Die spanische Datenschutzbehörde verhängte ein Bußgeld gegen DYNAMIC EXPRESS COURIER, weil das Unternehmen ohne vorherige schriftliche Genehmigung des Verantwortlichen als Unterauftragnehmer tätig wurde, der Verantwortliche nicht über die Beauftragung von AUTORADIO-Diensten informiert wurde und kein DSGVO-konformer Unterauftragnehmervertrag mit SENDING bestand.

Die spanische Datenschutzbehörde AEPD verhängte gegen ein Hotelunternehmen eine Geldbuße, weil das Unternehmen von Online-Gästen unzulässig die Vorlage vollständiger Personalausweis‑Scans (DNI‑Fotos) verlangte, obwohl dies für die Reservierung nicht erforderlich war. 

Die ursprüngliche Strafsumme von 1.500 EUR wurde wegen freiwilliger Zahlung auf 1.200 EUR reduziert.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Depurazione Acqua hatte Personendaten von Conversion Media gekauft und die so Betroffenen angerufen, ohne dass diese einer solchen Verarbeitung je zugestimmt hätten.

Die italienische Datenschutzbehörde untersuchte die Beschwerde eines ehemaligen Mitglieds des von Sportitalia Società Sportiva Dilettantistica (GetFIT) betriebenen Fitnessstudios. Nach dem Austritt aus dem Studio erhielt der Beschwerdeführer weiterhin Werbe-E-Mails von GetFIT, auch nachdem er diesen widersprochen und die Löschung seiner Daten verlangt hatte.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Provinzvereinigung der Ärzte, Chirurgen und Zahnärzte von Macerata hatte eine Mitteilung über die Suspendierung des Beschwerdeführers, die aufgrund seiner Weigerung zur Annahme einer Covid-Impfung erlassen worden war, an mehrere öffentliche Stellen weitergegeben, obwohl diese dazu nicht befugt waren.

Die italienische Datenschutzbehörde sanktionierte Conversion Media, weil das Unternehmen als Auftragverarbeiter personenbezogene Daten verarbeitete, obwohl es dazu keine vertragliche Aufforderung gab.

Die italienische Datenschutzbehörde verhängte ein Bußgeld gegen die Atmosphera Ristorante Pizzeria, weil diese mit ihrem Videoüberwachungssystem den das Restaurant umgebenden öffentlichen Raum erfasste.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde eines ehemaligen Mitarbeiters. In einem Disziplinarverfahren gegen ihn verwendete die Verwaltung Videoaufnahmen, die ohne sein Wissen mit einer Überwachungsanlage gemacht wurden. Für diese Anlage gab es keine angemessene Information oder Rechtsgrundlage.

Die italienische Datenschutzbehörde untersuchte das Ristorante pizzeria CN 45 nach einer Polizeimeldung. Die Pizzeria hatte Überwachungskameras in und an ihrem Standort installiert. Die Außenkameras erfassten dabei die öffentliche Umgebung. Zudem waren die Aufnahmen mit einer App abrufbar.

Die italienische Datenschutzbehörde untersuchte Musa's. Das Unternehmen hatte eine Videoüberwachungsanlage installiert, ohne angemessene Hinweisschilder anzubringen.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nach einer Zusammenarbeit mit ihm hatte Based ihm den Zugriff auf ein zu diesem Zweck erstelltes E-Mail-Konto verwehrt. Auf seine darauffolgende Aufforderung, den Account zu löschen, reagierte das Unternehmen nicht.

Die italienische Datenschutzbehörde untersuchte Acea Energia, nachdem sie wiederholt Beschwerden über das Unternehmen zugesendet bekommen hatte. Die GPDP stellte fest, dass Acea Energia Auftragsverarbeiter mit der Kundengewinnung betraut hatte, diese jedoch nicht angemessen überwachte. So war es den Hausierern möglich, gefälschte Verträge im Namen von 1.200 Personen abzuschließen. Betroffene erfuhren erst von den Fake-Verträgen, als sie Post vom Bußgeldempfänger erhielten, die unter anderem ihre gefälschten Unterschriften enthielt. Die Behörde sah zudem signifikante Mängel bei den implementierten technischen und organisatorischen Maßnahmen.

Die italienische Datenschutzbehörde sanktionierte die Gemeinde Mazara del Vallo, da diese Überwachungskameras dazu nutzte, um Verstöße von Autofahrern aufzuzeichnen und diese zu belangen. Die Kameras waren dafür jedoch nicht zugelassen. Auch an angemessenen Informationen fehlte es.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Stadtverwaltung von Ede hatte eine sog. Kraftfeldanalyse der örtlichen muslimischen Gemeinde durchgeführt, ohne dass es für die Datenverarbeitung eine Rechtsgrundlage gegeben hätte. Diese Analyse enthielt detaillierte personenbezogene Daten, darunter auch Fotos, der Bürger. Sie wurde zudem mit anderen Gemeinden geteilt.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Stadtverwaltung von Eindhoven hatte eine sog. Kraftfeldanalyse der örtlichen islamischen Gemeinde durchgeführt und hierfür personenbezogene Daten besonderer Kategorien verarbeitet. Dies geschah ohne Rechtsgrundlage.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Gemeindeverwaltung von Gooise Meren hatte eine sog. Kraftfeldanalyse der örtlichen islamischen Gemeinde durchgeführt und hierfür personenbezogene Daten besonderer Kategorien verarbeitet. Dies geschah ohne Rechtsgrundlage. Die AP stufte den Verstoß als schwerwiegend ein und verhängte ein Verarbeitungsverbot.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Gemeindeverwaltung von Haarlemmermeer hatte eine sog. Kraftfeldanalyse der örtlichen islamischen Gemeinde durchgeführt und hierfür personenbezogene Daten besonderer Kategorien verarbeitet. Dies geschah ohne Rechtsgrundlage. Die AP stufte den Verstoß als schwerwiegend ein und verhängte ein Verarbeitungsverbot.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Stadtverwaltung von Hilversum hatte eine sog. Kraftfeldanalyse der örtlichen islamischen Gemeinde durchgeführt und hierfür personenbezogene Daten besonderer Kategorien verarbeitet. Dies geschah ohne Rechtsgrundlage. Die AP stufte den Verstoß als schwerwiegend ein und verhängte ein Verarbeitungsverbot.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Gemeindeverwaltung von Huizen hatte eine sog. Kraftfeldanalyse der örtlichen islamischen Gemeinde durchgeführt und hierfür personenbezogene Daten besonderer Kategorien verarbeitet. Dies geschah ohne Rechtsgrundlage. Die AP stufte den Verstoß als schwerwiegend ein und verhängte ein Verarbeitungsverbot.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Gemeindeverwaltung von Zoetermeer hatte eine sog. Kraftfeldanalyse der örtlichen islamischen Gemeinde durchgeführt und hierfür personenbezogene Daten besonderer Kategorien verarbeitet. Dies geschah ohne Rechtsgrundlage. Die AP stufte den Verstoß als schwerwiegend ein und verhängte ein Verarbeitungsverbot.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Gemeindeverwaltung von Veenendaal hatte eine sog. Kraftfeldanalyse der örtlichen islamischen Gemeinde durchgeführt und hierfür personenbezogene Daten besonderer Kategorien verarbeitet. Dies geschah ohne Rechtsgrundlage. Die AP stufte den Verstoß als schwerwiegend ein und verhängte ein Verarbeitungsverbot.

Die niederländische Datenschutzbehörde verhängte Bußgelder in Höhe von insgesamt 250.000 EUR gegen zehn Gemeinden. Die Stadtverwaltung von Tilburg hatte eine sog. Kraftfeldanalyse der örtlichen islamischen Gemeinde durchgeführt und hierfür personenbezogene Daten besonderer Kategorien verarbeitet. Dies geschah ohne Rechtsgrundlage. Die AP stufte den Verstoß als schwerwiegend ein und verhängte ein Verarbeitungsverbot.

Die rumänische Datenschutzbehörde reagierte auf zwei Beschwerden über einen Webseiten-Betreiber. Dieser hatte auf der Seite (evita-teparii.ro) Personalausweise mit allen darauf abgebildeten personenbezogenen Daten veröffentlicht. Zudem reagierte der Betreiber nicht auf bei ihm eingegangene Löschungsaufforderungen. Die verarbeiteten Daten waren teils von besonderer Empfindlichkeit; so ging es in einem Fall um das Sexualleben einer Person. Zudem wurden Informationen verarbeitet, ohne dass Betroffene hierüber angemessen informiert worden wären.

Das Bußgeld setzt sich aus mehreren Strafen zusammen: 5.089 RON (1.000 EUR) wg. Verstoßes gg. Art. 83 Abs. 5 lit. e) DSGVO; 15.267 RON (3.000 EUR) wg. Verstoßes gg. Art. 12 DSGVO, Art. 13 DSGVO und Art. 14 DSGVO; 25.445 RON (5.000 EUR) wg. Verstoßes gg. Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO und Art. 10 DSGVO; 5.089 RON (1.000 EUR) wg. Verstoßes gg. Art. 12 Abs. 3 DSGVO, Art. 12 Abs. 4 DSGVO und Art. 17 Abs. 1 DSGVO.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Patientin von Dr. Paolo Montemurro, der bei ihr eine Nasenkorrektur durchgeführt hatte. Die im Zuge dieser Operation von ihm gemachten Fotos veröffentlichte der Arzt später auf Instagram. Die GPDP stufte diese Verarbeitung als nicht rechtmäßig ein und sah Verstöße gegen die Grundsätze der Datenminimierung und Zweckbindung.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Nationale Verband der Pflegeberufe hatte seine personenbezogenen Daten auf seiner Webseite veröffentlicht, die daraufhin von Suchmaschinen indexiert wurden. Auch nach der durch den Verband bestätigten Löschung der Informationen konnten diese abgerufen werden.

Die italienische Datenschutzbehörde beantwortete die Beschwerde eines Elternpaares, dessen Kind das Istituto San Giuseppe La Salle di Milano besuchte. Diese gehört zur Provincia della Congregazione dei Fratelli delle Suore Cristiane. Die Schule hatte mit einem Videoüberwachungssystem Aufnahmen von einem Unfall ihres Kindes gemacht und diese im Zuge eines Schadenersatzverfahrens mit einem Handy gefilmt. Diese Handy-Videos wurden dann an einen Privatdetektiv weitergegeben.

Die italienische Datenschutzbehörde untersuchte die Università Telematica e-Campus. Die Hochschule verwendete zur Anwesenheitsüberprüfung bei ihren Online-Kursen ein Gesichtserkennungsprogramm. Die GPDP sah hierfür keine Rechtsgrundlage.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Das Istituto tecnico industriale statale "Stanislao Cannizzaro di Catania" (Staatliche Industrietechnische Institut „Stanislao Cannizzaro“ von Catania) hatte ein Rundschreiben online veröffentlicht, das die personenbezogenen Daten von 51 Schülern enthielt.

Ein Mitarbeiter des Nationalen Archäologischen Museums von Campobasso beschwerte sich bei der italienischen Datenschutzbehörde. Das Museum betrieb eine Videoüberwachungsanlage, ohne dass die nötige Transparenz gegeben wäre.

Die französische Datenschutzbehörde untersuchte France Travail, die französische Arbeitsagentur, nach einem Angriff auf ihre Systeme im Jahr 2024, bei dem Daten von bis zu 43 Mio. Arbeitssuchenden gestohlen wurden. Die CNIL stellte dabei fest, dass die von der Agentur implementierten technischen und organisatorischen Maßnahmen nicht ausreichend waren, um eine solche Attacke verhindern zu können.

Nach einem Angriff auf Sportadmin i Skandinavien im Januar 2025 untersuchte die schwedische Datenschutzbehörde das Unternehmen. Bei der Attacke wurden personenbezogene Daten von 2,1 Mio. Menschen, die meisten davon Kinder und Jugendliche, kompromittiert. Die IMY stellte fest, dass die von Sportadmin implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten nicht ausreichend waren, was das Abgreifen der Informationen vereinfachte.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Der Bußgeldempfänger, ein Unternehmen, hatte während einer Schulung Telefonnummern und Geburtsdaten von Angestellten einer zweiten Firma, für die es Dienstleistungen erbrachte, auf einem leeren Blatt Papier gesammelt. Diese wurden später für die Erstellung von Zugangsdaten und die Übermittlung dieser genutzt. Hierüber gab es keine Vorabinformation oder Einwilligung, weshalb es keine Rechtsgrundlage für die Verarbeitung gab.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 80.000 EUR auf 48.000 EUR reduziert.

Die französische Datenschutzbehörde untersuchte ein Unternehmen, nachdem sie bei einer Prüfung Anfang 2023 festgestellt hatte, dass dieses seit Februar 2018 Mail-Adressen und Telefonnummern seiner Kunden an ein soziales Netzwerk weitergegeben hatte. Dieses nutzte die Daten zu Werbezwecken.

Die CNIL stellte dabei fest, dass die von den Mitgliedern des Treueprogramms des Bußgeldempfängers eingeholte Einwilligung keine bzw. keine ausreichenden Informationen über die geplante Weitergabe ihrer Daten an das Netzwerk oder die Nutzung zu Werbezwecken enthielt. Die erteilten Zustimmungen waren also ungültig. Es gab keine hinreichenden Verknüpfungen zu den angeblichen - aufgrund der ungültigen Einwilligungen nicht vorliegenden - Rechtsgrundladen.

Darüber hinaus waren die Vorgaben für Kundenaccount-Passwörter und die verwendete Hashing-Methode zu unsicher. Auch eine Datenschutz-Folgeabschätzung fehlte.

Auch in Sachen Cookies gab es Mängel: Das Unternehmen setzte Cookies, bevor die Nutzer eine Chance hatten, dem zuzustimmen - und löschte diese nicht, falls sie ablehnten.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde eines ehemaligen Mitarbeiters einer Zahnklinik. Der Betreiber der Praxis hatte in dieser, auch im Raum, in dem Operationen durchgeführt wurden, Überwachungskameras installiert, die die Patienten gegebenenfalls über einen längeren Zeitraum hinweg aufzeichneten.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 2.000 EUR auf 1.200 EUR reduziert.

Die norwegische Datenschutzbehörde verhängte ein Bußgeld gegen Timegrip. Ein mittlerweile insolventes Unternehmen kontaktierte Timegrip, das dessen Zeiterfassungsplattform gewesen war, im Namen eines ehemaligen Angestellten, um dessen Arbeitszeittabellen für ausstehende Lohnabrechnungen zu erhalten. Timegrip weigerte sich, diese Daten kostenfrei zur Verfügung zu stellen.

Daraufhin bat das Unternehmen die betroffene Person, selbst einen Antrag zu stellen. Auch dies verweigerte Timegrip. Ihm zufolge - die norwegische Datenschutzbehörde sah dies anders - endete seine Verantwortung mit dem Zeitpunkt der Insolvenzanmeldung.

Die rumänische Datenschutzbehörde beantwortete eine Meldung über einen Datenschutzvorfall. So war eine Excel-Datei mit personenbezogenen Daten der Angestellten von Continental Automotive Products immer wieder intern an Unbefugte weiterverteilt worden. Es waren auch Gesundheitsdaten betroffen. Die Behörde betonte, dass dies hätte verhindert worden können, wenn der Bußgeldempfänger angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten ergriffen hätte.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde, die einige Mitglieder des Pro Loco di Cittareale einreichten. Der Verband hatte eine Einladung zu einer Mitgliederversammlung verschickt, die die personenbezogenen Daten von 23 Mitgliedern enthielt.

Die italienische Datenschutzbehörde untersuchte die Provinzgesundheitsbehörde von Vibo Valentia nach der Beschwerde der Erziehungsberechtigten eines Kindes. Die Behörde hatte medizinische Unterlagen des Kindes an seine Schule weitergeleitet, ohne die Eltern darüber zu informieren oder ihre Genehmigung einzuholen. Daraufhin verlangte die GPDP Informationen von der Gesundheitsbehörde, die diese jedoch nicht fristgerecht lieferte.

Die italienische Datenschutzbehörde belangte die Gemeinde Corbi. Im Zuge einer Sozialhilfemaßnahme hatte diese eine Liste der Maßnahmenempfänger auf ihrer Webseite veröffentlicht, die auch Teile der Steuernummern der Betroffenen enthielt.

Die italienische Datenschutzbehörde beantwortete eine Meldung der Lokalpolizei von Rionero in Vulture. Macelleria La Costata, ein ansässiges Unternehmen, erfasste mit den am Gebäude installierten Überwachungskameras die es umgebenden öffentlichen Bereiche.

Die italienische Datenschutzbehörde erließ ein Bußgeld gegen das Liceo Classico e Scientifico Alessandro Volta, weil dieses eine Liste mit Prüfungsterminen, die die personenbezogenen Daten der Prüflinge enthielt, frei zugänglich auf ihrer Webseite gepostet hatte.

Die italienische Datenschutzbehörde untersuchte das Krankenhaus S. Pio in Benevento. Dieses hatte im Rahmen einer Auseinandersetzung mit einem Angestellten dessen Gesundheitsdaten für Unbefugte offengelegt.

Nach einer Beschwerde und mehreren Meldungen untersuchte die italienische Datenschutzbehörde Born. Das Unternehmen hatte im Namen mehrerer Unternehmen Werbeanrufe durchgeführt und dabei wiederholt auch Nummern angerufen, die in Nichtanrufregistern hinterlegt waren. Dies geschah auch, nachdem die Angerufenen widersprachen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte festgestellt, dass ihr Telefonvertrag unterbrochen wurde und jemand ihr finanzielle Schäden von fast 2.000 EUR zugefügt hatte. Die Untersuchung ergab, dass Vodafone nicht in der Lage war, das Geschäft zu identifizieren, in dem die Karte ausgestellt worden war. Außerdem gab es keine Hinweise darauf, dass die Ausgabe unter Einhaltung angemessener Authentifizierungsmaßnahmen erfolgt war.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte festgestellt, dass ihr Telefonvertrag mit TELEFÓNICA MÓVILES ESPAÑA unerwartet unterbrochen wurde. Verantwortlich war eine Ersatz-SIM-Karte, die Angestellte ohne angemessene Identitätsprüfung an betrügerische Dritte weitergaben.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nach einem Aufenthalt in einer vom Bußgeldempfänger betriebenen Ferienunterkunft schickte dieser dem Beschwerdeführer eine Nachricht, die mit Überwachungskameras aufgenommene Bilder des Aufenthalts enthielt. Es gab keine Vorabinformation oder Beschilderung, die auf die Überwachung hinwies.

Die französische Datenschutzbehörde untersuchte Free und Free Mobile - Tochterfirmen der Iliad -, nachdem die Unternehmen im Oktober 2024 einem Angriff auf ihre Systeme zum Opfer fielen. Die Täter stahlen Daten von 24 Mio. Personen, darunter auch Bankverbindungen.

Die Behörde stellte fest, dass die von Free Mobile und Free implementierten technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten gravierende Mängel aufwiesen. So war die Authentifizierungsmethode des VPN-Systems, das vor allem zur Remote-Arbeit genutzt wurde, nicht ausreichend. Darüber hinaus erwiesen sich die Erkennungssysteme für Unregelmäßigkeiten in Systemen und Netzwerk als unwirksam.

Zusätzlich kritisierte die Datenschutzbehörde, dass die von dem Datendiebstahl betroffenen Kunden nicht angemessen informiert worden waren. Free Mobile/Free versandten E-Mails, in denen von der DSGVO verlangte Informationen fehlten.

Gegen Free Mobile verhängte die CNIL eine Geldstrafe von 27 Mio. EUR.

Die französische Datenschutzbehörde untersuchte Free und Free Mobile - Tochterfirmen der Iliad -, nachdem die Unternehmen im Oktober 2024 einem Angriff auf ihre Systeme zum Opfer fielen. Die Täter stahlen Daten von 24 Mio. Personen, darunter auch Bankverbindungen.

Die Behörde stellte fest, dass die von Free Mobile und Free implementierten technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten gravierende Mängel aufwiesen. So war die Authentifizierungsmethode des VPN-Systems, das vor allem zur Remote-Arbeit genutzt wurde, nicht ausreichend. Darüber hinaus erwiesen sich die Erkennungssysteme für Unregelmäßigkeiten in Systemen und Netzwerk als unwirksam.

Zusätzlich kritisierte die Datenschutzbehörde, dass die von dem Datendiebstahl betroffenen Kunden nicht angemessen informiert worden waren. Free Mobile/Free versandten E-Mails, in denen von der DSGVO verlangte Informationen fehlten.

Gegen Free verhängte die CNIL eine Geldstrafe von 15 Mio. EUR.

Die rumänische Datenschutzbehörde reagierte auf die Meldung eines Angriffs auf PREMIERE RESTAURANTS ROMANIA. Sie untersuchte das Unternehmen und stellte fest, dass die implementierten technischen und organisatorischen Maßnahmen nicht angemessen waren.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Beschwerdeführer war für ein MRT in einer von IDCQ HOSPITALES Y SANIDAD betriebene Klinik gewesen und hatte dabei eine CD mit Untersuchungsergebnissen aus vorangegangenen Jahren abgegeben. Als er das Krankenhaus vier Monate nach der Untersuchung um die Aushändigung der alten wie neuen Aufnahmen bat, teilte man ihm mit, diese seien - wie im Untersuchungsvertrag festgelegt - nach einem Monat gelöscht worden.

IDCQ HOSPITALES Y SANIDAD argumentierte, dass eine Aufbewahrung der MRT-Bilder nicht notwendig sei, da die Auswertungsdaten vom behandelnden Arzt in die Patientenakte eingepflegt wurde. Das Unternehmen betrachtete die Aufnahmen nicht als medizinisch notwendige Dokumentation und sah die diese betreffenden Speicherpflichten als nicht relevant an.

Die AEPD stimmt dem nicht zu: Die MRT-Bilder sind medizinische Dokumente und müssen damit in Krankenakten abgelegt und ausreichend lang gespeichert werden. Der Patient hätte zudem über den Verlust der von ihm bereitgestellten CD informiert werden müssen.

Die spanische Datenschutzbehörde reagierte auf mehrere Beschwerden gegen den Bußgeldempfänger und sandte ihm eine Informationsanfrage. Dieser reagierte nicht, woraufhin die AEPD eine Geldstrafe erließ.

Nach einer Meldung über einen Sicherheitsvorfall leitete die spanische Datenschutzbehörde eine Untersuchung gegen COLEGIO NUESTRA SEÑORA DE LA CARIDAD DEL COBRE ein. Dabei stellte sie mangelhafte technische und organisatorische Maßnahmen zum Schutz verarbeiteter Daten fest. Betroffene seien nicht über die Kompromittierung ihrer Daten informiert worden.

Nachtrag vom 14.01.2025:

Einen Widerspruch seitens des Bußgeldempfängers wies die AEPD ab.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die DIGI SPAIN TELECOM hatte eine mit ihrem Vertrag verknüpfte Ersatz-SIM-Karte an betrügerische Dritte ausgestellt, ohne deren Identität ausreichend zu prüfen. So konnten die Täter auf seine Bankverbindungen zugreifen und dem Beschwerdeführer finanziellen Schaden zufügen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese erhielt wiederholte Geldforderungen von CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO, die eigentlich für jemand anderen - einen Schuldner - bestimmt waren und dessen personenbezogene Daten enthielten. Die AEPD stellte bei ihrer Untersuchung fest, dass der Bußgeldempfänger keine datenschutzfreundliche Technikgestaltung oder entsprechende Voreinstellungen vorgenommen hatte, die einen solchen Zwischenfall hätten verhindern können.

Die polnische Datenschutzbehörde untersuchte den Kommandanten der Polizei von Krakau. Dieser hatte die personenbezogenen Daten einer Frau im Rahmen einer Pressekonferenz preisgegeben. Die Untersuchung ergab zwar, dass die betroffene Person ihre eigenen Daten zuvor in einem Nachrichtensegment im Fernsehen preisgegeben hatte, dies jedoch die Veröffentlichung durch die Polizei nicht rechtfertigte.

In der Verantwortung sah die UODO den Chef der Krakauer Stadtpolizei, da dieser keine Risikoanalyse durchgeführt hatte. Diese hätte das Fehlen von angemessenen technischen und organisatorischen Maßnahmen, die eine solche Offenlegung verhindert hätten, aufgezeigt.

Im März 2025 verhängte die UODO bereits eine Geldstrafe gegen den Oberbefehlshaber der Polizei wegen desselben Vorfalls.

Die rumänische Datenschutzbehörde untersuchte Money Seeds nach einer Beschwerde. Das Unternehmen hatte dem Beschwerdeführer trotz eines Widerspruchs unerwünschte Werbung geschickt. Auf eine Löschungsaufforderung reagierte Money Seeds nicht.

Das Bußgeld setzt sich aus zwei Strafen von 5.000 RON für den Verstoß gg. Art. 12 Abs. 1 und Art. 12 Abs. 2 des Gesetzes Nr. 506/2004 sowie einer Strafe von 10.178 RON wg. Verstoßes gg. Art. 12 DSGVO, Art. 13 DSGVO und Art. 14 DSGVO zusammen.

Die griechische Datenschutzbehörde erließ ein Bußgeld gegen ein regionales Hauptquartier der Feuerwehr. Dort hatte man die Gesundheitsdaten eines Mitarbeiters unter Angabe von Details im "Tagesplan", einem Planungsbuch mit Einträgen von Fehltagen und Disziplinarstrafen, hinterlegt.

Die spanische Datenschutzbehörde AEPD verhängte gegen Reciclajes Logroño ein Bußgeld, weil das Unternehmen beim Ankauf von Schrott routinemäßig Kopien der DNI-Ausweise seiner Kunden anfertigte und speicherte. 

Die AEPD wies den Einwand zurück, die Praxis sei gesetzlich vorgeschrieben, und bestätigte im Zurückweisungsbescheid die ursprünglichen Geldbußen von 6.000 Euro und 4.000 Euro als verhältnismäßig.

Die spanische Bußgeldbehörde AEPD stellte fest, dass die ING Bank beim Versand sensibler Kundenunterlagen über einen Kurierdienst keine ausreichenden Sicherheits- und Kontrollmaßnahmen zur Nachverfolgbarkeit und zum Schutz der personenbezogenen Daten bestanden. Trotz Einschaltung eines externen Dienstleisters blieb ING als Verantwortliche für die Datensicherheit zuständig.

ING hat das verhängte Bußgeld in Höhe von 500.000 EUR durch freiwillige Zahlung mit 20 % Rabatt beglichen und somit 400.000 EUR gezahlt.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen BLUE TEAM FLIGHT SCHOOL, da das Unternehmen nicht auf eine behördliche Kommunikation, die eine Auskunftsforderung enthielt, reagierte.

Die spanische Datenschutzbehörde untersuchte EXCEL HOTELS & RESORTS nach einer Beschwerde. Ein Besitzer eines Objekts auf dem Gelände des Unternehmens hatte sich beschwert, weil der neu eingestellte Sicherheitsdienst des Hotels Mappen mit u.A. Ausweiskopien der Besitzer anlegte und diese unbeaufsichtigt herumliegen ließ.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 40.000 EUR auf 32.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. Die beschwerdeführende Person hatte sich für eine von MONUMENTAL FORMA SPORT augeschriebene Werbeaktion angemeldet und festgestellt, dass das Unternehmen hierfür personenbezogene Daten, u.A. ihre Ausweisnummer und Bankdaten, verlangte. Dies stufte die AEPD als überzogen ein.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde über 4USPORT INSTALACIONES DEPORTIVAS und sandte dem Unternehmen ein Auskunftsersuchen. Die Papierkopie dieses Schreibens wurde nie abgeholt, und der Bußgeldempfänger antwortete nicht auf die digitale Kontaktaufnahme.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die DIGI SPAIN TELECOM hatte eine mit ihrem Vertrag verknüpfte Ersatz-SIM-Karte an betrügerische Dritte ausgestellt, ohne deren Identität ausreichend zu prüfen. So konnten die Täter auf seine Bankverbindungen zugreifen.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Nachdem sie einen Autokauf von FLEXICAR INTERNACIONAL abbrach, nachdem das Fahrzeug vom Markt genommen worden war, bekam sie von dem Unternehmen eine Nachricht, die die Daten einer unbeteiligten dritten Person enthielt.

Die spanische Datenschutzbehörde verhängte ein Bußgeld gegen NAROBESA INV, da das Unternehmen nicht auf eine von der Behörde an es versandte Informationsanfrage bzgl. einer Untersuchung reagierte.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 2.000 EUR auf 1.600 EUR reduziert.

Die rumänische Datenschutzbehörde untersuchte Roumasport, nachdem dieses ihr mehrere Datenschutzvorfälle meldete. Hacker hatten wiederholt auf die Systeme des Unternehmens zugegriffen. Die ANS PDCP stellte mangelhafte technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten fest.

Die rumänische Datenschutzbehörde untersuchte die rumänische Berufsvereinigung für Krankenpfleger, Hebammen und medizinische Assistenten in der Zweigstelle Neamț nach einer Beschwerde eines Angestellten. Dieser hatte festgestellt, dass in einem Büro eine Überwachungskamera angebracht worden war, die ihn bei der Arbeit erfasste, ohne dass er darüber informiert worden war. Die Untersuchung ergab, dass es eine Reihe solcher Kameras in Büros und Unterrichtsräumen gab, über deren Betrieb weder die Mitarbeitenden noch die zuständige Gewerkschaft informiert worden waren.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nachdem diese von TELECONTACT LIST zu Werbezwecken angerufen und mit falschem Namen angesprochen worden war, hatte sie den Datenschutzbeauftragten des Unternehmens um Auskunft über ihre verarbeiteten Daten gebeten. TELECONTACT LIST antwortete nicht.

Nach Haftungsanerkennung und freiwilliger Zahlung wurde das Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. TELEFÓNICA MÓVILES ESPAÑA hatte ihren Mobilfunkvertrag auf eine betrügerische dritte Person überschrieben, ohne deren Identität angemessen zu überprüfen. Dem Beschwerdeführer entstand ein finanzieller Schaden.

Die spanische Datenschutzbehörde reagierte auf die Meldung eines Datenschutzvorfalls durch AXARNET COMUNICACIONES. Hacker stahlen personenbezogene Daten aus den Systemen eines Dienstleisters. Zudem erreichten die Behörde mehrere Beschwerden über den Zwischenfall. Die AEPD untersuchte den Angriff und stellte fest, dass AXARNET COMUNICACIONES personenbezogene Daten nicht unter Garantie eines angemessenen Sicherheitsniveaus verarbeitete.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 20.000 EUR auf 12.000 EUR reduziert.

Die griechische Datenschutzbehörde untersuchte HERON ENERGY SERVICES und zwei seiner Partner-Unternehmen - ΣΤΑΘΟΠΟΥΛΟΣ ΓΕΩΡΓΙΟΣ ΜONΟΠΡΟΣΩΠΗ ΕΤΑΙΡΕΙΑ ΠΕΡΙΟΡΙΣΜΕΝΗΣ ΕΥΘΥΝΗΣ (Stathopoulos Georgios) und ICOMM CALL CENTER PRIVATE CAPITAL COMPANY - nach einer Anhäufung von Beschwerden bezüglich unerwünschter Anrufe. Die Behörde stellte fest, dass HERON seine Partnerunternehmen nicht angemessen kontrollierte, während diese in seinem Namen Anrufe durchführten. Zudem gab es keine angemessenen technischen und organisatorischen Maßnahmen während der Gespräche selbst. Auch Kunden, die auf einer Nichtanrufliste standen, wurden angerufen.

Die griechische Datenschutzbehörde untersuchte HERON ENERGY SERVICES und zwei seiner Partner-Unternehmen - ΣΤΑΘΟΠΟΥΛΟΣ ΓΕΩΡΓΙΟΣ ΜONΟΠΡΟΣΩΠΗ ΕΤΑΙΡΕΙΑ ΠΕΡΙΟΡΙΣΜΕΝΗΣ ΕΥΘΥΝΗΣ (Stathopoulos Georgios) und ICOMM CALL CENTER PRIVATE CAPITAL COMPANY - nach einer Anhäufung von Beschwerden bezüglich unerwünschter Anrufe. Die Behörde stellte fest, dass HERON seine Partnerunternehmen nicht angemessen kontrollierte, während diese in seinem Namen Anrufe durchführten. Zudem gab es keine angemessenen technischen und organisatorischen Maßnahmen während der Gespräche selbst. Auch Kunden, die auf einer Nichtanrufliste standen, wurden angerufen.

Das Bußgeld setzte sich aus drei Strafen von je 20.000 EUR wg. Verstoßes gg. Art. 5 Abs. 1 lit. a) DSGVO, 10.000 EUR wg. Verstoßes gg. Art 29 DSGVO und 5.000 EUR wg Verstoßes gg. Art. 32 DSGVO zusammen.

Die griechische Datenschutzbehörde untersuchte HERON ENERGY SERVICES und zwei seiner Partner-Unternehmen - ΣΤΑΘΟΠΟΥΛΟΣ ΓΕΩΡΓΙΟΣ ΜONΟΠΡΟΣΩΠΗ ΕΤΑΙΡΕΙΑ ΠΕΡΙΟΡΙΣΜΕΝΗΣ ΕΥΘΥΝΗΣ (Stathopoulos Georgios) und ICOMM CALL CENTER PRIVATE CAPITAL COMPANY - nach einer Anhäufung von Beschwerden bezüglich unerwünschter Anrufe. Die Behörde stellte fest, dass HERON seine Partnerunternehmen nicht angemessen kontrollierte, während diese in seinem Namen Anrufe durchführten. Zudem gab es keine angemessenen technischen und organisatorischen Maßnahmen während der Gespräche selbst. Auch Kunden, die auf einer Nichtanrufliste standen, wurden angerufen.

Die französische Datenschutzbehörde untersuchte Nexpublica France, Entwickler des Software-Pakets PCRM, nachdem sie Meldungen über eine Datenpanne erreichten. Nutzer der Plattform für Sozialarbeitende hatten die Möglichkeit gehabt, auf personenbezogene Daten Dritter zuzugreifen. Möglich war dies nach Ansicht der CNIL aufgrund mangelhafter technischer und organisatorischer Maßnahmen zum Schutz verarbeiteter Informationen. Der Entwickler hatte Schwachstellen nicht ausgebessert und strukturelle Sicherheitsprobleme nicht behoben.

Die französische Datenschutzaufsicht verhängte fünf vereinfachte Geldbußen in Höhe von insgesamt 23.500 EUR gegen Kandidaten der Europa- und Parlamentswahlen 2024, weil sie politische Wahlwerbung unter Verstoß gegen die DSGVO versendet hatten.

Bei mehreren Kandidaten wurde ein Verstoß gegen die Pflicht zum Nachweis der Rechtmäßigkeit der Verarbeitung festgestellt. Die CNIL stellte klar, dass Kandidaten auch dann verantwortlich bleiben, wenn sie für den Versand politischer Werbenachrichten externe Dienstleister beauftragen. Sie müssen jederzeit nachweisen können, dass die betroffenen Personen wirksam eingewilligt haben oder dass die Verarbeitung auf ein berechtigtes Interesse gestützt werden kann. Dabei ist insbesondere darzulegen, dass die Empfänger vernünftigerweise mit solchen Nachrichten rechnen konnten. Entsprechende Nachweise fehlten an dieser Stelle. 

Die französische Datenschutzaufsicht verhängte fünf vereinfachte Geldbußen in Höhe von insgesamt 23.500 EUR gegen Kandidaten der Europa- und Parlamentswahlen 2024, weil sie politische Wahlwerbung unter Verstoß gegen die DSGVO versendet hatten.

Einer der sanktionierten Kandidaten, der Gesundheitsberufler ist, nutzte die Telefonnummern seiner Patienten, die ursprünglich für Terminorganisation und medizinische Betreuung erhoben wurden, um ihnen Wahlwerbe-SMS zuzusenden.

Die CNIL bewertete dies als unzulässige Zweckänderung, da politische Wahlwerbung mit dem ursprünglichen medizinischen Erhebungszweck nicht vereinbar ist.

Die französische Datenschutzaufsicht verhängte fünf vereinfachte Geldbußen in Höhe von insgesamt 23.500 EUR gegen Kandidaten der Europa- und Parlamentswahlen 2024, weil sie politische Wahlwerbung unter Verstoß gegen die DSGVO versendet hatten.

