DSGVO-Bußgeld-Datenbank — neue Fälle (frag.hugo)

8.600.000 € gegen Xandr Inc. (Microsoft) (Norwegen, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 6 DSGVO, Art. 9 DSGVO · Digitale Dienste

Die Werbeplattform Xandr verarbeitete beim Echtzeit-Bieten Daten von Grindr-Nutzern, die auf die sexuelle Orientierung schließen lassen, ohne gültige ausdrückliche Einwilligung. Als gemeinsam Verantwortliche hätte Xandr die Einwilligung selbst prüfen müssen.

Behörde: Datatilsynet. Quelle: Datatilsynet, Pressemitteilung vom Oktober 2026

7.000.000 € gegen IQVIA Solutions Italy S.r.l. (Italien, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 9 DSGVO, Art. 13 DSGVO, Art. 25 DSGVO, Art. 28 DSGVO, Art. 35 DSGVO · Gesundheitswesen

IQVIA betrieb eine Datenbank mit Gesundheitsdaten von rund einer Million Patienten aus 800 Hausarztpraxen, die nicht wie behauptet anonym war, und nutzte sie u. a. für Studien im Auftrag der Pharmaindustrie. Es fehlten Rechtsgrundlage, Information der Patienten, Speicherfristen, Folgenabschätzung und angemessene Sicherheit.

Behörde: Garante per la protezione dei dati personali. Quelle: Garante, Comunicato stampa vom 02.10.2026

403.000.000 € gegen Google Ireland Limited (Irland, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO · Digitale Dienste

Google verarbeitete Standortdaten in den Funktionen „Web- & App-Aktivitäten“, „Standortverlauf“ und „Standortgenauigkeit“ zwischen 2018 und 2020 ohne rechtmäßige Grundlage, intransparent und speicherte sie zu lange. Das Verfahren ging auf Beschwerden europäischer Verbraucherverbände (u. a. BEUC) zurück.

Behörde: Data Protection Commission (DPC). Quelle: DPC, Mitteilung vom 21.09.2026

824.990.000 € gegen Uber B.V. (Niederlande, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Automatisierte Entscheidungen · Art. 22 DSGVO, Art. 13 DSGVO · Verkehr & Logistik

Uber sperrte Fahrerkonten bei Betrugsverdacht oder schlechten Kundenbewertungen vollautomatisch, teils dauerhaft, ohne menschliche Prüfung, und informierte die Fahrer nicht ausreichend darüber. Auslöser waren Beschwerden von 171 französischen Fahrern über die CNIL.

Behörde: Autoriteit Persoonsgegevens (AP). Quelle: Autoriteit Persoonsgegevens, Pressemitteilung vom 21.08.2026

5.508.000 € gegen Banco Bilbao Vizcaya Argentaria, S.A., Niederlassung Italien (BBVA) (Italien, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Betroffenenrechte · Art. 5 DSGVO, Art. 12 DSGVO, Art. 21 DSGVO, Art. 24 DSGVO · Finanzen & Versicherung

Ein Kunde widersprach in der App und beim Kundenservice der Direktwerbung, erhielt wegen eines Synchronisationsfehlers aber sieben Monate lang weiter Werbemitteilungen in der App. Die Bank durfte den Widerspruch nicht auf einen bevorzugten Kanal verweisen.

Behörde: Garante per la protezione dei dati personali. Quelle: Garante, Newsletter vom 11.09.2026

5.000.000 € gegen IQVIA Operations France (Frankreich, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Informationspflichten · Art. 9 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO · Gesundheitswesen

IQVIA hielt sich bei zwei Gesundheitsdatenlagern, gespeist aus rund 14.000 Apotheken und tausenden Arztpraxen, nicht an die Auflagen der CNIL-Genehmigungen, insbesondere bei der Information der Patienten und der Ausübung ihrer Rechte.

Behörde: Commission nationale de l’informatique et des libertés (CNIL). Quelle: CNIL, Pressemitteilung vom 28.05.2026

120.000 € gegen Überregional tätiger Automobilhändler (Name nicht veröffentlicht) (Baden-Württemberg, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Datensicherheit · Art. 5 Abs. 1 lit. f DSGVO, Art. 32 DSGVO · Handel & E-Commerce

Kopien von Personalausweisen und Führerscheinen sowie Probefahrtverträge landeten im normalen Papiermüll und fielen bei der Abfuhr auf die Straße. Die Zwischenlagerung von Datenmüll in offenen Behältern an den Arbeitsplätzen war keine ausreichende organisatorische Maßnahme.

Behörde: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI). Quelle: LfDI Baden-Württemberg, 41. Tätigkeitsbericht Datenschutz 2025, Kap. 6.5, S. 154

5.000.000 € gegen France Travail (Frankreich, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Datensicherheit · Art. 32 DSGVO · Öffentlicher Sektor

Angreifer kaperten per Social Engineering Konten von Cap-Emploi-Beratern und griffen auf Daten aller in den letzten 20 Jahren registrierten Arbeitsuchenden zu, u. a. Sozialversicherungsnummern. Authentifizierung, Protokollierung und Berechtigungskonzept waren unzureichend.

Behörde: Commission nationale de l’informatique et des libertés (CNIL). Quelle: CNIL, Pressemitteilung vom 29.01.2026

15.000.000 € gegen Free S.A.S. (Frankreich, 2026)

Mon, 19 Oct 2026 06:00:00 GMT

Datensicherheit · Art. 32 DSGVO, Art. 34 DSGVO · Telekommunikation

Bei einem Angriff im Oktober 2024 griff ein Täter auf Daten zu 24 Millionen Abonnementverträgen zu, teils mit IBAN. Free hatte u. a. keinen ausreichend robusten VPN-Zugang und keine wirksame Erkennung auffälliger Aktivitäten; die Benachrichtigung der Betroffenen war unvollständig.

Behörde: Commission nationale de l’informatique et des libertés (CNIL). Quelle: CNIL, Pressemitteilung vom 14.01.2026

300.000 € gegen Telekommunikationsunternehmen aus NRW (Name nicht veröffentlicht) (Nordrhein-Westfalen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Betroffenenrechte · Art. 5 Abs. 2 DSGVO, Art. 15 DSGVO, Art. 17 DSGVO, Art. 21 DSGVO, Art. 30 DSGVO · Telekommunikation

Das Unternehmen verschickte fast zwei Jahre lang personalisierte Werbeschreiben an Personen ohne Kundenbeziehung, ohne Informationspflichten zu erfüllen, und beantwortete hunderte Auskunfts-, Löschungs- und Widerspruchsanträge nicht. Im November 2025 setzte die LDI NRW zwei Geldbußen über 100.000 und 200.000 Euro fest.

Behörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Quelle: LDI NRW, 31. Bericht 2026 (Berichtsjahr 2025), Kap. 9.1, S. 67 f.

4.375.273 € gegen ING Bank Śląski S.A. (Polen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 6 DSGVO · Finanzen & Versicherung

Die Bank scannte von 2019 bis 2020 pauschal Personalausweise von Kunden und Interessenten, auch wo das Geldwäschegesetz dies nicht verlangte (etwa bei Reklamationen), ohne Einzelfallprüfung.

Behörde: Prezes Urzędu Ochrony Danych Osobowych (UODO). Quelle: EDSA, National News vom 25.09.2025 (UODO-Entscheidung vom 23.07.2025)

4.022.773 € gegen McDonald’s Polska sp. z o.o. (Polen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Auftragsverarbeitung · Art. 5 DSGVO, Art. 24 DSGVO, Art. 25 DSGVO, Art. 28 DSGVO, Art. 32 DSGVO, Art. 34 DSGVO, Art. 38 DSGVO · Gastgewerbe & Tourismus

Ein Dienstleister verwaltete für McDonald’s die Dienstpläne; durch fehlende Risikoanalyse und Kontrolle des Auftragsverarbeiters lagen Mitarbeiterdaten samt PESEL- und Passnummern in einem öffentlich zugänglichen Verzeichnis. Der Auftragsverarbeiter erhielt zusätzlich 43.680 €.

Behörde: Prezes Urzędu Ochrony Danych Osobowych (UODO). Quelle: EDSA, National News vom 25.09.2025 (UODO-Entscheidung vom 23.06.2025)

5.000.000 € gegen Luka Inc. (Replika) (Italien, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 24 DSGVO, Art. 25 DSGVO · Digitale Dienste

Der KI-Chatbot „Replika“ verarbeitete Nutzerdaten ohne festgelegte Rechtsgrundlage, mit mangelhafter Datenschutzerklärung und ohne Altersprüfung, obwohl Minderjährige ausgeschlossen sein sollten.

