Top 5 DSGVO-Bußgelder im August 2026

Die Datenschutzaufsichtsbehörden verhängen monatlich Bußgelder wegen Verstößen gegen die DSGVO. Daraus können Unternehmen einen Überblick über aktuelle Prüfungsschwerpunkte und die Sanktionspraxis der Behörden gewinnen. Hier finden Sie daher unsere Top Bußgelder im August 2026.

Uber sperrt automatisch Fahrerkonten

Uber hat zwischen 2018 und 2022 Fahrerkonten vollautomatisiert durch Algorithmen sperren lassen, ohne die Betroffenen ausreichend zu informieren oder eine echte menschliche Kontrolle vorzusehen. Auslöser konnten Betrugsverdacht oder dauerhaft zu niedrige Kundenbewertungen sein. Eine Vorwarnung oder Möglichkeit, Einspruch einzulegen, gab es nicht. Auch wurden die Fahrer:innen nicht darüber informiert, dass die Entscheidung Ergebnis eines automatisierten Vorgangs war.

Ausgelöst wurde das Verfahren durch gebündelte Beschwerden französischer Fahrer:innen. Uber hat seinen Hauptsitz in den Niederlanden, sodass die niederländische Aufsichtsbehörde das Verfahren über den One-Stop-Shop-Mechanismus übernahm. Die Behörde wertete den langen Zeitraum der Verstöße als besonders schwerwiegend, ebenso wie die Tatsache, dass den Fahrer:innen ihr Einkommen ohne jede Vorwarnung entzogen wurde.

Behörde: Autoriteit Persoonsgegevens (Niederlande)
Branche: Mobilität und Technologieplattform
Verstoß: Automatisierte Sperrung von Fahrerkonten (Art. 22 DSGVO)
Bußgeld: 825.000.000 Euro

Der Fall zeigt, dass mit wiederkehrenden Verstößen die Höhe des Bußgeldes deutlich steigt. Für Uber stellt dies bereits das vierte Bußgeld dar. Darüber hinaus verdeutlicht der Fall, welche Gefahren beim Einsatz von vollautomatisierten Entscheidungsprozessen bestehen.

Pharmaunternehmen droht Mitarbeitenden der Aufsichtsbehörde Klage

Die norwegische Aufsichtsbehörde Datatilsynet verhängte ein Bußgeld von 205.000 NOK gegen Lab Pharma. Auslöser war die Beschwerde eines Betroffenen im Jahr 2023. Das Bußgeld wurde jedoch nicht für den ursprünglichen Datenschutzverstoß verhängt, sondern wegen Verletzung der Kooperationspflicht nach Art. 31 DSGVO.

Lab Pharma reagierte auf die Ermittlungsmaßnahmen der Aufsichtsbehörde, indem es mehrere E-Mails an Mitarbeiter der norwegischen Datenschutzbehörde schickte. Die E-Mails enthielten abfällige Äußerungen und Drohungen. Lab Pharma drohte mit polizeilicher Überprüfung und Klage, würden die Ermittlungen nicht eingestellt. Im Laufe des Verfahrens wurde Lab Pharma eine neue Frist zur Beantwortung gewährt, welche das Unternehmen ebenfalls verstreichen ließ.

Behörde: Datatilsynet (Norwegen)
Branche: Pharmaindustrie
Verstoß: Verletzung der Kooperationspflicht (Art. 31 DSGVO)
Bußgeld: 17.835 Euro

Der Fall verdeutlicht die Wichtigkeit einer Kooperation bei Überprüfungsmaßnahmen der Aufsichtsbehörden. Einerseits wegen der bestehenden Bußgeldgefahr nach Art. 31 DSGVO, andererseits aufgrund der Rufschädigung, die im Falle eines Konflikts mit der Aufsichtsbehörde durch gesteigertes öffentliches Interesse zu befürchten ist.

Privatperson gibt neue Telefonnummer an Ex-Partner

Eine Mitarbeiterin eines Wiener Telekommunikationsunternehmens verschaffte sich über einen internen „Master-Zugang“ ohne erforderliches Kundenkennwort Zugriff auf das Kundenkonto einer Kundin, ohne, dass hierzu eine Weisung ihres Arbeitgebers bestand. Auf Bitte des Expartners der Betroffenen bestätigte sie diesem die nach einem Rufnummernwechsel vergebene neue Telefonnummer. Der Expartner belästigte die Kundin anschließend mit zahlreichen Anrufen. Die Datenschutzbehörde wertete sowohl die Einsichtnahme als auch die Offenlegung als unrechtmäßige Verarbeitung ohne Rechtsgrundlage. Wegen vorsätzlichen Handelns, des Missbrauchs dienstlicher Zugriffsrechte und der Verletzung der Datenschutzgrundsätze verhängte sie gegen die Mitarbeiterin eine Geldstrafe von 700 Euro.

Behörde: Datenschutzbehörde (Österreich)
Branche: Telekommunikation (Handeln einer Beschäftigten ohne Weisung)
Verstoß: Unbefugte Weiterleitung von personenbezogenen Daten
Bußgeld: 700 Euro

Der Fall zeigt, dass auch einzelne Beschäftigte bei Missbrauch ihrer dienstlichen Zugriffsrechte Verantwortliche i.S.v. Art. 4 Nr. 7 DSGVO und Adressaten eines Bußgeldes sein können. Hierfür ist es unschädlich, wenn die Weitergabe an einen Dritten aus „Gutmütigkeit“ erfolgt.

Durchsicht von E-Mail-Konten bei Piaggio

Die italienische Datenschutzbehörde hat wegen Verstoßes gegen die Grundsätze der Datenminimierung, Verhältnismäßigkeit und gegen die Informationspflichten gegen Piaggio ein Bußgeld von 460.000 Euro verhängt. Anlass waren Beschwerden zweier ehemaliger Beschäftigter, die eine Bestätigung der Deaktivierung ihrer Firmenpostfächer verlangten. Piaggio hatte die Konten zwar gesperrt und gelöscht, wertete anschließend jedoch mindestens 112 E-Mails aus Backups aus. Diese wurden zur Vorbereitung disziplinarischer Maßnahmen verwendet, obwohl der Verdacht erst im November 2022 entstanden war und die Daten teilweise bis 2020 zurückreichten.

Die Behörde bewertete die rückwirkende Kontrolle als unverhältnismäßig und sah außerdem Verstöße gegen Informationspflichten sowie gegen die Rechte der Betroffenen, da Piaggio auf deren Anfragen nicht fristgerecht antwortete. Problematisch waren ferner eine fünfjährige Aufbewahrung nach Beschäftigungsende und sechsmonatige Protokollspeicherung. Piaggio verkürzte die Fristen inzwischen auf drei Monate beziehungsweise 21 Tage. Zusätzlich verbot die Behörde den Zugriff auf die gespeicherten Kommunikationsinhalte.

Behörde: Garante (Italien)
Branche: Automobilindustrie (Zweiräder)
Verstoß: Informationspflichten, Datenminimierung, Betroffenenrechte (Art. 5 Abs. 1 lit. c, lit. e, Art. 12, Art. 13 DSGVO)
Bußgeld: 460.000 Euro

Der Fall zeigt, dass Unternehmen dienstliche E-Mail-Postfächer nicht unbegrenzt speichern oder nachträglich durchsuchen dürfen. Kontrollen müssen auf konkrete Verdachtsmomente beschränkt und verhältnismäßig sein. Sie dürfen nicht weiter zurückreichen, als bis zur erstmaligen Verdachtsbegründung, wenn von einem erstmaligen Fehlverhalten auszugehen ist. Beim Ausscheiden von Mitarbeitenden sollten Postfächer unverzüglich deaktiviert und gelöscht beziehungsweise technisch gesperrt werden. Anfragen betroffener Personen müssen fristgerecht beantwortet werden.

Weiternutzung von E-Mail-Postfach nach Beendigung des Arbeitsverhältnisses

Die belgische Datenschutzbehörde APD/GBA verhängte gegen eine Wirtschaftsprüfungsgesellschaft ein Bußgeld von 8.500 Euro. Anlass war die Beschwerde eines ehemaligen Mitarbeiters, der im Juni 2021 ausgeschieden war. Seine berufliche E-Mail-Adresse blieb jedoch mindestens bis April 2023 aktiv. Eine automatische Nachricht über sein Ausscheiden fehlte.

Das Unternehmen griff gelegentlich auf das Postfach zu und las dabei auch private E-Mails. Einen Löschantrag des ehemaligen Mitarbeiters vom Januar 2023 beantwortete es nicht. Die Gesellschaft berief sich auf ein berechtigtes Interesse nach Artikel 6 Absatz 1 lit. f DSGVO. Sie vertrat die Ansicht, als zertifizierte Wirtschaftsprüfungsgesellschaft müsse sie Verjährungsfristen und steuerprüfungsbezogene Pflichten beachten. Die Behörde lehnte dies ab. Erforderliche betriebliche Informationen hätten vor dem Austritt gesichert und ordnungsgemäß archiviert werden müssen; ein fortdauernd offenes vollständiges Postfach sei kein Archiv. Zulässig sei höchstens eine automatische Abwesenheitsantwort für ein bis drei Monate gewesen.

Behörde: APD/GBA (Belgien)
Branche: Wirtschaftsprüfung
Verstoß: fehlende Löschung von Daten (Art. 6 Abs. 1, Art. 17, Art. 12 Abs. 3 DSGVO)
Bußgeld: 8.500 Euro

Der Fall zeigt, dass bei Ausscheiden von Mitarbeitenden eine besondere Sorgfalt hinsichtlich der Schließung und Archivierung von E-Mail-Postfächern erforderlich ist. Im Rahmen von Off-Boarding-Prozessen sollte eine frühzeitige  Abstimmung mit dem ausscheidenden Mitarbeiter angestrebt werden, um einen angemessenen Ausgleich zwischen Dokumentations- und Löschpflichten sowie einer reibungsloser Übergabe laufender Arbeitsprozesse zu gewährleisten.