Die Datenschutzaufsichtsbehörden verhängen monatlich Bußgelder wegen Verstößen gegen die DSGVO. Aus diesen können Unternehmen einen Überblick über aktuelle Prüfungsschwerpunkte und die Sanktionspraxis der Behörden gewinnen. Hier finden Sie daher unsere Top 5 Bußgelder im Juli 2026.
Ausweisscans ohne Erforderlichkeitsprüfung
Die polnische Datenschutzbehörde UODO verhängte gegen eine Bank ein Bußgeld in Höhe von 18.416.400 PLN (rund 4,3 Millionen Euro). Das Institut hatte im Zeitraum vom 1. April 2019 bis zum 23. September 2020 systematisch Scans von Ausweisdokumenten sowohl bestehender Kunden als auch Interessenten angefertigt, ohne im Einzelfall zu prüfen, ob dies zur Erfüllung der geldwäscherechtlichen Pflichten tatsächlich erforderlich war. Zwar sieht das polnische Geldwäschegesetz eine entsprechende Befugnis vor. Die Behörde stellte jedoch klar, dass diese nicht pauschal ausgeübt werden darf, sondern eine Erforderlichkeitsprüfung im Einzelfall voraussetzt.
Behörde: Urząd Ochrony Danych Osobowych (UODO)
Branche: Bank- und Finanzwesen
Verstoß: Art. 5 Abs. 1 lit. a, b und c DSGVO, Art. 6 Abs. 1 DSGVO
Bußgeld: 18.416.400 PLN (rund 4,3 Millionen Euro)
Der Fall zeigt, dass sich Verantwortliche nicht pauschal auf gesetzliche Pflichten berufen können, um weitreichende Datenverarbeitungen zu rechtfertigen. Auch bei bestehenden Rechtspflichten bleiben die Grundsätze der Rechtmäßigkeit, Zweckbindung und Datenminimierung nach Art. 5 Abs. 1 DSGVO zu beachten. Ob und in welchem Umfang ein Ausweisdokument tatsächlich kopiert oder gescannt werden muss, ist daher im Einzelfall zu prüfen.
Hacker als Support-Techniker
Die italienische Datenschutzbehörde verhängte gegen den Telekommunikationsanbieter Wind Tre ein hohes Bußgeld, nachdem das Unternehmen zwei Datenpannen selbst gemeldet hatte. Angreifer hatten Mitarbeitende von Verkaufsstellen telefonisch kontaktiert und unter dem Vorwand einer technischen Assistenz Fernzugriff auf deren Geräte erlangt. Anschließend nutzten sie unzureichend abgesicherte APIs, um die Kundendatenbank systematisch abzufragen. Betroffen waren die Daten von über 365.000 Kundinnen und Kunden, bei rund 41.000 von ihnen auch Zahlungsinformationen. Die Behörde stellte erhebliche Mängel bei der Verwaltung von Zugangsdaten und bei den Sicherheitsprüfungen fest. Die zügige Meldung, die eingeleiteten Abhilfemaßnahmen und die Kooperation wurden bei der Bemessung der Bußgeldhöhe mildernd berücksichtigt.
Behörde: Garante per la protezione dei dati personali (GPDP)
Branche: Telekommunikation
Verstoß: Art. 5 Abs. 1 lit. f DSGVO, Art. 32 Abs. 1 lit. b DSGVO
Bußgeld: 1.715.600 Euro
Der Fall verdeutlicht, wie Social-Engineering-Angriffe funktionieren: Sie umgehen technische Schutzmechanismen, indem sie beim Menschen ansetzen. Sie lassen sich nur durch klar definierte Authentifizierungs- und Freigabeprozesse, geschulte Beschäftigte sowie regelmäßig überprüfte Zugriffsrechte wirksam eindämmen.
Biometrisches Mitgliederregister ohne Datenschutz-Folgenabschätzung
Die digitale Aktualisierung des Mitgliederverzeichnisses beim FC Barcelona endete für den Verein mit einem Bußgeld in Höhe von 500.000 Euro. Ein Mitglied des Vereins hatte sich bei der spanischen Aufsichtsbehörde darüber beschwert, dass der Verein im Rahmen der digitalen Aktualisierung des Mitgliederregisters (Zensus) verpflichtend biometrische Daten – insbesondere Gesichtsbewegungen und Stimme – erhoben hatte. Die AEPD stellte fest, dass für diese Verarbeitung keine Datenschutz-Folgenabschätzung durchgeführt worden war, obwohl die Voraussetzungen des Art. 35 DSGVO erkennbar erfüllt waren. Die vom Verein vorgelegten Risikobewertungen wertete die Behörde nicht als vollwertige Datenschutz-Folgenabschätzung, unter anderem weil sie erst nach Abschluss der Verträge mit den Auftragsverarbeitern erstellt worden waren.
Behörde: Agencia Española de Protección de Datos (AEPD)
Branche: Sport
Verstoß: Art. 35 DSGVO
Bußgeld: 500.000 Euro
Die Entscheidung zeigt, dass eine Datenschutz-Folgenabschätzung keine bloße Formalie ist, sondern regelmäßig eine zwingende Voraussetzung, sobald biometrische Verfahren zur eindeutigen Identifizierung eingesetzt werden. Verantwortliche sollten frühzeitig prüfen, ob eine geplante Verarbeitung auf den Positivlisten der Aufsichtsbehörden geführt wird oder ansonsten ein voraussichtlich hohes Risiko begründet.
KI-Chatbot ohne Jugendschutz
Die italienische Datenschutzbehörde nahm den Betreiber des KI-Chatbots „Character.AI“ von Amts wegen ins Visier. Bei dem in den USA ansässigen Unternehmen Character Technologies Inc. beanstandete die Behörde gleich mehrere Verstöße: eine unzureichende Datenschutzerklärung, das Fehlen eines EU-Vertreters nach Art. 27 DSGVO sowie eine unterbliebene Datenschutz-Folgenabschätzung. Besonders kritisch bewertete die Behörde die mangelhaften Schutzvorkehrungen für Minderjährige und die unzureichenden Altersverifikationsverfahren. Neben dem Bußgeld ordnete die Aufsicht weitere Abhilfemaßnahmen an.
Behörde: Garante per la protezione dei dati personali (GPDP)
Branche: Künstliche Intelligenz
Verstoß: Art. 5 Abs. 2 DSGVO, Art. 12 Abs. 1 DSGVO, Art. 13 Abs. 1 und 2 DSGVO, Art. 14 Abs. 1 und 2 DSGVO, Art. 24 Abs. 1 DSGVO, Art. 25 Abs. 2 DSGVO, Art. 27 Abs. 1 DSGVO, Art. 35 Abs. 1 DSGVO
Bußgeld: 158.000 Euro
Der Fall bündelt zahlreiche Umsetzungsdefizite von KI-Anbietern und zeigt, dass Aufsichtsbehörden Anbieter generativer KI-Systeme zunehmend proaktiv prüfen. Besonders hervorzuheben ist der Fokus auf den Schutz Minderjähriger: Wo Angebote von Kindern und Jugendlichen genutzt werden können, sind wirksame Altersverifikations- und Schutzkonzepte einzurichten.
Lastschrift ohne Einwilligung
Nach der Beschwerde eines Kunden leitete die spanische Aufsichtsbehörde ein Verfahren gegen die Bank BBVA ein. Der Kunde hatte zwei Konten gekündigt und ein neues eröffnet. Rund einen Monat später buchte BBVA eine Lastschrift, die eigentlich zu einem der gekündigten Konten gehörte, vom neuen Konto ab. Die Bank berief sich auf eine mündlich erteilte Zustimmung, konnte diese aber nicht nachweisen. Die Behörde stellte klar, dass ein SEPA-Mandat an eine konkrete IBAN gebunden ist und für die Abbuchung von einem anderen Konto desselben Kunden eine gesonderte Autorisierung erforderlich gewesen wäre. Das ursprünglich festgesetzte Bußgeld von 100.000 Euro wurde wegen freiwilliger und fristgerechter Zahlung reduziert.
Behörde: Agencia Española de Protección de Datos (AEPD)
Branche: Bank- und Finanzwesen
Verstoß: Art. 6 DSGVO
Bußgeld: 80.000 Euro (ursprünglich 100.000 Euro)
Der Fall verdeutlicht die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss aktiv nachweisen können, worauf er seine Verarbeitung stützt. Wer sich dabei auf eine Einwilligung beruft, muss diese auch belegen können. Eine bloß mündlich behauptete Zustimmung reicht dafür regelmäßig nicht aus.
