Wer wurde wofür sanktioniert?

Der Anbieter webbasierter Systeme für Krankmeldungen, Rehabilitation und Arbeitsschutzvorfälle wurde im August 2025 gehackt; die erbeuteten Personendaten tauchten kurz darauf im Darknet auf. Die IMY stellte fest, dass trotz hohen Schutzbedarfs keine ausreichenden Sicherheitsmaßnahmen und keine automatische Echtzeitüberwachung auf Angriffe bestanden, wertete dies als fahrlässig und verhängte 1.800.000 Kronen.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

22.09.2026

Originalbetrag 1.800.000 SEK, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die beiden Unternehmen teilten von Dezember 2012 bis Juni 2022 Kunden für Fahrzeugortungs- und elektronische Fahrtenbuchdienste auf und stimmten Angebote ab, auch in öffentlichen Ausschreibungen. Erstinstanzlich erhielten O2 262,32 Mio. CZK und SHERLOG 18,357 Mio. CZK sowie ein sechsmonatiges Verbot öffentlicher Aufträge; bei O2 wurde statt des Vergabeverbots die Geldbuße erhöht.

Behörde / Gericht

Úřad pro ochranu hospodářské soutěže (ÚOHS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Tschechisches Wettbewerbsgesetz, Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Veröffentlicht

26.08.2026

Originalbetrag 280.677.000 CZK, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Über eine Software-Schwachstelle in einer von KDDI entwickelten und mehreren Internetprovidern bereitgestellten Mailplattform erbeuteten Unbefugte die Zugangsdaten (Mailadresse und Passwort) von 12.231.954 Personen; 7.616.173 Passwörter lagen im Klartext, sodass Postfächer einsehbar waren (entdeckt am 17. Juni 2026). Die Behörde erteilte KDDI eine Anleitung (指導) nach Art. 147 APPI, die technischen Sicherheitsmaßnahmen zu verbessern, weil die Zugriffskontrollen gegen die Ausbreitung von Angreifern unzureichend waren, verlangte bis 19. Oktober 2026 einen Bericht und erteilte auch einzelnen Providern, auf die die Klartextspeicherung zurückging, eine solche Anleitung.

Behörde / Gericht

Personal Information Protection Commission (PPC, 個人情報保護委員会)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Act on the Protection of Personal Information (APPI, 個人情報の保護に関する法律) Art. 147, Art. 146 Abs. 1

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

19.08.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Das Bundeskartellamt erklärte Verpflichtungszusagen von Apple zum App Tracking Transparency Framework (ATTF) für bindend und schloss damit sein Verfahren nach § 19a Abs. 2 GWB und Art. 102 AEUV ab. Nach vorläufiger Bewertung mussten Drittanbieter-Apps für personalisierte Werbung zusätzlich eine von Apple vorgegebene, abschreckender gestaltete Zustimmungsabfrage einholen, während Apple für eigene Angebote eine eigene Abfrage nutzte; künftig werden die Abfragefenster inhaltlich, sprachlich und optisch neutral angeglichen, und App-Anbieter können erforderliche Abfragen besser miteinander verbinden.

Behörde / Gericht

Bundeskartellamt

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

§ 19a Abs. 2 GWB, Art. 102 AEUV (Verpflichtungszusagen, Az. B7-54/25)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

17.08.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Angreifer kopierten Zertifikate aus verlorenen Femtozellen der KT Corporation in selbst gebaute Geräte, waren damit rund elf Monate unbemerkt mit dem Mobilfunknetz verbunden, fingen Daten von 16.647 Teilnehmern ab (Telefonnummer, IMSI, IMEI) und lösten mit abgefangenen Bestätigungscodes unberechtigte Handyzahlungen von rund 240 Mio. KRW bei 368 Betroffenen aus. Die Behörde verhängte wegen mangelhafter Zugangskontrolle – zehn Jahre gültige Zertifikate, keine IP-Beschränkung, keine Erkennung fremder Cell-IDs – ein Bußgeld (Penalty Surcharge) von 53.979.000.000 KRW und ordnete Schwachstellenprüfungen und eine Stärkung des Datenschutzbeauftragten an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Sanktion nach Art. 64-2(1) Nr. 9; gesonderter Beschluss 제2026-015-094호: Art. 63(1)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen Kooperation, Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, Verantwortung und Rolle des Datenschutzbeauftragten (CPO) für das gesamte Unternehmen klar festzulegen und die Governance zu überarbeiten.

Veröffentlicht

30.07.2026

Originalbetrag 53.979.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 29.07.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Mit zwei Entscheidungen stellte die Kommission fest, dass Google in der Suche eigene Dienste bevorzugt (460 Mio. Euro) und App-Entwickler bei Google Play daran hindert, Kunden auf alternative Angebote zu lenken (430 Mio. Euro). Google wurde angewiesen, die Verstöße abzustellen.

Behörde / Gericht

Europäische Kommission

Rechtsgebiet

KI und digitale Regulierung · Plattformpflichten

Rechtsgrundlage

Verordnung (EU) 2022/1925 (DMA), Selbstbevorzugungsverbot und Anti-Steering-Pflicht

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

23.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Garante verhängte gegen TIM eine Geldbuße von 9.516.000 EUR, weil Callcenter außerhalb des offiziellen Vertriebsnetzes im Auftrag des Unternehmens Werbeanrufe über nicht im Betreiberregister ROC erfasste oder verfälschte Rufnummern (Spoofing) tätigten – oft an im Widerspruchsregister eingetragene Anschlüsse – und die so gewonnenen Kontakte über fingierte Rückrufwünsche auf Webformularen von Vertriebspartnern als scheinbar rechtmäßige Leads in die Systeme gelangten. Die Behörde warf TIM unzureichende Auswahl und Überwachung der Vertriebspartner sowie systematisch fehlende oder verspätete Antworten auf Auskunfts-, Lösch- und Widerspruchsanträge vor. Zusätzlich muss TIM das Lead-Verfahren absichern, die Kontrolle der Vertriebskette verstärken und die Verfahren für Betroffenenrechte anpassen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5, 6, 7, 12, 15–22, 24, 25, 28 und 32 DSGVO; Art. 130 Codice in materia di protezione dei dati personali (D.Lgs. 196/2003)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Mildernd berücksichtigt: kurzer Zeitraum und begrenzte Zahl Betroffener, während des Verfahrens ergriffene Maßnahmen (u. a. Kontrollen und Vertragsbeendigungen bei Partnern), hohe Kooperation, keine besonderen Kategorien personenbezogener Daten, Beitritt zum Telemarketing-Verhaltenskodex und erhebliche Investitionen in die Kontrolle der Vertriebskette.

Veröffentlicht

31.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die CNIL verhängte gegen das IT- und Ingenieurberatungsunternehmen EXTIA eine Geldbuße von 300.000 EUR, weil von 265 im Jahr 2024 eingegangenen Löschanträgen – überwiegend von Bewerbern, vereinzelt von ehemaligen Beschäftigten – 12 gar nicht bearbeitet und 166 Antragsteller nicht über das Ergebnis informiert wurden; 27 erhielten die Antwort erst nach Ablauf der Monatsfrist. Die CNIL wertete dies als besonders fahrlässig, zumal das Unternehmen 2024 bereits zweimal von der CNIL auf seine Pflichten hingewiesen worden war (Art. 12 und 17 DSGVO).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12 und 17 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Im Verfahren löschte das Unternehmen die betroffenen Daten und informierte die Antragsteller nachträglich.

Veröffentlicht

09.09.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Ein Synchronisationsfehler zwischen zwei Anwendungen ermöglichte einem Kunden, in der Mobile-App Rechnungen anderer Kunden abzurufen; zudem wurde die ohne VPN, MFA oder IP-Beschränkung öffentlich erreichbare Ticketing-Plattform angegriffen und ein sehr großer Datenbestand (u. a. Ausweiskopien, Kartendaten, IBAN) abgezogen. Bußgelder: 104.780 Lei (20.000 Euro, Art. 25) und 419.120 Lei (80.000 Euro, Art. 32), insgesamt 523.900 Lei; dazu Anordnung eines Test- und Änderungsmanagements. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 25 Abs. 1, Art. 32 Abs. 1 lit. b und d, Abs. 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

17.07.2026

Originalbetrag 523.900 RON, umgerechnet zum EZB-Referenzkurs vom 17.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die BaFin setzte gegen das Softwareunternehmen eine Geldbuße von 240.000 Euro fest, weil es die Information über einen erlittenen Cyberangriff nicht unverzüglich als Insiderinformation veröffentlicht hatte. Der Bußgeldbescheid ist rechtskräftig.

Behörde / Gericht

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten

Rechtsgrundlage

Art. 17 Abs. 1 UAbs. 1 MAR (EU) Nr. 596/2014

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Controladoria-Geral da União (CGU) verhängte gegen die RSX Informática Ltda. eine Geldbuße von 8.794.574,67 BRL, die außerordentliche Veröffentlichung der Entscheidung und eine dreijährige Sperre für Vergaben und Verträge mit der Union samt Streichung aus dem Lieferantenregister SICAF. Anlass war Betrug bei einer Ausschreibung (pregão nº 5/2017) des früheren Ministeriums für nationale Integration und bei den daraus folgenden Verträgen; über die Rahmenpreisvereinbarung schlossen weitere Bundesstellen, darunter das Sozialversicherungsinstitut INSS mit einem Softwarevertrag, ohne eigene Ausschreibung Verträge mit dem Unternehmen.

Behörde / Gericht

Controladoria-Geral da União (CGU)

Rechtsgebiet

Korruption und Bestechung

Rechtsgrundlage

Lei nº 12.846/2013, Art. 5 IV d, Art. 6 I und II; Lei nº 10.520/2002, Art. 7

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

10.07.2026

Originalbetrag 8.794.574,67 BRL, umgerechnet zum EZB-Referenzkurs vom 09.07.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Der Garante verhängte gegen die US-Betreiberin des generativen KI-Dienstes Character.AI, auf dem Nutzer – auch Minderjährige – mit virtuellen Figuren chatten, eine Geldbuße von 158.000 EUR, unter anderem wegen mangelhafter Datenschutzinformationen, einer verspätet erstellten Datenschutz-Folgenabschätzung und der verspäteten Benennung eines Vertreters in der EU. Beanstandet wurden auch Schwächen beim Schutz Minderjähriger und bei der Altersprüfung; binnen 120 Tagen muss das Unternehmen eine funktionierende Altersverifikation, eine wirksame Sperrfrist gegen erneute Registrierung gesperrter Minderjähriger und standardmäßig private Profile für Minderjährige sicherstellen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 2, 12 Abs. 1, 13 Abs. 1 und 2, 14 Abs. 1 und 2, 24 Abs. 1, 25 Abs. 2, 27 Abs. 1 und 35 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Mildernd: schrittweise verstärkte Altersprüfung (eigener Dienst für Minderjährige, Altersverifikation durch einen Drittanbieter), keine früheren einschlägigen Verstöße, Kooperation und Änderungen der Datenschutzerklärung während des Verfahrens.

Veröffentlicht

09.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Nach knapp vier Jahren Rechtsstreit hat das Bundesbezirksgericht für Idaho eine zwischen der FTC und dem Datenhändler Kochava vereinbarte Anordnung erlassen. Die FTC hatte Kochava vorgeworfen, präzise Standortdaten von Hunderten Millionen Mobilgeräten ohne Wissen und Einwilligung der Betroffenen verkauft zu haben, aus denen sich etwa Besuche bei Gesundheitseinrichtungen und Gotteshäusern ablesen ließen. Kochava und die Tochter Collective Data Solutions, die das Datenhandelsgeschäft übernommen hat, dürfen sensible Standortdaten nur noch mit ausdrücklicher Einwilligung und für vom Verbraucher angeforderte Dienste weitergeben und müssen unter anderem ein Programm für sensible Orte, Prüfungen ihrer Datenlieferanten, Auskünfte über Empfänger und Löschfristen einführen; eine Geldzahlung ist nicht vorgesehen. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. District Court for the District of Idaho auf Klage der Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Section 5 FTC Act, 15 U.S.C. § 45 (unlautere Praktiken); Verfahren nach Section 13(b), 15 U.S.C. § 53(b)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

26.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die drei größten Pay-TV-Anbieter vereinbarten mit Unterstützung eines Beratungsunternehmens von 2019 bis Mai 2025, Werbung als Bedingung für den Zugriff auf Aufzeichnungen einzuführen und die Vermarktung dieser Werbeflächen zu vereinheitlichen. Die Wettbewerbsbehörde verhängte gegen drei Unternehmen 8.181.000 Euro; mit dem bereits zuvor im Vergleich sanktionierten vierten Beteiligten summieren sich die Bußen auf 13.351.000 Euro. Die Namen veröffentlichte die AdC wegen laufender Gerichtsverfahren nicht in der Mitteilung.

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Lei da Concorrência (Lei n.º 19/2012), Art. 9.º (Processo PRC/2020/4)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

05.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut FTC-Beschwerde versprach Illuminate Schulen Datensicherheit, schützte seine Cloud-Datenbanken aber nicht angemessen, obwohl ein Dienstleister fast zwei Jahre vorher auf Schwachstellen hingewiesen hatte; ein Hacker griff auf Daten von 10,1 Mio. Schülern inkl. Gesundheitsangaben zu. Die Anordnung verlangt ein Informationssicherheitsprogramm, Datenminimierung und einen öffentlichen Löschplan und untersagt Falschangaben zu Sicherheit und Meldefristen.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

FTC Act (Verbot unlauterer und irreführender Praktiken)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

05.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Anbieter eines Reisebuchungssystems stellte der im Mai 2022 gelisteten Ural Airlines weiter Leistungen bereit, forderte Zahlungen über rund 906.600 USD an und suchte nach dem Einfrieren durch die Bank nach alternativen Zahlungswegen, was OFSI als Umgehung wertete. Fehlende Eskalation beim Rollenwechsel, vakante Leitungsfunktionen in Recht und Compliance, auf US-Recht fokussierte Richtlinien und ein Screening, das die Listung nicht meldete, trugen bei. Laut beim britischen Unternehmensregister hinterlegtem Jahresabschluss für das Geschäftsjahr 2024 hatte das Unternehmen rund 150 Beschäftigte.

Behörde / Gericht

HM Treasury, Office of Financial Sanctions Implementation (OFSI)

Rechtsgebiet

Sanktionen und Exportkontrolle · Verstöße gegen Sanktionen und Embargos

Rechtsgrundlage

Russia (Sanctions) (EU Exit) Regulations 2019, regs. 13, 14, 19

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

50 bis 249

Mildernde Umstände

Freiwillige Offenlegung (31.10.2022) und volle Kooperation; Vergleich unter dem neuen Settlement-Verfahren

Veröffentlicht

17.06.2026

Originalbetrag 1.000.920,59 GBP, umgerechnet zum EZB-Referenzkurs vom 26.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Angreifer gaben sich als technischer Support aus, verleiteten Mitarbeitende von Verkaufsstellen zur Freigabe von Systemzugängen und erbeuteten Daten von über 365.000 Kunden, bei 41.359 auch Zahlungsdaten. Die Garante rügte mangelhafte Verwaltung von Zugangsdaten und digitalen Zertifikaten sowie unzureichende Sicherheitsbewertungen und verhängte 1.715.600 Euro.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO (Integrität und Vertraulichkeit, Art. 32)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

16.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

KT Corporation hatte im eigenen Onlineshop für die Vorbestellung des Galaxy S25 erklärt, Vorteile gälten, sofern kein Ende der Aktion angezeigt werde, beschränkte sie dann aber auf die ersten 1.000 Bestellungen und stornierte einseitig 7.127 Vorbestellungen, die über einen YouTube-Kanal und Genie TV eingegangen und bereits vollständig abgeschlossen waren. Die Behörde wertete dies als falsche Angabe über wesentliche Bedingungen und als ungerechtfertigte Verweigerung des Vertragsschlusses nach dem Telecommunications Business Act (전기통신사업법), verhängte ein Bußgeld von 640.000.000 KRW und ordnete an, Zusatzvorteile bei Vorbestellungen künftig klar erkennbar anzugeben.

Behörde / Gericht

Korea Media and Communications Commission (KMCC, 방송미디어통신위원회)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Telecommunications Business Act (전기통신사업법) Art. 50(1) Nr. 5 und Nr. 5-2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

08.05.2026

Originalbetrag 640.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 08.05.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Vier australische Gesellschaften der Canva-Gruppe reichten ihre Jahresabschlüsse für das Geschäftsjahr 2024 nicht bis zum Stichtag 30. April 2025 bei der ASIC ein; der konsolidierte Bericht folgte erst am 27. März 2026. Die ASIC erließ je Gesellschaft einen Bußgeldbescheid über mutmaßlich 198.000 AUD (zusammen 792.000 AUD); die Bescheide wurden bezahlt, was nicht als Schuldeingeständnis gilt.

Behörde / Gericht

Australian Securities and Investments Commission (ASIC)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten

Rechtsgrundlage

s 319(1) Corporations Act 2001 (Cth); Bußgeldbescheide nach s 1317DAM

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

06.05.2026

Originalbetrag 792.000 AUD, umgerechnet zum EZB-Referenzkurs vom 28.04.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die Datenschutzbeauftragte stellte fest, dass die Mietbewerbungsplattform 2Apply von März 2020 bis März 2025 mehr personenbezogene Daten erhob als erforderlich, etwa Geschlecht, Studierendenstatus, Staatsbürgerschaft, Visumsablauf und frühere Wohnverhältnisse, und dabei durch Gestaltungsmittel wie „Confirmshaming“, einseitige Darstellung und gebündelte Einwilligungen unfair vorging. Die Entscheidung verpflichtet IRE, diese Datenerhebung binnen 60 Tagen einzustellen, eine unabhängige Prüfung zu beauftragen und der OAIC binnen zwölf Monaten über die Umsetzung der Empfehlungen zu berichten.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

APP 3.2 und APP 3.5 (Privacy Act 1988 (Cth)); Feststellungen nach s 52(1A)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

IRE passte seine Erhebungspraxis während der Untersuchung an, ohne eine Rechtsverletzung anzuerkennen.

Veröffentlicht

22.04.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Singtel Optus fragte Kundinnen und Kunden, die ihre Rufnummer zu Optus mitnahmen, ob sie im Telefonbuch stehen wollen, setzte den Wunsch nach einer nicht eingetragenen Nummer zwischen Oktober 2015 und September 2019 aber nicht um, sodass 41.278 Betroffene in den White Pages veröffentlicht blieben. Die Privacy Commissioner stellte einen Verstoß gegen APP 11.1 fest, weil Optus das über den ganzen Zeitraum bekannte Fehlerrisiko nicht mit angemessenen Schritten wie regelmäßigen Systemabgleichen beseitigte, und erklärte, dass das Unternehmen dieses Verhalten nicht wiederholen darf. Über Entschädigungen will die Behörde gesondert im Verfahren über eine Sammelbeschwerde (representative complaint) zum selben Sachverhalt entscheiden.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act 1988 (Cth) s 13(1), APP 11.1; Erklärung nach s 52(1A)(a)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

11.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

OFSI verhängte am 19. März 2026 gegen die in Irland ansässige Apple Distribution International Limited im Rahmen eines Vergleichs eine Geldbuße von 390.000 Pfund. Nach den Feststellungen von OFSI wies das Unternehmen, das Erlöse an Softwareentwickler eines App-Marktplatzes auszahlt, über ein britisches Bankkonto im Juni und Juli 2022 zwei Zahlungen von zusammen 635.618,75 Pfund an einen russischen App-Entwickler an, der im Eigentum einer gelisteten Einheit stand, und stornierte die Anweisungen nicht. Als Ursachen nannte OFSI unter anderem das Vertrauen auf Selbstauskünfte der Entwickler und auf Daten eines Drittanbieters. Das Unternehmen hatte die Zahlungen am 4. Oktober 2022 selbst offengelegt. Der Vergleich kam nach einer Absichtsmitteilung vom 11. November 2025 unter dem im Februar 2026 eingeführten Vergleichsverfahren zustande; gegen die Konzernmutter traf OFSI keine Feststellungen. Quelle: Office of Financial Sanctions Implementation (OFSI), HM Treasury, „Imposition of monetary penalty: Apple Distribution International Limited“, 30.03.2026, https://www.gov.uk/government/publications/imposition-of-monetary-penalty-apple-distribution-international-limited. Enthält Informationen des öffentlichen Sektors, lizenziert unter der Open Government Licence v3.0 (https://www.nationalarchives.gov.uk/doc/open-government-licence/version/3/).

Behörde / Gericht

HM Treasury, Office of Financial Sanctions Implementation (OFSI)

Rechtsgebiet

Sanktionen und Exportkontrolle · Verstöße gegen Sanktionen und Embargos

Rechtsgrundlage

Russia (Sanctions) (EU Exit) Regulations 2019, reg. 12; Geldbuße nach s. 146 Policing and Crime Act 2017 (Settlement)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

30.03.2026

Originalbetrag 390.000 GBP, umgerechnet zum EZB-Referenzkurs vom 19.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Die Telekom-Infrastrukturgesellschaft Míla hf. räumte in einem Vergleich mit Samkeppniseftirlitið ein, von Oktober 2023 bis Dezember 2024 gegen die Auflagen aus dem Vergleich vom September 2022 zur Übernahme durch Ardian verstoßen zu haben: Häufigkeit und Umfang ihrer Kontakte zu Síminn waren geeignet, dessen Anreiz zu schwächen, über die vertragliche Abnahmepflicht hinaus Vorleistungen bei Míla-Wettbewerbern einzukaufen. Míla zahlt eine Geldbuße von 200.000.000 ISK und übernimmt zusätzliche Auflagen; zugleich wurden einzelne Auflagen wegen veränderter Marktverhältnisse auf Gebiete mit erheblicher Marktmacht von Míla beschränkt.

Behörde / Gericht

Samkeppniseftirlitið

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Verstoß gegen Fusionsauflagen (Art. 4 und 8 eines früheren Vergleichs); Vergleich nach Art. 17f Abs. 1 Samkeppnislög Nr. 44/2005 (isländisches Wettbewerbsgesetz)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

19.03.2026

Originalbetrag 200.000.000 ISK, umgerechnet zum EZB-Referenzkurs vom 18.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Excom Global warb von Februar 2020 bis Mai 2024 für seinen Verleih mobiler WLAN-Router für Auslandsreisen („Imoto no WiFi“) in Anzeigen in Reiseführern und auf eigenen Websites mit Platz 1 bei Kundenzufriedenheit, bei der Wahl durch Auslandsreisende und beim Kundenservice. Die beauftragte Umfrage fragte, ohne eine tatsächliche Nutzung zu prüfen, nur nach dem Eindruck der Websites des Unternehmens und neun willkürlich ausgewählter Wettbewerber und wurde zudem nicht korrekt wiedergegeben; festgesetzt wurde ein Surcharge von 172.620.000 JPY.

Behörde / Gericht

Consumer Affairs Agency (消費者庁, CAA)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 8 Abs. 1 i. V. m. Art. 5 Nr. 1 Act against Unjustifiable Premiums and Misleading Representations (不当景品類及び不当表示防止法, Gesetz Nr. 134/1962)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

12.03.2026

Originalbetrag 172.620.000 JPY, umgerechnet zum EZB-Referenzkurs vom 12.03.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach sechs Beschwerden stellte die Behörde fest, dass das Unternehmen Kunden, die Aufzeichnungen ihrer Verkaufsgespräche zur Reklamation von Rechnungen verlangten, keine Kopie herausgab, sondern nur ein Anhören über den Kundendienst anbot und Aufzeichnungen teils löschte. Neben einer Verwarnung wurde ein Bußgeld von 5.000 EUR verhängt.

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15 Abs. 1 und 3

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Pariser Anbieter von Wett- und Spielterminals zahlte 2008 bis 2011 ungerechtfertigte 78.972 EUR an einen Amtsträger eines mehrheitlich staatlichen Unternehmens in Mali, mit dem er einen ohne Ausschreibung vergebenen Liefervertrag hatte. Auslöser war eine TRACFIN-Meldung. Geldauflage 499.150 EUR (inkl. 335.000 EUR bereits beschlagnahmt) und dreijähriges AFA-Compliance-Programm.

Behörde / Gericht

Parquet national financier (PNF); Validierung durch den Präsidenten des Tribunal judiciaire de Paris

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

Art. 41-1-2 Code de procédure pénale (CJIP); Bestechung ausländischer Amtsträger und Geldwäsche

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

50 bis 249

Verschulden

vorsätzlich

Haftung von Führungskräften

Die CJIP regelt nicht die strafrechtliche Lage natürlicher Personen.

Veröffentlicht

18.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Orange Polska hatte zum 4. April 2022 in laufenden Prepaid-Verträgen einseitig eine Gebühr für die Aufrechterhaltung der Rufnummer eingeführt, ohne dass Gesetz oder Vertrag diese Änderung erlaubten, und auf Starterpaketen sowie der Website nicht über diese Gebühr informiert. Das UOKiK wertete beides als unlautere Praktiken und verhängte Geldbußen von 17.325.000 und 7.425.000 PLN, zusammen 24.750.000 PLN. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Prezes Urzędu Ochrony Konkurencji i Konsumentów (UOKiK)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 24 Abs. 2 Nr. 3 und Art. 27 ustawa o ochronie konkurencji i konsumentów i. V. m. Art. 4 und Art. 6 ustawa o przeciwdziałaniu nieuczciwym praktykom rynkowym

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Originalbetrag 24.750.000 PLN, umgerechnet zum EZB-Referenzkurs vom 30.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Der Anbieter einer Verwaltungs-Software und App für Sportvereine wurde im Januar 2025 Opfer eines Datenabflusses durch einen externen Angreifer. Die IMY stellte fest, dass vor und zum Zeitpunkt des Vorfalls keine angemessenen technischen und organisatorischen Sicherheitsmaßnahmen bestanden, obwohl überwiegend Daten von Kindern und auch Gesundheitsangaben (Allergien, Behinderungen) verarbeitet wurden, und verhängte 6 Mio. SEK; bei der Bemessung berücksichtigte sie den Konzernumsatz der Lime-Gruppe 2024 (rund 685,7 Mio. SEK).

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Schnelle, umfassende Information der Vereine und Betroffenen nach dem Vorfall; Unterstützung von rund 1.700 Vereinen bei ihren Meldungen innerhalb von 72 Stunden.

Veröffentlicht

26.01.2026

Originalbetrag 6.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 26.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Konkurences padome stellte fest, dass SIA „Burde B.V.“ als in Lettland einziger Vertreiber von Softwarelizenzen für Gatso-RT4-Radaranlagen der staatlichen Gesellschaft CSDD, die die Anlagen im staatlichen Auftrag betreibt und auf diese Lizenzen angewiesen war, von September 2022 bis Juli 2023 überhöhte Preise berechnete; binnen eines halben Jahres stieg der Preis um rund 260 %. Sie wertete dies als Missbrauch einer marktbeherrschenden Stellung und verhängte 24.199,25 EUR. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Konkurences padome (Lettischer Wettbewerbsrat)

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 13 Abs. 1 Nr. 4 Konkurences likums (Wettbewerbsgesetz)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Veröffentlicht

04.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Datatilsynet verhängte gegen den Anbieter von Zeiterfassungssystemen Timegrip AS ein Bußgeld von 250.000 NOK, weil das Unternehmen nach der Insolvenz einer Einzelhandelskette 80 früheren Beschäftigten die Auskunft über ihre Stempeldaten verweigerte, die sie zum Nachweis ihrer Lohnforderungen brauchten. Die Behörde stufte Timegrip als Verantwortlichen ein, weil das Unternehmen nach der Insolvenz faktisch allein über Speicherung, Nutzung und Zugang entschied, und sah einen Verstoß gegen das Auskunftsrecht nach Art. 15 Abs. 1 und 3 DSGVO. Angekündigt waren 750.000 NOK; die Behörde berücksichtigte u. a. die unübersichtliche Lage und die eigene lange Verfahrensdauer.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 15 Abs. 1 und 3, Art. 58 Abs. 2 lit. i, Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Mildernde Umstände

Unübersichtliche Lage nach der Insolvenz des Kunden (nur begrenzt gewichtet) und lange Verfahrensdauer bei Datatilsynet; angekündigt waren 750.000 NOK.

Veröffentlicht

20.01.2026

Originalbetrag 250.000 NOK, umgerechnet zum EZB-Referenzkurs vom 16.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Controladoria-Geral da União (CGU) verhängte gegen die Linkcon Ltda. eine Geldbuße von 21.521.878,64 BRL, die außerordentliche Veröffentlichung der Entscheidung und eine zweijährige Sperre für Vergaben und Verträge mit der Union. Nach dem Abschlussbericht wurden eine elektronische Ausschreibung der Hafengesellschaft Companhia Docas do Rio de Janeiro (PE 17/2016) und die daraus hervorgegangene Rahmenpreisvereinbarung über simulierte Preisumfragen zugunsten des Unternehmens gelenkt; zudem legte es ein falsches Dokument vor, um als kleines Unternehmen (EPP) eingestuft zu werden. Den Antrag auf Überprüfung wies die CGU am 30.07.2026 zurück. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Controladoria-Geral da União (CGU)

Rechtsgebiet

Korruption und Bestechung

Rechtsgrundlage

Lei nº 12.846/2013, Art. 5 IV a, Art. 6 I und II; Lei nº 10.520/2002, Art. 7

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

12.01.2026

Originalbetrag 21.521.878,64 BRL, umgerechnet zum EZB-Referenzkurs vom 09.01.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Nach einem Angriff im Oktober 2024, bei dem Daten zu rund 24 Mio. Kundenverträgen einschließlich IBAN abflossen, verhängte die CNIL 27 Mio. Euro gegen Free Mobile und 15 Mio. Euro gegen Free (zusammen 42 Mio. Euro). Beanstandet wurden ein VPN-Zugang ohne ausreichende Authentifizierung, mangelhafte Erkennung auffälliger Zugriffe, unvollständige Benachrichtigung der Betroffenen und bei Free Mobile überlange Speicherung von Altverträgen; zusätzlich ergingen Anordnungen mit Fristen.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. e, Art. 32, Art. 34 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Während des Verfahrens Einführung von Mehr-Faktor-Authentifizierung, eines Security Operations Centers und verbesserter Protokollierung.

Veröffentlicht

14.01.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Anbieter cloudbasierter HR-Software erhielt im April 2024 eine Erpresser-E-Mail; ein Angreifer hatte Datenbanken auf seinen AWS-Servern gelöscht und wahrscheinlich Daten ausgeleitet, mutmaßlich entwendete Daten wurden im Darknet angeboten – gefährdet waren Daten von 95.000 Beschäftigten seiner Kunden (u. a. Ausweisnummer, Gehalt, Bankkonto, Religion) sowie von 24.765 Notfallkontakten und Kindern. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil der Anbieter trotz der ihm von Kunden anvertrauten Personaldaten keine Web Application Firewall gegen vorhandene SQL-Injection-Lücken, einen offen aus dem Internet erreichbaren Remote-Desktop-Zugang ohne Zwei-Faktor-Authentifizierung und nur alle zwei Jahre Schwachstellenscans hatte. Sie verhängte 17.500 SGD, wegen der Liquiditätslage zahlbar in zwölf Monatsraten, und ordnete u. a. eine Web Application Firewall, jährliche Penetrationstests, Zwei-Faktor-Authentifizierung und die Verschlüsselung aller Personaldatenfelder an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß; Ratenzahlung mit Rücksicht auf die Liquidität, ein Erlass wurde abgelehnt.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 08.01.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

AGCOM hatte Cloudflare im Februar 2025 (Delibera 49/25/CONS) als an der Erreichbarkeit rechtswidriger Inhalte beteiligten Diensteanbieter verpflichtet, die DNS-Auflösung und die Weiterleitung von Datenverkehr zu den über die Plattform „Piracy Shield“ gemeldeten Domains und IP-Adressen zu unterbinden. Weil das Unternehmen auch nach Zustellung der Anordnung keine Maßnahmen ergriff, verhängte die Behörde 14.247.698,56 EUR – 1 % des weltweiten Umsatzes bei einem gesetzlichen Rahmen von bis zu 2 %.

Behörde / Gericht

Autorità per le garanzie nelle comunicazioni (AGCOM)

Rechtsgebiet

KI und digitale Regulierung · Plattformpflichten

Rechtsgrundlage

Art. 1 Abs. 31 Legge 249/1997 i. V. m. Legge 93/2023 (Anti-Piraterie-Gesetz) und Anordnung Delibera 49/25/CONS

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Keine früheren Sanktionen dieser Art; weil die Vorschrift erstmals gegen das Unternehmen angewandt wurde, blieb die Behörde unter dem Höchstsatz.

Veröffentlicht

08.01.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Im August 2024 verschlüsselte ein Angreifer ein von SESAMi und ihrer Tochter Abecha gemeinsam genutztes Netzlaufwerk mit Zahlungsdaten (u. a. vollständige Kreditkartennummern und Kontodaten) von rund 20.471 Kunden eines Kraftstoff-Flottenrabattprogramms der Tochter und bis zu 18.837 Personen aus der Registrierung für SESAMis B2B-Plattform; eine Ausleitung ließ sich nicht nachweisen. Die Datenschutzbehörde PDPC stufte SESAMi, das das Netz ohne schriftlichen Vertrag für die Tochter betrieb, insoweit als Auftragsverarbeiter (data intermediary) ein und stellte bei SESAMi einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (u. a. veraltete Firewall- und VPN-Firmware, kein Patch-Management, nicht durchgesetzte Passwort- und MFA-Regeln), ebenso bei Abecha, die als Verantwortliche nichts unternommen hatte, um angemessene Sicherheit bei SESAMi sicherzustellen. SESAMi erhielt 8.750 SGD und Anordnungen, Abecha als verantwortliche Stelle nur Anordnungen, darunter eine schriftliche Regelung der Rollen und Datenschutzpflichten im Konzern.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 4(3) PDPA (Pflichten bei Einsatz eines Data Intermediary); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Kooperation, rasche und wirksame Abhilfe, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure); bei Abecha zudem geringere Schuld wegen begrenzter Eigenständigkeit als hundertprozentige Tochter, einer der Gründe, von einer Geldbuße gegen sie abzusehen.

Veröffentlicht

26.02.2026

Originalbetrag 8.750 SGD, umgerechnet zum EZB-Referenzkurs vom 29.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nexpublica entwickelte und betrieb als Auftragsverarbeiter die Fallverwaltungssoftware „Public CRM“ für die Behindertenbehörde MDPH Nord. Nach zwei Datenpannen 2022 zeigten Audits seit 2021 bestehende kritische Schwachstellen, etwa veraltetes SHA-1-Hashing; die CNIL verhängte 1,7 Mio. Euro direkt gegen den Dienstleister.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im August 2020 vereinbarten die Betreiber der elektronischen Klassenbücher „Tamo“ und „Eduka“, nicht mehr zu konkurrieren: Die eine Gruppe behielt das Klassenbuch-Geschäft, die andere übernahm die digitalen Lerninhalte. Nach Anerkennung des Verstoßes wurden die Bußen um 15 % gesenkt: 2.714.940 Euro gesamtschuldnerisch für die Snowball.xyz-Gruppe und 913.340 Euro für die AL holdingas-Gruppe (Art. 101 AEUV). Die Entscheidung ist anfechtbar. Quelle: Archivkopie der Pressemitteilung.

Behörde / Gericht

Konkurencijos taryba (Litauischer Wettbewerbsrat)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Konkurencijos įstatymas; Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Anerkennung des Verstoßes (15 % Reduktion)

Veröffentlicht

18.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die IT-Holding erwarb im Februar 2023 eine 50-%-Beteiligung mit negativer Alleinkontrolle am Xiaomi-Vertreiber Mystical Hungary Zrt., wandte sich aber erst nach 582 Tagen an die Wettbewerbsbehörde und meldete den Zusammenschluss danach an. Nach Selbstanzeige, Anerkenntnis und Rechtsmittelverzicht verhängte die Behörde deutlich reduzierte 32,6 Mio. HUF.

Behörde / Gericht

Gazdasági Versenyhivatal (GVH)

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Ungarisches Wettbewerbsgesetz, Vollzugsverbot

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Freiwillige Offenlegung, Anerkenntnis und Rechtsmittelverzicht.

Veröffentlicht

18.12.2025

Originalbetrag 32.600.000 HUF, umgerechnet zum EZB-Referenzkurs vom 18.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die AGCM wertete Apples seit 26. April 2021 geltende App-Tracking-Transparency-Richtlinie (ATT) als Ausbeutungsmissbrauch einer marktbeherrschenden Stellung: Drittentwickler von iOS-Apps mussten zusätzlich zu ihrer eigenen Einwilligungsabfrage Apples ATT-Abfrage für denselben Zweck einsetzen, eine einseitig auferlegte und unverhältnismäßige Bedingung. Gegen Apple Inc., Apple Distribution International Ltd und Apple Italia S.r.l. wurde eine Geldbuße von 98.635.416,67 Euro verhängt und die sofortige Abstellung angeordnet; Apples Ziel, die Privatsphäre zu schützen, stellte die Behörde ausdrücklich nicht in Frage.

Behörde / Gericht

Autorità Garante della Concorrenza e del Mercato (AGCM)

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 102 AEUV; Art. 15 Legge n. 287/1990

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Mildernde Umstände

Eine nach den Leitlinien mögliche Erhöhung wegen des sehr hohen Konzernumsatzes wandte die AGCM mit Blick auf parallele Verfahren anderer Wettbewerbsbehörden gegen Apple nicht an.

Veröffentlicht

22.12.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Der Telekommunikationsanbieter bekannte sich schuldig, in Verträgen eine verbotene Klausel zur einseitigen Vertragsänderung ohne die gesetzlich geforderten konkreten Voraussetzungen verwendet und in Fernabsatzverträgen über fortlaufende Dienstleistungen Pflichtangaben weggelassen zu haben, etwa die genaue Beschreibung der Leistungen, Preis und Beschreibung von Prämiengeräten, Nutzungsbeschränkungen und geografische Grenzen. Für 50 Anklagepunkte wurden Geldstrafen von insgesamt 210.700 CAD einschließlich Kosten verhängt; die Verstöße stammten aus den Jahren 2012 und 2013.

Behörde / Gericht

Gericht in Montréal (Ermittlung: Office de la protection du consommateur (OPC); Anklage: Directeur des poursuites criminelles et pénales (DPCP))

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Informationspflichten im Onlinehandel

Rechtsgrundlage

Loi sur la protection du consommateur (RLRQ c. P-40.1), Art. 11.2 und 214.2

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

06.02.2026

Originalbetrag 210.700 CAD, umgerechnet zum EZB-Referenzkurs vom 15.12.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die CNIL verhängte gegen MOBIUS SOLUTIONS LTD, einen Anbieter von Werkzeugen für personalisierte Werbekampagnen ohne Niederlassung in der EU, 1.000.000 Euro Bußgeld: Als Auftragsverarbeiter von Deezer hatte das Unternehmen nach Vertragsende eine Kopie der Daten von mehr als 46 Millionen Nutzern behalten, die Daten ohne Weisung zur Verbesserung eigener Dienste genutzt und kein Verzeichnis seiner Verarbeitungstätigkeiten geführt (Art. 28 Abs. 3 lit. g, Art. 29, Art. 30 DSGVO). Deezer hatte der CNIL im November 2022 gemeldet, dass Nutzerdaten im Darknet aufgetaucht waren.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 28 Abs. 3 lit. g, Art. 29 und Art. 30 DSGVO (Délibération SAN-2025-014 vom 11.12.2025)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

19.12.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Am 8. Oktober 2024 fiel die Festnetztelefonie von Singtel für rund 500.000 Privat- und Geschäftskunden mehr als vier Stunden lang aus; betroffen waren auch Kundenhotlines von Behörden, Gesundheitseinrichtungen und Banken sowie Notrufdienste. Ursache war, dass die virtualisierten Firewalls des Sprachsystems und eines Überwachungssystems dieselbe Hardware nutzten, sodass eine Überlastung des unzureichend gefilterten Überwachungssystems auch das Sprachsystem störte und die automatische Umschaltung nicht sauber griff; ein Cyberangriff lag nach der Untersuchung nicht vor. Die IMDA verhängte nach dem Telecommunications Act eine Strafe von 1 Mio. SGD, weil der Vorfall für Singtel vermeidbar gewesen sei.

Behörde / Gericht

Infocomm Media Development Authority (IMDA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunications Act

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

11.12.2025

Originalbetrag 1.000.000 SGD, umgerechnet zum EZB-Referenzkurs vom 11.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach einem Verfahren der Commerce Commission verpflichtete der High Court die One New Zealand Group Limited zu einer Geldbuße (pecuniary penalty) von 1.100.000 NZD; zusätzlich zahlt das Unternehmen 100.000 NZD an die Kosten der Behörde, die im Betrag nicht enthalten sind. One NZ räumte zehn Verstöße gegen den 111 Contact Code aus den Jahren 2021 bis 2023 ein, die Informationspflichten, Aufzeichnungen und die regelmäßige Ansprache von Kunden betrafen. Der Kodex soll sicherstellen, dass schutzbedürftige Kunden, deren Festnetzanschluss bei Stromausfall nicht funktioniert, kostenlos eine andere Möglichkeit zum Notruf 111 erhalten.

Behörde / Gericht

High Court of New Zealand (Verfahren der Commerce Commission)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunications Act 2001 (Neuseeland), s 156B; 111 Contact Code

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Laut Commerce Commission korrigierte One NZ die Verstöße, sobald es ihr Ausmaß erkannte, und kooperierte vollständig bei der Untersuchung; die Verstöße wurden eingeräumt.

Veröffentlicht

01.12.2025

Originalbetrag 1.100.000 NZD, umgerechnet zum EZB-Referenzkurs vom 01.12.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Der Adresshändler (früher Kapitol) hatte Daten des Beschwerdeführers über eine Mediaagentur an einen Werbetreibenden für Direktmarketing weitergegeben, ohne eine wirksame Einwilligung nachweisen zu können. Die APD verhängte 40.000 EUR und ordnete Löschung sowie Information der Empfänger an; das Marktgericht Brüssel hob diese Teile am 03.06.2026 auf und setzte das Bußgeld selbst auf 5.000 EUR fest.

Behörde / Gericht

Autorité de protection des données (APD/GBA) – Chambre Contentieuse; Cour des marchés

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 24

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

2022 kompromittierte ein Angreifer zunächst den Firmenlaptop eines Beschäftigten und dann den privaten Laptop eines leitenden Mitarbeiters, dessen Masterpasswort er per Keylogger abgriff. Weil privater und geschäftlicher Passwort-Tresor über dasselbe Masterpasswort verknüpft waren, gelangte er an die dort hinterlegten Zugangs- und Entschlüsselungsschlüssel und entwendete aus der Backup-Datenbank Daten von bis zu 1,6 Mio. britischen Nutzern. Laut beim britischen Unternehmensregister hinterlegtem Jahresabschluss für das Geschäftsjahr 2025 hatte das Unternehmen rund 35 Beschäftigte.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1 lit. f

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

Unter 50

Verschulden

fahrlässig

Veröffentlicht

11.12.2025

Originalbetrag 1.228.283 GBP, umgerechnet zum EZB-Referenzkurs vom 20.11.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Der Telekommunikationsanbieter ließ einen konzernangehörigen Softwaredienstleister in Serbien mit Administratorrechten auf die gesamte SAP-CRM-Kundendatenbank zugreifen, ab Ende 2022 ohne Standardvertragsklauseln und ohne klare Information der Kunden. Die AZOP ahndete außerdem das Kopieren von Personalausweisen und Führungszeugnissen der Beschäftigten sowie die fehlende Prüfung eines Telemarketing-Dienstleisters; insgesamt 4,5 Mio. EUR.

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44, 46, 12 Abs. 1, 13 Abs. 1 lit. f, 5, 6 Abs. 1, 28 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

14.11.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der guatemaltekische Mobilfunkanbieter zahlte 2012 bis 2018 monatlich Bargeld an Kongressabgeordnete bzw. deren Sicherheitsleute, um gesetzgeberische Unterstützung zu erhalten; ein Teil der Mittel stammte aus gewaschenen Drogengeldern. Zweijähriges Deferred Prosecution Agreement mit 60 Mio. USD Strafzahlung und 58.198.343 USD administrativer Einziehung.

Behörde / Gericht

U.S. Department of Justice (Criminal Division, Fraud Section; USAO Southern District of Florida)

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

FCPA, 15 U.S.C. § 78dd-3 (Verschwörung, 18 U.S.C. § 371); Deferred Prosecution Agreement

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Mildernde Umstände

Freiwillige Selbstanzeige durch Muttergesellschaft Millicom 2015; später umfangreiche Kooperation und Abhilfe (u. a. Personaltrennungen, Compliance-Personal um 800 % erhöht).

Veröffentlicht

12.12.2025

Originalbetrag 118.198.343 USD, umgerechnet zum EZB-Referenzkurs vom 12.11.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Texas hatte Google wegen unrechtmäßiger Erfassung von Standortdaten, Aktivitäten im Inkognito-Modus und biometrischen Merkmalen verklagt. Google unterzeichnete einen Vergleich über 1,375 Mrd. $, der zwei Verfahren abschließt.

Behörde / Gericht

Office of the Attorney General of Texas

Rechtsgebiet

Datenschutz · Cookies und Tracking

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

31.10.2025

Originalbetrag 1.375.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei Prüfungen 2021/22 stellte die RDI fest, dass der Mobilfunkbetreiber für sein System zur gesetzlichen Telekommunikationsüberwachung keinen vorgeschriebenen Sicherheitsplan hatte, Beschäftigte mit Zugriff nicht ausreichend überprüft waren (fehlende Funktionsbeschreibungen, Geheimhaltungserklärungen, Führungszeugnisse), Unbefugte Zugang zu Abhördaten hatten und Lieferanten digital auf das System zugreifen konnten. Die RDI verhängte 1.518.750 Euro; Odido hat das System inzwischen erneuert.

Behörde / Gericht

Rijksinspectie Digitale Infrastructuur (RDI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunicatiewet Art. 15.4; Besluit beveiliging gegevens telecommunicatie (Bbgt) Art. 2, 3, 4

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

System erneuert, Risiko unbefugter Zugriffe beseitigt.

Veröffentlicht

17.10.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Während laufender Ausschreibungen für die Ausstattung von Schulen verschickte Smart Soft Dutzende gleichlautende Briefe an Schulen in der Region Plowdiw/Pasardschik/Panagjurischte mit unwahren oder verzerrten Angaben über einen Mitbewerber. Die KZK sah eine Rufschädigung (Art. 30 ZZK) über rund zwei Monate und verhängte 3 % des Umsatzes 2024, also 37.410 Lewa. Gegen die Entscheidung wurde Beschwerde eingelegt.

Behörde / Gericht

Комисия за защита на конкуренцията (КЗК, Bulgarische Wettbewerbskommission)

Rechtsgebiet

Kartellrecht und Wettbewerb

Rechtsgrundlage

Art. 30 ZZK (Schädigung des guten Rufs eines Wettbewerbers)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Originalbetrag 37.410 BGN, umgerechnet zum EZB-Referenzkurs vom 25.09.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Laut FTC-Klage versteckte der Bildungsanbieter die Kündigung seiner automatisch verlängerten Abos auf der Website und buchte seit Oktober 2020 bei fast 200.000 Kundinnen und Kunden auch nach deren Kündigung weiter ab. Im Vergleich zahlt Chegg 7,5 Mio. USD für Rückerstattungen und muss eine einfache Kündigung anbieten.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Informationspflichten im Onlinehandel

Rechtsgrundlage

Restore Online Shoppers' Confidence Act (ROSCA); Section 5 FTC Act

Maßnahme

Gewinnabschöpfung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Veröffentlicht

15.09.2025

Originalbetrag 7.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 18.09.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Unbekannte griffen über mehrere Websites auf Datenbanken des Systembetreibers zu und erbeuteten personenbezogene Daten. Die DVI verhängte zunächst 400.000 Euro; die Direktorin hob im Widerspruchsverfahren den Vorwurf als Verantwortlicher auf, weil ZZ Dats Auftragsverarbeiter war, und setzte wegen unzureichender Sicherheitsmaßnahmen nach Art. 32 DSGVO 300.000 Euro fest. Das Unternehmen hat Klage erhoben.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und d, Abs. 2, Art. 83 Abs. 4 lit. a DSGVO

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer, die seit August 2021 Schadsoftware in Systemen der SK Telecom Co., Ltd. platziert hatten, entwendeten im April 2025 vom Home Subscriber Server 9,82 GB Daten zu rund 23 Mio. Teilnehmern, darunter USIM-Authentifizierungsschlüssel und IMSI. Die Behörde stellte fehlende Netztrennung und Zugangskontrollen, nicht sicher verschlüsselte Authentifizierungsdaten, unterlassene Sicherheitsupdates, eine unzureichende Aufstellung des Datenschutzbeauftragten und eine verspätete Benachrichtigung der Betroffenen fest. Sie verhängte ein Bußgeld (Penalty Surcharge) von 134.791.000.000 KRW und ein Verwaltungsbußgeld von 9.600.000 KRW (zusammen 134.800.600.000 KRW) sowie Anordnungen zu Sicherheit, Governance und Aufsicht über Dienstleister und Vertriebspartner.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 31(1) und (3), Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen abgeschlossener Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren. Kooperation wurde wegen verzögerter Vorlage von Unterlagen nicht mildernd berücksichtigt.

Haftung von Führungskräften

Es fehlte ein Datenschutzbeauftragter (CPO) mit Gesamtverantwortung; angeordnet wurde, Verantwortung und Rolle des CPO klar festzulegen und die Governance neu aufzustellen.

Veröffentlicht

28.08.2025

Originalbetrag 134.800.600.000 KRW, umgerechnet zum EZB-Referenzkurs vom 27.08.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Anbieter von Chipdesign-Software aus San José lieferte von 2015 bis 2021 mindestens 59-mal Hardware, Software und Halbleiter-IP an die National University of Defense Technology (NUDT), eine Militärhochschule auf der Entity List, getarnt über den Aliasnamen Central South CAD Center. Cadence bekannte sich der Verschwörung zu Exportkontrollverstößen schuldig; strafrechtliche Strafen von knapp 118 Mio. USD und zivilrechtliche von über 95 Mio. USD ergeben nach Anrechnung netto mehr als 140 Mio. USD.

Behörde / Gericht

U.S. Department of Justice; Bureau of Industry and Security (BIS)

Rechtsgebiet

Sanktionen und Exportkontrolle · Exportkontrolle und Dual-Use

Rechtsgrundlage

Export Administration Regulations (Entity List); ECRA; Verschwörung zu Exportkontrollverstößen

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

vorsätzlich

Veröffentlicht

28.07.2025

Originalbetrag 140.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 28.07.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut Durchsetzungsliste der VARA verstieß The Open Network Foundation gegen die VARA Marketing Regulations. Als Maßnahmen führt die Liste eine Unterlassungsanordnung, eine Geldbuße in nicht veröffentlichter Höhe und ein Public Statement auf.

Behörde / Gericht

Virtual Assets Regulatory Authority (VARA), Dubai

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht

Rechtsgrundlage

VARA Marketing Regulations

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die CNMC verhängte gegen Telefónica de España eine Geldbuße von 20.000.000 Euro, weil das Unternehmen von August 2021 bis April 2023 seine Bündelangebote Movistar Fusión und MiMovistar mit Pay-TV und Gerätemiete an Mindestlaufzeiten und Vertragsstrafen bei vorzeitiger Kündigung knüpfte. Das verstieß gegen die Zusagen, unter denen die Übernahme von DTS 2015 freigegeben worden war; die wiederholten Verstöße gegen diese Zusagen wertete die CNMC als erschwerend.

Behörde / Gericht

Comisión Nacional de los Mercados y la Competencia (CNMC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Art. 62.4.c) und Art. 64.2.a) Ley 15/2007 de Defensa de la Competencia; Zusagen 1.1 und 1.1.2 einer früheren Fusionsfreigabe

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Veröffentlicht

30.07.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Nkom verhängte gegen Telenor Norge eine Verwaltungssanktion (overtredelsesgebyr) von 50.000.000 NOK, weil Notrufe über das Netz des Anbieters an vier Terminen im Herbst 2024 (29. August, 16. September, 17./18. Oktober, 13. November) ganz oder zeitweise scheiterten oder falsch geleitet wurden. Die Aufsicht stellte 22 Verstöße gegen ekomloven, sikkerhetsloven und mehrere Verordnungen fest, darunter unzureichende Risikobewertungen, nicht sicher durchgeführte geplante Arbeiten, unzureichende Redundanz, ungenügende Prüfung eines Unterauftragnehmers und verspätete Meldungen an die Behörde. Im endgültigen Beschluss hielt die Nkom an der im Februar 2025 angekündigten Höhe fest; die Beschwerdefrist lief bis 8. September 2025.

Behörde / Gericht

Nasjonal kommunikasjonsmyndighet (Nkom)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

ekomloven (lov 4. juli 2003 nr. 83), sikkerhetsloven (lov 1. juni 2018 nr. 24), ekomforskriften, nummerforskriften, klassifiseringsforskriften, virksomhetssikkerhetsforskriften

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Veröffentlicht

03.07.2025

Originalbetrag 50.000.000 NOK, umgerechnet zum EZB-Referenzkurs vom 03.07.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Der SaaS-Anbieter betreibt für lizenzierte Geldverleiher ein an das Kreditbüro für Geldverleiher angebundenes System, in das die Kunden Daten von Kreditantragstellern und Schuldnern eingeben; im Juni 2024 übernahm ein Angreifer über eine verwundbare Webanwendung das Systemadministratorkonto des SQL-Servers, das nur mit einem leicht zu erratenden Passwort geschützt war, löschte Datenbanken und leitete Daten von 190.589 Personen samt Kreditauskunftsdaten aus, die im Darknet angeboten wurden. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (unzureichende Zugriffskontrolle, keine Schwachstellen- oder Penetrationstests) und hielt wegen der Rolle als Anbieter, der ihm anvertraute Kundendaten verarbeitet, eine Geldbuße von 17.500 SGD für angemessen; den Antrag auf Erlass oder Minderung wies sie ab. Zusätzlich muss das Unternehmen für sein neues Netz binnen neun Monaten die Cyber-Trust-Mark-Zertifizierung der Cyber Security Agency of Singapore (CSA) erlangen.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

03.07.2025

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 03.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Ein Unbekannter registrierte mit dem Ausweis einer Kundin bei einem Vodafone-Partnershop mindestens 15 Prepaid-Nummern auf ihren Namen. Die Datenschutzbehörde verhängte mit Entscheidung 27/2025 gegen Vodafone 350.000 Euro (Auftragsverarbeitung, Art. 28), 200.000 Euro (Datenrichtigkeit) und 150.000 Euro nach dem griechischen ePrivacy-Gesetz und verwarnte das Unternehmen, binnen drei Monaten die Aktivierung neuer Nummern technisch abzusichern (etwa durch eine SMS an den Bestandskunden); der Shop (Personengesellschaft, anonymisiert) erhielt 40.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 5 Abs. 1 lit. d, Art. 28 Abs. 1 und 3 DSGVO; Art. 12 Gesetz 3471/2006

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ein Hinweisgeber meldete 2021 Zahlungen von Tochtergesellschaften in Indonesien, Malaysia, Vietnam, Thailand und Indien an Vertragspartner; ermittelt wurde wegen Bestechung im privaten Sektor und ausländischer Amtsträger. Die CJIP sieht 16.074.511 EUR Geldauflage (inkl. 1 Mio. EUR bereits beschlagnahmt) und ein dreijähriges AFA-Compliance-Programm vor.

Behörde / Gericht

Parquet national financier (PNF); Validierung durch das Tribunal judiciaire de Paris

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Art. 41-1-2 Code de procédure pénale (CJIP); Bestechung im privaten Sektor und ausländischer Amtsträger

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Verschulden

vorsätzlich

Haftung von Führungskräften

Die CJIP regelt nicht die strafrechtliche Lage natürlicher Personen.

Veröffentlicht

19.06.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink