Wer wurde wofür sanktioniert?

Der Anbieter webbasierter Systeme für Krankmeldungen, Rehabilitation und Arbeitsschutzvorfälle wurde im August 2025 gehackt; die erbeuteten Personendaten tauchten kurz darauf im Darknet auf. Die IMY stellte fest, dass trotz hohen Schutzbedarfs keine ausreichenden Sicherheitsmaßnahmen und keine automatische Echtzeitüberwachung auf Angriffe bestanden, wertete dies als fahrlässig und verhängte 1.800.000 Kronen.

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

22.09.2026

Originalbetrag 1.800.000 SEK, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die beiden Unternehmen teilten von Dezember 2012 bis Juni 2022 Kunden für Fahrzeugortungs- und elektronische Fahrtenbuchdienste auf und stimmten Angebote ab, auch in öffentlichen Ausschreibungen. Erstinstanzlich erhielten O2 262,32 Mio. CZK und SHERLOG 18,357 Mio. CZK sowie ein sechsmonatiges Verbot öffentlicher Aufträge; bei O2 wurde statt des Vergabeverbots die Geldbuße erhöht.

Behörde / Gericht

Úřad pro ochranu hospodářské soutěže (ÚOHS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Tschechisches Wettbewerbsgesetz, Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Veröffentlicht

26.08.2026

Originalbetrag 280.677.000 CZK, umgerechnet zum EZB-Referenzkurs vom 26.08.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Über eine Software-Schwachstelle in einer von KDDI entwickelten und mehreren Internetprovidern bereitgestellten Mailplattform erbeuteten Unbefugte die Zugangsdaten (Mailadresse und Passwort) von 12.231.954 Personen; 7.616.173 Passwörter lagen im Klartext, sodass Postfächer einsehbar waren (entdeckt am 17. Juni 2026). Die Behörde erteilte KDDI eine Anleitung (指導) nach Art. 147 APPI, die technischen Sicherheitsmaßnahmen zu verbessern, weil die Zugriffskontrollen gegen die Ausbreitung von Angreifern unzureichend waren, verlangte bis 19. Oktober 2026 einen Bericht und erteilte auch einzelnen Providern, auf die die Klartextspeicherung zurückging, eine solche Anleitung.

Behörde / Gericht

Personal Information Protection Commission (PPC, 個人情報保護委員会)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Act on the Protection of Personal Information (APPI, 個人情報の保護に関する法律) Art. 147, Art. 146 Abs. 1

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

19.08.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Das Bundeskartellamt erklärte Verpflichtungszusagen von Apple zum App Tracking Transparency Framework (ATTF) für bindend und schloss damit sein Verfahren nach § 19a Abs. 2 GWB und Art. 102 AEUV ab. Nach vorläufiger Bewertung mussten Drittanbieter-Apps für personalisierte Werbung zusätzlich eine von Apple vorgegebene, abschreckender gestaltete Zustimmungsabfrage einholen, während Apple für eigene Angebote eine eigene Abfrage nutzte; künftig werden die Abfragefenster inhaltlich, sprachlich und optisch neutral angeglichen, und App-Anbieter können erforderliche Abfragen besser miteinander verbinden.

Behörde / Gericht

Bundeskartellamt

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

§ 19a Abs. 2 GWB, Art. 102 AEUV (Verpflichtungszusagen, Az. B7-54/25)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

17.08.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Angreifer kopierten Zertifikate aus verlorenen Femtozellen der KT Corporation in selbst gebaute Geräte, waren damit rund elf Monate unbemerkt mit dem Mobilfunknetz verbunden, fingen Daten von 16.647 Teilnehmern ab (Telefonnummer, IMSI, IMEI) und lösten mit abgefangenen Bestätigungscodes unberechtigte Handyzahlungen von rund 240 Mio. KRW bei 368 Betroffenen aus. Die Behörde verhängte wegen mangelhafter Zugangskontrolle – zehn Jahre gültige Zertifikate, keine IP-Beschränkung, keine Erkennung fremder Cell-IDs – ein Bußgeld (Penalty Surcharge) von 53.979.000.000 KRW und ordnete Schwachstellenprüfungen und eine Stärkung des Datenschutzbeauftragten an.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Sanktion nach Art. 64-2(1) Nr. 9; gesonderter Beschluss 제2026-015-094호: Art. 63(1)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen Kooperation, Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren.

Haftung von Führungskräften

Angeordnet wurde, Verantwortung und Rolle des Datenschutzbeauftragten (CPO) für das gesamte Unternehmen klar festzulegen und die Governance zu überarbeiten.

Veröffentlicht

30.07.2026

Originalbetrag 53.979.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 29.07.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Mit zwei Entscheidungen stellte die Kommission fest, dass Google in der Suche eigene Dienste bevorzugt (460 Mio. Euro) und App-Entwickler bei Google Play daran hindert, Kunden auf alternative Angebote zu lenken (430 Mio. Euro). Google wurde angewiesen, die Verstöße abzustellen.

Behörde / Gericht

Europäische Kommission

Rechtsgebiet

KI und digitale Regulierung · Plattformpflichten

Rechtsgrundlage

Verordnung (EU) 2022/1925 (DMA), Selbstbevorzugungsverbot und Anti-Steering-Pflicht

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

23.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Garante verhängte gegen TIM eine Geldbuße von 9.516.000 EUR, weil Callcenter außerhalb des offiziellen Vertriebsnetzes im Auftrag des Unternehmens Werbeanrufe über nicht im Betreiberregister ROC erfasste oder verfälschte Rufnummern (Spoofing) tätigten – oft an im Widerspruchsregister eingetragene Anschlüsse – und die so gewonnenen Kontakte über fingierte Rückrufwünsche auf Webformularen von Vertriebspartnern als scheinbar rechtmäßige Leads in die Systeme gelangten. Die Behörde warf TIM unzureichende Auswahl und Überwachung der Vertriebspartner sowie systematisch fehlende oder verspätete Antworten auf Auskunfts-, Lösch- und Widerspruchsanträge vor. Zusätzlich muss TIM das Lead-Verfahren absichern, die Kontrolle der Vertriebskette verstärken und die Verfahren für Betroffenenrechte anpassen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 5, 6, 7, 12, 15–22, 24, 25, 28 und 32 DSGVO; Art. 130 Codice in materia di protezione dei dati personali (D.Lgs. 196/2003)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Mildernd berücksichtigt: kurzer Zeitraum und begrenzte Zahl Betroffener, während des Verfahrens ergriffene Maßnahmen (u. a. Kontrollen und Vertragsbeendigungen bei Partnern), hohe Kooperation, keine besonderen Kategorien personenbezogener Daten, Beitritt zum Telemarketing-Verhaltenskodex und erhebliche Investitionen in die Kontrolle der Vertriebskette.

Veröffentlicht

31.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die CNIL verhängte gegen das IT- und Ingenieurberatungsunternehmen EXTIA eine Geldbuße von 300.000 EUR, weil von 265 im Jahr 2024 eingegangenen Löschanträgen – überwiegend von Bewerbern, vereinzelt von ehemaligen Beschäftigten – 12 gar nicht bearbeitet und 166 Antragsteller nicht über das Ergebnis informiert wurden; 27 erhielten die Antwort erst nach Ablauf der Monatsfrist. Die CNIL wertete dies als besonders fahrlässig, zumal das Unternehmen 2024 bereits zweimal von der CNIL auf seine Pflichten hingewiesen worden war (Art. 12 und 17 DSGVO).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12 und 17 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Verschulden

fahrlässig

Wiederholungsfall

ja

Mildernde Umstände

Im Verfahren löschte das Unternehmen die betroffenen Daten und informierte die Antragsteller nachträglich.

Veröffentlicht

09.09.2026

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Ein Synchronisationsfehler zwischen zwei Anwendungen ermöglichte einem Kunden, in der Mobile-App Rechnungen anderer Kunden abzurufen; zudem wurde die ohne VPN, MFA oder IP-Beschränkung öffentlich erreichbare Ticketing-Plattform angegriffen und ein sehr großer Datenbestand (u. a. Ausweiskopien, Kartendaten, IBAN) abgezogen. Bußgelder: 104.780 Lei (20.000 Euro, Art. 25) und 419.120 Lei (80.000 Euro, Art. 32), insgesamt 523.900 Lei; dazu Anordnung eines Test- und Änderungsmanagements. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 25 Abs. 1, Art. 32 Abs. 1 lit. b und d, Abs. 2 und 4 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

17.07.2026

Originalbetrag 523.900 RON, umgerechnet zum EZB-Referenzkurs vom 17.07.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die BaFin setzte gegen das Softwareunternehmen eine Geldbuße von 240.000 Euro fest, weil es die Information über einen erlittenen Cyberangriff nicht unverzüglich als Insiderinformation veröffentlicht hatte. Der Bußgeldbescheid ist rechtskräftig.

Behörde / Gericht

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten

Rechtsgrundlage

Art. 17 Abs. 1 UAbs. 1 MAR (EU) Nr. 596/2014

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Controladoria-Geral da União (CGU) verhängte gegen die RSX Informática Ltda. eine Geldbuße von 8.794.574,67 BRL, die außerordentliche Veröffentlichung der Entscheidung und eine dreijährige Sperre für Vergaben und Verträge mit der Union samt Streichung aus dem Lieferantenregister SICAF. Anlass war Betrug bei einer Ausschreibung (pregão nº 5/2017) des früheren Ministeriums für nationale Integration und bei den daraus folgenden Verträgen; über die Rahmenpreisvereinbarung schlossen weitere Bundesstellen, darunter das Sozialversicherungsinstitut INSS mit einem Softwarevertrag, ohne eigene Ausschreibung Verträge mit dem Unternehmen.

Behörde / Gericht

Controladoria-Geral da União (CGU)

Rechtsgebiet

Korruption und Bestechung

Rechtsgrundlage

Lei nº 12.846/2013, Art. 5 IV d, Art. 6 I und II; Lei nº 10.520/2002, Art. 7

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

10.07.2026

Originalbetrag 8.794.574,67 BRL, umgerechnet zum EZB-Referenzkurs vom 09.07.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Der Garante verhängte gegen die US-Betreiberin des generativen KI-Dienstes Character.AI, auf dem Nutzer – auch Minderjährige – mit virtuellen Figuren chatten, eine Geldbuße von 158.000 EUR, unter anderem wegen mangelhafter Datenschutzinformationen, einer verspätet erstellten Datenschutz-Folgenabschätzung und der verspäteten Benennung eines Vertreters in der EU. Beanstandet wurden auch Schwächen beim Schutz Minderjähriger und bei der Altersprüfung; binnen 120 Tagen muss das Unternehmen eine funktionierende Altersverifikation, eine wirksame Sperrfrist gegen erneute Registrierung gesperrter Minderjähriger und standardmäßig private Profile für Minderjährige sicherstellen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 2, 12 Abs. 1, 13 Abs. 1 und 2, 14 Abs. 1 und 2, 24 Abs. 1, 25 Abs. 2, 27 Abs. 1 und 35 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Mildernd: schrittweise verstärkte Altersprüfung (eigener Dienst für Minderjährige, Altersverifikation durch einen Drittanbieter), keine früheren einschlägigen Verstöße, Kooperation und Änderungen der Datenschutzerklärung während des Verfahrens.

Veröffentlicht

09.07.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Nach knapp vier Jahren Rechtsstreit hat das Bundesbezirksgericht für Idaho eine zwischen der FTC und dem Datenhändler Kochava vereinbarte Anordnung erlassen. Die FTC hatte Kochava vorgeworfen, präzise Standortdaten von Hunderten Millionen Mobilgeräten ohne Wissen und Einwilligung der Betroffenen verkauft zu haben, aus denen sich etwa Besuche bei Gesundheitseinrichtungen und Gotteshäusern ablesen ließen. Kochava und die Tochter Collective Data Solutions, die das Datenhandelsgeschäft übernommen hat, dürfen sensible Standortdaten nur noch mit ausdrücklicher Einwilligung und für vom Verbraucher angeforderte Dienste weitergeben und müssen unter anderem ein Programm für sensible Orte, Prüfungen ihrer Datenlieferanten, Auskünfte über Empfänger und Löschfristen einführen; eine Geldzahlung ist nicht vorgesehen. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. District Court for the District of Idaho auf Klage der Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Section 5 FTC Act, 15 U.S.C. § 45 (unlautere Praktiken); Verfahren nach Section 13(b), 15 U.S.C. § 53(b)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

26.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die drei größten Pay-TV-Anbieter vereinbarten mit Unterstützung eines Beratungsunternehmens von 2019 bis Mai 2025, Werbung als Bedingung für den Zugriff auf Aufzeichnungen einzuführen und die Vermarktung dieser Werbeflächen zu vereinheitlichen. Die Wettbewerbsbehörde verhängte gegen drei Unternehmen 8.181.000 Euro; mit dem bereits zuvor im Vergleich sanktionierten vierten Beteiligten summieren sich die Bußen auf 13.351.000 Euro. Die Namen veröffentlichte die AdC wegen laufender Gerichtsverfahren nicht in der Mitteilung.

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Lei da Concorrência (Lei n.º 19/2012), Art. 9.º (Processo PRC/2020/4)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

05.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut FTC-Beschwerde versprach Illuminate Schulen Datensicherheit, schützte seine Cloud-Datenbanken aber nicht angemessen, obwohl ein Dienstleister fast zwei Jahre vorher auf Schwachstellen hingewiesen hatte; ein Hacker griff auf Daten von 10,1 Mio. Schülern inkl. Gesundheitsangaben zu. Die Anordnung verlangt ein Informationssicherheitsprogramm, Datenminimierung und einen öffentlichen Löschplan und untersagt Falschangaben zu Sicherheit und Meldefristen.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

FTC Act (Verbot unlauterer und irreführender Praktiken)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

05.06.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Anbieter eines Reisebuchungssystems stellte der im Mai 2022 gelisteten Ural Airlines weiter Leistungen bereit, forderte Zahlungen über rund 906.600 USD an und suchte nach dem Einfrieren durch die Bank nach alternativen Zahlungswegen, was OFSI als Umgehung wertete. Fehlende Eskalation beim Rollenwechsel, vakante Leitungsfunktionen in Recht und Compliance, auf US-Recht fokussierte Richtlinien und ein Screening, das die Listung nicht meldete, trugen bei. Laut beim britischen Unternehmensregister hinterlegtem Jahresabschluss für das Geschäftsjahr 2024 hatte das Unternehmen rund 150 Beschäftigte.

Behörde / Gericht

HM Treasury, Office of Financial Sanctions Implementation (OFSI)

Rechtsgebiet

Sanktionen und Exportkontrolle · Verstöße gegen Sanktionen und Embargos

Rechtsgrundlage

Russia (Sanctions) (EU Exit) Regulations 2019, regs. 13, 14, 19

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

50 bis 249

Mildernde Umstände

Freiwillige Offenlegung (31.10.2022) und volle Kooperation; Vergleich unter dem neuen Settlement-Verfahren

Veröffentlicht

17.06.2026

Originalbetrag 1.000.920,59 GBP, umgerechnet zum EZB-Referenzkurs vom 26.05.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Angreifer gaben sich als technischer Support aus, verleiteten Mitarbeitende von Verkaufsstellen zur Freigabe von Systemzugängen und erbeuteten Daten von über 365.000 Kunden, bei 41.359 auch Zahlungsdaten. Die Garante rügte mangelhafte Verwaltung von Zugangsdaten und digitalen Zertifikaten sowie unzureichende Sicherheitsbewertungen und verhängte 1.715.600 Euro.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO (Integrität und Vertraulichkeit, Art. 32)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

16.07.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

KT Corporation hatte im eigenen Onlineshop für die Vorbestellung des Galaxy S25 erklärt, Vorteile gälten, sofern kein Ende der Aktion angezeigt werde, beschränkte sie dann aber auf die ersten 1.000 Bestellungen und stornierte einseitig 7.127 Vorbestellungen, die über einen YouTube-Kanal und Genie TV eingegangen und bereits vollständig abgeschlossen waren. Die Behörde wertete dies als falsche Angabe über wesentliche Bedingungen und als ungerechtfertigte Verweigerung des Vertragsschlusses nach dem Telecommunications Business Act (전기통신사업법), verhängte ein Bußgeld von 640.000.000 KRW und ordnete an, Zusatzvorteile bei Vorbestellungen künftig klar erkennbar anzugeben.

Behörde / Gericht

Korea Media and Communications Commission (KMCC, 방송미디어통신위원회)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Telecommunications Business Act (전기통신사업법) Art. 50(1) Nr. 5 und Nr. 5-2

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

08.05.2026

Originalbetrag 640.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 08.05.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Vier australische Gesellschaften der Canva-Gruppe reichten ihre Jahresabschlüsse für das Geschäftsjahr 2024 nicht bis zum Stichtag 30. April 2025 bei der ASIC ein; der konsolidierte Bericht folgte erst am 27. März 2026. Die ASIC erließ je Gesellschaft einen Bußgeldbescheid über mutmaßlich 198.000 AUD (zusammen 792.000 AUD); die Bescheide wurden bezahlt, was nicht als Schuldeingeständnis gilt.

Behörde / Gericht

Australian Securities and Investments Commission (ASIC)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten

Rechtsgrundlage

s 319(1) Corporations Act 2001 (Cth); Bußgeldbescheide nach s 1317DAM

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

06.05.2026

Originalbetrag 792.000 AUD, umgerechnet zum EZB-Referenzkurs vom 28.04.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die Datenschutzbeauftragte stellte fest, dass die Mietbewerbungsplattform 2Apply von März 2020 bis März 2025 mehr personenbezogene Daten erhob als erforderlich, etwa Geschlecht, Studierendenstatus, Staatsbürgerschaft, Visumsablauf und frühere Wohnverhältnisse, und dabei durch Gestaltungsmittel wie „Confirmshaming“, einseitige Darstellung und gebündelte Einwilligungen unfair vorging. Die Entscheidung verpflichtet IRE, diese Datenerhebung binnen 60 Tagen einzustellen, eine unabhängige Prüfung zu beauftragen und der OAIC binnen zwölf Monaten über die Umsetzung der Empfehlungen zu berichten.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

APP 3.2 und APP 3.5 (Privacy Act 1988 (Cth)); Feststellungen nach s 52(1A)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

IRE passte seine Erhebungspraxis während der Untersuchung an, ohne eine Rechtsverletzung anzuerkennen.

Veröffentlicht

22.04.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Singtel Optus fragte Kundinnen und Kunden, die ihre Rufnummer zu Optus mitnahmen, ob sie im Telefonbuch stehen wollen, setzte den Wunsch nach einer nicht eingetragenen Nummer zwischen Oktober 2015 und September 2019 aber nicht um, sodass 41.278 Betroffene in den White Pages veröffentlicht blieben. Die Privacy Commissioner stellte einen Verstoß gegen APP 11.1 fest, weil Optus das über den ganzen Zeitraum bekannte Fehlerrisiko nicht mit angemessenen Schritten wie regelmäßigen Systemabgleichen beseitigte, und erklärte, dass das Unternehmen dieses Verhalten nicht wiederholen darf. Über Entschädigungen will die Behörde gesondert im Verfahren über eine Sammelbeschwerde (representative complaint) zum selben Sachverhalt entscheiden.

Behörde / Gericht

Office of the Australian Information Commissioner (OAIC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Privacy Act 1988 (Cth) s 13(1), APP 11.1; Erklärung nach s 52(1A)(a)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

11.06.2026

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

OFSI verhängte am 19. März 2026 gegen die in Irland ansässige Apple Distribution International Limited im Rahmen eines Vergleichs eine Geldbuße von 390.000 Pfund. Nach den Feststellungen von OFSI wies das Unternehmen, das Erlöse an Softwareentwickler eines App-Marktplatzes auszahlt, über ein britisches Bankkonto im Juni und Juli 2022 zwei Zahlungen von zusammen 635.618,75 Pfund an einen russischen App-Entwickler an, der im Eigentum einer gelisteten Einheit stand, und stornierte die Anweisungen nicht. Als Ursachen nannte OFSI unter anderem das Vertrauen auf Selbstauskünfte der Entwickler und auf Daten eines Drittanbieters. Das Unternehmen hatte die Zahlungen am 4. Oktober 2022 selbst offengelegt. Der Vergleich kam nach einer Absichtsmitteilung vom 11. November 2025 unter dem im Februar 2026 eingeführten Vergleichsverfahren zustande; gegen die Konzernmutter traf OFSI keine Feststellungen. Quelle: Office of Financial Sanctions Implementation (OFSI), HM Treasury, „Imposition of monetary penalty: Apple Distribution International Limited“, 30.03.2026, https://www.gov.uk/government/publications/imposition-of-monetary-penalty-apple-distribution-international-limited. Enthält Informationen des öffentlichen Sektors, lizenziert unter der Open Government Licence v3.0 (https://www.nationalarchives.gov.uk/doc/open-government-licence/version/3/).

Behörde / Gericht

HM Treasury, Office of Financial Sanctions Implementation (OFSI)

Rechtsgebiet

Sanktionen und Exportkontrolle · Verstöße gegen Sanktionen und Embargos

Rechtsgrundlage

Russia (Sanctions) (EU Exit) Regulations 2019, reg. 12; Geldbuße nach s. 146 Policing and Crime Act 2017 (Settlement)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

30.03.2026

Originalbetrag 390.000 GBP, umgerechnet zum EZB-Referenzkurs vom 19.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Die Telekom-Infrastrukturgesellschaft Míla hf. räumte in einem Vergleich mit Samkeppniseftirlitið ein, von Oktober 2023 bis Dezember 2024 gegen die Auflagen aus dem Vergleich vom September 2022 zur Übernahme durch Ardian verstoßen zu haben: Häufigkeit und Umfang ihrer Kontakte zu Síminn waren geeignet, dessen Anreiz zu schwächen, über die vertragliche Abnahmepflicht hinaus Vorleistungen bei Míla-Wettbewerbern einzukaufen. Míla zahlt eine Geldbuße von 200.000.000 ISK und übernimmt zusätzliche Auflagen; zugleich wurden einzelne Auflagen wegen veränderter Marktverhältnisse auf Gebiete mit erheblicher Marktmacht von Míla beschränkt.

Behörde / Gericht

Samkeppniseftirlitið

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Verstoß gegen Fusionsauflagen (Art. 4 und 8 eines früheren Vergleichs); Vergleich nach Art. 17f Abs. 1 Samkeppnislög Nr. 44/2005 (isländisches Wettbewerbsgesetz)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

19.03.2026

Originalbetrag 200.000.000 ISK, umgerechnet zum EZB-Referenzkurs vom 18.03.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Excom Global warb von Februar 2020 bis Mai 2024 für seinen Verleih mobiler WLAN-Router für Auslandsreisen („Imoto no WiFi“) in Anzeigen in Reiseführern und auf eigenen Websites mit Platz 1 bei Kundenzufriedenheit, bei der Wahl durch Auslandsreisende und beim Kundenservice. Die beauftragte Umfrage fragte, ohne eine tatsächliche Nutzung zu prüfen, nur nach dem Eindruck der Websites des Unternehmens und neun willkürlich ausgewählter Wettbewerber und wurde zudem nicht korrekt wiedergegeben; festgesetzt wurde ein Surcharge von 172.620.000 JPY.

Behörde / Gericht

Consumer Affairs Agency (消費者庁, CAA)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 8 Abs. 1 i. V. m. Art. 5 Nr. 1 Act against Unjustifiable Premiums and Misleading Representations (不当景品類及び不当表示防止法, Gesetz Nr. 134/1962)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

12.03.2026

Originalbetrag 172.620.000 JPY, umgerechnet zum EZB-Referenzkurs vom 12.03.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach sechs Beschwerden stellte die Behörde fest, dass das Unternehmen Kunden, die Aufzeichnungen ihrer Verkaufsgespräche zur Reklamation von Rechnungen verlangten, keine Kopie herausgab, sondern nur ein Anhören über den Kundendienst anbot und Aufzeichnungen teils löschte. Neben einer Verwarnung wurde ein Bußgeld von 5.000 EUR verhängt.

Behörde / Gericht

Tietosuojavaltuutetun toimisto – seuraamuskollegio (Datenschutzbeauftragter, Sanktionsgremium)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO Art. 15 Abs. 1 und 3

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

25.03.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Pariser Anbieter von Wett- und Spielterminals zahlte 2008 bis 2011 ungerechtfertigte 78.972 EUR an einen Amtsträger eines mehrheitlich staatlichen Unternehmens in Mali, mit dem er einen ohne Ausschreibung vergebenen Liefervertrag hatte. Auslöser war eine TRACFIN-Meldung. Geldauflage 499.150 EUR (inkl. 335.000 EUR bereits beschlagnahmt) und dreijähriges AFA-Compliance-Programm.

Behörde / Gericht

Parquet national financier (PNF); Validierung durch den Präsidenten des Tribunal judiciaire de Paris

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

Art. 41-1-2 Code de procédure pénale (CJIP); Bestechung ausländischer Amtsträger und Geldwäsche

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

50 bis 249

Verschulden

vorsätzlich

Haftung von Führungskräften

Die CJIP regelt nicht die strafrechtliche Lage natürlicher Personen.

Veröffentlicht

18.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Orange Polska hatte zum 4. April 2022 in laufenden Prepaid-Verträgen einseitig eine Gebühr für die Aufrechterhaltung der Rufnummer eingeführt, ohne dass Gesetz oder Vertrag diese Änderung erlaubten, und auf Starterpaketen sowie der Website nicht über diese Gebühr informiert. Das UOKiK wertete beides als unlautere Praktiken und verhängte Geldbußen von 17.325.000 und 7.425.000 PLN, zusammen 24.750.000 PLN. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Prezes Urzędu Ochrony Konkurencji i Konsumentów (UOKiK)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 24 Abs. 2 Nr. 3 und Art. 27 ustawa o ochronie konkurencji i konsumentów i. V. m. Art. 4 und Art. 6 ustawa o przeciwdziałaniu nieuczciwym praktykom rynkowym

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Originalbetrag 24.750.000 PLN, umgerechnet zum EZB-Referenzkurs vom 30.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Der Anbieter einer Verwaltungs-Software und App für Sportvereine wurde im Januar 2025 Opfer eines Datenabflusses durch einen externen Angreifer. Die IMY stellte fest, dass vor und zum Zeitpunkt des Vorfalls keine angemessenen technischen und organisatorischen Sicherheitsmaßnahmen bestanden, obwohl überwiegend Daten von Kindern und auch Gesundheitsangaben (Allergien, Behinderungen) verarbeitet wurden, und verhängte 6 Mio. SEK; bei der Bemessung berücksichtigte sie den Konzernumsatz der Lime-Gruppe 2024 (rund 685,7 Mio. SEK).

Behörde / Gericht

Integritetsskyddsmyndigheten (IMY)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

DSGVO Art. 32 Abs. 1

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Schnelle, umfassende Information der Vereine und Betroffenen nach dem Vorfall; Unterstützung von rund 1.700 Vereinen bei ihren Meldungen innerhalb von 72 Stunden.

Veröffentlicht

26.01.2026

Originalbetrag 6.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 26.01.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Konkurences padome stellte fest, dass SIA „Burde B.V.“ als in Lettland einziger Vertreiber von Softwarelizenzen für Gatso-RT4-Radaranlagen der staatlichen Gesellschaft CSDD, die die Anlagen im staatlichen Auftrag betreibt und auf diese Lizenzen angewiesen war, von September 2022 bis Juli 2023 überhöhte Preise berechnete; binnen eines halben Jahres stieg der Preis um rund 260 %. Sie wertete dies als Missbrauch einer marktbeherrschenden Stellung und verhängte 24.199,25 EUR. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Konkurences padome (Lettischer Wettbewerbsrat)

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 13 Abs. 1 Nr. 4 Konkurences likums (Wettbewerbsgesetz)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Veröffentlicht

04.02.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Datatilsynet verhängte gegen den Anbieter von Zeiterfassungssystemen Timegrip AS ein Bußgeld von 250.000 NOK, weil das Unternehmen nach der Insolvenz einer Einzelhandelskette 80 früheren Beschäftigten die Auskunft über ihre Stempeldaten verweigerte, die sie zum Nachweis ihrer Lohnforderungen brauchten. Die Behörde stufte Timegrip als Verantwortlichen ein, weil das Unternehmen nach der Insolvenz faktisch allein über Speicherung, Nutzung und Zugang entschied, und sah einen Verstoß gegen das Auskunftsrecht nach Art. 15 Abs. 1 und 3 DSGVO. Angekündigt waren 750.000 NOK; die Behörde berücksichtigte u. a. die unübersichtliche Lage und die eigene lange Verfahrensdauer.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 15 Abs. 1 und 3, Art. 58 Abs. 2 lit. i, Art. 83 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Mildernde Umstände

Unübersichtliche Lage nach der Insolvenz des Kunden (nur begrenzt gewichtet) und lange Verfahrensdauer bei Datatilsynet; angekündigt waren 750.000 NOK.

Veröffentlicht

20.01.2026

Originalbetrag 250.000 NOK, umgerechnet zum EZB-Referenzkurs vom 16.01.2026.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Controladoria-Geral da União (CGU) verhängte gegen die Linkcon Ltda. eine Geldbuße von 21.521.878,64 BRL, die außerordentliche Veröffentlichung der Entscheidung und eine zweijährige Sperre für Vergaben und Verträge mit der Union. Nach dem Abschlussbericht wurden eine elektronische Ausschreibung der Hafengesellschaft Companhia Docas do Rio de Janeiro (PE 17/2016) und die daraus hervorgegangene Rahmenpreisvereinbarung über simulierte Preisumfragen zugunsten des Unternehmens gelenkt; zudem legte es ein falsches Dokument vor, um als kleines Unternehmen (EPP) eingestuft zu werden. Den Antrag auf Überprüfung wies die CGU am 30.07.2026 zurück. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Controladoria-Geral da União (CGU)

Rechtsgebiet

Korruption und Bestechung

Rechtsgrundlage

Lei nº 12.846/2013, Art. 5 IV a, Art. 6 I und II; Lei nº 10.520/2002, Art. 7

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

12.01.2026

Originalbetrag 21.521.878,64 BRL, umgerechnet zum EZB-Referenzkurs vom 09.01.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Nach einem Angriff im Oktober 2024, bei dem Daten zu rund 24 Mio. Kundenverträgen einschließlich IBAN abflossen, verhängte die CNIL 27 Mio. Euro gegen Free Mobile und 15 Mio. Euro gegen Free (zusammen 42 Mio. Euro). Beanstandet wurden ein VPN-Zugang ohne ausreichende Authentifizierung, mangelhafte Erkennung auffälliger Zugriffe, unvollständige Benachrichtigung der Betroffenen und bei Free Mobile überlange Speicherung von Altverträgen; zusätzlich ergingen Anordnungen mit Fristen.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. e, Art. 32, Art. 34 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Während des Verfahrens Einführung von Mehr-Faktor-Authentifizierung, eines Security Operations Centers und verbesserter Protokollierung.

Veröffentlicht

14.01.2026

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Anbieter cloudbasierter HR-Software erhielt im April 2024 eine Erpresser-E-Mail; ein Angreifer hatte Datenbanken auf seinen AWS-Servern gelöscht und wahrscheinlich Daten ausgeleitet, mutmaßlich entwendete Daten wurden im Darknet angeboten – gefährdet waren Daten von 95.000 Beschäftigten seiner Kunden (u. a. Ausweisnummer, Gehalt, Bankkonto, Religion) sowie von 24.765 Notfallkontakten und Kindern. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil der Anbieter trotz der ihm von Kunden anvertrauten Personaldaten keine Web Application Firewall gegen vorhandene SQL-Injection-Lücken, einen offen aus dem Internet erreichbaren Remote-Desktop-Zugang ohne Zwei-Faktor-Authentifizierung und nur alle zwei Jahre Schwachstellenscans hatte. Sie verhängte 17.500 SGD, wegen der Liquiditätslage zahlbar in zwölf Monatsraten, und ordnete u. a. eine Web Application Firewall, jährliche Penetrationstests, Zwei-Faktor-Authentifizierung und die Verschlüsselung aller Personaldatenfelder an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß; Ratenzahlung mit Rücksicht auf die Liquidität, ein Erlass wurde abgelehnt.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 08.01.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

AGCOM hatte Cloudflare im Februar 2025 (Delibera 49/25/CONS) als an der Erreichbarkeit rechtswidriger Inhalte beteiligten Diensteanbieter verpflichtet, die DNS-Auflösung und die Weiterleitung von Datenverkehr zu den über die Plattform „Piracy Shield“ gemeldeten Domains und IP-Adressen zu unterbinden. Weil das Unternehmen auch nach Zustellung der Anordnung keine Maßnahmen ergriff, verhängte die Behörde 14.247.698,56 EUR – 1 % des weltweiten Umsatzes bei einem gesetzlichen Rahmen von bis zu 2 %.

Behörde / Gericht

Autorità per le garanzie nelle comunicazioni (AGCOM)

Rechtsgebiet

KI und digitale Regulierung · Plattformpflichten

Rechtsgrundlage

Art. 1 Abs. 31 Legge 249/1997 i. V. m. Legge 93/2023 (Anti-Piraterie-Gesetz) und Anordnung Delibera 49/25/CONS

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Keine früheren Sanktionen dieser Art; weil die Vorschrift erstmals gegen das Unternehmen angewandt wurde, blieb die Behörde unter dem Höchstsatz.

Veröffentlicht

08.01.2026

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Im August 2024 verschlüsselte ein Angreifer ein von SESAMi und ihrer Tochter Abecha gemeinsam genutztes Netzlaufwerk mit Zahlungsdaten (u. a. vollständige Kreditkartennummern und Kontodaten) von rund 20.471 Kunden eines Kraftstoff-Flottenrabattprogramms der Tochter und bis zu 18.837 Personen aus der Registrierung für SESAMis B2B-Plattform; eine Ausleitung ließ sich nicht nachweisen. Die Datenschutzbehörde PDPC stufte SESAMi, das das Netz ohne schriftlichen Vertrag für die Tochter betrieb, insoweit als Auftragsverarbeiter (data intermediary) ein und stellte bei SESAMi einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (u. a. veraltete Firewall- und VPN-Firmware, kein Patch-Management, nicht durchgesetzte Passwort- und MFA-Regeln), ebenso bei Abecha, die als Verantwortliche nichts unternommen hatte, um angemessene Sicherheit bei SESAMi sicherzustellen. SESAMi erhielt 8.750 SGD und Anordnungen, Abecha als verantwortliche Stelle nur Anordnungen, darunter eine schriftliche Regelung der Rollen und Datenschutzpflichten im Konzern.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 4(3) PDPA (Pflichten bei Einsatz eines Data Intermediary); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Kooperation, rasche und wirksame Abhilfe, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure); bei Abecha zudem geringere Schuld wegen begrenzter Eigenständigkeit als hundertprozentige Tochter, einer der Gründe, von einer Geldbuße gegen sie abzusehen.

Veröffentlicht

26.02.2026

Originalbetrag 8.750 SGD, umgerechnet zum EZB-Referenzkurs vom 29.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nexpublica entwickelte und betrieb als Auftragsverarbeiter die Fallverwaltungssoftware „Public CRM“ für die Behindertenbehörde MDPH Nord. Nach zwei Datenpannen 2022 zeigten Audits seit 2021 bestehende kritische Schwachstellen, etwa veraltetes SHA-1-Hashing; die CNIL verhängte 1,7 Mio. Euro direkt gegen den Dienstleister.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Im August 2020 vereinbarten die Betreiber der elektronischen Klassenbücher „Tamo“ und „Eduka“, nicht mehr zu konkurrieren: Die eine Gruppe behielt das Klassenbuch-Geschäft, die andere übernahm die digitalen Lerninhalte. Nach Anerkennung des Verstoßes wurden die Bußen um 15 % gesenkt: 2.714.940 Euro gesamtschuldnerisch für die Snowball.xyz-Gruppe und 913.340 Euro für die AL holdingas-Gruppe (Art. 101 AEUV). Die Entscheidung ist anfechtbar. Quelle: Archivkopie der Pressemitteilung.

Behörde / Gericht

Konkurencijos taryba (Litauischer Wettbewerbsrat)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Konkurencijos įstatymas; Art. 101 AEUV

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Anerkennung des Verstoßes (15 % Reduktion)

Veröffentlicht

18.12.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die IT-Holding erwarb im Februar 2023 eine 50-%-Beteiligung mit negativer Alleinkontrolle am Xiaomi-Vertreiber Mystical Hungary Zrt., wandte sich aber erst nach 582 Tagen an die Wettbewerbsbehörde und meldete den Zusammenschluss danach an. Nach Selbstanzeige, Anerkenntnis und Rechtsmittelverzicht verhängte die Behörde deutlich reduzierte 32,6 Mio. HUF.

Behörde / Gericht

Gazdasági Versenyhivatal (GVH)

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Ungarisches Wettbewerbsgesetz, Vollzugsverbot

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Freiwillige Offenlegung, Anerkenntnis und Rechtsmittelverzicht.

Veröffentlicht

18.12.2025

Originalbetrag 32.600.000 HUF, umgerechnet zum EZB-Referenzkurs vom 18.12.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die AGCM wertete Apples seit 26. April 2021 geltende App-Tracking-Transparency-Richtlinie (ATT) als Ausbeutungsmissbrauch einer marktbeherrschenden Stellung: Drittentwickler von iOS-Apps mussten zusätzlich zu ihrer eigenen Einwilligungsabfrage Apples ATT-Abfrage für denselben Zweck einsetzen, eine einseitig auferlegte und unverhältnismäßige Bedingung. Gegen Apple Inc., Apple Distribution International Ltd und Apple Italia S.r.l. wurde eine Geldbuße von 98.635.416,67 Euro verhängt und die sofortige Abstellung angeordnet; Apples Ziel, die Privatsphäre zu schützen, stellte die Behörde ausdrücklich nicht in Frage.

Behörde / Gericht

Autorità Garante della Concorrenza e del Mercato (AGCM)

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. 102 AEUV; Art. 15 Legge n. 287/1990

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Mildernde Umstände

Eine nach den Leitlinien mögliche Erhöhung wegen des sehr hohen Konzernumsatzes wandte die AGCM mit Blick auf parallele Verfahren anderer Wettbewerbsbehörden gegen Apple nicht an.

Veröffentlicht

22.12.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Der Telekommunikationsanbieter bekannte sich schuldig, in Verträgen eine verbotene Klausel zur einseitigen Vertragsänderung ohne die gesetzlich geforderten konkreten Voraussetzungen verwendet und in Fernabsatzverträgen über fortlaufende Dienstleistungen Pflichtangaben weggelassen zu haben, etwa die genaue Beschreibung der Leistungen, Preis und Beschreibung von Prämiengeräten, Nutzungsbeschränkungen und geografische Grenzen. Für 50 Anklagepunkte wurden Geldstrafen von insgesamt 210.700 CAD einschließlich Kosten verhängt; die Verstöße stammten aus den Jahren 2012 und 2013.

Behörde / Gericht

Gericht in Montréal (Ermittlung: Office de la protection du consommateur (OPC); Anklage: Directeur des poursuites criminelles et pénales (DPCP))

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Informationspflichten im Onlinehandel

Rechtsgrundlage

Loi sur la protection du consommateur (RLRQ c. P-40.1), Art. 11.2 und 214.2

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

06.02.2026

Originalbetrag 210.700 CAD, umgerechnet zum EZB-Referenzkurs vom 15.12.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die CNIL verhängte gegen MOBIUS SOLUTIONS LTD, einen Anbieter von Werkzeugen für personalisierte Werbekampagnen ohne Niederlassung in der EU, 1.000.000 Euro Bußgeld: Als Auftragsverarbeiter von Deezer hatte das Unternehmen nach Vertragsende eine Kopie der Daten von mehr als 46 Millionen Nutzern behalten, die Daten ohne Weisung zur Verbesserung eigener Dienste genutzt und kein Verzeichnis seiner Verarbeitungstätigkeiten geführt (Art. 28 Abs. 3 lit. g, Art. 29, Art. 30 DSGVO). Deezer hatte der CNIL im November 2022 gemeldet, dass Nutzerdaten im Darknet aufgetaucht waren.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 28 Abs. 3 lit. g, Art. 29 und Art. 30 DSGVO (Délibération SAN-2025-014 vom 11.12.2025)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

19.12.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Am 8. Oktober 2024 fiel die Festnetztelefonie von Singtel für rund 500.000 Privat- und Geschäftskunden mehr als vier Stunden lang aus; betroffen waren auch Kundenhotlines von Behörden, Gesundheitseinrichtungen und Banken sowie Notrufdienste. Ursache war, dass die virtualisierten Firewalls des Sprachsystems und eines Überwachungssystems dieselbe Hardware nutzten, sodass eine Überlastung des unzureichend gefilterten Überwachungssystems auch das Sprachsystem störte und die automatische Umschaltung nicht sauber griff; ein Cyberangriff lag nach der Untersuchung nicht vor. Die IMDA verhängte nach dem Telecommunications Act eine Strafe von 1 Mio. SGD, weil der Vorfall für Singtel vermeidbar gewesen sei.

Behörde / Gericht

Infocomm Media Development Authority (IMDA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunications Act

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

11.12.2025

Originalbetrag 1.000.000 SGD, umgerechnet zum EZB-Referenzkurs vom 11.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach einem Verfahren der Commerce Commission verpflichtete der High Court die One New Zealand Group Limited zu einer Geldbuße (pecuniary penalty) von 1.100.000 NZD; zusätzlich zahlt das Unternehmen 100.000 NZD an die Kosten der Behörde, die im Betrag nicht enthalten sind. One NZ räumte zehn Verstöße gegen den 111 Contact Code aus den Jahren 2021 bis 2023 ein, die Informationspflichten, Aufzeichnungen und die regelmäßige Ansprache von Kunden betrafen. Der Kodex soll sicherstellen, dass schutzbedürftige Kunden, deren Festnetzanschluss bei Stromausfall nicht funktioniert, kostenlos eine andere Möglichkeit zum Notruf 111 erhalten.

Behörde / Gericht

High Court of New Zealand (Verfahren der Commerce Commission)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunications Act 2001 (Neuseeland), s 156B; 111 Contact Code

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Laut Commerce Commission korrigierte One NZ die Verstöße, sobald es ihr Ausmaß erkannte, und kooperierte vollständig bei der Untersuchung; die Verstöße wurden eingeräumt.

Veröffentlicht

01.12.2025

Originalbetrag 1.100.000 NZD, umgerechnet zum EZB-Referenzkurs vom 01.12.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Der Adresshändler (früher Kapitol) hatte Daten des Beschwerdeführers über eine Mediaagentur an einen Werbetreibenden für Direktmarketing weitergegeben, ohne eine wirksame Einwilligung nachweisen zu können. Die APD verhängte 40.000 EUR und ordnete Löschung sowie Information der Empfänger an; das Marktgericht Brüssel hob diese Teile am 03.06.2026 auf und setzte das Bußgeld selbst auf 5.000 EUR fest.

Behörde / Gericht

Autorité de protection des données (APD/GBA) – Chambre Contentieuse; Cour des marchés

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1, Art. 24

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

2022 kompromittierte ein Angreifer zunächst den Firmenlaptop eines Beschäftigten und dann den privaten Laptop eines leitenden Mitarbeiters, dessen Masterpasswort er per Keylogger abgriff. Weil privater und geschäftlicher Passwort-Tresor über dasselbe Masterpasswort verknüpft waren, gelangte er an die dort hinterlegten Zugangs- und Entschlüsselungsschlüssel und entwendete aus der Backup-Datenbank Daten von bis zu 1,6 Mio. britischen Nutzern. Laut beim britischen Unternehmensregister hinterlegtem Jahresabschluss für das Geschäftsjahr 2025 hatte das Unternehmen rund 35 Beschäftigte.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

UK GDPR Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1 lit. f

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

Unter 50

Verschulden

fahrlässig

Veröffentlicht

11.12.2025

Originalbetrag 1.228.283 GBP, umgerechnet zum EZB-Referenzkurs vom 20.11.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Der Telekommunikationsanbieter ließ einen konzernangehörigen Softwaredienstleister in Serbien mit Administratorrechten auf die gesamte SAP-CRM-Kundendatenbank zugreifen, ab Ende 2022 ohne Standardvertragsklauseln und ohne klare Information der Kunden. Die AZOP ahndete außerdem das Kopieren von Personalausweisen und Führungszeugnissen der Beschäftigten sowie die fehlende Prüfung eines Telemarketing-Dienstleisters; insgesamt 4,5 Mio. EUR.

Behörde / Gericht

Agencija za zaštitu osobnih podataka (AZOP)

Rechtsgebiet

Datenschutz · Internationale Datentransfers

Rechtsgrundlage

Art. 44, 46, 12 Abs. 1, 13 Abs. 1 lit. f, 5, 6 Abs. 1, 28 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

14.11.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der guatemaltekische Mobilfunkanbieter zahlte 2012 bis 2018 monatlich Bargeld an Kongressabgeordnete bzw. deren Sicherheitsleute, um gesetzgeberische Unterstützung zu erhalten; ein Teil der Mittel stammte aus gewaschenen Drogengeldern. Zweijähriges Deferred Prosecution Agreement mit 60 Mio. USD Strafzahlung und 58.198.343 USD administrativer Einziehung.

Behörde / Gericht

U.S. Department of Justice (Criminal Division, Fraud Section; USAO Southern District of Florida)

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

FCPA, 15 U.S.C. § 78dd-3 (Verschwörung, 18 U.S.C. § 371); Deferred Prosecution Agreement

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Mildernde Umstände

Freiwillige Selbstanzeige durch Muttergesellschaft Millicom 2015; später umfangreiche Kooperation und Abhilfe (u. a. Personaltrennungen, Compliance-Personal um 800 % erhöht).

Veröffentlicht

12.12.2025

Originalbetrag 118.198.343 USD, umgerechnet zum EZB-Referenzkurs vom 12.11.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Texas hatte Google wegen unrechtmäßiger Erfassung von Standortdaten, Aktivitäten im Inkognito-Modus und biometrischen Merkmalen verklagt. Google unterzeichnete einen Vergleich über 1,375 Mrd. $, der zwei Verfahren abschließt.

Behörde / Gericht

Office of the Attorney General of Texas

Rechtsgebiet

Datenschutz · Cookies und Tracking

Maßnahme

Sonstiges

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

31.10.2025

Originalbetrag 1.375.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei Prüfungen 2021/22 stellte die RDI fest, dass der Mobilfunkbetreiber für sein System zur gesetzlichen Telekommunikationsüberwachung keinen vorgeschriebenen Sicherheitsplan hatte, Beschäftigte mit Zugriff nicht ausreichend überprüft waren (fehlende Funktionsbeschreibungen, Geheimhaltungserklärungen, Führungszeugnisse), Unbefugte Zugang zu Abhördaten hatten und Lieferanten digital auf das System zugreifen konnten. Die RDI verhängte 1.518.750 Euro; Odido hat das System inzwischen erneuert.

Behörde / Gericht

Rijksinspectie Digitale Infrastructuur (RDI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunicatiewet Art. 15.4; Besluit beveiliging gegevens telecommunicatie (Bbgt) Art. 2, 3, 4

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

System erneuert, Risiko unbefugter Zugriffe beseitigt.

Veröffentlicht

17.10.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Während laufender Ausschreibungen für die Ausstattung von Schulen verschickte Smart Soft Dutzende gleichlautende Briefe an Schulen in der Region Plowdiw/Pasardschik/Panagjurischte mit unwahren oder verzerrten Angaben über einen Mitbewerber. Die KZK sah eine Rufschädigung (Art. 30 ZZK) über rund zwei Monate und verhängte 3 % des Umsatzes 2024, also 37.410 Lewa. Gegen die Entscheidung wurde Beschwerde eingelegt.

Behörde / Gericht

Комисия за защита на конкуренцията (КЗК, Bulgarische Wettbewerbskommission)

Rechtsgebiet

Kartellrecht und Wettbewerb

Rechtsgrundlage

Art. 30 ZZK (Schädigung des guten Rufs eines Wettbewerbers)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Originalbetrag 37.410 BGN, umgerechnet zum EZB-Referenzkurs vom 25.09.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Laut FTC-Klage versteckte der Bildungsanbieter die Kündigung seiner automatisch verlängerten Abos auf der Website und buchte seit Oktober 2020 bei fast 200.000 Kundinnen und Kunden auch nach deren Kündigung weiter ab. Im Vergleich zahlt Chegg 7,5 Mio. USD für Rückerstattungen und muss eine einfache Kündigung anbieten.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Informationspflichten im Onlinehandel

Rechtsgrundlage

Restore Online Shoppers' Confidence Act (ROSCA); Section 5 FTC Act

Maßnahme

Gewinnabschöpfung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Veröffentlicht

15.09.2025

Originalbetrag 7.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 18.09.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Unbekannte griffen über mehrere Websites auf Datenbanken des Systembetreibers zu und erbeuteten personenbezogene Daten. Die DVI verhängte zunächst 400.000 Euro; die Direktorin hob im Widerspruchsverfahren den Vorwurf als Verantwortlicher auf, weil ZZ Dats Auftragsverarbeiter war, und setzte wegen unzureichender Sicherheitsmaßnahmen nach Art. 32 DSGVO 300.000 Euro fest. Das Unternehmen hat Klage erhoben.

Behörde / Gericht

Datu valsts inspekcija (DVI)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und d, Abs. 2, Art. 83 Abs. 4 lit. a DSGVO

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer, die seit August 2021 Schadsoftware in Systemen der SK Telecom Co., Ltd. platziert hatten, entwendeten im April 2025 vom Home Subscriber Server 9,82 GB Daten zu rund 23 Mio. Teilnehmern, darunter USIM-Authentifizierungsschlüssel und IMSI. Die Behörde stellte fehlende Netztrennung und Zugangskontrollen, nicht sicher verschlüsselte Authentifizierungsdaten, unterlassene Sicherheitsupdates, eine unzureichende Aufstellung des Datenschutzbeauftragten und eine verspätete Benachrichtigung der Betroffenen fest. Sie verhängte ein Bußgeld (Penalty Surcharge) von 134.791.000.000 KRW und ein Verwaltungsbußgeld von 9.600.000 KRW (zusammen 134.800.600.000 KRW) sowie Anordnungen zu Sicherheit, Governance und Aufsicht über Dienstleister und Vertriebspartner.

Behörde / Gericht

Personal Information Protection Commission (PIPC, 개인정보보호위원회)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Personal Information Protection Act (개인정보 보호법) Art. 29, Art. 31(1) und (3), Art. 34(1); Sanktion nach Art. 64-2(1) Nr. 9

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Mildernde Umstände

Minderung um 30 %, weil kein Vorteil erzielt wurde, und um weitere 50 % wegen abgeschlossener Abhilfe, Entschädigung der Betroffenen und Schutzbemühungen; Erhöhung um 50 % wegen einer Verstoßdauer von über zwei Jahren. Kooperation wurde wegen verzögerter Vorlage von Unterlagen nicht mildernd berücksichtigt.

Haftung von Führungskräften

Es fehlte ein Datenschutzbeauftragter (CPO) mit Gesamtverantwortung; angeordnet wurde, Verantwortung und Rolle des CPO klar festzulegen und die Governance neu aufzustellen.

Veröffentlicht

28.08.2025

Originalbetrag 134.800.600.000 KRW, umgerechnet zum EZB-Referenzkurs vom 27.08.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Anbieter von Chipdesign-Software aus San José lieferte von 2015 bis 2021 mindestens 59-mal Hardware, Software und Halbleiter-IP an die National University of Defense Technology (NUDT), eine Militärhochschule auf der Entity List, getarnt über den Aliasnamen Central South CAD Center. Cadence bekannte sich der Verschwörung zu Exportkontrollverstößen schuldig; strafrechtliche Strafen von knapp 118 Mio. USD und zivilrechtliche von über 95 Mio. USD ergeben nach Anrechnung netto mehr als 140 Mio. USD.

Behörde / Gericht

U.S. Department of Justice; Bureau of Industry and Security (BIS)

Rechtsgebiet

Sanktionen und Exportkontrolle · Exportkontrolle und Dual-Use

Rechtsgrundlage

Export Administration Regulations (Entity List); ECRA; Verschwörung zu Exportkontrollverstößen

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

vorsätzlich

Veröffentlicht

28.07.2025

Originalbetrag 140.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 28.07.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut Durchsetzungsliste der VARA verstieß The Open Network Foundation gegen die VARA Marketing Regulations. Als Maßnahmen führt die Liste eine Unterlassungsanordnung, eine Geldbuße in nicht veröffentlichter Höhe und ein Public Statement auf.

Behörde / Gericht

Virtual Assets Regulatory Authority (VARA), Dubai

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht

Rechtsgrundlage

VARA Marketing Regulations

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die CNMC verhängte gegen Telefónica de España eine Geldbuße von 20.000.000 Euro, weil das Unternehmen von August 2021 bis April 2023 seine Bündelangebote Movistar Fusión und MiMovistar mit Pay-TV und Gerätemiete an Mindestlaufzeiten und Vertragsstrafen bei vorzeitiger Kündigung knüpfte. Das verstieß gegen die Zusagen, unter denen die Übernahme von DTS 2015 freigegeben worden war; die wiederholten Verstöße gegen diese Zusagen wertete die CNMC als erschwerend.

Behörde / Gericht

Comisión Nacional de los Mercados y la Competencia (CNMC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Fusionskontrolle

Rechtsgrundlage

Art. 62.4.c) und Art. 64.2.a) Ley 15/2007 de Defensa de la Competencia; Zusagen 1.1 und 1.1.2 einer früheren Fusionsfreigabe

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Veröffentlicht

30.07.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die Nkom verhängte gegen Telenor Norge eine Verwaltungssanktion (overtredelsesgebyr) von 50.000.000 NOK, weil Notrufe über das Netz des Anbieters an vier Terminen im Herbst 2024 (29. August, 16. September, 17./18. Oktober, 13. November) ganz oder zeitweise scheiterten oder falsch geleitet wurden. Die Aufsicht stellte 22 Verstöße gegen ekomloven, sikkerhetsloven und mehrere Verordnungen fest, darunter unzureichende Risikobewertungen, nicht sicher durchgeführte geplante Arbeiten, unzureichende Redundanz, ungenügende Prüfung eines Unterauftragnehmers und verspätete Meldungen an die Behörde. Im endgültigen Beschluss hielt die Nkom an der im Februar 2025 angekündigten Höhe fest; die Beschwerdefrist lief bis 8. September 2025.

Behörde / Gericht

Nasjonal kommunikasjonsmyndighet (Nkom)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

ekomloven (lov 4. juli 2003 nr. 83), sikkerhetsloven (lov 1. juni 2018 nr. 24), ekomforskriften, nummerforskriften, klassifiseringsforskriften, virksomhetssikkerhetsforskriften

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Veröffentlicht

03.07.2025

Originalbetrag 50.000.000 NOK, umgerechnet zum EZB-Referenzkurs vom 03.07.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Der SaaS-Anbieter betreibt für lizenzierte Geldverleiher ein an das Kreditbüro für Geldverleiher angebundenes System, in das die Kunden Daten von Kreditantragstellern und Schuldnern eingeben; im Juni 2024 übernahm ein Angreifer über eine verwundbare Webanwendung das Systemadministratorkonto des SQL-Servers, das nur mit einem leicht zu erratenden Passwort geschützt war, löschte Datenbanken und leitete Daten von 190.589 Personen samt Kreditauskunftsdaten aus, die im Darknet angeboten wurden. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (unzureichende Zugriffskontrolle, keine Schwachstellen- oder Penetrationstests) und hielt wegen der Rolle als Anbieter, der ihm anvertraute Kundendaten verarbeitet, eine Geldbuße von 17.500 SGD für angemessen; den Antrag auf Erlass oder Minderung wies sie ab. Zusätzlich muss das Unternehmen für sein neues Netz binnen neun Monaten die Cyber-Trust-Mark-Zertifizierung der Cyber Security Agency of Singapore (CSA) erlangen.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

03.07.2025

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 03.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Ein Unbekannter registrierte mit dem Ausweis einer Kundin bei einem Vodafone-Partnershop mindestens 15 Prepaid-Nummern auf ihren Namen. Die Datenschutzbehörde verhängte mit Entscheidung 27/2025 gegen Vodafone 350.000 Euro (Auftragsverarbeitung, Art. 28), 200.000 Euro (Datenrichtigkeit) und 150.000 Euro nach dem griechischen ePrivacy-Gesetz und verwarnte das Unternehmen, binnen drei Monaten die Aktivierung neuer Nummern technisch abzusichern (etwa durch eine SMS an den Bestandskunden); der Shop (Personengesellschaft, anonymisiert) erhielt 40.000 Euro.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic Data Protection Authority)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 5 Abs. 1 lit. d, Art. 28 Abs. 1 und 3 DSGVO; Art. 12 Gesetz 3471/2006

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ein Hinweisgeber meldete 2021 Zahlungen von Tochtergesellschaften in Indonesien, Malaysia, Vietnam, Thailand und Indien an Vertragspartner; ermittelt wurde wegen Bestechung im privaten Sektor und ausländischer Amtsträger. Die CJIP sieht 16.074.511 EUR Geldauflage (inkl. 1 Mio. EUR bereits beschlagnahmt) und ein dreijähriges AFA-Compliance-Programm vor.

Behörde / Gericht

Parquet national financier (PNF); Validierung durch das Tribunal judiciaire de Paris

Rechtsgebiet

Korruption und Bestechung · Bestechung im geschäftlichen Verkehr

Rechtsgrundlage

Art. 41-1-2 Code de procédure pénale (CJIP); Bestechung im privaten Sektor und ausländischer Amtsträger

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Verschulden

vorsätzlich

Haftung von Führungskräften

Die CJIP regelt nicht die strafrechtliche Lage natürlicher Personen.

Veröffentlicht

19.06.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Autorité de la concurrence ahndete zwei Absprachen, sich gegenseitig kein Personal abzuwerben: zwischen Alten und Ausy (heute Randstad Digital) für Business Manager vom 16.11.2007 bis 26.09.2016 sowie zwischen Expleo und Bertrandt vom 06.02. bis 21.09.2018. Sie verhängte gegen Alten 24 Mio. EUR, gegen Bertrandt 3,6 Mio. EUR und gegen Expleo 1,9 Mio. EUR; Randstad Digital erhielt als Kronzeuge vollen Erlass. Abwerbeklauseln in Partnerschaftsverträgen und die Vorwürfe gegen Atos wertete die Behörde dagegen nicht als Verstoß.

Behörde / Gericht

Autorité de la concurrence

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. L. 420-1 Code de commerce; Art. 101 Abs. 1 AEUV

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Kronzeugenregelung: vollständiger Bußgelderlass für Randstad Digital (ehemals Ausy).

Veröffentlicht

11.06.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Böswillige Mitarbeitende in Partneragenturen, die für Vodafone Verträge vermitteln, hatten fingierte Verträge und Vertragsänderungen zulasten von Kunden angelegt. Die BfDI verhängte 15 Mio. Euro wegen unzureichender Überprüfung und Überwachung der Partneragenturen (Art. 28) und 30 Mio. Euro wegen Authentifizierungsmängeln bei „MeinVodafone“ in Verbindung mit der Hotline, über die Unbefugte u. a. eSIM-Profile abrufen konnten; zusätzlich eine Verwarnung nach Art. 32.

Behörde / Gericht

Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 28 Abs. 1 S. 1, Art. 32 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Uneingeschränkte Kooperation einschließlich Selbstbelastung, Modernisierung der Systeme, Trennung von betrügerischen Partnern; Bußgelder akzeptiert und gezahlt, zusätzlich Spenden in Millionenhöhe.

Veröffentlicht

03.06.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Mobilfunknummer eines Kunden wurde ohne dessen Antrag zu MásMóvil portiert; die neue SIM-Karte wurde an einen Dritten ausgehändigt, der sich nicht auswies. Die AEPD sah eine Verarbeitung ohne Rechtsgrundlage, verhängte 200.000 Euro und ordnete Maßnahmen gegen solche Vorfälle an; der Widerspruch des Unternehmens blieb erfolglos.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 6 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut FTC setzte der Webhoster für seine Hosting-Dienste keine Multi-Faktor-Authentifizierung ein, überwachte Sicherheitsbedrohungen unzureichend und sicherte Verbindungen zu Kundendaten nicht ab, warb aber mit „preisgekrönter Sicherheit“. Die endgültige Anordnung verbietet Falschaussagen zur Sicherheit, verlangt ein umfassendes Informationssicherheitsprogramm und regelmäßige Prüfungen durch unabhängige Assessoren.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

21.05.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

SAP hatte keine Bekanntmachung darüber veröffentlicht, ab wann und unter welcher Internetadresse der Jahresfinanzbericht 2022 zusätzlich zum Unternehmensregister öffentlich zugänglich war (Hinweisbekanntmachung). Die BaFin verhängte eine Geldbuße von 1,75 Mio. Euro; der Bescheid ist rechtskräftig.

Behörde / Gericht

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten

Rechtsgrundlage

§ 114 Abs. 1 Satz 2 WpHG

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

27.05.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

In einer der ersten Nichteinhaltungsentscheidungen nach dem Digital Markets Act stellte die Kommission fest, dass Apple App-Entwickler daran hindert, Kunden kostenlos auf günstigere Angebote außerhalb des App Stores hinzuweisen und dorthin zu lenken. Neben 500 Mio. Euro Bußgeld wurde die Beseitigung der Beschränkungen binnen 60 Tagen angeordnet, sonst drohen Zwangsgelder.

Behörde / Gericht

Europäische Kommission

Rechtsgebiet

KI und digitale Regulierung · Plattformpflichten

Rechtsgrundlage

Verordnung (EU) 2022/1925 (DMA), Anti-Steering-Pflicht

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

23.04.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der US-Betreiber des Chatbots Replika hatte für die Verarbeitung keine Rechtsgrundlage bestimmt, eine unzureichende Datenschutzerklärung und trotz erklärtem Ausschluss Minderjähriger keine Altersprüfung. Die Behörde verhängte 5 Mio. Euro und leitete ein weiteres Verfahren zum Training des zugrunde liegenden Sprachmodells ein.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

KI und digitale Regulierung · KI-Systeme

Rechtsgrundlage

DSGVO (Rechtmäßigkeit, Transparenz, Schutz Minderjähriger)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Veröffentlicht

19.05.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Das Bundeskartellamt erklärte in zwei Entscheidungen nach § 19a GWB Verpflichtungszusagen von Google für bindend: Die Dienste der Google Automotive Services (Maps, Play, Assistant) werden Fahrzeugherstellern künftig auch einzeln lizenziert, Anreizklauseln etwa zu Werbeerlösbeteiligungen und Standardeinstellungen entfallen und Interoperabilität mit anderen Anbietern wird hergestellt. Bei der Google Maps Platform fallen vertragliche Beschränkungen für die Kombination mit Kartendiensten anderer Anbieter weg; die Zusagen zu den Automotive Services gelten für in Deutschland zugelassene Pkw und wegen einheitlicher EU-Zulassungsregeln für den europäischen Markt, jene zur Maps Platform jedenfalls für Lizenznehmer mit Rechnungsadresse im EWR.

Behörde / Gericht

Bundeskartellamt

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

§ 19a GWB (für bindend erklärte Verpflichtungszusagen; Az. B7-25/22)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

09.04.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Der Anbieter von Kassen- und CRM-Software für kleine und mittlere Unternehmen meldete 2024 zwei Angriffe, bei denen Täter u. a. über SQL-Injection Dateien mit Daten von insgesamt 698.112 Personen abzogen, darunter Gesundheitsangaben (Hautbefunde und Behandlungen) von 9.122 Personen; die Daten wurden mutmaßlich in einem Hackerforum veröffentlicht. Die Datenschutzbehörde PDPC betonte, dass der SaaS-Anbieter große Datenmengen im Auftrag seiner Kunden vorhält, und stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest: öffentlich erreichbare Server, keine Netzwerk-Firewall, keine Sicherheitstests vor Releases, nicht mehr unterstützte Betriebssystem- und PHP-Versionen sowie ungeschützt in Quellcode- und Konfigurationsdateien hinterlegte Zugangsdaten. Neben 17.500 SGD ordnete sie ein Bündel von Maßnahmen an, von Netzsegmentierung und Patch-Management bis zu mindestens jährlichen Schwachstellen- und Penetrationstests.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 07.04.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Apple missbrauchte vom 26.04.2021 bis 25.07.2023 seine beherrschende Stellung beim Vertrieb von Apps auf iOS- und iPadOS-Geräten, indem es die Einwilligungsabfrage App Tracking Transparency für die Nutzung von Daten zu Werbezwecken diskriminierend, nicht objektiv und intransparent ausgestaltete. Nach Ansicht der Autorité de la concurrence war das Verfahren für den Schutz der Privatsphäre weder erforderlich noch verhältnismäßig: Es vervielfachte die Einwilligungsfenster in Apps von Drittanbietern und benachteiligte vor allem kleine, werbefinanzierte Anbieter. Neben dem Bußgeld von 150 Mio. EUR muss Apple eine Zusammenfassung der Entscheidung veröffentlichen.

Behörde / Gericht

Autorité de la concurrence

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. L. 420-2 Code de commerce; Art. 102 AEUV

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

31.03.2025

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Als Auftragsverarbeiter für NHS und Pflegeanbieter wurde Advanced im August 2022 über ein Kundenkonto ohne Mehrfaktor-Authentifizierung mit Ransomware angegriffen; Dienste wie NHS 111 waren gestört. Daten von 79.404 Personen wurden entwendet, darunter Zugangshinweise zu den Wohnungen von 890 häuslich Gepflegten.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

UK GDPR Art. 32 Abs. 1 (als Auftragsverarbeiter)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Vorläufig 6,09 Mio. £; reduziert u. a. wegen proaktiver Zusammenarbeit mit NCSC und National Crime Agency.

Veröffentlicht

27.03.2025

Originalbetrag 3.076.320 GBP, umgerechnet zum EZB-Referenzkurs vom 26.03.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei einem Cyberangriff auf die IT-Infrastruktur des IT-Dienstleisters wurden Daten einer erheblichen Zahl von Personen abgezogen, darunter Ausweiskopien, Finanz- und Beschäftigungsdaten sowie Gesundheitsdaten von Beschäftigten. Die ANSPDCP bemängelte fehlende angemessene Sicherheitsmaßnahmen und deren regelmäßige Überprüfung und verhängte 124.432,50 RON; für die nicht binnen 72 Stunden erfolgte Meldung erteilte sie eine Verwarnung. Das Unternehmen hat die Geldbuße bezahlt.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und d, Abs. 2, Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

25.03.2025

Originalbetrag 124.432,5 RON, umgerechnet zum EZB-Referenzkurs vom 25.03.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

In zwei Spezifizierungsbeschlüssen nach dem Digital Markets Act legte die Kommission fest, welche Maßnahmen Apple zur Interoperabilität treffen muss: Zugang für Hersteller vernetzter Geräte zu neun iOS-Funktionen (etwa Benachrichtigungen auf Smartwatches, Peer-to-Peer-WLAN, NFC, Kopplung) sowie ein transparenteres und schnelleres Verfahren für Interoperabilitätsanfragen von Entwicklern.

Behörde / Gericht

Europäische Kommission

Rechtsgebiet

KI und digitale Regulierung · Plattformpflichten

Rechtsgrundlage

Digital Markets Act (Verordnung (EU) 2022/1925): Interoperabilitätspflicht, Spezifizierungsbeschlüsse

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die drei Mobilfunknetzbetreiber vereinbarten laut KFTC im November 2015, die Netto-Zu- und -Abgänge bei Neukunden mit Rufnummernmitnahme so auszugleichen, dass sie sich nicht bei einem Anbieter ballen, und setzten dies bis Ende September 2022 um, indem sie ihre Verkaufsanreize für Händler untereinander abstimmten; die Informationen tauschten sie in einer gemeinsamen Marktbeobachtungsgruppe mit dem Branchenverband KAIT aus. Die KFTC erließ Unterlassungsanordnungen und setzte vorläufig Geldbußen von insgesamt 114.026 Mio. KRW fest (SK Telecom 42.662 Mio., KT 33.029 Mio., LG Uplus 38.334 Mio. KRW).

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 40 Abs. 1 Nr. 3 MRFTA (Monopoly Regulation and Fair Trade Act)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

12.03.2025

Originalbetrag 114.026.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 12.03.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach einer Prüfung verhängte Datatilsynet gegen Telenor ASA ein Bußgeld von 4.000.000 NOK, weil die Konzernmutter keine geeigneten organisatorischen Maßnahmen und Richtlinien für die Stellung ihres Datenschutzbeauftragten getroffen hatte (Art. 24 Abs. 1 und 2 DSGVO). Zusätzlich sprach die Behörde eine Verwarnung aus, weil rund ein Jahr lang keine Berichtslinie des Datenschutzbeauftragten zur obersten Leitungsebene bestand, und ordnete an, die Pflicht zur Benennung eines Datenschutzbeauftragten dokumentiert zu prüfen und das Verzeichnis der Verarbeitungstätigkeiten zu überarbeiten. Laut Datatilsynet ist die Entscheidung angefochten; eine Entscheidung der Personvernnemnda wird für Herbst 2026 erwartet. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Datatilsynet

Rechtsgebiet

Datenschutz

Rechtsgrundlage

Art. 24 Abs. 1 und 2, Art. 30, Art. 37 Abs. 7, Art. 38 Abs. 2 und 3, Art. 58 Abs. 2 lit. b, d und i DSGVO; § 26 personopplysningsloven

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Mildernde Umstände

Keine konkreten Schäden für Betroffene festgestellt; die lange Verfahrensdauer wurde bei der Bemessung berücksichtigt.

Veröffentlicht

14.03.2025

Originalbetrag 4.000.000 NOK, umgerechnet zum EZB-Referenzkurs vom 10.03.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die IT-Beratungsgruppe beteiligte sich von 2014 bis 2021 an bilateralen Absprachen, Beschäftigte von Wettbewerbern nicht abzuwerben. Die AdC verhängte 3.092.000 Euro gegen drei Gesellschaften; im März 2026 bestätigte das Wettbewerbs- und Regulierungsgericht (TCRS) die Buße vollständig – die erste gerichtliche Bestätigung einer Arbeitsmarkt-Kartellbuße in Portugal.

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Lei da Concorrência (Lei n.º 19/2012), Art. 9.º

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

19.02.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nachdem die chinesischen Anbieter erklärt hatten, nicht in Italien tätig zu sein und nicht der DSGVO zu unterliegen, ordnete die Behörde dringlich und mit sofortiger Wirkung die Beschränkung der Verarbeitung von Daten italienischer Nutzer an und eröffnete ein Untersuchungsverfahren.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

KI und digitale Regulierung · KI-Systeme

Rechtsgrundlage

DSGVO, Art. 58 Abs. 2 lit. f (Beschränkung der Verarbeitung)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

30.01.2025

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Russlands größter Mobilfunk- und Festnetzbetreiber griff seine Aufnahme in die kanadische Russland-Sanktionsliste direkt gerichtlich an. Der Federal Court bestätigte die Abweisung des Antrags ohne Nachbesserungsmöglichkeit, weil MTS zunächst das in den Regulations vorgesehene Streichungsverfahren beim Minister hätte nutzen müssen.

Behörde / Gericht

Federal Court (2025 FC 181); Attorney General of Canada

Rechtsgebiet

Sanktionen und Exportkontrolle · Verstöße gegen Sanktionen und Embargos

Rechtsgrundlage

Special Economic Measures Act; Regulations Amending the Special Economic Measures (Russia) Regulations, SOR/2023-163, s. 8

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach einem gescheiterten Mobilfunk-Vertragsabschluss verlangte eine Person die Löschung ihrer Daten; der Anbieter forderte weitere Daten an und antwortete nicht vollständig. Zudem hatte er gescannte Ausweisdokumente gespeichert, obwohl sie für die Identifizierung nicht mehr nötig waren. Die ANSPDCP verhängte zwei Geldbußen von je 99.510 RON (zusammen 199.020 RON) und ordnete unter anderem Schulung des zuständigen Personals und Löschung der Unterlagen an.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 12 Abs. 3 und 4 i. V. m. Art. 17, Art. 5, 6 und 7 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

27.01.2025

Originalbetrag 199.020 RON, umgerechnet zum EZB-Referenzkurs vom 27.01.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Mehrere gemeldete Vorfälle gingen auf Beschäftigte oder Dienstleister zurück: ein Rechnungsfoto an Dritte, offene E-Mail-Verteiler statt BCC, ein per WhatsApp geteilter Screenshot aus der Kundenanwendung und fehlgeleitete Rechnungen. Die Aufsicht sah unzureichende Maßnahmen, um weisungsgemäße Verarbeitung durch Mitarbeiter sicherzustellen, und verhängte 74.526 Lei (15.000 Euro); das Unternehmen zahlte. Datum = Veröffentlichung der Pressemitteilung; die Untersuchung wurde laut Behörde im Vormonat abgeschlossen.

Behörde / Gericht

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 32 Abs. 4 i. V. m. Abs. 1 lit. b DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.01.2025

Originalbetrag 74.526 RON, umgerechnet zum EZB-Referenzkurs vom 20.01.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut FTC-Beschwerde bewarb DoNotPay seinen KI-Chatbot als „ersten Roboter-Anwalt der Welt“, der einen menschlichen Anwalt ersetzen könne, ohne die Leistung je gegen Anwälte getestet oder von Juristen prüfen lassen zu haben. Die endgültige Vergleichsanordnung (5:0-Beschluss) verbietet solche Behauptungen ohne Belege, verlangt 193.000 USD und eine Information der Abonnenten von 2021 bis 2023 über die Grenzen der juristischen Funktionen.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

KI und digitale Regulierung · KI-Systeme

Rechtsgrundlage

Section 5 FTC Act (irreführende Geschäftspraktiken)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

11.02.2025

Originalbetrag 193.000 USD, umgerechnet zum EZB-Referenzkurs vom 16.01.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Das damals börsennotierte Restauranttechnik-Unternehmen machte laut SEC von 2021 bis 2023 irreführende Angaben zu seinem Sprach-KI-Produkt „Presto Voice“: Es verschwieg, dass die Spracherkennung anfangs Dritten gehörte, und behauptete, die KI mache menschliche Bestellannahme überflüssig, obwohl die große Mehrheit der Bestellungen menschliches Eingreifen erforderte. Die SEC erließ eine Unterlassungsverfügung ohne Geldbuße.

Behörde / Gericht

U.S. Securities and Exchange Commission (SEC)

Rechtsgebiet

KI und digitale Regulierung · KI-Systeme

Rechtsgrundlage

Section 17(a)(2) Securities Act 1933; Section 13(a) Securities Exchange Act 1934

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Keine Geldbuße wegen Kooperation und Abhilfemaßnahmen.

Veröffentlicht

14.01.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Laut FTC-Beschwerde behauptete der Anbieter von KI-Gesichtserkennung ohne ausreichende Belege, seine Software gehöre zu den genauesten am Markt und arbeite ohne Geschlechts- oder Hautfarben-Bias; entgegen seiner Werbung sei sie nicht mit Millionen Gesichtern trainiert worden, und für die Aussage, sie lasse sich nicht mit Fotos oder Videos täuschen, fehlten Belege. Die endgültige Vergleichsanordnung verbietet Falschaussagen zu Genauigkeit, demografischer Leistung und Täuschungserkennung sowie solche Aussagen ohne belastbare Tests.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

KI und digitale Regulierung · KI-Systeme

Rechtsgrundlage

Section 5 FTC Act (irreführende Geschäftspraktiken)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

13.01.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Nach einer 2023 begonnenen Prüfung des Iris-Scan-Dienstes erließ das BayLDA einen europaweit abgestimmten Bescheid gegen die Worldcoin Foundation: eine Verwarnung, weil Iris-Codes zeitweise im Klartext gespeichert waren, sowie Anordnungen, bestimmte ohne ausreichende Rechtsgrundlage erhobene Iris-Codes und SMPC-Anteile zu löschen, ein DSGVO-konformes Löschverfahren bereitzustellen und ausdrückliche Einwilligungen einzuholen. Das Unternehmen hat dagegen Klage erhoben; über ein Bußgeld soll gesondert entschieden werden.

Behörde / Gericht

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 58 Abs. 2 lit. b, d, f, g DSGVO i. V. m. Art. 5 Abs. 1 lit. a, Art. 9 Abs. 1, Art. 17 Abs. 1 und Art. 32 DSGVO

Maßnahme

Anordnung

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Veröffentlicht

19.12.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Die Anbieter von Telefonanlagen (PBX) der Marke Ericsson/Aastra/Mitel teilten von 2010 bis 2015 Kunden untereinander auf, um sich nicht gegenseitig zu unterbieten. Die AZTN verhängte insgesamt 1.170.968,24 Euro, davon 785.570,58 Euro gegen Ericsson Nikola Tesla; ein Kronzeuge (Steiner) blieb straffrei, Kodeks erhielt eine Reduktion.

Behörde / Gericht

Agencija za zaštitu tržišnog natjecanja (AZTN)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 8 Zakon o zaštiti tržišnog natjecanja (ZZTN)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Kronzeugenregelung für zwei Beteiligte

Veröffentlicht

05.03.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Laut FTC-Beschwerde bot der KI-Schreibdienst eine Funktion „Testimonial & Review“, die aus knappen, allgemeinen Angaben detaillierte Kundenbewertungen mit frei erfundenen Einzelheiten erzeugte; einzelne Nutzer erstellten damit hunderte bis zehntausende Bewertungen. Mit der endgültigen Vergleichsanordnung (3:2 Stimmen) untersagte die FTC Rytr jeden Dienst zur Erzeugung von Bewertungen. Am 22.12.2025 hob die FTC die Anordnung mit Zustimmung von Rytr wieder auf (2:0 Stimmen): Die in der Beschwerde vorgetragenen Tatsachen trügen keinen Verstoß gegen Section 5 FTC Act, und die Anordnung belaste die KI-Innovation unangemessen, entgegen der KI-Verfügung und dem KI-Aktionsplan der Trump-Regierung.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Gefälschte Bewertungen

Rechtsgrundlage

Section 5 FTC Act (Mittel zur Täuschung bereitgestellt)

Maßnahme

Anordnung

Verfahrensstand

aufgehoben

Branche

Telekommunikation, IT und Software

Veröffentlicht

18.12.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die CNIL verhängte gegen Kaspr, Anbieterin einer kostenpflichtigen Chrome-Erweiterung, die berufliche Kontaktdaten zu LinkedIn-Profilen anzeigt, eine Geldbuße von 240.000 EUR und eine Anordnung unter einem Zwangsgeld von 10.000 EUR je Tag. Das Unternehmen hatte auch Kontaktdaten von Nutzern gesammelt, die deren Sichtbarkeit eingeschränkt hatten, die fünfjährige Speicherfrist bei jeder Profilaktualisierung neu beginnen lassen, Betroffene erst ab 2022 und nur auf Englisch informiert und Auskunftsersuchen unzureichend beantwortet (Art. 5 Abs. 1 lit. e, 6, 12, 14 und 15 DSGVO).

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 5 Abs. 1 lit. e, 6, 12, 14 und 15 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

Unter 50

Verschulden

fahrlässig

Veröffentlicht

19.12.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Nach einer von Amts wegen eingeleiteten Untersuchung stellte die Streitsachenkammer fest, dass Freedelity, ein Anbieter gemeinsam genutzter Kundendaten für Händler, keine wirksamen Einwilligungen nachweisen konnte, deren Widerruf nicht ausreichend erleichterte und mehr Daten aus den elektronischen Personalausweisen von Verbrauchern erhob als nötig. Statt einer Geldbuße ordnete sie u. a. wirksame Einwilligungsverfahren, den Stopp der Erhebung nicht erforderlicher Ausweisdaten samt Löschung und eine Speicherhöchstdauer von drei Jahren nach der letzten Aktivität an, jeweils mit einem Zwangsgeld von 1.000 EUR pro Verzugstag (5.000 EUR bei Nichterfüllung aller Anordnungen), insgesamt höchstens 100.000 EUR. Der Marktgerichtshof bestätigte die Entscheidung am 18. Juni 2025 bis auf die Umsetzungsfristen; Freedelity hat Kassationsbeschwerde eingelegt. Die Entscheidung ist nicht rechtskräftig. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Autorité de protection des données / Gegevensbeschermingsautoriteit (APD/GBA) – Chambre Contentieuse

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. 4 Nr. 11, Art. 5, 6, 7, 24 und 25 DSGVO; Art. 100 § 1 9°, 10° und 12° LCA

Maßnahme

Anordnung

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die CNIL verhängte gegen Orange SA eine Geldbuße von 50.000.000 EUR, weil der Konzern im Posteingang seines E-Mail-Dienstes ohne Einwilligung Werbeanzeigen im Erscheinungsbild echter E-Mails einblendete, die mehr als 7,8 Mio. Nutzer zu sehen bekamen (Art. L. 34-5 CPCE). Zudem wurden auf orange.fr bereits gesetzte Cookies nach dem Widerruf der Einwilligung weiter ausgelesen (Art. 82 Loi Informatique et Libertés); dafür ordnete die CNIL Abhilfe binnen drei Monaten unter einem Zwangsgeld von 100.000 EUR je Tag an. Orange hat die Entscheidung beim Conseil d'État angefochten, der am 17. April 2026 dem Conseil constitutionnel die Frage vorlegte, ob Art. L. 34-5 CPCE verfassungsgemäß ist.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL), formation restreinte

Rechtsgebiet

Datenschutz · Werbung und Einwilligung

Rechtsgrundlage

Art. L. 34-5 Code des postes et des communications électroniques (CPCE); Art. 82 Loi n° 78-17 du 6 janvier 1978 (Loi Informatique et Libertés)

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Mildernde Umstände

Orange hatte die beanstandete Anzeigenform im November 2023 eingestellt; das neue Format grenzt Werbung klar von E-Mails ab.

Veröffentlicht

10.12.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Direktlink

Als Auftragsverarbeiter eines Chiropraktikerhauses hatte der IT-Dienstleister Backups verschlüsselt, ohne den Schlüssel zu sichern; nach einem Ransomware-Angriff 2020 ließen sich Patientendaten mit Gesundheitsangaben und CPR-Nummern nicht wiederherstellen. Die Datatilsynet zeigte das Unternehmen an und schlug 50.000 Kronen vor; das Gericht verurteilte es am 12.11.2024 zu 40.000 Kronen.

Behörde / Gericht

Dänisches Gericht auf Anzeige der Datatilsynet

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 32 DSGVO; Auftragsverarbeitungsvertrag

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Originalbetrag 40.000 DKK, umgerechnet zum EZB-Referenzkurs vom 12.11.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die venezolanische Tochter der spanischen Telefónica S.A. schloss eine DPA und zahlt eine Strafe von 85.260.000 USD. Um 2014 bei einer staatlichen Devisenauktion Bolívares in US-Dollar tauschen zu dürfen, ließ sie zwei Lieferanten rund 28,9 Mio. USD an einen Vermittler zahlen, von denen ein Teil an venezolanische Amtsträger ging, und glich die Kosten über überteuerte Gerätekäufe bei diesen Lieferanten aus. Aus der Auktion erhielt sie mehr als 110 Mio. USD, über 65 % der insgesamt zugeteilten Mittel. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. Department of Justice (Criminal Division, Fraud Section; USAO Southern District of New York)

Rechtsgebiet

Korruption und Bestechung · Bestechung von Amtsträgern

Rechtsgrundlage

Foreign Corrupt Practices Act (FCPA): Verschwörung zum Verstoß gegen die Anti-Bribery-Vorschriften (Criminal Information, Southern District of New York)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Anerkannt wurden Kooperation (anfangs durch verspätete Herausgabe von Unterlagen geschmälert) und Abhilfe: Disziplinarmaßnahmen bis zu Kündigungen, unabhängige Compliance-Funktion mit Chief Compliance Officer, Prüfung aller Geschäfte mit abweichender Preisgestaltung, strengere Kontrolle von Drittparteien; Abschlag von 20 %.

Veröffentlicht

08.11.2024

Originalbetrag 85.260.000 USD, umgerechnet zum EZB-Referenzkurs vom 08.11.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die italienische Datenschutzbehörde verhängte 15 Mio. Euro, weil OpenAI ChatGPT ohne geeignete Rechtsgrundlage mit Nutzerdaten trainierte, Transparenzpflichten verletzte, eine Datenpanne vom März 2023 nicht meldete und keine Altersprüfung vorsah; zusätzlich wurde eine sechsmonatige Informationskampagne angeordnet. Das Tribunale di Roma gab der Klage von OpenAI mit Urteil Nr. 4153/2026 (veröffentlicht am 18.03.2026) statt; der Garante hat den Bescheid daraufhin von seiner Website genommen.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

KI und digitale Regulierung · KI-Systeme

Rechtsgrundlage

DSGVO (Rechtsgrundlage, Transparenz, Meldung von Datenpannen, Schutz Minderjähriger)

Maßnahme

Bußgeld

Verfahrensstand

aufgehoben

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.12.2024

Betrag in EUR; für diese Währung liegt kein EZB-Referenzkurs vor.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Das Bureau of Industry and Security verhängte im Rahmen eines Vergleichs gegen GlobalFoundries U.S. Inc. und ihre Tochter GlobalFoundries U.S. 2 LLC eine Zivilstrafe von 500.000 USD. Zwischen Februar 2021 und Oktober 2022 hatte das Unternehmen in 74 Sendungen Halbleiter-Wafer im Wert von rund 17,1 Mio. USD ohne Genehmigung an SJ Semiconductor geliefert, ein Unternehmen auf der Entity List; wegen eines Dateneingabefehlers war der vom Kunden benannte Dienstleister im Screening-System nicht geprüft worden. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. Department of Commerce, Bureau of Industry and Security (BIS)

Rechtsgebiet

Sanktionen und Exportkontrolle · Exportkontrolle und Dual-Use

Rechtsgrundlage

15 C.F.R. § 764.2(a) (Export Administration Regulations)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Freiwillige Selbstanzeige, Kooperation und Abhilfemaßnahmen führten laut BIS zu einer deutlichen Minderung der Strafe.

Veröffentlicht

01.11.2024

Originalbetrag 500.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.11.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Apple leitete nach Feststellung der CFPB Reklamationen von Apple-Card-Nutzern teils nicht an die kartenausgebende Bank Goldman Sachs weiter und gestaltete Werbung und Bestellablauf so, dass Kunden irrig annahmen, Gerätekäufe würden automatisch in zinsfreie Raten (Apple Card Monthly Installments) aufgeteilt. Die Anordnung verhängte 25 Mio. USD Geldbuße; im September 2025 beendete die CFPB sie vorzeitig, nachdem die Geldbuße gezahlt war. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

Consumer Financial Protection Bureau (CFPB)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Consumer Financial Protection Act of 2010, §§ 1031, 1036 (12 U.S.C. §§ 5531, 5536) – unlautere, irreführende und missbräuchliche Praktiken

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

23.10.2024

Originalbetrag 25.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.10.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Unisys stellte Cyberrisiken in Pflichtveröffentlichungen als hypothetisch dar, obwohl es zwei Einbrüche mit Datenabfluss im Zusammenhang mit der SolarWinds-Kompromittierung erlebt hatte. Am selben Tag verhängte die SEC auch Strafen gegen Avaya (1 Mio. $), Check Point (995.000 $) und Mimecast (990.000 $).

Behörde / Gericht

U.S. Securities and Exchange Commission (SEC)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Veröffentlichungs- und Meldepflichten

Rechtsgrundlage

Securities Act of 1933, Securities Exchange Act of 1934 (inkl. Disclosure Controls)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Kooperation im Verfahren und Verbesserung der Cybersicherheitskontrollen.

Veröffentlicht

22.10.2024

Originalbetrag 4.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.10.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ein Telekommunikationsanbieter stellte ein Duplikat der SIM-Karte einer Kundin aus, das diese nicht beantragt hatte. Die spanische Datenschutzbehörde AEPD verhängte 200.000 Euro wegen Verarbeitung ohne Rechtsgrundlage (Art. 6) und 1.000.000 Euro, weil das Verfahren von vornherein keine geeigneten Vorkehrungen gegen solche Fehler enthielt (Art. 25), zusammen 1.200.000 Euro, und ordnete Maßnahmen an, damit Duplikate nur vom Anschlussinhaber beantragt werden können; das Unternehmen kündigte eine verwaltungsgerichtliche Klage an. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 6, Art. 25 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Veröffentlicht

13.05.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Über ein aus dem Internet erreichbares Beschäftigtenportal eines spanischen Telekommunikationsunternehmens, das nur mit Benutzername und Passwort gesichert war, riefen Unbefugte mit dem Benutzerkonto eines Beschäftigten massenhaft Kundendaten ab; betroffen waren Festnetznummern sowie technische und Konfigurationsdaten der Kundengeräte von rund 1,4 Mio. Personen. Die spanische Datenschutzbehörde AEPD verhängte nach den Entscheidungsgründen 800.000 Euro wegen Verstoßes gegen Art. 5 Abs. 1 lit. f DSGVO und 500.000 Euro wegen Art. 32 DSGVO, zusammen 1.300.000 Euro.

Behörde / Gericht

Agencia Española de Protección de Datos (AEPD)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, Art. 32 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

26.12.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 26.09.2026 · Direktlink

Der Anbieter von Hausverwaltungssoftware ließ Beschäftigte in zwei Arbeitsverträgen und einer Vergleichsvereinbarung auf mögliche Prämien für Hinweise an Behörden verzichten; 68 Beraterverträge (Januar 2020 bis Oktober 2023) untersagten freiwillige Auskünfte an Behörden. Im Rahmen einer Sammelaktion gegen sieben börsennotierte Unternehmen zahlte der Anbieter 692.250 US-Dollar; die Vertragsvorlagen wurden angepasst.

Behörde / Gericht

U.S. Securities and Exchange Commission

Rechtsgebiet

Hinweisgeberschutz · Repressalien gegen Hinweisgeber

Rechtsgrundlage

Securities Exchange Act of 1934, Rule 21F-17(a)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Mildernde Umstände

Anpassung der Vorlagen nach Kontakt durch die SEC, Information der Betroffenen und Kooperation

Veröffentlicht

09.09.2024

Originalbetrag 692.250 USD, umgerechnet zum EZB-Referenzkurs vom 09.09.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.09.2026 · Direktlink

Der Hersteller stellte im eigenen Onlineshop bei sieben Notebook-Modellen einem reduzierten „Kampagnenpreis“ einen „WEB-Preis“ gegenüber, zu dem die Geräte dort nie verkauft worden waren, und kündigte Fristen an, nach deren Ablauf die Nachlässe weiter galten (Beispiel Oktober 2022: 187.880 JPY auf 148.425 JPY, 21 % Rabatt). Dafür wurde ein Surcharge von 42.230.000 JPY festgesetzt.

Behörde / Gericht

Consumer Affairs Agency (消費者庁, CAA)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 8 Abs. 1 i. V. m. Art. 5 Nr. 2 Act against Unjustifiable Premiums and Misleading Representations (不当景品類及び不当表示防止法, Gesetz Nr. 134/1962)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Veröffentlicht

02.08.2024

Originalbetrag 42.230.000 JPY, umgerechnet zum EZB-Referenzkurs vom 02.08.2024.

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 02.08.2026 · Direktlink

Die Senacon verhängte gegen einen Mobilfunkanbieter eine Geldbuße von 2.000.000 BRL wegen irreführender Werbung für 5G. Nach der Entscheidung legten die Werbebotschaften die Einschränkungen der eingesetzten DSS-Technologie nicht klar und angemessen offen und führten Verbraucher dadurch in die Irre. Wegen derselben Werbepraxis ergingen gesonderte Bußgeldentscheidungen gegen drei weitere Telekommunikationsanbieter.

Behörde / Gericht

Secretaria Nacional do Consumidor (Senacon), Departamento de Proteção e Defesa do Consumidor (DPDC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 6 III und IV, Art. 30, Art. 31 und Art. 37 § 1 Código de Defesa do Consumidor (Lei nº 8.078/1990); Art. 13 I und VI und Art. 14 Decreto nº 2.181/1997

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

23.07.2024

Originalbetrag 2.000.000 BRL, umgerechnet zum EZB-Referenzkurs vom 23.07.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 23.07.2026 · Direktlink

Der Drohnenhersteller verbreitete im Halbjahresbericht 2018 irreführende Angaben zu fehlenden Wertminderungsindikatoren der Drohnensparte, dem Goodwill und dem Ergebnis. Sanktion gegen das Unternehmen: 150.000 €.

Behörde / Gericht

Autorité des marchés financiers (AMF), Commission des sanctions

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Marktmissbrauch und Insiderhandel

Rechtsgrundlage

Art. 12 Abs. 1 lit. c, Art. 15 MAR; Art. 8 und 14 MAR

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 6 · Unternehmensname anonymisiert seit 19.07.2026 · Direktlink

Ein italienischer Dienstleister meldete im August 2023 einen Ransomware-Angriff, der Server und Arbeitsplätze blockierte und Daten von rund 25.000 Personen betraf. Der Garante stellte fest, dass die ausgenutzten Schwachstellen seit September 2022 öffentlich bekannt und vom Softwarehersteller sowie von der italienischen Cybersicherheitsbehörde ACN gemeldet waren, die Systeme aber fast ein Jahr lang nicht aktualisiert wurden; er verhängte 900.000 EUR und ordnete ein formalisiertes Schwachstellenmanagement mit Zielwerten für Erkennungs- und Reaktionszeiten an. Den Vorwurf eines Verstoßes gegen Art. 28 DSGVO stellte er ein.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Art. 5 Abs. 1 lit. f, 25, 32 und 33 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Mildernd: Kooperation mit der Behörde sowie Aktualisierung der Systeme und ein Verbesserungsplan für den Umgang mit sicherheitskritischen Warnungen.

Veröffentlicht

22.10.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 04.07.2026 · Direktlink

Die FTC hat ihre endgültige Anordnung gegen einen britischen Softwarehersteller, dessen tschechische Tochter und die frühere Datentochter des Herstellers erlassen. Nach dem Vorwurf der Behörde sammelte der Hersteller über Browsererweiterungen und Virenschutzsoftware detaillierte Browsingdaten, speicherte sie unbegrenzt und verkaufte sie über die Datentochter ohne ausreichende Information und Einwilligung an mehr als 100 Dritte, obwohl die Produkte mit dem Schutz vor Online-Tracking beworben wurden. Der Hersteller muss 16.500.000 USD zur Entschädigung von Verbrauchern zahlen, darf Browsingdaten nicht mehr für Werbezwecke verkaufen oder lizenzieren, muss die an die Datentochter übertragenen Daten samt daraus abgeleiteter Produkte und Algorithmen löschen und ein Datenschutzprogramm einrichten.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Datenschutz · Cookies und Tracking

Rechtsgrundlage

Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)

Maßnahme

Gewinnabschöpfung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

27.06.2024

Originalbetrag 16.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 26.06.2024.

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 26.06.2026 · Direktlink

Das Bundeskartellamt verhängte gegen einen deutschen Hersteller von Netzwerktechnik und eine verantwortlich handelnde Person Geldbußen von insgesamt knapp 16 Mio. Euro wegen vertikaler Preisbindung: Mitarbeitende des Herstellers stimmten mit sechs Elektronikfachhändlern Anhebungen der Endverbraucherpreise für seine Produkte ab, forderten teils Zielpreise, überwachten die Preise mit spezieller Software und drohten teils Lieferstopps oder Konditionenkürzungen an. Auslöser waren ein anonymer Hinweis im Hinweisgebersystem und weitere Markthinweise; die Bescheide sind im Settlement rechtskräftig, gegen die Händler erging kein Bußgeld.

Behörde / Gericht

Bundeskartellamt

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Beschleunigte einvernehmliche Verfahrensbeendigung (Settlement).

Veröffentlicht

02.07.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 10.06.2026 · Direktlink

Ein niederländischer Telekommunikationsanbieter traf laut RDI von Oktober 2021 bis Dezember 2022 nicht die nötigen Maßnahmen, um Daten aus der gesetzlichen Telekommunikationsüberwachung vor Unbefugten zu schützen: Der Sicherheitsplan genügte nicht, Personal mit Zugriff war unzureichend überprüft (fehlende Funktionsbeschreibungen, Geheimhaltungserklärungen, Führungszeugnisse), und logische wie physische Zugangskontrollen waren mangelhaft. Ein tatsächlicher unbefugter Zugriff wurde nicht festgestellt; die Buße beträgt 2,25 Mio. Euro.

Behörde / Gericht

Rijksinspectie Digitale Infrastructuur (RDI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunicatiewet Art. 15.4; Besluit beveiliging gegevens telecommunicatie (Bbgt) Art. 2, 3, 4, 8

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Mängel nach Feststellung behoben; kein tatsächlicher unbefugter Zugriff festgestellt.

Veröffentlicht

22.10.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.05.2026 · Direktlink

Die Verbraucherschutzabteilung der Senacon verhängte gegen einen Mobilfunkanbieter eine Geldbuße von 922.869,00 BRL, weil seine Werbung für „5G“ Verbraucher in die Irre führte: Sie wies nicht klar und angemessen auf die Einschränkungen der eingesetzten DSS-Technik hin. Den Widerspruch wies der Senacon-Sekretär im Dezember 2024 zurück.

Behörde / Gericht

Secretaria Nacional do Consumidor (Senacon), Departamento de Proteção e Defesa do Consumidor (DPDC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 6 III, IV, 30, 31, 37 § 1 Lei nº 8.078/1990 (Código de Defesa do Consumidor); Art. 13 I, VI und 14 Decreto nº 2.181/1997

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.05.2024

Originalbetrag 922.869 BRL, umgerechnet zum EZB-Referenzkurs vom 20.05.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 20.05.2026 · Direktlink

Laut FTC-Beschwerde nutzte ein Angreifer Anfang 2020 Schwachstellen im Netz des Datendienstleisters für Unternehmen und gemeinnützige Organisationen und erbeutete große Mengen unverschlüsselter Daten, darunter Sozialversicherungs- und Kontonummern von Millionen Menschen; der Angriff blieb drei Monate unentdeckt, der Dienstleister informierte seine Kunden erst nach fast zwei Monaten und stellte das Ausmaß irreführend dar. Die endgültige Anordnung verlangt ein umfassendes Sicherheitsprogramm, einen Löschplan, das Löschen nicht mehr benötigter Daten und die Meldung künftiger meldepflichtiger Vorfälle an die FTC.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.05.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 20.05.2026 · Direktlink

Der Anbieter verarbeitet ohne Rechtsgrundlage biometrische Daten von Personen in den Niederlanden für eine aus dem Internet zusammengetragene Gesichtserkennungsdatenbank, informierte Betroffene nicht, beantwortete Auskunftsersuchen nicht und benannte keinen EU-Vertreter. Neben 30,5 Mio. Euro Bußgeld verhängte die Behörde vier Anordnungen unter Zwangsgeld.

Behörde / Gericht

Autoriteit Persoonsgegevens

Rechtsgebiet

KI und digitale Regulierung · KI-Systeme

Rechtsgrundlage

DSGVO Art. 5 Abs. 1 lit. a, 6 Abs. 1, 9 Abs. 1, 12, 14, 15, 27

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

03.09.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 16.05.2026 · Direktlink

Nach dem Hackerangriff auf einen IT-Dienstleister stellte der EDÖB fest, dass Personendaten zweier Bundesämter über Supportprozesse ohne nötige Datenschutzvorkehrungen zu dem Dienstleister gelangt waren. Der Dienstleister bewahrte die Daten anschließend datenschutzwidrig und teils vertragswidrig auf.

Behörde / Gericht

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Datenschutzgesetz (DSG)

Maßnahme

Sonstiges

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

01.05.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 01.05.2026 · Direktlink

Über ein kompromittiertes Nutzerkonto verschaffte sich ein Angreifer zwischen Dezember 2022 und Januar 2023 per Remote Desktop Zugang zu Servern des Lohnabrechnungsdienstleisters und leitete Daten aus; auf einer Leak-Seite erschienen Daten von Beschäftigten eines Kunden, darunter Name, Ausweisnummer, Bankkonto und Gehalt. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil die sensiblen Daten auf ungesicherten internen Laufwerken lagen, Beschäftigte lokale Administratorrechte hatten und keine Mehr-Faktor-Authentifizierung bestand. Wegen der Rolle als Lohnabrechner und der Art der Daten hielt sie eine Geldbuße für angemessen und setzte 4.000 SGD fest.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Beschäftigtendaten

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

22.04.2024

Originalbetrag 4.000 SGD, umgerechnet zum EZB-Referenzkurs vom 22.04.2024.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 22.04.2026 · Direktlink

Der Antivirenhersteller gab 2019 pseudonymisierte Browserverläufe von rund 100 Mio. Nutzern an eine Tochtergesellschaft weiter, die Marketingkunden Einblicke ins Onlineverhalten verkaufte. Die als anonym deklarierten Daten ließen eine Re-Identifizierung zu und die Nutzer wurden falsch informiert; die Datenschutzbehörde verhängte rechtskräftig 351 Mio. CZK.

Behörde / Gericht

Úřad pro ochranu osobních údajů (ÚOOÚ)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO (unrechtmäßige Verarbeitung, Transparenz), One-Stop-Shop-Verfahren

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

15.04.2024

Originalbetrag 351.000.000 CZK, umgerechnet zum EZB-Referenzkurs vom 15.04.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 15.04.2026 · Direktlink

Die Datenschutzbehörde ordnete gegenüber der Stiftung als Eilmaßnahme an, die Erhebung biometrischer Daten (Iris, Augen, Gesicht) in ganz Portugal binnen 24 Stunden für 90 Tage auszusetzen. Anlass waren Beschwerden über die Erfassung Minderjähriger, fehlende Möglichkeiten zur Löschung und zum Widerruf der Einwilligung sowie unzureichende Information bei inzwischen über 300.000 erfassten Personen.

Behörde / Gericht

Comissão Nacional de Proteção de Dados (CNPD)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Art. 58 Abs. 2 lit. f DSGVO; Art. 6 Abs. 1 lit. b Lei n.º 58/2019

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

26.03.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 25.03.2026 · Direktlink

Der Datenhändler verarbeitete aus Fremdquellen (u. a. Unternehmensregister) gewonnene Daten in großem Umfang und lange, ohne die Betroffenen proaktiv zu informieren; Auskunftsersuchen wurden unvollständig beantwortet und das Verarbeitungsverzeichnis war lückenhaft. Die APD verhängte drei Bußgelder von zusammen 174.640 EUR und untersagte u. a. einen Datenqualitätsdienst des Händlers, bis Betroffene informiert sind; das Marktgericht Brüssel hob am 04.09.2024 die Anordnungen auf und senkte die Bußgelder um 10 % auf zusammen 157.176 EUR.

Behörde / Gericht

Autorité de protection des données (APD/GBA) – Chambre Contentieuse

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

DSGVO – Rechtmäßigkeit, Fairness und Transparenz, Auskunftsrecht, Verzeichnis von Verarbeitungstätigkeiten

Maßnahme

Bußgeld

Verfahrensstand

reduziert

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Einstellung eines Datenlieferdienstes und Vernichtung einer Verbraucherdatenbank.

Veröffentlicht

16.01.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 16.01.2026 · Direktlink

Die KFTC stellte fest, dass der Spieleanbieter die Wahrscheinlichkeiten kostenpflichtiger Zufallsgegenstände (Lootboxen) in zwei seiner Onlinespiele zum Nachteil der Spieler änderte und dies nicht oder falsch mitteilte. Sie wertete das als Täuschung von Verbrauchern nach dem E-Commerce-Gesetz und setzte neben einer Unterlassungsanordnung vorläufig Geldbußen von insgesamt 11.642 Mio. KRW fest (11.593 Mio. KRW für das eine, 49 Mio. KRW für das andere Spiel), nach Angaben der KFTC den bis dahin höchsten Betrag nach diesem Gesetz.

Behörde / Gericht

Korea Fair Trade Commission (KFTC)

Rechtsgebiet

Verbraucherschutz und Onlinehandel · Irreführende Werbung und Preisangaben

Rechtsgrundlage

Art. 21 Abs. 1 Nr. 1 Act on the Consumer Protection in Electronic Commerce (E-Commerce-Gesetz)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

ja

Veröffentlicht

03.01.2024

Originalbetrag 11.642.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 03.01.2024.

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 03.01.2026 · Direktlink

Die CNIL verhängte gegen ein nicht namentlich genanntes IT-Beratungsunternehmen (Systeme und Software) 100.000 Euro Bußgeld, weil es als Auftragsverarbeiter ohne Genehmigung des Verantwortlichen einen weiteren Auftragsverarbeiter hinzuzog und die Sicherheit der Daten nicht gewährleistete. Die Entscheidung ist nur in der Sanktionsliste der CNIL mit Datum, Organisationsart, Verstößen und Betrag verzeichnet.

Behörde / Gericht

Commission nationale de l'informatique et des libertés (CNIL)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

DSGVO – laut CNIL-Liste Verbot für Auftragsverarbeiter, ohne Genehmigung des Verantwortlichen einen weiteren Auftragsverarbeiter einzusetzen, sowie mangelnde Datensicherheit (Artikel in der Liste nicht angegeben)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 29.12.2025 · Direktlink

Die Wettbewerbsbehörde schloss gegenüber zwei portugiesischen Gesellschaften des IT-Beratungskonzerns ein Vergleichsverfahren mit einer Geldbuße von 2.481.000 EUR ab, weil der Beratungskonzern und ein Softwarehersteller zwischen Januar 2014 und Januar 2022 Beschäftigte des jeweils anderen Unternehmens aus ihren Auswahlverfahren für Spezialisten für die Software dieses Herstellers ausschlossen oder nicht einstellten (No-Poach). Die Geldbuße wurde im Vergleich um 30 % reduziert; im selben Verfahren wurden auch die portugiesische Gesellschaft des Softwareherstellers, eine Gesellschaft eines Wirtschaftsprüfungs- und Beratungsnetzwerks und später eine IT-Dienstleistungsgruppe sanktioniert.

Behörde / Gericht

Autoridade da Concorrência (AdC)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 9 Abs. 1 lit. c Lei n.º 19/2012 (Lei da Concorrência); Art. 101 Abs. 1 lit. c AEUV

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Verschulden

vorsätzlich

Mildernde Umstände

Vergleichsverfahren (transação) in der Ermittlungsphase mit Beweisbeiträgen und freiwilliger Zahlung; Reduktion um 30 %.

Veröffentlicht

25.01.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 22.12.2025 · Direktlink

Der Konzern missbrauchte von November 2015 bis April 2020 seine beherrschende Stellung bei Controllern für seine Spielkonsole der vierten Generation: Über Updates wurden Controller ohne Lizenz des Konzerns von der Konsole getrennt, während die Kriterien für das Lizenzprogramm intransparent blieben. Die Autorité de la concurrence hielt die mit der Bekämpfung von Fälschungen begründeten Maßnahmen für unverhältnismäßig und verhängte gesamtschuldnerisch 13.527.000 EUR gegen vier Gesellschaften des Konzerns.

Behörde / Gericht

Autorité de la concurrence

Rechtsgebiet

Kartellrecht und Wettbewerb · Missbrauch von Marktmacht

Rechtsgrundlage

Art. L. 420-2 Code de commerce; Art. 102 AEUV

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

20.12.2023

Gegen die amtliche Quelle geprüft am 07.10.2026 · Fassung 2 · Unternehmensname anonymisiert seit 20.12.2025 · Direktlink

Das UOKiK stellte fest, dass ein Anbieter von Sicherheitstechnik mit seinen Distributoren die Preise für Produkte seiner Marke (Videoüberwachung, Zutrittskontrolle, Zubehör) festgelegt und Verkaufsgeschäfte mit Abnehmern unter den Distributoren aufgeteilt hat. Die Geldbußen gegen die Kapitalgesellschaften betragen zusammen 32.538.257,41 PLN (der Anbieter 22.191.472,31, drei Distributoren 6.716.275,63, 1.880.340,62 und 1.750.168,85 PLN). Geldbußen gegen natürliche Personen sind im Betrag nicht enthalten. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Prezes Urzędu Ochrony Konkurencji i Konsumentów (UOKiK)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Art. 6 Abs. 1 Nr. 1 und 3 ustawa o ochronie konkurencji i konsumentów; Art. 101 Abs. 1 lit. a und c AEUV

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Telekommunikation, IT und Software

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Originalbetrag 32.538.257,41 PLN, umgerechnet zum EZB-Referenzkurs vom 20.12.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 20.12.2025 · Direktlink

Der Betreiber eines landesweiten Schulverwaltungssystems, der dafür als Auftragsverarbeiter der Schulen tätig ist, hatte die Sicherheitseinstellungen seiner internen Entwicklungsumgebung nicht risikogerecht gestaltet; über sie verschaffte sich ein Angreifer Zugang zu Daten. Zudem meldete das Unternehmen den Vorfall den verantwortlichen Schulen nicht unverzüglich. Die NAIH verhängte 110.000.000 HUF und verpflichtete das Unternehmen, die Schulen über die Feststellungen zu informieren.

Behörde / Gericht

Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Art. 32 Abs. 1 lit. b und Abs. 2, Art. 33 Abs. 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.12.2023