Wer wurde wofür sanktioniert?

Bei einer Explosion und einem Brand an einer beheizten Mischmaschine im Betrieb von Stars Engrg Pte Ltd in Tuas starben am 24. Februar 2021 drei Arbeiter, sieben wurden verletzt; das Unternehmen erhielt nach dem Workplace Safety and Health Act Geldstrafen von insgesamt 500.000 SGD. Nach den Ermittlungen des MOM und eines Untersuchungsausschusses wurde die Maschine trotz wiederholter Warnzeichen wie Überhitzung, Ölaustritt, Rauch und eines kurz zuvor aufgetretenen Brandes weiterbetrieben, und es gab Mängel bei Gefährdungsbeurteilung, sicheren Arbeitsverfahren, Wartung, Aufsicht und Unterweisung. Nach dem Unfall wurden zudem für die Ermittlungen wichtige Nachrichten gelöscht.

Behörde / Gericht

Ministry of Manpower (MOM); Verurteilung durch ein Singapurer Strafgericht

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Arbeitssicherheit und Arbeitsunfälle

Rechtsgrundlage

Workplace Safety and Health Act 2006 (WSHA); Penal Code (Behinderung der Justiz, gegen Einzelpersonen)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Industrie und Maschinenbau

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

25.06.2026

Originalbetrag 500.000 SGD, umgerechnet zum EZB-Referenzkurs vom 25.06.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die MAS verhängte gegen die lizenzierte Trust-Gesellschaft Padang Trust Singapore Pte. Ltd. mutmaßlich eine Composition Penalty von 300.000 SGD, weil sie ungewöhnliche Transaktionen ohne erkennbaren wirtschaftlichen oder rechtmäßigen Zweck nicht hinterfragte und Verdachtsmeldungen nicht umgehend erstattete. Ursache waren laut MAS unzureichende Kontrollen, darunter die fehlende Prüfung ungewöhnlicher Transaktionen und ein geringes Bewusstsein der Beschäftigten für Geldwäsche- und Terrorismusfinanzierungsrisiken und Warnsignale; die Gesellschaft zahlte, ergriff Abhilfemaßnahmen und bestellte einen unabhängigen Prüfer, der deren Wirksamkeit bestätigen soll. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Verdachtsmeldungen

Rechtsgrundlage

MAS Notice TCA-N03; s 27B(2) Monetary Authority of Singapore Act (Cap. 186); Composition nach s 176(1A) MAS Act 1970

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

25.05.2026

Originalbetrag 300.000 SGD, umgerechnet zum EZB-Referenzkurs vom 25.05.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Fondsmanager Havenport Investments Pte Ltd hatte keinen angemessenen Rahmen zur Steuerung der Risiken der verwalteten Vermögenswerte, unterschritt seine Mindestkapitalanforderung (Base Capital), ohne dies der MAS zu melden, und verletzte Auflagen seiner Capital Markets Services Licence, nach denen ein neues Produkt vorab genehmigt werden und Privatanleger vor dem Einstieg persönlich von unabhängigen Finanzberatern beraten werden mussten. Die MAS verhängte mutmaßlich eine Composition-Geldstrafe von 40.000 SGD; das Unternehmen hat sein Fondsgeschäft für Privatanleger eingestellt und darf seit dem 18. Juli 2024 keine Gelder von Privatanlegern mehr verwalten. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Kapitalmarkt und Finanzaufsicht · Organisationspflichten

Rechtsgrundlage

Securities and Futures Act (SFA) und zugehörige Regulations; Auflagen der Capital Markets Services Licence

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

18.05.2026

Originalbetrag 40.000 SGD, umgerechnet zum EZB-Referenzkurs vom 18.05.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Das Ministry of Manpower hat der Twelve Cupcakes Pte. Ltd. eine förmliche Verwarnung (stern warning) erteilt, weil 80 Beschäftigte nach der Schließung des Unternehmens am 29. Oktober 2025 ihren Lohn für die Zeit vom 1. bis 29. Oktober 2025 nicht erhielten. Die Muttergesellschaft Dhunseri Ventures Limited hatte die Liquidation wegen eines akuten Liquiditätsengpasses veranlasst; das Ministerium wertete den Fall als echte Betriebsaufgabe in finanzieller Notlage statt als bewusste Umgehung der Lohnpflicht und beließ es deshalb bei der Verwarnung.

Behörde / Gericht

Ministry of Manpower (MOM), Singapur

Rechtsgebiet

Arbeitsschutz und Arbeitsrecht · Mindestlohn und Schwarzarbeit

Rechtsgrundlage

Employment Act (EA), Singapur (fristgerechte Lohnzahlung)

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Lebensmittel und Landwirtschaft

Beschäftigte

50 bis 249

Mildernde Umstände

Löhne bis einschließlich September 2025 trotz anhaltender Verluste vollständig gezahlt, Gewerkschaft noch am Tag der Kenntnis informiert, Liquidator bestellt; Lohnforderungen gehen im Insolvenzverfahren anderen ungesicherten Forderungen vor.

Veröffentlicht

01.04.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die Eigentümergemeinschaft (Management Corporation) der Wohnanlage Riverfront Residences hatte bis März 2025 keinen Datenschutzbeauftragten (Data Protection Officer) benannt, keine eigenen Datenschutzregeln und ihrem Hausverwalter, der als Auftragsverarbeiter (data intermediary) für sie tätig war, keine Vorgaben zum Umgang mit personenbezogenen Daten gemacht; im April 2025 schickte ein Beschäftigter des Verwalters Namen, Adressen und Hausgeldangaben zweier Eigentümer versehentlich an einen anderen Eigentümer. Die Datenschutzbehörde PDPC stellte Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) und die Schutzpflicht (Protection Obligation) fest; in der Versendung eines Antrags auf eine außerordentliche Versammlung mit Namen und Unterschriften von 303 Eigentümern sah sie dagegen wegen vorrangigen Wohnungseigentumsrechts keinen Verstoß. Sie ordnete an, binnen 90 Tagen Richtlinien und Verfahren für die Datenverarbeitung durch den Verwalter einzuführen und diesem mitzuteilen; der Verwalter selbst hatte eine freiwillige Verpflichtungszusage abgegeben.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Sections 11(3) und 12(a) PDPA 2012 (Accountability Obligation); Section 24 i. V. m. Section 4(3) PDPA (Protection Obligation bei Einsatz eines Data Intermediary)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Veröffentlicht

