Wer wurde wofür sanktioniert?

Einen im Februar 2022 bereitgestellten Patch für eine bekannte Schwachstelle (CVE-2022-24086) der Magento-Plattform seines Onlineshops spielte der Juwelier erst im Januar 2023 ein; über die Lücke zog ein Angreifer die Kundendatenbank mit Daten von 41.379 Personen ab und stellte sie im Mai 2023 in ein Onlineforum. Die Datenschutzbehörde PDPC stellte einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil sich das Unternehmen beim Patchen ganz auf seinen Wartungsdienstleister verließ, ohne dies zu steuern oder zu überwachen, und verwarf den Einwand, der Dienstleister sei Auftragsverarbeiter (data intermediary) gewesen. Neben 58.000 SGD (vorläufig 64.000 SGD; der Vorwurf zu im Klartext gespeicherten Zugangsdaten entfiel nach der Stellungnahme) ordnete sie einen externen Sicherheitsaudit der Zugriffskontrollen mit Behebung der Lücken an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Rasche Abhilfe nach Bekanntwerden, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und Kooperation.

Veröffentlicht

08.01.2026

Originalbetrag 58.000 SGD, umgerechnet zum EZB-Referenzkurs vom 20.06.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Ein Angreifer übernahm 2020 das Konto eines Beschäftigten der Online-Lebensmittelplattform bei einem Code-Hosting-Dienst fand im Quellcode einen hoch privilegierten Zugangsschlüssel, in der Cloud einen weiteren und gelangte so an eine Datenbank mit Daten zahlreicher Kunden und Verkäufer, die danach in einem Onlineforum zum Kauf angeboten wurde. Die PDPC stellte am 28. Oktober 2022 einen Verstoß gegen die Schutzpflicht fest, weil die Schlüssel offenkundig unzureichend gesichert waren und die Datenbank keine eigene Authentifizierung hatte, und verhängte 72.000 SGD; Einwände gegen die Höhe wies sie zurück.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data Protection Act 2012, s 24 (Protection Obligation); s 48J PDPA ([2022] SGPDPC 8)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, teilweise Schwärzung gespeicherter Kreditkartennummern, rasche wirksame Abhilfe und die späte, aber freiwillige Anerkennung der Feststellungen.

Veröffentlicht

19.12.2022

Originalbetrag 72.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.10.2022.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 28.10.2024 · Direktlink

Nachdem zwei Auftragnehmer der ausländischen Konzernmutter des Plattformbetreibers 2020 Kundendaten aus deren Systemen abgezogen hatten – betroffen waren Daten zahlreicher Personen, darunter Kunden des Onlinehändlers –, prüfte die Datenschutzbehörde PDPC die Übermittlungen aus Singapur ins Ausland. Der Onlinehändler als Verantwortlicher hatte keine vertraglichen Zusagen eingeholt, die ein dem PDPA vergleichbares Schutzniveau für die über seinen Auftragsverarbeiter (data intermediary) übermittelten Daten sichern, und der singapurischen Plattformgesellschaft fehlten für die Weitergabe eigener Plattformdaten an die ausländische Konzernmutter innerhalb des Konzerns verbindliche Verträge oder Binding Corporate Rules. Die PDPC ordnete beiden an, Verfahren zur Einhaltung der Transfer Limitation Obligation einzuführen – der Plattformgesellschaft binnen 60 Tagen, dem Onlinehändler als KMU binnen sechs Monaten – und verwies auf die ASEAN-Modellvertragsklauseln.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Section 26(1) PDPA 2012 (Transfer Limitation Obligation) i. V. m. Regulations 9(1)(b) und 10(1) Personal Data Protection Regulations 2014; Section 4(3) PDPA; Section 48I PDPA (Directions)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Mildernde Umstände

Beide Unternehmen kooperierten nach Feststellung der PDPC in hohem Maße.

Veröffentlicht

18.11.2022

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 06.10.2024 · Direktlink