Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa und Nordamerika: 756 Fälle aus 32 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach RegionAlle Jurisdiktionen
Wofür?
nach RechtsgebietAlle Rechtsgebiete
- KI und digitale Regulierung 1,43 Mrd. € 47 % · 7 Fälle
- Datenschutz 1,31 Mrd. € 43 % · 22 Fälle
- Sanktionen und Exportkontrolle 121,3 Mio. € 4 % · 3 Fälle
- Korruption und Bestechung 118,7 Mio. € 4 % · 3 Fälle
- Kartellrecht und Wettbewerb 47,2 Mio. € 2 % · 8 Fälle
- Verbraucherschutz und Onlinehandel 6,35 Mio. € 0 % · 1 Fall
- Kapitalmarkt und Finanzaufsicht 6,11 Mio. € 0 % · 4 Fälle
- Hinweisgeberschutz 626.868 € 0 % · 1 Fall
Wen?
nach Unternehmen- Google LLC 1,19 Mrd. € 39 % · 1 Fall
- Google 890 Mio. € 29 % · 1 Fall
- Apple 500 Mio. € 17 % · 2 Fälle
- Cadence Design Systems Inc. 120,1 Mio. € 4 % · 1 Fall
- Comunicaciones Celulares S.A. (TIGO Guatemala) 102,1 Mio. € 3 % · 1 Fall
- Vodafone GmbH 45 Mio. € 1 % · 1 Fall
- Free Mobile SAS und Free SAS 42 Mio. € 1 % · 1 Fall
- Clearview AI Inc. 30,5 Mio. € 1 % · 1 Fall
- Swisscom (Schweiz) AG 19,4 Mio. € 1 % · 1 Fall
- Exclusive Networks Corporate SAS 16,1 Mio. € 1 % · 1 Fall
- 37 weitere68,4 Mio. €
Wann?
je Quartal, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| Q3 2023 | 0 | — |
| Q4 2023 | 1 | 19,4 Mio. € |
| Q1 2024 | 1 | 157.176 € |
| Q2 2024 | 3 | 44,4 Mio. € |
| Q3 2024 | 2 | 1,05 Mio. € |
| Q4 2024 | 4 | 4,87 Mio. € |
| Q1 2025 | 6 | 6,79 Mio. € |
| Q2 2025 | 7 | 568,7 Mio. € |
| Q3 2025 | 4 | 126,8 Mio. € |
| Q4 2025 | 8 | 1,3 Mrd. € |
| Q1 2026 | 4 | 43,1 Mio. € |
| Q2 2026 | 4 | 11,1 Mio. € |
| Q3 2026 | 5 | 902,2 Mio. € |
49 Fälle
22.09.2026 Miljödata i Karlskrona AktiebolagIMY: 1,8 Mio. Kronen gegen HR-Softwareanbieter Miljödata nach Datenleck 160.053 €
Der Anbieter webbasierter Systeme für Krankmeldungen, Rehabilitation und Arbeitsschutzvorfälle wurde im August 2025 gehackt; die erbeuteten Personendaten tauchten kurz darauf im Darknet auf. Die IMY stellte fest, dass trotz hohen Schutzbedarfs keine ausreichenden Sicherheitsmaßnahmen und keine automatische Echtzeitüberwachung auf Angriffe bestanden, wertete dies als fahrlässig und verhängte 1.800.000 Kronen.
Wer als Dienstleister Gesundheits- und Personaldaten vieler Arbeitgeber hostet, braucht Angriffserkennung in Echtzeit, nicht nur Perimeterschutz.
- Behörde / Gericht
- Integritetsskyddsmyndigheten (IMY)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 32 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Verschulden
- fahrlässig
- Veröffentlicht
- 22.09.2026
Originalbetrag 1.800.000 SEK, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.
