Wer wurde wofür sanktioniert?

Der Anbieter webbasierter Systeme für Krankmeldungen, Rehabilitation und Arbeitsschutzvorfälle wurde im August 2025 gehackt; die erbeuteten Personendaten tauchten kurz darauf im Darknet auf. Die IMY stellte fest, dass trotz hohen Schutzbedarfs keine ausreichenden Sicherheitsmaßnahmen und keine automatische Echtzeitüberwachung auf Angriffe bestanden, wertete dies als fahrlässig und verhängte 1.800.000 Kronen.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

22.09.2026

Originalbetrag 1.800.000 SEK, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die beiden Unternehmen teilten von Dezember 2012 bis Juni 2022 Kunden für Fahrzeugortungs- und elektronische Fahrtenbuchdienste auf und stimmten Angebote ab, auch in öffentlichen Ausschreibungen. Erstinstanzlich erhielten O2 262,32 Mio. CZK und SHERLOG 18,357 Mio. CZK sowie ein sechsmonatiges Verbot öffentlicher Aufträge; bei O2 wurde statt des Vergabeverbots die Geldbuße erhöht.

Behörde / Gericht

Úřad pro ochranu hospodářské soutěže (ÚOHS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Tschechisches Wettbewerbsgesetz, Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Veröffentlicht

26.08.2026

Originalbetrag 280.677.000 CZK, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Das Bundeskartellamt erklärte Verpflichtungszusagen von Apple zum App Tracking Transparency Framework (ATTF) für bindend und schloss damit sein Verfahren nach § 19a Abs. 2 GWB und Art. 102 AEUV ab. Nach vorläufiger Bewertung mussten Drittanbieter-Apps für personalisierte Werbung zusätzlich eine von Apple vorgegebene, abschreckender gestaltete Zustimmungsabfrage einholen, während Apple für eigene Angebote eine eigene Abfrage nutzte; künftig werden die Abfragefenster inhaltlich, sprachlich und optisch neutral angeglichen, und App-Anbieter können erforderliche Abfragen besser miteinander verbinden.

Behörde / Gericht

Bundeskartellamt

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

§ 19a Abs. 2 GWB, Art. 102 AEUV (Verpflichtungszusagen, Az. B7-54/25)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

17.08.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Mit zwei Entscheidungen stellte die Kommission fest, dass Google in der Suche eigene Dienste bevorzugt (460 Mio. Euro) und App-Entwickler bei Google Play daran hindert, Kunden auf alternative Angebote zu lenken (430 Mio. Euro). Google wurde angewiesen, die Verstöße abzustellen.

Behörde / Gericht

Europäische Kommission

Rechtsgebiet

KI und digitale Regulierung · Plattformpflichten

Rechtsgrundlage

Verordnung (EU) 2022/1925 (DMA), Selbstbevorzugungsverbot und Anti-Steering-Pflicht

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

23.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Garante verhängte gegen TIM eine Geldbuße von 9.516.000 EUR, weil Callcenter außerhalb des offiziellen Vertriebsnetzes im Auftrag des Unternehmens Werbeanrufe über nicht im Betreiberregister ROC erfasste oder verfälschte Rufnummern (Spoofing) tätigten – oft an im Widerspruchsregister eingetragene Anschlüsse – und die so gewonnenen Kontakte über fingierte Rückrufwünsche auf Webformularen von Vertriebspartnern als scheinbar rechtmäßige Leads in die Systeme gelangten. Die Behörde warf TIM unzureichende Auswahl und Überwachung der Vertriebspartner sowie systematisch fehlende oder verspätete Antworten auf Auskunfts-, Lösch- und Widerspruchsanträge vor. Zusätzlich muss TIM das Lead-Verfahren absichern, die Kontrolle der Vertriebskette verstärken und die Verfahren für Betroffenenrechte anpassen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5, 6, 7, 12, 15–22, 24, 25, 28 und 32 DSGVO; Art. 130 Codice in materia di protezione dei dati personali (D.Lgs. 196/2003)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Mildernd berücksichtigt: kurzer Zeitraum und begrenzte Zahl Betroffener, während des Verfahrens ergriffene Maßnahmen (u. a. Kontrollen und Vertragsbeendigungen bei Partnern), hohe Kooperation, keine besonderen Kategorien personenbezogener Daten, Beitritt zum Telemarketing-Verhaltenskodex und erhebliche Investitionen in die Kontrolle der Vertriebskette.

Veröffentlicht

31.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die CNIL verhängte gegen das IT- und Ingenieurberatungsunternehmen EXTIA eine Geldbuße von 300.000 EUR, weil von 265 im Jahr 2024 eingegangenen Löschanträgen – überwiegend von Bewerbern, vereinzelt von ehemaligen Beschäftigten – 12 gar nicht bearbeitet und 166 Antragsteller nicht über das Ergebnis informiert wurden; 27 erhielten die Antwort erst nach Ablauf der Monatsfrist. Die CNIL wertete dies als besonders fahrlässig, zumal das Unternehmen 2024 bereits zweimal von der CNIL auf seine Pflichten hingewiesen worden war (Art. 12 und 17 DSGVO).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12 und 17 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Im Verfahren löschte das Unternehmen die betroffenen Daten und informierte die Antragsteller nachträglich.

Veröffentlicht

09.09.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Ein Synchronisationsfehler zwischen zwei Anwendungen ermöglichte einem Kunden, in der Mobile-App Rechnungen anderer Kunden abzurufen; zudem wurde die ohne VPN, MFA oder IP-Beschränkung öffentlich erreichbare Ticketing-Plattform angegriffen und ein sehr großer Datenbestand (u. a. Ausweiskopien, Kartendaten, IBAN) abgezogen. Bußgelder: 104.780 Lei (20.000 Euro, Art. 25) und 419.120 Lei (80.000 Euro, Art. 32), insgesamt 523.900 Lei; dazu Anordnung eines Test- und Änderungsmanagements. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 25 Abs. 1, Art. 32 Abs. 1 lit. b und d, Abs. 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

17.07.2026

Originalbetrag 523.900 RON, umgerechnet zum EZB-Referenzkurs vom 17.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die BaFin setzte gegen das Softwareunternehmen eine Geldbuße von 240.000 Euro fest, weil es die Information über einen erlittenen Cyberangriff nicht unverzüglich als Insiderinformation veröffentlicht hatte. Der Bußgeldbescheid ist rechtskräftig.

Behörde / Gericht

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten

Rechtsgrundlage

Art. 17 Abs. 1 UAbs. 1 MAR (EU) Nr. 596/2014

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Garante verhängte gegen die US-Betreiberin des generativen KI-Dienstes Character.AI, auf dem Nutzer – auch Minderjährige – mit virtuellen Figuren chatten, eine Geldbuße von 158.000 EUR, unter anderem wegen mangelhafter Datenschutzinformationen, einer verspätet erstellten Datenschutz-Folgenabschätzung und der verspäteten Benennung eines Vertreters in der EU. Beanstandet wurden auch Schwächen beim Schutz Minderjähriger und bei der Altersprüfung; binnen 120 Tagen muss das Unternehmen eine funktionierende Altersverifikation, eine wirksame Sperrfrist gegen erneute Registrierung gesperrter Minderjähriger und standardmäßig private Profile für Minderjährige sicherstellen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 2, 12 Abs. 1, 13 Abs. 1 und 2, 14 Abs. 1 und 2, 24 Abs. 1, 25 Abs. 2, 27 Abs. 1 und 35 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Mildernd: schrittweise verstärkte Altersprüfung (eigener Dienst für Minderjährige, Altersverifikation durch einen Drittanbieter), keine früheren einschlägigen Verstöße, Kooperation und Änderungen der Datenschutzerklärung während des Verfahrens.

Veröffentlicht

09.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die drei größten Pay-TV-Anbieter vereinbarten mit Unterstützung eines Beratungsunternehmens von 2019 bis Mai 2025, Werbung als Bedingung für den Zugriff auf Aufzeichnungen einzuführen und die Vermarktung dieser Werbeflächen zu vereinheitlichen. Die Wettbewerbsbehörde verhängte gegen drei Unternehmen 8.181.000 Euro; mit dem bereits zuvor im Vergleich sanktionierten vierten Beteiligten summieren sich die Bußen auf 13.351.000 Euro. Die Namen veröffentlichte die AdC wegen laufender Gerichtsverfahren nicht in der Mitteilung.