Bei vier der fünf sanktionierten Kandidaten enthielten die versendeten Nachrichten keine oder nur unvollständige Datenschutzinformationen, was einen Verstoß gegen die Informationspflichten darstellt. 

Bei politischer Wahlwerbung müssen Kandidaten den betroffenen Personen alle gesetzlich vorgeschriebenen Informationen bereitstellen, entweder bei der Datenerhebung selbst oder spätestens mit der ersten Kontaktaufnahme, wenn die Daten aus Drittquellen stammen (z. B. Wählerlisten, Datenhändler, Parteiverzeichnisse).

Die französische Datenschutzaufsicht verhängte fünf vereinfachte Geldbußen in Höhe von insgesamt 23.500 EUR gegen Kandidaten der Europa- und Parlamentswahlen 2024, weil sie politische Wahlwerbung unter Verstoß gegen die DSGVO versendet hatten.

Zwei Kandidaten hatten keine wirksamen Mechanismen eingerichtet, um den Empfängern die Ausübung ihres Widerspruchsrechts zu ermöglichen.

Insbesondere fehlte eine „STOP-SMS“-Funktion oder ein klar erkennbarer Abmeldelink zur Beendigung weiterer Wahlwerbung. Dies stellt einen Verstoß gegen die Pflicht zur Ermöglichung des Widerspruchsrechts dar.

Die französische Datenschutzaufsicht verhängte fünf vereinfachte Geldbußen in Höhe von insgesamt 23.500 EUR gegen Kandidaten der Europa- und Parlamentswahlen 2024, weil sie politische Wahlwerbung unter Verstoß gegen die DSGVO versendet hatten.

Ein Kandidat reagierte nicht auf eine Anfrage eines Betroffenen, der ein Wahlwerbe-SMS erhalten hatte. Unbeantwortet blieben insbesondere die Auskunft über die Herkunft der Daten, die Rechtsgrundlage der Verarbeitung sowie ein Antrag auf Löschung der Daten.

Die CNIL verhängte neben der Geldbuße in unbekannter Höhe eine verpflichtende Anordnung, diese Anfragen ordnungsgemäß zu beantworten.

Die französische Datenschutzaufsicht verhängte fünf vereinfachte Geldbußen in Höhe von insgesamt 23.500 EUR gegen Kandidaten der Europa- und Parlamentswahlen 2024, weil sie politische Wahlwerbung unter Verstoß gegen die DSGVO versendet hatten.

Ein Kandidat versandte eine Wahlwerbe-E-Mail an mehrere hundert Parteimitglieder, ohne die „BCC/CCi“-Funktion zu verwenden. Dadurch waren die E-Mail-Adressen für alle Empfänger sichtbar. Die CNIL wertete dies als unzureichende technische und organisatorische Maßnahme zur Gewährleistung der Datensicherheit.

Besonders schwerwiegend ist der Verstoß, da die betroffenen Daten politische Meinungen offenbaren und somit als besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO gelten.

Die griechische Datenschutzbehörde ging gegen einen Stromanbieter vor (Δημόσια Επιχείρηση Ηλεκτρισμού Ανώνυμη Εταιρεία), nachdem eine Beschwerde bei ihr einging. Das Unternehmen hatte nicht angemessen auf Anträge auf Ausübung von Betroffenenrechten reagiert und seine Angestellten nicht ausreichend im Umgang mit diesen geschult.

Die rumänische Datenschutzbehörde untersuchte SC iHUNT TECHNOLOGY IMPORT-EXPORT nach einer Beschwerde. Besuchte man die Webseite des Unternehmens, legte diese auf den Endgeräten der Nutzer technisch nicht notwendige Cookies ab, ohne dass diese der Speicherung zugestimmt hatten. Zudem wurden die User nicht angemessen informiert.

Die polnische Datenschutzbehörde untersuchte die Sanitäts- und Epidemiologische Station der Polizei, nachdem ein Mitarbeiter einen privaten, nicht verschlüsselten oder anderweitig geschützten USB-Stick verlor, auf dem Daten von mehr als 4.200 Personen und mehr als 300 Verwaltungsverfahren gespeichert waren. In der Verantwortung sah die UODO den Bezirksinspektor für Hygiene bei der Polizei, der keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten getroffen hatte.

Die italienische Wettbewerbsbehörde verhängte ein Bußgeld gegen Apple. Grund war das von dem Tech-Giganten implementierte App Tracking Transparency (ATT)-System, das ihm zwischen April 2021 und Juli 2023 eine Marktvorherrschaft im Bereich der App-Verbreitung für iOS und iPadOS verschaffte. Die Untersuchung der AGCM fand in Kooperation mit der EU-Kommission, anderen EU-Wettbewerbsbehörden und der italienischen Datenschutzbehörde statt.

Das ATT, das bei jeder Erstöffnung einer installierten Drittanbieter-App eine separate Einwilligungsaufforderung zur Datenverarbeitung vorsieht, ist nach Ansicht der Behörde nicht verhältnismäßig und schränkt vor allem kleinere App-Publisher, aber auch die Nutzer, in ihrer Handlungsfreiheit ein, da das ATT-System die Anzahl der bei App-Installationen zu öffnenden Fenster vervielfacht. Dies macht die Nutzung von Drittanbieter-Applikationen unnötig umständlich.

Apple hat die Möglichkeit, gegen das Urteil Einspruch einzulegen.

Nach einem Sicherheitsvorfall beim Musik-Streaming-Anbieter Deezer untersuchte die französische Datenschutzbehörde dessen ehemaligen Vertragsarbeiter MOBIUS SOLUTIONS (geschäftstätig als Optimove). Dabei stellte die CNIL diverse Mängel fest.

MOBIUS SOLUTIONS hatte die ihm von Deezer übertragenen Daten nach Vertragsende weiterhin gespeichert; dies betraf Informationen von 46 Mio. Kunden und stellte ein Handeln gegen die Bedingungen des geschlossenen Vertrags dar. Zudem kopierten mindestens drei der Optimove-Angestellten diese Daten auf externe Speichermedien. Das Unternehmen nutzte die ihm überlassenen Informationen für eigene Zwecke, die nichts mit dem geschlossenen Vertrag zu tun hatten, und führte kein Verarbeitungsregister.

Der italienische Datenschutz-Garant verhängte gegen Verisure Italia ein Bußgeld, weil das Unternehmen personenbezogene Daten rechtswidrig für Marketingzwecke verarbeitet hatte. Anlass waren Beschwerden von Kunden, die trotz Widerspruch weiterhin unerwünschte Werbe-SMS, -Anrufe und -E-Mails erhielten. Die Behörde stellte schwerwiegende Verstöße fest: Widersprüche wurden verspätet bearbeitet, die Einwilligung potenzieller Kunden war unzulässig mit der Angebotsanfrage gekoppelt, und die Speicherung der Daten für 12 Monate wurde als übermäßig eingestuft.

Verisure wurde neben der Geldbuße verpflichtet, die unrechtmäßig erhobenen Daten zu löschen, die Datenschutzhinweise anzupassen und die ergriffenen Maßnahmen binnen 60 Tagen zu melden.

Die kroatische Datenschutzbehörde erließ ein Bußgeld gegen eine Bank, nachdem zunächst ein Kunde der Bank eine Beschwerde eingereicht hatte. Bei der Installation der Banking-App verlangte diese Zugriff auf die Liste aller ebenfalls installierten Anwendungen. Sie verarbeitete Daten von 433.922 Nutzenden der App ohne Rechtsgrundlage. User wurden nicht hinreichend über die Verarbeitung informiert.

Die italienische Datenschutzbehörde reagierte auf eine Beschwerde. Im Rahmen einer Dienstleistung für die Beschwerdeführerin sandte der Bußgeldempfänger eine Mitteilung, die ihre personenbezogenen Daten enthielt, an ihre Arbeitsstelle.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Die Gemeinde Nave betrieb Überwachungskameras zur Erfassung der Kennzeichen von den die Stadt verlassenden Fahrzeugen, angeblich zur Überprüfung des Versicherungsstatus. Für diese Kameras gab es keine Genehmigung, und sie waren auch außerhelb der polizeilichen Präsenzzeiten eingeschaltet und aktiv. Zudem stufte die Behörde eine solche flächendeckende Aufzeichnung als unrechtmäßig ein.

Die italienische Datenschutzbehörde untersuchte Elba Catering Distribuzioni nach einer Polizeiinspektion. Das Unternehmen betrieb ein Videoüberwachungssystem, das vornehmlich die Straße vor dem Unternehmenssitz erfasste.

Die italienische Datenschutzbehörde reagierte auf eine Beschwerde über Pioneer Hi-Bred Italia Sementi. Das Unternehmen hatte - auf Anweisung seiner Muttergesellschaft - in den Fahrzeugen seiner Angestellten Überwachungsgeräte installiert, die es ihm erlaubten, deren Fahrverhalten während und außerhalb ihrer Arbeitszeiten zu überwachen, abzuspeichern und anschließend monatlich auszuwerten. Zudem leitete das Überwachungssystem die so erfassten Daten ohne Genehmigung an andere Teile der Unternehmensgruppe weiter.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde eines ehemaligen Mitarbeitenden von LTL. Nachdem das Unternehmen ein Disziplinarverfahren gegen ihn anstrengte - im Zuge dessen er letztlich entlassen wurde -, verweigerte man ihm den Zugriff auf sein weiterhin aktives Firmen-E-Mail-Konto. Daraufhin forderte der Beschwerdeführer LTL auf, das Konto zu schließen und ihm eingegangene Nachrichten weiterzuleiten. Außerdem bat er um die Einrichtung einer automatischen Informations-Antwort für eingehende Mails.

LTL kam diesen Aufforderungen nicht nach. Stattdessen leitete man ankommende Nachrichten sogar zwei Monate lang an ein anderes internes Konto weiter und griff dort auf sie zu. Dies betraf auch private E-Mails.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Die spanische Niederlassung von COFIDIS hatte auf eine Anfrage des Beschwerdeführers geantwortet, hatte in dieser Antwort jedoch Daten mitgeschickt, die nicht die seinen waren.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 5.000 EUR auf 3.000 EUR reduziert.

Die spanische Datenschutzbehörde sanktionierte den Betreiber einer Ferienunterkunft. Dieser hatte an und in der Immobilie Überwachungskameras installiert und zeichnete so das Innere der Unterkunft auf.

Die niederländische Datenschutzbehörde untersuchte die HAN University of Applied Sciences nach einem Angriff auf die Hochschule. Dabei stellte die AP fest, dass die von der HAN implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten nicht angemessen waren.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Das COLEGIO ALONAI betrieb inner- und außerhalb seiner Klassenräume Überwachungskameras. Diese erfassten Lernende sowie die umliegenden öffentlichen Räume und den Innnenhof. Diese waren nicht ausreichend ausgeschildert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 5.000 EUR auf 3.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Der Beschwerdeführer hatte Lieferungen an RECICLAJES LOGROÑO durchgeführt und als Bestätigung seinen Ausweis vorgezeigt. Das Unternehmen verlangte jedoch unnötigerweise eine Ausweiskopie von ihm und weigerte sich ohne diese, ihm eine Bestätigung auszustellen. Wozu diese Datenverarbeitung dienen sollte, sagte man ihm nicht.

Nachdem die PTV TELECOM Opfer einer Cyberattacke wurde, veröffentlichten die Täter die dabei gestohlenen personenbezogenen Daten der betroffenen Kunden im Netz. PTV Telecom, das der PROCONO gehört, hatte die Daten ohne angemessene Sicherheitsgarantien verarbeitet.

Das ursprüngliche Bußgeld von 300.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 180.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Während eines Anstellungsprozesses verlangte OAC LOGÍSTICA von den zehn Stellenanwärtern eine Reihe an personenbezogenen Daten, darunter eine Ausweiskopie, ein Selfie und Kontodaten. Diese Informationen wollte das Unternehmen sammeln, obwohl die Bewerber keine Stellenangebote erhalten hatten.

Nach einer Beschwerde untersuchte die spanische Datenschutzbehörde die RETSINNAL GROUP. Wollte man diese über ihre Webseite zwecks Angeboten kontaktieren, musste man personenbezogene Daten angeben. Dabei mangelte es an ausreichenden Informationen über die geplante Verarbeitung.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Die PARTIDO LOCAL DE VILLANUEVA DEL PARDILLO, eine Partei, hatte auf ihrer Facebook-Seite Videoaufnahmen veröffentlicht, die die Beschwerdeführenden abbildeten. Hierfür fehlte die Rechtsgrundlage.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde eines Angestellten des CLUB DE GOLF VILLA DE CUÉLLAR. Der Club hatte in den Arbeitsbereichen des Clubs Überwachungskameras in Betrieb genommen, hatte hierüber aber nicht angemessen informiert.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 400 EUR auf 320 EUR reduziert.

Die spanische Datenschutzbehörde verhängte ein Bußgeld gegen TALENTO MOTOR. Das Unternehmen hatte dem Beschwerdeführer unerwünschte SMS-Werbung zugeschickt. Eine Möglichkeit zur Abmeldung gab es nicht.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Das INSTITUTO NACIONAL DE CIBERSEGURIDAD DE ESPAÑA hatte im Rahmen eines Kurses die personenbezogenen Daten der Teilnehmenden für alle anderen Teilnehmer offengelegt. Verantwortlich war nach Ansicht der AEPD, dass das Institut seine Pflichten zur datenschutzfreundlichen Technikgestaltung nicht erfüllt hatte.

Nach einem schwerwiegenden Angriff auf den Passwortmanager LastPass im Jahr 2022 untersuchte das britische Information Commissioner's Office das Unternehmen. Der Vorfall kompromittierte die Daten von bis zu 1,6 Mio. Nutzern aus Großbritannien. Die Behörde stellte fest, dass die vom Unternehmen implementierten technischen und organisatorischen Maßnahmen zum Datenschutz nicht angemessen waren.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. THE OBJECTIVE MEDIA hatte einen vom Beschwerdeführer verschickten Brief veröffentlicht, ohne seine personenbezogenen Daten zu schwärzen.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 20.000 EUR auf 12.000 EUR reduziert.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte Crowd Entertainment Limited kontaktiert, um ihre Betroffenenrechte auszuüben, und keine fristgerechte angemessen umfangreiche Antwort erhalten.

Nach einer Beschwerde untersuchte die spanische Datenschutzbehörde ONEY SERVICIOS FINANCIEROS EFC. Der Beschwerdeführer hatte festgestellt, dass sich Betrüger Zugang zu seinem Konto verschafft und einige seiner personenbezogenen Daten geändert hatten. Zudem entstand ihm finanzieller Schaden. Dies war möglich, da die Authentifizierungsverfahren von ONEY SERVICIOS FINANCIEROS EFC nur drei Datenpunkte der Kontoinhaber benötigten, was die AEPD als nicht ausreichende Sicherheitsgarantien einstufte.

Das ursprüngliche Bußgeld von 150.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 90.000 EUR reduziert.

Die spanische Datenschutzbehörde schickte dem Bußgeldempfänger im Rahmen einer Untersuchung mehrere Auskunftsersuchen. Diese blieben unbeantwortet bzw. gingen an den Absender zurück.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 300 EUR auf 240 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Der Nationale Verband der Sachverständigen und Computerforensiker (die ASOCIACIÓN NACIONAL DE TASADORES Y PERITOS JUDICIALES INFORMÁTICOS) hatte einen Gerichtsbeschluss auf seiner Webseite veröffentlicht, der personenbezogene Informationen des Beschwerdeführers enthielt.

Nach einem Angriff auf die BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS, bei dem Kreditkartendaten gestohlen wurden, leitete die AEPD eine Untersuchung ein. Dabei stellte sie fest, dass BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS einen Auftragsverarbeiter engagiert hatte, bei dem es keine angemessenen Garantien zum Schutz der verarbeiteten Informationen gab.

Das ursprüngliche Bußgeld von 310.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 186.000 EUR reduziert.

Die spanische Datenschutzbehörde stellte fest, dass Rising Sun Car Rental in Innen- und Außenbereichen Kameras mit aktivierter Tonaufzeichnung betrieb und damit Gespräche von Mitarbeitenden und Kunden erfasste, ohne dass dies erforderlich oder verhältnismäßig war. Zudem fehlte im Außenbereich ein Hinweisschild mit den erforderlichen Informationen.

Rising Sun Car Rental wurde mit einem Bußgeld von 6.000 EUR belegt. Das Unternehmen erkannte die Verantwortung an unc zahlte freiwillig eine auf 3.600 EUR reduzierte Strafe.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. Ein Mitglied von SPORT & SPA GEST hatte sich an die AEPD gewandt, nachdem das Unternehmen verpflichtend neue Mitglieds-Armbänder einführte, die u.A. zum Betreten des Schwimmbads mit einer App gekoppelt und getragen werden mussten. Die Armbänder erfassten unter anderem geschwommene Bahnen und den genauen Aufenthaltsort, angeblich zur Verminderung der Unfallgefahr. Diese Daten wurden mit einer KI ausgewertet, um den Sportstudiobesuchern Statistiken auszugeben.

Das Bußgeld setzt sich aus drei Strafen von je 4.000 EUR wg. Verstoßes gg. Art. 6 Abs. 1 DSGVO, 2.400 EUR wg. Verstoßes gg. Art. 13 DSGVO und 3.200 EUR wg. Verstoßes gg. Art 35 DSGVO zusammen.

Nachtrag vom 12.12.2025:

Einen Antrag auf erneute Prüfung lehnte die AEPD ab.

Nach einer Beschwerde untersuchte die rumänische Datenschutzbehörde Compania de Apa Oltenia. Eine Mitarbeiterin des Unternehmens hatte auf Social Media personenbezogene Daten eines Kunden, die unter anderem Rückschlüsse über dessen Finanzsituation erlaubten, offengelegt. Die ANS PDCP sah hier mangelhafte technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Informationen, die solche Vorfälle hätten verhindern müssen.

Die spanische Datenschutzbehörde verhängte gegen XFERA Móviles (MasMovil/Yoigo) ein Bußgeld, weil das Unternehmen ohne gültige Einwilligung zwei Werbe-SMS an die Beschwerdeführerin gesendet hatte.

Die spanische Datenschutzbehörde reagierte auf die Meldung eines Datenschutzvorfalls. Im Dezember 2023 war die Webseite von EMAGISTER SERVICIOS DE FORMACIÓN (EMAGISTER) aufgrund eines Angriffs auf die Unternehmenssysteme nicht erreichbar. Dabei wurden Informationen von Zehntausenden in ganz Europa kompromittiert. Die AEPD stellte bei ihrer darauffolgenden Untersuchung fest, dass das Unternehmen keine angemessenen Garantien für den Schutz verarbeiteter Daten leisten konnte.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 80.000 EUR auf 48.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte ihre Wohnung zum Verkauf angebeten und ausdrücklich keinen Kontakt von Maklern gewünscht. Dennoch hatte EXTRA MADRID ihm auf der Verkaufsplattform eine Nachricht geschickt. Kurz darauf bekam er einen Brief ohne Absender und Poststempel, der bei seiner Wohnadresse eingeworfen wurde und der Werbung des Unternehmens enthielt.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde gegen GLOBAL COAST INVESTMENTS. Das Unternehmen hatte auf ein Auskunftsersuchen seinerseits darüber, woher es seine personenbezogenen Daten beschafft hatte, nicht reagiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte DELAFRUIT nach einer Meldung. Das Unternehmen betrieb in den Mitarbeiterbereichen seiner Geschäftsräume Überwachungskameras.

Das ursprüngliche Bußgeld von 6.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 3.600 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Meldung über einen Einbruch in die Systeme von SPRINTER MEGACENTROS DEL DEPORTE. Die Ransomware-Attacke ließ kritische Systeme verschlüsselt zurück, während die Täter die von ihr erbeuteten Daten veröffentlichten.

Die daraufhin eingeleitete Untersuchung ergab, dass SPRINTER MEGACENTROS DEL DEPORTE keinen angemessenen Schutz bei der Verarbeitung von Daten garantieren konnte. Wären diese implementiert worden, hätte der Angriff verhindert werden können.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 2,6 Mio. EUR auf 1.560.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte feststellen müssen, dass Mitarbeiter der DIGI SPAIN TELECOM Ersatz-SIM-Karten ihres Vertrags an betrügerische Dritte ausgehändigt hatten. Die Täter hatten die Möglichkeit, dem Beschwerdeführer finanziellen Schaden zuzufügen.

Nachtrag vom 12.12.2025:

Einen Antrag auf erneute Prüfung lehnt die AEPD ab.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Gemeinde Tuscania betrieb über 50 Überwachungskameras im gesamten Stadtgebiet. Für diese fehlte nach Ansicht der GPDP eine Rechtsgrundlage. Außerdem gab es keine angemessene Beschilderung der überwachten Bereiche. Die Gemeinde reagierte zusätzlich nur verspätet auf behördliche Auskunftsverlangen.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Ein Protokoll über eine längere Krankschreibung war für alle Mitarbeitenden im IT-System des Liceo scientifico e linguistico statale Principe Umberto di Savoia zugänglich, unabhängig davon, ob sie zum Zugriff berechtigt sein sollten oder nicht. Dies war auch der Fall, nachdem der Beschwerdeführer sich an seine Vorgesetzten wandte und diese ihm die Entfernung des allgemeinen Zugriffs bestätigten.

Nachdem das Istituto Comprensivo Centro di Casalecchio di Reno nicht angemessen auf ihre Löschungsanfrage reagiert hatte, beschwerte sich eine Privatperson bei der italienischen Datenschutzbehörde. Das Institut hatte zwar bestätigt, die Daten des Beschwerdeführers zu löschen, hatte sie aber dennoch im Netz veröffentlicht.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde eines Elternpaares. Die Istituto Comprensivo Statale di Roverbella-Schule hatte eine Mail mit Informationen zu Impfverpflichtungen an die Beschwerdeführer, aber auch weitere Empfänger, gesendet. Die Mail enthielt Gesundheitsdaten der Kinder, enthielt aber weder Informationen darüber, dass die Informationen an mehrere Empfänger versendet wurden, noch, wer diese waren. Dies stellte eine unrechtmäßige Übermittlung besonderer Kategorien personenbezogener Daten an Dritte dar.

Die französische Datenschutzbehörde verhängte ein Bußgeld gegen AMERICAN EXPRESS CARTE FRANCE, die dort ansässige Tochter der American Express. Beim Besuch der Unternehmenswebseite legte diese auf dem Endgerät des Nutzenden Tracking-Cookies ab, ohne dass diese dem zugestimmt hätten. Auch nach Ablehnung löschte die Seite die Cookies nicht, sondern las sie sogar aus.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte es AUDIO ÓPTICA EUROPA für einen festgesetzten Zeitraum erlaubt, Aufnahmen ihrer minderjährigen Tochter in Print- und Onlinemedien abzubilden. Das Unternehmen druckte die Fotos jedoch über diesen Zeitraum hinaus ab.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.500 EUR auf 900 EUR herabgesetzt.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde über SOBLADA RESTAURACIÓN. Das Unternehmen hatte unrechtmäßig eine Videoüberwachungsanlage betrieben und diese nicht angemessen mit Informationsschildern ausgestattet.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 800 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Sie hatte bei ACTIVOS INTELIGENTES eine Unterkunft gebucht. Das Unternehmen verlangte dafür von ihr ein Selfie, in dem sie ihren Personalausweis hochhielt. Da die Beschwerdeführerin nur den Ausweis ohne ein Selfie einreichte, versuchte man, ihr den Check-in zu verweigern. Auf Nachfrage bzgl. der relevanten Verordnungen und Nutzungsbedingungen gab es keine hinreichende Antwort.

Die AEPD stufte diese Datensammlung als unverhältnismäßig ein.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte gemeldet, dass AXARQUIA VELEZ DENTAL in ihrer Praxis elf Überwachungskameras installiert hatte, mit denen sie ihre Mitarbeitenden überwachte, aber auch Patienten kontinuierlich aufzeichnete. Diese permanente Überwachung der Angestellten stufte die Behörde als übermäßig ein.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 3.000 EUR auf 2.400 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Die Ex-Frau des Beschwerdeführers hatte in seinem Namen und mit seinen Daten einen Gasvertrag bei COMERCIALIZADORA REGULADA, GAS & POWER abgeschlossen. Das Unternehmen hatte die verwendeten Informationen nicht angemessen überprüft, sondern eine Ausweiskopie einfach akzeptiert.

Nachtrag vom 12.12.2025:

Einen Antrag auf erneute Prüfung lehnte die AEPD ab.

Die österreichische Datenschutzbehörde erließ ein Bußgeld gegen Fritz D.. Dieser hatte Teile einer gegen ihn erstatteten Strafanzeige, die personenbezogene Daten anderer enthielten, auf einem unter falschem Namen erstellten Social Media-Profil veröffentlicht.

Es kommen noch 10 EUR Verwaltungskosten hinzu.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Nachdem sie OVH HISPANO kontaktiert hatte, erhielt sie daraufhin Kopien aller E-Mails, die an die von ihr angeschriebene Firmenadresse geschickt wurden. So wurden der Privatperson Informationen unbeteiligter Dritter zugeschickt.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 120.000 EUR auf 72.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde einer Privatperson. Deren Nachbar hatte an seinem Grundstück ein Videoüberwachungssystem installiert, das sowohl das Nachbargrundstück als auch die Straße erfasste.

Die französische Datenschutzbehörde ging gegen Les Publications Condé Nast, Publisher von "vanityfair.fr", vor. Die Webseite speicherte Cookies auf den Endgeräten ihrer Besucher ab, auch nachdem sie dies ablehnten. Die Möglichkeiten zum Widerruf waren demnach nicht ausreichend. Zudem wurde nicht angemessen darüber informiert, warum einige der Cookies als "notwendig" angezeigt wurden.

Die rumänische Datenschutzbehörde untersuchte PFA Nițu A. Cleopatra – Expert nach einer Meldung über einen Datenschutzvorfall bei dem Unternehmen. Dabei stellte die Behörde fest, dass die implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten nicht angemessen waren.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese war im Restaurant des Bußgeldempfängers zu Gast gewesen und wurde dort bestohlen. Das Restaurant zeichnete den Diebstahl auf und veröffentlichte das Video später auf Social Media. Das Opfer wurde hierüber nicht informiert; die Person erfuhr erst später von einem Freund davon.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen die GRUPO INMOBILIARIO GONTEGA. Das Unternehmen hatte auf eine behördliche Auskunftsanforderung nicht fristgerecht reagiert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Beschwerdeführer hatte einen Vertrag mit dem Bußgeldempfänger geschlossen und ihm darum seine personenbezogenen Daten überlassen. Diese hatte der Geschäftsführer mehrfach unrechtmäßig in Kreditauskunftssysteme eingespeist.

Nachtrag vom 17.02.2026:

Einen Antrag auf erneute Prüfung lehnte die AEPD ab.

Nach einer Beschwerde untersuchte die belgische Datenschutzbehörde ein Unternehmen, das unerwünschte Werbung verschickt hatte. Dieses hatte die Informationen von einer Medienagentur erworben, die sie ihrerseits bei Infobel, dem Bußgeldempfänger, gekauft hatte. Infobel ist ein Data Broker und behauptete, der Weiterverkauf der Daten sei mit Zustimmung der Betroffenen geschehen. Dies traf nicht zu; Betroffene wussten nichts von der Verarbeitung.

Die spanische Datenschutzbehörde reagierte auf die Meldung eines Datenschutzvorfalls. STRATESYS TECHNOLOGY SOLUTIONS war Opfer einer Cyberattacke geworden, bei der die Täter Daten aus den Unternehmenssystemen stehlen konnten. Die AEPD stellte bei ihrer Untersuchung fest, dass keine angemessenen Garantien für den Datenschutz bei der Datenverarbeitung gegeben waren.

Das ursprüngliche Bußgeld von 100.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 60.000 EUR reduziert.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Auf der Webseite von Aimag konnten Kunden ihre personenbezogenen Daten einsehen. Hierzu waren jedoch lediglich eine Steuernummer und eine Mail-Adresse notwendig; weitere Schutzmaßnahmen oder Authentifizierungsschritte gab es nicht. Auch die Identität der sich registrierenden Person prüfte Aimag nicht. Außerdem nutzte das Unternehmen die Daten für Telemarketing.

Die italienische Datenschutzbehörde beantwortete ein Beschwerdeschreiben. Die beschwerdeführende Person hatte unerwünschte E-Mail-Werbung von der Logika Group erhalten und daraufhin von dem Unternehmen Auskunft darüber verlangt, woher dieses ihre personenbezogenen Daten hatte. 

Logika erklärte, man könne keinen geplanten Verarbeitungszweck und keine Herkunft der Daten nachweisen, habe aber interne Schutzmaßnahmen verbessert. Es reagierte jedoch gegenüber der betroffenen Person nicht auf die Anfrage.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson, nachdem sie von ihrem Mobilfunkanbieter unter Verwendung ihrer Daten, aber einer falschen Adresse, zur Änderung der mit dem Vertrag verknüpften Telefonnummer aufgefordert wurde. Einen solchen Antrag hat sie jedoch nie gestellt. Dalessio hatte eine Ersatz-SIM-Karte an betrügerische Dritte verkauft, die lediglich eine Ausweiskopie vorgezeigt hatten.

Die italienische Datenschutzbehörde beantwortete die Beschwerde zweier Privatpersonen. Das Istituto Comprensivo G. Falcone Rende-Quattromiglia (CS) hatte zunächst von allen Eltern verlangt, eine Einwilligung zur Anfertigung von Videoaufnahmen der Schulkinder zu unterschreiben. Dies war im Laufe des Schuljahres durch einen extern beauftragten Influencer geschehen, der die Aufnahmen dann im Netz auf diversen Social Media-Plattformen veröffentlichte. Das Video wurde für Werbezwecke benutzt.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte unerwünschte Werbe-Mails von Cucina di Fabio erhalten. Die Untersuchung ergab, dass der Beschwerdeführer dazu nie eingewilligt hatte. 

Die spanische Datenschutzbehörde verhängte ein Bußgeld gegen die ASOCIACIÓN ESCUELA NACIONAL DE EQUITACIÓN, da der Bußgeldempfänger nicht fristgerecht auf eine behördliche Anordnung reagierte.

Die spanische Datenschutzbehörde reagierte auf Beschwerden von sieben Personen. Sie waren Opfer von Identitätsdiebstählen geworden. Die dafür verwendeten Daten hatten die Täter von XFERA MÓVILES gestohlen. Grund war eine Sicherheitslücke, die es Kriminellen ermöglichte, Finanzdaten und mehr abzugreifen und den Kunden finanziellen Schaden zu verursachen.

Die spanische Datenschutzbehörde untersuchte die Beschwerde einer Privatperson. ATRESMEDIA CORPORACIÓN DE MEDIOS DE COMUNICACIÓN hatte ein Schreiben des Beschwerdeführers ausgestrahlt, ohne seine personenbezogenen Daten angemessen zu schwärzen.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 10.000 EUR auf 6.000 EUR reduziert.

Nachdem im Namen der Fundación Éticas Data Society sowie einer Privatperson Beschwerde gegen AENA eingereicht wurde, untersuchte die spanische Datenschutzbehörde die Flughafengesellschaft. Diese hatte am Flughafen von Barcelona ein Pilotprojekt angesetzt, bei dem sie Gesichtserkennungssysteme nutzte. Vor der Inbetriebnahme des Systems hatte es jedoch keine angemessene Datenschutz-Folgeabschätzung gegeben.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nachdem der Beschwerdeführer eine Auskunftsanfrage an APARELLS ORTOPEDICS CURTO schickte, reagierte das Unternehmen unangemessen. Man gab nur einen Teil der angeforderten Daten aus und erklärte, auf den Rest könne man nicht mehr zugreifen. Außerdem kündigte APARELLS an, die Informationen zu vernichten, obwohl dies nie teil der Forderung gewesen war.

Das ursprüngliche Bußgeld von 10.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 6.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Die UNIVERSITAT INTERNACIONAL VALENCIANAVALENCIAN INTERNATIONAL UNIVERSITY hatte ihre Studierenden über ein neues Tool informiert, das bei Prüfungen zum Einsatz kommen sollte. Das Tool sollte mittels einer KI und Gesichtserkennungsfunktionen die Prüflinge identifizieren und Betrug verhindern. Als die Studierenden diesem zu widersprechen versuchten, verweigerte die Universität dies und wies darauf hin, dass die Hochschulleitung die Nutzung genehmigt hätte. Alternative Lösungen ohne die Erfassung biometrischer Daten gab es keine.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Im Zuge einer Transaktion mit der ING Bank hatte der Beschwerdeführer Dokumente per Kurier verschickt. Die SENDING TRANSPORTE Y COMUNICACIÓN hatte diese verloren.

Die rumänische Datenschutzbehörde untersuchte Greencorp nach einem Ransomware-Angriff auf das Unternehmen. Dabei stellte die ANS PDCP fest, dass die vom Unternehmen implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten nicht angemessen waren.

Die rumänische Datenschutzbehörde verhängte ein Bußgeld gegen die Anwaltskanzlei Vasile Nester. Die Webseite der Kanzlei legte beim Besuch technisch nicht notwendige Cookies auf den Endgeräten der Nutzer ab, ohne dass hierfür eine Einwilligung bestanden hätte.

Die spanische Datenschutzbehörde untersuchte MEYDIS aufgrund einer Beschwerde. Im Zuge der Untersuchung schickte die AEPD mehrere Aufforderungen an das Unternehmen, die dies teils durch einen Auftragsverarbeiter, teils gar nicht erfüllte.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 85.000 EUR auf 64.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. EUSKALTEL hatte nicht auf das Informationsersuchen einer Privatperson reagiert, also schritt die AEPD ein und forderte das Unternehmen auf, dem nachzukommen. Auch darauf reagierte EUSKALTEL nicht, woraufhin die Behörde ein Bußgeld aussprach.

Die rumänische Datenschutzbehörde untersuchte PGS SOFA & CO, nachdem das Unternehmen einen Sicherheitsvorfall gemeldet hatte. Bei einem Angriff auf das Unternehmen wurden personenbezogene Daten von Mitarbeitern, Kunden und Partnern kompromittiert, was nach Ansicht der Behörde auf Mängel bei den technischen und organisatorischen Maßnahmen zurückzuführen war, die PGS SOFA & CO implementiert hatte.

Die polnische Datenschutzbehörde sanktionierte einen Gerichtsvollzieher. Dieser hatte Dokumente versehentlich an einen falschen Empfänger verschickt und es versäumt, die Behörde und den Betroffenen darüber zu informieren.

Die kroatische Datenschutzbehörde verhängte ein Bußgeld von insgesamt 4,5 Mio. EUR gegen ein Telekommunikationsunternehmen. Das Unternehmen hatte personenbezogene Daten seiner Nutzer - unter anderem Personalausweiskopien und Führungszeugnisse - an einen Auftragsverarbeiter in Serbien weitergegeben. Es handelte sich um einen Teil der Unternehmensgruppe, die der Telekom-Anbieter mit Software-Verwaltungsaufgaben betraute.

Die Übermittlung war zunächst auf einen Zeitraum von 2020 bis 2022 begrenzt und auf Standardvertragsklauseln gestützt. Für die Zeit danach jedoch lagen keine vereinbarten Standardvertragsklauseln vor, weshalb der serbische Verarbeiter ohne Rechtsgrundlage uneingeschränkt auf sensible Informationen von 847.862 Personen zugreifen konnte. Der Datenverantwortliche hatte zudem keine angemessene Risiko-Abschätzung durchgeführt, bevor er die Datenübermittlung erlaubte. Betroffene wurden über die Weitergabe ihrer Daten nicht informiert.

Die Verarbeitung der Daten seiner Mitarbeiter durch den Anbieter wurde von der Behörde als übermäßig eingestuft, da z.B. Kopien der Personalausweise seiner Angestellten gespeichert wurden. Der Datenschutzbeauftragte hatte dies angemerkt, war jedoch ignoriert worden. Auch an grundlegenden Schutzmaßnahmen mangelte es.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. THE RED KIWI hatte sie und alle anderen Kunden des Unternehmens zu einer WhatsApp-Gruppe hinzugefügt, wodurch jedes Gruppenmitglied die Nummern und Namen aller anderen Mitglieder einsehen konnte. Betroffen waren etwa 90 Personen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. HWM PSI hatte eine Mail an insgesamt sieben Empfänger geschickt, ohne die BCC-Funktion zu verwenden.

Die italienische Datenschutzbehörde untersuchte die Gemeinde Orte. Diese hatte 43 Überwachungskameras im gesamten Stadtgebiet installiert. Es gab u.A. keine Folgeabschätzung für das Netzwerk, das zum Zeitpunkt des Bußgeldbescheids bereits nicht mehr aktiv war. Zudem entsprach die angebrachte Beschilderung nicht den gesetzlichen Vorschriften. Auf Aufforderungen seitens der GPDP reagierte die Gemeinde verspätet.

Die italienische Datenschutzbehörde beantwortete zunächst eine Beschwerde, nach deren Untersuchung sie die von Maviglia Assicurazioni snc di Gherardo Maviglia & c. durchgeführte Datenverarbeitung als rechtswidrig einstufte. Sie trug dem Unternehmen ein Bußgeld sowie mehrere Maßnahmen auf. Auf diese Anordnungen und darauffolgende Aufforderungen reagierte das Unternehmen nicht.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Quarantadue hatte eine Dokumentarserie für Netflix produziert und in dieser diverse Sprachnachrichten und Gesprächsmitschnitte eingebaut und ausgestrahlt. Diese Gespräche waren wohl zwar im Vorfeld des behandelten Prozesses gesammelt worden, fanden jedoch keine Verwendung im tatsächlichen Prozessverlauf.

Die rumänische Datenschutzbehörde untersuchte Fan Courier Express. Eine Privatperson hatte sich beschwert: Das Unternehmen hatte nicht auf eine Löschungsanfrage reagiert und den von ihr verarbeiteten Daten eine abfällig Bemerkung hinzugefügt.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nach einem Werbeanruf, dem sie nie zugestimmt hatte, hatte die TELECONTACT LIST nicht auf ihre Aufforderung zur Datenlöschung reagiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die rumänische Datenschutzbehörde untersuchte Whitedecor nach der Beschwerde einer Privatperson. Das Unternehmen hatte ihr nach einem Kauf immer wieder Werbe-Nachrichten geschickt, obwohl sie dem nie zugestimmt hatte. Das Bußgeld setzt sich aus zweimal je 5.082 RON zusammen.

Die rumänische Datenschutzbehörde untersuchte Klass Wagen. Das Unternehmen war einer Cyber-Attacke zum Opfer gefallen. Die daraufhin eingeleitete Untersuchung der Behörde ergab, dass Klass Wagen keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten implementiert hatte.

Ein großes privates Krankenhaus in Thailand wurde von der Datenschutzbehörde PDPA in Singapur mit einer Geldstrafe von 1,21 Millionen Baht belegt, weil Patientenakten nach ihrer Entsorgung unsachgemäß weiterverwendet wurden – als Snack-Tüten für knusprige Crepes („khanom Tokyo“). Über 1.000 geschützte Akten waren betroffen. Das Krankenhaus hatte die Entsorgung an ein kleines Unternehmen ausgelagert, die Nachverfolgung jedoch vernachlässigt.

Die spanische Datenschutzbehörde beantwortete die Beschwerde zweier Erziehungsberechtigter. Ihr behindertes Kind war auf Plakaten auf dem Schulhof sowie in den Klassenzimmern der ESCOLA LES CAROLINES COOP. V. aufgetaucht. Einer solchen Verwendung hatten die Eltern jedoch nie zugestimmt, sie waren lediglich mit der Datenverarbeitung zu Unterrichtszwecken einverstanden gewesen.

Die griechische Datenschutzbehörde untersuchte einen Einzelunternehmer. Dieser hatte einem ehemaligen Mitarbeitenden das Aushändigen von Protokollen über seine Aktivitäten verweigert. Die Behörde sah keinen angemessenen Grund dafür.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. In ihrer Wohnanlage gibt es eine Paketabholstelle, bei der die Identifizierung über eine auf einem Stativ montierte Kamera erfolgt, die von jeder abholenden Person ein Bild aufnimmt. Diese Bilder werden gespeichert.

Die rumänische Datenschutzbehörde belangte THERE'S AN AI FOR THAT, da das Unternehmen bei Besuch seiner Webseite Cookies auf den Endgeräten der Besuchenden speicherte, ohne diese angemessen zu informieren oder ihnen die Möglichkeit zur Einwilligung zu geben.

Die österreichische Datenschutzbehörde verhängte ein Bußgeld gegen eine Werbeagentur. Es hatte einen Angriff auf deren Webseite gegeben, der zu einer Datenkompromittierung führte. Diesen meldete das Unternehmen nicht.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde einer Privatperson. Diese hatte von der GESTIÓN DE VENTAS IBERIA einen Anruf erhalten, der ihr einen neuen Energievertrag verkaufen wollte. Im Zuge des Anrufs bekam sie eine SMS mit einem Link, über den sie ihre Daten bestätigen sollte.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Sie war Opfer eines Identitäsdiebstahls geworden, in dessen Folge die Betrüger mit ihren personenbezogenen Daten einen Vertrag abschlossen. Für die Verarbeitung der Daten des Beschwerdeführers gab es also keine Rechtsgrundlage.

Nachtrag vom 10.12.2025:

Einen Antrag auf erneute Prüfung lehnte die AEPD ab.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese war von einem Marketing-Dienstleister auf einer selten genutzten Telefonnummer angerufen worden. Diese hatte der Dienstleister von AD735 DATA MEDIA ADVERTISING gekauft. Der Besitzer der Nummer hatte einer solchen Datenverarbeitung jedoch nie zugestimmt.

Die britische Financial Conduct Authority verurteilte Luke Coleman aus Taunton, ehemals Angestellter bei Virgin Media, zu einer Bußgeldzahlung von 436 GBP zzgl. einer Gebühr von 38 GBP und Prozesskosten von 500 GBP. Coleman hatte vertrauliche Kundendaten seines Arbeitgebers an einen Familienfreund verkauft, um diesem so bei einem Krypto-Scam zu helfen. Auf diese Informationen hatte er unrechtmäßig zugegriffen. Insgesamt betrogen die Täter mindestens 65 Investoren um 1.541.799 GBP.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde einer Privatperson. Diese hatte von KAPTIVE ENERGY EMPIRE einen Anruf erhalten, der angeblich Korrekturen an ihrem Energievertrag verkaufen wollte, ohne dass das Unternehmen, bei dem der Vertrag angeblich bestand, sich auswies. Im Zuge des Anrufs bekam sie eine SMS mit einem Link, über den sie ihre Daten bestätigen sollte. Es handelte sich um einen Werbeanruf.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Sie hatte von FACTOR ENERGIA eine Nachricht mit einem Vertrag erhalten, den er nie abgeschlossen hatte. Die Untersuchung ergab, dass BONTECU DISTRIBUCIONES, als Auftragsarbeiter tätig, weitere Auftragsverarbeiter engagiert hatte, ohne hierfür eine Genehmigung zu haben. Diese hatte BONTECU DISTRIBUCIONES zudem nicht angemessen geprüft. So kam es zu Verträgen, die gestohlene Personendaten nutzten.

Im Januar 2023 führte eine technische Änderung zu einer etwa einstündigen Störung, bei der rund 350 Personen zeitweise auf fremde persönliche Daten zugreifen und Transaktionen im Namen anderer Kunden ausführen konnten. Betroffen waren unter anderem Dienste von Behörden, Versicherungen, Arbeitslosenkassen und Gesundheitsdienstleistern. Der Zugang zum Online-Banking selbst war nicht betroffen.

Im Rahmen der umfangreichen Untersuchung der Behörde stellte diese fest, dass Mängel bei Planung, Umsetzung und Prüfung der technischen Änderungen vorlagen. Aktia habe die Funktion des Dienstes nicht ausreichend getestet. Nach dem Vorfall führte die Bank verbesserte Testmethoden ein, um künftige Identifikationsfehler zu vermeiden. Laut der Behörde wurde bei der Strafzumessung berücksichtigt, dass Aktia schnell reagierte und Abhilfemaßnahmen ergriff, wodurch mögliche Schäden begrenzt wurden. 

Die spanische Datenschutzbehörde verhängte gegen CARSO TRADING eine Geldstrafe, weil das Unternehmen eine frühere Anordnung der AEPD nicht befolgt hat. Konkret hatte CARSO TRADING versäumt, einer betroffenen Person das Auskunftsrecht gemäß Art. 15 DSGVO zu gewähren, obwohl dies in einer vorherigen Entscheidung ausdrücklich angeordnet worden war.

Neben der Geldstrafe ordnete die AEPD erneut an, dass CARSO TRADING innerhalb eines Monats das Auskunftsersuchen ordnungsgemäß bearbeiten und den Nachweis des Vollzugs an die Behörde übermitteln muss.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nachdem ein Fehler bei einem anderen Unternehmen ihre Mail-Adresse offenlegte, erhielt sie wiederholt Werbe-Mails von KINYO, denen sie nie zugestimmt hatte. Nachdem sie sich abzumelden versuchte, erhielt sie bis zu einer zweiten Abmeldung weiterhin Mails.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde einer Privatperson. Diese hatte von KAPTIVE ENERGY EMPIRE einen Werbeanruf erhalten. Im Zuge des Anrufs bekam sie eine SMS mit einem Link, über den sie ihre Daten bestätigen sollte.

Die lettische Datenschutzbehörde untersuchte ZZ Dats nach einem Datenverlust im Jahr 2024, bei dem Daten fast aller lettischen Gemeinden betroffen waren. Dabei stellte die Behörde fest, dass die implementierten technischen und organisatorischen Maßnahmen mangelhaft waren.

Die Polnische Datenschutzbehörde verhängte ein Bußgeld gegen ein gynäkologisches Zentrum, nachdem ein Mitarbeiter versehentlich ein Dokument mit sensiblen Patientendaten (u. a. Name, Adresse, Bankverbindung und Informationen über genetische Tests) an die falsche Empfängerin versandt hatte.

Der Verantwortliche war zu dem Schluss gekommen, dass der Vorfall keine potenzielle Verletzung darstellte und sah daher von einer Meldung an die Datenschutzbehörde und die Betroffene Person ab.

Die spanische Datenschutzbehörde untersuchte die Beschwerde einer Person, die mit generativer KI erstellte Nacktbilder, die ihr Gesicht zeigten, im Internet entdeckt hatte. Verantwortlich war eine minderjährige Privatperson, deren Eltern das nach freiwilliger Zahlung und Haftungsanerkennung von 2.000 EUR auf 1.200 EUR reduzierte Bußgeld zahlten.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde einer Privatperson. Diese hatte von IBERO SOLUCIONES RENOVABLES einen Werbeanruf, angeblich im Namen von Reduluz, erhalten. Dem hatte sie nie zugestimmt.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte wiederholt Werbe-Mails von ALIQUAM SOFTWARE DEVELOPMENT (ALDESO) erhalten, ohne dem je zugestimmt zu haben.

Das ursprüngliche Bußgeld von 1.400 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 840 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde einer Privatperson. Diese hatte von VOLTIUM CONSULTORES 2020 einen Werbeanruf, angeblich im Namen ihres Energieversorgers, erhalten. Dem hatte sie nie zugestimmt. Die Anrufer schickten ihr zudem mehrere angeblich zu unterzeichnende Dokumente per Mail.

Das Berufungsgericht Borgarting hat am 21. Oktober 2025 entschieden, dass die gegen die Dating-App Grindr verhängte Geldstrafe in Höhe von 65 Millionen norwegischen Kronen bestehen bleibt. Damit scheiterte Grindr mit seiner Berufung gegen das Urteil des Bezirksgerichts Oslo. Das Gericht bestätigte, dass Grindr ohne gültige Einwilligung personenbezogene und sensible Daten seiner Nutzer an Werbepartner weitergegeben hatte. Diese Daten, die Rückschlüsse auf die sexuelle Orientierung und das Sexualleben der Nutzer zuließen, seien besonders schutzwürdig.

Die Entscheidung markiert das Ende eines langjährigen Verfahrens, das 2020 begann, als der norwegische Verbraucherrat Beschwerde bei der Datenschutzbehörde einreichte. Diese hatte 2021 die Geldbuße verhängt (wir berichteten), die 2023 vom Datenschutzausschuss bestätigt und 2024 vom Bezirksgericht Oslo aufrechterhalten wurde. Das Berufungsgericht folgte nun in allen Punkten den bisherigen Bewertungen der Behörden.

Grindr kann innerhalb eines Monats erneut Berufung einlegen, allerdings nur mit Zustimmung des Obersten Gerichtshofs.

Nach der Beschwerde einer Privatperson stellte die Behörde umfangreiche Untersuchungen bei dem Unternehmen an. Dabei stellte die Behörde fest, dass der Betreiber keine Beweise dafür vorgelegt hatte, dass er innerhalb der gesetzlichen Frist eine angemessene und vollständige Antwort auf die Anfrage übermittelt hatte. Außerdem hatte der Betreiber der betroffenen Person weder eine Kopie der von ihr angeforderten Daten (Sprachaufzeichnungen) noch Informationen über den Grund für die Ablehnung ihrer Anfrage übermittelt.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde des ehemaligen Kulturministers Gennaro Sanguiliano. Der Fernsehsender Rai hatte eine Reportage über dessen Affäre während seiner Amtszeit produziert und ausgestrahlt. In dieser spielten die Produzenten Teile eines Privatgesprächs zwischen ihm und der beteiligten Frau ab, das unrechtmäßig abgehört worden war.

Nachtrag vom 27.01.2026:

Ein römisches Gericht hob den Bußgeldbescheid auf. Die GPDP kündigte an, in Berufung gehen zu wollen.

Die spanische Datenschutzbehörde untersuchte einen Angriff auf FIATC MUTUA DE SEGUROS Y REASEGUROS. Die Täter drangen ins Intranet des Unternehmens ein und griffen auf Daten von 90.000 Konten zu. Die AEPD stellte fest, dass das nun insolvente FIATC MUTUA DE SEGUROS Y REASEGUROS die Informationen ohne die Gewährleistung einer angemessenen Datensicherheit verarbeitet hatte.

Das ursprüngliche Bußgeld von 40.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 24.000 EUR reduziert.

Die italienische Datenschuttzbehörde reagierte auf die Beschwerde zweier Privatpersonen. Die Statista Aldo Moro-Hochschule von Fara in Sabina hatte ein Diszilpinarverfahren gegen ihren Sohn eingeleitet. Das hierzu verfasste Protokoll hatte die Einrichtung auf ihrer Webseite veröffentlicht. Außerdem listete die Webseite der Hochschule keine Kontaktdaten für ihren Datenschutzbeauftragten.

Die italienische Datenschutzbehörde erließ ein Bußgeld gegen die Gemeinde Avola, da diese der GPDP keine Kontaktdaten für ihren Datenschutzbeauftragten übermittelt hatte. Zudem listete sie auch auf der Gemeindewebseite keine Kontaktmöglichkeiten.

Nach der Beschwerde einer ehemaligen Angestellten untersuchte die italienische Datenschutzbehörde die Gemeinde Curtarolo. Diese hatte ein Videoüberwachungssystem eingerichtet. Die so gewonnenen Aufnahmen sowie weitere, die von einem Kollegen im Auftrag des Bürgermeisters heimlich gemacht worden waren, wurden im Zuge eines Disziplinarverfahrens gegen die Beschwerdeführerin verwendet. Die Behörde stufte das als unrechtmäßig ein.

Die italienische Datenschutzbehörde untersuchte die Anwaltskammer Latina nach der Beschwerde einer Privatperson. Die Anwaltskammer hatte im Rahmen eines Strafverfahrens Dokumente mit personenbezogenen Daten - denen des Beschwerdeführers und anderer - auf ihrer Webseite veröffentlicht. Diese waren von Suchmaschinen indexiert worden.

Die italienische Datenschutzbehörde erreichten mehrere Meldungen über die Veröffentlichung von Informationen über Covid-Erkrankungen von Anwohnern der Gemeinde Calvi Risorta auf einem Facebook-Profil. Auch Minderjährige waren betroffen.

Verantwortlich für die Posts war der derzeitige Bürgermeister der Gemeinde, Dr. Giovanni Rosario Lombardi. Er hatte nicht für alle diese Beiträge die Einwilligung der Betroffenen eingeholt.

Die italienische Datenschutzbehörde untersuchte Multimedia News Società Cooperativa bzgl. eines Artikels in der von ihr verlegten Online-Zeitung "Lombardianews". Der Beschwerdeführer hatte einen Prozess angestrengt, nachdem diese seine Daten veröffentlicht hatte. Nachdem schließlich das Urteil der 2. Instanz rechtskräftig wurde, verlangte er die Löschung seiner Daten und die Deindexierung der Informationen. Dies war jedoch kaum möglich, da das Unternehmen weder eindeutige Informationen über die von ihm durchgeführte Datenverarbeitung zur Verfügung stellte noch eine Kontaktmöglichkeit auf ihrer Webseite listete.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte von Geturhotels Werbe-SMS erhalten, ohne diesen zugestimmt zu haben. Auch nach Ablehnung per Mail bekam sie weitere Nachrichten.

Die italienische Datenschutzbehörde untersuchte Zephiromedia nach dem Eingang diverser Beschwerden. Das Unternehmen verschickte immer wieder unerwünschte Werbe-Nachrichten, vor allem E-Mails, und stellte den Empfängern keine Widerrufsmöglichkeit als Link zur Verfügung. Auch auf Versuche der Empfänger, ihre Betroffenenrechte auszuüben, reagierte Zephiromedia nicht.

Die italienische Datenschutzbehörde untersuchte die Inhaberin eines Unternehmens der Tabakwarenbranche, nachdem die Finanzbehörde ihr Unregelmäßigkeiten meldete. Die Bußgeldempfängerin hatte die personenbezogenen Dritter verwendet, um die ihren Kreditkarten auferlegten Finanzlimits zu umgehen. Es handelte sich um Kundendaten, die sie aus geschäftlichen Transaktionen erhalten hatte.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. LÍNEAS FINANCIERAS INTERNACIONALES hatte ihr wiederholt Werbung gesendet - auch, nachdem sie dem widersprach und das Unternehmen dies bestätigte.

Das ursprüngliche Bußgeld betrug 500 EUR. Gezahlt wurden letztendlich 400 EUR.

Seit Mai 2025 hat die CNIL im Rahmen ihres vereinfachten Verfahrens sechzehn neue Sanktionen mit einer Gesamtstrafe von 108.000 EUR verhängt. Unter anderem Verhängte die Behörde ein Bußgeld in unbekannter Höhe gegen ein Pharmaunternehmen und ein Krankenhaus, weil sie den Zugang zu einem Gewerkschaftsbüro gefilmt hatten.

Gegen das Krankenhaus wurde zudem ein Verstoß im Zusammenhang mit Zweckmissbrauch festgestellt.

Seit Mai 2025 hat die CNIL im Rahmen ihres vereinfachten Verfahrens sechzehn neue Sanktionen mit einer Gesamtstrafe von 108.000 EUR verhängt. Unter anderem verhängte die Behörde ein Bußgeld in unbekannter Höhe gegen ein Unternehmen, welches aus Teilnahmeformularen für Wettbewerbe Daten potenzieller Kunden gesammelt und diese dann für kommerzielle Kundenakquisemaßnahmen verwendet hatte. Die Gestaltung der Formulare betonte insbesondere die Möglichkeit, dem Erhalt von Werbeangeboten zuzustimmen. Dies suggerierte, dass dies die einzige Möglichkeit sei, die Teilnahme am Wettbewerb zu bestätigen.

Die spanische Datenschutzbehörde untersuchte BIZUM, nachdem dieses einen Datenschutzvorfall meldete. Dabei stellte die AEPD mangelhafte technische und organisatorische Maßnahmen zum Schutz verarbeiteter Daten fest.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 100.000 EUR auf 80.000 EUR reduziert.

Die rumänische Datenschutzbehörde untersuchte SPEEH HIDROELECTRICA SA, nachdem ein Kunde des Unternehmens die Stromrechnung eines anderen Kunden erhalten hatte. Bei der Untersuchung wurde festgestellt, dass dieser Vorfall auf einen technischen Fehler im Computersystem des Betreibers zurückzuführen war, über das die Rechnungen an seine Kunden versandt wurden, was zum Verlust der Kontrolle über die personenbezogenen Daten der betroffenen Person geführt hatte.

Die niederländische Datenschutzbehörde AP verhängte gegen Experian Nederland wegen Datenschutzverstößen ein Bußgeld in Höhe von 2,7 Mio. Euro. Das Unternehmen hatte unrechtmäßig personenbezogene Daten gesammelt und für Kreditbewertungen genutzt, ohne Betroffene ausreichend zu informieren. Nach Beschwerden leitete die Datenschutzbehörde eine Untersuchung ein. Experian gesteht den Verstoß, legt kein Rechtsmittel ein, beendet seine Tätigkeit in den Niederlanden und löscht die Datenbank.

Die rumänische Datenschutzbehörde untersuchte PRIME TRANSACTION nach einem Angriff auf dessen Systeme. Dabei stellte die Behörde Mängel bei den implementierten technischen und organisatorischen Maßnahmen fest.

Die britische Datenschutzbehörde untersuchte Capita Pension Solutions Limited (CPSL) und Capita plc nach einem Angriff auf die Unternehmenssysteme. Die Täter griffen dabei auf Daten von 6 Mio. Personen zu.

Die Untersuchung ergab massive Mängel bei den implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten. Es gab keine ausreichende Limitierung der Zugriffsrechte in internen Netzwerken.

Die britische Datenschutzbehörde untersuchte Capita plc und Capita Pension Solutions Limited (CPSL) nach einem Angriff auf die Unternehmenssysteme. Die Täter griffen dabei auf Daten von 6 Mio. Personen zu.

Die Untersuchung ergab massive Mängel bei den implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten. Es gab keine ausreichende Limitierung der Zugriffsrechte in internen Netzwerken.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde einer Privatperson. Diese hatte von einem Auftragsverarbeiter von AECORP 005 einen Anruf erhalten, der ihr im Namen von Naturgy einen neuen Energievertrag verkaufen wollte. Im Zuge des Anrufs bekam sie eine SMS mit einem Link, über den sie ihre Daten bestätigen sollte.

Die rumänische Datenschutzbehörde verhängte ein Bußgeld gegen CORAL TRAVEL & TOURISM SERVICES. Die Webseite des Unternehmens hinterlegte auf den Endgeräten ihrer Besucher Cookies, ohne dass die Nutzer dazu ihre Einwilligung erteilt hätten.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde über DINAMO SAN JUAN. Der Sportverein hatte eine Person auf seinem Instagram-Account gesperrt. Draufhin verlangte sie die Löschung von Fotos, die der Verein gepostet hatte und in denen sie zu sehen war. Für diese hatte es keine vorherige Einwilligung gegeben.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die AEPD verhängte ein Bußgeld gegen eine Apotheke in Katalonien, weil sie Gesundheitsdaten von Heimbewohnern unverschlüsselt per E-Mail versendete, unzureichende Sicherheitsmaßnahmen traf und Informationspflichten verletzte. 

Das ursprüngliche Bußgeld von 16.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 9.600 EUR reduziert.

Die AEPD verhängte gegen eine Apotheke wegen unzulässiger Verarbeitung personenbezogener Gesundheitsdaten von Heimbewohnern drei Geldbußen: 5.000 EUR wegen einer fehlenden Rechtsgrundlage, 3.000 EUR wegen der fehlenden Information der Betroffenen und weitere 3.000 EUR wegen unzureichender Sicherheitsmaßnahmen – insgesamt 11.000 EUR.

Da die Apotheke ihre Verantwortung anerkannte und die Strafe freiwillig zahlte, wurde das endgültige Bußgeld auf 6.600 EUR gesenkt.

Die Behörde verhängte gegen das Unternehmen SERVACE, S.L. ein Bußgeld, weil es ohne Zustimmung die private E-Mail-Adresse eines Mitarbeiters für dienstliche Zwecke genutzt und diese Adresse zudem in E-Mails sichtbar an Dritte weitergegeben hatte. Die Behörde setzte zunächst eine Geldbuße in Höhe von 900 EUR für den ersten und 500 EUR für den zweiten Verstoß fest.

Da das Unternehmen seine Verantwortung anerkannte und die Strafe freiwillig bezahlte, wurde der Betrag auf 840 EUR reduziert. Zusätzlich wurde SERVACE verpflichtet, innerhalb von drei Monaten Maßnahmen zu ergreifen, um den Datenschutz künftig zu gewährleisten.

Die rumänische Datenschutzbehörde untersuchte Vellea Home, nachdem das Unternehmen einen Angriff auf seinen Online-Shop gemeldet hatte. Dabei stellte die ANS PDCP fest, dass es keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten gab, die die Attacke hätten verhindern können.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde über MOBILITY EVOLUTION. Der Beschwerdeführer hatte die App des Unternehmens während eines Urlaubs genutzt und nach seiner Rückkehr nach Deutschland die Löschung seiner Daten beantragt. Man teilte ihm daraufhin mit, er solle eine Bestätigung erhalten, sobald die Löschung erfolgt sei. Diese kam jedoch nie an. Anderen Nutzern ging es ebenso.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 15.000 EUR auf 9.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. TELEROSA SPAIN hatte Werbe-SMS verschickt, ohne dass die Empfänger dem je zugestimmt hätten.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 450 EUR auf 360 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde einer Privatperson. Diese hatte von einem Auftragsverarbeiter von NEGOCIOS R&R 2020 einen Anruf erhalten, der ihr einen neuen Energievertrag verkaufen wollte. Im Zuge des Anrufs bekam sie eine SMS mit einem Link, über den sie ihre Daten bestätigen sollte.

Der Beschwerdeführer vermutete hier einen Betrugsversuch. Tatsächlich jedoch hatte NEGOCIOS R&R 2020 seine Daten an den Auftragsverarbeiter abgegeben, ohne ihn darüber zu informieren.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 11.000 EUR auf 6.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 16.000 EUR auf 9.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 16.000 EUR auf 9.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen und die betroffenen Personen nicht über die Verarbeitung informiert.

Das ursprüngliche Bußgeld von 31.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 18.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen und die betroffenen Personen nicht über die Verarbeitung informiert. Zudem war ein mit einem Auftragsverarbeiter abgeschlossener Vertrag nicht angemessen detailliert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 19.000 EUR auf 11.400 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 11.000 EUR auf 6.600 EUR reduziert.

Die rumänische Datenschutzbehörde reagierte auf eine Meldung über einen Sicherheitsvorfall, bei dem personenbezogene Daten gestohlen wurden. Dabei stellte sie fest, dass das Unternehmen keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten implementiert hatte.

Der Federal Court of Australia erließ im Oktober 2025 ein Bußgeld gegen Australian Clinical Labs Limited. Das Unternehmen hatte im Jahr 2021 Teile einer anderen Firma aufgekauft, in deren Systemen Hacker 2022 Ransomware einschleusten. Die Täter stahlen Daten von 223.000 Personen. Die Behörde und das Gericht sahen massive Mängel bei den implementierten Maßnahmen zum Schutz der verarbeiteten Daten.

Die griechische Datenschutzbehörde untersuchte die Gemeinde Moschatos-Tavros. Diese hatte in ihrem Betriebshof ein Netzwerk von Überwachungskameras in Betrieb genommen. Dabei hatte sie die Installation im Vorhinein nicht angemessen geprüft und mehr Kameras angebracht, als ursprünglich vorgesehen war.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Ein der Interprovinziellen Berufsverband für medizinisch-radiologische Techniker und technische Gesundheitsberufe im Bereich Rehabilitation und Prävention von AQ - CH - PE - TE unterstellter Mediziner hatte eine gegen ihn ausgesprochene Disziplinarentscheidung Widerspruch eingelegt. Der Berufsverband hatte die Entscheidung dennoch bereits online eingetragen. Zudem gab der Regionalverband die Daten des Beschwerdeführers an den Nationalverband weiter.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Pisaer Berufsordnung für Krankenpflege hatte auf ihrer Webseite ein Berufsregister veröffentlicht, das auch ein Verzeichnis der Wohnadressen aller aufgelisteten Personen enthielt.

Nach dem Verfahren gegen Realmaps untersuchte die italienische Datenschutzbehörde FT Solutions. Dabei stellte sie fest, dass das Unternehmen als Datenverarbeiter Informationen genutzt hatte, die ohne eine angemessene Rechtsgrundlage erworben worden waren. Von dieser Verarbeitung Betroffene wurden nicht hinreichend informiert.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Das Humanitas Mirasole-Krankenhaus hatte eine von ihr entnommene Gewebeprobe vernichtet. Es gab keine angemessenen Maßnahmen zum Schutz dieser Daten, die die Zerstörung hätten verhindern können.

Nach einer Beschwerde einer Lehrerin untersuchte die italienische Datenschutzbehörde das Staatliche Kunstgymnasium "Renato Cottini". Die Schule hatte im Zuge eines Bewerbungsverfahren ihren Lebenslauf mit einer Reihe an Erziehungsberechtigten der Schulkinder geteilt. Die hierfür notwendige Rechtsgrundlage sah die GPDP nicht.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. AD Media hatte dem Beschwerdeführer Werbe-E-Mails geschickt, ohne den Empfängern in den Nachrichten eine Möglichkeit zu geben, diese abzubestellen.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Nach Ende seines Arbeitsverhältnisses bei Arienti & C. hatte der Beschwerdeführer, ein ehemaliger Mitarbeiter, feststellen müssen, dass das Unternehmen den Zugang zu seiner Mitarbeiter-E-Mail und dem Angestellten-Portal deaktiviert hatte. Auch nach Anfrage des Ex-Mitarbeitenden weigerte sich das Unternehmen, ihm die ihn betreffenden dort enthaltenen Informationen zukommen zu lassen. Diese Kopie hätten Arienti & C. aushändigen müssen. Zudem wäre es die Pflicht des Unternehmens gewesen, eine Unerreichbarkeitsmitteilung einzurichten.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte wiederholte Werbe-SMS von der Università Telematica E-Campus (E-Campus Online-Universität) erhalten. Auch auf Auskunfts- und Löschungsanfragen des Beschwerdeführers reagierte der Bußgeldempfänger zunächst nicht. Auf den Löschungsantrag wurde über einen Monat später bestätigend geantwortet.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde über einen Apothekenbesitzer. Die katalanische Datenschutzbehörde hatte gemeldet, dass in den Apotheken des Bußgeldempfängers unbefugt auf Informationen von Bewohnern mehrerer Pflegeeinrichtungen zugegriffen wurde. Zudem wurden diese Daten ohne ausreichende technische und organisatorische Maßnahmen an andere übermittelt, und die betroffenen Personen wurden nicht angemessen informiert.

Das ursprüngliche Bußgeld von 11.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 6.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Das Gesamtbußgeld setzt sich aus fünf Strafen von dreimal je 5.000 EUR wg. Verstoßes gg. Art 6 DSGVO, 3.000 EUR wg. Verstoßes gg. Art. 14 DSGVO und 3.000 EUR wg. Verstoßes gg. Art 32 DSGVO zusammen.

Nachtrag vom 14.10.2025:

Ein Berufungsantrag wurde abgelehnt.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 11.000 EUR auf 6.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Das ursprüngliche Bußgeld von 16.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 9.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Das ursprüngliche Bußgeld von 21.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 12.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Das ursprüngliche Bußgeld von 11.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 6.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen und die betroffenen Personen nicht über die Verarbeitung informiert.

Das ursprüngliche Bußgeld von 23.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 13.800 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen und die betroffenen Personen nicht über die Verarbeitung informiert. Die so eingesehenen Informationen wurden für die widerrechtliche Ausgabe von Windeln genutzt.

Das ursprüngliche Bußgeld von 13.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 7.800 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 21.000 EUR auf 12.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Meldung der katalanischen Datenschutzbehörde. Die vom Bußgeldempfänger betriebene Apotheke hatte ohne Rechtsgrundlage auf die Daten von Pflegeheimbewohnern zugegriffen, diese auf unsicheren Wegen weitergegeben und die betroffenen Personen nicht über die Verarbeitung informiert.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 11.000 EUR auf 8.800 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte von AECORP Werbeanrufe erhalten, ohne diesen je zugestimmt zu haben. Es gab auch keine anderen Gründe, die die Anrufe gerechtfertigt hätten.

In ihrer Zwischenbilanz für die im Jahr 2025 verhängten Bußgelder berichtete der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit über eine Strafe für ein Finanz-Unternehmen. Dieses hatte mehrere Kreditanfragen trotz eigentlich guter Bonität der Antragsteller abgelehnt. Als diese daraufhin Informationsanfragen stellten, reagierte das Unternehmen nicht angemessen.

In seiner Zwischenbilanz für das Jahr 2025 berichtete der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit von drei Bußgeldern gegen Unternehmen, die ihren Kunden Werbung zuschickten, ohne dass diese zugestimmt hätten. Die Strafen bewegten sich im niedrigen fünfstelligen Bereich.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit verhängte 6 Bußgelder gegen Mitarbeiter der Hamburger Polizei und anderer Behörden. Diese hatten auf behördliche Datenbanken zugegriffen und dort personenbezogene Daten Dritter abgerufen, um diese für private Zwecke zu nutzen.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit verhängte ein Bußgeld gegen ein Unternehmen. Dieses hatte von einem Auftragsverarbeiter Werbung per Post verschicken lassen. Als die Empfänger von ihren Betroffenenrechten Gebrauch machen wollten, reagierte der Bußgeldempfänger nicht fristgerecht.

Die polnische Datenschutzbehörde verhängte ein Bußgeld gegen ein Unternehmen. Dessen Geschäftsführer war über einen Zeitraum von sechs Jahren auch der Datenschutzbeauftragte gewesen, wodurch sich ein Interessenskonflikt ergab.

Die österreichische Datenschutzbehörde erließ ein Bußgeld gegen Edward D., der in seinem Auto eine Dashcam angebracht hatte. Mit dieser zeichnete er kontinuierlich andere Verkehrsteilnehmer inkl. ihrer Autokennzeichen sowie vorbeigehende Personen auf. Er informierte nicht über die Kameraaufnahmen.

Zum Bußgeld kommt eine Verfahrenskostengebühr von 60 EUR hinzu.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. FACTOR ENERGÍA hatte den Vertrag des Beschwerdeführers ohne dessen Zustimmung gekündigt und seine Daten - ebenfalls ohne Einwilligung - an ein Drittunternehmen weitergegeben.

Das ursprüngliche Bußgeld von 6.000 EUR wurde nach freiwilliger Zahlung auf 4.800 EUR reduziert.

Die rumänische Datenschutzbehörde untersuchte SC PRIMONET RO nach einer Meldung eines Angriffs auf die Unternehmenssysteme, die personenbezogene Daten kompromittierten. Die Behörde stellte Mängel bei den implementierten technischen und organisatorischen Maßnahmen fest, die einen solchen Angriff hätten verhindern sollen.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Die Gemeinde Isola del Gran Sasso d'Italia hatte ihre personenbezogenen Daten, darunter auch Informationen über ein gegen sie eingeleitetes Strafverfahren, auf der Gemeinde-Webseite veröffentlicht.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Vimar hatte ein Mitarbeiter-Konto von anderen als dem Mitarbeitenden nutzen lassen, für den es eingerichtet worden war. Dabei gaben sich die Nutzenden als der Mitarbeitende aus, während dieser nicht über die Existenz des Kontos informiert wurde. Die Zugangsdaten wurden darüber hinaus offen zugänglich an einen Computer geklebt aufbewahrt.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. La Prima hatte ihr unerwünschte Werbe-E-Mails geschickt.

Die italienische Datenschutzbehörde verhängte ein Bußgeld gegen die Gemeinde Pazzano, weil diese auf ihrer Webseite personenbezogene Daten gepostet hatte, ohne diese angemessen unkenntlich zu machen.

Nach mehreren Beschwerden über E-Power leitete die italienische Datenschutzbehörde eine Untersuchung ein. Diese stellte fest, dass das Unternehmen unerwünschte Werbeanrufe ausgelöst hatte und nicht auf die Löschungsanfrage des Beschwerdeführers reagierte. Auf Nachfrage der GPDP behauptete E-Power unglaubwürdig, man habe ihn versehentlich angerufen.

Die italienische Datenschutzbehörde beantwortete zunächst eine Beschwerde über Green.mec., das in der Zwischenzeit mit Officine Serena verschmolzen war. Nach seiner Entlassung hatte der Beschwerdeführer mehrere Dokumente von seinem ehemaligen Arbeitgeber verlangt, auf die keine fristgerechte Antwort erfolgte.

Die spanische Datenschutzbehörde untersuchte eine Hausverwaltung. Diese hatte keine ausreichenden technischen und organisatorischen Maßnahmen zum Datenschutz implementiert. So verteilte sie Briefe, die Zugangsdaten für das Verwaltungsportal enthielten, in den Anwohner-Briefkästen.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die französische Datenschutzbehörde reagierte auf einen Artikel in der Presse, der über die Installation eines Videoüberwachungssystems seitens Samaritaine, offenbar als Reaktion auf wiederholte Diebstähle, reagierte. Daraufhin erreichte die CNIL auch eine Beschwerde, und sie leitete eine Untersuchung ein.

Diese ergab, dass die Überwachung durch die versteckten Kameras nicht DSGVO-konform stattfand, da sie flächendeckend stattfand - wenn auch nur temporär - und es keine angemessene Vorabinformation des Datenschutzbeauftragten gab. Eine Risikofolgenabschätzung fehlte. Zudem zeichneten die Kameras nicht nur Video auf, sondern auch Ton, darunter Gespräche zwischen Angestellten.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson aus Deutschland, die feststellte, dass auf einem ihr gelieferten Paket ihre Telefonnummer im Klartext abgedruckt war. Gleiches geschah weiteren Personen in anderen EU-Staaten. Hier sah die AEPD mangelhafte technische und organisatorische Maßnahmen zum Schutz verarbeiteter Daten: Das Abdrucken der Nummern war für die Lieferung nicht notwendig und ermöglichte den Zugriff unbefugter Dritter auf die Daten.

Das ursprüngliche Bußgeld von 5.000 EUR wurde nach Haftungsanerkennung und freiwilliger Zahlung auf 3.000 EUR reduziert.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Dr.MAx reagierte nicht auf das Auskunftsersuchen der beschwerdeführenden Person. Zudem hatte ein Mitarbeitender eine Kopie ihres Ausweises einbehalten, ohne dass sie dem zugestimmt hätte.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. IBERDROLA CLIENTES hatte sie wiederholt zu Werbezwecken angerufen, ohne dass sie dies erwünscht hätte.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 20.000 EUR auf 16.000 EUR reduziert.

Das Unternehmen hatte am 21. Dezember 2023 eine Datenschutzverletzung gemeldet. Die unbekannten Angreifer nutzten kompromittierte Zugangsdaten, griffen unbefugt auf interne Systeme zu und exfiltrierten Kundendaten (u. a. Name, Kontaktdaten, DNI/Personalausweisnummern, Kundennummern, Treuekartennummern sowie Zahlungsinformationen). Die Behörde stellte im Rahmen ihrer Untersuchung fest, dass die technischen und organisatorischen Schutzmaßnahmen seit Jahren unzureichend und verwundbar waren und der Vorfall sehr viele Kunden einem Phishing- und Betrugsrisiko ausgesetzt hatte. 

Da der Finanzdienstleister seine Verantwortung anerkannte und die Strafe freiwillig zahlte, wurde das ursprüngliche Bußgeld von 2.500.000 EUR auf das endgültige Bußgeld von 1.500.000 EUR gesenkt.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen eine Privatperson. Diese hatte wiederholt nicht auf behördliche Aufforderungen reagiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 300 EUR auf 180 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde des Vereins Institut per a la Cultura Democratica a l'Era Digital. Registrierte man sich bei CAMERDATA als Selbstständiger, konnten die dort angegebenen Daten per Suchmaschinen-Suche abgerufen werden. Darunter befanden sich auch Informationen wie Ausweisnummern. Außerdem gab CAMERDATA die Daten an die Steuerverwaltungsagentur, die Handels-, Industrie-, Dienstleistungs- und Schifffahrtskammer sowie private Unternehmen weiter. Hierbei kam es zu Datenverkäufen.

Die Untersuchung der AEPD deckte INFORMA D&B als einen der Datenverarbeiter auf, die ihre Informationen an CAMERDATA weitergaben. Betroffene wurden darüber nicht informiert.

Nachtrag vom 24.09.2025:

Ein Antrag auf erneute Prüfung wurde abgelehnt.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde des Vereins Institut per a la Cultura Democratica a l'Era Digital. Registrierte man sich bei CAMERDATA als Selbstständiger, konnten die dort angegebenen Daten per Suchmaschinen-Suche abgerufen werden. Darunter befanden sich auch Informationen wie Ausweisnummern. Außerdem gab CAMERDATA die Daten an die Steuerverwaltungsagentur, die Handels-, Industrie-, Dienstleistungs- und Schifffahrtskammer sowie private Unternehmen weiter. Hierbei kam es zu Datenverkäufen.

IBERINFORM INTERNACIONAL kaufte diese Daten und verarbeitete sie unrechtmäßig. Außerdem wurden Betroffene nicht informiert.

Nachtrag vom 24.09.2025:

Ein Antrag auf erneute Prüfung wurde abgelehnt.

Die spanische Datenschutzbehörde reagierte auf eine Meldung eines Datenschutzvorfalls. Dabei wurden während eines Angriffs der "LockBit"-Ransomware-Gruppe Daten von mehr als 100 Tsd. Kunden der SANTANDER CONSUMER FINANCE kompromittiert. Dies fand bei Orange bzw. Marktel statt, doch stufte die AEPD Santander Consumer weiterhin als Datenverantwortlichen ein und verhängte ein Bußgeld für die fehlende Gewährleistung des Schutzes der verarbeiteten Daten.

Nachtrag vom 24.09.2025:

Ein Antrag auf erneute Prüfung wurde abgelehnt.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Die Privatperson, die untersucht wurde, reagierte dabei wiederholt nicht auf Behördenkommunikation.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 300 EUR auf 240 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beshwerde. Die ENTIDAD DE CONSERVACION TORREMIRONA hatte Videokameras an Straßen installiert, die die Anwohner und Vorbeigehende erfassten. Die Genehmigung hierfür war bereits 2017 ausgelaufen.

Das ursprüngliche Bußgeld von 5.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 3.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte die BAR EL ANDÉN M. ROJO. Der Besitzer hatte im Schankraum Überwachungskameras angebracht, die Bild und Ton aufzeichneten. Darüber informierte er nicht angemessen im Innenraum der Bar.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Nach einer Behandlung hatte ein Patient Auskunft über seine von Cooperative Sociale Coopselios verarbeiteten Daten verlangt. Der Bußgeldempfänger reagierte nicht fristgerecht.

Die rumänische Datenschutzbehörde untersuchte Lenjeria Magică nach einer Beschwerde. Das Unternehmen setzte auf seiner Webseite Cookies, ohne Besucher darüber vorher zu informieren oder deren Einwilligung einzuholen.

Die spanische Datenschutzbehörde untersuchte SOCIEDAD DE GESTIÓN DE ACTIVOS PROCEDENTES DE LA REESTRUCTURACIÓN BANCARIA nach einer Meldung über einen Datenschutzverstoß bei einem Dienstleister. Dabei stellte die AEPD fest, dass der Bußgeldempfänger bei der Auswahl seiner Auftragsverarbeiter nicht ausreichend geprüft hatte, ob diese einen angemessenen Datenschutz gewährleisten konnten.

Das ursprüngliche Bußgeld von 300.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 180.000 EUR reduziert.

Die italienische Datenschutzbehörde untersuchte Casa di Cura Città di Roma. Diese verwendete für ihre Patienten eine Verwaltungssoftware, die diverse Mängel aufwies. So war bei der Zustimmung zur Datenverarbeitung ein Feld automatisch ausgefüllt, dass diese rückwirkend gültig machte. Das Pflegeheim konnte nicht nachweisen, dass eine Verweigerung dieser Zustimmung angemessen umgesetzt wurde. Zustimmende wurden nicht ausreichend über ihre Auskunftsrechte bzgl. der Zugriffe auf ihre Gesundheitsakte informiert. Die verschiedenen Berechtigungsprofile gaben ihren jeweiligen Nutzern Einsicht in Informationen, die für die Ausübung ihrer Tätigkeiten nicht zwingend notwendig waren.

Die italienische Datenschutzbehörde untersuchte das Innenministerium - genauer, seine Abteilung für Feuerwehr, öffentliche Rettung und Zivilschutz - nach der Beschwerde eines Mitarbeitenden. Dieser hatte festgestellt, dass das Ministerium über seine Social Media-Kanäle Fotos veröffentlicht hatte, die seine personenbezogenen Daten enthielten, unter anderem auch zu Covid-Impfungen.

Die italienische Datenschutzbehörde untersuchte die Gemeinde Buccino nach einer Beschwerde. Die Gemeinde hatte eine Vielzahl an Fotos auf ihrer Facebook-Seite veröffentlicht, die Minderjährige und Patienten einer psychiatrischen Einrichtung im Ort zeigten.

Darüber hinaus hatte die Gemeinde die Kontaktdaten ihres Datenschutzbeauftragten nicht auf ihrer Webseite veröffentlicht.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privapterson. Die Regionalparkbehörde Migliarino San Rossore Massaciuccoli hatte ein Protokoll auf ihrer Webseite veröffentlicht, die Daten des Beschwerdeführers enthielt. Dieser hatte sich auf einen Vorstandsposten beworben. Veröffentlicht wurden unter anderem ein Vorstrafenregister. Das Protokoll wurde daraufhin von Suchmaschinen indexiert und war so suchbar.

Nachdem der Beschwerdeführer die Löschung verlangte, reagierte die Behörde prompt und verlangte die De-Indexierung des Links.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nachdem diese die Arbeit für Giadia FM beendet hatte, gab sie ihre Schlüssel ab und verlangte von ihrem Ex-Arbeitgeber die Aushändigung von erworbenen Zertifikaten sowie eines Protokolls einer ärztlichen Untersuchung. Darauf reagierte Giadia FM zunächst nicht. Auf wiederholte Nachfragen hin weigerte sich das Unternehmen erst, lenkte nach Einschreiten der GPDP aber ein.

Die italienische Datenschutzbehörde reagierte auf eine Meldung der Polizei. Diese hatte Caffeina, ein von J&D di ZAMBRANO AGUIRRE Ruth Johanna betriebenes Lokal, untersucht und dabei ein Videoüberwachungssystem entdeckt. Für dieses hatte der Betreiber keine Hinweisschilder angebracht.

Die italienische Datenschutzbehörde reagierte auf eine Meldung der Polizei. Diese hatte an zwei Standorten der Gruppo della Guardia di finanza di Orbassano Videoüberwachungssysteme entdeckt, für die es keine angemessenen Hinweisschilder oder Genehmigungen gab.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Die Gemeinde Nichelino hatte die personenbezogenen Daten der beschwerdeführenden Person als Teil eines Protokolls auf ihrem digitalen schwarzen Brett veröffentlicht. Außerdem hatte die Gemeindeverwaltung auf eine vorherige Nachricht, in der sie die Korrektur hinterlegter Daten verlangte, nicht geantwortet.

Die italienische Datenschutzbehörde reagierte auf eine Meldung der Polizei. Im Zuge der Sagra di San Rocco 2024 hatte DSG Impianti drei versteckte Überwachungskameras um einen Parkplatz herum installiert, für die es weder eine Genehmigung noch Informationsschilder gab.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte Werbung an eine Mail-Adresse erhalten, die er bis dahin nirgendwo genutzt hatte. Auf einen Löschungsantrag reagierte das Unternehmen nicht. Als Adresse des Datenschutzbeauftragten war eine E-Mail angegeben, die nicht mehr aktiv war.

Die Untersuchung ergab, dass das Unternehmen über den unerwünschten Werbekontakt und die Nichtreaktion auf die Löschungsanfrage hinweg Kundendaten über zehn Jahre lang speicherte,

Die italienische Datenschutzbehörde reagierte auf mehrere Presseberichte über die Universität von Verona (Università degli Studi di Verona). Die Stadt Verona hatte eine Umfrage zum Verhalten ihrer Bürger in Sachen Abfallentsorgung ausgelöst, an der zwei Unternehmen sowie die Universität beteiligt waren.

Die Untersuchung ergab, dass die Datenverarbeitung durch die Universität keine Rechtsgrundlage hatte, da die Hochschule effektiv selbst als Datenverantwortlicher tätig war anstatt - wie von der Gemeinde Verona angegeben - als Datenverarbeiter. In Anbetracht dieser Tatsachen waren die Informationen, die den Befragten gegeben wurden, nicht angemessen.

Die italienische Datenschutzbehörde reagierte auf mehrere Presseberichte über die Gemeinde Verona. Die Stadt hatte eine Umfrage zum Verhalten ihrer Bürger in Sachen Abfallentsorgung ausgelöst, an der zwei Unternehmen sowie die Universität von Verona beteiligt waren.

Die Untersuchung ergab, dass die Datenverarbeitung ohne ausreichende Rechtsgrundlage stattgefunden hatte.

Die italienische Datenschutzbehörde untersuchte Cerba HealthCare Campania nach einer Meldung über einen Angriff auf die eigene Webseite. Dabei stellte die GPDP fest, dass das Untenrehmen keine angemessenen technischen und organisatorischen Maßnahmen zum Datenschutz implementiert hatte. Die genutzte Technik war zudem nicht datenschutzfreundlich gestaltet.

Die griechische Datenschutzbehörde ging gegen Vodafone - PANAFON und einen ihrer Dienstleister vor. Der Auftragsverarbeiter hatte in einem seiner Geschäfte 15 Verträge auf den Namen der Beschwerdeführerin aktiviert und dabei die Identität der abschließenden Person nicht ordentlich überprüft. Die Beschwerdeführerin erfuhr dies erst, als sie wegen über einen der Verträge begangener Straftaten vorgeladen wurde.

Die Behörde stellte fest, dass Vodafone seine Auftragsverarbeiter nicht mit angemessener Sorgfalt auswählte und nicht überprüfte, ob diese sich an technische und organisatorische Maßnahmen zum Datenschutz wie z.B. der Identitätsprüfung hielten. Darüber hinaus übermittelte das Unternehmen der Behörde im Zuge der Untersuchung zweimal Falschinformationen. 

Die griechische Datenschutzbehörde ging gegen Vodafone - PANAFON und ihren  Dienstleister KARABELAS KONSTANTINOS & CO. (DS Telefon), Betreiber von Vodafone-Shops, vor. Der Auftragsverarbeiter hatte in einem seiner Geschäfte 15 Verträge auf den Namen der Beschwerdeführerin aktiviert und dabei die Identität der abschließenden Person nicht ordentlich überprüft. Die Beschwerdeführerin erfuhr dies erst, als sie wegen über einen der Verträge begangener Straftaten vorgeladen wurde.

Die Behörde stellte während ihrer Untersuchung fest, dass DS Telefons technische und organisatorische Maßnahmen, vor allem die zur Identitätsprüfung bei Kunden, gravierende Mängel aufwiesen. Damit kam das Unternehmen seinen Pflichten als Auftragsverarbeiter nicht nach.

Die italienische Datenschutzbehörde untersuchte Outly di Veneziani & Co nach einer Beschwerde aus dem Jahr 2022. Fünf Jahre nach der Einwilligung zum Erhalt von Werbung - und damit nach dem Ablauf der Aufbewahrungsfrist - erhielt der Beschwerdeführer SMS-Werbung vom Bußgeldempfänger. Auch nach Widerspruch geschah dies weiter.

Die Behörde stellte fest, dass Outly di Veneziani & Co den Kunden nicht nur unerwünschte Werbung geschickt, sondern ihnen auch falsche Informationen über die angestrebte Datenverarbeitung übermittelt hatte. Zudem reagierte das Unternehmen nicht auf Widersprüche (löschte die Daten jedoch nach Anfrage sofort). Die GPDP sah einen Verstoß gegen die Grundsätze der Rechenschaftspflicht und des Datenschutzes durch Technikgestaltung.

Die estnische Datenschutzbehörde untersuchte Allium UPI nach einem Vorfall, bei dem Daten von 750.000 Nutzern des Apotheka-Treueprogramms kompromittiert wurden. Die Behörde stellte dabei gravierende Mängel bei den von Allium UPI implementierten Maßnahmen zum Datenschutz fest. Wären diese angemessen gewesen, hätte nach Ansicht der AI ein solcher Angriff verhindert werden können.

Die rumänische Datenschutzbehörde reagierte auf eine Meldung eines Sicherheitsvorfalls, bei dem personenbezogene Daten der Mitarbeitenden von Unita Turism Holding kompromittiert wurden. Die Untersuchung ergab, dass das Unternehmen keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten eingerichtet hatte, die den Zugriff hätten verhindern können.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Der Beschwerdeführer war von TRADING INTERNATIONAL TOURIST zu einer WhatsApp-Gruppe mit 521 Mitgliedern hinzugefügt worden, ohne dem je zugestimmt zu haben. Auf eine Löschungsanfrage reagierte der Gruppen-Administrator nicht.

Nachtrag vom 30.10.2025:

Ein Antrag auf Berufung wurde durch die AEPD abgelehnt.

Die finnische Datenschutzbehörde untersuchte die S-Bank. Diese hatte 2022 eine neue Authentifizierungsmethode für ihr Online-Banking implementiert, die jedoch eine gravierende Sicherheitslücke enthielt. Über diese war es monatelang möglich, sich in den Account anderer Kunden einzuloggen.

Die Behörde stellte gravierende Mängel bei den implementierten Datenschutzmaßnahmen fest, die schon bei der Einschätzung möglicher Schwachstellen vor Einrichtung der Tools begannen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte von WAGESTREAM, einer Lohnabrechnungs-Plattform, die ihr Arbeitgeber nutzte, eine Mail an ihre private Adresse erhalten. Eigentlich sollte das Unternehmen nur auf Namen und Mail-Adressen der Mitarbeiter zugreifen, doch als dieser seine dort hinterlegten Daten einsah, stellte er fest, dass zusätzlich auch Kontonummern und Lohnabrechnungen gespeichert waren.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 2.000 EUR auf 1.600 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte eine Beschwerde. GOHIPOTECA hatte die Daten des Beschwerdeführers benutzt, um ohne Erlaubnis oder Einwilligung bei Banken Kredite anzufragen.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 2.000 EUR auf 1.200 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Meldung der Zivilpolizei. Der Bußgeldempfänger nutzte personenbezogene Daten ohne die Zustimmung der betroffenen Personen, um diesen Gegenstände zu schicken. Die dafür benutzten Informationen hatte er aus früheren Vertragsverhältnissen behalten.

Das ursprüngliche Bußgeld von 2.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 1.200 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Der Beschwerdeführer hatte mehrere Nachrichten von KVIKU SPAIN erhalten - das Unternehmen hatte offenbar einen Vertrag ausgelöst, der seine personenbezogenen Daten nutzte. Das Unternehmen hatte einen internen Screenshot als Beweis der Zustimmung des Beschwerdeführers verwendet. Dies war unzulässig.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 4.000 EUR auf 2.400 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Bei der Anmeldung im RIVER MADOS-Fitnessstudio verlangte man einen Fingerabdruck von ihm, um Zugang zum Studio zu erhalten. Die AEPD stellte fest, dass es hierzu keine angemessene Datenschutz-Folgeabschätzung gegeben hatte und stufte die Sammlung biometrischer Daten als unrechtmäßig ein.

Das ursprüngliche Bußgeld von 6.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 3.600 EUR reduziert.

Die französische Datenschutzbehörde CNIL ging nach einer Beschwerde der None Of Your Business (NOYB)-Organisation vom 24. August 2022 gegen Google LLC und Google Ireland Limited, beide Teil von Google, vor.

In den Postfächern des Google Mail-Dienstes schaltete das Unternehmen in einigen Ordnern Werbung zwischen den Nachrichten, der von der Aufmachung her den tatsächlich erhaltenen E-Mails sehr ähnlich war. Dies geschah ohne Zustimmung der Nutzenden, was die CNIL als unrechtmäßig einstufte.

Darüber hinaus drängte das Unternehmen seine Nutzer bei der Kontoeinrichtung dazu, Tracker zu aktivieren, und informierte nicht ausreichend über die geplante Nutzung. Damit waren erteilte Einwilligungen nach Ansicht der CNIL ungültig.

Die rumänische Datenschutzbehörde ging gegen Dumitrescu Mihai-Ovidiu vor. Das Unternehmen hatte beim Besuch seiner Webseite Cookies auf den Geräten der Nutzer abgelegt, ohne von diesen eine Einwilligung einzuholen.

Die belgische Datenschutzbehörde reagierte auf die Beschwerde eines Studierenden. Der Betreiber des Studierendenwohnheims, in dem dieser lebte, hatte mehrere Überwachungskameras installiert und eingesetzt, die nicht nur den Eingang des Wohnheims, sondern auch die Außenanlagen und das Nachbargrundstück erfassten. Dies stufte die APD als unrechtmäßig und unverhältnismäßig ein.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Sie war bei der Bußgeldempfängerin angestellt gewesen. Diese hatte Überwachungskameras auf dem Gelände installiert, die die für Mitarbeiter eingerichteten Ruhezonen und auch den umliegenden Straßenraum erfassten.

Das ursprüngliche Bußgeld von 2.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 1.200 EUR reduziert.

Die französische Datenschutzbehörde CNIL ging gegen Infinite Styles Services Co., die irische Niederlassung von Shein, vor. Beim Besuch der Shein-Webseite legte diese auf den Endgeräten der Nutzer Cookies ab, ohne hierfür die Zustimmung der Nutzer einzuholen. Erst danach wurden Informationsbanner zur Einwilligung angezeigt, doch diese enthielten unvollständige Daten. Lehnte ein User ab, speicherte die Seite trotzdem neue Cookies und las bereits abgelegte weiterhin aus.

Die österreichische Datenschutzbehörde untersuchte eine Bäckereikette. Diese betrieb insgesamt 30 Überwachungskameras in ihren Filialen, die nicht ausreichend gekennzeichnet waren. Die Behörde stellte zudem fest, dass die Kameras nicht das mildestmögliche Mittel für den angegebenen Zweck - den Schutz der Mitarbeiter - darstellten. Das System erfasste zusätzlich auch Passanten. In einem Fall wurden die Videoaufnahmen später über einen Messenger weiterverbreitet.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Betrüger hatten bei DIGI SPAIN TELECOM erfolgreich die Ausstellung einer zusätzlichen SIM-Karte erwirkt, um die Identität der beschwerdeführenden Person zu stehlen. Das Unternehmen hatte die Identität des Betrügers nicht ausreichend überprüft.

Nachtrag vom 04.09.2025:

Ein Antrag auf erneute Prüfung wurde abgewiesen.

Die britische Datenschutzbehörde belangte Jason B., Direktor eines Pflegeheims. Dieser hatte Daten von Anwohnern des Heims gelöscht, blockiert und versteckt, um zu verhindern, dass die Tochter eines Bewohners diese bekam. Sie hatte im Zuge einer Vollmacht die Aushändigung von CCTV-Aufnahmen, Vorfallsberichten und mehr verlangt.

Zum Bußgeld von 1.100 GBP kamen noch 5.440 GBP Verfahrenskosten hinzu.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz erließ ein Bußgeld gegen einen Mitarbeiter einer Zulassungsstelle. Dieser hatte als Gefallen für einen Bekannten die Halterdaten des Fahrzeugs einer anderen Person aus den Datenbanken der Stelle abgerufen. Dieser hatte damit einen anderen Autofahrer einschüchtern wollen - dieser jedoch war Polizeibeamter.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz erließ ein Bußgeld gegen eine Arztpraxis. Diese hatte einer Patientin eine Rechnung geschickt, die jedoch eigentlich für eine andere Patientin mit ähnlichem Namen hätte gehen sollen. Die Patientin, die fälschlicherweise Post erhielt, war jedoch bereits seit über zehn Jahren keine Patientin mehr in der Praxis; diese hätte ihre Daten also längst löschen müssen.

Das Bußgeld fiel in den vierstelligen Bereich.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Eine Privatperson hatte eine Rechnung zu angeblich nicht bezahlten Telefonrechnungen erhalten, die von einer anderen Firma stammten als der, mit der der Vertrag bestand. Die AEPD stellte in ihrer Untersuchung fest, dass B3C CONSULTORÍA DE SERVICIOS 2010, das vom Vertragspartner engagierte Unternehmen, seinserseits Auftragsverarbeiter hinzugezogen hatte. Dies war unrechtmäßig.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Der Beschwerdeführer hatte von der belangten Fahrschule verlangt, seine Daten zu löschen, erhielt jedoch nie eine Antwort.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 500 EUR auf 300 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte die Grupo Bonatel nach einer Meldung über einen mutmaßlichen Ransomware-Angriff. Dieser kompromittierte die Daten von über 600 derzeitigen und ehemaligen Angestellten. Die Untersuchung ergab, dass das Unternehmen die Informationen ohne die Gewährleitung angemessenen Datenschutzes verarbeitet hatte.

Das ursprüngliche Bußgeld von 30.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 18.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. XFERA MÓVILES hatte eine mit ihrem Vertrag bei einem anderen Anbieter verknüpfte Ersatz-SIM-Karte an betrügerische Dritte weitergegeben und aktiviert, ohne die Identität der Betrüger ausreichend zu prüfen.

Einen Antrag auf erneute Prüfung lehnte die AEPD ab.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde des Vereins Institut per a la Cultura Democratica a l'Era Digital. Registrierte man sich bei CAMERDATA als Selbstständiger, konnten die dort angegebenen Daten per Suchmaschinen-Suche abgerufen werden. Darunter befanden sich auch Informationen wie Ausweisnummern.

Außerdem gab CAMERDATA die Daten an die Steuerverwaltungsagentur, die Handels-, Industrie-, Dienstleistungs- und Schifffahrtskammer sowie private Unternehmen weiter. Hierbei kam es zu Datenverkäufen. Es gab auch Betroffene, deren Daten nicht direkt von ihnen erhoben wurden. Diese wurden nicht angemessen informiert.

Die Handels-, Industrie-, Dienstleistungs- und Schifffahrtskammer (CDE) hatte dabei aus Volkszählungen stammende Daten an CAMERDATA weitergegeben, ohne dass es dazu eine - wie von der CDE behauptete - Verpflichtung oder eine Rechtsgrundlage dafür gegeben hatte.

Die italienische Datenschutzbehörde untersuchte den Orden der Pflegeberufe von Viterbo. Auf dessen Webseite war es möglich, die Daten aller Vereinsmitglieder einzusehen. Zudem konnten diese aufgrund mangelhafter technischer und organisatorischer Maßnahmen auf der Seite von Dritten verändert oder gar gelöscht werden.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Bei einem Angriff auf BANCO INVERSIS wurden Daten von Kunden kompromittiert. Die daraufhin eingeleitete Untersuchung ergab, dass die Bank die Informationen ihrer Kunden nicht unter der Gewährleistung eines angemessenen Schutzes verarbeitete.

Das ursprüngliche Bußgeld von 10.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 6.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Ein Auftragsverarbeiter der Hausverwaltung ADMINISTRACIONES BENIPON war einem Cyberangriff zum Opfer gefallen, der Daten kompromittierte. Der Dienstleister hatte offenbar seinerseits Auftragsverarbeiter engagiert, ohne ADMINISTRACIONES BENIPON darüber zu informieren. Zudem meldete das Unternehmen den Vorfall zu spät an die Verwaltung.

Die italienische Datenschutzbehörde untersuchte die Gemeinde Conversano. Diese hatte keinen Datenschutzbeauftragten ernannt.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Die Società Autocooperative Trasporti Italiani legte demnach personenbezogene Daten ihrer Mitarbeiter für Unbefugte offen, darunter auch sensible Gesundheitsdaten.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. ENDESA ENERGIA hatte die mit ihrem Vertrag verknüpften Daten - insbesondere den Namen und die Kontonummer - geändert und den Vertrag an ein anderes Unternehmen weitergegeben. Dies geschah auf Anweisung betrügerischer Dritter. 

Die spanische Datenschutzbehörde beantwortete die Beschwerde eine Privatperson. CLUB BALONCESTO TELDE hatte auf Social Media Fotos veröffentlicht, die das Kind des Beschwerdeführers zeigten. Die Erziehungsberechtigten hatten dies jedoch verweigert.

Die italienische Datenschutzbehörde beantwortete die Beschwerde zweier Privatpersonen. Das Istituto Comprensivo 2 "CD G. Modugno" - "SM G. Galilei" hatte ein Rundschreiben verschickt, das eine Liste mit behinderten Kindern an der Schule enthielt. Dies legte ihre Namen und Klassen unrechtmäßig offen.

Die rumänische Datenschutzbehörde reagierte auf die Meldung eines Sicherheitsvorfalls. Die daraufhin eingeleitete Untersuchung ergab mangelhafte technische und organisatorische Maßnahmen zum Schutz verarbeiteter Daten.

Die polnische Datenschutzbehörde untersuchte die ING Bank Śląski. Das Unternehmen hatte über Jahre hinweg die Ausweise potentieller und tatsächlicher Kunden gescannt und die enthaltenen Daten erfasst. Im Vorfeld dieser Aktivitäten gab es keine angemesse Risiko-Folgenabschätzung, die offenbart hätte, dass die Bank dabei über ihre rechtlichen Befugnisse hinausging.

Die italienische Datenschutzbehörde beantwortete drei Beschwerden über die Universität Cassino und Südlatium. Die Einrichtung hatte die Mail-Adressen mehrerer Fakultätsmitglieder weiterbetrieben, nachdem diese gesperrt werden sollten. Stattdessen wurde nur das Passwort zurückgesetzt. Die Löschung des Kontos erfolgte erst später - nach Ansicht der GPDP zu spät.

Die dänische Datenschutzbehörde erließ ein Bußgeld gegen ILVA, nachdem zunächst 2018 eine Inspektion bei dem Unternehmen durchgeführt worden war. Dort stellte die Behörde fest, dass das Unternehmen keine Speicherfristen für verarbeitete Daten festgelegt hatte. Es gab zudem keine formellen Verfahren zur Datenlöschung.

Das Bußgeld war zunächst von einem Gericht in Aarhus auf 100.000 DKR angesetzt worden, wurde jedoch nach einem Urteil des EuGH auf die ursprünglich veranschlagte Summe von 1,5 Mio. DKR angehoben.

Die zypriotische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nach einem abgelehnten Kreditantrag erfuhr der Beschwerdeführer, dass die Agentur einen älteren, ebenfalls abgelehnten Antrag mehr als sechs Monate lang gespeichert hatte und diesen unrechtmäßig bei der Ablehnung des neuen Antrags hinzuzog. Außerdem ergab die Untersuchung, dass die Datenschutzmaßnahmen der Agentur nur auf dem Papier existierten, aber nie umgesetzt wurden.

Die Behörde wies die Agentur zudem an, die Daten zu löschen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. QUALITY-PROVIDER hatte ihre personenbezogenen Daten veröffentlicht, woraufhin diese von einem anderen Unternehmen verwendet wurden, um den Beschwerdeführer auf einem persönlichen Social Media-Account zu kontaktieren.

Nachtrag vom 25.08.2025:

Einen Antrag auf erneute Prüfung wies die AEPD ab.

Die litauische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Der Bußgeldempfänger hatte auf ein Informationsersuchen seitens des Beschwerdeführers nicht reagiert. Außerdem weigerte das Unternehmen sich, falsche hinterlegte Daten zu korrigieren. Es konnte nicht nachweisen, dass die Informationen, die es gespeichert hatte, richtig waren oder dass es dies je überprüft hatte.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. WORLD 2 MEET verlangte von potenziellen Gästen bei der Buchung einer Unterkunft eine Ausweiskopie. Dies geschah zusätzlich zur manuellen Übermittlung der auf den Ausweisen abgedruckten Daten. Dies sahen sowohl der Beschwerdeführer als auch die AEPD als unverhältnismäßig an.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 70.000 EUR auf 42.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. DIAMOND FERVA hatte eine seine Mitarbeiter-Terrasse erfassende Überwachungskamera installiert. Für diese gab es kein Hinweisschild.

Nachtrag vom 13.10.2025:

Ein Antrag auf erneute Prüfung wurde von der AEPD abgelehnt.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nach einer Schadensmeldung bei LEIVA BUS hatte das Unternehmen ihr Unterlagen zugeschickt, die neben ihren eigenen Daten auch die eines unbeteiligten Dritten enthielten.

Das ursprüngliche Bußgeld von 3.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 1.800 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Ein Lieferdienst, der eine bei YUNEXPRESS SPAIN getätigte Bestellung zustellte, kontrollierte bei der Abgabe die Identität der annehmenden Person nicht ausreichend. Diese nahm das Paket daraufhin an sich; der tatsächliche Besteller bekam seine Lieferung nie. Die AEPD entschied, dass der Auftragsverarbeiter im Namen von YUNEXPRESS SPAIN eine Ausweisüberprüfung oder Vergleichbares hätte durchführen müssen.

Das ursprüngliche Bußgeld von 9.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 5.400 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte auf der Webseite crezu.es einen Kredit beantragt, woraufhin sich jedoch die KVIKU SPAIN gehörende Webseite öffnete, von der der Person daraufhin ein Betrag überwiesen wurde, den sie nicht wollte. Am nächsten Tag zahlte die Person ihre Schulden inkl. Zinsen zurück, informierte KVIKU darüber und verlangte in diesem Zuge die Löschung ihrer Daten. Dieser Aufforderung kam das Unternehmen nicht nach.

Das Bußgeld setzt sich aus 4.000 EUR wg. Verstoßes gg. Art. 5 Abs. 1 lit. e) DSGVO und 2.000 EUR wg. Verstoßes gg. Art. 17 DSGVO zusammen.

Nachtrag vom 25.08.2025:

Einen Antrag auf erneute Prüfung lehnte die AEPD ab.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Der Tennisverband hatte Dokumentationen über von ihr eingereichte Einsprüche auf seiner Webseite veröffentlicht. Diese enthielten die personenbezogenen Daten des Beschwerdeführers.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 2.000 EUR auf 1.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Frage einer Privatperson. Diese hatte Post zur Aktualisierung einer Datenschutzrichtlinie von Caixabank erhalten, obwohl sie ihres Wissens nach keinen Vertrag bei der Bank hatte. Die der Behörde von Caixabank zur Verfügung gestellten Dokumente verwiesen jedoch auf einen Vertragsabschluss von 2005. Diese Datenspeicherdauer ging weit über einen angemessenen Rahmen hinaus.

Nachtrag vom 19.08.2025:

Ein Antrag auf erneute Prüfung wurde abgelehnt.

Die rumänische Datenschutzbehörde untersuchte SC Elite Conta nach einer Cyberattacke. Dabei stellte sie fest, dass es zum Zeitpunkt des Angriffs keine Datenschutzmaßnahmen gab, die den Zugriff auf Netzwerkgeräte vor unbefugten Aktivitäten schützte.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde des Vereins Institut per a la Cultura Democratica a l'Era Digital. Registrierte man sich bei CAMERDATA als Selbstständiger, konnten die dort angegebenen Daten per Suchmaschinen-Suche abgerufen werden. Darunter befanden sich auch Informationen wie Ausweisnummern.

Außerdem gab CAMERDATA die Daten an die Steuerverwaltungsagentur, die Handels-, Industrie-, Dienstleistungs- und Schifffahrtskammer sowie private Unternehmen weiter. Hierbei kam es zu Datenverkäufen. Es gab auch Betroffene, deren Daten nicht direkt von ihnen erhoben wurden. Diese wurden nicht angemessen informiert.

DEYDE DATACENTRIC, mittlerweile zu DEYDE CALIDAD DE DATOS gehörend, ist eins der privaten Unternehmen, die die von CAMERDATA gepflegten Daten unrechtmäßig nutzten. Das ausgesprochene Bußgeld setzt sich aus zwei Strafen von je 18.000 EUR und 24.000 EUR zusammen.

Die spanische Datenschutzbehörde untersuchte REAL SOCIEDAD DE FUTBOL nach einem Ransomware-Angriff, der die Informationen von 60.000 Personen kompromittierte - darunter auch biometrische Daten und Fotos. Die Untersuchung ergab, dass die vom Bußgeldempfänger implementierten technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten mangelhaft waren.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 110.000 EUR auf 66.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte GACM SEGUROS GENERALES, COMPAÑIA DE SEGUROS Y REASEGUROS. Die Versicherungsgesellschaft hatte nach einer Schadensmeldung die Daten des Betroffenen an einen unbeteiligten Dritten weitergegeben.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 8.000 EUR auf 4.800 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Bußgeldempfänger, Betreiber eines Nachtlokals, hatte nicht festgelegt, wer für die installierten Überwachungskameras der Datenverantwortliche sein sollte. Außerdem veröffentlichte sein Sohn Fotos auf Social Media, die den Beschwerdeführer und viele andere Personen zeigten.

Die rumänische Datenschutzbehörde untersuchte den Hilfsverein FLIXCREDIT. Ein Mitarbeiter einer Schule hatte sich offenbar Zugriff auf die Mail-Adresse des Vereins verschafft und dies genutzt, um mit Hilfe gefälschter Dokumente 17 Kredite für sich zu eröffnen. FLIXCREDIT hatte Verträge abgeschlossen, die auf Dokumenten über Dritte basierten, deren Zustimmung der Hilfsverein nie einholte. Dies stufte die ANS PDCP als mangelnde Maßnahmen zum Schutz verarbeiteter Daten ein, da bei angemessener Identitätsüberprüfung aufgefallen wäre, dass die Personen, in deren Namen die Kredite aufgenommen wurden, nichts mit den Anträgen zu tun hatten.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Deren Nachbar hatte Videokameras installiert, die sein Fenster erfassten.

Nachtrag vom 21.11.2025:

Ein Antrag auf Berufung wurde von der AEPD abgelehnt.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Nachdem eine Privatperson 2020 Opfer eines Identitätsdiebstahls und dieser aufgelöst worden war, erhielt das Handy ihres Ehepartners Aufforderungen zur Zahlung angeblicher Schulden. Diese gingen jedoch auf den Identitätsdiebstahl zurück. Außerdem gehörte nur ein Teil der bei den angeblichen Schulden angegebenen Daten tatsächlich dem Ehepartner.

Die Untersuchung ergab, dass BULNES CAPITAL, das das Schuldenportfolio selbst erworben hatte, ein externes Unternehmen mit der Verwaltung der Schuldendaten beauftragt hatte. Zu keinem Punkt war die Identität des angeblichen Schuldners tatsächlich überprüft worden.

Das ursprüngliche Bußgeld von 50.000 EUR wurde nach freiwilliger Zahlung auf 40.000 EUR reduziert.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen den Loro Parque. Dieser hatte beim Erwerb einer Kombi-Karte für ihn und den Siam Park, beide auf Teneriffa, von allen Besuchern Fingerabdrücke gesammelt. Über diese Datenverarbeitung gab es beim Kauf keine Informationen. Außerdem verweigerte der Park Gästen, die ihre biometrischen Daten nicht abgeben wollten, den Zutritt.

Nachtrag vom 12.08.2025:

Die AEPD lehnte einen Berufungsantrag ab.

Die österreichische Datenchutzbehörde erließ ein Bußgeld gegen die D. Medien GmbH & Co. KG. Das Unternehmen hatte eine Anweisung der Behörde nicht befolgt. Zum Bußgeld kommen noch Verfahrensgebühren von 620 EUR hinzu.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Betreiberverband der Biochemiker, Biologen und Chemiker im rumänischen Gesundheitssystem hatte nicht auf deren Auskunftsanfragen reagiert.

Wegen eines Verstoßes gg. Art 58 Abs. 1 lit. a) DSGVO und Art. 58 Abs. 1 lit. c) DSGVO sprach die Behörde eine Abmahnung aus.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde des Vereins Institut per a la Cultura Democratica a l'Era Digital. Registrierte man sich bei CAMERDATA als Selbstständiger, konnten die dort angegebenen Daten per Suchmaschinen-Suche abgerufen werden. Darunter befanden sich auch Informationen wie Ausweisnummern. Außerdem gab CAMERDATA die Daten an die Steuerverwaltungsagentur, die Handels-, Industrie-, Dienstleistungs- und Schifffahrtskammer sowie private Unternehmen weiter. Hierbei kam es zu Datenverkäufen.

Es gab auch Betroffene, deren Daten nicht direkt von ihnen erhoben wurden. Diese wurden nicht angemessen informiert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese erhielt bis zu fünfmal am Tag Werbe-Mails von AD735 DATA MEDIA ADVERTISING, ohne dem Unternehmen je ihre Daten gegeben zu haben. Beim Aufruf der Seite, um die Datenverarbeitung zu verbieten, verlangte AD735 DATA MEDIA ADVERTISING weitere Informationen von ihr.

Nachtrag vom 08.08.2025:

Ein Antrag auf Wiederaufnahme des Verfahrens wurde abgelehnt.

Die italienische Datenschutzbehörde untersuchte die Gemeinde Venedig hinsichtlich eines von ihr durchgeführten Programms zur venezianischen Kurtaxe. Dabei fand die Behörde diverse Mängel: Die technischen und organisatorischen Maßnahmen der Gemeinde waren unangemessen.

Darüber hinaus waren die angewandten Anonymisierungs-Methoden nicht ausreichend, um als solche zu gelten. Es war auch möglich, sich vor der offiziellen Inbetriebnahme des verwendeten Portals dort zu registrieren, weshalb die Aufbewahrung dieser Informationen nicht dem Grundsatz der Speicherbegrenzung entspricht. 

Die italienische Datenschutzbehörde untersuchte Linea Stampalibera Società Cooperativa, nachdem sie drei Beschwerden über eine von ihr unterhaltene Nachrichtenseite erreichten. Die Beschwerdeführer meldeten der GPDP, dass die "Linea Libera" ihre personenbezogenen Informationen (Namen, Anschriften, Berufe, Steuernummern, Details zu ihren Gesundheitszuständen sowie Fotos von ihnen und ihren Fahrzeugen) in Online-Artikeln abgedruckt hatte.

Die britische Datenschutzbehörde erließ ein Bußgeld gegen Mohammed E., einen Polizisten. Dieser hatte über Polizeidatenbanken abgerufene Informationen anderer Personen an seine private Mail-Adresse weitergeleitet.

Zu der Strafe von 200 GBP kamen Verfahrenskosten von 2.000 GBP hinzu.

Die italienische Datenschutzbehörde untersuchte das Universitätskrankenhaus Careggi. Das Klinikum verwendete für ambulante und stationäre Patientenakten je ein bestimmtes Kürzel, über das es möglich war, die Patienten zu identifizieren. So war es möglich, selbst die Gesundheitsakten zu finden.

Die GPDP sah eine Verletzung der Verpflichtung zur Datenverarbeitung unter Gewährleistung angemessener Datensicherheit.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Bei der Anmeldung ihres Kindes für ein von VOLEA WORLD betriebenes Festival (Outopia) verlangte das Unternehmen eine Einwilligung der Eltern sowie eine Ausweiskopie der erziehungsberechtigten Person. Dabei gab es keine angemessenen Informationen über die Datenverarbeitung.

Das Bußgeld setzt sich aus zwei Strafen von 3.000 EUR bzw. 2.000 EUR zusammen.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Das Unternehmen hatte dem Beschwerdeführer eine Werbe-Mail geschickt. Die Nachricht ging an über 300 Empfänger, die allesamt alle anderen Adressaten einsehen konnten.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 2.000 EUR auf 1.200 EUR reduziert.

Die spanische Datenschutzbehörde reagierte ursprünglich auf die Beschwerde einer Privatperson. G&F&S SECURITY GROUP war einem Auskunftsersuchen nicht nachgekommen, woraufhin die AEPD das Unternehmen dazu aufforderte. Auf diese Anweisunge reagierte der Bußgeldempfänger nicht.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte beim Aufruf einer von GALP ENERGÍA INDEPENDIENTE betriebenen App festgestellt, dass sie nicht nur ihre eigenen, sondern auch die personenbezogenen Daten von Tausenden anderen Kunden des Unternehmens einsehen konnte. Die Datenverarbeitung konnte also keine angemessene Sicherheit der Informationen gewährleisten.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 40.000 EUR auf 32.000 EUR reduziert.

Das britische Information Commissioner's Office untersuchte das schottische Non-Profit Birthlink. Birthlink, das es sich zur Aufgabe gemacht hat, Menschen mit denjenigen, nach denen sie suchen (so z.B. leibliche Verwandtschaft bei Adoptivkindern) zu verbinden, hatte aus Platzmangel in seinen Aktenschränken Akten zerstört, die sensible, unersetzliche Dokumente von 4.800 Personen enthielten. Die Behörde fand Mängel bei den implementierten Maßnahmen zum Datenschutz, da diese, wären sie denn angemessen gewesen, einen solchen Verlust hätten verhindern können. Außerdem meldete die Organisation den Vorfall nur verzögert.

Die südkoreanische Datenschutzbehörde untersuchte Haesung DS, nachdem ein Hacker 2023 in das Firmennetzwerk eingedrungen war und Daten von 73.975 Personen gestohlen und veröffentlicht hatte. Dabei stellte die PIPC Mängel bei den implementierten Maßnahmen zum Schutz verarbeiteter Daten fest - darunter auch bekannte Schwachstellen bei den VPN-Verbindungen, die das Unternehmen nutzte (und über die die Täter in seine Systeme einbrechen konnten). Auch das Antiviren-Programm von Haesung DS reagierte nicht auf die unerlaubten Aktivitäten.

Die südkoreanische Datenschutzbehörde untersuchte Jeonnam Techno Park, nachdem dessen Datenverarbeitungssystem gehackt worden war. Dabei stellte die PIPC fest, dass der Bußgeldempfänger leicht zu ratende Login-Daten verwendet hatte und Passwörter mit als unsicher geltenden Verschlüsselungsmaßnahmen speicherte. Beim Login-Vorgang waren sie darüber hinaus gar nicht verschlüsselt.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. Beim Check-In verlangte das Hotel vom Beschwerdeführer seinen Ausweis, um diesen zu scannen. Als er sich weigerte, übertrug man die Daten manuell. Außerdem vergaß ein Angestellter des Hotels eine Zugangskarte in seinem Zimmer, mit der er Zutritt zu allen Hotelzimmern hätte haben können.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 9.000 EUR auf 5.400 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. VODAFONE ESPAÑA hatte ihr Werbung geschickt, auch nachdem sie dem Erhalt dieser widersprochen hatte. Zudem gab es innerhalb der Werbe-Mails keine einfache Möglichkeit, abzulehnen.

Nachtrag vom 28.07.2025.

Ein Antrag auf erneute Prüfung wurde abgelehnt.

Die rumänische Datenschutzbehörde reagierte auf die Meldung eines Datenschutzvorfalls. Das Unternehmen war Opfer einer Cyber-Attacke geworden, bei der personenbezogene Daten von Mitarbeitenden, deren Familien und Kunden gestohlen wurden. Dies war nach Ansicht der Behörde möglich, weil Agricola International keine angemessenen technischen und organisatorischen Maßnahmen ergriffen hatte, die hätten verhindern können, dass Hacker unbefugt auf Netzwerkspeicher zugreifen.

Die kroatische Datenschutzbehörde untersuchte HEP-Toplinarstvo. Dabei stellte sie fest, dass der Bußgeldempfänger die Login-Daten, inkl. der Passwörter, sämtlicher Nutzer ihres Portals für Fernwärme unverschlüsselt auf ihren Servern speicherte. Zusätzlich wird Nutzern, sofern sie ihr Passwort vergessen, ebendieses als Klartext per Mail zugeschickt. Es mangelte also an technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten. Darüber hinaus weigerte sich HEP-Toplinarstvo, der Behörde Informationen zu geben, die diese verlangt hatte.

Nach einer Meldung eines Sicherheitsvorfalls untersuchte die kroatische Datenschutzbehörde ein Informations- und Kommunikationsunternehmen. Dabei stellte sie Mängel bei den implementierten technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten fest, darunter auch in Sachen Systemintegrität.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Bußgeldempfänger hatte an seinem Haus Überwachungskameras installiert, die auch die umliegenden Häuser erfassten.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. EDICIONES CATÓLICOS Y VIDA PÚBLICA hatte über eine seiner Webseites Cookies auf den Endgeräten ihrer Besucher gespeichert, ohne dass diese ihre Einwilligung gegeben hätten.

Nach Haftungsanerkennung und freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 5.000 EUR auf 3.000 EUR reduziert.

Die Behörde verhängte ein Bußgeld gegen das Unternehmen, nachdem im Rahmen einer Beschwerde festgestellt wurde dass ein Sicherheitsvorfall nicht gemeldet worden war. Auch die Betroffene Person war über den Vorfall nicht informiert worden. Das Unternehmen hatte die Daten des Betroffenen nicht ausreichend vor Zugriffen durch Dritte geschützt. 

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Einige Zeit nach einer ärztlichen Untersuchung informierte ein Kollege den Beschwerdeführer darüber, dass er beim Herunterladen von eigenen Untersuchungsergebnissen die des Beschwerdeführers in seiner PDF gefunden habe. Das Unternehmen entschuldigte sich und räumte einen Fehler ein.

Das ursprüngliche Bußgeld von 40.000 EUR wurde nach freiwilliger Zahlung auf 32.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde über WALLAPOP. Beim Besuch der Seite wurden Cookies abgelegt, auch wenn men dies ablehnte.

Das ursprüngliche Bußgeld von 5.000 EUR wurde nach Haftungsanerkennung und freiwilliger Zahlung auf 3.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte Auskunft über ihre von TRIVE CREDIT SPAIN verarbeiteten Daten verlangt und keine Antwort erhalten. Die AEPD schritt ein und setzte dem Unternehmen eine zehntägige Frist, um der Aufforderung nachzukommen. TRIVE CREDIT SPAIN reagierte nicht.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 225.000 EUR auf 180.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Nachdem sie Werbung von einem ihr unbekannten Unternehmen erhalten hatte, das sich explizit auf ADNAYA GREEN SOLUTIONS (Adanya), den eigentlichen Vertragspartner, bezog, kontaktierte sie Adanya. Das Unternehmen gab zu, ihre Daten an das Drittunternehmen weitergegeben zu haben, obwohl es hierfür keine Einwilligung gab.

Die griechische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die vom Bußgeldempfänger betriebene Webseite "zougla.gr" hatte einen Artikel veröffentlicht, der unrechtmäßig die personenbezogenen Daten des Beschwerdeführers veröffentlichte. Die Behörde erließ eine Geldstrafe und ordnete Verbesserungsmaßnahmen an. Dieser Aufforderung kam der Bußgeldempfänger nicht nach.

Die rumänische Datenschutzbehörde untersuchte Georgescu Călin nach einer Beschwerde. Vom 6. Dezember 2024 bis 3. April 2025 speicherte die Webseite des Bußgeldempfängers bei Aufruf Cookies, ohne hierfür die Einwilligung der Nutzer einzuholen oder in irgendeiner Form darüber zu informieren.

Die griechische Datenschutzbehörde untersuchte das Universitätskrankenhaus Larissa, nachdem ein dort angestellter Arzt sich beschwert hatte. Das Krankenhaus hatte seine personenbezogenen Daten unrechtmäßig verarbeitet, um seine Leistung bei der Arbeit zu beurteilen. Als er Informationen über diese Verarbeitungstätigkeit verlangte, reagierte die Klinik nicht angemessen.

Das Bußgeld setzt sich aus zwei Strafen von je 1.500 EUR und einer Strafe von 4.000 EUR zusammen. Wegen Verstoßes gg. Art 31 DSGVO sprach die Behörde eine Rüge aus.

Die griechische Datenschutzbehörde untersuchte Η ΑΣΠΙΔΑ ΤΟΥ ΔΑΥΙΔ (The Shield of David) nach der Beschwerde von Privatleuten. Der Verein hatte nicht auf die Aufforderung der Eltern reagiert, ihnen Videoaufnahmen, die er von ihrem Kind gemacht hatte, zukommen zu lassen. Die Dateien seien schon gelöscht worden. Darüber hinaus hatte Η ΑΣΠΙΔΑ ΤΟΥ ΔΑΥΙΔ die personenbezogenen Informationen der minderjährigen Person an Dritte weitergegeben.

Das Bußgeld setzt sich aus drei Strafen von je 3.000 EUR und einer von 1.000 EUR zusammen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte festgestellt, dass REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS ihre personenbezogenen Daten für einen abgeschlossenen Vertrag genutzt hatte, den sie nie authorisiert hatte. Der Empfänger der Daten war offenbar ein anderer Kunde von REPSOL. Auf Nachfrage erklärte das Unternehmen, dies sei aufgrund eines Fehlers beim Datenabgleich passiert.

Das Unternehmen gab an, den Fehler korrigiert und den falsch angelegten Vertrag gelöscht zu haben. Die Beschwerdeführerin erhielt jedoch weiterhin Rechnungen. Die hinterlegten Informationen wurden also nicht umgehend berichtigt. Die AEPD kritisierte zudem die von REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde von OS USB Lavoro Privato Puglia. Waren Angestellte von Magna PT länger arbeitsunfähig, verlangte das Unternehmen bei ihrer Rückkehr an den Arbeitsplatz ein Gespräch, bei dem der mentale und körperliche Gesundheitszustand erfassst wurden. Nach dem Gespräch gab der Arbeitgeber die Daten unter anderem an den zuständigen Arzt der Mitarbeiter weiter - in der Theorie, um gegebenenfalls unterstützende Anpassungen vorzunehmen.

Die Behörde stellte fest, dass Magna PT so Daten besonderer Kategorien verarbeitete, ohne dass es hierfür eine Rechtsgrundlage gegeben hätte - und ohne die Angestellten angemessen zu informieren.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Poste Vita hatte ihre Daten an unbefugte Dritte weitergegeben. Diese nutzten die Informationen, die sich auf mehrere Lebensversicherungen bezogen, in einer Gerichtsverhandlung. Als die Beschwerdeführerin das Unternehmen um Auskunft bat, gab dieses ihre Daten an eine fremde deutsche Mail-Adresse weiter.

Die italienische Datenschutzbehörde beantwortete die Beschwerde eines Erziehungsberechtigten. Bei der Anmeldung seines Kinds im La Combricola Dei Birichini Di Betty-Kindergarten verlangte man von ihm die Akzeptanz einer Datenschutzrichtlinie, die auch die Aufnahme und Verwendung von Fotos bzw. Videos der Kinder beinhaltete. Es gab keine Möglichkeit, dieser nur in Teilen zuzustimmen. Außerdem nutze die Einrichtung ein Videoüberwachungssystem.

Die GPDP stellte fest, dass zusätzlich zu alldem keine angemessene Risiko-Folgeabschätzung durchgeführt wurde. Außerdem listete der Kindergarten die Kontaktdaten seines Datenschutzbeauftragten nicht auf seiner Webseite.

Die italienische Datenschutzbehörde beantwortete eine Beschwerde. Der Beschwerdeführer, ein Kontoinhaber bei der Banco Bilbao Vizcaya Argentaria, hatte eine Informationsanfrage an die Bank geschickt. Diese hatte nicht umfassend geantwortet.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. Der Beschwerdeführer hatte CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO (CURENERGÍA) angerufen, um einen neuen Stromvertrag abzuschließen. Noch während des Gesprächs bekam er ein Angebot von IBERDROLA, einem anderen Stromanbieter, das exakt die personenbezogenen Daten enthielt, die er CURENERGÍA gegenüber angegeben hatte.

Die Untersuchung ergab, dass CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO die ihm überlassenen Informationen nicht zweckgebunden verarbeitet hatte. So hatte der Mitarbeiter offenbar versehentlich das falsche Unternehmen bei der Vertragserstellung angegeben.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 10.000 EUR auf 6.000 EUR reduziert.

Die rumänische Datenschutzbehörde reagierte auf eine Meldung über einen Datenschutzverstoß. Dabei stellte sie fest, dass die von SC Tremend Software Consulting implentierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten mangelhaft waren. So kam es zu unbefugten Zugriffen auf Mitarbeiter-Daten.

Die rumänische Datenschutzbehörde untersuchte Selgros Cash & Carry nach einer Meldung über einen Datenschutzvorfall. Aufgrund eines Konfigurationsfehlers wurden personenbezogene Daten für Unbefugte offengelegt. Dies war möglich, da die technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten nicht angemessen waren.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Ein von SIDECU betriebenes Fitnesstudio hatte den Zugang zum Studio nur über Fingerabdruckkontrollen ermöglicht, ohne seine Kunden zu informieren. Kurz darauf implementierte das Fitnesstudio auch die Datenerfassung mittels Gerichtserkennung. Außerdem fehlte eine Datenschutzfolgeabschätzung.

Das ursprüngliche Bußgeld von 160.000 EUR, zusammengesetzt aus drei Strafen von je 80.000 EUR, 50.000 EUR und 30.000 EUR, wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 96.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Ein Mitarbeiter der TELEFÓNICA MÓVILES ESPAÑA hatte einem betrügerischen Dritten ein SIM-Karten-Duplikat ausgestellt und diese aktiviert, ohne dass der Beschwerdeführer, der den Vertrag tatsächlich abgeschlossen hatte, informiert worden war. Die Betrüger konnten so unter anderem auf das Bankkonto des Beschwerdeführers zugreifen und dort erheblichen Schaden anrichten.

Die spanische Datenschutzbehörde untersuchte ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO (ASNEF) nach der Beschwerde einer Privatperson. Diese hatte ASNEF kontaktiert und mehrmals die Löschung ihrer Daten erbeten. Der Bußgeldempfänger kam diesen Aufforderungen nicht nach: Sie entfernte die Daten nur temporär aus ihren Systemen, statt sie vollständig zu löschen, und tat dies nur nach mehrfacher Kontaktaufnahme.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese war von Bantor Atlantic, eigentlich Movinero, ohne rechtliche Grundlage in einer Schuldnerdatenbank erfasst worden.

Die rumänische Datenschutzbehörde untersuchte die Partei Partidului Alianța, nachdem diese zwei Meldungen über Datenschutzvorfälle bei ihr abgab. Bei der Partei hatte es aufgrund eines Konfigurationsfehlers ein Datenleck gegeben.

Die ANS PDCP stellte fest, dass die Partidului Alianța keine technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten ergriffen hatte. Die Belastbarkeit und Vertraulichkeit ihrer Systeme war so nicht gewährleistet; die Informationen wurden Unbefugten zugänglich gemacht. Auch auf den Quellcode der Partei-Seite griffen die Hacker zu.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Deren Nachbar hatte ein Videoüberwachungssystem installisert, mit dem er Haus und Pool der Beschwerderführenden erfasste.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 500 EUR auf 400 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte ARCONADA nach einer Beschwerde über eine nicht ausreichende Antwort auf Auskunftsanfragen. Die AEPD wies das Unternehmen an, dem Beschwerdeführer die nötigen Informationen zu schicken. ARCONADA tat dies nach mehrfacher Aufforderung nicht.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.500 EUR auf 900 EUR reduziert.

Die polnische Datenschutzbehörde untersuchte ein privates Gesundheitszentrum in Pyskowice. Aus dem Auto eines dort angestellten Arztes wurden während eines Hausbesuchs acht Patientenakten gestohlen. Die UODO war der Ansicht, dass dies hätte verhindert werden können, wenn das Zentrum angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten implementiert hätte. Da die durchgeführte Risiko-Folgeabschätzung jedoch unvollständig war, war dies nie geschehen.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Die Lokalpolizei hatte den Beschwerdeführer darüber informiert, dass eine Kamera mit Aufnahmen seines Kindes, gemacht vom COLEGIO VIRGEN DE EUROPA, auf der Straße gefunden worden war. Weitere Datenträger wurden in der Privatwohnung eines Lehrers gefunden.

Die AEPD stellte fest, dass die Aufnahmen gar nicht erst gemacht hätten werden dürfen; es gab keine entsprechende Einwilligung seitens der Erziehungsberechtigten. Zudem wurden sie nicht informiert, bevor ihre Kinder gefilmt wurden.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 40.000 EUR auf 24.000 EUR reduziert.

Die kroatische Datenschutzbehörde untersuchte nach Eingang eines anonymen Hinweises das kroatische Versicherungsbüro (Hrvatski ured za osiguranje (HUO)). Es waren Daten von einer Millionen Fahrzeughalten, die ihre KfZs in Kroatien registriert hatten, geleakt worden. Diese Daten stammten, wie die Behörde feststellte, vom HUO. Dieses hatte keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten implementiert. Außerdem hatte das Amt keine Höchstspeicherdauer für die Daten festgelegt.

Die kroatische Datenschutzbehörde untersuchte einen Sportwettenanbieter. Dieser speicherte sensible Personendaten, darunter Ausweiskopien, von Kunden, ohne den Schutz der verarbeiteten Daten angemessen gewährleisten zu können. Eine angemessene Datensicherung sah das Unternehmen als zu teuer an. Nach Ende der Aufbewahrungsfrist wurden die Informationen nicht gelöscht.

Die spanische Datenschutzbehörde untersuchte ADVERBIS SPAIN. Eine Privatperson, die Eigentümer eines Unternehmens ist, hatte sich bei der AEPD über einen automatisierten Werbeanruf seitens ADVERBIS beschwert. Der Bußgeldempfänger berief sich auf die Tatsache, dass der Beschwerdeführer Unternehmer sei und es sich darum um B2B-Kommunikation gehandelt habe. Die AEPD wies dies zurück.

Die spanische Datenschutzbehörde untersuchte PLATAFORMA CABANILLAS. Ein Bewerber auf eine Stelle bei dem Unternehmen beschwerte sich bei der AEPD, nachdem dieses von ihm ein Führungszeugnis als Bedingung für die Teilnahme an einem Vorstellungsgespräch verlangte. Danach legte man der beschwerdeführenden Person ein Formular vor, das Informationen zu ihrem Familienstand abfragte. Die Behörde stufte beides als unrechtmäßig an.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Die App bzw. Webseite von OCI CINE hatten offenbar einen Fehler, bei dem Kunden des Treueprogramms bei der Reservierung eines Kinositzplatzes die personenbezogenen Daten anderer Rewards-Kunden angezeigt wurden. Grund hierfür waren mangelhafte technische und organisatorische Maßnahmen zum Schutz verarbeiteter Daten.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 30.000 EUR auf 18.000 EUR reduziert. Der Bug wurde laut OCI CINE behoben.

Die polnische Datenschutzbehörde untersuchte das Universitätskinderkrankenhaus L. Zamenhof in Białystok, nachdem dieses Opfer einer Ransomware-Attacke wurde. Dabei stellte die UODO fest, dass das Krankenhaus keine Risiko-Folgeabschätzung durchgeführt hatte. Die von ihm implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten waren mangelhaft und wurden nicht regelmäßig überprüft.

Die rumänische Datenschutzbehörde untersuchte YDAIL CONSTRUCT. Das Unternehmen speicherte auf seiner Webseite Cookies, die technisch nicht notwendig waren.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die SC Piramida Trade Invest hatte ihre Mitarbeitenden mit Videokameras überwacht, obwohl es hierfür keine Grundlage gab. Die Angestellten wurden auch nicht vorab über die Datenverarbeitung informiert.

Das Bußgeld setzt sich aus zwei Strafen von je 10.146 RON und 5.073 RON zusammen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese war von SILVANERGIA kontaktiert worden - angeblich im Namen von Bossals Energía. SILVANERGIA hatte, ohne dass ein Verarbeitungsvertrag mit Bassols Energía bestanden hätte, auf deren Kundendatenbanken zugegriffen.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 5.000 EUR auf 3.00 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte die Beschwerde einer Privatperson. Diese hatte eine Überweisung an einen Kunden der IBERCAJA BANCO getätigt, der ihr daraufhin eine Quittung schickte. Auf dieser war jedoch die Adresse des Absenders eingetragen. Die AEPD stufte dies als unrechtmäßig ein.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 70.000 EUR auf 42.000 EUR reduziert.

Die griechische Datenschutzbehörde beantwortete eine Beschwerde. Eine Angestellte eines Vodafone - PANAFON-Geschäfts hatte die Daten eines Kunden missbraucht, um drei Mobilfunkverträge auf deren Namen abzuschließen. Die Kundin erfuhr davon erst, als sie wegen angeblicher Straftaten kontaktiert wurde.

Die Behörde stellte fest, dass Vodafone den Vorfall nicht rechtzeitig übermittelt hatte, diesen nicht angemessen untersucht, die betroffene Person nicht informiert und keine ausreichenden Gegenmaßnahmen ergriffen hatte. Die bereits implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten waren nicht angemessen.

Die polnische Datenschutzbehörde ging nach einem Ransomware-Angriff, der Daten von 1.500 Personen kompromittierte, gegen das Städtische Sozialhilfezentrum Aleksandrów vor. Dabei stellte sie fest, dass die vom Zentrum implementierten technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten mangelhaft waren.

Das Städtische Sozialamt und der Bürgermeister, gegen den ebenfalls eine Geldstrafe erlassen wurde, hatten keine angemessene Risiko-Folgeabschätzung durchgeführt. Zudem wurden Daten-Backups nicht auf separaten Laufwerken hinterlegt, sodass die Angreifer diese ebenfalls veschlüsselten.

Die polnische Datenschutzbehörde ging nach einem Ransomware-Angriff, der Daten von 1.500 Personen kompromittierte, gegen das Städtische Sozialhilfezentrum Aleksandrów vor. Dabei stellte sie fest, dass die vom Zentrum implementierten technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten mangelhaft waren.

Der Bürgermeister und das Städtische Sozialamt, gegen das ebenfalls eine Geldstrafe erlassen wurde, hatten keine angemessene Risiko-Folgeabschätzung durchgeführt. Zudem wurden Daten-Backups nicht auf separaten Laufwerken hinterlegt, sodass die Angreifer diese ebenfalls veschlüsselten.

Die polnische Datenschutzbehörde untersuchte McDonald's und den von ihm engagierten Auftragsverarbeiter 24/7 Communication. Das Unternehmen war mit der Mitarbeiterverwaltung von McDonald's-Angestellten betraut. Bei 24/7 Communication gab es jedoch keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten: So gab es keine Risiko-Folgeabschätzung.

Das Gesamtbußgeld setzt sich aus 3 Strafen von je 94.286 PLN, 42.429 PLN und 47.143 PLN zusammen.

Die polnische Datenschutzbehörde untersuchte McDonald's Polska und den von ihm engagierten Auftragsverarbeiter 24/7 Communication. McDonald's hatte 24/7 Communication engagiert, um Mitarbeiter-Daten zu verarbeiten. Bei 24/7 Communication gab es jedoch keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten: So gab es keine Risiko-Folgeabschätzung. Gleiches gilt für McDonald's Polska: Die implementierten technischen und organisatorischen Maßnahmen waren mangelhaft.

Das Bußgeld setzt sich aus drei Strafen von je 1.632.063 PLN, 13.600.528 PLN und 1.700.066 PLN zusammen.

Die polnische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Im Zuge der Untersuchung wies sie ein Gastronomieunternehmen an, auf die eingereichte Beschwerde zu antworten und einige Punkte zu erläutern. Dies geschah nie.

Die rumänische Datenschutzbehörde reagierte auf die Meldung eines Datenschutzverstoßes. Das Unternehmen hatte nach Ansicht der ANS PDCP bei der Festlegung von Verarbeitungstätigkeiten sowie der Verarbeitung selbst keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz der erhobenen Daten geplant oder implementiert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privapterson. SD IBERIAN PORTFOLIOS hatte die Daten der beschwerdeführenden Person an den spanischen Finanzkreditverband weitergeleitet, obwohl ihr die Schuld, um die es dabei ging, erlassen worden war. Somit gab es keine Rechtsgrundlage für die Datenverarbeitung.

Die irische Datenschutzbehörde untersuchte einen Sicherheitsvorfall beim City of Dublin Education and Training Board (CDETB) aus dem Jahr 2018, bei dem Informationen von 13.000 Personen kompromittiert wurden. Dabei stellte die Behörde fest, dass das CDETB keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten implementiert hatte, die die durch einen Angriffe entstandene Datenkompromittierung hätten verhindern können. Zudem seien die Behörde und die Betroffenen nicht fristgerecht informiert worden.

Die griechische Datenschutzbehörde untersuchte die Piraeus Bank. Eine Privatperson hatte sich beschwert, dass die Bank ihn als Schuldner für einen Kredit aufgeführt hatte, den ein Unternehmen aufgenommen hatte. Der tatsächlich Verantwortliche war jedoch der Bruder des Beschwerdeführers, der den Geschäftskredit beantragt hatte.

Die rumänische Datenschutzbehörde beantwortete eine Beschwerde über SC Diamir. Das Unternehmen hatte Personalausweise ohne Einwilligung der Ausweis-Besitzer offengelegt. Als die ANS PDCP um Auskunft bat, reagierte es nicht.

Die spanische Datenschutzbehörde untersuchte ALBOR ENERGÍA. Das Unternehmen agierte als Telemarketing-Auftragsverarbeiter für einen nicht genannten Konzern. Für diese Aufgaben engagierte es unerlaubt weitere Drittunternehmen, ohne hierfür die Einwilligung seines Auftraggebers einzuholen.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 20.000 EUR auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen ADMINISTRACIONES BENIPON. Das Unternehmen hatte nicht auf Anfragen seitens der AEPD reagiert.

Die schwedische Behörde Integritetsskydds myndigheten untersuchte die Aktiebolaget Storstockholms Lokaltrafik (SL) nach der Beschwerde eines Kapitäns, der für sie arbeitete. Die Verkehrsgesellschaft hatte Alkoholtests bei Angestellten durchgeführt. Die so erfassten personenbezogenen Daten speicherte der Arbeitgeber in einem unnötig weitgreifenden Umfang - und nach Ansicht der IMY auch zu lange.

Die schwedische Behörde Integritetsskydds myndigheten untersuchte die Waxholms Ångfartygs AB (WÅAB) nach der Beschwerde eines Kapitäns, der für sie arbeitete. Die Verkehrsgesellschaft hatte Alkoholtests bei Angestellten durchgeführt. Die so erfassten personenbezogenen Daten speicherte der Arbeitgeber in einem unnötig weitgreifenden Umfang - und nach Ansicht der IMY auch zu lange.

Die rumänische Datenschutzbehörde erließ eine Geldstrafe gegen Dincă Viorel George. Der Bußgeldempfänger hatte nicht auf Anfragen der ANS PDCP reagiert.

Die spanische Datenschutzbehörde untersuchte RED ESPAÑOLA DE IDENTIFICACIÓN DE ANIMALES DE COMPAÑÍA (REIAC), das spanische Netzwerk zur Identifizierung von Haustieren, ursprünglich nach einer Beschwerde. Nach Wiederaufnahme des Verfahrens antwortete das Netzwerk jedoch nicht auf eine behördliche Anfrage.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 600 EUR auf 360 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Ein Mitarbeitender von FRUTAS CALISA kontaktierte sie über WhatsApp zu privaten Zwecken, ohne dass sie dem je zugestimmt hätte.

Die spanische Datenschutzbehörde untersuchte CUBILLO GALLEGO und wies das Unternehmen an, einige Korrekturmaßnahmen umzusetzen und dies nachzuweisen. Dieser Aufforderung kam der Bußgeldempfänger nicht fristgerecht nach.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 900 EUR auf 540 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte von XFERA MÓVILES Werbe-Anrufe erhalten, obwohl ihre Nummer auf der spanischen Nichtanrufliste registriert ist. Dies war vor den Anrufen nicht geprüft worden, sondern man hatte sich auf den verzeichneten Eintrag verlassen, der die Nummer nicht auf der Liste wähnte.

Nachtrag vom 01.07.2025:

Die vom Unternehmen eingelegte Berufung wies die AEPD ab.

Die spanische Datenschutzbehörde reagierte zunächst auf die Beschwerde einer Privatperson und erließ Korrekturmaßnahmen gegen eine andere Privatperson. Diese wies die Umsetzung der Anweisungen nie nach, woraufhin die AEPD ein Bußgeld verhängte.

Nach freiwilliger Zahlung reduzierte sich das ursprüngliche Bußgeld von 200 EUR auf 160 EUR reduziert.

Das britische Information Commissioner's Office ging nach einem Sicherheitsvorfall 2023 gegen 23andMe vor. Dabei stellte die Behörde Mängel bei den vom Gen-Text-Konzern implementierten Maßnahmen zum Schutz der von ihm verarbeiteten Daten fest. Die zur Entscheidung veröffentlichte Pressemeldung legte dabei besonderes Gewicht auf die von 23andMe durchgeführten Untersuchungen zu dem Vorfall, die mehrfach dazu führten, dass die Attacke unter den Tisch gekehrt wurde.

Die polnische Datenschutzbehörde untersuchte das von einer Universität getragene Krankenhaus BF, nachdem dieses einen Ransomware-Angriff auf seine Systeme meldete. Dabei stellte sie fest, dass die von der Klinik implementierten technischen und organisatorischen Maßnahmen nicht ausreichend waren. Wären sie angemessen gewesen, hätte die Verschlüsselung von Mitarbeiterdaten verhindert werden können.

Die rumänische Datenschutzbehörde untersuchte SC Kashto Concept. Das Unternehmen speicherte auf seiner Webseite unnötige Cookies.

Die griechische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Die Bußgeldempfänger, die auf dem Nachbargrundstück wohnten bzw. dort ein Restaurant betreiben, hatten ein Videoüberwachungs-System installiert, das auch das Grundstück des Beschwerdeführers und die Straße erfasste.

Die norwegische Datenschutzbehörde untersuchte die von der Gemeinde Kristiansand betriebene Webseite 116111.no, die wie auch in Deutschland einen Notruf für Kinder und Jugendliche anbietet. Die Seite erfasste unrechtmäßig die Daten der Minderjährigen und anderer Benutzer und gab sie über Tracking-Cookies an Drittunternehmen weiter. Seitenbesucher wurden zudem nicht über diese Datenverarbeitung informiert.

Die irische Datenschutzbehörde schloss im Juni 2025 eine Untersuchung beim Department of Social Protection (DSP) ab. Diese im Juli 2021 begonnene Untersuchung betraf die Nutzung von Gesichtserkennungs-Templates und -Tools seitens des DSP ab.

Der DPC stellte dabei fest, dass es zum Zeitpunkt der Einführung dieser Gesichtserkennung keine Rechtsgrundlage für die Datenverarbeitung gegeben hatte. Zudem mangelte es an Transparenz bei der Information der Menschen, die ihre Daten zur Verarbeitung freigaben. Die vorgelegte Datenschutz-Folgeabschätzung wies ebenfalls Mängel auf.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. COLEGIO VIRGEN DE EUROPA, die Schule ihrer 14-jährigen Tochter, hatte für diese eine Schul-E-Mail-Adresse angelegt und diese mit einem Classroom-Profil verknüpft, ohne dafür die Erlaubnis der Erziehungsberechtigten einzuholen. Nachdem Hacker die Kontrolle über das Konto übernahmen und sich in E-Mails als die Tochter ausgaben und auch auf Details des Profils zugriffen, informierte die Schule die Mutter nicht.

Das Gesamtbußgeld setzt sich aus drei Strafen von zweimal je 4.500 EUR wg. Verstoßes gg. Art 6 Abs. 1 und Art. 32 DSGVO sowie 1.000 EUR wg. Verstoßes gg. Art. 13 DSGVO zusammen.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Die Bußgeldempfängerin ist die Verantwortliche für das Videoüberwachungssystems eines Gebäudes, in bzw. an dem keine angemessenen Hinweisschilder angebracht sind. Zudem speicherte die Betreiberin die so aufgenommenen Daten deutlich länger als nötig, und es gab keinen unüberwachten Ruhebereich für Mitarbeitende.

Nach einer Meldung über einen Datenschutzverstoß untersuchte die rumänische Datenschutzbehörde Accounting Audit. Die ANS PDCP stellte dabei Mängel bei den implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten fest.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. IBERDROLA CLIENTES hatten ihre Daten ohne Rechtsgrundlage an eine Kreditauskunftei weitergegeben - sie war jedoch nie zur Zahlung aufgefordert oder darüber informiert worden.

Nachtrag vom 17.06.2025:

Ein Antrag auf erneute Prüfung wurde abgelehnt.

Die griechische Datenschutzbehörde untersuchte den griechischen Außenminister. Ein Angestellter des Ministeriums hatte sich beschwert, nachdem er dem Erhalt von Mails aus einem Verteiler widersprochen hatte und der Minister ihn informierte, dass der Widerspruch in seiner Personalakte hinterlegt werden sollte. Auch dem widersprach der Mitarbeiter.

Die Behörde stimmte ihm zu: Es gab keine Rechtsgrundlage für den Vermerk seines Widerspruchs. Zudem verwarnte sie das Ministerium, da dieses seinen Informations- und Löschungspflichten nicht ordnungsgemäß nachgekommen war.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. ALVEA SOLUCIONES TECNOLÓGICAS macht telefonische Stellenangebote. War man interessiert, musste man seine Daten über ein Google-Formular eingeben - doch wardies geschehen, konnte man eine Tabelle mit den personenbezogenen Daten aller einsehen. Dies stufte die AEPD als unrechtmäßig ein.

Nach fristgerechter Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 35.000 EUR auf 21.000 EUR reduziert.

Die österreichische Datenschutzbehörde erließ ein Bußgeld gegen das Unternehmen B. Dieses hatte nicht mit der DSB zusammengearbeitet.

Zum Bußgeld kommen Verwaltungsgebühren von 60 EUR hinzu.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Betrüger hatten bei DIGI SPAIN TELECOM erfolgreich die Ausstellung einer zusätzlichen SIM-Karte erwirkt, um die Identität der beschwerdeführenden Person zu stehlen. Das Unternehmen hatte ihn darüber vor dem Karten-Wechsel nicht informiert, sodass er erst im Nachhinein reagieren konnte.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Sein Strom-Anbieter stellte seine Versorgung ab und verwies auf einen offenbar entstandenen neuen Vertrag mit NATURGY IBERIA (Naturgy). Nachdem er Naturgy dazu bringen konnte, ihm eine Kopie dieses angeblichen Vertrags zu schicken, stellte sich heraus, dass die mit ihm verknüpften Daten zu einem Dritten gehörten; es handelte sich um Betrug. Die Verarbeitung war somit nicht rechtmäßig.

Nachtrag vom 01.07.2025:

Eine von NATURGY IBERIA eingelegte Berufung wies die AEPD zurück.

Die spanische Datenschutzbehörde untersuchte eine Datenschutzverletzung aus dem Jahr 2023. Diese ergab, dass das Unternehmen keine angemessenen Maßnahmen ergriffen hatte, um den Schutz verarbeiteter Daten zu gewährleisten.

Das Gesamtbußgeld setzt sich aus drei Strafen von je 1.000.000 EUR, 2.000.000 EUR und 200.000 EUR zusammen.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Eine Privatperson hatte festgestellt, dass ihr Telefon nicht mehr funktionierte und jemand unbefugte Änderungen an ihrem Online-Banking vorgenommen hatte. Ein Mitarbeiter von AIRE NETWORKS DEL MEDITERRÁNEO hatte die SIM-Karte offenbar auf Anweisung eines Dritten ausgetauscht.

Die AEPD stellte bei ihrer Untersuchung fest, dass die Datenverarbeitung bei dem Anbieter nicht unter Gewährleistung angemessener Datenschutzmaßnahmen erfolgte.

Das ursprüngliche Bußgeld von 100.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 60.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. TECNOLOGÍAS APLICADAS DEL LÁSER hatte in ihrer Geschäftsstelle ein Videoüberwachungs-System installiert, das Tonaufnahmen machen konnte. Außerdem erfasste es den öffentlichen Raum um den Laden herum sowie die Pausenbereiche für Mitarbeitende.

Das ursprüngliche Bußgeld von 2.000 EUR wurde nach freiwilliger Zahlung auf 1.600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. LVMH IBERIA, ihr ehemaliger Arbeitgeber, hatte sie gezwungen, ihr Privathandy für die Arbeit zu nutzen. Dazu fügte LVMH IBERIA sie mehreren WhatsApp-Gruppen hinzu, ohne dafür vorher ihre Zustimmung einzuholen.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 60.000 EUR auf 42.000 EUR reduziert.

Nachdem ein Doktorand der Universität Turku die finnische Datenschutzbehörde kontaktierte, untersuchte diese die Universitäts-Apotheke (Yliopiston Apteekin, YA). Die Apotheke verwendete Cookies und Tracking-Technologien, die Netzwerk-Aktivitäts-Daten an Google, Meta, etc. weitergaben. Darunter waren auch Daten zum Online-Kauf von Medikamenten.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Der Beschwerdeführer hatte wiederholt Werbe-E-Mails von Noi Compriamo Auto bekommen, hatte dem jedoch nie zugestimmt. Als er auf eine Nichtkontaktliste gesetzt werden wollte, reagierte das Unternehmen nur verspätet und behauptete, die Einwilligung sei bei einer anderen Firma erteilt worden. Der Beschwerdeführer hatte von diesem dritten Unternehmen jedoch nie gehört. Er erhielt auch weiterhin Werbung von verschiedenen Adressen.

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit untersuchte Vodafone. Dabei stellte sie fest, dass das Unternehmen die Auftragsverarbeiter, die es engagierte, nicht regelmäßig und umfassend genug datenschutzrechtlich überprüfte bzw. überwachte. So war es Mitarbeitenden der Partneragenturen möglich, Fake-Verträge zu erstellen oder bestehende Verträge zulasten der Kunden zu ändern. Die hierfür (Art. 28 Abs. 1 DSGVO) ausgesprochene Geldstrafe beträgt 15 Mio. EUR.

Die BfDI sprach zudem eine Verwarnung wg. mangelhafter technischer und organisatorischer Maßnahmen zum Schutz verarbeiteter Daten aus.

Eine Strafe von 30 Mio. EUR erließ die BfDI wegen Mängeln bei der Sicherheit von Authentifizierungs-Prozessen. Diese betrafen die Nutzung des Onlineportals "Mein Vodafone" in Verbindung mit der Unternehmens-Hotline. So konnten unbefugte Dritte eSIM-Profile abrufen.

Die BfDI betonte, dass Vodafone seine Arbeitsabläufe und Systeme mittlerweile verbessert bzw. gegebenenfalls ersetzt hat.

Die österreichische Datenschutzbehörde erließ ein Bußgeld gegen ein Parkraumbewirtschaftungs-Unternehmen. Dieses hatte auf eine behördliche Aufforderung zu einer Stellungnahme nicht reagiert.

Die rumänische Datenschutzbehörde untersuchte AG-BROKER ASIGURARE. Das Unternehmen war Opfer eines Cyberangriffs, der nach Ansicht der ANS PDCP mit angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten hätte verhindert werden können.

Die französische Datenschutzbehörde untersuchte Caloga, ein Marketing-Unternehmen. Dieses erwarb zu Werbezwecken genutzte Personendaten vornehmlich von Datenhändlern. Dabei konnte Caloga nicht nachweisen, dass von den kontaktierten Personen eine Zustimmung zur Nutzung ihrer Informationen für Werbung vorlag. Zudem war es für Betroffene schwieriger, ihre einmal erteilte Einwilligung zu widerrufen. Auch bei der Datenspeicherung gab es Mängel: Informationen von als "inaktiv" eingestuften Kunden wurden nicht archiviert, sondern weiterhin als aktiv behandelt.

Die spanische Datenschutzbehörde untersuchte das MAD COOL FESTIVAL, nachdem es auf dessen Webseite zu einem Datenleck gekommen war. Dabei hatten potenzielle Festivalbesucher während der Registrierung die personenbezogenen Informationen anderer Besucher einsehen können. Die AEPD sah hier Mängel bei den technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. GALENICUM HEALTH hatte eine Videoüberwachungsanlage installiert. Die dadurch entstandene Datenverarbeitung geschah nicht gemäß des Grundsatzes der Datenminimierung, da die Kameras die umliegenden Straßen erfassten.

Die rumänische Datenschutzbehörde reagierte auf die Beschwerden zweier ausländischer Privatpersonen. Data Diggers Market Research hatte auf Auskunftsersuchen nicht angemessen reagiert und den Beschwerdeführern z.B. unvollständige Informationen gegeben. Außerdem verarbeitete das Unternehmen Daten ohne Rechtsgrundlage.

Das Bußgeld setzt sich aus je 24.886 RON (ca. 5.000 EUR) wg. Verstoßes gg. Art. 6 Abs. 1 DSGVO und Art. 15 DSGVO sowie 9.954 RON (ca. 2.000 EUR) wg. Verstoßes gg. Art. 14 DSGVO zusammen.

Die rumänische Datenschutzbehörde untersuchte Dumitru Viorel Focșa nach einer Beschwerde. Der Bußgeldempfänger hatte Daten der beschwerdeführenden Person in einem Facebook-Post veröffentlicht. Hierfür fehlte die Rechtsgrundlage.

Die spanische Datenschutzbehörde untersuchte ATRESMEDIA CORPORACIÓN DE MEDIOS DE COMUNICACIÓN. Das Unternehmen hatte ein Video einer Aufnahme einer Gewalttat veröffentlicht, in dem es zwar die Gesichter der Angreifer und des Opfers verpixelte, die Stimmen jedoch erkennbar ließ.

Das ursprüngliche Bußgeld von 50.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 30.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte eine Eigentümergemeinschaft. Diese hatte ein Protokoll einer Versammlung im Hauseingangsbereich ausgehängt, das auch personenbezogene Daten, spezifisch zu bestehenden Schulden, enthielt.

Die französische Datenschutzbehörde untersuchte SoLocal Marketing Services. Das Unternehmen erwarb den Großteil der von ihm verarbeiteten Daten von Data Brokern. Diese Informationen nutzte es zur Werbung - ohne dass die Datenhändler den Personen, deren Daten sie verkauften, eine eindeutige Möglichkeit zur Ablehnung oder Einwilligung gegeben hätten. Entsprechend konnte SoLocal Marketing Services auch nicht nachweisen, dass die von ihm kontaktierten Menschen der Datenverarbeitung zugestimmt hatten.

Die spanische Datenschutzbehörde untersuchte einen Apothekenbesitzer. Dieser hatte unrechtmäßig auf Daten von Bewohnern mehrerer Seniorenheime zugegriffen und diese teils ohne angemessene Sicherheitsmaßnahmen auf elektronischem Wege weiterverbreitet.

Das Gesamtbußgeld von 11.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 6.600 EUR reduziert. Das ursprüngliche Bußgeld setzte sich aus 5.000 EUR wg. Verstoßes gg. Art 6 DSGVO sowie je 3.000 EUR wg. Verstoßes gg. Art. 14 DSGVO und Art. 32 DSGVO zusammen.

Die italienische Datenschutzbehörde untersuchte Autostrade per l'Italia, nachdem eine Privatperson sich beschwerte. Das Unternehmen hatte ein Disziplinarverfahren gegen die Beschwerdeführerin, die bei ihm angestellt war, eingeleitet und diese schließlich entlassen. Dafür zogen sie Facebook-Posts und Messenger- sowie WhatsApp-Chatverläufe hinzu.

Die GPDP stufte dies als rechtswidrig ein: Die verwendeten Posts und Nachrichten waren eindeutig privater Natur, wurden außerhalb des Arbeitsverhältnis verschickt und hätten nicht verwendet werden dürfen. Sie hatten zudem keinen Einfluss auf die berufliche Eignung der Beschwerdeführerin.

Die italienische Datenschutzbehörde inspizierte Menarini Silicon Biosystems (MSB) im Hinblick auf ihre Datenschutzmaßnahmen. Das Unternehmen analysiert Blutproben von Krebspatienten. Dafür nutzt MSB CellFind, ein von seinem amerikanischen Tochterunternehmen entwickeltes Deep Learning-Programm, das Bilder von Zellen klassifiziert und kategorisiert. Die Aufnahmen sind dabei eindeutig den Patienten, von denen sie stammen, zugeordnet, werden aber pseudonymisiert.

Für das endgültige Training bezog MSB 5.000 bis 10.000 Bilder von ca. 200 Patienten, die ein Unternehmen aus Bulgarien bereitstellte. Die Betroffenen wurden von Menarini Silicon Biosystems nicht angemessen über die Verarbeitung ihrer Daten informiert. Es gab nur unklare Angaben zur Speicherbegrenzung und nur eine unzureichende Bewertung des Risikos der erneuten Identifizierung der Patienten, deren Daten genutzt werden.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Gesundheitsschutzbehörde der Metropolitanstadt Mailand, für die der Beschwerdeführer arbeitete, hatte Dokumente mit sensiblen personenbezogenen Daten, darunter medizinische Berichte, an Unbefugte weitergeleitet. Grund war offenbar ein Verwaltungsfehler.

Die italienische Datenschutzbehörde untersuchte Luka Inc., Betreiber des Chatbots "Replika", der vor allem für die Erstellung von Gesprächspartnern, auch digital-romantischer Art, genutzt wird. Bereits 2023 hatte die Behörde dem Unternehmen die Nutzung personenbezogener Daten von italienischen Bürgern als Trainingsquelle untersagt und auf Mängel bei den Datenschutzrichtlinien und der Altersüberprüfung hingewiesen.

"Replika" war unter anderem dazu in der Lage, sexuelle Inhalte wiederzugeben - doch nach Ansicht der GPDP reichte die Altersverifizierung, die das Unternehmen implementiert hatte, bei weitem nicht aus. Darüber hinaus konnte Luka nicht nachweisen, auf welcher Rechtsgrundlage es Informationen verarbeitete. Außerdem fehlten Informationen in der bereitgestellten Datenschutzrichtlinie, darunter auch zur Verarbeitung von EU-Nutzerdaten außerhalb der EU.

Zum Zeitpunkt des Bußgeldbescheids befanden sich die 18+-Inhalte des Bots hinter einer Paywall, um den Schutz Minderjähriger zu gewährleisten; alle belangten Verstöße wurden nach Stand des 2. Februar 2023 beurteilt.

Die rumänische Datenschutzbehörde untersuchte Maravet, nachdem das Unternehmen einen Datenschutzvorfall gemeldet hatte. Ein ehemaliger Angestellter hatte Informationen aus den Firmensystemen gestohlen und an Dritte weitergegeben bzw. auf dem Internetauftritt seiner neuen Stelle veröffentlicht. Der ANS PDCP zufolge hätten angemessene technische und organisatorische Maßnahmen zum Schutz verarbeiteter Daten, insbesondere zur Zugriffsregelung, dies verhindern können.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. Einer Privatperson war eine Zahlungsaufforderung zugesandt worden, die zwar für ihn gemeint, deren E-Mail jedoch auch einen unbeteiligten Dritten in der Empfängerzeile hatte. Die Datenverarbeitung erfolgte hier nach Einschätzung der AEPD nicht unter Gewährleistung angemessenen Datenschutzes.

Nach freiwillger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte einen Apothekenbesitzer. Dieser hatte unrechtmäßig auf Daten von Bewohnern mehrerer Seniorenheime zugegriffen und diese teils ohne angemessene Sicherheitsmaßnahmen auf elektronischem Wege weiterverbreitet.

Das Gesamtbußgeld von 11.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 6.600 EUR reduziert. Das ursprüngliche Bußgeld setzte sich aus 5.000 EUR wg. Verstoßes gg. Art 6 DSGVO sowie je 3.000 EUR wg. Verstoßes gg. Art. 14 DSGVO und Art. 32 DSGVO zusammen.

Die spanische Datenschutzbehörde untersuchte nach der Beschwerde einer Privatperson eine politische Partei. Die INDEPENDENTS DE VALLROMANES (IVALL) hatte auf sozialen Medien Bilder eines Gerichtsurteils veröffentlicht, in denen personenbezogene Daten lesbar waren.

Nach einer Meldung über einen Datenschutzvorfall untersuchte die rumänische Datenschutzbehörde ACCOUNTING & AUDIT CONSULTING. Die Behörde stellte dabei Mängel bei den implementierten technischen und organisatorischen Maßnahmen fest, nachdem Unbefugte auf personenbezogene Daten von Kunden der Firma zugegriffen hatten.

Die rumänische Datenschutzbehörde untersuchte CVA TAX & FINANCE, nachdem ein Cyber-Angriff Teile der Unternehmenssysteme unerreichbar hinterließ. Die Behörde stellte fest, dass die vorhandenen technischen und organisatorischen Maßnahmen bei CVA TAX & FINANCE Mängel aufwiesen.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Romoffice Construct Holding hatte ihre Telefonnummer, die sie bei einem öffentlichen Finanzierungsprogramm angegeben hatte, ohne Rechtsgrundlage verarbeitet.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Beschwerdeführer war zeitweise bei SERVICIOS DE INTEGRACIÓN DE ANDALUCÍA angestellt. Während dieser Zeit fügte ihn der Bußgeldempfänger einer WhatsApp-Gruppe für die Firma hinzu - unter seiner Privatnummer. Dem hatte der Beschwerdeführer nie zugestimmt.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 2.000 EUR auf 1.200 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. UNIÓN DE CRÉDITO PARA LA FINANC. MOB. E INMOB., CREDIFIMO, E.F.C. hatte ihre Daten im Rahmen einer angeblichen Geldschuld verarbeitet, ohne den Beschwerdeführer über die mögliche Aufnahme seiner Daten in ein Kreditinformationssystem zu informieren. Somit sah die AEPD keine Rechtsgrundlage für diese Tätigkeit.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 200.000 EUR auf 120.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Im Rahmen der Klärung einer Erbschaftssache hatte der Neffe des Beschwerdeführers Daten an eine Behörde weitergegeben, ohne dass er dazu die Erlaubnis gehabt hätte.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 2.000 EUR auf 1.200 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. FRESHLY COSMETICS war bereits einige Jahre zuvor wegen ihrer unangemessenen Cookie-Speicherung zu Korrekturmaßnahmen aufgefordert worden. Diesen war das Unternehmen nicht nachgekommen.

Die rumänische Datenschutzbehörde reagierte auf eine Meldung über einen Sicherheitsvorfall und untersuchte CV PRO CONSULT. Das Unternehmen hatte keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten eingerichtet.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte immer wieder Werbung von AD735 DATA MEDIA ADVERTISING erhalten, auch nachdem sie sich abgemeldet hatte.

Die rumänische Datenschutzbehörde verhängte ein Bußgeld gegen ROUMASPORT, nachdem bei ihr mehrere Beschwerden eingegangen waren. Das Unternehmen hatte seine Angestellten mit Kameras überwacht und die so entstandenen Aufnahmen unter anderem für disziplinarische Zwecke weiterverbreitet.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Sie hatte den Bußgeldempfänger 2017 wegen eines Raubüberfalls angezeigt. Jahre später veröffentlichte dieser auf Facebook ein Foto der Beschwerdeführerin sowie Kopien ihrer Gesundheitsdaten und Auszüge aus einem Gerichtsverfahren.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Bei der Buchung einer Unterkunft bei ULPIA TRAJANA ALAMEDA verlangte der Wohnungseigentümer, dass sie eine Ausweiskopie sowie ein Foto von sich selbst bei einer Dritt-App hochlud. Dies stufte die Behörde als unrechtmäßig ein.

Nach Haftungsanerkennung und freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 2.500 EUR auf 1.500 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Geschäftsführer von AMOR IDEAL LAS PALMAS hatte sie nie über die Verarbeitung ihrer personenbezogenen Daten informiert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese beschwerte sich über drei von einer Person an einer Hauswand angebrachte Überwachungskameras, die den öffentlichen Straßenraum sowie das Geschäft des Partners der beschwerdeführenden Person erfassten. Diese waren zudem offenbar nicht ausreichend beschildert. Die Untersuchungen ergaben, dass BALLESPE der tatsächlich Datenverantwortliche war.

Nachtrag vom 09.05.2025:

Ein Antrag auf erneute Prüfung wurde abgelehnt.

Die spanische Datenschutzbehörde untersuchte eine Privatperson in ihrer Funktion als Betreiber einer Apotheke. Diese hatte Patientenrezepte in einer nicht ausreichend durch technische und organisatorische Maßnehmen geschützten Excel-Datei gespeichert, ohne die Rezeptempfänger über die Verarbeitung ihrer Gesundheitsdaten zu informieren.

Nach Haftungsanerkennung und freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 16.000 EUR auf 9.600 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde mehrerer Privatpersonen. Die Eigentümergemeinschaft, der sie angehören, hatte im Eingangsbereich des Gebäudes eine Liste mit Mitgliedern ausgehängt, die offene Schulden hatten. Diese enthielt die Namen uns Wohnungsnummern der Betroffenen, die so identifizierbar waren. Zusätzlich verschickte die Gemeinschaft solche Listen per E-Mail, die teils fehlerhaft waren.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Hausverwaltung hatte ihren Betrieb eingestellt und im Zuge dessen die Kontodaten des Beschwerdeführers an das verantwortliche Wasserversorgungsunternehmen weitergegeben, welches daraufhin Rechnungsabbuchungen von diesem Konto vornahm. Diese Datenweitergabe war unrechtmäßig.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 8.000 EUR auf 4.800 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Als der Beschwerdeführer ein zweites Konto bei der ING BANK, SUCURSAL EN ESPAÑA eröffnen wollte, verlangte diese seine Einwilligung zur Erhebung von Sozialversicherungskassen-Daten. Die AEPD stufte dies als nicht notwendig und daher unrechtmäßig ein

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 2 Mio. EUR auf 1,6 Mio. EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Dieser war nach einer Rückgabe bei NOVATES ALIMENTACIÓN MADRID mitgeteilt worden, dass es dabei Fehler gegeben hatte und sie einen Teil des erstatteten Betrags zurückzahlen sollte. Hierfür zeigte ihr eine Mitarbeiterin Aufnahmen auf ihrem Handy, die sie der Kundin später per WhatsApp schickte.

Diese von den im Laden installierten Überwachungskameras gemachten Aufzeichnungen filmte die Mitarbeitende mit ihrem Handy ab. Die Behörde sah hier mangelhafte technische und organisatorische Maßnahmen zum Datenschutz: Dies hätte der Angestellten nie möglich sein dürfen.

Das ursprüngliche Bußgeld von 20.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 12.000 EUR reduziert.

Die irische Datenschutzbehörde verhängte ein Bußgeld von 530.000.000 EUR gegen TikTok Technology Limited. Hintergrund war eine Untersuchung der Behörde, welche die Datenübermittlung von EU-Nutzern an chinesische Server seitens TikTok betraf.

Zunächst behauptete das Unternehmen, keine Daten europäischer Benutzer auf seinen Servern in China abgelegt zu haben. Dies berichtigte TikTok jedoch im April 2025. Das Unternehmen entdeckte im Februar 2025 auf dessen Servern doch Daten von europäischen TikTok-Benutzern. Als Ursache wurde ein Fehler angegeben. Diese Daten waren nach Ansicht des DPC nicht nach den Standards geschützt, die die DSGVO verlangt.

Darüber hinaus stellte die irische Behörde fest, dass TikTok Technology Limited Nutzer nicht hinreichend transparent über geplante Datennutzungen informierte. Im Jahr 2021 nannte sie keine Drittländer, in die Userdaten weitergegeben wurden, und gab nicht an, zu welchen Verarbeitungszwecken die Informationen ins EU-Ausland gingen. Eine Änderung im Jahr 2022 sorgte schließlich dafür, dass die Länder, von denen aus auf die Daten zugegriffen werden, aufgelistet wurden.

Das Bußgeld setzt sich aus 45 Mio. EUR wg. Verstoßes gg. Art. 13 Abs. 1 lit. f) DSGVO und 485 Mio. EUR wg. Verstoßes gg. Art. 46 Abs. 1 DSGVO zusammen.

Die rumänische Datenschutzbehörde untersuchte BITDEFENDER nach einer Meldung des Unternehmens über einen Datenschutzverstoß. Dies ergab, das das Unternehmen keine geeigneten technischen und organisatorischen Maßnahmen zum Datenschutz implementiert hatte und existierende Maßnahmen nicht regelmäßig oder ausreichend überprüfte.

Die griechische Datenschutzbehörde reagierte auf die Beschwerde eines Mitglieds des Schulausschusses der Gemeinde Patras. Diese hatte Informationen zu einer Entscheidung des Ausschusses auf ihrer Webseite veröffentlicht. Diese enthielten jedoch auch personenbezogene Daten des Mitglieds.

Die luxemburgische Datenschutzbehörde untersuchte ein Unternehmen nach einer Inspektion vor Ort. Das dabei vorgelegte Verzeichnis der durchgeführten Verarbeitungstätigkeiten war nicht vollständig.

Die französische Datenschutzbehörde erließ im Jahr 2024 im vereinfachten Verfahren insgesamt 62 Geldstrafen in einer Gesamthöhe von 715.500 EUR. Elf davon ergingen gegen Unternehmen, bei denen die CNIL mangelhafte technische und organisatorische Maßnahmen zum Schutz verarbeiteter Daten festgestellt hatte.

Die schwedische Datenschutzbehörde verhängte ein Bußgeld gegen den Diskriminierungsbeauftragten (DO), weil dieser bei der Datenerhebung über Online-Formulare keine angemessenen technischen und organisatorischen Maßnahmen zum Datenschutz implementiert hatte.

Die italienische Datenschutzbehörde untersuchte den Psychologenverband der Region Lombardei. Am 3. Oktober 2020 war dieser Opfer eines Ransomware-Angriffs geworden; nachdem er das Lösegeld, das die Täter 3 Jahre später forderten, nicht zahlte, veröffentlichten diese 7 GB an aus den Verbandssystemen gestohlenen Daten.

Die Untersuchung der GPDP ergab, dass die von der Organisation implementierten technischen und organisatorischen Maßnahmen den Schutz der verarbeiteten Daten vor solchen Attacken nicht angemessen gewährleisten konnten.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese war von Immobiliare Valdalpone mit Werbung kontaktiert worden, ohne dem je zugestimmt zu haben. Eine eingeleitete Untersuchung ergab, dass das Unternehmen die Daten vom Datenhehler Realmaps erworben hatte. 

Immobiliare Valdalpone behauptete, die notwendigen Einwilligungen von Realmaps erhalten zu haben. Die Behörde betonte, dass das Unternehmen diese hätte überprüfen müssen

Die italienische Datenschutzbehörde untersuchte die Region Lombardei. Diese hatte ihre Mitarbeitenden bei der Remote-Arbeit überwacht. Dafür zeichnete sie besuchte Seiten auf und protokollierte auch, falls ein Angestellter eine von der Behörde auf eine Block-Liste gesetzte Seite aufzurufen versuchte. Diese speicherte die Region nach Ansicht der Behörde unrechtmäßig lang. Auch die mit der Überwachung verbundene Erfassung von nicht arbeitsrelevanten Browser-Aktivitäten stufte die GPDP als nicht rechtmäßig ein.

Die italienische Datenschutzbehörde untersuchte Versilmagra Immobiliare di Robertelli Davide & CSas. Das Unternehmen hatte immer wieder Privatpersonen per WhatsApp zu Werbezwecken kontaktiert, ohne dass diese dem zugestimmt hätten. Die daraufhin eingeleitete Untersuchung ergab, dass die Immobilienfirma die hierfür verwendeten Daten von Realmaps gekauft hatte.

Versilmagra Immobiliare di Robertelli Davide & CSas hatte die so erhaltenen Daten nicht ordentlicht überprüft, sondern darauf vertraut, dass die Datenhehleri nötige Einwilligungen eingeholt hatte. Außerdem fehlte es an angemessenen Schutzmaßnahmen für die verarbeiteten Informationen.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson, die von MA Immobiliare zu Werbezwecken angerufen worden war. Die daraufhin eingeleitete Untersuchung ergab, dass die Immobilienfirma die hierfür verwendeten Daten von Realmaps gekauft hatte.

MA Immobiliare hatte die so erhaltenen Daten nicht ordentlicht überprüft, sondern darauf vertraut, dass die Datenhehleri nötige Einwilligungen eingeholt hatte. Außerdem fehlte es an angemessenen Schutzmaßnahmen für die verarbeiteten Informationen.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Tirrenia Hospital hatte zu spät auf das Auskunftsersuchen des Beschwerdeführers reagiert.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte einen Bescheid über einen Verkehrsverstoß von der Gemeinde Noli erhalten. Das hierfür verwendete Beweisfoto war mit einem Kamerasystem aufgenommen worden, über das die Gemeinde nicht ausreichend transparent informierte.

Die italienische Datenschutzbehörde reagierte auf fast einhundert Beschwerden gegen Energia Verde. Das Unternehmen führte in massivem Umfang Werbeanrufe durch und versuchte mit diesen, ohne Rechtsgrundlage Energieverträge abzuschließen. Auf Löschungsanfragen reagierte Energia Verde mit automatisierten Antworten, die angaben, dass die Auftragsverarbeiter, die die Werbung für sie durchführten, diese gelöscht hätten - falls sie in ihren Systemen existierten.

Darüber hinaus funktionierte der auf der Firmenwebseite eingebaute Link zu Energia Verdes Datenschutzbestimmungen nicht. Klickte man auf den ins Nichts führenden Link, setzte die Seite automatisch ein Häkchen für die Akzeptanz der (nicht einsehbaren) Bestimmungen.

Die italienische Datenschutzbehörde untersuchte die Gemeinde San Francesco al Campo. Diese hatte auf ihrer Webseite einen Gemeinderatsbeschluss veröffentlicht, der personenbezogene Daten enthielt. Auch nachdem die Gemeine das Dokument auf erster Ebene offline nahm, war es weiterhin über die Suchfunktion abrufbar.

Die italienische Datenschutzbehörde untersuchte die Sozialgenossenschaft Quadrifoglio. Eine Privatperson beschwerte sich, weil die Genossenschaft mehrere Excel-Listen an die Gemeinde Bologna geschickt hatte. Diese enthielten in einem Fall Daten von Streikteilnehmenden und in zwei anderen Fällen sensible Daten von behinderten bzw. förderbedürftigen Kindern. Die GPDP bemängelte die Genossenschaft in ihrer Funktion als Auftragsverarbeiter der Gemeinde und stellte zudem nicht angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten fest.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Die Kindergarten-Abteilung der Gemeinde, ServiziZeroSei, hatte von der Sozialgenossenschaft Quadrifoglio drei Excel-Listen bekommen und diese an 30 Stadt-Mitarbeiter sowie an 50 Privatpersonen weitergeleitet. Diese enthielten in einem Fall Daten von Streikteilnehmenden und in zwei anderen Fällen sensible Daten von behinderten bzw. förderbedürftigen Kindern.

Im Rahmen einer Untersuchung von Energia Verde untersuchte die italienische Datenschutzbehörde auch Energia Pulita. Das Unternehmen war von Energia Verde mit der Durchführung seiner Telemarketing-Kampagnen beauftragt worden. Dafür hatte es Datenlisten von Händlern erworben, die es ohne angemessene Verträge engagierte. Während der Untersuchung reagierte der Bußgeldempfänger nur verspätet auf die behördlichen Anfragen.

Die rumänische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte Xiting ROM ein Informationsersuchen geschickt, auf das das Unternehmen nicht angemessen antwortete.

Die rumänische Datenschutzbehörde beantwortete Beschwerden über SC Travel Planner. Das Unternehmen hatte keine angemessenen technischen und organisatorischen Maßnahmen zum Datenschutz getroffen: Im Rahmen einer Verlosung postete es eine Liste mit personenbezogenen Daten von Hotelbesuchern auf Facebook. Zudem ergab die Untersuchung der ANS PDCP, dass SC Travel Planner die Meldung eines Datenschutzverstoßes versäumt hatte.

Die belgische Datenschutzbehörde verhängte ein Bußgeld gegen eine Immobilienagentur. Diese hatte mehrere Datenschutzverstöße begangen und hatte Auflagen erhalten, um diese zu beheben. Das Unternehmen kam den Anweisungen der Behörde jedoch nicht nach.

Die rumänische Datenschutzbehörde untersuchte Dante International nach einer Beschwerde. Der Beschwerdeführer hatte die Löschung seiner Daten bei dem Unternehmen verlangt, erhielt aber weiterhin Werbung. Die Behörde stellte fest, dass Dante International tatsächlich die Löschung mehrfach bestätigt, die Daten jedoch weiterhin verarbeitet hatte.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde eines Mitglieds der FEDERACION DE COLUMBICULTURA DE CASTILLA-LA MANCHA. Im Zuge einer Wahlperiode hatte die Partei eine Zählung aller Wahlberechtigten durchgeführt. Diese wurde später auf ihrer Webseite veröffentlicht - dabei konnte jeder Nutzer, der über den Link verfügte, die personenbezogenen Daten der verzeichneten Mitglieder einsehen.

Das ursprüngliche Bußgeld von 1.000 EUR wurde nach Haftungsanerkennung und freiwilliger Zahlung auf 600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. EDA TV CONSULTING verlangten in ihrer Datenschutzrichtlinie ihrer Webseite Ausweiskopien der Nutzer. Die AEPD stufte dies als unrechtmäßig ein.

Das ursprüngliche Bußgeld von 5.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 3.000 EUR reduziert.

Die belgische Datenschutzbehörde untersuchte einen Data Broker. Dieser hatte auf die Informationsanfrage einer Privatperson, deren Daten er verarbeitet hatte, nicht angemessen ausführlich geantwortet. Die Verarbeitung der Daten an sich stufte die Behörde ebenfalls als unrechtmäßig ein.

Die Gesamtstrafe setzt sich aus einmal 8.000 EUR und zweimal 6.000 EUR zusammen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson, die für LÁSER METALPRINT 3D arbeitete. Das Unternehmen hatte durch einen Auftragsverarbeiter Videokameras anbringen lassen. Der Drittanbieter behauptete, die Angestellten informiert und ihre Zustimmung eingeholt zu haben, hatte dies jedoch nicht nachweislich getan.

Nach Haftungsanerkennung und freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 10.000 EUR auf 6.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Bußgeldempfänger, der für eine App verantwortlich ist, hatte für die Registrierung als verfizierter Nutzer Ausweiskopien von Usern verlangt und diese gespeichert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen SINDICAT CATAC-CTSC, nachdem das Unternehmen nicht auf von der AEPD im Rahmen einer Untersuchung verschickte Kommunikation reagiert hatte.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 600 EUR auf 360 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte festgestellt, dass VODAFONE ESPAÑA eine Ersatz-SIM-Karte an einen betrügerischen Dritten ausgestellt hatte. Dieser hatte damit Zugriff auf das Konto des Beschwerdeführers und löste zwei Überweisungen aus, eine davon über 2.000 EUR.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese meldete, dass CAMDEN TAPAS C.B., das die AEPD bereits vorher untersucht hatte, eine zusätzliche Videokamera außerhalb des Firmengeländes angebracht hatte. Diese, deren Aufnahmen auf Facebook geteilt wurden, erfasste den Straßenraum.

Die rumänische Datenschutzbehörde untersuchte United Business Solutions, nachdem eine Privatperson sich über eine Datenkompromittierung beschwert hatte. Die Untersuchung ergab, dass die vom Unternehmen implementierten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten nicht angemessen waren.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese war in einem Fitnesstudio der SCHOOL FITNESS HOLIDAY & FRANCHISING-Kette Mitglied und hatte dort Kurse besucht. Die Kursleitenden zeichneten diese Kurse mit ihren Mobiltelefonen auf, ohne dass die Teilnehmenden dem zugestimmt hätten. Der Beschwerdeführer hatte sogar mehrmals ausgedrückt, dass er nicht gefilmt werden wollte.

Das ursprüngliche Bußgeld von 36.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 21.600 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Bitte des Untersuchungsgerichts von Sabadell. Der Bußgeldempfänger hatte Ausweisnummern fremder Menschen verwendet, um an Rabattgutscheine zu kommen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. INSTITUTO RAIMON GAJA hatte ihr immer wieder Werbung zugeschickt, auch nachdem sie dies mehrmals abgelehnt hatte.

Das ursprüngliche Bußgeld von 2.000 EUR wurde nach freiwilliger Zahlung auf 1.600 EUR reduziert.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen DENTAL COMERCIO 4, da das Unternehmen wiederholt nicht auf behördliche Kommunikation reagierte.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 5.000 EUR auf 3.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese war bei ESTUDIO ALCAZAR DEL GENIL 2022 angestellt und wurde von dem Unternehmen aufgefordert, die personenbezogenen Daten diverser Mitglieder einer Eigentümergemeinschaft zu erheben. Diese wurden darüber nicht informiert. Der Mitarbeiter weigerte sich und glaubte, deswegen entlassen geworden zu sein.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 20.000 EUR auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. DIBEA ESTETIC hatte im Zuge ihrer Schließung die Gesundheitsdaten der Beschwerdeführerin an eine andere Klinik weitergegeben, obwohl die Person sich ausdrücklich geweigert hatte. Es war zudem nicht mehr möglich, das Unternehmen zu kontaktieren.

Das Information Commissioner's Office untersuchte DPP Law nach einem Cyber-Angriff auf das Unternehmen im Juni 2022. Die Behörde stellte dabei fest, dass die Datenverarbeitung des Unternehmens ohne angemessene technische und organisatorische Maßnahmen stattfand.

Die polnische Datenschutzbehörde untersuchte ein Bestattungsunternehmen in Puławy. Das Unternehmen hatte 2022 zehn Kisten mit internen Akten zu bestatteten Kunden verloren, als diese von einem Truck fielen. Diese enthielten auch Daten von Familienangehörigen der Verstorbenen. Die verantwortlichen Mitarbeitenden bemerkten den Verlust zunächst nicht, da sie die Kisten vor Abfahrt nicht zählten. Vor dem Transport waren die Akten in einem unverschlossenen Raum unter einer Treppe gelagert.

Die Untersuchung ergab, dass das Unternehmen keine regelmäßigen Risiko-Folgenabschätzungen durchführte. Diese hätten nach Ansicht der UODO ein solches Missgeschick verhindern und angemessene Schutzmaßnahmen hervorbringen können.

Nachtrag vom 12.01.2026:

Das Warschauer Verwaltungsgericht bestätigte die Entscheidung.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Office Nova Concept hatte Überwachungskameras installiert, die den Eingangsbereich von deren Privatwohnung erfassten. Auf die Aufforderung, die Kameras so zu drehen, dass dies nicht mehr der Fall war, reagierte das Unternehmen nicht fristgerecht oder angemessen.

Die spanische Datenschutzbehörde reagierte auf mehrere Beschwerden gegen ORANGE BANK, SUCURSAL EN ESPAÑA und ihren Datenverarbeiter MARKTEL GLOBAL SERVICES, bei dem es einen Sicherheitsvorfall gegeben hatte. Die Beschwerden wurden von Privatpersonen eingereicht.

Die Untersuchung ergab, dass ORANGE BANK, die für die Finanzierung von bei ORANGE gekauften Mobiltelefonen verantwortlich war, die Sicherheit der verarbeiteten Daten nicht angemessen gewährleistete.

Die rumänische Datenschutzbehörde untersuchte NEW GAMBLING SOLUTIONS, nachdem das Unternehmen einen Datenschutzverstoß gemeldet hatte. Die Untersuchung ergab, dass die technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten, die NEW GAMBLING SOLUTIONS implementiert hatte, nicht angemessen waren.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Tensa Art Design hatte Werbe-SMS an die Telefonnummer des Beschwerdeführenden geschickt, ohne dass er diesen je zugestimmt hätte. Außerdem kam er einem vom Beschwerdeführer eingereichten Löschungsersuchen nicht angemessen nach.

Das Gesamtbußgeld setzt sich aus zwei Strafen von je 49.774 RON und 24.887 RON zusammen.

Die Luxemburger Datenschutzbehörde untersuchte das Unternehmen A. im Hinblick auf seine Einhaltung der Datenschutzbestimmung bei der Videoüberwachung von Mitarbeitern, Kunden und Lieferanten. Die CNPD stufte diese als unrechtmäßig und nicht im Einklang mit dem Grundsatz der Transparenz ein.

Die spanische Datenschutzbehörde reagierte auf eine ihr von der irischen Datenschutzbehörde übertragene Beschwerde einer Privatperson. Diese hatte an MAKING SOLUTIONS (MY PERFECT WEDDING) eine Informationsanfrage geschickt, auf die das Unternehmen nicht reagierte. Ggü. der irischen Behörde bestätigte sie den Eingang der Anfrage zwar, unternahm jedoch nichts weiter.

Ein Redakteur bei einem Fernsehsender wandte sich an die italienische Datenschutzbehörde. Ein ehemaliger Angestellter eines Callcenters hatte den Sender wegen der Telemarketing-Praktiken von Acea Energia und von dem Unternehmen angestellter Marketing-Agenturen kontaktiert.

Die Marketing-Unternehmen kontaktierten Personen, die vor kurzen ihren Stromanbieter gewechselt hatten. Indem sie nicht tatsächlich existierende Fehler beim Wechsel zitierten, überredeten sie die Kunden zur Aktivierung eines neuen Angebots. Teils waren diese Unternehmen nicht von Acea selbst engagiert worden, sondern von einem vom Bußgeldempfänger beauftragten Drittanbieter. Hierfür verwendeten sie Datenlisten, die sie ohne Zustimmung der darin erfassten Personen untereinander weitergaben.

Die Untersuchungen bei Acea Energia ergaben, dass der Versorger zwar in regelmäßigem Kontakt zu dem von ihnen engagierten Marketing-Dienstleister stand, aber dennoch nichts davon wusste, was dieser und die anderen Agenturen im Netzwerk tatsächlich taten. Dies war auf unzureichende technische und organisatorische Maßnahmen zum Datenschutz zurückzuführen; Acea prüfte den Auftragsverarbeiter nicht regelmäßig und gründlich genug.

Nachdem die Tätigkeiten des Netzwerks ans Licht kamen, beendete der Bußgeldempfänger die Zusammenarbeit und verbesserte seine Schutzmaßnahmen.

Auch gegen die Unternehmen, die Acea Energia beauftragt hatte (Stefanelli Federica, MG Company, Fer-Energy, Fer-Energy Call, Diemme Group di Di Vico Luigi) wurden Bußgelder verhängt.

Ein Redakteur bei einem Fernsehsender wandte sich an die italienische Datenschutzbehörde. Ein ehemaliger Angestellter eines Callcenters hatte den Sender wegen der Telemarketing-Praktiken von Acea Energia und von dem Unternehmen angestellter Marketing-Agenturen kontaktiert.

Die Marketing-Unternehmen kontaktierten Personen, die vor kurzen ihren Stromanbieter gewechselt hatten. Indem sie nicht tatsächlich existierende Fehler beim Wechsel zitierten, überredeten sie die Kunden zur Aktivierung eines neuen Angebots. Teils waren diese Unternehmen nicht von Acea selbst engagiert worden, sondern von einem vom Bußgeldempfänger beauftragten Drittanbieter. Hierfür verwendeten sie Datenlisten, die sie ohne Zustimmung der darin erfassten Personen untereinander weitergaben.

Stefanelli Federica schickte seit Juli 2022 Vertreter für Haustürverkäufe im Namen Acea Energias aus. Auch die anderen Unternehmen des Netzwerks (MG Company, Fer-Energy, Fer-Energy Call, Diemme Group di Di Vico Luigi) und Acea Energia wurden mit Bußgeldern belegt.

Ein Redakteur bei einem Fernsehsender wandte sich an die italienische Datenschutzbehörde. Ein ehemaliger Angestellter eines Callcenters hatte den Sender wegen der Telemarketing-Praktiken von Acea Energia und von dem Unternehmen angestellter Marketing-Agenturen kontaktiert.

Die Marketing-Unternehmen kontaktierten Personen, die vor kurzen ihren Stromanbieter gewechselt hatten. Indem sie nicht tatsächlich existierende Fehler beim Wechsel zitierten, überredeten sie die Kunden zur Aktivierung eines neuen Angebots. Teils waren diese Unternehmen nicht von Acea selbst engagiert worden, sondern von einem vom Bußgeldempfänger beauftragten Drittanbieter. Hierfür verwendeten sie Datenlisten, die sie ohne Zustimmung der darin erfassten Personen untereinander weitergaben.

Das Bußgeld gegen MG Company betont vor allem die Telefonwerbung unter Verwendung ebendieser Listen, aber auch das Auslösen von Veträgen bei Acea Energia, obwohl das Unternehmen nicht als Verarbeitungsverantwortlicher gelistet war. Darüber hinaus versäumte MG Company es, darüber zu informieren, dass es die Diemme Group di Di Vico Luigi als Unterverantwortlichen heranzog.

Gegen Acea Energia und die anderen am Netzwerk beteiligten Unternehmen (Stefanelli Federica, Fer-Energy, Fer-Energy Call, Diemme Group di Di Vico Luigi) wurden ebenfalls Bußgelder erlassen.

Ein Redakteur bei einem Fernsehsender wandte sich an die italienische Datenschutzbehörde. Ein ehemaliger Angestellter eines Callcenters hatte den Sender wegen der Telemarketing-Praktiken von Acea Energia und von dem Unternehmen angestellter Marketing-Agenturen kontaktiert.

Die Marketing-Unternehmen kontaktierten Personen, die vor kurzen ihren Stromanbieter gewechselt hatten. Indem sie nicht tatsächlich existierende Fehler beim Wechsel zitierten, überredeten sie die Kunden zur Aktivierung eines neuen Angebots. Teils waren diese Unternehmen nicht von Acea selbst engagiert worden, sondern von einem vom Bußgeldempfänger beauftragten Drittanbieter. Hierfür verwendeten sie Datenlisten, die sie ohne Zustimmung der darin erfassten Personen untereinander weitergaben.

Fer-Energy erwarb die verwendeten Listen mit personenbezogenen Daten, ohne die enthaltenen Informationen auf Richtigkeit zu prüfen. Auch die Einwilligung der gelisteten Personen prüfte das Unternehmen nicht.

Neben Acea Energia wurden auch die anderen beteiligten Firmen (Stefanelli Federica, MG Company, Fer-Energy Call, Diemme Group di Di Vico Luigi) mit Bußgeldern belegt.

Ein Redakteur bei einem Fernsehsender wandte sich an die italienische Datenschutzbehörde. Ein ehemaliger Angestellter eines Callcenters hatte den Sender wegen der Telemarketing-Praktiken von Acea Energia und von dem Unternehmen angestellter Marketing-Agenturen kontaktiert.

Die Marketing-Unternehmen kontaktierten Personen, die vor kurzen ihren Stromanbieter gewechselt hatten. Indem sie nicht tatsächlich existierende Fehler beim Wechsel zitierten, überredeten sie die Kunden zur Aktivierung eines neuen Angebots. Teils waren diese Unternehmen nicht von Acea selbst engagiert worden, sondern von einem vom Bußgeldempfänger beauftragten Drittanbieter. Hierfür verwendeten sie Datenlisten, die sie ohne Zustimmung der darin erfassten Personen untereinander weitergaben.

Fer-Energy Call erwarb die verwendeten Listen mit personenbezogenen Daten, ohne die enthaltenen Informationen auf Richtigkeit zu prüfen. Auch die Einwilligung der gelisteten Personen prüfte das Unternehmen nicht.

Neben Acea Energia wurden auch die anderen beteiligten Firmen (Stefanelli Federica, MG Company, Fer-Energy, Diemme Group di Di Vico Luigi) mit Bußgeldern belegt.

Ein Redakteur bei einem Fernsehsender wandte sich an die italienische Datenschutzbehörde. Ein ehemaliger Angestellter eines Callcenters hatte den Sender wegen der Telemarketing-Praktiken von Acea Energia und von dem Unternehmen angestellter Marketing-Agenturen kontaktiert.

Die Marketing-Unternehmen kontaktierten Personen, die vor kurzen ihren Stromanbieter gewechselt hatten. Indem sie nicht tatsächlich existierende Fehler beim Wechsel zitierten, überredeten sie die Kunden zur Aktivierung eines neuen Angebots. Teils waren diese Unternehmen nicht von Acea selbst engagiert worden, sondern von einem vom Bußgeldempfänger beauftragten Drittanbieter. Hierfür verwendeten sie Datenlisten, die sie ohne Zustimmung der darin erfassten Personen untereinander weitergaben.

Diemme Group di Di Vico Luigi erwarb die verwendeten Listen mit personenbezogenen Daten, ohne die enthaltenen Informationen auf Richtigkeit zu prüfen. Auch die Einwilligung der gelisteten Personen prüfte das Unternehmen nicht.

Neben Acea Energia wurden auch die anderen beteiligten Firmen (Stefanelli Federica, MG Company, Fer-Energy, Fer-Energy Call) mit Bußgeldern belegt.

Nach zwei Beschwerden über unerwünschte Telefonwerbung versuchte die italienische Datenschutzbehörde, ein Tochterunternehmen der Vogliocasa Holding & Servizi zu kontaktieren. Trotz mehrmaliger Kontaktaufnahme reagierte das Unternehmen nicht.

Die italienische Datenschutzbehörde beantwortete Beschwerden über Vogliocasa Milano. Das Unternehmen hatte zahlreiche Male ungefragte Werbung ausgelöst. Die daraufhin eingeleitete Untersuchung ergab, dass die Immobilienfirma die hierfür verwendeten Daten von Realmaps gekauft hatte.

Der von Vogliocasa Milano engagierte Verarbeiter Undici konnte nicht nachweisen, dass die so kontaktierten Personen der Verwendung ihrer Daten zugestimmt hatten. Offenbar hatte es dies nie überprüft.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Unione Montana Appennino Parma Est hatte am Eingang einer Polizeistelle Videokameras angebracht, hatte die so Aufgenommenen aber nicht mit Hinweisschildern ausreichend über die Datenverarbeitung informiert.

Die italienische Datenschutzbehörde untersuchte die Institution für Schirmherrschaft und Unterstützung der Bürger und der Landwirtschaft (EPACA) nach der Beschwerde einer Privatperson. Ein Mitarbeiter hatte - aus gutwilliger Absicht und Hilfsbereitschaft - auf Daten der Beschwerdeführerin zugegriffen, ohne dafür die Berechtigung zu haben.

Die italienische Datenschutzbehörde beantwortete die Beschwerde mehrere Mitarbeitender der Gemeinde Ponte nelle Alpi. Die Gemeinde hatte eine Liste mit personenbezogenen Daten der Angestellten auf dem online angelegten Schwarzen Brett veröffentlicht.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Beschwerdeführer hatte mit seiner Ehefrau Auskunft über Hypothekendarlehen von BANCO BILBAO VIZCAYA ARGENTARIA erbeten. Dabei unterzeichnete ein Bank-Mitarbeiter ohne ihre Zustimmung für beide Personen Datenschutzerklärungen, ohne dass sie dazu ihre Zustimmung gegeben hätten. Auf Nachfrage erklärte ihm die Bank, dies sei übliche Praxis.

Das ursprüngliche Bußgeld von 200.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 120.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Das Unternehmen hatte eine von ihm eingereichte Beschwerde mit der Beschwerde eines anderen Nutzers zusammengeführt. Dies legte die personenbezogenen Daten des Beschwerdeführers für den anderen, unbefugten, Kunden offen. Die AEPD stellte bei ihrer Untersuchung Mängel bei den technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten fest - wären diese angemessen gewesen, wäre so ein Fehler ihrer Ansicht nach nicht passiert.

Die Gesamtstrafe setzt sich aus je 5.000 EUR wg. Verstoßes gg. Art 5 Abs. 1 lit. f) DSGVO und 3.000 EUR wg. Verstoßes gg. Art. 32 DSGVO zusammen.

Nachtrag vom 11.04.2025:

Ein Antrag auf Wiederaufnahme des Verfahrens wurde von der AEPD abgewiesen.

Die griechische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese war der Meinung, dass die Facharztpraxis für Gynäkologie, bei der sie Patientin war, ihrer Informations-Anfrage nicht angemessen nachgekommen war. Die Behörde stellte fest, dass dies nicht stimmte - die Praxis hatte nur die Daten, die sie der Patientin auch gab. Allerdings hatte die Gynäkologiepraxis diese Informationen rechtswidrig im griechischen elektronischen Gesundheitssystem eingegeben, um weitere Informationen zu bekommen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese war nach einem Einkauf bei All In Digital Marketing mehrfach zu Werbezwecken kontaktiert worden, obwohl sie dem Erhalt solcher Nachrichten nie zugestimmt hatte.

Nachtrag vom 11.04.2025:

Ein Antrag auf Wiederaufnahme des Verfahrens wurde von der AEPD abgelehnt.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte ein Fahrzeug von GRUAS IGNACI abgeholt. Dabei machte ein Mitarbeiter des Unternehmens mit seinem Privathandy ein Foto vom Ausweis der beschwerdeführenden Person. Über diese Datenverarbeitung wurde der Beschwerdeführer nicht informiert. Zudem hatte GRUAS IGNACI ein Videoüberwachungssystem installiert, das nicht beschildert war.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 11.000 EUR auf 6.600 EUR reduziert. Diese Ursprungssumme setzte sich aus 3.000 EUR wg. Verstoßes gg. Art. 5 Abs. 1 lit. c) DSGVO, je 3.000 EUR wg. zweier Verstöße gg. Art 13 DSGVO und 2.000 EUR wg. Verstoßes gg. Art. 32 DSGVO zusammen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Dieses hatte von CREMA GAMES Auskunft über ihre von dem Unternehmen verarbeiteten Daten verlangt. Das Unternehmen machte den Zugriff auf diese jedoch unnötig schwer.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 5.000 EUR auf 4.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte festgestellt, dass Mitarbeitende von VODAFONE ESPAÑA in einer Geschäftsstelle eine Ersatz-SIM-Karte an unbefugte Dritte ausgegeben hatten. So hatten die Kriminellen Zugriff auf die Bankkonten des Beschwerdeführers.

Die spanische Datenschutzbehörde reagierte auf eine Meldung des Ministeriums für Allgemeine Gesundheit und Öffentliche Gesundheit der Generalität Valenciana. Die Behörde war der Ansicht, dass MARINA SALUD gegen seine Pflichten als Auftragsverarbeiter verstieß. Die AEPD bestätigte dies, da MARINA SALUD weitere Unternehmen als Auftragsverarbeiter hinzugezogen hatte, ohne hierfür eine Genehmigung einzuholen.

Der Information and Data Protection Commissioner von Malta untersuchte eine Privatklinik nach der Beschwerde einer Privatperson. Die Klinik hatte die Daten der Beschwerdeführerin nicht korrigiert, was zur potenziellen Offenlegung sensibler Informationen geführt hatte - und diese offenbar verarbeitet, ohne dass sie vorher Kontakt gehabt hatten.

Der IDPC stellte fest, dass der Bußgeldempfänger personenbezogene Daten unrechtmäßig aus dem Wählerregister der Stadt extrahiert hatte. Darüber hinaus hatte die Klinik tatsächlich nicht auf wiederholte Aufforderungen zur Datenkorrektur reagiert. Die verarbeiteten Daten waren nicht durch angemessene Sicherheitsmaßnahmen geschützt. Darüber hinaus hatte die Privatklinik keinen Datenschutzbeauftragten ernannt.

Das Gesamtbußgeld setzt sich aus drei Strafen von je 12.500 EUR, 5.000 EUR und 2.500 EUR zusammen.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Banca Transilvania hatte ihre Daten unrechtmäßig an eine Versicherungsgesellschaft weitergegeben. Die Untersuchung der ANS PDCP deckte zusätzlich auf, dass die Bank die Versicherung angewiesen hatte, diverse Policen zu eröffnen, ohne dass ihre Kunden dem zugestimmt hatten. Hierfür gab sie der Gesellschaft Namen, Telefonnummern, Adressen und weitere personenbezogene Daten weiter.

Die spanische Datenschutzbehörde verhängte eine Geldstrafe, nachdem eine Privatperson sich über eine andere Privatperson beschwerte. Diese hatte eine E-Mail an die Beschwerdeführerin und 49 andere geschickt, ohne die E-Mails per BCC-Funktion zu verbergen. So konnten alle Adressaten alle anderen Empfänger einsehen.

Eine Privatperson beschwerte sich bei der spanischen Datenschutzbehörde über All In Digital Marketing. Sie hatte mehrmals darum gebeten, aus der Werbeverteilerliste des Unternehmens entfernt zu werden. All In Digital Marketing schickte ihr jedoch weiterhin E-Mails.

Nachtrag vom 08.04.2025:

Ein Antrag auf erneute Prüfung wurde von der AEPD abgelehnt.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Ein Vertreter der TERRA, BRASA Y MAR hatte sie ungefragt einer WhatsApp-Gruppe hinzugefügt, um für ein Silvester-/Neujahrsmenü zu werben. Hierbei wurden zusätzlich die Nummern aller hinzugefügten Personen allen anderen Gruppenmitgliedern offengelegt.

Die spanische Datenschutzbehörde reagierte auf die gemeinsame Beschwerde zweier Privatpersonen. Sie waren in einem firmeninternen Belästigungsfall bei SERVICIOS ESPECIALES Beschwerdeführer gewesen. Das Unternehmen verschickte anschließend eine E-Mail an den zuständigen Betriebsrat und diejenigen, die für die Untersuchung als Beschwerdeführer auftraten, der die Identitäten und Firmenpositionen aller Beschwerdeführenden offenlegte.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 200.000 EUR auf 120.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine ihr von der irischen Datenschutzbehörde übertragene Beschwerde einer Privatperson. Diese hatte an MAKING SOLUTIONS (MY PERFECT WEDDING) eine Informationsanfrage geschickt, auf die das Unternehmen nicht reagierte. Ggü. der irischen Behörde bestätigte sie den Eingang der Anfrage zwar, unternahm jedoch nichts weiter.

Die rumänische Datenschutzbehörde reagierte auf die Meldung einer Cyberattacke auf BINBOX GLOBAL SERVICES. Die anschließend angestrengte Untersuchung ergab, dass das Unternehmen keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Maßnahmen implementiert hatte.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte festgestellt, dass ein Mitarbeiter der BANCO BILBAO VIZCAYA ARGENTARIA ohne entsprechende Berechtigung auf seine Bankdaten zugegriffen und diese per E-Mail an mehrere unbefugte Personen geschickt hatte. Hierzu hatte der Angestellte die Informationen auf Datenträger kopiert, ausgedruckt und anschließend eingescannt.

Die AEPD sah die Verantwortung bei der Bank, die einen solchen unbefugten Zugriff durch geeignete technische und organisatorische Maßnahmen hätte verhindern müssen.

Die spanische Datenschutzbehörde erließ eine Geldstrafe gegen TECNOCRÁTICA CENTRO DE DATOS, nachdem das Unternehmen nicht auf eine von ihr an es gerichtete Auskunftsaufforderung reagierte.

Das ursprüngliche Bußgeld von 6.000 EUR wurde nach freiwilliger Zahlung auf 4.800 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese war der Ansicht, dass PROSULTING sie nicht angemessen über die geplante Verarbeitung ihrer Daten informiert hatte. Die AEPD stimmte dem zu und verhängte ein Bußgeld.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte einen Kaufvertrag bei PALANCAMAR abgeschlossen, war jedoch nicht über die Verarbeitung ihrer personenbezogenen Daten informiert worden.

Die französische Wettbewerbsbehörde verhängte ein Bußgeld gegen Apple. Grund war das von dem Tech-Giganten implementierte App Tracking Transparency (ATT)-System, das ihm zwischen April 2021 und Juli 2023 eine Marktvorherrschaft im Bereich der App-Verbreitung für iOS und iPadOS verschaffte. Die Behörde lehnte zunächst schon 2020 einen Antrag auf die Verhängung einstweiliger Maßnahmen ab und strengte stattdessen eine Sachuntersuchung an.

Die Adlc betonte in ihrer Pressemitteilung, dass das mit dem System verfolgte Ziel, personenbezogene Daten besser zu schützen, nicht zu kritisieren sei - wohl aber die Umsetzung der Funktion. Diese, die bei jeder Erstöffnung einer installierten Drittanbieter-App eine separate Einwilligungsaufforderung zur Datenverarbeitung vorsieht, ist nach Ansicht der Behörde nicht verhältnismäßig und schränkt vor allem kleinere App-Publisher, aber auch die Nutzer, in ihrer Handlungsfreiheit ein, da das ATT-System die Anzahl der bei App-Installationen zu öffnenden Fenster vervielfacht. Dies macht die Nutzung von Drittanbieter-Applikationen unnötig umständlich.

Die Geldstrafe, für die die Wettbewerbsbehörde auch die französische Datenschutzbehörde heranzog, hätte nach Aussage der CNIL durch geringfügige Anpassungen am ATT-System verhindert werden können. Diese von der Behörde vorgeschlagenen Änderungen hätten die so entstandenen gedoppelten Aufforderungen verhindert.

Nachdem die Advanced Computer Software Group Limited 2022 Opfer einer Ransomware-Attacke wurde, strengte das Information Commissioner's Office eine Untersuchung gegen das Unternehmen an. Dabei stellte das ICO Mängel bei den zum Datenschutz implementierten technischen und organisatorischen Maßnahmen fest.

Die endgültige Strafsumme wurde im Rahmen einer Einigung festgelegt.

Die italienische Datenschutzbehörde überprüfte die Gemeinde Palma di Montechiaro. Dabei stellte sie fest, dass die Gemeinde offenbar keinen Datenschutzbeauftragten ernannt hatte - und deshalb auch keine Kontaktdaten eines solchen auf ihrer Webseite veröffentlicht hatte.

Die italienische Datenschutzbehörde reagierte auf drei von Privatpersonen eingereichte Beschwerden. Die Istruzione Superiore "P. Galluppi" Tropea verlangte von ihren Mitarbeitenden, sich per Fingerabdruck zu identifizieren. Die GPDP stufte dies als unrechtmäßig ein.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte diverse Werbe-SMS von 02fitness, einem Betreiber mehrerer Fitnessstudios, erhalten. Dieser gehört Powerfit, Soleo und Zero Due Villa.

Die Fitnessstudio-Gruppe hatte dem Beschwerdeführer immer wieder SMS- und WhatsApp-Werbung geschickt, auf seine Bitten um Löschung mit Abfälligkeit reagiert und diese ignoriert - er könne die (sich ständig ändernden) Nummern, von denen die Werbung kam, ja blockieren. Die GPDP stellte zudem fest, dass die Webseite der Studios keine Informationen zur Datenverarbeitung bereitstellte.

Gegen die anderen beiden Besitzer-Unternehmen wurde je ein gleichwertiges Bußgeld erlassen.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte diverse Werbe-SMS von 02fitness, einem Betreiber mehrerer Fitnessstudios, erhalten. Dieser gehört Powerfit, Soleo und Zero Due Villa.

Die Fitnessstudio-Gruppe hatte dem Beschwerdeführer immer wieder SMS- und WhatsApp-Werbung geschickt, auf seine Bitten um Löschung mit Abfälligkeit reagiert und diese ignoriert - er könne die (sich ständig ändernden) Nummern, von denen die Werbung kam, ja blockieren. Die GPDP stellte zudem fest, dass die Webseite der Studios keine Informationen zur Datenverarbeitung bereitstellte.

Gegen die anderen beiden Besitzer-Unternehmen wurde je ein gleichwertiges Bußgeld erlassen.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte diverse Werbe-SMS von 02fitness, einem Betreiber mehrerer Fitnessstudios, erhalten. Dieser gehört Powerfit, Soleo und Zero Due Villa.

Die Fitnessstudio-Gruppe hatte dem Beschwerdeführer immer wieder SMS- und WhatsApp-Werbung geschickt, auf seine Bitten um Löschung mit Abfälligkeit reagiert und diese ignoriert - er könne die (sich ständig ändernden) Nummern, von denen die Werbung kam, ja blockieren. Die GPDP stellte zudem fest, dass die Webseite der Studios keine Informationen zur Datenverarbeitung bereitstellte.

Gegen die anderen beiden Besitzer-Unternehmen wurde je ein gleichwertiges Bußgeld erlassen.

Die südkoreanische Datenschutzbehörde untersuchte das Kreditkartenunternehmen Woori Cards. Dessen Mitarbeiter hatten zwischen 2022 und 2024 immer wieder unrechtmäßig personenbezogene Informationen von Händlern in Datenbanken abgerufen, um herauszufinden, ob diese Karten bei Woori Cards besaßen.

Hatten sie keine, schrieben die Angestellten die entsprechenden Händlernummern auf, fotografierten die so erstellte Liste und teilten sie in einem Team-Chat mit Vertriebsmitarbeitenden. Die Händler hatten dieser Nutzung ihrer Daten nicht zugestimmt.

Die Sächsische Datenschutz- und Transparenzbeauftragte erließ ein Bußgeld gegen einen Mitarbeiter der Polizei Dies ging aus ihrem Tätigkeitsbericht für das Jahr 2024 hervor.

Der Polizeibedienstete war während einer krankheitsbedingten Dienstabwesenheit mehrfach in sein Büro gegangen und hatte über seinen Arbeits-PC personenbezogene Informationen von Familienmitgliedern und Freunden aus den Polizeiakten abgerufen, aber auch von sich selbst. Vor Gericht behauptete er, in seiner Freizeit gegen eine Gruppe gewaltbereiter Fußballfans ermittelt zu haben, doch die DSB und das Gericht stuften dies als unglaubwürdig ein.

Das Bußgeld in unbekannter Höhe ist rechtskräftig.

Die Sächsische Datenschutz- und Transparenzbeauftragte erließ zwei Bußgelder gegen Privatpersonen, die in den Gebäuden, in denen sich ihre Mietwohnungen befanden, Überwachungskameras angebracht hatten. Diese erfassten den Hausflur bzw. den öffentlichen Verkehrsraum vor dem Haus. Die Strafen lagen zwischen 100 EUR und 1.000 EUR.

Die Sächsische Datenschutz- und Transparenzbeauftragte erließ 12 Bußgelder gegen Privatpersonen. Diese hatten unrechtmäßig Dashcams in ihren Fahrzeugen angebracht und betrieben. Die Strafen liegen zwischen 100 EUR und 1.000 EUR.

Die Sächsische Datenschutz- und Transparenzbeauftragte erließ zwei Bußgelder gegen Unternehmen, die nur sehr verspätet auf Informationsanfragen reagiert hatten. In beiden Fällen halfen auch Zwangsmittel nichts. Eines der Unternehmen antwortete erst nach zwei Jahren, vier Monaten und fünf Zwangsgeldern, von denen vier bezahlt wurden. Bei dem anderen brauchte es ein Jahr und vier Gelder, drei davon bezahlt.

Die Sächsische Datenschutz- und Transparenzbeauftragte erließ zwei Bußgelder gegen Unternehmen, die nur sehr verspätet auf Informationsanfragen reagiert hatten. In beiden Fällen halfen auch Zwangsmittel nichts. Eines der Unternehmen antwortete erst nach zwei Jahren, vier Monaten und fünf Zwangsgeldern, von denen vier bezahlt wurden. Bei dem anderen brauchte es ein Jahr und vier Gelder, drei davon bezahlt.

Die Sächsische Datenschutz- und Transparenzbeauftragte verhängte zwei Bußgelder von je 20.000 EUR und 30.000 EUR gg. Unternehmen wegen unrechtmäßiger Videoüberwachung. Eins der Unternehmen, in der Hotelgastronomie tätig, überwachte den öffentlichen Verkehrsraum sowie eine zu ihm gehörende Baustelle, einen Gästeparkplatz und ein Nachbargrundstück mit Kameras, die auch Tonaufnahmen machten. Das zweite Unternehmen hatte Kameras auf seiner Baustelle installiert und betrieb diese auch tagsüber, obwohl sie angeblich zu Diebstahlschutzzwecken angebracht worden waren. In diesem Fall wurde auch gegen den Grundstücksbesitzer ein Bußgeld in unbekannter Höhe ausgesprochen.

Die rumänische Datenschutzbehörde untersuchte NTT DATA ROMÂNIA nach einer Meldung über einen Hackerangriff. Die Behörde stellte dabei fest, dass das Unternehmen keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten getroffen hatte.

Zusätzlich sprach die ANS PDCP eine Verwarnung wg. Verstoßes gg. Art 33 Abs. 1 DSGVO aus.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte erfahren, dass GEO ALTERNATIVA ihre personenbezogenen Daten nach einigem Hin und Her um eine Rechnungszahlung in eine Schuldnerdatenbank einspeisen wollte, in der Nichtzahler verzeichnet sind.

Die Behörde stufte dies als unrechtmäßig ein, da die Beträge, die die beschwerdeführende Person lt. den Einträgen in den Firmensystemen angeblich schuldete, nicht dem tatsächlichen Betrag entsprachen und somit falsch waren. Zudem sah die AEPD keine Notwendigkeit für die Datenweitergabe.

Nachtrag vom 01.04.2025:

Ein von GEO ALTERNATIVA eingereichter Antrag auf erneute Prüfung wurde von der AEPD abgewiesen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte von TELEFÓNICA SERVICIOS INTEGRALES DE DISTRIBUCIÓN (ZELERIS) ein Paket mit einem Handy darin geliefert bekommen. Der Zusteller gab das Paket, das ausschließlich dem Empfänger ausgehändigt werden sollte, jedoch einer anderen Person im selben Wohnhaus. So hatte diese Zugriff auf die Daten des Bestellers.

Die kroatische Datenschutzbehörde untersuchte ein Unternehmen, das ohne Rechtsgrundlage auf das Fahrzeugregister des Innenministeriums zugriff, um dort Daten von Fahrzeughaltern zu erheben. Zweck der unerlaubten Datenverarbeitung, für die der Bußgeldempfänger eine ihm zu anderen Zwecken in einer anderen Stadt erteilte Erlaubnis missbrauchte, war es, für Standorte bei Einzelhandelsgeschäften und einem Krankenhaus Parkgebühren von den Fahrzeughaltern zu verlangen.

Die Untersuchung ergab zudem, dass es hierfür keinen Vertrag zwischen dem Krankenhaus und dem Unternehmen gab. Darüber hinaus waren die implementierten technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten mangelhaft.

Die rumänische Datenschutzbehörde untersuchte ein Unternehmen, nachdem sie mehrere Beschwerden erreichten. Der Bußgeldempfänger veröffentlichte Daten zu Handwerkern im Netz, die er teils aus öffentlich abrufbaren Quellen erhob - aber zum Teil auch aus Informationen zu Finanztransaktionen, für deren Erhebung er einen Vertrag hatte.

Diese Erhebung, sowie die Veröffentlichung und Speicherung der Daten, stufte die Behörde als rechtswidrig ein. Betroffene wurden zudem nicht ausreichend über die Datenverarbeitung informiert.

Nach einem Sicherheitsvorfall untersuchte die kroatische Datenschutzbehörde das KBC Zagreb, ein Krankenhaus. Dabei stellte sie Mängel bei den bestehenden technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten fest.

Die kroatische Datenschutzbehörde verhängte ein Bußgeld gegen das Krankenhaus Zadar, da dies für das Ausstellen von Parkplatzgebühren ein Unternehmen engagiert hatte, das die dafür herangezogenen Informationen aus einer Datenbank des Innenministeriums abrief. Zudem wurden Parkende nicht über die Datenerhebung informiert. Es gab keine angemessenen Maßnahmen zum Datenschutz - und auch eine Vereinbarung über die Datenverarbeitung mit dem herangezogenen Unternehmen fehlte.

Die kroatische Datenschutzbehörde untersuchte das Krankenhaus des Bezirks Vinkovci. Dabei stellte sie Mängel bei den implementierten organisatorischen Maßnahmen zum Schutz der verarbeiteten Informationen fest.

Die rumänische Datenschutzbehörde untersuchte Bucharest Down Town Hotel. Das Unternehmen hatte auf eine Auskunftsanfrage nicht nachweisbar fristgerecht reagiert.

Die rumänische Datenschutzbehörde untersuchte ONE UNITED PROPERTIES. Das Unternehmen hatte dem Beschwerdeführer, einer Privatperson, wiederholt Werbung zugesandt. Dieser hatte nie die Einwilligung dazu erteilt.

Die polnische Datenschutzbehörde untersuchte den Oberbefehlshaber der Polizei. Dieser hatte die personenbezogenen Daten einer Frau im Rahmen einer Pressekonferenz preisgegeben. Diese reichte daraufhin Beschwerde ein. Die UODO gab der Beschwerdeführerin recht, stufte die Datenveröffentlichung als grundlos und unrechtmäßig ein, und sprach ein Bußgeld aus.

Die spanische Datenschutzbehörde reagierte auf eine Meldung eines Sicherheitsvorfalls bei einem Drittverarbeiter. Als Datenverantwortlicher wurde die FUNDACIÓN SOCIEDAD CIENTÍFICA DE ONCOLOGÍA MÉDICA herangezogen, bei der die Datenverarbeitung ohne entsprechende Garantie des Schutzes vor unbefugten Zugriffen erfolgte.

Das ursprüngliche Bußgeld von 70.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 42.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte Werbung von BeeDIGITAL AI erhalten, obwohl ihre Daten in der spanischen Werbeausschlussliste hinterlegt sind. Es gab keine internen Garantien dafür, dass personenbezogene Daten nicht unrechtmäßig verarbeitet wurden.

Das ursprüngliche Bußgeld von 150.000 EUR wurde nach freiwilliger Zahlung auf 120.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese hatte mehrere Konten bei der Caixabank, von denen sie sich eins mit einer Miteigentümerin teilte. Bei einem anderen war ihre Mutter Bevollmächtigte. Rief nun die Person, die Miteigentümer zweier der Konten war, "CaixaBankNow" auf und sah ihre Kontostände ein, konnte sie auch auf das dritte Konto zugreifen, zu dem sie keine Verbindung hatte.

Die Untersuchung der AEPD ergab, dass es seitens der Bank keine datenschutzfreundliche Technikgestaltung gegeben hatte, was zu der in der Beschwerde beschriebenen Offenlegung führte. Die Datenverarbeitung erfolgte somit nicht unter Gewährleistung eines angemessenen Sicherheitsniveaus.

Nachtrag vom 15.04.2025:

Ein Antrag auf erneute Prüfung wurde von der AEPD abgelehnt.

Die polnische Datenschutzbehörde untersuchte den Minister für Digitalisierung. Dieser hatte im Zuge der Wahlvorbereitung im Jahr 2020 personenbezogene Daten, darunter PESEL-Nummern, Namen, ständige oder vorübergehende Wohnadressen sowie gemeldete Auslandsreisen aller als polnische Staatsbürger registrierter Erwachsener an das Unternehmen Poczta Polska weitergegeben. Das Unternehmen war vom polnischen Premier mit der Abwicklung dieser Vorbereitung beauftragt worden.

Nach dieser Weitergabe gingen 178 Beschwerden von Privatpersonen über Unregelmäßigkeiten bei der Verarbeitung bei der UODO ein. Zudem reagierten zwei Gerichte, die die Datenverarbeitung als rechtswidrig einstuften. Die Datenschutzbehörde bestätigte dies.

Gegen Poczta Polska wurde ebenfalls ein Bußgeld ausgesprochen.

Die polnische Datenschutzbehörde untersuchte das Unternehmen Poczta Polska. Der Minister für Digitalisierung hatte im Zuge der Wahlvorbereitung im Jahr 2020 personenbezogene Daten, darunter PESEL-Nummern, Namen, ständige oder vorübergehende Wohnadressen sowie gemeldete Auslandsreisen aller als polnische Staatsbürger registrierter Erwachsener an das Unternehmen weitergegeben. Das Unternehmen war vom polnischen Premier mit der Abwicklung dieser Vorbereitung beauftragt worden.

Nach dieser Weitergabe gingen 178 Beschwerden von Privatpersonen über Unregelmäßigkeiten bei der Verarbeitung bei der UODO ein. Zudem reagierten zwei Gerichte, die die Datenverarbeitung als rechtswidrig einstuften. Die Datenschutzbehörde bestätigte dies.

Gegen den Minister für Digitalisierung wurde ebenfalls ein Bußgeld ausgesprochen.

Die norwegische Datenschutzbehörde untersuchte Telenor ASA in Kooperation mit den Behörden in Schweden und Dänemark. Das Unternehmen hatte keine angemessenen organisatorischen Maßnahmen und Richtlinien für den von ihm ernannten Datenschutzbeauftragten implementiert.

Nach einem Hacker-Angriff im Juni 2024 untersuchte die koreanische Datenschutzbehörde den Reiseveranstalter Modetour Network (teils Modutour Network geschrieben). Die Untersuchung ergab, dass die Maßnahmen zum Schutz verarbeiteter Daten, die das Unternehmen ergriffen hatte, signifikante Mängel aufwiesen. Darüber hinaus hatte Modetour Daten von Kunden gespeichert, die bis 2013 zurückreichten - weit über den gesetzlich vorgesehenen Zeitraum hinaus.

Die Gesamtstrafe setzt sich aus einem Bußgeld von 747 Mio. KRW und einem Strafzuschlag von 10,2 Mio. KRW zusammen.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Die Gemeinde Roccaraso, für die er arbeitete, hatte an ihrem Schwarzen Brett einen Beschluss veröffentlicht, der personenbezogene Informationen zu ihm und seinem Arbeitsverhältnis enthielt.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte auf dem YouTube-Kanal des Istituto Alberghiero Mediterraneo di Pulsano (TA) ein Video entdeckt, das unter anderem auch die Schulklasse ihres minderjährigen Kinds zeigte. Die beschwerdeführende Person als Erziehungsberechtigter hatte weder der Aufnahme noch der Veröffentlichung zugestimmt.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Regionalagentur für Entwicklung und Dienstleistungen in der Landwirtschaft hatte sie und andere Angestellte nach dem Zufallsprinzip immer wieder gezielt geortet, um festzustellen, ob die Adresse, von der aus sie im Rahmen einer Smart Working-Vereinbarung arbeiteten, mit der in dieser Abmachung angegebenen Anschrift übereinstimmte. Hierfür kontaktierten sie die Mitarbeitenden telefonisch, ließen sie sich über eine Anwendung einstempeln und verlangten von ihnen eine E-Mail mit der genauen aktuellen Adresse. Dafür gab es nach Ansicht der GPDP keine Rechtsgrundlage. Zudem wurden Angestellte nicht angemessen informiert.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte einen Telekom-Vertrag mit Vodafone abschließen wollen, musste den Vorgang jedoch aufgrund technischer Probleme abbrechen. Am folgenden Tag kontaktierte ihn ein Angestellter von G@S Telecomunicazioni di Losito Lucia (G@S), der sich als Vodafone-Mitarbeitender ausgab, um den "Vertrag" abzuschließen. Der Beschwerdeführer kontaktierte Vodafone, das diesen und zwei weitere ohne sein Wissen abgeschlossene Aufträge löschte.

Die Untersuchung der GPDP ergab, dass G@S Telecomunicazioni di Losito Lucia (G@S) zwar einen Vertrag mit Vodafone hatte, dieser das Unternehmen jedoch nicht zum Telemarketing berechtigte.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Der Beschwerdeführer hatte immer wieder Werbung von Interflora Italia erhalten, ohne dass es eine Widerrufsmöglichkeit gegeben hatte. Zudem machte das Unternehmen die Angabe der Telefonnummer zur Bedingung für Bestellungen auf seiner Webseite und erklärte nicht, dass Käufer damit auch dem Erhalt von Webenachrichten zustimmten.

Die italienische Datenschutzbehörde beantwortete Beschwerden über IV Casa Firenze Sud di Benedetti Francesco & CSas. Das Unternehmen hatte ungefragte Werbung ausgelöst. Die daraufhin eingeleitete Untersuchung ergab, dass die Immobilienfirma die hierfür verwendeten Daten von Realmaps gekauft hatte.

IV Casa behauptete zunächst, nie solche Telefonwerbung veranlasst zu haben, doch die GPDP stellte fest, dass dies nicht stimmte. Das Unternehmen hatte die von Realmaps erhaltenen Daten nicht vor der Nutzung überprüft, und Betroffene wurden nicht über die Verarbeitung informiert. Auch auf Anfragen bezüglich der Verarbeitung reagierte IV Casa nicht angemessen.

Die italienische Datenschutzbehörde beantwortete Beschwerden über Immosanremo. Das Unternehmen hatte ungefragte Werbung ausgelöst. Die daraufhin eingeleitete Untersuchung ergab, dass die Immobilienfirma die hierfür verwendeten Daten von Realmaps gekauft hatte.

Immosanremo hatte die von Realmaps erhaltenen Daten nicht vor der Nutzung überprüft, und Betroffene wurden nicht über die Verarbeitung informiert. Auch auf Anfragen bezüglich der Verarbeitung reagierte das Unternehmen nicht angemessen.

Die rumänische Datenschutzbehörde reagierte auf eine Meldung über einen Cyberangriff seitens Automobilus International. Die daraufhin eingeleitete Untersuchung ergab, dass das Unternehmen keine geeigneten technischen und organisatorischen Maßnahmen zum Schutz verarbeiteter Daten ergriffen hatte.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Nachdem diese eine Beschwerde gegen den Stadtradt einreichte, veröffentlichte die Person, gegen die das Bußgeld ausgesprochen wurde, deren personenbezogene Daten auf Facebook.

Das ursprüngliche Bußgeld von 500 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 300 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. SNOW INK SIERRA NEVADA betrieb an ihrem Gebäude ein Videoüberwachungssystem, das auch den öffentlichen Raum erfasste.

Die rumänische Datenschutzbehörde untersuchte Noy Business Tranzactions nach einer Beschwerde. Die beschwerdeführende Privatperson hatte eine Auskunftsanfrage an den Hotelbetreiber geschickt und um Kopien von von ihr gemachten Videoaufnahmen gebeten. Noy Business Tranzactions reagierte weder rechtzeitig noch angemessen.

Die spanische Datenschutzbehörde reagierte auf eine Meldung eines Datenschutzverstoßes. Hacker waren in die Systeme der GRUPO ESPAÑOL DE TRABAJO EN ENFERMEDAD DE CHRON Y COLITIS ULCEROSA (GETECCU) und eines Auftragsverarbeiters eingedrungen und hatten auf personenbezogene Daten zugegriffen.

Die AEPD stellte in ihrer Untersuchung fest, dass der engagierte Vertragsverarbeiter keine hinreichenden Garantien für angemessene Datenschutzmaßnahmen bot.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das Gesamtbußgeld, bestehend aus zwei Strafen von je 10.000 EUR und 7.000 EUR, von 17.000 EUR auf 10.200 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Bei dem Besuch einer von MAXPOWER FITNESS NUTRITION betriebenen Webseite war diese mit einem Cookie-Banner konfrontiert worden, das nicht alle relevanten Informationen enthielt. Zudem stellte die AEPD fest, dass die Seite Cookies unabhängig davon auf Endgeräten speicherte, ob der Besucher zugestimmt hatte.

Das ursprüngliche Bußgeld von 2.000 EUR wurde nach freiwilliger Zahlung auf 1.600 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. Bei einer Versammlung sammelte die SINDICATO DE LA ADMON. PÚBLICA DE LA CGT EN JEREZ Y COSTA NOROESTE DE CÁDIZ nach einem Beschluss Unterschriften in einem Formular, das eine Entscheidung bestätigte. Unterzeichnende gaben hierfür personenbezogene Daten an. Das Dokument enthielt jedoch keine Informationen über geplante Verarbeitungstätigkeiten. Zudem nahm eine Mitarbeiterin das Dokument, auf dem die Daten deutlich lesbar waren, mit nach Hause.

Das ursprüngliche Bußgeld von 2.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 1.200 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. SOCIEDAD CONJUNTA PARA LA EMISIÓN Y GESTIÓN DE MEDIOS DE PAGO EFC (Iberia Cards) hatte nach Beendigung eines Vertragsverhältnisses und bestätigter Datenlöschung weiterhin Daten des Beschwerdeführers verarbeitet.

Das ursprüngliche Bußgeld von 20.000 EUR wurde nach freiwilliger Zahlung auf 16.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete eine Beschwerde. Als die beschwerdeführende Person bei RESIDENTIAL QUALITY ENJOY eine Übernachtung buchte, verlangte der Betreiber per WhatsApp Ausweiskopien von allen Gästen, darunter auch Minderjährigen. Die AEPD stellte fest, dass diese Verarbeitung nicht auf eine Zweckgrundlage aufbaute.

Das ursprüngliche Bußgeld von 2.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 1.200 EUR reduziert.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg erließ ein Bußgeld gegen einen Polizeibeamten. Dieser hatte die Melderegister-Daten einer Frau abgerufen, bei der er eine Verkehrskontrolle durchgeführt hatte. Sein Ziel war, die Person anhand ihres gespeicherten Lichtbilds nach einer persönlichen "Schönheitsskala" zu beurteilen.

Die rumänische Datenschutzbehörde untersuchte die SHOPBAG GROUP ONLINE nach der Beschwerde einer Privatperson. Das Unternehmen hatte nicht auf eine Löschungsanfrage reagiert und beantwortete auch behördliche Aufforderungen nicht. Grund hierfür war, dass es keinen Datenschutzbeauftragten gab.

Die polnische Datenschutzbehörde untersuchte das Polskie Radio Szczecin im Hinblick auf die von ihm implementierten technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten. Dabei stellte die UODO fest, dass die getroffenen Maßnahmen nicht angemessen waren. Zusätzlich zu der Verwaltungsstrafe wies die Behörde das Unternehmen an, diese anzupassen.

Die Behörde stellte weitere Verstöße fest, so z.B. das Nichteinhalten interner Richtlinien und das Fehlen einer Risikoanalyse. Diese waren jedoch nicht Gegenstand der Geldstrafe.

Die rumänische Datenschutzbehörde reagierte auf eine Meldung über einen Datenschutzverstoß und untersuchte WEBRASOFT. Diese Überprüfung ergab, dasss das Unternehmen keine regelmäßigen Tests und Auswertungen seiner technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten durchführte. Die dadurch entstandenen Mängel bei den Maßnahmen erlaubten es Hackern, unbefugt auf verarbeitete Informationen zuzugreifen.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. SARARTE hatte deren personenbezogene Daten, unter anderem die Telefonnummer, an 18 Dritte weitergegeben. Hierfür holte das Unternehmen keine Einwilligung vom Besitzer der Nummer ein. Stattdessen nahm SARARTE ungefragt an, dass es sich um die Kontaktnummer handelte, die die Privatperson beruflich nutzen wollte.

Das ursprüngliche Bußgeld von 6.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 3.600 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJASIETE, CAJA RURAL SOCIEDAD COOPERATIVA DE CREDITO nach einem Einbruch in die Unternehmenssysteme eines Datenverarbeiters. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung wurde das Gesamtbußgeld von 55.000 EUR auf 44.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE BURGOS, FUENTEPELAYO, SEGOVIA Y CASTELLDANS nach einem Einbruch in die Unternehmenssysteme eines Datenverarbeiters. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung wurde das Gesamtbußgeld von 15.000 EUR auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Die Hausverwaltung, ENCAS ADMINISTRACIONS, hatte an eine an alle Eigentümer versendete E-Mail eine Kopie einer Beschwerde angehängt, die personenbezogene Informationen des Beschwerdeführers enthielt.

Das ursprüngliche Bußgeld von 500 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 300 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CLUB RÁPIDO DE BOUZAS, nachdem ein Vater sich bei der örtlichen Polizei beschwerte. Der Club hatte einen Karton mit Akten, die personenbezogene Daten der dort angemeldeten Minderjährigen enthielten, am Straßenrand entsorgt, ohne die Daten vorher unkenntlich zu machen.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 1.000 EUR auf 600 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte das ASILO DE ANCIANOS SANTO DOMINGO Y SANTA ELOISA-Wohnheim nach der Beschwerde einer Privatperson. Das Heim verschickte Rund-E-Mails an Angehörige der Bewohner. Hierbei verwendete die Einrichtung jedoch lediglich die CC- und nicht die BCC (Blindkopie)-Funktion, sodass alle Namen und E-Mail-Adressen der Empfänger allen anderen Adressaten offengelegt wurden. Auch nach mehrmaliger Informierung durch betroffene Empfänger passierte dies weiterhin.

Das ursprüngliche Bußgeld von 1.000 EUR, zusammengesetzt aus zwei Strafen von je 600 EUR und 400 EUR, wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 600 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Diese hatte ihr Kind im CLUB ESPORTIU VILA OLÍMPICA angemeldet und hatte während der Anmeldung die Aufnahme von Fotos ihres Kinds abgelehnt. Daraufhin drängte der Club die Eltern, doch zuzustimmen, da es nicht möglich sei, zu gewährleisten, dass bestimmte Kinder nie auf Fotos zu sehen seien.

Das ursprüngliche Bußgeld von 1.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 600 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte DISEÑOS HERMANAS ORTIZ CAÑÓN (HO), nachdem sie die Beschwerde einer Privatperson erreichte. Bei dem Unternehmen hatte es ein Datenleck gegeben, das zur Offenlegung der Daten diverser Personen führte. Das Leck kam während eines Webseiten-Wechsels zustande und geht auf einen Auftragsverarbeiter zurück, der die neue Seite erstellte. Zudem hatte das Unternehmen die AEPD nicht fristgerecht über den Vorfall informiert.

Nach freiwilliger Zahlung und Haftungsanerkennung wurde das ursprüngliche Bußgeld von 31.000 EUR auf 18.600 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf mehrere Beschwerden über IBERMUTUA, MUTUA COLABORADORA CON LA SEGURIDAD SOCIAL NUM.274 (Ibermutua). Ein Software-Fehler hatte dazu geführt, dass personenbezogene Daten mehrerer Menschen versehentlich an Drittunternehmen weitergegeben wurden. Die Dateien waren dabei an eine Rund-Mail angehängt worden, die über den internen Krankenstand informierte.

Das ursprüngliche Bußgeld von 1.000.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 600.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. Bei einer Versammlung sammelte die CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSI- CSIF nach einem Beschluss Unterschriften in einem Formular, das eine Entscheidung bestätigte. Unterzeichnende gaben hierfür personenbezogene Daten an. Das Dokument enthielt jedoch keine Informationen über geplante Verarbeitungstätigkeiten. Zudem nahm eine Mitarbeiterin das Dokument, auf dem die Daten deutlich lesbar waren, mit nach Hause.

Das ursprüngliche Bußgeld von 4.000 EUR wurde nach Haftungsanerkennung und freiwilliger Zahlung auf 2.400 EUR reduziert.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Arbeitgeber des Beschwerdeführers, ASYMECO, hatte Kundennachrichten oder deren personenbezogene Daten per WhatsApp an seine private Handynummer verschickt. Dies geschah auch, nachdem der Angestellte ASYMECO mehrfach anwies, dies zu unterlassen.

Nachtrag vom 11.03.2025:

Ein Antrag auf erneute Prüfung des Verfahrens wurde abgelehnt.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Diese beschwerte sich über ihren Arbeitgeber, der auf dem Betriebsgelände ein Überwachungskamerasystem betrieb. Diese war nicht angemessen beschildert, und die Angestellten wurden nicht darüber informiert.

Das Gesamtbußgeld von 5.000 EUR, zusammengesetzt aus zwei Strafen von je 4.000 EUR und 1.000 EUR, wurde nach rechtzeitiger freiwilliger Zahlung auf 3.000 EUR reduziert.

Die rumänische Datenschutzbehörde reagierte auf eine Meldung über einen Datenschutzverstoß. Die darauffolgende Untersuchung bei BEKO ROMÂNIA ergab, dass das Unternehmen keine angemessenen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten implementiert hatte. Vorhandene Maßnahmen wurden darüber hinaus nicht regelmäßig getestet.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE ZAMORA nach einem Einbruch in die Unternehmenssysteme eines Datenverarbeiters. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung wurde das Gesamtbußgeld von 15.000 EUR auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE TERUEL nach einem Einbruch in die Unternehmenssysteme eines Datenverarbeiters. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung wurde das Gesamtbußgeld von 15.000 EUR auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE BENICARLO nach einem Einbruch in die Unternehmenssysteme eines Datenverarbeiters. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung wurde das Gesamtbußgeld von 10.000 EUR auf 8.000 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Eine andere Privatperson, gegen die die AEPD das Bußgeld erließ, hatte auf ihren Telegram-Kanälen Fotos des Beschwerdeführers sowie dessen Namen, seine Telefonnummer und seines Amateurfunk-Rufzeichens veröffentlicht und die Kanal-Follower aufgefordert, die Nummer anzurufen. Die Behörde stufte dies als unrechtmäßig ein.

Die spanische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Registrierte man sich neu auf der Webseite von COMERCIAL GIRONA DE LLIBRES, bekam man eine Bestätigungs-E-Mail mit Nutzernamen und Passwort im Klartext zugesandt. Maßnahmen zum Schutz verarbeiteter Daten waren somit mangelhaft.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 20.000 EUR auf 16.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte EDA TV CONSULTING. Bei einem Besuch der Unternehmenswebseite speicherte diese noch vor Interaktion mit dem Cookie-Banner Google Analytics-Cookies. Lehnte ein Nutzer die Speicherung vollständig ab, hinterlegte die Seite diese Cookies dennoch weiter.

Das Bußgeld von 2.000 EUR wurde nach freiwilliger Zahlung und Haftungsanerkennung auf 1.200 EUR reduziert.

Die spanische Datenschutzbehörde reagierte auf eine Beschwerde. Die LIGA NACIONAL DE FÚTBOL PROFESIONAL (LNFP) hatte für den Zugang zu Teilen einiger Stadien auf biometrischen Daten basierende Kontrollmaßnahmen eingeführt. Die Untersuchung der AEPD ergab, dass die LNFP keine Datenschutz-Folgeabschätzung durchgeführt hatte, bevor sie die Kontrollen in Betrieb nahm. Die Liga muss die Gesichtserkennung nun abstellen, bis sie den Abschluss einer Folgeabschätzung nachweisen kann.

Die italienische Datenschutzbehörde beantwortete mehrere Beschwerden einer Privatperson. Diese hatte wiederholt unerwünschte Werbeanrufe von Immobiliare 1923 erhalten, während derer das Unternehmen behauptete, ihre Kontaktdaten von einem anderen Unternehmen erhalten zu haben. Auch nach ausdrücklicher Ablehnung solcher Telefonate gingen diese weiter bei ihr ein.

Die italienische Datenschutzbehörde beantwortete eine Reihe von Beschwerden über Energia Pulita. Die Beschwerdeführenden hatten unerwünschte Telefonwerbung seitens des Unternehmens bzw. seiner Auftragsverarbeiter erhalten. Die Untersuchung ergab, dass Energia Pulita seinen Pflichten zur Schulung und Kontrolle der mit der Verarbeitung betrauten Mitarbeitenden nicht nachgekommen war.

Zusätzlich zu dem Bußgeld untersagte die GPDP dem Konzern die weitere Datenverarbeitung.

Nachdem sie aufgrund ihres Impfstatus von der Arbeit suspendiert worden waren, beschwerten sich mehrere Angestellte des Istituto Zooprofilattico Sperimentale del Lazio e della Toscana "M. Aleandri" bei der italienischen Datenschutzbehörde. Das Institut hatte eine Mitteilung verschickt, die die personenbezogenen Daten der suspendierten Mitarbeitenden enthielt.

Die italienische Datenschutzbehörde untersuchte die Beschwerde einer Privatperson. Die Gemeinde Sciacca hatte einen Bericht, den die städtische Polizei über ihn erstellt hatte und der unter anderem Gesundheitsdaten enthielt, dem Oberbürgermeister und dem Stadtrat zugesandt sowie ihn in der örtlichen Polizeistelle ausgehängt hatte. Dies stufte die GPDP als unrechtmäßig ein.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Nachdem der Beschwerdeführer beim italienischen Innenministerium online einen Termin gebucht hatte, erhielt er eine Zusammenfassung per E-Mail, die auch erklärte, dass aufgrund eines Fehlers seine Daten an die Adresse einer dritten Person verschickt worden waren, die das System automatisch mit seinem Profil verknüpft hatte.

Die GPDP stufte die Praktik der Behörde, eine Registrierung zur Terminvereinbarung zu verlangen, als unverhältnismäßig ein. Die Datenweitergabe war unrechtmäßig. Darüber hinaus ergab die Untersuchung, dass das Ministerium verarbeitete Daten weitaus länger speicherte, als die GPDP als verhältnismäßig einstuft.

Die rumänische Datenschutzbehörde verhängte ein Bußgeld gegen Velvet Medical, nachdem sich eine Privatperson beschwert hatte. Das Unternehmen hatte nicht auf eine Auskunftsforderung reagiert.

Die rumänische Datenschutzbehörde untersuchte Medstar nach der Beschwerde einer Privatperson. Die Klinik hatte ihre Daten sowie die einer anderen Person an unberechtigte Dritte weitergegeben. Die ANS PDCP stellte fest, dass die implementierten technischen und organisatorischen Maßnahmen mangelhaft waren.

Zusätzlich zum Bußgeld wurde das Unternehmen wg. Verstößen gg. Art. 33 DSGVO und Art. 34 DSGVO abgemahnt.

Die italienische Datenschutzbehörde untersuchte eine regionale Steuerbehörde nach der Beschwerde einer Privatperson. Die Steuerbehörde hatte Dokumente an ehemalige Mitbewohner des Beschwerdeführers verschickt, die dessen personenbezogene Daten enthielten. Zu diesen hatte er jedoch keine Rechtsbeziehung mehr, was die Datenübermittlung unrechtmäßig machte.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen PUBLICACIONES Y EDICIONES BARACA 208. Das Unternehmen hatte eine Nachricht verbreitet, die personenbezogene Daten enthielt. Dies war unrechtmäßig.

Das Gesamtbußgeld von 10.000 EUR, das sich aus zwei Strafen von je 5.000 EUR zusammensetzt, wurde nach freiwilliger Zahlung und Anerkennung der Verantwortung auf 6.000 EUR reduziert.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen AUTOMOCIÓN 1972. Das Unternehmen hatte ursprünglich ein Auskunftsersuchen einer Privatperson ignoriert. Nachdem die AEPD es mehrfach aufforderte, seiner Pflicht nachzukommen und dies an die Behörde zu melden, reagierte AUTOMOCIÓN 1972 nicht.

Die spanische Datenschutzbehörde untersuchte ENERGY WINNER nach einer Meldung über einen Cyber-Angriff. Im Zuge dieser Untersuchungen schickte die AEPD sieben Auskunftsersuchen an ENERGY WINNER, auf die das Unternehmen nicht reagierte.

Die spanische Datenschutzbehörde verhängte ein Bußgeld gegen CRIDOLMA BARCELONA. Dies hatte nach einem Verfahren wegen Nichreaktion auf das Auskunftsersuchen einer Privatperson nicht auf drei verschiedene Aufforderungen der AEPD reagiert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE SORIA nach einem Einbruch in die Unternehmenssysteme eines Datenverarbeiters. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung wurde das Gesamtbußgeld von 15.000 EUR auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte eine Meldung über einen Sicherheitsvorfall bei einem Datenverarbeiter für CAJA RURAL DE EXTREMADURA. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung reduzierte sich das Gesamtbußgeld von 110.000 EUR auf 88.000 EUR.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DEL SUR nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 20.000 EUR wurde nach freiwilliger Zahlung auf 16.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte GRUPO CAJA RURAL: CAJA RURAL DE NAVARRA nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 14.845 EUR wurde nach freiwilliger Zahlung auf 11.876 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE ASTURIAS nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung wurde das ursprüngliche Bußgeld von 15.000 EUR auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL CENTRAL nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 90.000 EUR wurde nach freiwilliger Zahlung auf 72.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAIXA POPULAR - CAIXA RURAL SOC. COOP. DE CRÉDITO V nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 35.000 EUR wurde nach freiwilliger Zahlung auf 28.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL REGIONAL SAN AGUSTÍN nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 15.000 EUR wurde nach freiwilliger Zahlung auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL GRANADA nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 15.000 EUR wurde nach freiwilliger Zahlung auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE BAENA NTRA. SRA. DE GUADALUPE nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 10.000 EUR wurde nach freiwilliger Zahlung auf 8.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAIXA RURAL D'ALGEMESÍ nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 15.000 EUR wurde nach freiwilliger Zahlung auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE ONDA nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 15.000 EUR wurde nach freiwilliger Zahlung auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAIXA RURAL LA VALL SAN ISIDRO nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 15.000 EUR wurde nach freiwilliger Zahlung auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte GRUPO CAJA RURAL: CAJA RURAL DE GIJON nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 95.000 EUR wurde nach freiwilliger Zahlung auf 76.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE ALBACETE, CIUDAD REAL Y CUENCA nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 100.000 EUR wurde nach freiwilliger Zahlung auf 80.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL NTRA MADRE DEL SOL nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 10.000 EUR wurde nach freiwilliger Zahlung auf 8.000 EUR reduziert.

Nach der Beschwerde einer Privatperson untersuchte die spanische Datenschutzbehörde Orange Espagne. Das Unternehmen hatte ein SIM-Karten-Duplikat für den Vertrag der beschwerdeführenden Person an betrügerische Dritte ausgegeben, ohne deren Identität zu überprüfen. Die Täter stahlen daraufhin 9.000 EUR von den Konten der Person. Die AEPD stellte daraufhin Mängel bei der technischen Gestaltung der Datenverarbeitungswerkzeuge fest.

Das Gesamtbußgeld setzt sich aus zwei Strafen von je 200.000 EUR wg. Verstoßes gg. Art 6 DSGVO und 1.000.000 EUR wg. Verstoßes gg. Art 25 DSGVO zusammen.

Nachtrag vom 03.03.2025:

Ein Antrag auf erneute Überprüfung wurde abgewiesen.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE NUEVA CARTEYA SCA DE CRÉDITO nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 10.000 EUR wurde nach freiwilliger Zahlung auf 8.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE JAEN, BARCELONA Y MADRID nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 500.000 EUR wurde nach freiwilliger Zahlung auf 400.000 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte BANCO COOPERATIVO ESPAÑOL nach einer Meldung über einen Cyber-Angriff auf einen Datenverarbeiter. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Das ursprüngliche Bußgeld von 6.159 EUR wurde nach freiwilliger Zahlung auf 4.927,20 EUR reduziert.

Die spanische Datenschutzbehörde untersuchte CAJA RURAL DE ARAGÓN nach einem Einbruch in die Unternehmenssysteme eines Datenverarbeiters. Die Untersuchung ergab, dass bei der Datenverarbeitung keine angemessene Sicherheit gewährt werden konnte.

Nach freiwilliger Zahlung wurde das Gesamtbußgeld von 15.000 EUR auf 12.000 EUR reduziert.

Die spanische Datenschutzbehörde erließ ein Bußgeld gegen KVIKU SPAIN. Das Unternehmen hatte auf mehrere im Rahmen einer Untersuchung an es gerichtete Auskunftsersuchen nicht reagiert.

Die rumänische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Meedea Construct Prest hatte mehrere sensible Dokumente wie einen Arbeitsvertrag, ein Attest und Qualifikationsnachweise an unbefugte Dritte weitergegeben.

Die isländische Datenschutzbehörde untersuchte den Hauptstadtregionsgesundheitsdienst, der mehrere verschiedene Krankenakten-Systeme mit dem von ihm selbst betriebenen zusammengeführt hatte. Dafür hatte der Dienst mehrere Vereinbarungen getroffen, von denen jedoch nur eine datenschutzkonform war.

Die italienische Datenschutzbehörde beantwortete die Beschwerde einer Privatperson. Der Vodafone-Partner Sintesi Evolution hatte mehrere Verträge im Namen der Beschwerdeführerin abgeschlossen, obwohl sie diese nie beantragt hatte. Ein Sintesi Evolution-Mitarbeiter hatte die Verträge offenbar unerlaubt erstellt. Eine Untersuchung von Vodafone und der GPDP ergab, dass der mittlerweile gefeuerte Angestellte die von einem betrügerischen Dritten erhaltenen Informationen nicht ausreichend überprüft hatte.

Die italienische Datenschutzbehörde untersuchte den Arzt Dr. Claudio Battaglia. Dieser hatte im Vorfeld stattfindender Lokalwahlen einen Brief an Patientinnen, die bei ihm wegen Brustkrebs in Behandlung waren, verschickt. Dieser enthielt Wahlwerbung für ihn selbst. Für die Kontaktaufnahme nutzte der Mediziner unrechtmäßig personenbezogene Daten, die ihm im Rahmen seiner Arzttätigkeit gegeben worden waren.

Die italienische Datenschutzbehörde untersuchte Dr. Thomas Fero nach einer Pressemeldung. Der Arzt aus Sanremo hatte im Zuge stattfindender Lokalwahlen eine E-Mail an alle seine Patienten verschickt, um sie über seine Kandidatur zu informieren. Hierfür nutzte er zu Behandlungszwecken bei ihm angegebene Daten, die er zudem allen Empfängern offenlegte, da alle addressierten E-Mail-Adressen in der Empfänger-Zeile angegeben waren.

Die italienische Datenschutzbehörde reagierte auf die Beschwerde einer Privatperson. Nach deren Ausscheiden aus dem Unternehmen hatte Distributori Edili Consorziati (Dec) das ihr zugewiesene E-Mail-Konto mehrere Monate lang weiterbetrieben. Man hatte die Sendefunktion zwar deaktiviert, eingehende Nachrichten wurden jedoch weitergeleitet. Dec erklärte, dies zu internen Untersuchungszwecken getan zu haben, doch die GPDP stufte den Weiterbetrieb, der trotz einer von der Mitarbeiteren eingereichten Löschungsaufforderung erfolgte, als unrechtmäßig ein.