Wer wurde wofür sanktioniert?

Bei einer Versicherungsausschreibung 2024 im Umfang von rund 200 Mio. CZK ließ das Ministerium Teile der Vergabeunterlagen von einem Makler erstellen, der später Provisionen des siegreichen Versicherers erhalten konnte. Da der Auftraggeber keine Maßnahmen gegen den Interessenkonflikt traf, verhängte die Behörde rechtskräftig 300.000 CZK.

Behörde / Gericht

Úřad pro ochranu hospodářské soutěže (ÚOHS)

Rechtsgebiet

Sonstiges

Rechtsgrundlage

Gesetz über die Vergabe öffentlicher Aufträge (Pflicht zur Vermeidung von Interessenkonflikten)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Veröffentlicht

15.09.2026

Originalbetrag 300.000 CZK, umgerechnet zum EZB-Referenzkurs vom 15.09.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der kommunale Sportstättenbetrieb hatte seit 2007 Kameras in den Umkleiden eines Schwimmbads, die den Spindbereich aufzeichneten. Die Garante sah keine tragfähige Rechtsgrundlage, unvollständige Hinweise und eine nicht durch eine Erforderlichkeitsprüfung begründete Speicherdauer von 72 Stunden und verhängte 8.000 Euro (Provvedimento Nr. 619); im Verfahren wurden die Kameras entfernt.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 lit. c und e DSGVO; Art. 2-ter Codice privacy

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

11.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eindringlinge gelangten 2023 in zwei ehemalige psychiatrische Kliniken und stellten Videos von dort gelagerten Patientenakten ins Netz. Die Prüfung von zwölf Standorten ergab Akten mit Schimmel-, Wasser- und Tierschäden in ungeeigneten Räumen bis hin zu Schiffscontainern. Die DPC verhängte 645.000 EUR, sprach eine Verwarnung aus und ordnete Audits und Umlagerungen an.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. e und f, 32 Abs. 1, 33 Abs. 1, 34 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

02.09.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die britische Datenschutzaufsicht ICO sprach gegenüber dem ACRO Criminal Records Office eine Verwarnung (reprimand) aus. Anlass war nach Angaben der ICO ein Cybervorfall, bei dem personenbezogene Daten von rund 10.000 Betroffenen im Vereinigten Königreich betroffen sein konnten. Die ICO sah Verstöße gegen die Pflicht zu angemessenen technischen und organisatorischen Sicherheitsmaßnahmen nach Art. 32 UK GDPR. Ein Bußgeld wurde nicht verhängt.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der staatliche Forstkonzern belieferte von 2020 bis April 2026 aufgrund alter Langzeit-Einschlagverträge sechs Holzverarbeiter außerhalb öffentlicher Auktionen mit garantierten Rundholzmengen, während alle anderen nur über Auktionen kaufen konnten. In seiner ersten Entscheidung zur Wettbewerbsneutralität öffentlicher Unternehmen verhängte der Wettbewerbsrat 7.859.606,89 Euro und verpflichtete zu gleichen Verkaufsbedingungen für alle qualifizierten Bieter.

Behörde / Gericht

Konkurences padome (Lettischer Wettbewerbsrat)

Rechtsgebiet

Kartellrecht und Wettbewerb

Rechtsgrundlage

Art. 14.1 Konkurences likums (Wettbewerbsneutralität)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

13.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Eine großflächige Verletzung betraf Informationssysteme der EETAA, mit denen Programme des Ministeriums für Sozialen Zusammenhalt und Familie umgesetzt wurden; betroffen waren Identifikations-, Kontakt-, Finanz- und Gesundheitsdaten zahlreicher Personen. Die Datenschutzbehörde führte den Erfolg des Angriffs auf veraltete Systeme und unzureichende Sicherheitsmaßnahmen zurück und bemängelte das Fehlen eines Auftragsverarbeitungsvertrags. Sie verhängte mit Entscheidung 15/2026 insgesamt 350.000 EUR (Ministerium 150.000 EUR nach Art. 5 Abs. 1 lit. f/Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO; EETAA 100.000 EUR nach Art. 32 und 50.000 EUR nach Art. 28 Abs. 3 DSGVO) und ordnete binnen eines Monats den Abschluss des Vertrags sowie die Umsetzung der geplanten Sicherheitsmaßnahmen an.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 28 Abs. 3, Art. 32 Abs. 1, Art. 58 Abs. 2 lit. d und i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Das Ministerium erfüllte laut Behörde seine Melde- und Benachrichtigungspflichten nach der Verletzung.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Met Police übergab einem Angeklagten ungeschwärzte Unterlagen mit neuer Adresse und Telefonnummer eines Stalking-Opfers und legte in einer Rundmail 18 Personen mit Parlamentsbezug im offenen Verteiler offen. Die ICO ordnete Verbesserungen binnen 3 und 12 Monaten an, u. a. bei den Schulungsquoten im Datenschutz.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Data Protection Act 2018, Section 40

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Veröffentlicht

05.08.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die öffentliche Berufsschule hatte Berichte zur Überprüfung von Qualifikationen und Vorstrafen dreier Beschäftigter im September 2022 versehentlich per E-Mail an weitere Mitarbeitende verschickt, weder die Behörde noch die Betroffenen informiert und keinen Information Officer (Informationsbeauftragten) registriert. Abweichend von der Einschätzung ihres Enforcement Committee (Durchsetzungsausschuss) sah die Behörde darin auch eine unzulässige Weiterverarbeitung und stellte Verstöße gegen Rechenschaftspflicht, Zweckbindung, Datensicherheit und Meldepflicht fest; am 22. Mai 2026 ordnete sie u. a. die Registrierung, die nachträgliche Meldung, eine schriftliche Entschuldigung, ein Compliance-Framework und POPIA-Schulungen für alle Beschäftigten an.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Sections 8, 15(1), 19(1) und 22(1) Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice nach Section 95 POPIA

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Schule rief die E-Mail zwei Tage später zurück, informierte die Beschäftigten über den Fehler und ergriff Maßnahmen gegen die Verantwortlichen; das entband sie laut Behörde aber nicht von der Meldepflicht.

Veröffentlicht

02.06.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Seit 2020 kam es bei der CRA zu mehr als 42.000 einzelnen Verletzungen, bei denen Unbefugte auf Steuerkonten zugriffen oder Daten änderten, um Leistungen umzuleiten. Der Datenschutzbeauftragte bemängelte in einem Sonderbericht an das Parlament u. a. die verzögerte Einführung verpflichtender MFA und lückenhafte Vorfallserfassung und sprach neun Empfehlungen aus, von denen acht vollständig und eine teilweise angenommen wurden.

Behörde / Gericht

Office of the Privacy Commissioner of Canada (OPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act (Kanada)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Cardiff University wurde zu 280.000 GBP Geldstrafe und 11.745 GBP Kosten verurteilt, weil zwei Beschäftigte durch den Kontakt mit Tierallergenen an Berufsasthma erkrankten. Nach den Feststellungen der Health and Safety Executive hatte die Universität von 2008 bis 2025 keine geeigneten Schutzmaßnahmen gegen die Allergenexposition ermittelt und umgesetzt, obwohl die Gefahrstoffvorschriften (COSHH) und einschlägige Leitlinien seit Langem bestehen.

Behörde / Gericht

Cardiff Magistrates' Court (Anklage: Health and Safety Executive)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Section 2(1) Health and Safety at Work etc. Act 1974

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Schuldbekenntnis.

Veröffentlicht

01.05.2026

Originalbetrag 280.000 GBP, umgerechnet zum EZB-Referenzkurs vom 30.04.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Das Stadtgericht Kolding verurteilte die Region Syddanmark im Dezember 2024 wegen zweier Verstöße gegen die Pflicht zu angemessener Datensicherheit zu 1.000.000 DKK. Das Vestre Landsret bestätigte am 23. März 2026 nur den ersten Vorwurf – in einer Datenbank für Forschung und Klinik konnten eingeloggte Nutzer durch Ändern der URL auf PDF-Dokumente von über 23.000 Registrierten zugreifen, darunter Gesundheitsdaten Minderjähriger aus der Psychiatrie – und setzte die Buße auf 500.000 DKK herab; vom Vorwurf zu Patientendaten in einer Präsentation auf der Website sprach es die Region frei.

Behörde / Gericht

Retten i Kolding; Vestre Landsret (auf Anzeige der Datatilsynet)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1, Art. 83 Abs. 4 lit. a und Abs. 9 DSGVO; databeskyttelseslovens § 41 stk. 1 nr. 1, stk. 3 og 6

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Wiederholungsfall

ja

Originalbetrag 500.000 DKK, umgerechnet zum EZB-Referenzkurs vom 23.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Auftragnehmer der staatlichen Forstgesellschaft fällten im Juni und Juli 2020 im Wild Cattle Creek State Forest bei Coffs Harbour sechs Riesenbäume und drei Höhlenbäume, die nach der Coastal Integrated Forestry Operation Approval hätten stehen bleiben müssen. Das Land and Environment Court verurteilte die Gesellschaft auf Anklage der EPA und stellte Schäden am Koala-Lebensraum sowie kulturelle Schäden für die Gumbaynggirr fest; die Strafe von 450.000 AUD geht nach einer Konferenz zur Wiedergutmachung an die Yurruungga Aboriginal Corporation für Sanierungsprojekte. Zusätzlich muss die Gesellschaft ein unabhängiges Audit ihrer Verfahren durchführen lassen und die Verurteilung veröffentlichen.

Behörde / Gericht

NSW Environment Protection Authority (EPA NSW) / Land and Environment Court of NSW

Rechtsgebiet

Umwelt und Nachhaltigkeit · Emissionen und Genehmigungen

Rechtsgrundlage

Coastal Integrated Forestry Operation Approval (NSW)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Wiederholungsfall

ja

Veröffentlicht

16.03.2026

Originalbetrag 450.000 AUD, umgerechnet zum EZB-Referenzkurs vom 16.03.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die ICO sprach gegenüber der City of London Police eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizeibehörde zwischen 1. April 2023 und 31. Juli 2025 Auskunftsersuchen betroffener Personen (subject access requests) nicht innerhalb der gesetzlichen Frist beantwortet. Die ICO sah darin Verstöße gegen Art. 12(3) UK GDPR und section 45(3) DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) UK GDPR; section 45(3) DPA 2018; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Zehn Gemeinden (Delft, Ede, Eindhoven, Gooise Meren, Haarlemmermeer, Hilversum, Huizen, Tilburg, Veenendaal und Zoetermeer) hatten von einem externen Forschungsbüro erstellte Analysen der örtlichen islamischen Gemeinschaft (meist sogenannte Kräftefeldanalysen, in Haarlemmermeer ein Quickscan) erhalten, gespeichert und genutzt, die auch Angaben zur Religion und weitere sensible Merkmale einzelner Personen enthielten. Die AP verhängte am 3. Februar 2026 in getrennten Bescheiden gegen jedes Kollegium 25.000 EUR (zusammen 250.000 EUR); bei sieben Gemeinden beschränkte sie zudem die weitere Verarbeitung der Analysen auf die Wahrnehmung von Betroffenenrechten und Gerichtsverfahren.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a i. V. m. Art. 6 Abs. 1 und Art. 9 Abs. 1 DSGVO (AVG); Verarbeitungsbeschränkung nach Art. 58 Abs. 2 DSGVO (sieben Bescheide)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

05.02.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Angreifer übernahmen Anfang 2024 per Social Engineering Konten von Cap-Emploi-Beratern und griffen auf Daten von Arbeitsuchenden der letzten 20 Jahre zu, darunter Sozialversicherungsnummern. Die CNIL rügte schwache Authentifizierung, unzureichende Protokollierung und zu weite Zugriffsrechte und verhängte 5 Mio. Euro sowie eine Anordnung mit 5.000 Euro Zwangsgeld je Verzugstag.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Veröffentlicht

29.01.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei einer Übung zu öffentlichen Unruhen im Februar 2021 wurden Polizeikräfte in schwer entflammbarer Schutzkleidung mit Brandflaschen beworfen; vier Beamte erlitten Verbrennungen mit bleibenden Narben. Es fehlten Informationen zu Lebensdauer und Prüfung der PSA, eine Gefährdungsbeurteilung für Herstellung und Einsatz der Brandflaschen sowie sichere Arbeitsverfahren. Strafe 60.000 GBP plus 9.470 GBP Kosten.

Behörde / Gericht

Health and Safety Executive (Sheffield Magistrates' Court)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Health and Safety at Work etc. Act 1974, s. 2(1)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Veröffentlicht

20.01.2026

Originalbetrag 60.000 GBP, umgerechnet zum EZB-Referenzkurs vom 19.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im Juni 2023 stürzte ein Laternenmast aus den 1950er/60er Jahren um, dessen Stahl am Fuß zu mindestens 60 % durchgerostet war, und verletzte einen Fußgänger schwer. Der Mast war 2022 als schlecht eingestuft, aber erst für 2024 zum Austausch vorgesehen; die Sichtprüfungen der Stadt erkannten die akute Einsturzgefahr nicht. Strafe 80.000 GBP.

Behörde / Gericht

Health and Safety Executive (Glasgow Sheriff Court)

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Health and Safety at Work etc. Act 1974, s. 3(1)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Veröffentlicht

12.01.2026

Originalbetrag 80.000 GBP, umgerechnet zum EZB-Referenzkurs vom 08.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

In einem für die Beschäftigten einsehbaren Tagesbefehlsbuch einer Feuerwehrdienststelle wurden neben der Versetzung einer Offizierin in den leichten Dienst auch ihre Erkrankung, die Behandlung und die verordneten Medikamente vermerkt. Die Datenschutzbehörde sah darin einen Verstoß gegen Rechtmäßigkeit und Datenminimierung und verhängte gegen das Feuerwehr-Hauptquartier mit Entscheidung 1/2026 eine Geldbuße von 10.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und c DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Hacker gelangte 2021 über ein Webformular auf einen Web- und einen Datenbankserver der Hochschule, erbeutete u. a. Namen mit Passwörtern und Bürgerservicenummern von Studierenden und Beschäftigten und forderte vergeblich Lösegeld. Die Sicherheit war nicht auf die Risiken abgestimmt, die Rechte eines Datenbankkontos waren nicht beschränkt.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Mildernde Umstände

Vergleich ohne Einspruch; aktive Schadensbegrenzung, gestärkte Resilienz und Weitergabe der Erfahrungen an andere Organisationen.

Veröffentlicht

17.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO verhängte gegen die Police Service of Scotland eine Geldbuße von 66.000 Pfund und sprach zugleich eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei im Rahmen eines Strafverfahrens in großem Umfang Daten vom Mobiltelefon einer bei ihr beschäftigten Person heruntergeladen, die Anzeige erstattet hatte, ohne sicherzustellen, dass dies rechtmäßig, fair und auf das Erforderliche beschränkt war; die ICO sah darin Verstöße im Zeitraum 18. Januar bis 5. April 2021. Dafür sprach die ICO die Verwarnung nach sections 35 und 37 DPA 2018 (Part 3) aus. Ebenfalls nach Feststellung der ICO gab später die Abteilung für Berufsstandards (Professional Standards Department) diese Daten in einem internen Disziplinarverfahren unbefugt an die beschuldigte Person weiter. Für die Zusammenstellung solcher Disziplinarunterlagen fehlten angemessene technische und organisatorische Maßnahmen, und die Datenpanne wurde der ICO erst am 30.06.2022 gemeldet, obwohl die Polizei seit dem 17.06.2022 davon wusste. Für diese Verstöße verhängte die ICO die Geldbuße. Der gemeinsame Bescheid stützt sich unter anderem auf Art. 5(1)(f) und 32(1) UK GDPR (Sicherheit der Verarbeitung), Art. 5(1)(c) und 25 UK GDPR (Datenminimierung, Datenschutz durch Technikgestaltung) sowie Art. 33(1) UK GDPR (Meldung von Datenpannen).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(c), 5(1)(f), 25(1)-(2), 32(1) und 33(1) UK GDPR; section 155 DPA 2018 (Geldbuße); sections 35 und 37 DPA 2018 (Part 3), Verwarnung nach Schedule 13 para 2(c) DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 66.000 GBP, umgerechnet zum EZB-Referenzkurs vom 12.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Zwischen 2018 und 2020 meldete die Universität zwölf Datenpannen, davon sechs, bei denen Unbefugte per Phishing in dienstliche E-Mail-Konten gelangten und teils Weiterleitungsregeln einrichteten. Die DPC stellte Verstöße gegen Art. 5(1)(f), 30(1), 32(1), 33(1) und 34(1) DSGVO fest, erteilte einen Verweis und verhängte Geldbußen von 45.000, 3.000, 35.000 und 15.000 Euro, zusammen 98.000 Euro.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 30(1), 32(1), 33(1), 34(1) DSGVO; ss. 110–111 Data Protection Act 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Die Universität erkannte die meisten Feststellungen an, übernahm Verantwortung und verbesserte Systeme, Schulungen und Richtlinien; die Bußen liegen deutlich unter dem Entwurf, eine Abhilfeanordnung entfiel.

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die Gemeinde hatte personenbezogene Daten einer früheren beschäftigten Person verarbeitet, die im Internet offengelegt wurden; der Information Regulator wertete dies als schweren Eingriff in die Privatsphäre und erließ eine Enforcement Notice. Weil die Gemeinde die Abhilfeanordnungen nicht umsetzte, folgte eine Geldbuße von 500.000 ZAR; da sie nicht zahlte, hat der Regulator die Beitreibung gerichtlich eingeleitet.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice und Infringement Notice

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

13.11.2025

Originalbetrag 500.000 ZAR, umgerechnet zum EZB-Referenzkurs vom 13.11.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Gemeinde in der Provinz Padua überwachte öffentliche Straßen und Arbeitsbereiche ohne tragfähige Rechtsgrundlage, ohne ausreichende Information und ohne Datenschutz-Folgenabschätzung; Aufnahmen wurden für Disziplinarzwecke genutzt, eine Beschäftigte wurde während einer Krankschreibung heimlich gefilmt. Bußgeld 15.000 EUR (5.000 EUR öffentliche Überwachung, 10.000 EUR Arbeitsplatzüberwachung).

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

DSGVO Art. 5, 6, 12, 13, 35, 88

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Unbeteiligter erhielt im Oktober 2023 Vollstreckungsunterlagen eines Schuldners mit Name, Anschrift, Geburtsdatum, PESEL-Nummer, Forderungshöhe und Arbeitgeber. Die Kanzlei meldete weder der Aufsicht noch informierte sie den Betroffenen; die UODO verhängte 7.700 PLN für die fehlende Meldung und 13.200 PLN für die fehlende Benachrichtigung und ordnete an, den Betroffenen binnen drei Tagen zu informieren.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1, Art. 34 Abs. 1 und 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 20.900 PLN, umgerechnet zum EZB-Referenzkurs vom 23.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das slowakische Amt für Hinweisgeberschutz verhängte erneut eine Geldbuße gegen das Innenministerium, diesmal 70.000 EUR. Ab Ende August 2024 hatte das Ministerium ohne Zustimmung des Amtes Personalbefehle gegen fünf geschützte Hinweisgeber im Polizeidienst erlassen, mit denen diese versetzt und aus ihren Funktionen abberufen wurden. Die Präsidentin des Amtes wies die Berufung am 24. November 2025 ab.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Repressalien gegen Hinweisgeber

Rechtsgrundlage

§ 7 Abs. 1, § 19 Abs. 3 Zákon č. 54/2019 Z. z. (Hinweisgeberschutzgesetz)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Wiederholungsfall

ja

Haftung von Führungskräften

Die Geldbuße traf die Stelle als Arbeitgeber.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die ICO erließ gegen die South Wales Police eine Durchsetzungsanordnung wegen erheblicher Verzögerungen bei Auskunftsersuchen betroffener Personen. Nach den Feststellungen der ICO beantwortete die Polizei von April 2023 bis März 2024 nur 29 % der Ersuchen fristgerecht; im August 2025 waren 352 Ersuchen überfällig, eines seit fast zwei Jahren. Die ICO verpflichtete die Behörde, den Rückstand bis Juni 2026 abzubauen. Grundlage sind Art. 12(3), 15(1) und 15(3) UK GDPR sowie section 45 DPA 2018. Laut Anordnung beschäftigt die Polizei knapp 3.000 Polizeibeamte und über 2.200 weitere Mitarbeitende.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; section 45 DPA 2018; section 149 DPA 2018

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

1.000 bis 9.999

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der SRB gab Stellungnahmen früherer Banco-Popular-Aktionäre pseudonymisiert an Deloitte weiter, ohne die Betroffenen darüber zu informieren; der EDSB sah darin einen Verstoß gegen die Informationspflicht. Der EuGH hob das Urteil des EuG auf und stellte klar, dass die Informationspflicht aus Sicht des Verantwortlichen zum Zeitpunkt der Erhebung zu beurteilen ist; die Sache ging an das EuG zurück.

Behörde / Gericht

Gerichtshof der Europäischen Union, Rs. C-413/23 P

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Verordnung (EU) 2018/1725 (Informationspflicht)

Verfahrensstand

angefochten

Branche

Öffentlicher Sektor

Veröffentlicht

04.09.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO erließ gegen den Bristol City Council eine Durchsetzungsanordnung, weil die Kommune nach ihren Feststellungen Auskunftsersuchen betroffener Personen nicht wie gesetzlich vorgeschrieben beantwortet hatte. Die Anordnung stützt sich auf Art. 12(3), 15(1) und 15(3) UK GDPR und betrachtet unter anderem den Zeitraum 1. April 2023 bis 31. März 2024.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; section 149 DPA 2018

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Der staatliche Bodenfonds prüfte eine Meldung vom September 2022 erst nach 128 Tagen und informierte Beschäftigte bis November 2024 nicht ausreichend über Meldeverfahren, Schutzmöglichkeiten und die zuständige Person. Die Hinweisgeberschutzbehörde verhängte 6.000 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakei)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

§ 10 Abs. 5 und 8, § 19 Gesetz Nr. 54/2019 über den Schutz von Hinweisgebern

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Zentralbehörde nahm die Aufgaben der Meldestelle für drei ihr unterstellte Zentren für Kinder und Familien über Monate nicht wahr und machte die verantwortliche Person den Beschäftigten nicht bekannt. Das Amt verhängte 5.000 EUR; die Berufungsentscheidung vom 12.09.2025 fasste den Spruch neu, beließ die Geldbuße aber bei 5.000 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

Zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, § 10 Abs. 3 und 5, § 19 Abs. 3

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Für die Registrierung zur Public Services Card erstellte das Ministerium biometrische Gesichtsvorlagen eines großen Teils der Bevölkerung, ohne eine hinreichend klare Rechtsgrundlage, mit mangelhafter Information und lückenhafter Datenschutz-Folgenabschätzung. Die DPC erteilte eine Rüge, verhängte 550.000 Euro und ordnete an, die biometrische Verarbeitung binnen neun Monaten einzustellen, falls keine gültige Rechtsgrundlage gefunden wird.

Behörde / Gericht

Data Protection Commission (DPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und e, Art. 6 Abs. 1, Art. 9 Abs. 1, Art. 13, Art. 35 Abs. 7 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Keine Mängel bei den technischen und organisatorischen Sicherheitsmaßnahmen festgestellt.

Veröffentlicht

12.06.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei Mäharbeiten im städtischen Parc des Sorbiers wurde im Juli 2024 mindestens ein Nest des geschützten Bobolinks zerstört; ein Bürger meldete den Fund. Die Stadt bekannte sich nach dem Species at Risk Act schuldig und zahlt 30.000 CAD.

Behörde / Gericht

Court of Québec (Anklage: Environment and Climate Change Canada)

Rechtsgebiet

Umwelt und Nachhaltigkeit

Rechtsgrundlage

Species at Risk Act, s. 33

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Veröffentlicht

12.06.2025

Originalbetrag 30.000 CAD, umgerechnet zum EZB-Referenzkurs vom 12.06.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO sprach gegenüber der South Yorkshire Police eine Verwarnung aus. Nach den Feststellungen der ICO wurden bei einer Datenübertragung im Juli 2023, die ein externer Dienstleister im System für digitale Beweismittel durchführte, 96.174 Original-Aufnahmen von Körperkameras (Body Worn Video) versehentlich gelöscht. Nach Einschätzung der ICO hatte die Polizei keine angemessenen technischen und organisatorischen Sicherheitsmaßnahmen getroffen und konnte die Einhaltung der Vorgaben nicht nachweisen. Grundlage waren die Regeln für die Datenverarbeitung zu Strafverfolgungszwecken (Teil 3 DPA 2018).

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

section 34(3) und section 40 DPA 2018 (Part 3)

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO erteilte dem Londoner Bezirk Hammersmith and Fulham eine Verwarnung. Nach den Feststellungen der ICO hatte der Bezirk auf eine Anfrage nach dem Informationsfreiheitsgesetz eine Tabelle herausgegeben, in der ausgeblendete Daten enthalten waren. Dadurch wurden personenbezogene Daten von 6.528 Menschen offengelegt, darunter 2.342 Kinder. Die ICO bemängelte unzureichende Sicherheitsmaßnahmen und fehlende Nachweise der Einhaltung.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 5(2), 24(1), 32(1)(b) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem Chief Constable der Greater Manchester Police eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei wegen eines anhaltenden Rückstaus alter Anträge Auskunftsersuchen betroffener Personen wiederholt nicht fristgerecht beantwortet. Die ICO sah darin Verstöße sowohl gegen die UK GDPR als auch gegen die Vorschriften für Strafverfolgungsbehörden im DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) und Art. 15 UK GDPR; section 45 und section 54 DPA 2018 (Part 3); Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Das Museum veröffentlichte weder Informationen zu den Schutzmöglichkeiten noch zum externen Meldeweg und konnte nicht nachweisen, dass die Beschäftigten die interne Meldeordnung kannten – es fehlten Unterschriftenlisten und ein Nachweis des Intranetzugangs. Das Amt verhängte 7.000 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

Zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, § 10 Abs. 5, § 19 Abs. 3

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO sprach gegenüber dem Chief Constable der Greater Manchester Police eine Verwarnung aus. Nach den Feststellungen der ICO wurden Aufnahmen einer Überwachungskamera aus dem Gewahrsamsbereich einer Polizeiwache von 2021, die wegen schwerer Vorwürfe gegen Beamte aufbewahrt werden sollten, bei der Sicherung nicht auf Vollständigkeit geprüft und gingen teilweise verloren. Zudem erhielt die betroffene Person ihre Daten auf ihr Auskunftsersuchen nicht fristgerecht. Grundlage waren die Regeln für die Datenverarbeitung zu Strafverfolgungszwecken im DPA 2018.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

section 45(3)(a) und (b) DPA 2018; sechster Datenschutzgrundsatz (section 40 DPA 2018, Part 3)

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die Gemeinde veröffentlichte keine Informationen über die Schutzmöglichkeiten für Hinweisgeber und hatte zeitweise zwei gültige, sich widersprechende Regelungen zum internen Meldeverfahren ohne Angabe ihrer Geltung online. Das Amt verhängte eine Geldbuße von 200 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

Zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, § 10 Abs. 5, § 19 Abs. 2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO sprach gegenüber dem Glasgow City Council eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete die Stadtverwaltung zwischen April 2023 und März 2024 nur 45 % der Auskunftsersuchen betroffener Personen innerhalb der gesetzlichen Frist. Die ICO sah darin Verstöße gegen die Vorgaben zur fristgerechten Auskunft.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem City of Edinburgh Council eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete die Stadtverwaltung im Jahr 2023 40 % der Auskunftsersuchen betroffener Personen nicht innerhalb der gesetzlichen Frist von einem Monat. Die ICO sah darin Verstöße gegen die Vorgaben zur fristgerechten Auskunft.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3), 15(1) und 15(3) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Eine Mitarbeiterin hängte versehentlich eine Excel-Datei mit Daten von 29.636 Kunden, darunter Gesundheitsdaten, an eine E-Mail an 292 Kunden an. Die VDAI stellte fest, dass Maßnahmen zur Verhinderung von Datenabfluss nicht ausreichend getestet waren und die Mitarbeiterin nicht in die Datenklassifizierung einbezogen und unzureichend unterwiesen war; Buße 9.000 Euro. Datum = Veröffentlichung; Quelle: Archivkopie.

Behörde / Gericht

Valstybinė duomenų apsaugos inspekcija (VDAI)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 24 Abs. 1, Art. 32 Abs. 1 lit. b und d DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

21.01.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Über einen für Komfortzwecke geöffneten Port zwischen internem und externem Netz drangen Angreifer in den E-Justiz-Server der National Court Administration ein und entwendeten 1.014 GB Prozessunterlagen; in den wiederhergestellten 4,7 GB fanden sich Daten von 17.998 Personen einschließlich Resident Registration Numbers. Die Behörde beanstandete unverschlüsselt gespeicherte Dokumente, unveränderte leicht zu erratende Initialpasswörter von Administratorkonten, fehlende Sicherheitssoftware auf einem Server und eine Meldung erst im Dezember 2023, obwohl Hinweise auf den Abfluss seit April 2023 vorlagen. Sie verhängte ein Bußgeld (Penalty Surcharge) von 207.000.000 KRW und ein Verwaltungsbußgeld von 6.000.000 KRW (zusammen 213.000.000 KRW), empfahl Disziplinarmaßnahmen und Verbesserungen und veröffentlicht die Verhängung des Verwaltungsbußgelds ein Jahr lang auf ihrer Website.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 24(3), Art. 24-2(2), Art. 29, Art. 34(1) und (3); Sanktion nach Art. 34-2 a. F.

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Verschulden

fahrlässig

Mildernde Umstände

Nach einer Erhöhung um 20 % wurde der Betrag um 25 % gemindert; berücksichtigt wurden dabei Schutzbemühungen wie eine ISMS-Zertifizierung (2020–2023).

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

09.01.2025

Originalbetrag 213.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 08.01.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Mindestens 1.000 ehemalige Beschäftigte behielten nach ihrem Ausscheiden Zugang zum Fachsystem KMD Nexus mit Daten von rund 30.000 Bürgern; ein früherer Mitarbeiter sah 1.022 Bürgerakten ein. Zudem nutzte eine unbefugte Person die Zugangsdaten eines Beschäftigten für Office-Dienste mit Informationen über rund 5.000 Personen – beide Systeme waren seit Jahren ohne Mehr-Faktor-Authentifizierung aus dem Internet erreichbar. Datatilsynet zeigte die Gemeinde bei der Polizei an und schlug eine Geldbuße von 350.000 bis 400.000 DKK vor; das Verfahren ist noch bei den Gerichten anhängig, eine Geldbuße wurde bislang nicht verhängt.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. f, Art. 32

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

27.11.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Das Nationaal Archief plante, das Archiv der Sondergerichtsbarkeit nach dem Zweiten Weltkrieg (CABR) mit rund 485.000 Akten zu mutmaßlicher Kollaboration ab Januar 2025 für jedermann online und im Volltext durchsuchbar zu veröffentlichen. Weil dies nach Einschätzung der AP ohne gesetzliche Ausnahme auch besondere und strafrechtliche Daten noch lebender Personen offengelegt hätte, sprach sie gegenüber dem Minister für Bildung, Kultur und Wissenschaft als Verantwortlichem eine förmliche Warnung aus.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

DSGVO (AVG), insbesondere Art. 9 und 10; förmliche Warnung vor einer voraussichtlich rechtswidrigen Verarbeitung

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Veröffentlicht

06.12.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Nach der unbefugten Veröffentlichung von Kandidatenlisten für die Wahlen 2024 stellte der Information Regulator unzureichende organisatorische Schutzmaßnahmen fest und erließ am 10. September 2024 eine Enforcement Notice. Weil die Wahlkommission die Umsetzung nicht fristgerecht (31 Tage) nachwies, folgte eine Infringement Notice mit einer Geldbuße von 100.000 ZAR.

Behörde / Gericht

Information Regulator (South Africa)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Protection of Personal Information Act 4 of 2013 (POPIA); Enforcement Notice und Infringement Notice

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

13.11.2024

Originalbetrag 100.000 ZAR, umgerechnet zum EZB-Referenzkurs vom 13.11.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die dem Außenministerium unterstellte Einrichtung mit mindestens 50 Beschäftigten hatte statt einer eigenen verantwortlichen Person den Generalsekretär des Ministeriums benannt und die Meldewege nicht für alle Beschäftigten zugänglich veröffentlicht. Das Amt verhängte 2.000 EUR.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

Zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, § 10 Abs. 1 und 5, § 19 Abs. 2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Nach einem Einbruch in die Server der Bezirksverwaltung, bei dem Daten verschlüsselt wurden, fielen Dienste aus und Sozialleistungen verspäteten sich. Die VDAI stellte unzureichenden Schadsoftwareschutz, mangelhafte Rechte- und Passwortverwaltung, fehlende Wiederherstellung sowie unzureichende Information der Betroffenen fest und verhängte 9.000 Euro. Datum = Veröffentlichung; Quelle: Archivkopie.

Behörde / Gericht

Valstybinė duomenų apsaugos inspekcija (VDAI)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1 lit. b, c und d, Art. 34 Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

18.10.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber dem Southend-on-Sea City Council eine Verwarnung aus. Nach den Feststellungen der ICO enthielt in einer Antwort auf eine Anfrage nach dem Informationsfreiheitsgesetz, die im Mai 2023 über eine öffentliche Plattform veröffentlicht wurde, eine Tabelle ausgeblendete Personaldaten aktueller und früherer Beschäftigter, darunter Kontakt-, Gehalts- und Gesundheitsangaben. Der Fehler wurde erst Monate später bemerkt. Die ICO sah einen Verstoß gegen das Gebot angemessener Datensicherheit.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

In der Antwort auf eine Informationsfreiheitsanfrage veröffentlichte eine britische Polizeibehörde eine Excel-Datei, deren verborgenes Tabellenblatt Nachnamen, Initialen, Rang und Funktion aller Beschäftigten enthielt. Die Datei war gut zwei Stunden sichtbar und wurde nach knapp drei Stunden gelöscht; die Behörde ging davon aus, dass sie in die Hände militanter Gruppen gelangte.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1 und 2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Beschäftigte

1.000 bis 9.999

Verschulden

fahrlässig

Mildernde Umstände

Anwendung des Public-Sector-Ansatzes; ohne ihn hätte das Bußgeld 5,6 Mio. £ betragen.

Veröffentlicht

03.10.2024

Originalbetrag 750.000 GBP, umgerechnet zum EZB-Referenzkurs vom 26.09.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 26.09.2026 · Direktlink

Die ANPD verhängte gegen ein brasilianisches Bundesministerium zwei Verwarnungen, weil über eine Schwachstelle einer Programmierschnittstelle seines Zugangs- und Berechtigungssystems bei Abfrage gültiger CPF-Nummern Personendaten wie Name, Geburtsdatum, Name der Mutter und Anschrift abrufbar waren: eine wegen unzureichender Information der Betroffenen über den Sicherheitsvorfall (Art. 48 LGPD) und eine wegen mangelnder Sicherheit der Systeme (Art. 49 LGPD). Verbunden waren Abhilfemaßnahmen, u. a. die Berichtigung der Mitteilung auf der Website zu Datenkategorien, Risiken und Gründen der verspäteten Information sowie ein Zeitplan für technische Maßnahmen; den Widerspruch wies der Direktorenrat im Dezember 2025 zurück und bestätigte die von der Fiskalisierung festgesetzte Endfrist 31.12.2025 für die Umsetzung.

Behörde / Gericht

Autoridade Nacional de Proteção de Dados (ANPD), Coordenação-Geral de Fiscalização

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 48 und 49 Lei nº 13.709/2018 (LGPD); Art. 55 § 2 I Regulamento de Fiscalização (Resolução CD/ANPD nº 1/2021)

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Veröffentlicht

09.08.2024

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 09.08.2026 · Direktlink

Die ICO sprach gegenüber einer Academy-Schule in Essex mit rund 1.200 Schülerinnen und Schülern von 11 bis 18 Jahren, eine Verwarnung aus. Nach den Feststellungen der ICO führte die Schule im März 2023 Gesichtserkennung für die bargeldlose Bezahlung in der Schulverpflegung ein, ohne vorher die vorgeschriebene Datenschutz-Folgenabschätzung durchzuführen; diese lag erst im November 2023 vor. Bis dahin ging die Schule von einer Einwilligung aus, sofern Eltern nicht widersprochen hatten, was nach Auffassung der ICO keine wirksame Einwilligung ist, und holte auch keinen Rat ihres Datenschutzbeauftragten ein. Die Verwarnung stützt sich auf einen Verstoß gegen Art. 35(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 35(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 22.07.2026 · Direktlink

Die ICO sprach am 5. Juli 2024 gegenüber einem Londoner Bezirk eine (aktualisierte) Verwarnung aus. Anlass war nach der Darstellung im Bescheid ein Ransomware-Angriff, von dem der Bezirk am 11. Oktober 2020 erfuhr: Der Angreifer konnte auf 440.000 Dateien mit personenbezogenen Daten, darunter besondere Kategorien, von mindestens 280.000 Einwohnern und weiteren Personen einschließlich Beschäftigten zugreifen und sie verschlüsseln. Nach den Feststellungen der ICO waren das Patch-Management und die Verwaltung von Benutzerkonten unzureichend, was gegen Art. 5(1)(f) und 32(1)(b) UK GDPR verstieß. Die ICO hatte zunächst eine Geldbuße erwogen, entschied sich aber unter Berücksichtigung ihres Ansatzes gegenüber dem öffentlichen Sektor und der Umstände des Falls für eine Verwarnung.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 05.07.2026 · Direktlink

Das slowakische Amt für Hinweisgeberschutz verhängte gegen ein Ministerium der Slowakischen Republik eine Geldbuße von 90.000 EUR. Das Ministerium hatte im Oktober und November 2023 ohne die gesetzlich erforderliche Zustimmung des Amtes Personalbefehle gegen geschützte Hinweisgeber im Polizeidienst erlassen, im Erstbescheid zehn Personen, etwa vorläufige Dienstenthebungen, Versetzungen und Abberufungen aus Führungsfunktionen. Die Präsidentin des Amtes bestätigte die Geldbuße am 23. Oktober 2024 in voller Höhe und stellte das Verfahren nur für einen Teilakt ein.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Repressalien gegen Hinweisgeber

Rechtsgrundlage

§ 7 Abs. 1, § 19 Abs. 3 Zákon č. 54/2019 Z. z. (Hinweisgeberschutzgesetz)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Haftung von Führungskräften

Die Geldbuße traf die Stelle als Arbeitgeber.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 24.06.2026 · Direktlink

Nach einer Systemänderung erhielten beide sorgeberechtigten Elternteile Zugang zu Schreiben der kommunalen Zahnpflege und automatisch Briefe mit teils geschützten Adressen der Kinder – ohne Prüfung, ob die Weitergabe zulässig war. Datatilsynet bemängelte fehlendes Änderungsmanagement; die Kommune akzeptierte einen Bußgeldbescheid über 200.000 DKK.

Behörde / Gericht

Anklagemyndigheden (Bødeforelæg) auf Anzeige der Datatilsynet

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Originalbetrag 200.000 DKK, umgerechnet zum EZB-Referenzkurs vom 27.05.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 27.05.2026 · Direktlink

Die ICO sprach gegenüber einer britischen Behörde eine Verwarnung aus. Nach den Feststellungen der ICO drangen unbekannte Angreifer ab dem 24. August 2021 über eine Kette bekannter Schwachstellen in den selbst betriebenen E-Mail-Server der Kommission ein; betroffen waren vor allem Daten aus dem Wählerverzeichnis mit Namen und Anschriften von rund 40 Millionen Personen. Die Sicherheitsupdates für diese Schwachstellen waren im April und Mai 2021 erschienen, aber nicht eingespielt. Zudem ließen sich bei einer Prüfung 178 aktive Konten schnell knacken, weil Passwörter identisch oder ähnlich zu den vom Service Desk vergebenen Startpasswörtern waren. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.05.2026 · Direktlink

Die Datenschutzbehörde prüfte von Amts wegen ein System zur digitalen Sicherheitsüberwachung (u. a. mit Videoüberwachung und Drohnen) und ein System zur Zutrittskontrolle mit Fingerabdruck in Aufnahme- und geschlossenen kontrollierten Einrichtungen für Drittstaatsangehörige. Mit einer Entscheidung von 2024 verhängte sie 100.000 EUR, weil vor Beschaffung und Inbetriebnahme keine vollständige Datenschutz-Folgenabschätzung und kein Datenschutz durch Technikgestaltung vorlagen, sowie 75.000 EUR wegen unklarer, unvollständiger und widersprüchlicher Angaben und fehlender Unterlagen gegenüber der Behörde. Zudem muss das Ministerium binnen drei Monaten die DSGVO-Konformität herstellen.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 25, 31, 35, 58 Abs. 2 lit. d und i DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 02.04.2026 · Direktlink

Nach einem Ransomware-Angriff im August 2023 auf die Technologiepark-Gesellschaft, die vollständig der Hongkonger Regierung gehört, waren Daten von 13.632 Personen betroffen; Datenproben tauchten im Darknet auf. Der PCPD stellte am 02.04.2024 Verstöße gegen die Datensicherheitspflicht (DPP 4(1)) und die Löschpflicht (DPP 2(2)) fest: Brute-Force-Angriffe wurden nicht erkannt, Fernzugriffe liefen ohne Multi-Faktor-Authentifizierung, Sicherheitsaudits waren unzureichend, die Sicherheitsrichtlinie war zu unkonkret, und Daten von 5.292 abgelehnten Bewerbern und ehemaligen Beschäftigten waren über die Aufbewahrungsfrist hinaus gespeichert. Per Enforcement Notice muss die Gesellschaft u. a. Multi-Faktor-Authentifizierung einführen, jährlich unabhängige Sicherheitsaudits durchführen und überfällige Daten löschen.

Behörde / Gericht

Privacy Commissioner for Personal Data (PCPD), Hongkong

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Data (Privacy) Ordinance (Cap. 486), Data Protection Principles 4(1) und 2(2); Enforcement Notice nach s. 50(1)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

02.04.2024

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 02.04.2026 · Direktlink

Die ICO sprach gegenüber einer kommunalen, aber eigenständig arbeitenden Kinder- und Jugendhilfegesellschaft in England, eine Verwarnung aus. Nach den Feststellungen der ICO übersandte die Gesellschaft am 10. November 2022 einer Familie einen Kinderschutzplan, der unzulässig auch Angaben über eine andere Person enthielt, darunter Daten eines Kindes und Angaben zu Straftaten. Die ICO bemängelte unter anderem, dass die Gesellschaft keine klaren, auf die jeweilige Rolle zugeschnittenen Verfahren oder Richtlinien für die Anwendung des Datenschutzes in der zuständigen Abteilung nachweisen konnte. Sie sah Verstöße gegen Art. 5(1)(f), 32(1)(b) und 32(2) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f), 32(1)(b) und 32(2) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 18.03.2026 · Direktlink

Die ICO sprach gegenüber der Stelle, die in London die Polizeiaufsicht führt, eine Verwarnung aus. Nach den Feststellungen der ICO wurden zwischen dem 11. und 14. November 2022 durch einen Fehler bei der Rechtevergabe beim Auftragsverarbeiter zwei Webformulare, darunter ein Kontaktformular für die Londoner Opferbeauftragte, öffentlich geschaltet. Erst am 23. Februar 2023 wies eine Bürgerin oder ein Bürger die Stelle darauf hin, dass Nutzer alle über das Formular eingereichten Anfragen einsehen konnten; 394 Personen wurden später benachrichtigt. Nach Angaben der ICO gibt es keine Hinweise darauf, dass die Daten tatsächlich abgerufen wurden. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1) UK GDPR. Das veröffentlichte Dokument ist teils als vorläufige Entscheidung formuliert („provisionally decided“); die ICO führt die Verwarnung auf ihrer Fallseite als erteilt und bestätigte die Erteilung in einer Pressemitteilung vom 14. März 2024. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) und 32(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 13.03.2026 · Direktlink

Die ICO sprach gegenüber dem Polizeipräsidenten einer englischen Polizeibehörde eine Verwarnung aus. Nach den Feststellungen der ICO fotografierte eine Beamtin im Februar 2021 das Ausweisdokument einer Person mit ihrem privaten Mobiltelefon und lud das Bild in eine Gruppe eines Messenger-Dienstes hoch, die mehrere britische Polizeikräfte und internationale Strafverfolgungsbehörden zur Bekämpfung von Fahrzeugkriminalität nutzten; die betroffene Person wurde darüber nicht informiert. Die ICO bemängelte, dass die längere Nutzung der Gruppe von Vorgesetzten unbemerkt blieb, was auf mangelndes Bewusstsein für den Datenschutz hindeute. Sie sah einen Verstoß gegen section 40 DPA 2018 (Sicherheitsgrundsatz bei der Verarbeitung zu Strafverfolgungszwecken). Der Bescheid ist auf den 5. März 2024 datiert; die ICO-Fallseite führt den Fall unter dem 15. März 2024.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 40 DPA 2018; Verwarnung nach Art. 58(2)(b) UK GDPR/Schedule 13(2)(c) DPA 2018

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 05.03.2026 · Direktlink

Die ICO sprach gegenüber dem Polizeipräsidenten einer englischen Polizeibehörde eine Verwarnung aus. Nach den Feststellungen der ICO verknüpfte und verschmolz die Polizei seit mindestens Januar 2020 wiederholt die Datensätze zweier Personen mit gleichem Namen und Geburtsdatum. Das führte zu mehreren Vorfällen, bei denen Beamte die falsche Adresse aufsuchten, darunter einmal bei ernsten Schutzbedenken wegen häuslicher Gewalt, und bei denen Daten tatsächlich oder möglicherweise unzulässig offengelegt wurden. Die ICO sah Verstöße gegen section 34(3), 38(1), 38(3), 40 und 57(1) DPA 2018. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Section 34(3), 38(1), 38(3), 40 und 57(1) DPA 2018; Verwarnung nach Art. 58(2)(b) UK GDPR/Schedule 13(2)(c) DPA 2018

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 01.03.2026 · Direktlink

Die ICO erließ am 28. Februar 2024 gegen ein britisches Ministerium eine Durchsetzungsanordnung (enforcement notice) und sprach zugleich eine Warnung aus. Gegenstand war ein Pilotprojekt, in dem bis zu 600 Personen, die auf irregulären Wegen ins Land gekommen waren und unter Auflagen auf freiem Fuß waren, mit GPS-Fußfesseln überwacht wurden. Nach den Feststellungen der ICO hatte das Ministerium keine den Anforderungen genügende Datenschutz-Folgenabschätzung durchgeführt und nicht nachweisen können, dass die Verarbeitung die Datenschutzgrundsätze einhält, etwa warum weniger eingriffsintensive Mittel nicht ausreichten (Art. 35 und 5(2) UK GDPR). Die Anordnung verpflichtet das Ministerium, seine Richtlinien, Zugriffsregeln und Datenschutzhinweise für die aus dem Pilotprojekt gespeicherten Daten zu überarbeiten; die Warnung nach Art. 58(2)(a) UK GDPR kündigt an, dass eine künftige Verarbeitung auf derselben Grundlage voraussichtlich rechtswidrig wäre. Die ICO veröffentlichte den Fall am 21. März 2024.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 35 und 5(2) UK GDPR; Enforcement Notice nach section 149 DPA 2018; Warnung nach Art. 58(2)(a) UK GDPR

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 28.02.2026 · Direktlink

Bei einer Untersuchung zu einer Online-Plattform, über die die Verwaltung personenbezogene Daten erhob, beantwortete sie die Auskunftsersuchen der ANSPDCP trotz Verwarnung und einer Geldbuße von 10.000 RON nicht. Die Behörde setzte daraufhin per Beschluss ein Zwangsgeld von 159.000 RON für 53 Verzugstage fest.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 18 Abs. 2 Legea nr. 102/2005 (Gesetz über die ANSPDCP)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

06.03.2024

Originalbetrag 159.000 RON, umgerechnet zum EZB-Referenzkurs vom 20.02.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 20.02.2026 · Direktlink

Die ICO sprach gegenüber dem Polizeipräsidenten einer südwestenglischen Polizeibehörde eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei seit 2018 einen Rückstau bei Auskunftsersuchen, sodass über mehr als vier Jahre hinweg eine große Zahl von Ersuchen nicht innerhalb der gesetzlichen Frist von einem bzw. (bei zulässiger Verlängerung) drei Monaten beantwortet wurde. Der Datenschutz wird gemeinsam mit einer benachbarten Polizeibehörde im Rahmen einer 2017 gegründeten Allianz der beiden Polizeikräfte organisiert; an diese erging am selben Tag eine gleichlautende Verwarnung. Die ICO sah Verstöße gegen Art. 12(3) UK GDPR und section 54 DPA 2018 (Part 3). Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) UK GDPR; section 54 DPA 2018; Verwarnung nach Art. 58(2)(b) UK GDPR/Schedule 13(2)(c) DPA 2018

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 02.02.2026 · Direktlink

Die ICO sprach gegenüber dem Polizeipräsidenten einer südwestenglischen Polizeibehörde eine Verwarnung aus. Nach den Feststellungen der ICO hatte die Polizei seit 2018 einen Rückstau bei Auskunftsersuchen, sodass über mehr als vier Jahre hinweg eine große Zahl von Ersuchen nicht innerhalb der gesetzlichen Frist von einem bzw. (bei zulässiger Verlängerung) drei Monaten beantwortet wurde. Der Datenschutz wird gemeinsam mit einer benachbarten Polizeibehörde im Rahmen einer 2017 gegründeten Allianz der beiden Polizeikräfte organisiert; an diese erging am selben Tag eine gleichlautende Verwarnung. Die ICO sah Verstöße gegen Art. 12(3) UK GDPR und section 54 DPA 2018 (Part 3). Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) UK GDPR; section 54 DPA 2018; Verwarnung nach Art. 58(2)(b) UK GDPR/Schedule 13(2)(c) DPA 2018

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 02.02.2026 · Direktlink

Die ANPD verhängte gegen eine regionale Bildungsbehörde vier Verwarnungen, u. a. weil sie die von einem Sicherheitsvorfall betroffenen Personen nicht benachrichtigt hatte (Art. 48 LGPD), sowie wegen Verstößen gegen Art. 37 und 38 LGPD und gegen die Aufsichtsverordnung. Auf Widerspruch hielt der Direktorenrat im August 2024 die Verwarnung wegen fehlender Benachrichtigung aufrecht und ersetzte die übrigen drei durch eine einzige Verwarnung wegen Behinderung der Aufsicht, weil die Behörde angeforderte Nachweise zu ihren Sicherheitsmaßnahmen nicht vorgelegt hatte.

Behörde / Gericht

Autoridade Nacional de Proteção de Dados (ANPD), Coordenação-Geral de Fiscalização

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 37, 38 und 48 Lei nº 13.709/2018 (LGPD); Art. 5 I Regulamento de Fiscalização (Resolução CD/ANPD nº 1/2021)

Maßnahme

Verwarnung

Verfahrensstand

reduziert

Branche

Öffentlicher Sektor

Veröffentlicht

31.01.2024

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 31.01.2026 · Direktlink

Das Ministerium hatte von Februar 2021 bis Juli 2023 als zuständige Stelle für Hinweise ein „Referat Korruptionsprävention“ bestimmt, das in der Organisationsstruktur gar nicht existierte. Eine Meldung vom April 2022 war bei der Kontrolle im Mai 2023 noch immer nicht geprüft; die Berufung des Ministeriums blieb am 22.04.2024 erfolglos.

Behörde / Gericht

Úrad na ochranu oznamovateľov (Slowakisches Amt für Hinweisgeberschutz)

Rechtsgebiet

Hinweisgeberschutz · Fehlende oder mangelhafte Meldestelle

Rechtsgrundlage

Zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, § 10 Abs. 1, 4, 5 und 7, § 19 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.01.2026 · Direktlink

Die Stadt wertete in zwei EU-finanzierten Forschungsprojekten Aufnahmen vorhandener Überwachungskameras, Audiosignale von Mikrofonen im öffentlichen Raum sowie Beiträge aus sozialen Netzwerken mit KI-Methoden aus, ohne dass eine Rechtsgrundlage für diese Verarbeitungen bestand, und teilte die Daten mit Projektpartnern. Der Garante verhängte 50.000 EUR, untersagte die weitere Verarbeitung der gesammelten Daten und ordnete ihre Löschung an.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Videoüberwachung

Rechtsgrundlage

Art. 5 Abs. 1 lit. a, 6, 9, 10, 13, 14 und 35 DSGVO; Art. 2-ter, 2-sexies und 2-octies Codice privacy (D.Lgs. 196/2003)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Mildernd: Videoaufnahmen nur für eine begrenzte Zahl von Stunden, Handeln in gutem Glauben aufgrund eines Rechtsirrtums (auch gestützt auf die Einschätzung des eigenen Datenschutzbeauftragten) und öffentliche Information über die Projekte.

Veröffentlicht

25.01.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 11.01.2026 · Direktlink

Die ICO erließ am 20. Dezember 2023 gegen eine britische Strafverfolgungsbehörde eine Durchsetzungsanordnung. Nach den Feststellungen der ICO kopierte ein Mitarbeiter am 18. März 2018 eine Fallakte zu historischem Kindesmissbrauch aus einem System der Behörde auf einen privaten, unverschlüsselten USB-Stick, um ihn an einen Kollegen weiterzugeben; der Datenträger gelangte später an einen unbefugten Dritten. Die ICO wertete dies als Verstoß gegen den sechsten Datenschutzgrundsatz (Sicherheit) nach section 40 DPA 2018 und verpflichtete die Behörde zu Abhilfemaßnahmen. Die ICO veröffentlichte den Fall am 18. Januar 2024.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 40 DPA 2018; Enforcement Notice nach section 149(2)(a) DPA 2018

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.12.2025 · Direktlink

Nach einem Cyberangriff 2019 wurden Daten von Millionen Menschen aus dem IT-System der Behörde im Internet veröffentlicht. Der EuGH entschied, dass der Verantwortliche die Angemessenheit seiner Schutzmaßnahmen beweisen muss, auch bei Angriffen Dritter haften kann und schon die Befürchtung eines Datenmissbrauchs einen immateriellen Schaden darstellen kann.

Behörde / Gericht

Gerichtshof der Europäischen Union

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 24, Art. 32, Art. 82

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Veröffentlicht

14.12.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 5 · Unternehmensname anonymisiert seit 14.12.2025 · Direktlink

Die ICO verhängte gegen ein britisches Ministerium eine Geldbuße von 350.000 Pfund. Nach den Feststellungen der ICO wies der Umgang des für die Umsiedlung aus Afghanistan zuständigen ARAP-Teams mit personenbezogenen Daten schwerwiegende technische und organisatorische Mängel auf. Am 20. September 2021 wurden die E-Mail-Adressen von 245 Personen versehentlich in das Feld „An“ statt in „BCC“ gesetzt, wodurch ihr Leben in Gefahr geriet; zusammen mit zwei ähnlichen Vorfällen Anfang September 2021 wurden 265 E-Mail-Adressen offengelegt. Die ICO sah einen Verstoß gegen Art. 5(1)(f) UK GDPR. Sie setzte die Buße zunächst mit 700.000 Pfund an und halbierte sie mit Blick auf ihren Ansatz gegenüber öffentlichen Stellen. Der Bescheid ist auf den 7. Dezember 2023 datiert; die ICO-Durchsetzungsliste führt ihn unter dem 26. Februar 2024.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Geldbuße nach section 155 DPA 2018

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 350.000 GBP, umgerechnet zum EZB-Referenzkurs vom 07.12.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.12.2025 · Direktlink

Die ICO sprach gegenüber einem englischen Schulträger eine Verwarnung aus. Nach Angaben der ICO nutzte ein unbefugter Dritter kompromittierte Zugangsdaten, um auf die Systeme des Trusts zuzugreifen und sie zu verschlüsseln. Nach den Feststellungen der ICO fehlten angemessene technische Maßnahmen: Die Kontosperre nach Fehlversuchen war unzureichend, und die umkehrbare Speicherung von Passwörtern war aktiviert, entgegen Empfehlungen des National Cyber Security Centre. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.12.2025 · Direktlink

Die ICO sprach gegenüber einer englischen Kommunalverwaltung eine Verwarnung aus. Nach den Feststellungen der ICO teilte eine Betroffene dem Council telefonisch ihre neue Anschrift mit; eine Mitarbeiterin bzw. ein Mitarbeiter trug die Adresse nur in die Notizen statt in das Adressfeld ein. Das Council schickte daraufhin einen Brief mit der neuen Anschrift an die frühere, gemeinsam mit dem Ex-Partner genutzte Adresse, obwohl ihm Vorwürfe häuslicher Gewalt gegen den Ex-Partner bekannt waren; der Brief wurde von ihm geöffnet. Die ICO bemängelte fehlende schriftliche Abläufe für Adressänderungen, fehlende Warnhinweise bei schutzbedürftigen Personen und unvollständige Datenschutzschulungen. Sie sah einen Verstoß gegen Art. 5(1)(f) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 29.11.2025 · Direktlink

Die Gemeinde speicherte über Chips in den Restmüllbehältern und Zugangstoken für Unterflurcontainer über lange Zeit, wann welcher Haushalt Abfall entsorgte, obwohl dies für ihre Abfallsammlung ohne verbrauchsabhängige Gebühren nicht erforderlich war, und informierte die Einwohner nicht über diese Daten, ihren Zweck und die Rechtsgrundlage. Die AP verhängte nach einem Durchsetzungsersuchen ein Bußgeld von 30.000 EUR gegen das Kollegium von Bürgermeister und Beigeordneten.

Behörde / Gericht

Autoriteit Persoonsgegevens (AP)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. a i. V. m. Art. 6 Abs. 1 lit. e sowie Art. 14 Abs. 1 lit. c und d DSGVO (AVG)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Mildernde Umstände

Das Kollegium erkannte alle Feststellungen an, ließ die Software anpassen, informierte die Einwohner neu und löschte die historischen Daten; wegen der geringen Schwere setzte die AP das Bußgeld unter dem Mindestbetrag der Bandbreite von 120.000 EUR fest.

Veröffentlicht

17.11.2023

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 02.11.2025 · Direktlink

Die ICO sprach gegenüber einer britischen Polizeibehörde eine Verwarnung aus. Nach den Feststellungen der ICO gab die Auslieferungsabteilung der Behörde von 2016 bis zum 15. Oktober 2020 personenbezogene Daten von 174 Personen außerhalb der vorgesehenen Verfahren an das US-Heimatschutzministerium (Department of Homeland Security, DHS) weiter, darunter Identifikationsdaten, Angaben aus ESTA-Anträgen (elektronische Reisegenehmigung für die USA) und Visumanträgen, Daten zu Vermissten, Daten über strafrechtliche Verurteilungen und biometrische Daten. Die ICO bemängelte fehlende Aufsicht durch Vorgesetzte und unzureichend geregelte Systemzugriffe. Sie sah Verstöße gegen section 34(3), 35(1), 40, 42(1) und 73(1) DPA 2018 (Part 3). Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Section 34(3), 35(1), 40, 42(1) und 73(1) DPA 2018; Verwarnung nach Schedule 13(2)(c) DPA 2018

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 26.10.2025 · Direktlink

Die ICO sprach gegenüber den Polizeipräsidenten zweier benachbarter englischer Polizeibehörden jeweils eine Verwarnung aus. Nach den Feststellungen der ICO nahm der gemeinsame IT-Dienst beider Polizeikräfte am 21. Juni 2021 bei Sicherheitsaufräumarbeiten versehentlich einen Server außer Betrieb, auf dem eine Anwendung einer der beiden Behörden mit Daten von November 2001 bis Anfang 2014 lag; die Daten, darunter ungeschwärzte Einträge mit Angaben zu Quellen, Vorwürfen und Vorstrafen, sind unwiederbringlich verloren. Die ICO sah beide Polizeikräfte als gemeinsam Verantwortliche und stellte Verstöße gegen section 40 und 66(1) DPA 2018 (Part 3) fest. Die Bescheide tragen kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 40 und 66(1) DPA 2018; Verwarnung nach Schedule 13(2)(c) DPA 2018

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 06.10.2025 · Direktlink

Die CNPD verhängte gegen zwei gemeinsam verantwortliche öffentliche Stellen eine Geldbuße von 2.500 EUR wegen ihres Geolokalisierungssystems in Dienstfahrzeugen und Baumaschinen. Einer der gegenüber den Beschäftigten angegebenen Zwecke, die Überwachung von Waren besonderer Art, entsprach nicht der tatsächlichen Tätigkeit und war daher kein legitimer Zweck; zudem waren die Beschäftigten unzureichend informiert. Binnen zwei Monaten mussten die Stellen jede betroffene Person einzeln, vollständig und verständlich über die Ortung unterrichten.

Behörde / Gericht

Commission nationale pour la protection des données (CNPD), formation restreinte

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Art. 5(1)(b) und 13 DSGVO; Art. 58(2)(d) und 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 21.09.2025 · Direktlink

Die ICO sprach gegenüber einem britischen Ministerium eine Verwarnung aus. Nach den Feststellungen der ICO wurden in einem Adoptionsverfahren Angaben zu den Beteiligten an den leiblichen Vater weitergegeben, obwohl ein Richter ihn wegen einer Gefahr für die Familie vom Verfahren ausgeschlossen hatte. Ursache war nach Angaben der ICO eine nur mündlich überlieferte örtliche Praxis, das Deckblatt mit Weitergabebeschränkungen von der Akte zu entfernen, verbunden mit einer unzureichenden Prüfung der Akte; zudem konnte das elektronische Aktensystem nur eine Notiz speichern, sodass der Sperrvermerk überschrieben worden war. Mildernde Umstände sah die ICO nicht. Sie stellte einen Verstoß gegen Art. 5(1)(f) UK GDPR fest. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5(1)(f) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 08.09.2025 · Direktlink

Die ICO sprach am 23. August 2023 gegenüber einer englischen Stadtverwaltung eine Verwarnung aus. Nach den Feststellungen der ICO verfügte die Stadtverwaltung vor einem Ransomware-Angriff über kein zentrales Logging oder SIEM-System; der Angreifer konnte Protokolle löschen, was Erkennung und Aufklärung erschwerte. Nach dem Angriff stellte die Stadt den Zugang zu personenbezogenen Daten nicht rechtzeitig wieder her, konnte die gefährdeten Betroffenen nicht bestimmen und stützte ihre Auswertung auf behelfsmäßige Abläufe, etwa Downloads über private WLAN-Netze von Beschäftigten. Die ICO sah Verstöße gegen Art. 32(1)(b), 32(1)(c) und 32(1)(d) UK GDPR. Die ICO-Durchsetzungsliste führt den Fall unter dem 1. September 2023.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1)(b), 32(1)(c) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 23.08.2025 · Direktlink

Die ICO sprach gegenüber einer Londoner Bezirksverwaltung eine Verwarnung aus. Nach den Feststellungen der ICO beantwortete der Bezirk im Zeitraum vom 3. Januar 2022 bis 3. Januar 2023 35 Prozent der Auskunftsersuchen nicht innerhalb der gesetzlichen Fristen von einem bzw. drei Monaten. Als mildernd berücksichtigte die ICO einen während der Covid-19-Pandemie entstandenen Rückstau, vor allem bei Ersuchen zu Akten von Kindern und Jugendlichen in Papierform. Die ICO sah Verstöße gegen Art. 12(3) und 15(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12(3) und 15(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 16.08.2025 · Direktlink