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Lei da Concorrência (Lei n.º 19/2012), Art. 9.º (Processo PRC/2020/4)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

05.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer gaben sich als technischer Support aus, verleiteten Mitarbeitende von Verkaufsstellen zur Freigabe von Systemzugängen und erbeuteten Daten von über 365.000 Kunden, bei 41.359 auch Zahlungsdaten. Die Garante rügte mangelhafte Verwaltung von Zugangsdaten und digitalen Zertifikaten sowie unzureichende Sicherheitsbewertungen und verhängte 1.715.600 Euro.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO (Integrität und Vertraulichkeit, Art. 32)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

16.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach sechs Beschwerden stellte die Behörde fest, dass das Unternehmen Kunden, die Aufzeichnungen ihrer Verkaufsgespräche zur Reklamation von Rechnungen verlangten, keine Kopie herausgab, sondern nur ein Anhören über den Kundendienst anbot und Aufzeichnungen teils löschte. Neben einer Verwarnung wurde ein Bußgeld von 5.000 EUR verhängt.

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15 Abs. 1 und 3

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Pariser Anbieter von Wett- und Spielterminals zahlte 2008 bis 2011 ungerechtfertigte 78.972 EUR an einen Amtsträger eines mehrheitlich staatlichen Unternehmens in Mali, mit dem er einen ohne Ausschreibung vergebenen Liefervertrag hatte. Auslöser war eine TRACFIN-Meldung. Geldauflage 499.150 EUR (inkl. 335.000 EUR bereits beschlagnahmt) und dreijähriges AFA-Compliance-Programm.

Behörde / Gericht

Parquet national financier (PNF); Validierung durch den Präsidenten des Tribunal judiciaire de Paris

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

Art. 41-1-2 Code de procédure pénale (CJIP); Bestechung ausländischer Amtsträger und Geldwäsche

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

50 bis 249

Verschulden

vorsätzlich

Haftung von Führungskräften

Die CJIP regelt nicht die strafrechtliche Lage natürlicher Personen.

Veröffentlicht

18.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Orange Polska hatte zum 4. April 2022 in laufenden Prepaid-Verträgen einseitig eine Gebühr für die Aufrechterhaltung der Rufnummer eingeführt, ohne dass Gesetz oder Vertrag diese Änderung erlaubten, und auf Starterpaketen sowie der Website nicht über diese Gebühr informiert. Das UOKiK wertete beides als unlautere Praktiken und verhängte Geldbußen von 17.325.000 und 7.425.000 PLN, zusammen 24.750.000 PLN. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Prezes Urzędu Ochrony Konkurencji i Konsumentów (UOKiK)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 24 Abs. 2 Nr. 3 und Art. 27 ustawa o ochronie konkurencji i konsumentów i. V. m. Art. 4 und Art. 6 ustawa o przeciwdziałaniu nieuczciwym praktykom rynkowym

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Originalbetrag 24.750.000 PLN, umgerechnet zum EZB-Referenzkurs vom 30.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Der Anbieter einer Verwaltungs-Software und App für Sportvereine wurde im Januar 2025 Opfer eines Datenabflusses durch einen externen Angreifer. Die IMY stellte fest, dass vor und zum Zeitpunkt des Vorfalls keine angemessenen technischen und organisatorischen Sicherheitsmaßnahmen bestanden, obwohl überwiegend Daten von Kindern und auch Gesundheitsangaben (Allergien, Behinderungen) verarbeitet wurden, und verhängte 6 Mio. SEK; bei der Bemessung berücksichtigte sie den Konzernumsatz der Lime-Gruppe 2024 (rund 685,7 Mio. SEK).

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Schnelle, umfassende Information der Vereine und Betroffenen nach dem Vorfall; Unterstützung von rund 1.700 Vereinen bei ihren Meldungen innerhalb von 72 Stunden.

Veröffentlicht

26.01.2026

Originalbetrag 6.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 26.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Konkurences padome stellte fest, dass SIA „Burde B.V.“ als in Lettland einziger Vertreiber von Softwarelizenzen für Gatso-RT4-Radaranlagen der staatlichen Gesellschaft CSDD, die die Anlagen im staatlichen Auftrag betreibt und auf diese Lizenzen angewiesen war, von September 2022 bis Juli 2023 überhöhte Preise berechnete; binnen eines halben Jahres stieg der Preis um rund 260 %. Sie wertete dies als Missbrauch einer marktbeherrschenden Stellung und verhängte 24.199,25 EUR. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Konkurences padome (Lettischer Wettbewerbsrat)

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 13 Abs. 1 Nr. 4 Konkurences likums (Wettbewerbsgesetz)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Veröffentlicht

04.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Nach einem Angriff im Oktober 2024, bei dem Daten zu rund 24 Mio. Kundenverträgen einschließlich IBAN abflossen, verhängte die CNIL 27 Mio. Euro gegen Free Mobile und 15 Mio. Euro gegen Free (zusammen 42 Mio. Euro). Beanstandet wurden ein VPN-Zugang ohne ausreichende Authentifizierung, mangelhafte Erkennung auffälliger Zugriffe, unvollständige Benachrichtigung der Betroffenen und bei Free Mobile überlange Speicherung von Altverträgen; zusätzlich ergingen Anordnungen mit Fristen.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. e, Art. 32, Art. 34 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Während des Verfahrens Einführung von Mehr-Faktor-Authentifizierung, eines Security Operations Centers und verbesserter Protokollierung.

Veröffentlicht

14.01.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

AGCOM hatte Cloudflare im Februar 2025 (Delibera 49/25/CONS) als an der Erreichbarkeit rechtswidriger Inhalte beteiligten Diensteanbieter verpflichtet, die DNS-Auflösung und die Weiterleitung von Datenverkehr zu den über die Plattform „Piracy Shield“ gemeldeten Domains und IP-Adressen zu unterbinden. Weil das Unternehmen auch nach Zustellung der Anordnung keine Maßnahmen ergriff, verhängte die Behörde 14.247.698,56 EUR – 1 % des weltweiten Umsatzes bei einem gesetzlichen Rahmen von bis zu 2 %.

Behörde / Gericht

Autorità per le garanzie nelle comunicazioni (AGCOM)

Rechtsgebiet

KI und digitale Regulierung · Plattformpflichten

Rechtsgrundlage

Art. 1 Abs. 31 Legge 249/1997 i. V. m. Legge 93/2023 (Anti-Piraterie-Gesetz) und Anordnung Delibera 49/25/CONS

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Keine früheren Sanktionen dieser Art; weil die Vorschrift erstmals gegen das Unternehmen angewandt wurde, blieb die Behörde unter dem Höchstsatz.

Veröffentlicht

08.01.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Nexpublica entwickelte und betrieb als Auftragsverarbeiter die Fallverwaltungssoftware „Public CRM“ für die Behindertenbehörde MDPH Nord. Nach zwei Datenpannen 2022 zeigten Audits seit 2021 bestehende kritische Schwachstellen, etwa veraltetes SHA-1-Hashing; die CNIL verhängte 1,7 Mio. Euro direkt gegen den Dienstleister.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im August 2020 vereinbarten die Betreiber der elektronischen Klassenbücher „Tamo“ und „Eduka“, nicht mehr zu konkurrieren: Die eine Gruppe behielt das Klassenbuch-Geschäft, die andere übernahm die digitalen Lerninhalte. Nach Anerkennung des Verstoßes wurden die Bußen um 15 % gesenkt: 2.714.940 Euro gesamtschuldnerisch für die Snowball.xyz-Gruppe und 913.340 Euro für die AL holdingas-Gruppe (Art. 101 AEUV). Die Entscheidung ist anfechtbar. Quelle: Archivkopie der Pressemitteilung.

Behörde / Gericht

Konkurencijos taryba (Litauischer Wettbewerbsrat)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Konkurencijos įstatymas; Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Anerkennung des Verstoßes (15 % Reduktion)

Veröffentlicht

18.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink