Die Datenschutzaufsichtsbehörden verhängen monatlich Bußgelder wegen Verstößen gegen die DSGVO. Aus diesen können Unternehmen einen Überblick über aktuelle Prüfungsschwerpunkte und die Sanktionspraxis der Behörden gewinnen. Hier finden Sie daher unsere Top 5 Bußgelder im Juni 2026.
Der Inhalt im Überblick
Unzulässige Einwilligung
Die norwegische Einzelhandelskette Elkjop bietet, wie viele andere auch, ein Treueprogramm für seine Kunden an. Die Teilnahme daran basierte auf einer Einwilligung der Kunden. Die Datenschutzbehörde war jedoch der Ansicht, dass diese unzulässig war. Sie sei nicht spezifisch genug, da sie mit verschiedenen Zwecken verbunden war, die nur vage beschrieben waren und die Nutzer seien generell nicht ausreichend über die geplante Datenverarbeitung informiert worden. Zudem wurde bemängelt, dass es nicht möglich war, für die verschiedenen Verarbeitungsvorgänge eine gesonderte Einwilligung zu erteilen. Die Daten wurden außerdem in einem Matching-Tool verarbeitet, wofür es nach Ansicht der Behörde keine Rechtsgrundlage gab. Weitere Punkte waren die unzureichende Dokumentation einer Interessenabwägung und Mängel bei der Bearbeitung von Betroffenenanfragen (Anträge auf Berichtigung von E-Mail-Adressen wurden als komplex eingestuft, was zu einer automatischen Fristverlängerung führte).
Behörde: Datatilsynet
Branche: Einzelhandel für Unterhaltungselektronik und Haushaltsgeräte
Verstoß: Art. 7 DSGVO, Art. 12 ff. DSGVO, Art. 6 Abs. 4 DSGVO
Bußgeld: 1.820.000 €
Der Fall zeigt, dass gerade bei großen einwilligungspflichtigen Kampagnen mit umfassender Außenwirkung wie einem Treueprogramm, die Voraussetzungen der Art. 6 Abs. 1 lit. a und Art. 7 DSGVO genauestens geprüft werden müssen. Wenn mit der Einwilligung zahlreiche Datenverarbeitungsvorgänge einhergehen, muss über diese transparent und umfassend informiert werden. Für Verarbeitungen, die nicht von der Einwilligung umfasst sind (in diesem Fall das Matching-Tool), ist ggf. eine Vereinbarkeitsprüfung gem. Art. 6 Abs. 4 DSGVO durchzuführen und zu dokumentieren. Die Einstufung einer simplen Betroffenenanfrage wie der Berichtigung einer E-Mail-Adresse als „komplex“, um die Bearbeitungsfrist künstlich zu verlängern, ist unzulässig. Die DSGVO sieht eine Frist von einem Monat vor, die nur bei tatsächlich komplexen Anfragen (z. B. sehr umfangreiche Auskunftsersuchen) um weitere zwei Monate verlängert werden darf. Entsprechende Prozesse müssen im Unternehmen etabliert werden.
Unzureichende Verifikation
Die spanische Datenschutzbehörde erhielt eine Beschwerde einer Kundin der Vodafone España. Eine dritte Person hatte es geschafft, die Sicherheitstests des Telefonservice zu bestehen und veranlasst, eine Kopie einer an die Betroffene adressierten Rechnung zu erhalten. Die Telefonrechnung der Betroffenen wurde ohne ihre Einwilligung an eine E-Mail-Adresse des Dritten versandt, die nicht in ihrem Kundenprofil vermerkt war und die auf Wunsch des Dritten eigens zum Erhalt des Rechnungsduplikats geändert worden war. Die Behörde wertete die Sicherheitsmaßnahmen daher als unzureichend. Die von Vodafone getroffenen Vorkehrungen für Vorgänge, die per Telefonanruf durchgeführt werden können, könnten die Datensicherheit nicht gewährleisten, insbesondere wenn der Vorgang von einer anderen Person als dem Vertragsinhaber beantragt wird. Die konkret durch Vodafone genutzten Maßnahmen wurden nicht veröffentlicht.
Behörde: Agencia Española de Protección de Datos (AEPD)
Branche: Telekommunikation
Verstoß: Art. 6 Abs. 1 DSGVO, Art. 32 DSGVO
Bußgeld: 1.050.000 €
Hier wird deutlich, wie essenziell eine Verifikation der Identität eines Betroffenen in Fällen sein kann, in denen die Änderung von und der Zugriff auf Daten durch eine erfolgreiche Verifikation ermöglicht wird. In ähnlichen Fällen wurden in der Vergangenheit auch bereits von anderen europäischen Behörden hohe Bußgelder verhängt, selbst wenn es sich um nur einen Betroffenen handelte. Für telefonische Vorgänge ist daher unbedingt ein verlässlicher Prozess zu etablieren, der die Identität/Berechtigung des Anrufers zweifelsfrei bestätigt.
Cyber-Angriff auf Krankenhaus
Das Laborinformationssystem des Midlands Regional Hospital Tullamore wurde Opfer eines Cyber-Angriffs (Ransomware) in dessen Folge personenbezogene Daten (auch Gesundheitsdaten) von ca. 84.000 Patienten verschlüsselt wurden. Dadurch bestanden Risiken für die klinische Versorgung der Patienten. Die Datenschutzbehörde bemängelte die technischen und organisatorischen Sicherheitsmaßnahmen und stellte zudem fest, dass die Betroffenen nicht ordnungsgemäß über den Datenschutzvorfall informiert wurden. Auftragsverarbeitungsverträge seien außerdem nur unzulänglich abgeschlossen worden und das Krankenhaus führte darüber hinaus kein vollständiges Verarbeitungsverzeichnis.
Behörde: Data Protection Commission (DPC)
Branche: Medizin
Verstoß: Art. 32 DSGVO, Art. 34 DSGVO, Art. 30 DSGVO
Bußgeld: 300.000 €
Werden besonders viele und dann auch noch sensible Daten durch einen Verantwortlichen verarbeitet, sind an die technischen und organisatorischen Maßnahmen besonders hohe Anforderungen zu stellen. Ransomware-Schutz, Verschlüsselung, Backups, Zugriffskontrollen etc. müssen regelmäßig geprüft und gegebenenfalls angepasst werden. Oft treten, wie hier geschehen, durch einen Vorfall auch weitere datenschutzrechtliche Mängel zu Tage, sodass sich einmal mehr die Wichtigkeit einer ordentlichen Datenschutzorganisation zeigt.
Datenverarbeitung ohne Rechtsgrundlage und ohne Transparenz
Eine Betroffene erhielt einen Anruf eines Vertriebsmitarbeiters, welcher ihr Dienste eines unbekannten Energieunternehmens anbot. Die Betroffene lehnte ab. Es stellte sich erst im Nachhinein heraus, dass der Vertriebsmitarbeiter ein Handelsvertreter ist und bei einem für den Verantwortlichen (Gesternova) tätigen Unternehmen beschäftigt ist. Im Anschluss an das Telefonat erhielt sie eine E-Mail mit dem Betreff „Bitte überprüfen und bestätigen Sie Ihre Daten für den Stromvertrag mit Gesternova“. Obgleich sie während des Telefonats keine Daten preisgab, enthielt die E-Mail ihren vollständigen Namen, ihre Adresse und ihre Bankkontonummer mit dem Hinweis: „Nachfolgend finden Sie eine Zusammenfassung der Daten, die Sie uns während des Vertragsabschlusses zur Verfügung gestellt haben.“ Die Betroffene hatte zuvor keine Geschäftsbeziehung mit der Firma Gesternova. Sie wurde auch nicht über die Identität von Gesternova als Verantwortlichen, den konkreten Zweck der Verarbeitung, die Rechtsgrundlage für die Datenerhebung sowie die Rechte, die sie geltend machen konnte, informiert.
Behörde: Agencia Española de Protección de Datos (AEPD)
Branche: Energie
Verstoß: Art. 6 Abs. 1 DSGVO, Art. 13 DSGVO
Bußgeld: 220.000 €
„Augen auf bei der Dienstleisterauswahl!“ möchte man angesichts dieses Falles dem Verantwortlichen zurufen. Im vorliegenden Fall agierte der Handelsvertreter nach Ansicht der Behörde als Auftragsverarbeiter, womit der Verantwortliche unmittelbar für dessen Verfehlungen geradestehen muss. Bei der Verarbeitung personenbezogener Daten, insbesondere für Vertriebs-/Werbezwecke, muss eine lückenlose Kette von Rechtmäßigkeit und Transparenz vorhanden sein. Der Verantwortliche verfügt hierzu über gesetzlich zwingende Weisungs- und Kontrollrechte.
Speicherbegrenzung und fehlende Rechtsgrundlage
Die kroatische Datenschutzbehörde AZOP stellte bei einer Immobilienagentur mehrere Verstöße gegen die DSGVO fest. Die Agentur speicherte personenbezogene Daten von über 11.800 Kunden länger, als es für den Zweck der Verarbeitung erforderlich war, bewahrte über 900 Kopien von Ausweisdokumenten und Bankkarten auf, ohne dafür eine Rechtsgrundlage nachweisen zu können. Besonders brisant war dabei, dass der Geschäftsführer zunächst angab, dass überhaupt keine Kopien von Bankkarten gesammelt würden, wohingegen aus den Unterlagen hervorging, dass Kopien von Bankkarten ein integraler Bestandteil der Unterlagen für die Kundenvermittlung waren. Die Behörde stellte zudem noch fest, dass keine ausreichenden Schulungen für die Mitarbeiter durchgeführt wurden (zu unregelmäßig und in zu kleinem Umfang).
Behörde: Agencija za zaštitu osobnih podataka (AZOP)
Branche: Immobilien
Verstoß: Art. 6 Abs. 1 DSGVO, Art. 32 DSGVO, Art. 5 Abs. 1 lit. e DSGVO
Bußgeld: 100.000 €
Der Fall zeigt exemplarisch, wie eine Missachtung von DSGVO-Prinzipien wie Datenminimierung und Speicherbegrenzung direkt aus mangelndem Bewusstsein und fehlender Kontrolle durch die Geschäftsführung resultieren kann. Wenn das Management die eigenen Datenprozesse nicht kennt oder sogar verschleiert, sind systematische Verstöße die Folge. Das (ohnehin verpflichtende) Führen eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO) und die Etablierung eines Löschkonzepts hätte hier ein Bußgeld verhindern können.