- IMY Tillsyn: Miljödata i Karlskrona AB Pressemitteilung einer Behörde
- Beslut efter tillsyn enligt dataskyddsförordningen – Miljödata i Karlskrona Aktiebolag (IMY-2025-21177) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
26.08.2026 O2 Czech Republic a.s.; SHERLOG Technology, a.s.O2 Czech Republic und SHERLOG: 280 Mio. CZK für Kundenaufteilung bei Fahrzeugortung 11,7 Mio. €
Die beiden Unternehmen teilten von Dezember 2012 bis Juni 2022 Kunden für Fahrzeugortungs- und elektronische Fahrtenbuchdienste auf und stimmten Angebote ab, auch in öffentlichen Ausschreibungen. Erstinstanzlich erhielten O2 262,32 Mio. CZK und SHERLOG 18,357 Mio. CZK sowie ein sechsmonatiges Verbot öffentlicher Aufträge; bei O2 wurde statt des Vergabeverbots die Geldbuße erhöht.
Vertriebskooperationen mit Wettbewerbern dürfen nicht in Kundenaufteilung umschlagen – E-Mail-Absprachen über einzelne Ausschreibungen sind der typische Beweis.
Abstimmung mit Kooperationspartnern über Kunden und Ausschreibungen
- Behörde / Gericht
- Úřad pro ochranu hospodářské soutěže (ÚOHS)
- Rechtsgebiet
- Kartellrecht und Wettbewerb · Kartelle und Absprachen
- Rechtsgrundlage
- Tschechisches Wettbewerbsgesetz, Art. 101 AEUV (S0255/2023)
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Verschulden
- vorsätzlich
- Veröffentlicht
- 26.08.2026
Originalbetrag 280.677.000 CZK, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.
- Fines exceeding CZK 280 million imposed on O2 Czech Republic and SHERLOG Technology for cartel agreement Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.07.2026 GoogleDMA: 890 Mio. Euro gegen Google wegen Selbstbevorzugung und Play-Steering 890 Mio. €
Mit zwei Entscheidungen stellte die Kommission fest, dass Google in der Suche eigene Dienste bevorzugt (460 Mio. Euro) und App-Entwickler bei Google Play daran hindert, Kunden auf alternative Angebote zu lenken (430 Mio. Euro). Google wurde angewiesen, die Verstöße abzustellen.
Ranking-Regeln und Gebührenmodelle von Plattformen müssen nachweisbar diskriminierungsfrei und DMA-konform gestaltet sein.
- Behörde / Gericht
- Europäische Kommission
- Rechtsgebiet
- KI und digitale Regulierung · Plattformpflichten
- Rechtsgrundlage
- Verordnung (EU) 2022/1925 (DMA), Selbstbevorzugungsverbot und Anti-Steering-Pflicht
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 23.07.2026
- Commission fines Google €890 million for breaches of the Digital Markets Act Pressemitteilung einer Behörde
- IP/26/1670: Commission fines Google €890 million for breaches of the Digital Markets Act Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
17.07.2026 Orange România SAOrange România zahlt 100.000 Euro nach Fehlern in App und gehacktem Ticketsystem 99.969 €
Ein Synchronisationsfehler zwischen zwei Anwendungen ermöglichte einem Kunden, in der Mobile-App Rechnungen anderer Kunden abzurufen; zudem wurde die ohne VPN, MFA oder IP-Beschränkung öffentlich erreichbare Ticketing-Plattform angegriffen und ein sehr großer Datenbestand (u. a. Ausweiskopien, Kartendaten, IBAN) abgezogen. Bußgelder: 104.780 Lei (20.000 Euro, Art. 25) und 419.120 Lei (80.000 Euro, Art. 32), insgesamt 523.900 Lei; dazu Anordnung eines Test- und Änderungsmanagements. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.
Interne Plattformen dürfen nie ohne VPN/MFA im Internet stehen; Software-Änderungen an verknüpften Systemen brauchen Tests vor dem Livegang.
- Behörde / Gericht
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 25 Abs. 1, Art. 32 Abs. 1 lit. b und d, Abs. 2 und 4 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 17.07.2026
Originalbetrag 523.900 RON, umgerechnet zum EZB-Referenzkurs vom 17.07.2026.
- ANSPDCP – Comunicat de presă 17.07.2026 (Orange România SA) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
16.07.2026 TeamViewer SETeamViewer: Cyberangriff nicht unverzüglich als Insiderinformation veröffentlicht 240.000 €
Die BaFin setzte gegen das Softwareunternehmen eine Geldbuße von 240.000 Euro fest, weil es die Information über einen erlittenen Cyberangriff nicht unverzüglich als Insiderinformation veröffentlicht hatte. Der Bußgeldbescheid ist rechtskräftig.
Schwere IT-Sicherheitsvorfälle gehören sofort auch auf den Tisch des Ad-hoc-Gremiums – der Incident-Response-Prozess muss die Kapitalmarktpublizität mitdenken.
Sicherheitsvorfälle als mögliche Insiderinformation erkennen und an Ad-hoc-Gremium melden
- Behörde / Gericht
- Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)
- Rechtsgebiet
- Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten
- Rechtsgrundlage
- Art. 17 Abs. 1 UAbs. 1 MAR (EU) Nr. 596/2014
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 20.07.2026
- TeamViewer SE: BaFin setzt Geldbuße fest Entscheidung einer Behörde
- Bekanntmachung der BaFin zur TeamViewer SE (Maßnahmenansicht mit Rechtskraftvermerk) Amtliches Register oder Bekanntmachung
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
05.06.2026 Portugal: 8,18 Mio. Euro gegen drei Unternehmen wegen Werbung in TV-Aufzeichnungen 8,18 Mio. €
Die drei größten Pay-TV-Anbieter vereinbarten mit Unterstützung eines Beratungsunternehmens von 2019 bis Mai 2025, Werbung als Bedingung für den Zugriff auf Aufzeichnungen einzuführen und die Vermarktung dieser Werbeflächen zu vereinheitlichen. Die Wettbewerbsbehörde verhängte gegen drei Unternehmen 8.181.000 Euro; mit dem bereits zuvor im Vergleich sanktionierten vierten Beteiligten summieren sich die Bußen auf 13.351.000 Euro. Die Namen veröffentlichte die AdC wegen laufender Gerichtsverfahren nicht in der Mitteilung.
Gemeinsam abgestimmte „Branchenlösungen“ zulasten der Kunden sind Kartelle – auch wenn ein Dienstleister die Koordination übernimmt.
Koordinierte Produktänderungen unter Wettbewerbern
- Behörde / Gericht
- Autoridade da Concorrência (AdC)
- Rechtsgebiet
- Kartellrecht und Wettbewerb · Kartelle und Absprachen
- Rechtsgrundlage
- Lei da Concorrência (Lei n.º 19/2012), Art. 9.º (Processo PRC/2020/4)
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 05.06.2026
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
05.06.2026 Illuminate Education Inc.FTC: Endgültige Anordnung gegen Bildungssoftware Illuminate nach Datenleck von 10,1 Mio. Schülern Anordnung
Laut FTC-Beschwerde versprach Illuminate Schulen Datensicherheit, schützte seine Cloud-Datenbanken aber nicht angemessen, obwohl ein Dienstleister fast zwei Jahre vorher auf Schwachstellen hingewiesen hatte; ein Hacker griff auf Daten von 10,1 Mio. Schülern inkl. Gesundheitsangaben zu. Die Anordnung verlangt ein Informationssicherheitsprogramm, Datenminimierung und einen öffentlichen Löschplan und untersagt Falschangaben zu Sicherheit und Meldefristen.
Bekannte Schwachstellen nicht jahrelang liegen lassen – Sicherheitsversprechen an Kunden werden als verbindliche Zusagen gemessen.
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- FTC Act (Verbot unlauterer und irreführender Praktiken)
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Verschulden
- fahrlässig
- Veröffentlicht
- 05.06.2026
- FTC Gives Final Approval to Order Against Illuminate Settling Allegations It Failed to Secure Students' Personal Data Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
26.05.2026 Sabre Global Technologies LimitedSabre-Tochter nahm Zahlungen der gelisteten Ural Airlines an 1,16 Mio. €
Der Anbieter eines Reisebuchungssystems stellte der im Mai 2022 gelisteten Ural Airlines weiter Leistungen bereit, forderte Zahlungen über rund 906.600 USD an und suchte nach dem Einfrieren durch die Bank nach alternativen Zahlungswegen, was OFSI als Umgehung wertete. Fehlende Eskalation beim Rollenwechsel, vakante Leitungsfunktionen in Recht und Compliance, auf US-Recht fokussierte Richtlinien und ein Screening, das die Listung nicht meldete, trugen bei.
Wird ein Bestandskunde gelistet, muss das sofort eskaliert werden; nach dem Einfrieren durch die Bank Alternativwege für Zahlungen zu suchen, ist selbst ein Verstoß.
Reaktion auf Neulistungen von Bestandskunden, Umgehungsverbot
- Behörde / Gericht
- HM Treasury, Office of Financial Sanctions Implementation (OFSI)
- Rechtsgebiet
- Sanktionen und Exportkontrolle · Verstöße gegen Sanktionen und Embargos
- Rechtsgrundlage
- Russia (Sanctions) (EU Exit) Regulations 2019, regs. 13, 14, 19
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Mildernde Umstände
- Freiwillige Offenlegung (31.10.2022) und volle Kooperation; Vergleich unter dem neuen Settlement-Verfahren
- Veröffentlicht
- 17.06.2026
Originalbetrag 1.000.920,59 GBP, umgerechnet zum EZB-Referenzkurs vom 26.05.2026.
- OFSI: Imposition of Monetary Penalty – Sabre Global Technologies Limited Entscheidung einer Behörde
- OFSI – Enforcement of financial sanctions (Sammlung) Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.05.2026 Wind Tre S.p.A.Garante: 1,7 Mio. Euro gegen Wind Tre nach Datenabfluss über getäuschte Shop-Mitarbeiter 1,72 Mio. €
Angreifer gaben sich als technischer Support aus, verleiteten Mitarbeitende von Verkaufsstellen zur Freigabe von Systemzugängen und erbeuteten Daten von über 365.000 Kunden, bei 41.359 auch Zahlungsdaten. Die Garante rügte mangelhafte Verwaltung von Zugangsdaten und digitalen Zertifikaten sowie unzureichende Sicherheitsbewertungen und verhängte 1.715.600 Euro.
Mitarbeitende in Filialen und Partnershops müssen angebliche Support-Anrufe verifizieren, bevor sie Zugänge freigeben.
Social Engineering / falscher IT-Support
- Behörde / Gericht
- Garante per la protezione dei dati personali
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- DSGVO (Integrität und Vertraulichkeit, Art. 32)
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 16.07.2026
- Newsletter del 16 luglio 2026 – Data breach, il Garante privacy sanziona Wind Tre per 1,7 milioni di euro Pressemitteilung einer Behörde
- Garante – Provvedimento del 14 maggio 2026 [10263796] (Wind Tre) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
02.03.2026 Suomen Numerokeskus OySuomen Numerokeskus: 5.000 EUR – Anrufaufzeichnungen nur telefonisch statt als Kopie 5.000 €
Nach sechs Beschwerden stellte die Behörde fest, dass das Unternehmen Kunden, die Aufzeichnungen ihrer Verkaufsgespräche zur Reklamation von Rechnungen verlangten, keine Kopie herausgab, sondern nur ein Anhören über den Kundendienst anbot und Aufzeichnungen teils löschte. Neben einer Verwarnung wurde ein Bußgeld von 5.000 EUR verhängt.
Auskunft heißt Kopie: Wer Gespräche aufzeichnet, muss Betroffenen die Aufnahme in einer Form herausgeben können.
Auskunftsrecht bei Gesprächsaufzeichnungen
- Behörde / Gericht
- Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)
- Rechtsgebiet
- Datenschutz · Betroffenenrechte und Transparenz
- Rechtsgrundlage
- DSGVO Art. 15 Abs. 1 und 3
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 25.03.2026
- Finlex – Tietosuojavaltuutettu 2.3.2026 (puhelutallenteet) Entscheidung einer Behörde
- Tietosuojavaltuutettu – Suomen Numerokeskukselle seuraamusmaksu puutteista puhelutallenteiden antamisessa (25.03.2026) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
18.02.2026 Périphériques et Matériels de Contrôle SAS (Groupe Carrus)Wettterminal-Hersteller PMC: CJIP wegen Zahlungen an Chef des staatlichen PMU Mali 499.150 €
Der Pariser Anbieter von Wett- und Spielterminals zahlte 2008 bis 2011 ungerechtfertigte 78.972 EUR an den Leiter des mehrheitlich staatlichen Pari Mutuel Urbain Mali, mit dem er einen ohne Ausschreibung vergebenen Liefervertrag hatte. Auslöser war eine TRACFIN-Meldung. Geldauflage 499.150 EUR (inkl. 335.000 EUR bereits beschlagnahmt) und dreijähriges AFA-Compliance-Programm.
Auch Manager staatlich kontrollierter Unternehmen sind Amtsträger – schon kleine private Zahlungen an sie sind ein Strafbarkeitsrisiko für Mittelständler.
Zahlungen an Leiter staatlicher Unternehmen im Ausland
- Behörde / Gericht
- Parquet national financier (PNF); Validierung durch den Präsidenten des Tribunal judiciaire de Paris
- Rechtsgebiet
- Korruption und Bestechung · Bestechung von Amtsträgern
- Rechtsgrundlage
- Art. 41-1-2 Code de procédure pénale (CJIP); Bestechung ausländischer Amtsträger und Geldwäsche
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Beschäftigte
- 50 bis 249
- Verschulden
- vorsätzlich
- Haftung von Führungskräften
- Die CJIP regelt nicht die strafrechtliche Lage natürlicher Personen.
- Veröffentlicht
- 18.02.2026
- Communiqué de presse du procureur de la République financier – CJIP PMC Pressemitteilung einer Behörde
- Convention judiciaire d'intérêt public – Périphériques et Matériels de Contrôle SAS Entscheidung einer Behörde
- Ministère de la Justice: Conventions judiciaires d'intérêt public (Verzeichnis) Amtliches Register oder Bekanntmachung
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
26.01.2026 Sportadmin i Skandinavien ABSportadmin: 6 Mio. SEK nach Hackerangriff auf Vereinsverwaltung mit Kinderdaten 564.626 €
Der Anbieter einer Verwaltungs-Software und App für Sportvereine wurde im Januar 2025 Opfer eines Datenabflusses durch einen externen Angreifer. Die IMY stellte fest, dass vor und zum Zeitpunkt des Vorfalls keine angemessenen technischen und organisatorischen Sicherheitsmaßnahmen bestanden, obwohl überwiegend Daten von Kindern und auch Gesundheitsangaben (Allergien, Behinderungen) verarbeitet wurden, und verhängte 6 Mio. SEK; bei der Bemessung berücksichtigte sie den Konzernumsatz der Lime-Gruppe 2024 (rund 685,7 Mio. SEK).
Wer als Software-Anbieter sensible Daten vieler Kunden bündelt, muss Sicherheitsniveau und Angriffsflächen an der Schutzbedürftigkeit der Daten (Kinder, Gesundheit) ausrichten – nicht erst nach dem Vorfall.
- Behörde / Gericht
- Integritetsskyddsmyndigheten (IMY)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- DSGVO Art. 32 Abs. 1
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Mildernde Umstände
- Schnelle, umfassende Information der Vereine und Betroffenen nach dem Vorfall; Unterstützung von rund 1.700 Vereinen bei ihren Meldungen innerhalb von 72 Stunden.
- Veröffentlicht
- 26.01.2026
Originalbetrag 6.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 26.01.2026.
- IMY – Tillsyn Sportadmin i Skandinavien AB Entscheidung einer Behörde
- IMY – Beslut efter tillsyn, IMY-2025-7801 (26.01.2026) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
08.01.2026 Free Mobile SAS und Free SASCNIL: 42 Mio. Euro gegen Free Mobile und Free nach Datenleck bei 24 Mio. Verträgen 42 Mio. €
Nach einem Angriff im Oktober 2024, bei dem Daten zu rund 24 Mio. Kundenverträgen einschließlich IBAN abflossen, verhängte die CNIL 27 Mio. Euro gegen Free Mobile und 15 Mio. Euro gegen Free (zusammen 42 Mio. Euro). Beanstandet wurden ein VPN-Zugang ohne ausreichende Authentifizierung, mangelhafte Erkennung auffälliger Zugriffe, unvollständige Benachrichtigung der Betroffenen und bei Free Mobile überlange Speicherung von Altverträgen; zusätzlich ergingen Anordnungen mit Fristen.