07.05.2026

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Anbieter cloudbasierter HR-Software erhielt im April 2024 eine Erpresser-E-Mail; ein Angreifer hatte Datenbanken auf seinen AWS-Servern gelöscht und wahrscheinlich Daten ausgeleitet, mutmaßlich entwendete Daten wurden im Darknet angeboten – gefährdet waren Daten von 95.000 Beschäftigten seiner Kunden (u. a. Ausweisnummer, Gehalt, Bankkonto, Religion) sowie von 24.765 Notfallkontakten und Kindern. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil der Anbieter trotz der ihm von Kunden anvertrauten Personaldaten keine Web Application Firewall gegen vorhandene SQL-Injection-Lücken, einen offen aus dem Internet erreichbaren Remote-Desktop-Zugang ohne Zwei-Faktor-Authentifizierung und nur alle zwei Jahre Schwachstellenscans hatte. Sie verhängte 17.500 SGD, wegen der Liquiditätslage zahlbar in zwölf Monatsraten, und ordnete u. a. eine Web Application Firewall, jährliche Penetrationstests, Zwei-Faktor-Authentifizierung und die Verschlüsselung aller Personaldatenfelder an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß; Ratenzahlung mit Rücksicht auf die Liquidität, ein Erlass wurde abgelehnt.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 08.01.2026.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Im August 2024 verschlüsselte ein Angreifer ein von SESAMi und ihrer Tochter Abecha gemeinsam genutztes Netzlaufwerk mit Zahlungsdaten (u. a. vollständige Kreditkartennummern und Kontodaten) von rund 20.471 Kunden eines Kraftstoff-Flottenrabattprogramms der Tochter und bis zu 18.837 Personen aus der Registrierung für SESAMis B2B-Plattform; eine Ausleitung ließ sich nicht nachweisen. Die Datenschutzbehörde PDPC stufte SESAMi, das das Netz ohne schriftlichen Vertrag für die Tochter betrieb, insoweit als Auftragsverarbeiter (data intermediary) ein und stellte bei SESAMi einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (u. a. veraltete Firewall- und VPN-Firmware, kein Patch-Management, nicht durchgesetzte Passwort- und MFA-Regeln), ebenso bei Abecha, die als Verantwortliche nichts unternommen hatte, um angemessene Sicherheit bei SESAMi sicherzustellen. SESAMi erhielt 8.750 SGD und Anordnungen, Abecha als verantwortliche Stelle nur Anordnungen, darunter eine schriftliche Regelung der Rollen und Datenschutzpflichten im Konzern.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 4(3) PDPA (Pflichten bei Einsatz eines Data Intermediary); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Verschulden

fahrlässig

Mildernde Umstände

Kooperation, rasche und wirksame Abhilfe, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure); bei Abecha zudem geringere Schuld wegen begrenzter Eigenständigkeit als hundertprozentige Tochter, einer der Gründe, von einer Geldbuße gegen sie abzusehen.

Veröffentlicht

26.02.2026

Originalbetrag 8.750 SGD, umgerechnet zum EZB-Referenzkurs vom 29.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Am 8. Oktober 2024 fiel die Festnetztelefonie von Singtel für rund 500.000 Privat- und Geschäftskunden mehr als vier Stunden lang aus; betroffen waren auch Kundenhotlines von Behörden, Gesundheitseinrichtungen und Banken sowie Notrufdienste. Ursache war, dass die virtualisierten Firewalls des Sprachsystems und eines Überwachungssystems dieselbe Hardware nutzten, sodass eine Überlastung des unzureichend gefilterten Überwachungssystems auch das Sprachsystem störte und die automatische Umschaltung nicht sauber griff; ein Cyberangriff lag nach der Untersuchung nicht vor. Die IMDA verhängte nach dem Telecommunications Act eine Strafe von 1 Mio. SGD, weil der Vorfall für Singtel vermeidbar gewesen sei.

Behörde / Gericht

Infocomm Media Development Authority (IMDA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunications Act

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

11.12.2025

Originalbetrag 1.000.000 SGD, umgerechnet zum EZB-Referenzkurs vom 11.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach einem im Dezember 2023 öffentlich gewordenen Cyberangriff auf das Reisebüro waren im Buchungssystem Daten von 336.759 Personen betroffen, teils mit vollständigen Bildern von Ausweisen, Pässen und Geburtsurkunden; ein Teil der Daten wurde ausgeleitet. Die Datenschutzbehörde PDPC stellte fahrlässige Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) fest – Datenschutzbeauftragter erst im April 2024 benannt, außer der Datenschutzerklärung für Kunden keine internen Richtlinien, kein Beschwerdeverfahren und keine Information der Beschäftigten – sowie gegen die Schutzpflicht (Protection Obligation), weil Verträge mit den IT-Dienstleistern zu Sicherheitsaufgaben fehlten, keine Sicherheitsüberprüfungen stattfanden, keine Mehr-Faktor-Authentifizierung bestand und der Server noch mit dem nicht mehr unterstützten Windows Server 2012 lief. Sie verhängte 47.000 SGD, wies Einwände zu Corona-Verlusten und Vergleichsfällen zurück und ordnete u. a. Richtlinien, Sicherheitsklauseln in Dienstleisterverträgen und einen Penetrationstest durch einen von der Cyber Security Agency (CSA) lizenzierten Anbieter an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Sections 11(3) und 12 PDPA 2012 (Accountability Obligation); Section 24 PDPA (Protection Obligation); Section 48J(1)(a) PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Freiwilliges frühes Eingeständnis der Verstöße (als erheblich mildernd gewertet) sowie rasche und wirksame Abhilfe.

Veröffentlicht

08.01.2026

Originalbetrag 47.000 SGD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Bei der manuellen Übertragung von API-Konfigurationen auf eine neue Middleware (September 2022 bis März 2023) ließ ein allein verantwortlicher Mitarbeiter eine App-Kennung aus, sodass die Token-Prüfung für die Webseite des Museumsprogramms ArtScience Friends mindestens sechs Monate nicht griff; ein Angreifer nutzte dies im Oktober 2023 und rief Daten von 665.495 Mitgliedern des Treueprogramms Sands Rewards Lifestyle ab, die anschließend im Darknet angeboten wurden. Die Datenschutzbehörde PDPC wertete es als fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation), dass sich das Resort ohne unabhängige Gegenprüfung oder Automatisierung auf diesen einen Mitarbeiter verließ. Die vorläufig vorgesehenen 450.000 SGD setzte sie nach der Stellungnahme des Unternehmens auf 315.000 SGD herab; Anordnungen ergingen wegen der bereits umgesetzten Abhilfe nicht.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 Personal Data Protection Act 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Im Übrigen angemessene Sicherheitsvorkehrungen, Eindämmung noch am Tag der Entdeckung, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure), Kooperation und freiwillige Benachrichtigung aller Betroffenen.

Veröffentlicht

28.10.2025

Originalbetrag 315.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

ZGR Global (früher Zhongguo Remittance) und Hanshan Money Express, zwei benachbarte führende Anbieter von Yuan-Überweisungen im People's Park Complex, teilten sich mindestens von Januar 2016 bis Februar 2022 täglich, oft mehrmals, ihre aktuellen und teils nicht öffentlichen Überweisungskurse mit, mündlich am Schalter, auf Zetteln oder per Telefon. Die CCCS wertete das als Verstoß gegen s 34 Competition Act und verhängte am 31. Juli 2025 Geldbußen von zusammen 5.365.007 SGD (ZGR Global 2.793.700, Hanshan 2.571.307 SGD). Hanshan erhielt über den Kooperationsnachlass hinaus 10 % Nachlass für sein Eingeständnis im Fast-Track-Verfahren.

Behörde / Gericht

Competition and Consumer Commission of Singapore (CCCS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Competition Act 2004, s 34

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Hanshan: Nachlass für die Kooperation und zusätzlich 10 % für das Eingeständnis im Fast-Track-Verfahren.

Veröffentlicht

31.07.2025

Originalbetrag 5.365.007 SGD, umgerechnet zum EZB-Referenzkurs vom 31.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Spediteur Ayzo Pte Ltd verwendete 2024 bei Anträgen auf Ausfuhrgenehmigungen für Zigarettensendungen nach Australien, die in den Frachtpapieren als andere Waren beschrieben waren, missbräuchlich die Unique Entity Numbers zweier anderer Firmen und bewahrte die Konnossemente nicht auf. Ayzo hatte sich allein auf Angaben eines unbekannten Auftraggebers aus Indien verlassen, ohne sie bei den genannten Im- und Exporteuren zu überprüfen. Nachdem sich das Unternehmen in zehn Anklagepunkten nach dem Customs Act wegen falscher UEN-Angaben und in drei Anklagepunkten wegen fehlender Aufbewahrung von Handelsdokumenten schuldig bekannt hatte, verhängten die State Courts am 30. Juli 2025 eine Geldstrafe von 36.000 SGD.

Behörde / Gericht

Singapore Customs; Verurteilung durch die State Courts

Rechtsgebiet

Sanktionen und Exportkontrolle · Zoll

Rechtsgrundlage

Customs Act (unrichtige Angabe der Unique Entity Number); drei weitere Anklagepunkte wegen fehlender Aufbewahrung von Handelsdokumenten (Vorschrift in der Mitteilung nicht genannt)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Transport, Logistik und Schifffahrt

Veröffentlicht

19.08.2025

Originalbetrag 36.000 SGD, umgerechnet zum EZB-Referenzkurs vom 30.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach Prüfungen der Institute mit Verbindungen zu Personen im Fokus (POIs) des großen Geldwäschefalls vom August 2023 verhängte die MAS mutmaßlich Composition Penalties von zusammen 27,45 Mio. SGD, weil vorhandene AML/CFT-Richtlinien mangelhaft oder uneinheitlich umgesetzt wurden – bei der Kundenrisikobewertung, der Plausibilisierung der Vermögensherkunft (Source of Wealth), der Transaktionsüberwachung und der Nachbehandlung nach Verdachtsmeldungen. Aufschlüsselung: Credit Suisse Singapore Branch 5,8 Mio., United Overseas Bank 5,6 Mio., UBS AG Singapore Branch 3 Mio., UOB Kay Hian 2,85 Mio., Citibank N.A. Singapore und Citibank Singapore Limited zusammen 2,6 Mio., Bank Julius Baer & Co. Ltd. Singapore Branch 2,4 Mio., Blue Ocean Invest 2,4 Mio., Trident Trust Company (Singapore) 1,8 Mio. und LGT Bank (Singapore) 1 Mio. SGD. In die Strafe für Credit Suisse flossen zusätzlich Verstöße von November 2017 bis Oktober 2023 bei Konten bestimmter US-Kunden ein. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Kundensorgfalt

Rechtsgrundlage

MAS Notices 626, 1014, SFA04-N02 und TCA-N03; s 27B(2) Monetary Authority of Singapore Act 1970 bzw. s 16(4) Financial Services and Markets Act 2022; Composition nach s 176(1A) MAS Act 1970 bzw. s 177(1) FSMA 2022

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

04.07.2025

Originalbetrag 27.450.000 SGD, umgerechnet zum EZB-Referenzkurs vom 04.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der SaaS-Anbieter betreibt für lizenzierte Geldverleiher ein an das Kreditbüro für Geldverleiher angebundenes System, in das die Kunden Daten von Kreditantragstellern und Schuldnern eingeben; im Juni 2024 übernahm ein Angreifer über eine verwundbare Webanwendung das Systemadministratorkonto des SQL-Servers, das nur mit einem leicht zu erratenden Passwort geschützt war, löschte Datenbanken und leitete Daten von 190.589 Personen samt Kreditauskunftsdaten aus, die im Darknet angeboten wurden. Die Datenschutzbehörde PDPC stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest (unzureichende Zugriffskontrolle, keine Schwachstellen- oder Penetrationstests) und hielt wegen der Rolle als Anbieter, der ihm anvertraute Kundendaten verarbeitet, eine Geldbuße von 17.500 SGD für angemessen; den Antrag auf Erlass oder Minderung wies sie ab. Zusätzlich muss das Unternehmen für sein neues Netz binnen neun Monaten die Cyber-Trust-Mark-Zertifizierung der Cyber Security Agency of Singapore (CSA) erlangen.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

03.07.2025

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 03.07.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Bei Prüfungen von fünf lizenzierten Zahlungsinstituten für grenzüberschreitende Überweisungen stellte die MAS Mängel bei der Kundenprüfung fest, etwa fehlende Wohnadressen, keine Nachfrage nach wirtschaftlich Berechtigten, kein Abgleich von Kunden mit Informationsquellen zu Geldwäscherisiken, ungeprüfte Vertretungsbefugnisse sowie fehlende Auftraggeber- oder Empfängerangaben bei Auslandsüberweisungen. Am 27. Juni 2025 verhängte sie mutmaßlich Composition Penalties von zusammen 960.000 SGD: Remsea 280.000, Arcade Plaza Traders 260.000, J-Dee Remittance Services 170.000, Mobile Community Tech 140.000 und OxPay SG 110.000 SGD. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Monetary Authority of Singapore (MAS)

Rechtsgebiet

Geldwäsche und Terrorismusfinanzierung · Kundensorgfalt

Rechtsgrundlage

MAS Notice PSN01; s 27B(2) Monetary Authority of Singapore Act bzw. s 16(4) Financial Services and Markets Act 2022; Composition nach s 176(1A) MAS Act 1970 bzw. s 177(1) FSMA 2022

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

27.06.2025

Originalbetrag 960.000 SGD, umgerechnet zum EZB-Referenzkurs vom 27.06.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Einen im Februar 2022 bereitgestellten Patch für eine bekannte Schwachstelle (CVE-2022-24086) der Magento-Plattform seines Onlineshops spielte der Juwelier erst im Januar 2023 ein; über die Lücke zog ein Angreifer die Kundendatenbank mit Daten von 41.379 Personen ab und stellte sie im Mai 2023 in ein Onlineforum. Die Datenschutzbehörde PDPC stellte einen fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation) fest, weil sich das Unternehmen beim Patchen ganz auf seinen Wartungsdienstleister verließ, ohne dies zu steuern oder zu überwachen, und verwarf den Einwand, der Dienstleister sei Auftragsverarbeiter (data intermediary) gewesen. Neben 58.000 SGD (vorläufig 64.000 SGD; der Vorwurf zu im Klartext gespeicherten Zugangsdaten entfiel nach der Stellungnahme) ordnete sie einen externen Sicherheitsaudit der Zugriffskontrollen mit Behebung der Lücken an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Handel und E-Commerce

Verschulden

fahrlässig

Mildernde Umstände

Rasche Abhilfe nach Bekanntwerden, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und Kooperation.

Veröffentlicht

08.01.2026

Originalbetrag 58.000 SGD, umgerechnet zum EZB-Referenzkurs vom 20.06.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Die CCCS stellte fest, dass Hunan Fengtian Construction Group die Angebotsunterlagen und Preise von Trust-Build Engineering & Construction für drei Ausschreibungen der People's Association aus dem Jahr 2022 (Arbeiten an drei Community Clubs, Gesamtwert rund 56 Mio. SGD) vorbereitet hatte, sodass beide nicht unabhängig voneinander boten; die People's Association bemerkte die mögliche Absprache, meldete sie und schloss beide Bieter von der Bewertung aus. Nach section 34 Competition Act 2004 verhängte die CCCS Geldbußen von 4.295.059 SGD gegen Trust-Build und 349.350 SGD gegen Hunan Fengtian, zusammen 4.644.409 SGD.

Behörde / Gericht

Competition and Consumer Commission of Singapore (CCCS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Section 34 Competition Act 2004; Geldbuße nach s 69(2)(e) Competition Act 2004

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Veröffentlicht

23.05.2025

Originalbetrag 4.644.409 SGD, umgerechnet zum EZB-Referenzkurs vom 23.05.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Eine an einem Verkehrsunfall neben der Wohnanlage beteiligte Person verlangte im April 2024 Zugang zu den Aufnahmen der Überwachungskameras; der Sicherheitsdienst konnte sie mangels Administratorzugang nicht sichern, das System überschrieb sie nach 17 Tagen, und die Eigentümergemeinschaft lehnte das Ersuchen danach unter Verweis auf Daten Dritter und das Wohnungseigentumsrecht ab. Die Datenschutzbehörde PDPC hielt eine pauschale Ablehnung für nicht gerechtfertigt (Dritte hätten unkenntlich gemacht werden können), traf zur Auskunftspflicht mangels noch vorhandener Aufnahmen aber keine Feststellung und stellte einen fahrlässigen Verstoß gegen die Rechenschaftspflicht (Accountability Obligation) fest: kein Datenschutzbeauftragter, keine eigene Datenschutzrichtlinie (nur die des Verwalters) und keine Vorgaben an Verwalter und Sicherheitsdienst zu Auskunftsersuchen. Sie ordnete an, binnen 60 Tagen Richtlinien und ein Verfahren für Auskunftsersuchen zu Videoaufnahmen einzuführen und an Verwalter und Auftragnehmer weiterzugeben.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Sections 11(3) und 12 PDPA 2012 (Accountability Obligation); geprüft auch Sections 21 und 22A PDPA (Auskunft, Aufbewahrung bei Ablehnung)

Maßnahme

Anordnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Verschulden

fahrlässig

Mildernde Umstände

Die Eigentümergemeinschaft benannte nach dem Vorfall einen Datenschutzbeauftragten.

Veröffentlicht

07.08.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Der Anbieter von Kassen- und CRM-Software für kleine und mittlere Unternehmen meldete 2024 zwei Angriffe, bei denen Täter u. a. über SQL-Injection Dateien mit Daten von insgesamt 698.112 Personen abzogen, darunter Gesundheitsangaben (Hautbefunde und Behandlungen) von 9.122 Personen; die Daten wurden mutmaßlich in einem Hackerforum veröffentlicht. Die Datenschutzbehörde PDPC betonte, dass der SaaS-Anbieter große Datenmengen im Auftrag seiner Kunden vorhält, und stellte einen Verstoß gegen die Schutzpflicht (Protection Obligation) fest: öffentlich erreichbare Server, keine Netzwerk-Firewall, keine Sicherheitstests vor Releases, nicht mehr unterstützte Betriebssystem- und PHP-Versionen sowie ungeschützt in Quellcode- und Konfigurationsdateien hinterlegte Zugangsdaten. Neben 17.500 SGD ordnete sie ein Bündel von Maßnahmen an, von Netzsegmentierung und Patch-Management bis zu mindestens jährlichen Schwachstellen- und Penetrationstests.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Auftragsverarbeitung

Rechtsgrundlage

Section 24(a) PDPA 2012 (Protection Obligation)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Wiederholungsfall

nein

Mildernde Umstände

Kooperation, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure) und erster Verstoß gegen den PDPA.

Veröffentlicht

08.01.2026

Originalbetrag 17.500 SGD, umgerechnet zum EZB-Referenzkurs vom 07.04.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Flex Connect (früher Facility Link) und Tarkus Interiors sprachen sich von August 2016 bis August 2021 bei zwölf Ausschreibungen für Innenausbauten von Läden, Gastronomiebetrieben und Büros im Gesamtwert von rund 34,11 Mio. SGD ab: Der vorgesehene Gewinner lieferte dem anderen Preise und Angaben, damit dieser ein höheres Scheinangebot abgab. Die CCCS verhängte am 20. Dezember 2024 Geldbußen von 5.113.918 SGD gegen Tarkus und 4.885.263 SGD gegen Flex Connect, zusammen 9.999.181 SGD (die CCCS selbst nennt als Summe 9.999.182 SGD); Flex Connect erhielt als Kronzeuge einen Nachlass.

Behörde / Gericht

Competition and Consumer Commission of Singapore (CCCS)

Rechtsgebiet

Kartellrecht und Wettbewerb · Kartelle und Absprachen

Rechtsgrundlage

Competition Act 2004, s 34

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Mildernde Umstände

Kronzeugennachlass für Flex Connect.

Veröffentlicht

20.12.2024

Originalbetrag 9.999.181 SGD, umgerechnet zum EZB-Referenzkurs vom 20.12.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink