Wer wurde wofür sanktioniert?

Die britische Datenschutzaufsicht ICO sprach gegenüber dem ACRO Criminal Records Office eine Verwarnung (reprimand) aus. Anlass war nach Angaben der ICO ein Cybervorfall, bei dem personenbezogene Daten von rund 10.000 Betroffenen im Vereinigten Königreich betroffen sein konnten. Die ICO sah Verstöße gegen die Pflicht zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen nach Art. 32 UK GDPR. Ein Bußgeld wurde nicht verhängt.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Met Police übergab einem Angeklagten ungeschwärzte Unterlagen mit neuer Adresse und Telefonnummer eines Stalking-Opfers und legte in einer Rundmail 18 Personen mit Parlamentsbezug im offenen Verteiler offen. Die ICO ordnete Verbesserungen binnen 3 und 12 Monaten an, u. a. bei den Schulungsquoten im Datenschutz.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Data Protection Act 2018, Section 40

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Veröffentlicht

05.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Cardiff University wurde zu 280.000 GBP Geldstrafe und 11.745 GBP Kosten verurteilt, weil zwei Beschäftigte durch den Kontakt mit Tierallergenen an Berufsasthma erkrankten. Nach den Feststellungen der Health and Safety Executive hatte die Universität von 2008 bis 2025 keine geeigneten Schutzmaßnahmen gegen die Allergenexposition ermittelt und umgesetzt, obwohl die Gefahrstoffvorschriften (COSHH) und einschlägige Leitlinien seit Langem bestehen.

Behörde / Gericht

Cardiff Magistrates' Court (Anklage: Health and Safety Executive)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Section 2(1) Health and Safety at Work etc. Act 1974

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Schuldbekenntnis.

Veröffentlicht

01.05.2026

Originalbetrag 280.000 GBP, umgerechnet zum EZB-Referenzkurs vom 30.04.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die ICO sprach gegenüber der City of London Police eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizeibehörde zwischen 1. April 2023 und 31. Juli 2025 Auskunftsersuchen betroffener Personen (subject access requests) nicht innerhalb der gesetzlichen Frist beantwortet. Die ICO sah darin Verstöße gegen Art. 12(3) UK GDPR und section 45(3) DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) UK GDPR; section 45(3) DPA 2018; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Bei einer Übung zu öffentlichen Unruhen im Februar 2021 wurden Polizeikräfte in schwer entflammbarer Schutzkleidung mit Brandflaschen beworfen; vier Beamte erlitten Verbrennungen mit bleibenden Narben. Es fehlten Informationen zu Lebensdauer und Prüfung der PSA, eine Gefährdungsbeurteilung für Herstellung und Einsatz der Brandflaschen sowie sichere Arbeitsverfahren. Strafe 60.000 GBP plus 9.470 GBP Kosten.

Behörde / Gericht

Health and Safety Executive (Sheffield Magistrates' Court)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Health and Safety at Work etc. Act 1974, s. 2(1)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Veröffentlicht

20.01.2026

Originalbetrag 60.000 GBP, umgerechnet zum EZB-Referenzkurs vom 19.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im Juni 2023 stürzte ein Laternenmast aus den 1950er/60er Jahren um, dessen Stahl am Fuß zu mindestens 60 % durchgerostet war, und verletzte einen Fußgänger schwer. Der Mast war 2022 als schlecht eingestuft, aber erst für 2024 zum Austausch vorgesehen; die Sichtprüfungen der Stadt erkannten die akute Einsturzgefahr nicht. Strafe 80.000 GBP.

Behörde / Gericht

Health and Safety Executive (Glasgow Sheriff Court)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Health and Safety at Work etc. Act 1974, s. 3(1)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Veröffentlicht

12.01.2026

Originalbetrag 80.000 GBP, umgerechnet zum EZB-Referenzkurs vom 08.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte gegen die Police Service of Scotland eine Geldbuße von 66.000 Pfund und sprach zugleich eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei im Rahmen eines Strafverfahrens in großem Umfang Daten vom Mobiltelefon einer bei ihr beschäftigten Person heruntergeladen, die Anzeige erstattet hatte, ohne sicherzustellen, dass dies rechtmäßig, fair und auf das Erforderliche beschränkt war; die ICO sah darin Verstöße im Zeitraum 18. Januar bis 5. April 2021. Dafür sprach die ICO die Verwarnung nach sections 35 und 37 DPA 2018 (Part 3) aus. Ebenfalls nach Feststellung der ICO gab später die Abteilung für Berufsstandards (Professional Standards Department) diese Daten in einem internen Disziplinarverfahren unbefugt an die beschuldigte Person weiter. Für die Zusammenstellung solcher Disziplinarunterlagen fehlten angemessene technische und organisatorische Maßnahmen, und die Datenpanne wurde der ICO erst am 30.06.2022 gemeldet, obwohl die Polizei seit dem 17.06.2022 davon wusste. Für diese Verstöße verhängte die ICO die Geldbuße. Der gemeinsame Bescheid stützt sich unter anderem auf Art. 5(1)(f) und 32(1) UK GDPR (Sicherheit der Verarbeitung), Art. 5(1)(c) und 25 UK GDPR (Datenminimierung, Datenschutz durch Technikgestaltung) sowie Art. 33(1) UK GDPR (Meldung von Datenpannen).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(c), 5(1)(f), 25(1)-(2), 32(1) und 33(1) UK GDPR; section 155 DPA 2018 (Geldbuße); sections 35 und 37 DPA 2018 (Part 3), Verwarnung nach Schedule 13 para 2(c) DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 66.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO erließ gegen die South Wales Police eine Durchsetzungsanordnung wegen erheblicher Verzögerungen bei Auskunftsersuchen betroffener Personen. Nach den Feststellungen der ICO beantwortete die Polizei von April 2023 bis März 2024 nur 29 % der Ersuchen fristgerecht; im August 2025 waren 352 Ersuchen überfällig, eines seit fast zwei Jahren. Die ICO verpflichtete die Behörde, den Rückstand bis Juni 2026 abzubauen. Grundlage sind Art. 12(3), 15(1) und 15(3) UK GDPR sowie section 45 DPA 2018. Laut Anordnung beschäftigt die Polizei knapp 3.000 Polizeibeamte und über 2.200 weitere Mitarbeitende.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; section 45 DPA 2018; section 149 DPA 2018

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

1.000 bis 9.999

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO erließ gegen den Bristol City Council eine Durchsetzungsanordnung, weil die Kommune nach ihren Feststellungen Auskunftsersuchen betroffener Personen nicht wie gesetzlich vorgeschrieben beantwortet hatte. Die Anordnung stützt sich auf Art. 12(3), 15(1) und 15(3) UK GDPR und betrachtet unter anderem den Zeitraum 1. April 2023 bis 31. März 2024.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; section 149 DPA 2018

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber der South Yorkshire Police eine Verwarnung aus. Nach den Feststellungen der ICO wurden bei einer Datenübertragung im Juli 2023, die ein externer Dienstleister im System für digitale Beweismittel durchführte, 96.174 Original-Aufnahmen von Körperkameras (Body Worn Video) versehentlich gelöscht. Nach Einschätzung der ICO hatte die Polizei keine angemessenen technischen und organisatorischen Sicherheitsmaßnahmen getroffen und konnte die Einhaltung der Vorgaben nicht nachweisen. Grundlage waren die Regeln für die Datenverarbeitung zu Strafverfolgungszwecken (Teil 3 DPA 2018).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

section 34(3) und section 40 DPA 2018 (Part 3)

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO erteilte dem Londoner Bezirk Hammersmith and Fulham eine Verwarnung. Nach den Feststellungen der ICO hatte der Bezirk auf eine Anfrage nach dem Informationsfreiheitsgesetz eine Tabelle herausgegeben, in der ausgeblendete Daten enthalten waren. Dadurch wurden personenbezogene Daten von 6.528 Menschen offengelegt, darunter 2.342 Kinder. Die ICO bemängelte unzureichende Sicherheitsmaßnahmen und fehlende Nachweise der Einhaltung.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 5(2), 24(1), 32(1)(b) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem Chief Constable der Greater Manchester Police eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei wegen eines anhaltenden Rückstaus alter Anträge Auskunftsersuchen betroffener Personen wiederholt nicht fristgerecht beantwortet. Die ICO sah darin Verstöße sowohl gegen die UK GDPR als auch gegen die Vorschriften für Strafverfolgungsbehörden im DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) und Art. 15 UK GDPR; section 45 und section 54 DPA 2018 (Part 3); Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem Chief Constable der Greater Manchester Police eine Verwarnung aus. Nach den Feststellungen der ICO wurden Aufnahmen einer Überwachungskamera aus dem Gewahrsamsbereich einer Polizeiwache von 2021, die wegen schwerer Vorwürfe gegen Beamte aufbewahrt werden sollten, bei der Sicherung nicht auf Vollständigkeit geprüft und gingen teilweise verloren. Zudem erhielt die betroffene Person ihre Daten auf ihr Auskunftsersuchen nicht fristgerecht. Grundlage waren die Regeln für die Datenverarbeitung zu Strafverfolgungszwecken im DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

section 45(3)(a) und (b) DPA 2018; sechster Datenschutzgrundsatz (section 40 DPA 2018, Part 3)

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem Glasgow City Council eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete die Stadtverwaltung zwischen April 2023 und März 2024 nur 45 % der Auskunftsersuchen betroffener Personen innerhalb der gesetzlichen Frist. Die ICO sah darin Verstöße gegen die Vorgaben zur fristgerechten Auskunft.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem City of Edinburgh Council eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete die Stadtverwaltung im Jahr 2023 40 % der Auskunftsersuchen betroffener Personen nicht innerhalb der gesetzlichen Frist von einem Monat. Die ICO sah darin Verstöße gegen die Vorgaben zur fristgerechten Auskunft.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem Southend-on-Sea City Council eine Verwarnung aus. Nach den Feststellungen der ICO enthielt in einer Antwort auf eine Anfrage nach dem Informationsfreiheitsgesetz, die im Mai 2023 über eine öffentliche Plattform veröffentlicht wurde, eine Tabelle ausgeblendete Personaldaten aktueller und früherer Beschäftigter, darunter Kontakt-, Gehalts- und Gesundheitsangaben. Der Fehler wurde erst Monate später bemerkt. Die ICO sah einen Verstoß gegen das Gebot angemessener Datensicherheit.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

In der Antwort auf eine Informationsfreiheitsanfrage veröffentlichte eine britische Polizeibehörde eine Excel-Datei, deren verborgenes Tabellenblatt Nachnamen, Initialen, Rang und Funktion aller Beschäftigten enthielt. Die Datei war gut zwei Stunden sichtbar und wurde nach knapp drei Stunden gelöscht; die Behörde ging davon aus, dass sie in die Hände militanter Gruppen gelangte.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1 und 2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

1.000 bis 9.999

Verschulden

fahrlässig

Mildernde Umstände

Anwendung des Public-Sector-Ansatzes; ohne ihn hätte das Bußgeld 5,6 Mio. £ betragen.

Veröffentlicht

03.10.2024

Originalbetrag 750.000 GBP, umgerechnet zum EZB-Referenzkurs vom 26.09.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 26.09.2026 · Direktlink

Die ICO sprach gegenüber einer Academy-Schule in Essex mit rund 1.200 Schülerinnen und Schülern von 11 bis 18 Jahren, eine Verwarnung aus. Nach den Feststellungen der ICO führte die Schule im März 2023 Gesichtserkennung für die bargeldlose Bezahlung in der Schulverpflegung ein, ohne vorher die vorgeschriebene Datenschutz-Folgenabschätzung durchzuführen; diese lag erst im November 2023 vor. Bis dahin ging die Schule von einer Einwilligung aus, sofern Eltern nicht widersprochen hatten, was nach Auffassung der ICO keine wirksame Einwilligung ist, und holte auch keinen Rat ihres Datenschutzbeauftragten ein. Die Verwarnung stützt sich auf einen Verstoß gegen Art. 35(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 35(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 22.07.2026 · Direktlink

Die ICO sprach am 5. Juli 2024 gegenüber einem Londoner Bezirk eine (aktualisierte) Verwarnung aus. Anlass war nach der Darstellung im Bescheid ein Ransomware-Angriff, von dem der Bezirk am 11. Oktober 2020 erfuhr: Der Angreifer konnte auf 440.000 Dateien mit personenbezogenen Daten, darunter besondere Kategorien, von mindestens 280.000 Einwohnern und weiteren Personen einschließlich Beschäftigten zugreifen und sie verschlüsseln. Nach den Feststellungen der ICO waren das Patch-Management und die Verwaltung von Benutzerkonten unzureichend, was gegen Art. 5(1)(f) und 32(1)(b) UK GDPR verstieß. Die ICO hatte zunächst eine Geldbuße erwogen, entschied sich aber unter Berücksichtigung ihres Ansatzes gegenüber dem öffentlichen Sektor und der Umstände des Falls für eine Verwarnung.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 05.07.2026 · Direktlink

Die ICO sprach gegenüber einer britischen Behörde eine Verwarnung aus. Nach den Feststellungen der ICO drangen unbekannte Angreifer ab dem 24. August 2021 über eine Kette bekannter Schwachstellen in den selbst betriebenen E-Mail-Server der Kommission ein; betroffen waren vor allem Daten aus dem Wählerverzeichnis mit Namen und Anschriften von rund 40 Millionen Personen. Die Sicherheitsupdates für diese Schwachstellen waren im April und Mai 2021 erschienen, aber nicht eingespielt. Zudem ließen sich bei einer Prüfung 178 aktive Konten schnell knacken, weil Passwörter identisch oder ähnlich zu den vom Service Desk vergebenen Startpasswörtern waren. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.05.2026 · Direktlink