Behörde: Garante per la protezione dei dati personali. Quelle: Garante, Comunicato stampa vom 19.05.2025

14.400.000 € gegen Amadeus IT Group, S.A. (Spanien, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 6 DSGVO, Art. 14 DSGVO · Verkehr & Logistik

Amadeus nutzte in einem Pilotprojekt Buchungsdaten (PNR) von Reisenden aus seinem Reservierungssystem, um sie mit Daten von Hotelketten abzugleichen und Reisende zu profilieren, ohne Rechtsgrundlage und ohne die Betroffenen zu informieren. Die AEPD setzte je 9 Mio. € für beide Verstöße an; Amadeus zahlte freiwillig mit 20 % Abschlag.

Behörde: Agencia Española de Protección de Datos (AEPD). Quelle: AEPD, Resolución PS/00005/2025 (EXP202315175)

485.000 € gegen Kreditinstitut (Name nicht veröffentlicht) (Niedersachsen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 6 Abs. 1 lit. f DSGVO · Finanzen & Versicherung

Das Kreditinstitut bildete aus Zahlungs-, Stamm- und Wohnumfelddaten aktiver Kundinnen und Kunden Profile für gezielte Werbung (Smart-Data-Verfahren). Ein berechtigtes Interesse lag nicht vor, weil Kunden mit solchen Auswertungen nicht rechnen mussten.

Behörde: Landesbeauftragter für den Datenschutz Niedersachsen (LfD). Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 81

46.500 € gegen Logistikunternehmen (Name nicht veröffentlicht) (Niedersachsen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Beschäftigtenüberwachung · Art. 6 DSGVO · Verkehr & Logistik

Das Unternehmen überwachte einzelne Arbeitsbereiche seiner Beschäftigten per Video ohne Rechtsgrundlage.

Behörde: Landesbeauftragter für den Datenschutz Niedersachsen (LfD). Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82

29.000 € gegen Fleischverarbeitendes Unternehmen (Name nicht veröffentlicht) (Niedersachsen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Beschäftigtenüberwachung · Art. 6 DSGVO · Industrie & Produktion

Ein fleischverarbeitender Betrieb überwachte seine Beschäftigten per Video ohne Rechtsgrundlage.

Behörde: Landesbeauftragter für den Datenschutz Niedersachsen (LfD). Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82

14.200 € gegen Inhaber einer Gastwirtschaft (Name nicht veröffentlicht) (Niedersachsen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Beschäftigtenüberwachung · Art. 6 DSGVO, Art. 31 DSGVO · Gastgewerbe & Tourismus

Der Inhaber einer Gastwirtschaft überwachte Beschäftigte sowie Gäste per Video und arbeitete nicht mit der Aufsichtsbehörde zusammen.

Behörde: Landesbeauftragter für den Datenschutz Niedersachsen (LfD). Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82

11.200 € gegen Tankstellenbetreiber (Name nicht veröffentlicht) (Niedersachsen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Beschäftigtenüberwachung · Art. 6 DSGVO · Handel & E-Commerce

Ein Tankstellenbetreiber überwachte per Video neben öffentlichen Verkehrsflächen auch die Arbeitsbereiche seiner Beschäftigten.

Behörde: Landesbeauftragter für den Datenschutz Niedersachsen (LfD). Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82

7.400 € gegen Inhaber einer Gastwirtschaft (Name nicht veröffentlicht) (Niedersachsen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Mitwirkung gegenüber der Aufsicht · Art. 31 DSGVO · Gastgewerbe & Tourismus

Der Inhaber einer Gastwirtschaft verweigerte die Zusammenarbeit mit der Aufsichtsbehörde, obwohl bereits mehrere Zwangsgelder bestandskräftig festgesetzt worden waren.

Behörde: Landesbeauftragter für den Datenschutz Niedersachsen (LfD). Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82

65.000 € gegen Kreisverband einer Partei (Name nicht veröffentlicht) (Berlin, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Informationspflichten · Art. 5 Abs. 1 lit. a DSGVO, Art. 14 DSGVO, Art. 28 Abs. 3 DSGVO · Öffentlicher Sektor

Der Kreisverband nutzte im Bundestagswahlkampf 2021 Meldedaten für Testimonial-Briefe, die den tatsächlichen Absender verschleierten und keine Datenschutzinformationen enthielten. Die Daten gingen zudem ohne Auftragsverarbeitungsvertrag an einen Druck- und Versanddienstleister.

Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI). Quelle: BlnBDI, Jahresbericht 2025, Kap. B II.2, S. 43 f.

70.000 € gegen Unternehmen der Kreuzfahrt- und Tourismusbranche (Name nicht veröffentlicht) (Hessen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Betroffenenrechte · Art. 12 Abs. 3 DSGVO, Art. 21 Abs. 2 DSGVO, Art. 21 Abs. 3 DSGVO · Gastgewerbe & Tourismus

Wegen eines Fehlers in der Kundendatenpflege erhielten über 5.000 Personen Werbung, obwohl sie widersprochen hatten. Einem Beschwerdeführer antwortete das Unternehmen zudem nicht fristgerecht auf seinen Widerspruch.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 35 f.

20.000 € gegen Anbieter von Apps und Online-Diensten für die Gastronomie (Name nicht veröffentlicht) (Hessen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Datensicherheit · Art. 32 Abs. 1 DSGVO, Art. 33 Abs. 2 DSGVO · Digitale Dienste

Über eine einfach veränderbare Kennung in der URL ließen sich Bestellhistorien fremder Kundinnen und Kunden abrufen; der Auftragsverarbeiter kam zudem seiner Meldepflicht nicht vollständig nach. Es war die erste hessische Geldbuße gegen einen Auftragsverarbeiter.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 40

10.000 € gegen Unternehmen der Modebranche (Name nicht veröffentlicht) (Hessen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Mitwirkung gegenüber der Aufsicht · Art. 31 DSGVO · Handel & E-Commerce

Das Unternehmen reagierte über fünf Monate weder auf Anfragen noch auf Anweisungen der Aufsicht zu Werbewiderspruch und Auskunft, bis Zwangsgelder festgesetzt wurden.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 37

10.000 € gegen Unternehmen der digitalen Parkraumüberwachung (Name nicht veröffentlicht) (Hessen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Mitwirkung gegenüber der Aufsicht · Art. 31 DSGVO · Verkehr & Logistik

Das Unternehmen erläuterte seine Datenverarbeitung rund 1,5 Jahre lang nicht ausreichend, legte Unterlagen nicht vor und beantwortete Anfragen der Aufsicht nur unvollständig.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 38 f.

5.000 € gegen Betreiber einer Vergleichsplattform für ärztliche Leistungen (Name nicht veröffentlicht) (Hessen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Mitwirkung gegenüber der Aufsicht · Art. 31 DSGVO · Gesundheitswesen

Das Unternehmen beantwortete Anfragen der Aufsicht zu einer Auskunftsbeschwerde verspätet, unklar und unvollständig und ließ eine verlängerte Frist ungenutzt.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 38

4.000 € gegen Rechtsanwalt (Strafverteidiger, Name nicht veröffentlicht) (Hessen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 Abs. 1 lit. a DSGVO, Art. 6 Abs. 1 DSGVO, Art. 10 DSGVO · Beratung & Dienstleistung

Ein Strafverteidiger zeigte in einem Instagram-Werbevideo ungeschwärzte Strafakten, aus denen Daten von mindestens 20 Personen lesbar waren. Es war die erste Geldbuße des HBDI gegen einen Rechtsanwalt.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 41

3.000 € gegen IT-Kleinstunternehmen als Unterauftragsverarbeiter eines Laborbetreibers (Name nicht veröffentlicht) (Hessen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Datensicherheit · Art. 5 Abs. 1 lit. f DSGVO, Art. 32 Abs. 1 lit. b DSGVO · Digitale Dienste

Wegen einer Sicherheitslücke in einer Online-Lösung zum Abruf von Corona-Testergebnissen waren einzelne Ergebnisse teilweise ohne Passwort abrufbar; unautorisierte Zugriffe wurden festgestellt.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 40

177.500 € gegen Telekommunikationsdiensteanbieter (Name nicht veröffentlicht) (Deutschland, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Betroffenenrechte · Art. 15 DSGVO · Telekommunikation

Der Anbieter beantwortete in vielen Fällen Auskunftsersuchen nicht oder unvollständig, insbesondere ohne Angabe der Datenherkunft. Die BfDI ahndete zunächst 22 Verstöße mit Einzelbußen zwischen 7.500 und 20.000 Euro.

Behörde: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Quelle: BfDI, 34. Tätigkeitsbericht 2025 (BT-Drs. 21/5950), Nr. 7.2, S. 37

50.000 € gegen Unternehmen im Umfeld eines Fahrzeugverkaufs (Name nicht veröffentlicht) (Bayern, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Betroffenenrechte · Art. 15 DSGVO, Art. 58 Abs. 2 DSGVO · Beratung & Dienstleistung

Das Unternehmen beantwortete das Auskunftsersuchen einer Kundin nicht und befolgte auch bestandskräftige Anweisungen des BayLDA trotz wiederholter Zwangsgelder nicht.

Behörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA). Quelle: BayLDA, 15. Tätigkeitsbericht 2025, S. 23

7.500 € gegen Gastronomiebetrieb (Name nicht veröffentlicht) (Sachsen, 2025)

Mon, 19 Oct 2026 06:00:00 GMT

Beschäftigtenüberwachung · Art. 6 DSGVO · Gastgewerbe & Tourismus

Ein Gastronomiebetrieb überwachte Gastraum, Küche, Außensitze und eine angrenzende Fußgängerpassage mit zahlreichen Kameras und speicherte die Aufnahmen mindestens 48 Stunden.

Behörde: Sächsische Datenschutz- und Transparenzbeauftragte (SDTB). Quelle: SDTB, Tätigkeitsbericht Datenschutz 2025, Kap. 6, S. 206

265.000.000 € gegen Meta Platforms Ireland Limited (Facebook) (Irland, 2022)

Mon, 19 Oct 2026 06:00:00 GMT

Datensicherheit · Art. 25 DSGVO · Digitale Dienste

Über die Facebook-Suche und die Kontakt-Importfunktionen von Messenger und Instagram konnten Dritte massenhaft Nutzerdaten abgreifen, die später gesammelt im Internet auftauchten. Meta hatte keinen ausreichenden Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen umgesetzt.

Behörde: Data Protection Commission (DPC). Quelle: DPC, Pressemitteilung vom 28.11.2022

100.000.000 € gegen Ridetech International B.V. (Yango) (Niederlande, 2026)

Fri, 04 Sep 2026 06:00:00 GMT

Internationale Datenübermittlung · Art. 5 DSGVO, Art. 44 DSGVO, Art. 46 DSGVO · Verkehr & Logistik

Der Fahrdienst übermittelte Daten seiner Fahrgäste ohne ausreichende Garantien in ein Drittland und legte die Übermittlung nicht offen.

Behörde: Autoriteit Persoonsgegevens (AP). Quelle: Autoriteit Persoonsgegevens, Bußgeldbescheid Yango

31.800.000 € gegen Intesa Sanpaolo S.p.A. (Italien, 2026)

Fri, 04 Sep 2026 06:00:00 GMT

Datensicherheit · Art. 5 DSGVO, Art. 24 DSGVO, Art. 32 DSGVO, Art. 33 DSGVO · Finanzen & Versicherung

Unbefugte Zugriffe von Beschäftigten auf Kundenkonten blieben lange unentdeckt. Die Aufsicht bemängelte fehlende Zugriffskontrollen und die Aufarbeitung des Vorfalls.

Behörde: Garante per la protezione dei dati personali. Quelle: Garante, Entscheidung vom 26.03.2026 (Archivkopie)

27.000.000 € gegen Free Mobile S.A.S. (Frankreich, 2026)

Fri, 04 Sep 2026 06:00:00 GMT

Löschung & Speicherdauer · Art. 5 DSGVO, Art. 32 DSGVO · Telekommunikation

Kundendaten wurden weit über die erforderliche Dauer aufbewahrt, und die Sicherheitsmaßnahmen entsprachen nicht dem Stand der Technik.

Behörde: Commission nationale de l’informatique et des libertés (CNIL). Quelle: CNIL, Délibération vom 08.01.2026

492.000 € gegen Finanzdienstleister (Name nicht veröffentlicht) (Hamburg, 2025)

Fri, 04 Sep 2026 06:00:00 GMT

Automatisierte Entscheidungen · Art. 15 DSGVO, Art. 22 DSGVO · Finanzen & Versicherung

Kreditkartenanträge mehrerer Kundinnen und Kunden wurden automatisiert abgelehnt. Auf Nachfrage erklärte das Unternehmen die dahinterliegende Logik nicht ausreichend.

Behörde: Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Quelle: HmbBfDI, Zwischenbilanz 2025

195.000 € gegen Handelsunternehmen (Name nicht veröffentlicht) (Hamburg, 2025)

Fri, 04 Sep 2026 06:00:00 GMT

Betroffenenrechte · Art. 12 DSGVO, Art. 21 DSGVO · Handel & E-Commerce

Das Unternehmen ließ Postwerbung von einem externen Dienstleister ausspielen und reagierte auf Betroffenenanfragen dazu nicht innerhalb der Fristen.

Behörde: Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Quelle: HmbBfDI, Zwischenbilanz 2025

45.000.000 € gegen Vodafone GmbH (Deutschland, 2025)

Fri, 04 Sep 2026 06:00:00 GMT

Auftragsverarbeitung · Art. 28 DSGVO, Art. 32 DSGVO · Telekommunikation

Zwei Geldbußen: 15 Mio. € dafür, dass Partneragenturen nicht ausreichend geprüft und überwacht wurden — Mitarbeitende dort hatten Verträge zulasten von Kunden fingiert. Weitere 30 Mio. € für Schwachstellen bei der Authentifizierung zwischen dem Portal „MeinVodafone" und der Hotline, über die Dritte eSIM-Profile abrufen konnten.

Behörde: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Quelle: BfDI, Pressemitteilung 6/2025

530.000.000 € gegen TikTok Technology Limited (Irland, 2025)

Fri, 04 Sep 2026 06:00:00 GMT

Internationale Datenübermittlung · Art. 13 DSGVO, Art. 46 DSGVO · Digitale Dienste

Daten europäischer Nutzer waren aus China zugänglich, ohne dass ein gleichwertiges Schutzniveau nachgewiesen wurde. Zusätzlich waren die Angaben zu diesen Übermittlungen unvollständig.

Behörde: Data Protection Commission (DPC). Quelle: DPC, Pressemitteilung vom 02.05.2025

3.500 € gegen Polizeibeamter (Name nicht veröffentlicht) (Baden-Württemberg, 2025)

Fri, 04 Sep 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 6 DSGVO · Öffentlicher Sektor

Ein Beamter rief für private Zwecke Daten aus polizeilichen Systemen ab. Solche Fälle machen einen erheblichen Teil aller deutschen Bußgeldverfahren aus.

Behörde: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI). Quelle: LfDI Baden-Württemberg, Meldung vom 07.03.2025

251.000.000 € gegen Meta Platforms Ireland Limited (Irland, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Meldepflicht bei Datenpannen · Art. 25 DSGVO, Art. 33 DSGVO · Digitale Dienste

Bei der Datenpanne von 2018 („View As") konnten Angreifer Zugriffstoken von rund 29 Mio. Konten erbeuten. Die Meldung an die Aufsicht war unvollständig, und der Datenschutz durch Technikgestaltung griff nicht.

Behörde: Data Protection Commission (DPC). Quelle: DPC Irland, Pressemitteilung vom 17.12.2024

900.000 € gegen Inkassodienstleister (Name nicht veröffentlicht) (Hamburg, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 6 DSGVO · Finanzen & Versicherung

Ergebnis einer branchenweiten Schwerpunktprüfung im Forderungsmanagement: Der Dienstleister verarbeitete Schuldnerdaten ohne tragfähige Rechtsgrundlage.

Behörde: Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Quelle: HmbBfDI, Meldung vom 12.11.2024

310.000.000 € gegen LinkedIn Ireland Unlimited Company (Irland, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 6 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO · Digitale Dienste

Für verhaltensbasierte Werbung und Analysen fehlte eine tragfähige Rechtsgrundlage; weder Einwilligung noch berechtigtes Interesse trugen die Verarbeitung.

Behörde: Data Protection Commission (DPC). Quelle: DPC Irland, Pressemitteilung vom 24.10.2024

91.000.000 € gegen Meta Platforms Ireland Limited (Irland, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Datensicherheit · Art. 5 DSGVO, Art. 32 DSGVO, Art. 33 DSGVO · Digitale Dienste

Passwörter von Nutzern wurden über Jahre im Klartext in internen Systemen gespeichert. Derselbe Fehler, der 2018 Knuddels.de 20.000 € gekostet hatte — nur in anderer Größenordnung.

Behörde: Data Protection Commission (DPC). Quelle: DPC Irland, Pressemitteilung vom 27.09.2024

290.000.000 € gegen Uber Technologies Inc. / Uber B.V. (Niederlande, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Internationale Datenübermittlung · Art. 44 DSGVO · Verkehr & Logistik

Daten europäischer Fahrerinnen und Fahrer — darunter Ausweisdokumente, Standortdaten und in Einzelfällen Gesundheitsdaten — wurden über zwei Jahre ohne geeignete Garantien auf US-Server übertragen.

Behörde: Autoriteit Persoonsgegevens (AP). Quelle: Autoriteit Persoonsgegevens, Pressemitteilung vom 26.08.2024

30.500.000 € gegen Clearview AI Inc. (Niederlande, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO · Digitale Dienste

Aus dem Internet gesammelte Gesichtsbilder wurden zu biometrischen Profilen verarbeitet und als Suchdienst verkauft — ohne Rechtsgrundlage und ohne Wissen der Betroffenen.

Behörde: Autoriteit Persoonsgegevens (AP). Quelle: Autoriteit Persoonsgegevens, Meldung vom 03.09.2024

79.107.101 € gegen Enel Energia S.p.A. (Italien, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Werbung ohne Einwilligung · Art. 5 DSGVO, Art. 24 DSGVO, Art. 32 DSGVO · Energie & Versorgung

Unerlaubtes Telemarketing über ein Netz von Vertriebspartnern, deren Datenquellen der Konzern nicht kontrollierte. Die Aufsicht bemängelte fehlende Steuerung der Auftragsverarbeiter.

Behörde: Garante per la protezione dei dati personali. Quelle: Garante, Provvedimento vom 08.02.2024

496.000 € gegen Großes Unternehmen der Finanzbranche (Name nicht veröffentlicht) (Hessen, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Betroffenenrechte · Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 15 DSGVO · Finanzen & Versicherung

Auskünfte an Betroffene kamen wiederholt zu spät, sensible Kundenunterlagen gingen an falsche Empfänger, und Kunden wurden ohne Einwilligung telefonisch beworben.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 53. Tätigkeitsbericht 2024, Kapitel 3.2

120.000 € gegen Unternehmen (Name nicht veröffentlicht) (Sachsen, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Mitwirkung gegenüber der Aufsicht · Art. 31 DSGVO · Beratung & Dienstleistung

Das Unternehmen wirkte trotz mehrfacher Aufforderung nicht an der Aufklärung mit. Fehlende Mitwirkung ist nach Art. 31 DSGVO ein eigenständiger, bußgeldbewehrter Verstoß.

Behörde: Sächsischer Datenschutzbeauftragter. Quelle: Sächsischer Datenschutzbeauftragter, Tätigkeitsbericht 2024

60.000 € gegen Unternehmen im Gesundheitsbereich (Name nicht veröffentlicht) (Berlin, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Datensicherheit · Art. 32 DSGVO · Gesundheitswesen

Unzureichende technische und organisatorische Maßnahmen im Umgang mit Gesundheitsdaten.

Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI). Quelle: BlnBDI, Jahresbericht 2024

32.000 € gegen Logistikunternehmen (Name nicht veröffentlicht) (Hamburg, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Datensicherheit · Art. 32 DSGVO · Verkehr & Logistik

Listen mit Daten von Zustellern wurden nicht ordnungsgemäß entsorgt.

Behörde: Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Quelle: HmbBfDI, Zwischenbilanz 2024

22.080 € gegen Unternehmen (Name nicht veröffentlicht) (Sachsen, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Mitwirkung gegenüber der Aufsicht · Art. 31 DSGVO · Beratung & Dienstleistung

Auch hier: keine Mitwirkung an der Aufklärung trotz förmlicher Aufforderung.

Behörde: Sächsischer Datenschutzbeauftragter. Quelle: Sächsischer Datenschutzbeauftragter, Tätigkeitsbericht 2024

10.000 € gegen IT-Unternehmen (Name nicht veröffentlicht) (Hessen, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Werbung ohne Einwilligung · Art. 6 DSGVO, Art. 7 DSGVO · Digitale Dienste

Für eine einmalige Kaltakquise-Kampagne wurden über 2.700 Personen angeschrieben, deren Adressen aus öffentlich zugänglichen Quellen zusammengeführt worden waren. Eine Einwilligung lag nicht vor, und die Voraussetzungen des § 7 Abs. 2 UWG waren nicht erfüllt.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 53. Tätigkeitsbericht 2024, Kapitel 3.2

10.000 € gegen Freiberuflicher Websitebetreiber (Name nicht veröffentlicht) (Hessen, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Mitwirkung gegenüber der Aufsicht · Art. 13 DSGVO, Art. 31 DSGVO, Art. 58 DSGVO · Beratung & Dienstleistung

Auf der Website fehlten die Pflichtinformationen nach Art. 13 DSGVO. Der Betreiber ignorierte anschließend eine förmliche Anweisung der Aufsichtsbehörde.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 53. Tätigkeitsbericht 2024, Kapitel 3.2

3.300 € gegen Arztpraxis (Name nicht veröffentlicht) (Hessen, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO · Gesundheitswesen

Die Praxis antwortete öffentlich auf negative Google-Bewertungen und gab dabei Patientendaten preis.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 53. Tätigkeitsbericht 2024, Kapitel 3.2

2.500 € gegen Arztpraxis (Name nicht veröffentlicht) (Hessen, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Datensicherheit · Art. 5 DSGVO, Art. 6 DSGVO, Art. 32 DSGVO · Gesundheitswesen

Patientendaten waren in der Praxis unzureichend gegen unbefugten Zugriff gesichert.

Behörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI). Quelle: HBDI, 53. Tätigkeitsbericht 2024, Kapitel 3.2

6.000 € gegen Onlinehändler (Name nicht veröffentlicht) (Hamburg, 2024)

Fri, 04 Sep 2026 06:00:00 GMT

Meldepflicht bei Datenpannen · Art. 33 DSGVO · Handel & E-Commerce

Eine Verletzung des Schutzes personenbezogener Daten wurde nicht fristgerecht gemeldet.

Behörde: Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Quelle: HmbBfDI, Zwischenbilanz 2024

345.000.000 € gegen TikTok Technology Limited (Irland, 2023)

Fri, 04 Sep 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 5 DSGVO, Art. 12 DSGVO, Art. 25 DSGVO · Digitale Dienste

Konten von Kindern waren voreingestellt öffentlich, und die Funktion „Family Pairing" erlaubte Erwachsenen Einstellungen, die für Minderjährige riskant waren.

Behörde: Data Protection Commission (DPC). Quelle: DPC, Pressemitteilung vom 15.09.2023

40.000.000 € gegen Criteo S.A. (Frankreich, 2023)

Fri, 04 Sep 2026 06:00:00 GMT

Rechtsgrundlage fehlt · Art. 7 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 15 DSGVO · Digitale Dienste

Das Werbenetzwerk konnte für seine Retargeting-Profile keinen Nachweis wirksamer Einwilligungen vorlegen und informierte die Betroffenen unzureichend.

Behörde: Commission nationale de l’informatique et des libertés (CNIL). Quelle: CNIL, Pressemitteilung vom 22.06.2023 (Archivkopie)

300.000 € gegen Deutsche Kreditbank AG (Berlin, 2023)

Fri, 04 Sep 2026 06:00:00 GMT

Automatisierte Entscheidungen · Art. 5 DSGVO, Art. 15 DSGVO, Art. 22 DSGVO · Finanzen & Versicherung

Ein Kreditkartenantrag wurde automatisiert abgelehnt. Auf die Frage nach den Gründen bekam der Antragsteller nur allgemeine Textbausteine — nicht die Logik der Entscheidung.

Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI). Quelle: BlnBDI, Pressemitteilung vom 31.05.2023