Wer wurde wofür sanktioniert?

Bei einer Versicherungsausschreibung 2024 im Umfang von rund 200 Mio. CZK ließ das Ministerium Teile der Vergabeunterlagen von einem Makler erstellen, der später Provisionen des siegreichen Versicherers erhalten konnte. Da der Auftraggeber keine Maßnahmen gegen den Interessenkonflikt traf, verhängte die Behörde rechtskräftig 300.000 CZK.

Behörde / Gericht

Úřad pro ochranu hospodářské soutěže (ÚOHS)

Rechtsgebiet

Sonstiges

Rechtsgrundlage

Gesetz über die Vergabe öffentlicher Aufträge (Pflicht zur Vermeidung von Interessenkonflikten)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Veröffentlicht

15.09.2026

Originalbetrag 300.000 CZK, umgerechnet zum EZB-Referenzkurs vom 15.09.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der kommunale Sportstättenbetrieb hatte seit 2007 Kameras in den Umkleiden eines Schwimmbads, die den Spindbereich aufzeichneten. Die Garante sah keine tragfähige Rechtsgrundlage, unvollständige Hinweise und eine nicht durch eine Erforderlichkeitsprüfung begründete Speicherdauer von 72 Stunden und verhängte 8.000 Euro (Provvedimento Nr. 619); im Verfahren wurden die Kameras entfernt.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. c und e DSGVO; Art. 2-ter Codice privacy

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eindringlinge gelangten 2023 in zwei ehemalige psychiatrische Kliniken und stellten Videos von dort gelagerten Patientenakten ins Netz. Die Prüfung von zwölf Standorten ergab Akten mit Schimmel-, Wasser- und Tierschäden in ungeeigneten Räumen bis hin zu Schiffscontainern. Die DPC verhängte 645.000 EUR, sprach eine Verwarnung aus und ordnete Audits und Umlagerungen an.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. e und f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

02.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der staatliche Forstkonzern belieferte von 2020 bis April 2026 aufgrund alter Langzeit-Einschlagverträge sechs Holzverarbeiter außerhalb öffentlicher Auktionen mit garantierten Rundholzmengen, während alle anderen nur über Auktionen kaufen konnten. In seiner ersten Entscheidung zur Wettbewerbsneutralität öffentlicher Unternehmen verhängte der Wettbewerbsrat 7.859.606,89 Euro und verpflichtete zu gleichen Verkaufsbedingungen für alle qualifizierten Bieter.

Behörde / Gericht

Konkurences padome (Lettischer Wettbewerbsrat)

Rechtsgebiet

Kartellrecht und Wettbewerb

Rechtsgrundlage

Art. 14.1 Konkurences likums (Wettbewerbsneutralität)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

13.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine großflächige Verletzung betraf Informationssysteme der EETAA, mit denen Programme des Ministeriums für Sozialen Zusammenhalt und Familie umgesetzt wurden; betroffen waren Identifikations-, Kontakt-, Finanz- und Gesundheitsdaten zahlreicher Personen. Die Datenschutzbehörde führte den Erfolg des Angriffs auf veraltete Systeme und unzureichende Sicherheitsmaßnahmen zurück und bemängelte das Fehlen eines Auftragsverarbeitungsvertrags. Sie verhängte mit Entscheidung 15/2026 insgesamt 350.000 EUR (Ministerium 150.000 EUR nach Art. 5 Abs. 1 lit. f/Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO; EETAA 100.000 EUR nach Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO) und ordnete binnen eines Monats den Abschluss des Vertrags sowie die Umsetzung der geplanten Sicherheitsmaßnahmen an.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 28 Abs. 3, Art. 32 Abs. 1, Art. 58 Abs. 2 lit. d und i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Das Ministerium erfüllte laut Behörde seine Melde- und Benachrichtigungspflichten nach der Verletzung.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Das Stadtgericht Kolding verurteilte die Region Syddanmark im Dezember 2024 wegen zweier Verstöße gegen die Pflicht zu angemessener Datensicherheit zu 1.000.000 DKK. Das Vestre Landsret bestätigte am 23. März 2026 nur den ersten Vorwurf – in einer Datenbank für Forschung und Klinik konnten eingeloggte Nutzer durch Ändern der URL auf PDF-Dokumente von über 23.000 Registrierten zugreifen, darunter Gesundheitsdaten Minderjähriger aus der Psychiatrie – und setzte die Buße auf 500.000 DKK herab; vom Vorwurf zu Patientendaten in einer Präsentation auf der Website sprach es die Region frei.

Behörde / Gericht

Retten i Kolding; Vestre Landsret (auf Anzeige der Datatilsynet)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1, Art. 83 Abs. 4 lit. a und Abs. 9 DSGVO; databeskyttelseslovens § 41 stk. 1 nr. 1, stk. 3 og 6

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Wiederholungsfall

ja

Originalbetrag 500.000 DKK, umgerechnet zum EZB-Referenzkurs vom 23.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Zehn Gemeinden (Delft, Ede, Eindhoven, Gooise Meren, Haarlemmermeer, Hilversum, Huizen, Tilburg, Veenendaal und Zoetermeer) hatten von einem externen Forschungsbüro erstellte Analysen der örtlichen islamischen Gemeinschaft (meist sogenannte Kräftefeldanalysen, in Haarlemmermeer ein Quickscan) erhalten, gespeichert und genutzt, die auch Angaben zur Religion und weitere sensible Merkmale einzelner Personen enthielten. Die AP verhängte am 3. Februar 2026 in getrennten Bescheiden gegen jedes Kollegium 25.000 EUR (zusammen 250.000 EUR); bei sieben Gemeinden beschränkte sie zudem die weitere Verarbeitung der Analysen auf die Wahrnehmung von Betroffenenrechten und Gerichtsverfahren.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a i. V. m. Art. 6 Abs. 1 und Art. 9 Abs. 1 DSGVO (AVG); Verarbeitungsbeschränkung nach Art. 58 Abs. 2 DSGVO (sieben Bescheide)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

05.02.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Angreifer übernahmen Anfang 2024 per Social Engineering Konten von Cap-Emploi-Beratern und griffen auf Daten von Arbeitsuchenden der letzten 20 Jahre zu, darunter Sozialversicherungsnummern. Die CNIL rügte schwache Authentifizierung, unzureichende Protokollierung und zu weite Zugriffsrechte und verhängte 5 Mio. Euro sowie eine Anordnung mit 5.000 Euro Zwangsgeld je Verzugstag.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

29.01.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

In einem für die Beschäftigten einsehbaren Tagesbefehlsbuch einer Feuerwehrdienststelle wurden neben der Versetzung einer Offizierin in den leichten Dienst auch ihre Erkrankung, die Behandlung und die verordneten Medikamente vermerkt. Die Datenschutzbehörde sah darin einen Verstoß gegen Rechtmäßigkeit und Datenminimierung und verhängte gegen das Feuerwehr-Hauptquartier mit Entscheidung 1/2026 eine Geldbuße von 10.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Hacker gelangte 2021 über ein Webformular auf einen Web- und einen Datenbankserver der Hochschule, erbeutete u. a. Namen mit Passwörtern und Bürgerservicenummern von Studierenden und Beschäftigten und forderte vergeblich Lösegeld. Die Sicherheit war nicht auf die Risiken abgestimmt, die Rechte eines Datenbankkontos waren nicht beschränkt.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Mildernde Umstände

Vergleich ohne Einspruch; aktive Schadensbegrenzung, gestärkte Resilienz und Weitergabe der Erfahrungen an andere Organisationen.

Veröffentlicht

17.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Zwischen 2018 und 2020 meldete die Universität zwölf Datenpannen, davon sechs, bei denen Unbefugte per Phishing in dienstliche E-Mail-Konten gelangten und teils Weiterleitungsregeln einrichteten. Die DPC stellte Verstöße gegen Art. 5(1)(f), 30(1), 32(1), 33(1) und 34(1) DSGVO fest, erteilte einen Verweis und verhängte Geldbußen von 45.000, 3.000, 35.000 und 15.000 Euro, zusammen 98.000 Euro.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 30(1), 32(1), 33(1), 34(1) DSGVO; ss. 110–111 Data Protection Act 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Universität erkannte die meisten Feststellungen an, übernahm Verantwortung und verbesserte Systeme, Schulungen und Richtlinien; die Bußen liegen deutlich unter dem Entwurf, eine Abhilfeanordnung entfiel.

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die Gemeinde in der Provinz Padua überwachte öffentliche Straßen und Arbeitsbereiche ohne tragfähige Rechtsgrundlage, ohne ausreichende Information und ohne Datenschutz-Folgenabschätzung; Aufnahmen wurden für Disziplinarzwecke genutzt, eine Beschäftigte wurde während einer Krankschreibung heimlich gefilmt. Bußgeld 15.000 EUR (5.000 EUR öffentliche Überwachung, 10.000 EUR Arbeitsplatzüberwachung).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

DSGVO Art. 5, 6, 12, 13, 35, 88

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Unbeteiligter erhielt im Oktober 2023 Vollstreckungsunterlagen eines Schuldners mit Name, Anschrift, Geburtsdatum, PESEL-Nummer, Forderungshöhe und Arbeitgeber. Die Kanzlei meldete weder der Aufsicht noch informierte sie den Betroffenen; die UODO verhängte 7.700 PLN für die fehlende Meldung und 13.200 PLN für die fehlende Benachrichtigung und ordnete an, den Betroffenen binnen drei Tagen zu informieren.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1, Art. 34 Abs. 1 und 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 20.900 PLN, umgerechnet zum EZB-Referenzkurs vom 23.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das slowakische Amt für Hinweisgeberschutz verhängte erneut eine Geldbuße gegen das Innenministerium, diesmal 70.000 EUR. Ab Ende August 2024 hatte das Ministerium ohne Zustimmung des Amtes Personalbefehle gegen fünf geschützte Hinweisgeber im Polizeidienst erlassen, mit denen diese versetzt und aus ihren Funktionen abberufen wurden. Die Präsidentin des Amtes wies die Berufung am 24. November 2025 ab.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Repressalien gegen Hinweisgeber

Rechtsgrundlage

§ 7 Abs. 1, § 19 Abs. 3 Zákon č. 54/2019 Z. z. (Hinweisgeberschutzgesetz)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Wiederholungsfall

ja

Haftung von Führungskräften

Die Geldbuße traf die Stelle als Arbeitgeber.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Der SRB gab Stellungnahmen früherer Banco-Popular-Aktionäre pseudonymisiert an Deloitte weiter, ohne die Betroffenen darüber zu informieren; der EDSB sah darin einen Verstoß gegen die Informationspflicht. Der EuGH hob das Urteil des EuG auf und stellte klar, dass die Informationspflicht aus Sicht des Verantwortlichen zum Zeitpunkt der Erhebung zu beurteilen ist; die Sache ging an das EuG zurück.

Behörde / Gericht

Gerichtshof der Europäischen Union, Rs. C-413/23 P

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Verordnung (EU) 2018/1725 (Informationspflicht)

Verfahrensstand

angefochten

Branche

Öffentlicher Sektor

Veröffentlicht

04.09.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der staatliche Bodenfonds prüfte eine Meldung vom September 2022 erst nach 128 Tagen und informierte Beschäftigte bis November 2024 nicht ausreichend über Meldeverfahren, Schutzmöglichkeiten und die zuständige Person. Die Hinweisgeberschutzbehörde verhängte 6.000 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakei)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

§ 10 Abs. 5 und 8, § 19 Gesetz Nr. 54/2019 über den Schutz von Hinweisgebern

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Zentralbehörde nahm die Aufgaben der Meldestelle für drei ihr unterstellte Zentren für Kinder und Familien über Monate nicht wahr und machte die verantwortliche Person den Beschäftigten nicht bekannt. Das Amt verhängte 5.000 EUR; die Berufungsentscheidung vom 12.09.2025 fasste den Spruch neu, beließ die Geldbuße aber bei 5.000 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

Zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, § 10 Abs. 3 und 5, § 19 Abs. 3

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Für die Registrierung zur Public Services Card erstellte das Ministerium biometrische Gesichtsvorlagen eines großen Teils der Bevölkerung, ohne eine hinreichend klare Rechtsgrundlage, mit mangelhafter Information und lückenhafter Datenschutz-Folgenabschätzung. Die DPC erteilte eine Rüge, verhängte 550.000 Euro und ordnete an, die biometrische Verarbeitung binnen neun Monaten einzustellen, falls keine gültige Rechtsgrundlage gefunden wird.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und e, Art. 6 Abs. 1, Art. 9 Abs. 1, Art. 13, Art. 35 Abs. 7 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Keine Mängel bei den technischen und organisatorischen Sicherheitsmaßnahmen festgestellt.

Veröffentlicht

12.06.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Museum veröffentlichte weder Informationen zu den Schutzmöglichkeiten noch zum externen Meldeweg und konnte nicht nachweisen, dass die Beschäftigten die interne Meldeordnung kannten – es fehlten Unterschriftenlisten und ein Nachweis des Intranetzugangs. Das Amt verhängte 7.000 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

Zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, § 10 Abs. 5, § 19 Abs. 3

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Gemeinde veröffentlichte keine Informationen über die Schutzmöglichkeiten für Hinweisgeber und hatte zeitweise zwei gültige, sich widersprechende Regelungen zum internen Meldeverfahren ohne Angabe ihrer Geltung online. Das Amt verhängte eine Geldbuße von 200 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

Zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, § 10 Abs. 5, § 19 Abs. 2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink