Die Datenschutzaufsichtsbehörden verhängen monatlich Bußgelder wegen Verstößen gegen die DSGVO. Daraus können Unternehmen einen Überblick über aktuelle Prüfungsschwerpunkte und die Sanktionspraxis der Behörden gewinnen. Hier finden Sie daher unsere Top-Bußgelder im Oktober 2026.
Unzureichende Anonymisierung von Gesundheitsdaten
Wer nun meint, Halloween gut überstanden zu haben, dem kann beim Blick auf die DSGVO-Bußgelder im Oktober 2026 gleich wieder das Gruseln gelehrt werden: Gesundheitsdaten, nicht anoymisiert, im Netz, Gänsehaut. Dass Anonymisierung leichter gesagt als getan ist, zeigt hier das Bußgeld der italienischen Datenschutzaufsicht (GPDP) gegen IQVIA Solutions Italy. Das Unternehmen betrieb eine Datenbank mit Gesundheitsinformationen von rund einer Million Patienten aus etwa 800 Hausarztpraxen. Die Daten wurden unter anderem für Studien im Auftrag von Pharmaunternehmen genutzt. IQVIA ging davon aus, anonyme Daten zu verarbeiten. Tatsächlich erhielten Patienten jedoch dauerhafte Kennungen, über die sich Krankheitsverläufe nachvollziehen ließen. Zusammen mit Diagnosen, Medikamenten, Geburtsjahr und weiteren Merkmalen bestand die Möglichkeit einer Reidentifizierung. Hinzu kamen erhebliche organisatorische Defizite. Es fehlten angemessene Aufbewahrungsfristen, eine Datenschutz-Folgenabschätzung und ausreichende Informationen für die Patienten. Bei über 3.000 Patienten gelangten sogar unmittelbar identifizierende Angaben in die Datenbank. Die Garante verhängte deshalb ein Bußgeld von 7 Mio. Euro und ordnete umfangreiche Korrekturmaßnahmen an.
Behörde: Garante per la protezione dei dati personali (GPDP)
Branche: Gesundheitsdatenanalyse / Forschung
Verstoß: Art. 5 Abs. 1 lit. a, e und f sowie Abs. 2, Art. 9, 13, 25, 28, 32 und 35 DSGVO
Bußgeld: 7.000.000 Euro
Pseudonymisierung ist nicht gleich Anonymisierung. Werden lediglich Namen entfernt und durch dauerhafte Kennungen ersetzt, können weiterhin personenbezogene Daten vorliegen. Unternehmen sollten daher Reidentifizierungsrisiken sorgfältig bewerten und bei umfangreichen Verarbeitungen sensibler Daten frühzeitig eine Datenschutz-Folgenabschätzung durchführen.
Unwirksame Einwilligung bei sensiblen Dating-Daten
Vom sonnigen Italien geht es weiter in den kühlen Norden. Und hier gefriert es einem das Blut in den Adern. Die norwegische Datenschutzaufsicht Datatilsynet verhängte gegen den zu Microsoft gehörenden Anbieter Xandr Inc. ein Bußgeld von 8,6 Mio. Euro. Das Unternehmen hatte personenbezogene Daten von Grindr-Nutzern im Rahmen automatisierter Werbeauktionen (Real-Time Bidding) verarbeitet – und das ohne Rechtsgrundlage. Bereits die Information, dass jemand diese Dating-App nutzt, kann Rückschlüsse auf die sexuelle Orientierung zulassen. Neben dieser Information verarbeitete Xandr unter anderem Werbe-IDs und IP-Adressen. Xandr berief sich auf die von Grindr eingeholten Einwilligungen. Diese waren jedoch – wie wir wissen – unwirksam. Als gemeinsam Verantwortlicher hätte Xandr deren Wirksamkeit eigenständig überprüfen müssen. Bereits 2021 verhängte die norwegische Datenschutzaufsicht ein Millionenbußgeld gegen den Dating-App-Betreiber, welches erst letztes Jahr durch das Berufungsgericht bestätigt wurde. Nun trifft es auch einen der damaligen Werbepartner, und zwar rund 2,2 Millionen härter.
Behörde: Datatilsynet
Branche: Werbetechnologie
Verstoß: Art. 6 Abs. 1 und Art. 9 Abs. 1 DSGVO
Bußgeld: 8.600.000 Euro
Wer im Rahmen der gemeinsamen Verantwortlichkeit Daten von Geschäftspartnern erhält, muss deren rechtmäßige Verarbeitung selbst prüfen. Gerade bei Werbenetzwerken genügt blindes Vertrauen auf fremde Einwilligungsprozesse nicht.
Unzureichender Schutz von Patientendaten beim Tracking
Wir bleiben im hohen Norden und wechseln nach Finnland. Dort musste der Softwareanbieter Mindemo Oy, ehemals Heltti Oy, feststellen, dass sich Tracking-Technologien und sensible Gesundheitsinformationen nicht unbedingt besonders gut vertragen. Das Gesundheitsdienstleistungsunternehmen hatte auf seiner Online-Buchungsplattform für Therapien Cookies und Tracking-Tools eingesetzt. Dadurch wurden sensible Gesundheitsdaten von Nutzern, wie Informationen über die Terminbuchung und die gewählte Therapieform, ohne ausreichende Schutzmaßnahmen an Google, Meta und Microsoft übermittelt. Die Daten waren nicht so anonymisiert, dass ein Personenbezug ausgeschlossen werden konnte. Die finnische Datenschutzaufsicht beanstandete insbesondere unzureichende technische und organisatorische Sicherheitsvorkehrungen. Dafür wurden 33.000 Euro fällig.
Behörde: Tietosuojavaltuutetun toimisto
Branche: Gesundheitswesen
Verstoß: Art. 5 Abs. 1 lit. f, Art. 25 Abs. 1 und 2 sowie Art. 32 Abs. 1 und 2 DSGVO
Bußgeld: 33.000 Euro
Bereits die Buchung einer bestimmten ärztlichen Leistung kann sensible Rückschlüsse ermöglichen. Gerade Gesundheitsportale sollten deshalb prüfen, welche Informationen tatsächlich an Analyse- und Werbedienste fließen. Eine Einwilligung in Tracking ersetzt keine angemessenen Sicherheitsmaßnahmen.
Unzulässige Veröffentlichung von Bewerberdaten
Also doch besser zurück nach Italien. Die italienische Digitalagentur Agenzia per l’Italia Digitale (AgID) veröffentlichte 2021 eine Liste mit Namen und Prüfungsergebnissen von 15 Bewerbern, die zur mündlichen Prüfung zugelassen worden waren. Obwohl die Behörde davon ausging, das Dokument längst durch eine Fassung ohne unmittelbar identifizierende Angaben ersetzt zu haben, blieb die ursprüngliche Liste bis zur Intervention der Datenschutzaufsicht öffentlich abrufbar. Die italienische Aufsichtbehörde stellte klar: Im betreffenden öffentlichen Auswahlverfahren durften die endgültigen Ranglisten veröffentlicht werden, nicht jedoch Zwischenstände mit personenbezogenen Prüfungsergebnissen. Diese Informationen gehören in einen zugangsbeschränkten Bereich für die Teilnehmer.
Behörde: Garante per la protezione dei dati personali (GPDP)
Branche: Öffentlicher Sektor
Verstoß: Art. 5 Abs. 1 lit. a und c, Art. 6 Abs. 1 lit. c und e DSGVO
Bußgeld: 15.000 Euro
Nur weil eine Behörde zur Transparenz verpflichtet ist, darf sie noch lange nicht sämtliche Bewerberdaten veröffentlichen. Für die Veröffentlichung personenbezogener Daten bedarf es einer geeigneten Rechtsgrundlage nach Art. 6 DSGVO. Eine allgemeine Berufung auf die Erfüllung rechtlicher Verpflichtungen i.S.d. Art. 6 Abs. 1 lit. c DSGVO oder die Wahrnehmung öffentlicher Aufgaben gem. Art. 6 Abs. 1 lit. e DSGVO reicht hierfür nicht aus.
Mangelnde Datensicherheit in Testumgebungen
Eine Testumgebung sollte eigentlich dazu dienen, Fehler zu finden bzw. Gefahren präventiv auzuschließen – und nicht selbst zum Datenschutzproblem werden. Genau das passierte bei MYCONNECTOR PLATFORM SRL in Rumänien. Nach einem Cyberangriff auf einen Testserver konnten Unbefugte auf die „Testdaten“ zugreifen. Besonders kritisch war, dass das Unternehmen reale Nutzerdaten statt fiktiver Testdatensätze verwendete, darunter Namen, Telefonnummern, E-Mail-Adressen sowie persönliche Identifikations- und Ausweisnummern. Die rumänische Datenschutzaufsicht (ANSPDCP) verhängte ein Bußgeld und ordnete an, eine interne Regelung für die ausschließliche Verwendung fiktiver Daten in Entwicklungs- und Testumgebungen einzuführen.
Behörde: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)
Branche: Digitale Dienstleistungen
Verstoß: Art. 32 Abs. 1 lit. b und Abs. 2 DSGVO
Bußgeld: 6.000 Euro
Entwicklungs- und Testumgebungen sind keine datenschutzrechtlichen Freiräume. Sinnvoll sind isolierte Sandbox-Umgebungen, strenge Zugriffsbeschränkungen und synthetische Testdaten. Sollen bestehende Datensätze verwendet werden, kommt eine wirksame Anonymisierung in Betracht. Der Einsatz echter personenbezogener Daten zu Testzwecken nicht grundsätzlich ausgeschlossen, bedarf aber einer sorgfältigen Einzelfallprüfung hinsichtlich Rechtsgrundlage, Zweckbindung und Erforderlichkeit. Zudem müssen in einer getrennten Testumgebung dieselben angemessenen Sicherheitsstandards wie im Produktivsystem gelten.
