortet. Die AKI ordnete an, die Verträge mit Align Technology (Invisalign) auf die DSGVO-Rollen hin zu überarbeiten (Art. 26/28 DSGVO), das Einwilligungsformular und die Datenschutzhinweise nach Art. 7, 9, 13 und 14 DSGVO anzupassen und auf Estnisch zu veröffentlichen; bei Nichterfüllung droht ein Zwangsgeld von 1.000 Euro je Punkt.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

§ 56 Abs. 1 IKS; Art. 58 Abs. 2 lit. d DSGVO i. V. m. Art. 5 Abs. 1 lit. a, 7, 9, 13, 14, 26, 28 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ein Hausarzt, der den Beschwerdeführer seit Januar 2023 nicht mehr betreute, rief bis August 2024 über seine Praxissoftware insgesamt 47-mal dessen Gesundheitsdaten (Befunde, Rezepte) in der nationalen E-Gesundheitsplattform EESZT ab und beantwortete einen Auskunftsantrag nicht. Die NAIH stellte Verstöße gegen Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2 und 15 Abs. 1 DSGVO fest, ordnete die Erfüllung des Auskunftsantrags an und verhängte 500.000 HUF.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 5 Abs. 2, 6 Abs. 1, 9 Abs. 2, 12 Abs. 2, 15 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

20.03.2026

Originalbetrag 500.000 HUF, umgerechnet zum EZB-Referenzkurs vom 20.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Parallel zur US-Declination schloss die PNF mit der US-Tochter des französischen Medizintechnikherstellers eine CJIP über 1.765.493 EUR (nach Anrechnung der US-Gewinnabschöpfung) und ein dreijähriges AFA-Compliance-Programm. Anlass war die Selbstanzeige der Balt SAS vom 22.05.2023 zu Vorgängen bei der übernommenen Blockade Medical.

Behörde / Gericht

Parquet national financier (PNF); Validierung durch den Präsidenten des Tribunal judiciaire de Paris

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

Art. 41-1-2 Code de procédure pénale (CJIP); aktive und passive Bestechung von Amtsträgern

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Beschäftigte

250 bis 999

Verschulden

vorsätzlich

Mildernde Umstände

Selbstanzeige bei PNF und DOJ; koordinierte Erledigung mit Anrechnung.

Haftung von Führungskräften

Die CJIP regelt nicht die strafrechtliche Lage natürlicher Personen.

Veröffentlicht

19.03.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Über Scheinberaterverträge, fingierte Rechnungen und angebliche Bonuszahlungen flossen 2017 bis 2023 rund 602.000 USD Bestechungsgelder über einen belgischen Berater an einen Arzt in leitender Funktion eines staatlichen französischen Krankenhauses, damit dieses Embolisationsspiralen von Balt kaufte. Das DOJ verzichtete wegen Selbstanzeige, Kooperation und Abhilfe auf eine Anklage (Declination vom 17.03.2026); Balt gibt 1.214.797 USD Gewinn heraus.

Behörde / Gericht

U.S. Department of Justice (Criminal Division, Fraud Section)

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

FCPA; Corporate Enforcement and Voluntary Self-Disclosure Policy (Declination)

Maßnahme

Gewinnabschöpfung

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Mildernde Umstände

Freiwillige Selbstanzeige (auch bei der französischen PNF), volle Kooperation, zeitnahe Abhilfe, Disziplinarmaßnahmen, parallele Einigung in Frankreich.

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

19.03.2026

Originalbetrag 1.214.797 USD, umgerechnet zum EZB-Referenzkurs vom 17.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Das Labor aus Sarasota bezahlte zwischen Januar und Juni 2023 unabhängige Marketer dafür, ihm Laborproben von Medicare-Versicherten zuzuführen. Es zeigte das Verhalten selbst an, kooperierte umfassend und zahlte 980.000 USD.

Behörde / Gericht

U.S. Attorney's Office, Middle District of Florida

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Freiwillige Selbstanzeige, detaillierte Offenlegung und Kooperation.

Originalbetrag 980.000 USD, umgerechnet zum EZB-Referenzkurs vom 05.03.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Geschäftsführer der Klinik meldete selbst, eine ehemalige Mitarbeiterin habe Kontaktdaten und Patientenakten aller Patienten kopiert und diese für eine neue Klinik abgeworben. In der anschließenden Untersuchung beantwortete die Klinik Anfragen der Aufsicht trotz Verwarnung und Anordnung nicht vollständig; die Aufsicht verhängte daher 10.190 Lei (2.000 Euro). Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Februar 2026 abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

20.02.2026

Originalbetrag 10.190 RON, umgerechnet zum EZB-Referenzkurs vom 20.02.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach der Tragödie beim Lapu-Lapu-Day-Festival 2025 griffen 36 Beschäftigte dreier Gesundheitsbehörden in 71 Fällen unbefugt auf Patientendaten von 16 eingelieferten Personen zu. Die Betroffenen wurden nicht ohne unangemessene Verzögerung informiert; der Beauftragte sprach neun Empfehlungen aus, u. a. automatisierte Zugriffsüberwachung und abschreckende Disziplinarmaßnahmen.

Behörde / Gericht

Office of the Information and Privacy Commissioner for British Columbia (OIPC BC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Freedom of Information and Protection of Privacy Act (FIPPA) BC, s. 25.1

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Mildernde Umstände

Angemessene Schutzmaßnahmen waren vorhanden; die Behörden reagierten schnell und nahmen alle Empfehlungen an.

Veröffentlicht

18.02.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die beiden Unternehmen sprachen sich bei Ausschreibungen der Allgemeinen Krankenversicherung über Arzneimittellieferungen (2017–2020) ab. Aufgedeckt wurde das Kartell erstmals mit Hinweisen eines Whistleblowers; PHOENIX erhielt 7.595.200 EUR und ein einjähriges, TRANSMEDIC 201.800 EUR und ein dreijähriges Vergabeverbot (erstinstanzlich).

Behörde / Gericht

Protimonopolný úrad Slovenskej republiky (PMÚ SR)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Slowakisches Wettbewerbsschutzgesetz (Submissionsabsprache)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Mildernde Umstände

PHOENIX: Vergleich mit 30 % Bußgeldminderung und verkürzter Vergabesperre.

Veröffentlicht

24.02.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Krankenhaus (bis 2015 Hudson Valley Hospital Center) soll einer Onkologiepraxis in Westchester Millionenbeträge gezahlt haben, damit sie Patienten an die Klinik überweist; die Leistungen rechnete das Krankenhaus bei Medicare und Medicaid ab. Die Staatsanwaltschaft reichte Klage ein und schloss zugleich einen Vergleich über 6,8 Mio. USD.

Behörde / Gericht

U.S. Attorney's Office, Southern District of New York

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Originalbetrag 6.800.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.12.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut FTC bewarb die Telemedizin-Firma GLP-1-Abnehmprogramme mit Monatspreisen, die Medikament, Laborkosten und ärztliche Beratung nicht enthielten, verschwieg Mindestlaufzeit und Kündigungsgebühren, veröffentlichte gefälschte Testimonials von Beschäftigten und Angehörigen und bewegte Kundinnen und Kunden mit Gutscheinen oder Erstattungen dazu, negative Bewertungen zu löschen. Nach der endgültigen Vergleichsanordnung zahlt das Unternehmen gemeinsam mit weiteren Verpflichteten 150.000 USD (gemeinsame Zahlung), die für Rückerstattungen vorgesehen sind.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Gefälschte Bewertungen

Rechtsgrundlage

Section 5 FTC Act; Restore Online Shoppers' Confidence Act (ROSCA)

Maßnahme

Gewinnabschöpfung

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

03.12.2025

Originalbetrag 150.000 USD, umgerechnet zum EZB-Referenzkurs vom 03.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Ein Krankenhaus der Gruppe hatte frühere MRT-Aufnahmen, die ein Patient zum Vergleich mitgebracht hatte, nach Ablauf einer internen Abholfrist aus dem Archiv entfernt, sodass sie nicht mehr verfügbar waren. Die AEPD verhängte je 100.000 Euro wegen Verarbeitung von Gesundheitsdaten ohne Rechtsgrundlage (Art. 9 und Art. 6) und 1.000.000 Euro wegen mangelnden Datenschutzes durch Technikgestaltung im Verfahren (Art. 25), zusammen 1.200.000 Euro.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 6, 9, 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

20.03.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Eine Prüfung nach mehreren Sicherheitsvorfällen ergab, dass das Laborunternehmen die Vorfälle weder dem Information Regulator noch den betroffenen Personen gemeldet hatte. Nach einer Enforcement Notice, die es nicht befolgte, erhielt es eine Infringement Notice mit 100.000 ZAR Geldbuße, die inzwischen bezahlt ist.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Protection of Personal Information Act 4 of 2013 (POPIA), s. 22

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

13.11.2025

Originalbetrag 100.000 ZAR, umgerechnet zum EZB-Referenzkurs vom 13.11.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Doctolib band Ärzte mit Exklusivitätsklauseln, koppelte die Telemedizin an das Terminbuchungs-Abo und übernahm 2018 den wichtigsten Konkurrenten, um ihn auszuschalten (Entscheidung 25-D-06). Geldbußen: 4,615 Mio. € für Exklusivität und Kopplung, 50.000 € für die Übernahme.

Behörde / Gericht

Autorité de la concurrence

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 102 AEUV, Art. L.420-2 Code de commerce

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Veröffentlicht

06.11.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Zwei Patientinnen erhielten trotz Auskunftsersuchen keine Kopien ihrer Scan-Dateien zum Behandlungsabschluss; die Praxis reagierte nur schleppend auf Anfragen und erschien nicht zu einem Termin bei der Aufsicht. Die AKI ordnete die Herausgabe nach Art. 15 Abs. 3 DSGVO oder eine begründete Ablehnung an und drohte ein Zwangsgeld von 2.000 Euro an.

Behörde / Gericht

Andmekaitse Inspektsioon (AKI)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

§ 56 Abs. 1 IKS; Art. 58 Abs. 2 lit. c, Art. 12 Abs. 4, Art. 15 DSGVO

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Auf Antrag des Australian Information Commissioner verhängte der Federal Court of Australia die ersten Zivilstrafen nach dem Privacy Act 1988: Australian Clinical Labs (ACL) hatte die personenbezogenen Daten auf den IT-Systemen seines Geschäftsbereichs Medlab Pathology nicht angemessen geschützt; bei einem Cyberangriff im Februar 2022 wurden dort Daten von mehr als 223.000 Menschen abgegriffen. Die Strafe von zusammen 5,8 Mio. AUD setzt sich aus 4,2 Mio. AUD für die unzureichenden Schutzmaßnahmen (APP 11.1), 800.000 AUD dafür, dass ACL nicht angemessen und zügig prüfte, ob eine meldepflichtige Datenpanne vorlag, und 800.000 AUD für die verspätete Meldung an den Commissioner zusammen. ACL räumte die Verstöße ein; Haftung und Strafhöhe beruhten mutmaßlich auf gemeinsamen Anträgen der Parteien.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act 1988 (Cth) s 13G(a) i. V. m. APP 11.1; s 26WH(2); s 26WK(2)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Kooperation mit der Untersuchung, laufendes Programm zur Verbesserung der Cybersicherheit, Entschuldigungen und Eingeständnis der Haftung.

Haftung von Führungskräften

Das Gericht hielt fest, dass die oberste Führungsebene an den Entscheidungen zur Einbindung der Medlab-Systeme und zur Bewertung des Angriffs beteiligt war.

Veröffentlicht

09.10.2025

Originalbetrag 5.800.000 AUD, umgerechnet zum EZB-Referenzkurs vom 08.10.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

In dem medizinischen Unternehmen war fast sechs Jahre lang der Vorstandsvorsitzende zugleich Datenschutzbeauftragter; aufgefallen war dies nach einer Meldung, dass einem Patienten Unterlagen einer anderen Person ausgehändigt wurden. Die Behörde sah einen Interessenkonflikt und verhängte 11.365 PLN.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 38 Abs. 6 DSGVO (DKN.5131.7.2025)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Im Juli 2024 wurde ein unabhängiger externer Datenschutzbeauftragter bestellt.

Veröffentlicht

29.09.2025

Originalbetrag 11.365 PLN, umgerechnet zum EZB-Referenzkurs vom 12.09.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine Praxis für ästhetische Behandlungen warb auf ihrer Website und auf Instagram mit Vorher-Nachher-Darstellungen für Hyaluron-Unterspritzungen an Nase und Kinn. Auf Klage einer Verbraucherzentrale bestätigte der BGH das Unterlassungsurteil des OLG Hamm: Solche Eingriffe gelten als operative plastisch-chirurgische Eingriffe, für die diese Werbung verboten ist.

Behörde / Gericht

Bundesgerichtshof (I. Zivilsenat), Az. I ZR 170/24

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

§ 11 Abs. 1 Satz 3 Nr. 1, § 1 Abs. 1 Nr. 2 Buchst. c HWG; UKlaG

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

31.07.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Anbieter ambulanter Suchtbehandlung in Minnesota zahlt 18.500.000 USD zur Beilegung von Vorwürfen nach dem False Claims Act und schloss mit dem HHS-OIG eine fünfjährige Corporate Integrity Agreement. Nach Angaben der US-Bundesstaatsanwaltschaft vergütete NUWAY von Januar 2019 bis Februar 2025 Medicaid-Patienten dafür, dass sie eine intensive ambulante Behandlung in Anspruch nahmen, und rechnete zudem Leistungen ab, bei denen derselbe Zeitraum doppelt gezählt wurde. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. Attorney's Office, District of Minnesota (U.S. Department of Justice)

Rechtsgebiet

Korruption und Bestechung · Geschenke, Einladungen und Zuwendungen

Rechtsgrundlage

False Claims Act; Anti-Kickback Statute

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

26.06.2025

Originalbetrag 18.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 26.06.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Von April bis September 2023 nutzten Angreifer wiederverwendete Zugangsdaten, um auf Daten von 155.592 Personen im Vereinigten Königreich zuzugreifen, darunter Herkunft, Stammbäume und Gesundheitsangaben. Es fehlten MFA, sichere Passwortregeln und wirksame Überwachung; trotz Auffälligkeiten im Juli 2023 begann die volle Untersuchung erst im Oktober. Gemeinsame Untersuchung mit dem kanadischen Datenschutzbeauftragten.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Beschäftigte

250 bis 999

Verschulden

fahrlässig

Veröffentlicht

17.06.2025

Originalbetrag 2.310.000 GBP, umgerechnet zum EZB-Referenzkurs vom 05.06.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Online-Apotheke übermittelte 2018–2022 über Google- und Meta-Tracking Daten aus dem Einkauf, auch zu verschreibungspflichtigen Medikamenten, an die Tracking-Anbieter. Die Behörde verhängte 1,1 Mio. EUR und eine Verwarnung; das Verwaltungsgericht Helsinki bestätigte am 01.06.2026 den Verstoß, hob aber das Bußgeld auf, weil unklar sei, ob der Universitätsapotheke überhaupt ein Bußgeld auferlegt werden darf (nicht rechtskräftig).

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio; Helsingin hallinto-oikeus

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

DSGVO Art. 9, Art. 25, Art. 32

Maßnahme

Bußgeld

Verfahrensstand

aufgehoben

Branche

Gesundheitswesen

Veröffentlicht

04.06.2025

Betrag in EUR; für diese Währung liegt kein EZB-Referenzkurs vor.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Tribunal des CADE verurteilte den Bundesrat der Physio- und Ergotherapeuten, weil er über Resolutionen, Beschlüsse und jährlich aktualisierte Referenztabellen verbindliche Mindestpreise für die Leistungen der Berufsangehörigen festgelegt und so ein einheitliches Marktverhalten gefördert hatte. Neben einer Geldbuße von 3.103.583,65 BRL muss COFFITO auf verbindliche Preistabellen verzichten, alle Verweise darauf von seinen Websites entfernen (Zwangsgeld 5.000,00 BRL pro Tag) und die Entscheidung auf Website und in sozialen Netzwerken veröffentlichen; gegen den Regionalrat der 15. Region ruht das Verfahren wegen eines Vergleichs. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Conselho Administrativo de Defesa Econômica (CADE), Tribunal Administrativo

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Lei nº 12.529/2011; Art. 38 und 39 (Nebenanordnungen)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

10.04.2025

Originalbetrag 3.103.583,65 BRL, umgerechnet zum EZB-Referenzkurs vom 09.04.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Ein Gesundheitsdienstleister (Name geschwärzt) korrigierte trotz Aufforderung die Anschrift einer Patientin nicht, sodass Gesundheitsberichte an Dritte gingen, und nutzte Adressdaten aus dem Wählerregister ohne Rechtsgrundlage. Der IDPC sprach eine Rüge aus, ordnete Berichtigung, Löschung der Registerdaten und die Benennung eines Datenschutzbeauftragten an und verhängte Bußen von 12.500, 5.000 und 2.500 Euro.

Behörde / Gericht

Information and Data Protection Commissioner (IDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und d, Art. 6 Abs. 1, Art. 14, 16, 37 Abs. 1 lit. c DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Marktgericht verhängte gegen den Pflegedienstleister Attendo Suomi Oy eine Sanktionszahlung von 1.500.000 EUR wegen Behinderung einer unangekündigten Nachprüfung der Wettbewerbsbehörde im Januar 2023: Eine Führungskraft löschte nach Beginn der Nachprüfung auf einem auch dienstlich genutzten Mobiltelefon Chatverläufe und das Anrufprotokoll. Es war die erste Sanktion wegen eines solchen Verfahrensverstoßes in Finnland; die Behörde hatte 4.373.760 EUR beantragt, das Gericht gab Attendos eigenen Maßnahmen, darunter der raschen Wiederherstellung der gelöschten Chats, deutlich mehr Gewicht.

Behörde / Gericht

Markkinaoikeus (Marktgericht) auf Antrag des Kilpailu- ja kuluttajavirasto (KKV)

Rechtsgebiet

Kartellrecht und Wettbewerb

Rechtsgrundlage

Kilpailulaki (948/2011) 37 a § 1 mom. 1 kohta i. V. m. 35 § und 37 §

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Schulungen und Anweisungen der Beschäftigten zum Verhalten bei Nachprüfungen schon vor dem Vorfall; rasche Wiederherstellung und Übergabe der gelöschten Chats aus einer Sicherung; kein erlangter Vorteil und keine früheren Sanktionen wegen Verfahrensverstößen.

Veröffentlicht

31.03.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Nach einem Hinweis der Militärmedizinischen Akademie (VMA) stellte die KZK fest, dass das Zentrum seine gynäkologische Praxis mit Schildern „МЦ „ЛЮЛИН МЕД“ АГ – ВМА ФИЛИАЛ“ und entsprechenden Online-Angaben als VMA-Filiale darstellte. Wegen Irreführung (Art. 31 ZZK) verhängte sie 0,4 % des Umsatzes 2023, also 9.236 Lewa. Gegen die Entscheidung wurde Beschwerde eingelegt.

Behörde / Gericht

Комисия за защита на конкуренцията (КЗК, Bulgarische Wettbewerbskommission)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 31 ZZK (Irreführung)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Gesundheitswesen

Originalbetrag 9.236 BGN, umgerechnet zum EZB-Referenzkurs vom 06.02.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bard und drei verbundene Gesellschaften zahlen 17 Mio. USD zur Beilegung von Vorwürfen nach dem False Claims Act des Bundes und Gesetzen mehrerer Bundesstaaten. Zwischen 2016 und Februar 2020 sollen sie Urologiepraxen Rabatte, übermäßige Gratisproben und Einsparungen bei Praxisbedarf gewährt haben, damit diese Einmalkatheter standardmäßig über Bards eigenes „Link“-Rezeptformular verordnen; eine Haftung wurde nicht festgestellt. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. Attorney's Office, Northern District of Georgia (U.S. Department of Justice)

Rechtsgebiet

Korruption und Bestechung · Geschenke, Einladungen und Zuwendungen

Rechtsgrundlage

False Claims Act; Anti-Kickback Statute (42 U.S.C. § 1320a-7b); False-Claims-Gesetze mehrerer Bundesstaaten

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

23.01.2025

Originalbetrag 17.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.01.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die Controladoria-Geral da União (CGU) verhängte gegen die Associação da Irmandade da Santa Casa de Misericórdia de Pacaembu, einen als Organização Social im Gesundheitswesen tätigen Trägerverein, eine Geldbuße von 47.391.386,87 BRL, die außerordentliche Veröffentlichung der Entscheidung und eine Erklärung der Vergabeunwürdigkeit. Nach dem Abschlussbericht manipulierte der Verein das Auswahlverfahren für die Leitung des Feldlazaretts Hangar in Belém (Pará), betrog bei der Ausführung des Managementvertrags für ein Regionalkrankenhaus in Belém und setzte vorgeschobene natürliche und juristische Personen ein, um seine wirklichen Interessen zu verschleiern.

Behörde / Gericht

Controladoria-Geral da União (CGU)

Rechtsgebiet

Korruption und Bestechung

Rechtsgrundlage

Lei nº 12.846/2013, Art. 5 III und IV b und d, Art. 6, Art. 14; Lei nº 8.666/1993, Art. 87 IV und Art. 88 II und III

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

28.01.2025

Originalbetrag 47.391.386,87 BRL, umgerechnet zum EZB-Referenzkurs vom 23.01.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Nach einem Ransomware-Angriff im Jahr 2021 – dem zweiten nach einem Angriff 2019 – stellte die Streitsachenkammer fest, dass ein belgisches Krankenhaus u. a. keine Datenschutz-Folgenabschätzung, keine wirksame Informationssicherheitsrichtlinie, kein ausreichendes Verfahren für Sicherheitsupdates seiner Software und kein echtes Schulungs- und Sensibilisierungsprogramm für das Personal hatte. Sie verhängte am 17. Dezember 2024 eine Geldbuße von 200.000 EUR, ordnete Abhilfemaßnahmen an und wies den Einwand zurück, das Krankenhaus sei als öffentliche Stelle nicht bußgeldfähig. Der Marktgerichtshof hob die Entscheidung am 3. September 2025 teilweise auf und setzte die Geldbuße auf 50.000 EUR herab; die Datenschutzbehörde hat dagegen Kassationsbeschwerde eingelegt. Die Entscheidung ist nicht rechtskräftig. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Autorité de protection des données / Gegevensbeschermingsautoriteit (APD/GBA) – Chambre Contentieuse

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 24, Art. 32 und Art. 35 Abs. 3 DSGVO; Art. 58 Abs. 2 lit. d und i sowie Art. 83 DSGVO; Art. 100 § 1 9° und 13° sowie Art. 101 LCA

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Die Kammer senkte den Ausgangsbetrag von 390.000 EUR auf 200.000 EUR, vor allem wegen der finanziellen Schwierigkeiten des Krankenhauses, der Covid-19-Krise als mildernder Umstand und einer neu bewerteten Dauer des Verstoßes.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Direktlink

Der Medizintechnikhersteller täuschte Anleger über regulatorische Risiken der Alaris-Infusionspumpe mit über 25 Softwarefehlern und verbuchte die Behebungskosten nicht, wodurch das operative Ergebnis im 4. Quartal 2019 um 82 % überhöht war. BD zahlt 175 Mio. USD und muss einen unabhängigen Compliance-Berater bestellen.

Behörde / Gericht

U.S. Securities and Exchange Commission (SEC)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten

Rechtsgrundlage

Antifraud-, Reporting-, Buchführungs-, interne Kontroll- und Disclosure-Controls-Vorschriften der US-Wertpapiergesetze

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Originalbetrag 175.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 16.12.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem United Lincolnshire Teaching Hospitals NHS Trust eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete der Klinikverbund zwischen März 2021 und März 2022 32 % der Auskunftsersuchen betroffener Personen nicht innerhalb der gesetzlichen Frist von einem Monat. Die ICO sah darin Verstöße gegen die Vorgaben zur fristgerechten Auskunft.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Beschäftigte

1.000 bis 9.999

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Das kalifornische Krankenhaus zahlt 10.250.000 USD (9.518.954 USD an den Bund, 731.046 USD an den Staat Kalifornien) und schloss mit dem HHS-OIG eine fünfjährige Corporate Integrity Agreement. Vorgeworfen war, dass es Ärzten, die über stationäre Aufnahmen entschieden, Boni nach der Zahl der aufgenommenen Patienten zahlte, medizinisch nicht notwendige stationäre Aufnahmen abrechnete und falsche Diagnosecodes für SIRS angab. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. Attorney's Office, Eastern District of California (U.S. Department of Justice)

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

False Claims Act; Anti-Kickback Statute

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

12.12.2024

Originalbetrag 10.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 12.12.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Eine GmbH mit diagnostischem Labor (Name pseudonymisiert), die in der Pandemie mit rund 200 Beschäftigten täglich bis zu 45.000 PCR-Analysen durchführte, hatte ihren Geschäftsführer zugleich als Datenschutzbeauftragten benannt. Wegen des damit verbundenen Interessenkonflikts verhängte die DSB 5.000 Euro; das Straferkenntnis ist rechtskräftig.

Behörde / Gericht

Datenschutzbehörde (DSB)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 37, Art. 38 Abs. 6 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Beschäftigte

50 bis 249

Haftung von Führungskräften

Geschäftsführer war zugleich als Datenschutzbeauftragter benannt – unzulässiger Interessenkonflikt.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine dänische gemeinnützige Organisation im Gesundheitsbereich meldete 2019 und 2020 Diebstähle von Computern aus ihren Büros sowie Phishing-Angriffe; laut Datatilsynet waren mindestens 1.448 Personen betroffen, teils mit Gesundheitsdaten. Obwohl die Organisation nach einem Angriff 2018 selbst Multifaktor-Authentifizierung für nötig gehalten hatte, fehlten diese und eine Verschlüsselung der Rechner. Ein dänisches Stadtgericht verurteilte sie rechtskräftig zu 75.000 DKK (Empfehlung der Datatilsynet und Antrag der Anklage: 800.000 DKK).

Behörde / Gericht

Københavns Byret (auf Anzeige der Datatilsynet)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32 Abs. 1; databeskyttelsesloven § 41

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Wiederholungsfall

ja

Originalbetrag 75.000 DKK, umgerechnet zum EZB-Referenzkurs vom 01.10.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 01.10.2026 · Direktlink

In einer Pflegeeinrichtung des Anbieters ging ein Teil der Papierakte eines Bewohners verloren, was im August 2021 bei einer Sonderprüfung auffiel. Obwohl Beschäftigte den Vorfall als meldepflichtig einstuften und die Gesundheitsbehörde sowie später der Health and Disability Commissioner auf eine Meldung drangen, informierte das Unternehmen das Office of the Privacy Commissioner erst im Oktober 2023. Der Privacy Commissioner stellte am 24. September 2024 einen Verstoß gegen die Meldepflicht und eine mangelhafte Dokumentenverwaltung fest und nannte das Unternehmen öffentlich.

Behörde / Gericht

Office of the Privacy Commissioner (OPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act 2020, s 114

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Konstruktive Zusammenarbeit; Einführung eines elektronischen Dokumentenmanagements mit Zugriffskontrollen, Schulungen der Beschäftigten, eines Plans für Datenpannen und einer geänderten Managementstruktur.

Veröffentlicht

24.09.2024

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 24.09.2026 · Direktlink

Die DVI prüfte mehrere Beschwerden gegen das staatliche Krankenhaus, u. a. zur Verarbeitung von Patienten- und Gesundheitsdaten durch einen Arzthelfer und zu einer unbeantworteten Auskunftsanfrage. Weil die Klinik die angeforderten Informationen nicht lieferte, verhängte die Behörde 2.000 Euro wegen Verstoßes gegen die Kooperationspflicht.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 58 Abs. 1, Art. 83 Abs. 5 lit. e DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

vorsätzlich

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 18.09.2026 · Direktlink

Eine Spezialklinik aus dem Raum Rijeka (Name nicht veröffentlicht) verlor 2019 unwiederbringlich radiologische Bilder von Patienten, weil sie keine Sicherungskopien anlegte, und meldete den Vorfall nicht, obwohl die Leitung informiert war. Die AZOP verhängte 190.000 Euro, u. a. auch wegen fehlenden Auftragsverarbeitungsvertrags, Gesprächsaufzeichnungen ohne Rechtsgrundlage und Nichteinbindung der Datenschutzbeauftragten.

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. e, Art. 6, 12, 13, 28 Abs. 3, 32 Abs. 1 lit. b, 33 Abs. 1, 38 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

13.09.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 13.09.2026 · Direktlink

Das Gesundheitsunternehmen ließ Beschäftigte zwischen Juli 2019 und Juli 2023 in 98 Arbeits-, Aufhebungs-, Halte- und Vergleichsvereinbarungen auf mögliche Prämien für Hinweise an Behörden verzichten; in 56 weiteren Aufhebungs- und Vergleichsvereinbarungen mussten sie auf Beschwerden bei Bundesbehörden verzichten. Im Rahmen einer Sammelaktion gegen sieben börsennotierte Unternehmen zahlte das Unternehmen 1.386.000 US-Dollar; die Vertragsvorlagen wurden angepasst.

Behörde / Gericht

U.S. Securities and Exchange Commission

Rechtsgebiet

Hinweisgeberschutz · Repressalien gegen Hinweisgeber

Rechtsgrundlage

Securities Exchange Act of 1934, Rule 21F-17(a)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Teilweise Anpassung der Vorlagen schon vor Kontakt durch die SEC, Information der Betroffenen und Kooperation

Veröffentlicht

09.09.2024

Originalbetrag 1.386.000 USD, umgerechnet zum EZB-Referenzkurs vom 09.09.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.09.2026 · Direktlink

Die CNIL verhängte gegen einen französischen Arztsoftware-Anbieter eine Geldbuße von 800.000 EUR, weil über seine Praxissoftware Patientendaten für eine Gesundheitsdatenbank ohne die nach Art. 66 Loi Informatique et Libertés erforderliche Genehmigung verarbeitet und zudem Daten aus dem Abrechnungs-Teledienst HRi der Krankenversicherung erhoben wurden, auf den nur Ärzte zugreifen dürfen (Art. 5 Abs. 1 lit. a DSGVO). Der Conseil d'État wies die Klage am 13. Februar 2026 ab und bestätigte, dass die pseudonymisierten Daten wegen des Reidentifizierungsrisikos personenbezogen sind.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 66 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés); Art. 5 Abs. 1 lit. a DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Das Unternehmen reichte im Verfahren die erforderlichen Genehmigungsanträge ein; eine Anordnung erging deshalb nicht.

Veröffentlicht

12.09.2024

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 05.09.2026 · Direktlink

Die IMY verhängte gegen die Apothekenkette eine Geldbuße von 37.000.000 SEK, weil das Unternehmen vom 19. Januar 2020 bis 25. April 2022 beim Einsatz des Analysewerkzeugs Meta-Pixel auf seiner Website keine geeigneten technischen und organisatorischen Maßnahmen getroffen hatte. Über die aktivierte Funktion zum erweiterten Abgleich gelangten bei Käufen Kontaktangaben einschließlich Personennummern in gehashter Form sowie Angaben zu gekauften, teils sensiblen Produkten an Meta; laut Vorfallsmeldung waren schätzungsweise 500.001 bis 1.000.000 Personen betroffen. Die Apothekenkette erfuhr durch einen Hinweis von außen davon; Bemessungsgrundlage war der Jahresumsatz 2023 von 23,27 Mrd. SEK.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 DSGVO; Art. 58 Abs. 2 und Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Die IMY berücksichtigte bei der Schwere, dass die Daten gehasht an einen einzigen Empfänger gingen und bereits Schutzmaßnahmen bestanden; Meldung, Zusammenarbeit und spätere Abhilfe wertete sie als neutral.

Originalbetrag 37.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 29.08.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 29.08.2026 · Direktlink

Die CNIL verhängte gegen eine zu einer französischen Unternehmensgruppe gehörende Statistikgesellschaft eine Geldbuße von 800.000 EUR, weil sie ohne die nach Art. 66 Loi Informatique et Libertés erforderliche Genehmigung zwei Datenbanken mit Gesundheitsdaten aus Arztpraxen und aus Apotheken betrieb; Ende März 2021 enthielten sie Daten zu 13,4 Mio. Arztbesuchen mit 4 Mio. Patientencodes bzw. rund 78 Mio. Kennungen. Der Conseil d'État wies die Klage am 13. Februar 2026 ab: Die Daten seien nur pseudonymisiert und daher personenbezogen.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 66 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Das Unternehmen reichte im Verfahren die erforderlichen Genehmigungsanträge ein; eine Anordnung erging deshalb nicht.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 28.08.2026 · Direktlink

Die texanische Generalstaatsanwaltschaft hat mit einem texanischen Anbieter generativer KI für Krankenhäuser eine Zusicherung freiwilliger Einhaltung (Assurance of Voluntary Compliance) geschlossen und dem Gericht zur Genehmigung vorgelegt. Der Anbieter hatte die Genauigkeit seiner Software, die Patientendaten für das Klinikpersonal zusammenfasst, unter anderem mit einer Rate schwerer „Halluzinationen“ von unter 1 zu 100.000 beworben; die Behörde hielt diese Kennzahlen für wahrscheinlich unzutreffend und irreführend. Für fünf Jahre muss der Anbieter solche Kennzahlen in der Werbung klar erläutern oder durch einen unabhängigen Prüfer belegen lassen und seinen Kunden Risiken, Grenzen und den angemessenen Einsatz der Produkte offenlegen; das Unternehmen bestreitet jedes Fehlverhalten, eine Zahlung ist nicht vorgesehen.

Behörde / Gericht

Office of the Attorney General of Texas, Consumer Protection Division

Rechtsgebiet

KI und digitale Regulierung · KI-Systeme

Rechtsgrundlage

Texas Deceptive Trade Practices–Consumer Protection Act (DTPA), Tex. Bus. & Com. Code §§ 17.41–17.63; Zusicherung nach § 17.58

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

18.09.2024

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 21.08.2026 · Direktlink

Der Dialysekonzern soll Kickbacks gezahlt haben, um Zuweisungen an seine frühere Apothekentochter zu fördern, und Nephrologen sowie Gefäßchirurgen Vorteile gewährt haben, damit sie Patienten in die Dialysezentren des Konzerns schicken. Der Konzern zahlte 34.487.390 USD.

Behörde / Gericht

U.S. Department of Justice

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Beschäftigte

10.000 und mehr

Originalbetrag 34.487.390 USD, umgerechnet zum EZB-Referenzkurs vom 18.07.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 18.07.2026 · Direktlink

Drei ambulante Pflegedienste in Texas, Ohio und Indiana sowie ihre Muttergesellschaft sollen Einrichtungen des betreuten Wohnens und Ärzten Kickbacks für Medicare-Zuweisungen gewährt haben. Sie zahlten 4.496.330 USD.

Behörde / Gericht

U.S. Department of Justice

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Originalbetrag 4.496.330 USD, umgerechnet zum EZB-Referenzkurs vom 01.07.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 01.07.2026 · Direktlink

In der Pflegeeinrichtung arbeiteten Beschäftigte bis zu 24 Stunden am Tag an sieben Tagen die Woche, durften das Gelände nicht verlassen, mussten Pausen durcharbeiten und erhielten keinen Überstundenlohn. Der Vergleich über 658.948 USD umfasst 608.948 USD für 34 Beschäftigte (u. a. Überstunden, Pausen-Ausgleich) und 50.000 USD Zivilstrafen.

Behörde / Gericht

California Labor Commissioner's Office (Division of Labor Standards Enforcement)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitszeit

Rechtsgrundlage

California Labor Code (Überstunden, Meal and Rest Periods, Mindestlohn)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Originalbetrag 658.948 USD, umgerechnet zum EZB-Referenzkurs vom 12.06.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.06.2026 · Direktlink

Die medizinische Körperschaft versprach Personen, die zur Grippeimpfung in eine von ihr betriebene internistische Klinik kamen, einen Nachlass auf die Impfkosten, wenn sie die Klinik auf Google Maps mit fünf oder vier Sternen bewerteten. Die so entstandenen Bewertungen waren für Verbraucher nicht als vom Anbieter veranlasste Werbung erkennbar; die Anordnung verpflichtete dazu, ihre Anzeige zu beenden, Verbraucher aufzuklären und Vorkehrungen zu treffen, die auch das medizinische Personal einbeziehen.

Behörde / Gericht

Consumer Affairs Agency (消費者庁, CAA)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Gefälschte Bewertungen

Rechtsgrundlage

Art. 7 Abs. 1 i. V. m. Art. 5 Nr. 3 (Bekanntmachung zu Stealth-Marketing) Act against Unjustifiable Premiums and Misleading Representations (不当景品類及び不当表示防止法, Gesetz Nr. 134/1962)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

07.06.2024

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 06.06.2026 · Direktlink

Der Hersteller von Wirbelsäulenimplantaten aus Utah soll Chirurgen Kickbacks gezahlt haben, damit sie die Produkte des Herstellers verwenden. Der Vergleich über 12 Mio. USD ist eine gemeinsame Zahlung des Unternehmens und weiterer Vergleichsparteien; HHS-OIG stellte das Unternehmen unter verschärfte Beobachtung.

Behörde / Gericht

U.S. Department of Justice

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Anti-Kickback Statute (42 U.S.C. § 1320a-7b(b)); False Claims Act (31 U.S.C. §§ 3729 ff.)

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Originalbetrag 12.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 29.05.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 6 · Unternehmensname anonymisiert seit 29.05.2026 · Direktlink

Die ICO sprach gegenüber einem englischen NHS-Universitätsklinikum eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete das Krankenhaus zwischen dem 1. August 2022 und dem 1. Juli 2023 nur 59 % der Auskunftsersuchen fristgerecht; am 30. Januar 2024 waren noch 621 Ersuchen offen. Bis Januar 2021 wurden die Ersuchen in alphabetischer Reihenfolge bearbeitet, zudem verlängerte das Haus Fristen pauschal, ohne die Betroffenen zu informieren. Die ICO sah Verstöße gegen Art. 12(3), 15(1) und 15(3) UK GDPR. Das Datum ergibt sich aus der im Bescheid gesetzten Sechsmonatsfrist bis 25. September 2024 und stimmt mit der ICO-Fallseite überein.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 25.03.2026 · Direktlink

Das Medizintechnikunternehmen verschickte Service-E-Mails zu einer App für Diabetespatienten so, dass die Adressen von Hunderten Empfängern für alle sichtbar waren, weil sie in das offene Adressfeld statt in die Blindkopie gesetzt wurden; damit gelangten Gesundheitsdaten an Unbefugte. Zudem fehlte in der Datenschutzinformation für Patienten die Rechtsgrundlage für die Weitergabe von Daten an Gesundheitsfachkräfte. Der Garante verhängte insgesamt 300.000 EUR: 250.000 EUR für die Datenpanne und 50.000 EUR für die unvollständige Information.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und f, 9, 12, 13 und 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Mildernd: keine Beschwerden, überarbeitete Verfahren, ergänzte Datenschutzinformation und hohe Kooperation; die Verstöße galten als nicht vorsätzlich.

Veröffentlicht

07.03.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 08.02.2026 · Direktlink

Die Controladoria-Geral da União (CGU) verhängte gegen einen Gesundheitsdienstleister eine Geldbuße von 21.697.740,49 BRL, die außerordentliche Veröffentlichung der Entscheidung und eine Erklärung der Vergabeunwürdigkeit. Nach dem Abschlussbericht hatte das Unternehmen in Vergaben des Gesundheitsministeriums für Arzneimittel gegen seltene Krankheiten (Aldurazyme, Myozyme, Fabrazyme) Angebote abgegeben, ohne zum Vertrieb dieser Mittel berechtigt zu sein, vereinbarte Mengen nicht fristgerecht geliefert und sich Vorauszahlungen zum Nachteil der Staatskasse angeeignet. Den Antrag auf Überprüfung wies die CGU am 15.06.2025 zurück.

Behörde / Gericht

Controladoria-Geral da União (CGU)

Rechtsgebiet

Korruption und Bestechung

Rechtsgrundlage

Lei nº 12.846/2013, Art. 5 IV b und d, Art. 6; Lei nº 8.666/1993, Art. 87 IV und Art. 88 II und III

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

12.01.2024

Originalbetrag 21.697.740,49 BRL, umgerechnet zum EZB-Referenzkurs vom 09.01.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 09.01.2026 · Direktlink

Der Krankenhausträger wurde zu 480.000 GBP Geldstrafe und 4.286,15 GBP Kosten verurteilt, nachdem ein Beschäftigter am 1. Februar 2022 beim Freimachen eines Abflusses bewusstlos in einem Schacht gefunden worden war und eine Hirnverletzung erlitt. Die Health and Safety Executive stellte fest, dass der Schacht nicht als enger Raum (confined space) erkannt und die Tätigkeit nicht angemessen beurteilt worden war; es gab kein sicheres Arbeitsverfahren für das Reinigen verstopfter Abflüsse, und das Haustechnik-Team war nicht für Arbeiten in engen Räumen geschult.

Behörde / Gericht

Wellingborough Magistrates' Court (Anklage: Health and Safety Executive)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Section 2(1) Health and Safety at Work etc. Act 1974

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Schuldbekenntnis.

Veröffentlicht

09.01.2024

Originalbetrag 480.000 GBP, umgerechnet zum EZB-Referenzkurs vom 09.01.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Unternehmensname anonymisiert seit 09.01.2026 · Direktlink

Die Kammer untersagte ihren Mitgliedern seit 2015 per Berufsordnung, Leistungen unter Listenpreis, mit Rabatten oder kostenlos anzubieten sowie für Preise und Aktionen zu werben – auch online. Als erste Entscheidung nach dem neuen Gesetz und im ersten Vergleichsverfahren verhängte die Wettbewerbsbehörde 43.000 EUR.

Behörde / Gericht

Javna agencija Republike Slovenije za varstvo konkurence (AVK)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 5 ZPOmK-2, Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Vergleich mit Anerkenntnis der Verantwortung.

Veröffentlicht

22.01.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.12.2025 · Direktlink

Die ICO sprach gegenüber einem englischen NHS-Klinikum eine Verwarnung aus. Nach den Feststellungen der ICO schickte eine Verwaltungskraft des Krankenhauses einen Terminbrief für die Untersuchung eines Kindes an eine falsche Adresse, nämlich an Angehörige der Mutter statt an den Vater; beigelegt war ein Informationsblatt, was bei der Familie erhebliche Belastung auslöste. Die ICO bemängelte, dass der Trust keinen dokumentierten Prozess und keine ausreichende Anleitung für den Umgang mit besonders sensibler Korrespondenz nachweisen konnte, die über ungewöhnliche Kanäle eingeht. Sie sah Verstöße gegen Art. 5(1)(f) und 5(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) und 5(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.12.2025 · Direktlink

Das Gesundheitsprodukte-Unternehmen vollzog einen Zusammenschluss, der wegen der Marktanteilsschwelle anmeldepflichtig war, ohne vorherige Anmeldung und Freigabe durch die Wettbewerbsbehörde; angemeldet wurde erst nachträglich. Im Vergleichsverfahren mit Geständnis und voller Kooperation setzte die AdC eine Geldbuße von 75.000 Euro fest – die erste, deren Erlös vollständig an den Staat, namentlich den neuen Fonds zur Förderung der Verbraucherrechte, fließt.

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Lei da Concorrência, Art. 37 Abs. 1 lit. a (Anmeldepflicht nach Marktanteilsschwelle) und Vollzugsverbot vor Freigabe

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Volle Kooperation, nachträgliche Anmeldung, Vergleichsverfahren mit Geständnis.

Veröffentlicht

20.12.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 19.12.2025 · Direktlink

Mit der abschließenden Entscheidung im Teleradiologie-Kartell (fünf Adressaten) verhängte die Wettbewerbsbehörde Geldbußen von 1.648.800 EUR: 1.139.200 EUR, 503.600 EUR und 6.000 EUR gegen die drei verurteilten Unternehmen. Zusätzlich schloss sie die drei verurteilten Unternehmen für ein Jahr von öffentlichen Ausschreibungen für Teleradiologie aus; zwei weitere Kartellbeteiligte waren bereits 2022 im Vergleichsweg sanktioniert worden (Gesamtsumme des Verfahrens 6.889.300 EUR).

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 9 Lei n.º 19/2012 (Lei da Concorrência); Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

15.01.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 18.12.2025 · Direktlink

Der an Euronext Growth notierte Anbieter von Gesundheitsprodukten verbreitete zwischen Oktober 2017 und Mai 2019 in zwölf Pressemitteilungen und im Jahresfinanzbericht 2017 falsche oder irreführende Angaben, u. a. einen um nicht belegte Bestellungen eines Abnehmers erhöhten Umsatz 2017 (10,5 statt 9,74 Mio. EUR), zu positive Angaben zur Einführung einer eigenen Telemedizin-Station und zu Ziehungen aus Wandelanleihe-Finanzierungen. Die Sanktionskommission der AMF verhängte 200.000 EUR gegen den Anbieter und 100.000 EUR gegen den Finanzierer, der Netto-Leerverkaufspositionen in Aktien des Anbieters nicht gemeldet und veröffentlicht hatte. Der Betrag umfasst nur die Sanktionen gegen die beiden Unternehmen. Ob diese rechtskräftig sind, ist hier nicht geprüft.

Behörde / Gericht

Autorité des marchés financiers (AMF), Commission des sanctions

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Marktmissbrauch und Insiderhandel

Rechtsgrundlage

Art. 12 Abs. 1 lit. c, Art. 12 Abs. 4 und Art. 15 MAR; Art. 5 und 6 Verordnung (EU) Nr. 236/2012 (Leerverkäufe) und Art. 223-37 RG AMF (Negma)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Der Anbieter kooperierte und führte nach einem Wechsel der Leitung Abhilfemaßnahmen ein (unabhängige Verwaltungsratsmitglieder, Trennung von Vorsitz und Geschäftsführung, mehrstufige Freigabe von Pressemitteilungen, Insider-Werkzeug); deren Wirksamkeit prüfte die Kommission nicht.

Veröffentlicht

29.11.2023

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 27.11.2025 · Direktlink

Die ICO sprach gegenüber einem schottischen regionalen Gesundheitsdienst eine Verwarnung aus. Nach den Feststellungen der ICO gelangte eine unbefugte Person auf eine Krankenhausstation, erhielt mangels Identitätsprüfung und klarer Abläufe ein Übergabedokument mit personenbezogenen Daten und Gesundheitsdaten von 14 Patientinnen und Patienten und half bei der Versorgung eines Patienten mit; das Dokument wurde mitgenommen und nicht wiedergefunden. Die ICO bemängelte zudem, dass es kein Verfahren gab, um die Vernichtung solcher Dokumente am Schichtende zu dokumentieren, und dass die Schulungsquote der Organisation insgesamt bei 42 % lag. Sie sah einen Verstoß gegen Art. 5(1)(f) UK GDPR; in der Begründung verweist sie auch auf Art. 32(2) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR (in der Begründung zusätzlich Art. 32(2) UK GDPR); Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 23.11.2025 · Direktlink

Der Betreiber einer Klinik in Roehampton wurde zu 140.000 GBP Geldstrafe verurteilt; über die Kosten sollte später entschieden werden. Eine junge Patientin einer psychiatrischen Spezialstation war 2013 bewusstlos in einem Aufenthaltsraum aufgefunden worden und starb drei Tage später. Die Health and Safety Executive stellte fest, dass das Unternehmen die stationäre Behandlung nicht so organisiert hatte, dass Patientinnen und Patienten keinen Gesundheitsrisiken ausgesetzt waren.

Behörde / Gericht

Southwark Crown Court (Anklage: Health and Safety Executive)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Section 3(1) Health and Safety at Work etc. Act 1974

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Schuldbekenntnis.

Veröffentlicht

14.11.2023

Originalbetrag 140.000 GBP, umgerechnet zum EZB-Referenzkurs vom 14.11.2023.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Unternehmensname anonymisiert seit 14.11.2025 · Direktlink

Die ICO sprach gegenüber einem englischen NHS-Universitätsklinikum eine Verwarnung aus. Nach den Feststellungen der ICO fielen Überweisungen für ambulante Termine im elektronischen Überweisungssystem nach 180 Tagen aus der Arbeitsliste und gingen nach über 550 Tagen für das Krankenhaus verloren; der Trust hatte für die manuelle Nachbearbeitung weder einen formalen Prozess noch Schulungen eingerichtet. Betroffen waren 4.768 Personen: Bei 4.199 verzögerten sich die Überweisungen, bei 569 verschwanden die Daten aus dem System; manche warteten über zwei Jahre auf eine Behandlung. Die ICO sah einen Verstoß gegen Art. 5(1)(f) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 30.10.2025 · Direktlink

Unbefugte hatten im April/Mai 2022 per Brute-Force-Angriff bei einem Dienstleister auf rund 3,6 Mio. Datensätze (Namen, E-Mail-Adressen, Mobilnummern) aus dem E-Statement-Dienst der Apothekenkette zugegriffen; die Behörde stellte schwache Passwörter, fehlendes Monitoring, einen fehlenden schriftlichen Vertrag mit dem Auftragsverarbeiter und die unterlassene Benachrichtigung der Betroffenen fest. Mit dem Enforcement Notice vom 31. August 2023 ordnete sie u. a. eine Datenschutz-Folgenabschätzung, einen Incident-Response-Plan, Maßnahmen nach PCI DSS und schriftliche Verträge mit allen Auftragsverarbeitern an; im März 2024 bestätigte sie die Umsetzung und schloss den Fall.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Sections 19(1)(b), 19(2), 19(3), 21(1) und 22(1)(b) Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

01.09.2023

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 31.08.2025 · Direktlink

Der Gesundheitskonzern führte zwei Sätze von Buchhaltungsunterlagen und veröffentlichte zwischen März 2019 und Februar 2020 irreführende Finanzinformationen, die die Verschuldung um etwa 4 Mrd. USD zu niedrig auswiesen. Die FCA sprach eine öffentliche Rüge aus und verzichtete auf eine Geldbuße, um die Gläubiger nicht zu schmälern.

Behörde / Gericht

Financial Conduct Authority (FCA)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Marktmissbrauch und Insiderhandel

Rechtsgrundlage

Art. 15 i. V. m. Art. 12 Abs. 1 lit. c MAR; s. 123(3) FSMA 2000 (öffentliche Rüge)

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

17.11.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 30.08.2025 · Direktlink

Beschäftigte der chinesischen Tochter des Konzerns luden 2014 bis 2018 Gesundheitsbeamte staatlicher Kunden zu angeblichen Konferenzen und Fortbildungen ins Ausland ein, die tatsächlich oft Sightseeing und Unterhaltung waren; bezahlt wurde über ein eingeweihtes Reisebüro. Zahlung von 3.538.897 USD Gewinnabschöpfung, 1.042.721 USD Zinsen und 2 Mio. USD Strafe.

Behörde / Gericht

U.S. Securities and Exchange Commission (SEC)

Rechtsgebiet

Korruption und Bestechung · Geschenke, Einladungen und Zuwendungen

Rechtsgrundlage

FCPA Buchführungs- und interne Kontrollvorschriften

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Beschäftigte

10.000 und mehr

Verschulden

vorsätzlich

Mildernde Umstände

Prompte Selbstanzeige nach Kenntnis, Kooperation (u. a. Zeugen, Dokumente) und umfangreiche Abhilfemaßnahmen.

Veröffentlicht

25.08.2023

Originalbetrag 6.581.618 USD, umgerechnet zum EZB-Referenzkurs vom 25.08.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 25.08.2025 · Direktlink

Der CADE-Tribunal verurteilte die Bundeskammer der Zahnärzte einstimmig zu einer Geldbuße von 752.700 BRL, weil ihre Vorgaben (Resolution Nr. 118/2012) Zahnärzten das Gewähren von Rabatten und die Annahme von Rabattkarten untersagten. Die Kammer muss die Resolution binnen 180 Tagen ändern, darauf gestützte Disziplinarverfahren binnen 90 Tagen einstellen und die Entscheidung 90 Tage lang auf ihrer Website bekannt machen; bei Nichtbefolgung drohen 10.000 BRL pro Tag und Verstoß. Das Verfahren gegen einen Regionalrat wurde wegen eines Vergleichs (TCC) ausgesetzt.

Behörde / Gericht

Conselho Administrativo de Defesa Econômica (CADE), Tribunal Administrativo

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Lei nº 12.529/2011 (Lei de Defesa da Concorrência), Nebenanordnungen nach Art. 38 und 39

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

16.08.2023

Originalbetrag 752.700 BRL, umgerechnet zum EZB-Referenzkurs vom 16.08.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 16.08.2025 · Direktlink

Die ICO sprach gegenüber einem schottischen regionalen Gesundheitsdienst eine Verwarnung aus. Nach den Feststellungen der ICO teilten Beschäftigte eines Teams zwischen dem 1. April 2020 und dem 25. April 2022 in einer nicht genehmigten Messenger-Gruppe mit 26 Mitgliedern Patientendaten, darunter mindestens 533 Einträge mit Namen von Erwachsenen und Kindern, Telefonnummern, Geburtsdaten, Anschriften sowie Bilder mit klinischen Angaben; zudem wurde versehentlich eine unbefugte Person in die Gruppe aufgenommen. Die Gruppe diente während der Covid-19-Pandemie als Ersatz für Absprachen im Büro, ohne dass die Organisation davon wusste. Die ICO sah Verstöße gegen Art. 5(1)(f), 25(1) und 32(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 25(1) und 32(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 31.07.2025 · Direktlink

Die ICO sprach gegenüber einer nordirischen Patientenvertretung eine Verwarnung aus. Nach den Feststellungen der ICO versandte eine Beschäftigte am 20. Januar 2021 eine E-Mail an die 15 Mitglieder eines im Aufbau befindlichen Beratungsgremiums von Menschen mit Erfahrung von Geschlechtsdysphorie und setzte die Empfänger versehentlich in CC statt BCC; 13 der Adressen ließen Rückschlüsse auf die Person zu, sodass Gesundheitsdaten offengelegt wurden. Die ICO hielt E-Mail mit BCC angesichts der Sensibilität für ungeeignet und bemängelte fehlende Vorgaben zum Einsatz von BCC sowie eine veraltete E-Mail-Richtlinie. Sie sah Verstöße gegen Art. 5(1)(f) und 32(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) und 32(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 19.07.2025 · Direktlink

Die FTC hat ihre Anordnung gegen einen Online-Therapieanbieter endgültig erlassen. Nach dem Vorwurf der Behörde gab das Unternehmen trotz Vertraulichkeitszusagen E-Mail-Adressen, IP-Adressen und Angaben aus dem Gesundheitsfragebogen an drei soziale Netzwerke und einen Werbetechnikanbieter für Werbezwecke weiter, ohne eine ausdrückliche Einwilligung einzuholen. Der Anbieter zahlt 7.800.000 USD für Teilerstattungen an Kunden, darf Gesundheitsdaten nicht mehr für Werbung weitergeben, muss vor Weitergaben an bestimmte Dritte ausdrücklich einwilligen lassen, die Empfänger zur Löschung auffordern und Aufbewahrungsfristen festlegen.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)

Maßnahme

Gewinnabschöpfung

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Veröffentlicht

14.07.2023

Originalbetrag 7.800.000 USD, umgerechnet zum EZB-Referenzkurs vom 07.07.2023.

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 07.07.2025 · Direktlink

Beschäftigte, Händler und Subhändler der chinesischen Tochter des Konzerns nahmen 2014 bis 2019 unzulässig Einfluss auf die technischen Spezifikationen öffentlicher Klinikausschreibungen und organisierten Scheingebote mit Produkten anderer Hersteller; Sonderrabatte an Händler schufen zudem das Risiko, dass überhöhte Margen Zahlungen an Beschäftigte staatlicher Krankenhäuser finanzierten. Zahlung von 41.126.170 USD Gewinnabschöpfung, 6.047.633 USD Zinsen und 15 Mio. USD Strafe; der Konzern war bereits 2013 wegen ähnlicher Taten in Polen belangt worden.

Behörde / Gericht

U.S. Securities and Exchange Commission (SEC)

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

FCPA Buchführungs- und interne Kontrollvorschriften

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Beschäftigte

10.000 und mehr

Verschulden

vorsätzlich

Wiederholungsfall

ja

Veröffentlicht

11.05.2023

Originalbetrag 62.173.803 USD, umgerechnet zum EZB-Referenzkurs vom 11.05.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 11.05.2025 · Direktlink

Die ICO sprach gegenüber einem englischen NHS-Universitätsklinikum eine Verwarnung aus. Nach den Feststellungen der ICO führte der Trust in Briefen standardmäßig die vollständigen Postanschriften weiterer Empfänger in Kopie auf, ohne deren Einwilligung einzuholen und ohne das Risiko zu bewerten; so wurde die Adresse einer betroffenen Person an den früheren Partner bzw. die frühere Partnerin dieser Person offengelegt, obwohl es zuvor Missbrauchsvorwürfe gegeben hatte. Die ICO bemängelte zudem das Fehlen eines Verfahrens zur Kennzeichnung solcher Konstellationen bei Elternkonflikten und fehlende Schulungen des Verwaltungspersonals. Sie sah einen Verstoß gegen Art. 5(1)(f) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 25.04.2025 · Direktlink

Der Gesundheitsdienstleister hatte Callcenter- und Terminbuchungsdienste an ein Sozialunternehmen ausgelagert, das für seine Callcenter-Kräfte Kundendaten auf einen aus dem Internet erreichbaren Dateiserver kopierte, dessen Passwortschutz rund 20 Monate lang deaktiviert war; 2021 wurden Daten zahlreicher Kunden (u. a. Diagnosecodes und Bankdaten) unbefugt abgerufen und im Darknet angeboten. Die Datenschutzbehörde PDPC stellte beim Auftragsverarbeiter (data intermediary), dem Sozialunternehmen, Mängel bei Sicherheitsüberprüfungen und Passwortverwaltung fest und beim Gesundheitsdienstleister unzureichende laufende Aufsicht über den Dienstleister sowie die unnötige Weitergabe sensibler Finanz- und Gesundheitsdaten. Sie verhängte gegen beide zusammen 68.000 SGD und ordnete bei beiden Überprüfungen von Verträgen, Datenweitergabe und Prüfumfang an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation) i. V. m. Sections 4(2) und 4(3) PDPA (Data Intermediary); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Beide kooperierten, räumten die Verstöße im beschleunigten Verfahren (Expedited Decision Procedure) ein und leiteten rasch Abhilfe ein; bei der Bemessung wurde der rund 50-fach höhere Umsatz des Gesundheitsdienstleisters berücksichtigt.

Veröffentlicht

22.06.2023

Originalbetrag 68.000 SGD, umgerechnet zum EZB-Referenzkurs vom 23.03.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 23.03.2025 · Direktlink

Die ICO sprach gegenüber einem schottischen regionalen Gesundheitsdienst eine Verwarnung aus. Nach den Feststellungen der ICO wurde am 13. Juni 2019 eine Einladung per E-Mail an 37 Personen verschickt, ohne die BCC-Funktion zu nutzen, sodass alle Empfänger die meist namenstragenden Adressen der anderen sehen konnten; da die Empfänger als wahrscheinliche Nutzer von HIV-Angeboten erkennbar waren, handelte es sich laut ICO voraussichtlich um Gesundheitsdaten. Eine betroffene Person erkannte mindestens vier andere Empfänger. Die ICO hielt die Nutzung von BCC für diese Gruppe nicht für die sicherste Lösung und sah Verstöße gegen Art. 5(1)(f), 32(1) und 25 UK GDPR. Laut Bescheid hatte die ICO eine Geldbuße von 35.000 Pfund erwogen, verzichtete aber wegen ihres seit Juni 2022 geänderten Vorgehens gegenüber dem öffentlichen Sektor darauf. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 32(1) und 25 UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.03.2025 · Direktlink

Datatilsynet verhängte gegen einen US-Medizinproduktehersteller ein Bußgeld von 2.500.000 NOK, weil das Unternehmen einen Cybervorfall mit Daten aller europäischen Beschäftigten (darunter eine Person in Norwegen) erst 67 Tage nach Kenntnis statt binnen 72 Stunden meldete (Art. 33 Abs. 1 DSGVO). Nach seinen internen Regeln wollte der Hersteller erst melden, wenn der Vorfall vollständig aufgeklärt ist. Nach der Beschwerde des Unternehmens wurde das Bußgeld wegen der langen Verfahrensdauer bis zur Behandlung durch die Personvernnemnda auf 1.500.000 NOK herabgesetzt; die Personvernnemnda bestätigte den Bescheid mit diesem Betrag.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 33 Abs. 1, Art. 58 Abs. 2 lit. i, Art. 83 Abs. 4 lit. a DSGVO

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Gesundheitswesen

Verschulden

fahrlässig

Mildernde Umstände

Herabsetzung auf 1.500.000 NOK wegen der langen Verfahrensdauer bis zur Behandlung durch die Personvernnemnda.

Veröffentlicht

16.03.2023

Originalbetrag 1.500.000 NOK, umgerechnet zum EZB-Referenzkurs vom 08.03.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 08.03.2025 · Direktlink

Die ICO sprach am 7. März 2023 gegenüber einem englischen NHS-Klinikverbund eine Verwarnung aus. Nach den Feststellungen der ICO lud der Trust vor dem Auslaufen der Lizenz eines elektronischen Dokumentenanzeigesystems die darin gespeicherten Patientenakten herunter, prüfte aber nicht, dass der Download unvollständig war; dadurch waren Daten von 1.159 Personen betroffen: Akten von 1.155 Personen waren vom 19. Januar 2020 bis 12. Oktober 2021 nicht zugänglich, Teile der Akten von vier Personen gingen dauerhaft verloren. Es fehlten eine Richtlinie zur Außerbetriebnahme und eine angemessene Aufsicht; die Behandlungsplanung einer Person war beeinträchtigt. Die ICO sah Verstöße gegen Art. 5(1)(f), 24(1) und 24(2) UK GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 24(1) und 24(2) UK GDPR; Verwarnung nach Art. 58 UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.03.2025 · Direktlink

Ein im Dezember 2019 gemeldeter Ransomware-Angriff auf das Patientenverwaltungssystem betraf rund 70.000 Personen; bei 2.500 Patienten waren die Daten endgültig verloren, weil keine Sicherung vorhanden war. Die DPC stellte Verstöße gegen Art. 5(1)(f), 5(2) und 32(1) DSGVO fest, erteilte einen Verweis und verhängte drei Geldbußen von 275.000, 50.000 und 135.000 Euro, zusammen 460.000 Euro.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 5(2), 32(1) DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 23.02.2025 · Direktlink

Die Telemedizin- und Rabattplattform gab jahrelang Gesundheitsdaten ihrer Nutzer an drei große Werbe- und Technologieunternehmen und andere Werbepartner weiter und meldete diese unbefugten Offenlegungen nicht, wie es die Health Breach Notification Rule verlangt. Im ersten Verfahren nach dieser Regel stimmte die Plattform einer zivilrechtlichen Strafe von 1,5 Mio. USD und einem Verbot der Weitergabe zu Werbezwecken zu; der Vergleich bedurfte noch gerichtlicher Genehmigung.

Behörde / Gericht

Federal Trade Commission (FTC) / U.S. Department of Justice

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

FTC Health Breach Notification Rule (16 CFR Part 318); Section 5 FTC Act

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Originalbetrag 1.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.02.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 01.02.2025 · Direktlink

Der Privacy Commissioner for Personal Data (PCPD) stellte in einem am 14.11.2022 veröffentlichten Untersuchungsbericht fest, dass der börsennotierte Gesundheitskonzern nach der Übernahme zweier Marken deren Kundendaten in ein konzernweites System übernommen und dem Personal anderer Marken zugänglich gemacht hatte; in den zwei zugrunde liegenden Beschwerdefällen waren die Betroffenen weder informiert worden noch hatten sie eingewilligt. Das System wurde von 28 der 39 Konzernmarken genutzt und enthielt Daten von rund 1,08 Mio. Mitgliedern; der PCPD sah einen Verstoß gegen die Zweckbindung nach DPP 3(1). Per Enforcement Notice muss der Konzern das markenübergreifende Teilen ohne Einwilligung einstellen, Richtlinien für Kundendaten aus Übernahmen erlassen und das Personal schulen.

Behörde / Gericht

Privacy Commissioner for Personal Data (PCPD), Hongkong

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Personal Data (Privacy) Ordinance (Cap. 486), Schedule 1, Data Protection Principle 3(1); Enforcement Notice nach s. 50(1)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Veröffentlicht

14.11.2022

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 14.11.2024 · Direktlink

Die ICO sprach am 10. November 2022 gegenüber einem Londoner NHS-Klinikum eine Verwarnung aus. Nach den Feststellungen der ICO speicherte der Trust von Mai 2013 an neun Jahre lang Hysteroskopie-Aufnahmen auf USB-Sticks, ohne sie entgegen der eigenen Richtlinie auf Servern zu sichern; die beiden verbliebenen verschlüsselten Sticks wurden am 5. April 2018 unzugänglich, betroffen waren 4.000 bis 10.000 Personen. Der Trust erkannte den Vorfall zunächst nicht als Datenpanne und meldete ihn verspätet; es fehlten Risikobewertungen, Schulungen und zuständige Information Asset Owner. Die ICO sah Verstöße gegen Art. 5(1)(f) und 24(1) UK GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) und 24(1) UK GDPR; Verwarnung nach Art. 58 UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 10.11.2024 · Direktlink

Die Wettbewerbsbehörde verhängte gegen eine portugiesische Tochter der Diagnostikgruppe eine Geldbuße von 5.038.200 EUR, weil sie sich von November 2015 bis August 2021 mit anderen Anbietern bei öffentlichen Ausschreibungen staatlicher Krankenhäuser für Teleradiologie absprach, Gewinner und Angebotspreise festlegte und den Markt aufteilte. Die Geldbuße wurde im Vergleichsverfahren reduziert.

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 9 Lei n.º 19/2012 (Lei da Concorrência); Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Gesundheitswesen

Mildernde Umstände

Vergleichsverfahren (transação) mit Eingeständnis und Rechtsmittelverzicht; Geldbuße reduziert.

Veröffentlicht

31.10.2022

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 14.10.2024 · Direktlink

Der Hersteller verfolgte vom 29.04.2009 bis 23.12.2020 als marktbeherrschender Hersteller und Großhändler von Brillengläsern eine diskriminierende Geschäftspolitik gegenüber Websites, die Korrektionsbrillen vollständig online anbieten, mit dem Ziel, die Entwicklung des Online-Vertriebs in Frankreich zu behindern. Die Autorité de la concurrence verhängte 81.067.400 EUR, davon 15.400.000 EUR gesamtschuldnerisch mit der Muttergesellschaft. Die Cour d’appel de Paris bestätigte die Entscheidung am 12.12.2024.

Behörde / Gericht

Autorité de la concurrence

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. L. 420-2 Code de commerce; Art. 102 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Beschäftigte

10.000 und mehr

Veröffentlicht

08.11.2022

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 06.10.2024 · Direktlink

Die Wettbewerbsbehörde verhängte gegen die Wohlfahrtseinrichtung eine Geldbuße von 2.500.000 EUR, weil sie am 14. Dezember 2020 die alleinige Kontrolle über die Betreibergesellschaft eines Krankenhauses übernahm, den Zusammenschluss aber erst am 28. Mai 2021 und damit nach dem Vollzug anmeldete.

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Lei n.º 19/2012 (Lei da Concorrência): Anmelde- und Vollzugsverbot für Zusammenschlüsse

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Mildernde Umstände

Zusammenarbeit mit der Behörde, freiwillige nachträgliche Anmeldung, Aussetzung der Stimmrechte und Antrag auf Befreiung vom Vollzugsverbot wurden berücksichtigt.

Veröffentlicht

07.09.2022

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 06.09.2024 · Direktlink