Fernzugänge wie VPN gehören hinter Mehr-Faktor-Authentifizierung, und Altdaten gekündigter Verträge müssen konsequent gelöscht werden.
- Behörde / Gericht
- Commission nationale de l'informatique et des libertés (CNIL)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- Art. 5 Abs. 1 lit. e, Art. 32, Art. 34 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Mildernde Umstände
- Während des Verfahrens Einführung von Mehr-Faktor-Authentifizierung, eines Security Operations Centers und verbesserter Protokollierung.
- Veröffentlicht
- 14.01.2026
- Violation de données : sanction de 42 millions d'euros à l'encontre des sociétés FREE MOBILE et FREE Pressemitteilung einer Behörde
- Délibération SAN-2026-001 du 8 janvier 2026 (FREE MOBILE) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
22.12.2025 Nexpublica FranceCNIL: 1,7 Mio. Euro gegen Auftragsverarbeiter Nexpublica wegen Sicherheitslücken 1,7 Mio. €
Nexpublica entwickelte und betrieb als Auftragsverarbeiter die Fallverwaltungssoftware „Public CRM“ für die Behindertenbehörde MDPH Nord. Nach zwei Datenpannen 2022 zeigten Audits seit 2021 bestehende kritische Schwachstellen, etwa veraltetes SHA-1-Hashing; die CNIL verhängte 1,7 Mio. Euro direkt gegen den Dienstleister.
Auch Auftragsverarbeiter haften selbst für die Datensicherheit ihrer Software; bekannte Schwachstellen dürfen nicht bis zur nächsten Panne liegen bleiben.
- Behörde / Gericht
- Commission nationale de l'informatique et des libertés (CNIL)
- Rechtsgebiet
- Datenschutz · Auftragsverarbeitung
- Rechtsgrundlage
- Art. 32 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Délibération SAN-2025-015 du 22 décembre 2025 (NEXPUBLICA FRANCE) Entscheidung einer Behörde
- Les sanctions prononcées par la CNIL Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
18.12.2025 Snowball.xyz-Gruppe (Snowball.xyz, Šviesa, Tavo mokykla, Ateities pamoka) und AL holdingas-Gruppe (AL holdingas, Ugdymo sprendimai, UNT nuoma)E-Klassenbuch-Anbieter teilten Markt auf – 3,6 Mio. Euro Kartellbußen 3,63 Mio. €
Im August 2020 vereinbarten die Betreiber der elektronischen Klassenbücher „Tamo“ und „Eduka“, nicht mehr zu konkurrieren: Die eine Gruppe behielt das Klassenbuch-Geschäft, die andere übernahm die digitalen Lerninhalte. Nach Anerkennung des Verstoßes wurden die Bußen um 15 % gesenkt: 2.714.940 Euro gesamtschuldnerisch für die Snowball.xyz-Gruppe und 913.340 Euro für die AL holdingas-Gruppe (Art. 101 AEUV). Die Entscheidung ist anfechtbar. Quelle: Archivkopie der Pressemitteilung.
Absprachen über „wer macht was“ zwischen Wettbewerbern sind Kartelle – auch wenn sie als Portfoliobereinigung verpackt werden.
Marktaufteilung unter Wettbewerbern
- Behörde / Gericht
- Konkurencijos taryba (Litauischer Wettbewerbsrat)
- Rechtsgebiet
- Kartellrecht und Wettbewerb · Kartelle und Absprachen
- Rechtsgrundlage
- Konkurencijos įstatymas; Art. 101 AEUV
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Mildernde Umstände
- Anerkennung des Verstoßes (15 % Reduktion)
- Veröffentlicht
- 18.12.2025
- Konkurencijos taryba, Pranešimas 2025-12-18 (Archivkopie web.archive.org von kt.gov.lt) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
18.12.2025 Bravogroup Holding Vagyonkezelő Kft.Bravogroup: 32,6 Mio. HUF für nicht angemeldete Beteiligung am Xiaomi-Vertreiber 84.042 €
Die IT-Holding erwarb im Februar 2023 eine 50-%-Beteiligung mit negativer Alleinkontrolle am Xiaomi-Vertreiber Mystical Hungary Zrt., wandte sich aber erst nach 582 Tagen an die Wettbewerbsbehörde und meldete den Zusammenschluss danach an. Nach Selbstanzeige, Anerkenntnis und Rechtsmittelverzicht verhängte die Behörde deutlich reduzierte 32,6 Mio. HUF.
Auch Blockade-Rechte (negative Kontrolle) können anmeldepflichtig sein – Beteiligungen vor Signing fusionsrechtlich prüfen.
Fusionskontrolle bei Minderheitsbeteiligungen mit Vetorechten
- Behörde / Gericht
- Gazdasági Versenyhivatal (GVH)
- Rechtsgebiet
- Kartellrecht und Wettbewerb · Fusionskontrolle
- Rechtsgrundlage
- Ungarisches Wettbewerbsgesetz, Vollzugsverbot (VJ/20/2025)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Verschulden
- fahrlässig
- Mildernde Umstände
- Freiwillige Offenlegung, Anerkenntnis und Rechtsmittelverzicht.
- Veröffentlicht
- 18.12.2025
Originalbetrag 32.600.000 HUF, umgerechnet zum EZB-Referenzkurs vom 18.12.2025.
- Bejelentés és engedély nélkül végrehajtott fúzió miatt bírságolt a GVH Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
27.11.2025 Infobel SAInfobel: Datenhändler verkaufte Verbraucherdaten für Direktmarketing ohne Rechtsgrundlage 5.000 €
Der Adresshändler (früher Kapitol) hatte Daten des Beschwerdeführers über eine Mediaagentur an einen Werbetreibenden für Direktmarketing weitergegeben, ohne eine wirksame Einwilligung nachweisen zu können. Die APD verhängte 40.000 EUR und ordnete Löschung sowie Information der Empfänger an; das Marktgericht Brüssel hob diese Teile am 03.06.2026 auf und setzte das Bußgeld selbst auf 5.000 EUR fest.
Datenhändler müssen für jeden Datensatz belegen können, auf welcher Rechtsgrundlage er erhoben und weiterverkauft wird.
- Behörde / Gericht
- Autorité de protection des données (APD/GBA) – Chambre Contentieuse; Cour des marchés
- Rechtsgebiet
- Datenschutz · Werbung und Einwilligung
- Rechtsgrundlage
- DSGVO Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 24
- Maßnahme
- Bußgeld
- Verfahrensstand
- reduziert
- Branche
- Telekommunikation, IT und Software
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
20.11.2025 LastPass UK LtdICO: 1,2 Mio. £ gegen LastPass UK nach Einbruch in Backup-Datenbank 1,39 Mio. €
2022 kompromittierte ein Angreifer zunächst den Firmenlaptop eines Beschäftigten und dann den privaten Laptop eines leitenden Mitarbeiters, dessen Masterpasswort er per Keylogger abgriff. Weil privater und geschäftlicher Passwort-Tresor über dasselbe Masterpasswort verknüpft waren, gelangte er an die dort hinterlegten Zugangs- und Entschlüsselungsschlüssel und entwendete aus der Backup-Datenbank Daten von bis zu 1,6 Mio. britischen Nutzern.
Kritische Schlüssel gehören nie auf private Geräte oder in private Konten von Beschäftigten – Zugriffe müssen technisch getrennt und beschränkt sein.
Trennung privater und dienstlicher Geräte und Zugangsdaten
- Behörde / Gericht
- Information Commissioner's Office (ICO)
- Rechtsgebiet
- Datenschutz · Datenpannen und Datensicherheit
- Rechtsgrundlage
- UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1 lit. f
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Verschulden
- fahrlässig
- Veröffentlicht
- 11.12.2025
Originalbetrag 1.228.283 GBP, umgerechnet zum EZB-Referenzkurs vom 20.11.2025.
- Password manager provider fined £1.2m by ICO for data breach Pressemitteilung einer Behörde
- ICO Enforcement: LastPass UK Ltd Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.11.2025 Betreiber elektronischer Kommunikationsnetze und -dienste (in der Mitteilung nicht namentlich genannt)Kroatischer Telekomanbieter: 4,5 Mio. EUR – Kundendaten ohne Klauseln nach Serbien 4,5 Mio. €
Der Telekommunikationsanbieter ließ einen konzernangehörigen Softwaredienstleister in Serbien mit Administratorrechten auf die gesamte SAP-CRM-Kundendatenbank zugreifen, ab Ende 2022 ohne Standardvertragsklauseln und ohne klare Information der Kunden. Die AZOP ahndete außerdem das Kopieren von Personalausweisen und Führungszeugnissen der Beschäftigten sowie die fehlende Prüfung eines Telemarketing-Dienstleisters; insgesamt 4,5 Mio. EUR.
Auslaufende oder nie erneuerte Standardvertragsklauseln mit Konzerngesellschaften fallen erst bei einer Prüfung auf – Transferverträge brauchen ein Fristen-Register.
- Behörde / Gericht
- Agencija za zaštitu osobnih podataka (AZOP)
- Rechtsgebiet
- Datenschutz · Internationale Datentransfers
- Rechtsgrundlage
- Art. 44, 46, 12 Abs. 1, 13 Abs. 1 lit. f, 5, 6 Abs. 1, 28 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 14.11.2025
- AZOP: Administrative Fine of EUR 4.5 Million Imposed on a Telecommunications Operator (14.11.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
12.11.2025 Comunicaciones Celulares S.A. (TIGO Guatemala)TIGO Guatemala zahlt über 118 Mio. USD wegen Bestechung von Kongressabgeordneten 102,1 Mio. €
Der guatemaltekische Mobilfunkanbieter zahlte 2012 bis 2018 monatlich Bargeld an Kongressabgeordnete bzw. deren Sicherheitsleute, um gesetzgeberische Unterstützung zu erhalten; ein Teil der Mittel stammte aus gewaschenen Drogengeldern. Zweijähriges Deferred Prosecution Agreement mit 60 Mio. USD Strafzahlung und 58.198.343 USD administrativer Einziehung.
Bei Joint Ventures mit lokalen Partnern braucht die Konzernmutter echte Kontrolle über Bargeldflüsse und Behördenkontakte – eine frühe Selbstanzeige ersetzt keine vollständige Aufarbeitung.
Bestechung von Amtsträgern, Bargeldzahlungen, Integrität von Mitgesellschaftern
- Behörde / Gericht
- U.S. Department of Justice (Criminal Division, Fraud Section; USAO Southern District of Florida)
- Rechtsgebiet
- Korruption und Bestechung · Bestechung von Amtsträgern
- Rechtsgrundlage
- FCPA, 15 U.S.C. § 78dd-3 (Verschwörung, 18 U.S.C. § 371); Deferred Prosecution Agreement
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Verschulden
- vorsätzlich
- Mildernde Umstände
- Freiwillige Selbstanzeige durch Muttergesellschaft Millicom 2015; später umfangreiche Kooperation und Abhilfe (u. a. Personaltrennungen, Compliance-Personal um 800 % erhöht).
- Haftung von Führungskräften
- Laut DOJ vom damaligen guatemaltekischen Anteilseigner und weiteren leitenden Personen gesteuert; vier Personen waren bereits angeklagt (nicht namentlich genannt).
- Veröffentlicht
- 12.12.2025
Originalbetrag 118.198.343 USD, umgerechnet zum EZB-Referenzkurs vom 12.11.2025.
- TIGO Guatemala Paid Over $118M to Resolve Foreign Bribery Investigation Pressemitteilung einer Behörde
- Deferred Prosecution Agreement, United States v. Comunicaciones Celulares S.A. d/b/a TIGO Guatemala (Case 1:25-cr-20476) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink