DSGVO Bußgeldatlas

Nach Inkrafttreten der europäischen Datenschutzgrundverordnung (DSGVO) sind die Aufsichtsbehörden der Länder tätig geworden und verhängten bereits zahlreiche Bußgelder wegen Verstößen gegen die DSGVO. Zudem veröffentlichte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder ein Konzept zur Bußgeldbemessung. In unserem Bußgeldatlas sammeln wir die bisher bekannten Bußgelder und zeigen die begangenen Verstöße in einer Übersicht je nach Bundesland.

Aber auch die Datenschutzaufsichtsbehörden unserer europäischen Nachbarn verhängten aufgrund von DSGVO-Verstößen bereits einige Bußgelder, die wir hier ebenfalls auflisten.

National

Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

Website:

Bekannte Bußgelder:

Verstoß

Höhe des Bußgeldes in Euro

Keine hinreichenden technisch-organisatorischen Maßnahmen, um zu verhindern, dass Unberechtigte bei der telefonischen Kundenbetreuung Auskünfte zu Kundendaten erhalten können

Verstoß	Höhe des Bußgeldes in Euro
Unverschlüsselte Speicherung von Passwörtern	20.000,00
Offenlegung von Gesundheitsdaten	80.000,00
Verstoß gegen Zweckbindung bei der Verarbeitung von personenbezogenen Daten	2.500,00
Private Nutzung von dienstlich erlangten personenbezogenen Daten durch einen Polizeibeamten	1.400,00
Unsachgemäße Entsorgung von personenbezogenen Daten (Finanzsektor)	80.000,00
Mangels ausreichender technischer und organisatorischer Maßnahmen kam es zur Verarbeitung von Kontaktdaten zu Werbezwecken ohne Einwilligung der Betroffenen	1,24 Mio.
Nicht ausreichender Schutz von Bewerberdaten mangels ausreichender technischer und organisatorischer Maßnahmen.	100.000,00
Fahrlässige Verletzung der obliegenden Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO	300.000,00
Unzulässige Aufnahme und Speicherung von Besuchern und Mitarbeitern in einem Schwimmbad. Verstoß gegen Art. 28 Abs. 9, 6 Abs. 1 DSGVO	12.000,00

Verstoß	Höhe des Bußgeldes in Euro
Verweigerung des Zugangs zu den Geschäftsräumen und Datenverarbeitungsanlagen bei einer unangekündigten Vor-Ort-Kontrolle, Art. 58 Abs. 1 lit. f) DSGVO	7000,00

Verstoß	Höhe des Bußgeldes in Euro
Unbefugte Verarbeitung von personenbezogenen Daten von ehemaligen Kundinnen und Kunden	50.000,00
Diverse Einzelverstöße, wie Nichtachtung der Betroffenenrechte (Recht auf Auskunft, Löschung, Widerspruch), Übermittlung von unerwünschten Werbe-E-Mails.	195.407,00 (Summe aus zwei Bußgeldbescheiden)
Speicherung von Daten in einem Archivsystem, bei dem keine Möglichkeit zur Löschung vorgesehen war (Verstoß gegen Artikel 25 Abs. 1 DSGVO sowie Artikel 5 DSGVO) und welches trotz Aufforderung der Aufsichtsbehörde innerhalb eines längeren Zeitraumes nicht überarbeitet wurde. Nach Einstellung des gerichtlichen Verfahrens hat die Staatsanwaltschaft nun Beschwerde eingelegt.	Ursprünglich 14,5 Mio. (Laufendes Verfahren)

Verstoß	Höhe des Bußgeldes in Euro
Falsche Auskunft und fehlender schriftlicher Auftragsverarbeitungsvertrag	50.000,00

Verstoß	Höhe des Bußgeldes in Euro
Erfassung und Speicherung des Urlaubs, der krankheitsbedingten Abwesenheit (inkl. Symptomen und Diagnose) von Mitarbeitern sowie deren privaten Lebensumständen über einen Zeitraum von ca. 6 Jahren durch einen großen Modekonzern	35.258.707,95
Verspätete Meldung eines Data Breaches und unterbliebene Information der Betroffenen	20.000,00
Unterlassen der Mitteilung über den neuen Daten-schutzbeauftragten als Ver-stoß gegen Art. 37 Abs. 7 DSGVO	51.000,00

Verstoß	Höhe des Bußgeldes in Euro
Erstellung von Nachbarschaftslisten ohne Einwilligung	200,00

Verstoß	Höhe des Bußgeldes in Euro
Videoüberwachung der Beschäftigten über einen Zeitraum von zwei Jahren ohne Rechtsgrundlage. Verstoß gegen Art. 5, 6 DSGVO	10,4 Mio.
Aufbewahrung von Personalakten über den erforderlichen Zeitraum hinaus. Verstoß gegen Art. 5 Abs. 1 lit. e) DSGVO	294.000,00
Fehlende Sicherheitsupdates einer veralteten Software für einen Web-Shop seit 2014, Art. 25, 32 DSGVO	65.500,00

Verstoß	Höhe des Bußgeldes in Euro
Offenlegung von Kontoauszüge an Unbefugte beim Online-Banking	n.a.
Unzulässige Werbe-E-Mails	n.a.
Unbefugte Kopie von Kundendaten bei einem Hackerangriff auf einen Webshop	n.a.
Offene E-Mail-Verteiler	n.a.
Unzulässige Videoüberwachung von Kunden und Arbeitnehmern	n.a.
Lkw-Fahrer nahm mit Dash-Cam andere Verkehrsteilnehmer samt Kennzeichen auf und veröffentlichte die Aufnahmen auf seinem Youtube-Kanal. Verstoß gegen Art. 6 Abs. 1 lit. f), 12ff. DSGVO	229,00

Verstoß	Höhe des Bußgeldes in Euro
Technische und organisatorische Defizite des Krankenhauses beim Patientenmanagement, durch welche es zu Verwechslung von Patienten kam, sodass falsche Rechnungen ausgestellt wurden.	105.000,00
Unerlaubte Verarbeitung der personenbezogenen Daten eines vermeintlichen Schuldners. Verstoß gegen Art. 5, 6 DSGVO	8.000

Verstoß	Höhe des Bußgeldes in Euro
Veröffentlichung personenbezogener Daten eines Dritten	118,50
Unzulässige Videoüberwachung im Gastraum eines Restaurants. Verstoß gegen Art. 5 Abs. 1 lit. b), c) DSG-VO	2.000,00

Verstoß	Höhe des Bußgeldes in Euro
Unautorisierte Zuweisung einer Telefonnummer an einen Dritten für die Dauer mehrerer Tage. Eine anschließende Unterrichtung der Behörde oder des Betroffenen unterblieb, Art. 5, 24, 32 33, 34 DSGVO	25.000,00
Betrieb einer Fan-Page auf Facebook ohne Einwilligung der betroffenen Person, Art. 5, 12, 21 DSGVO	10.000,00
Unzureichende Erfüllung der Betroffenenrechte, Art. 5, 6, 12, 14, 15, 24 DSGVO	50.000,00
Unzureichende Erfüllung der Betroffenenrechte, Art. 5, 6, 12, 14, 24 DSGVO	15.000,00
Verstoß gegen das Zweckbindungsgebot bei der Verarbeitung von Wählerverzeichnissen zur Erstellung einer neuen Wählerliste. Verstoß gegen Art. 13, 14 DSGVO	3.000,00
Rechtswidrige Verwendung von E-Mail-Adressen zu Wahlzwecken	5.000,00
Ablehnung eines Antrags auf Löschung eines Artikels, der personenbezogene Daten enthielt (Verstoß gegen Art. 17 DSGVO) sowie Verstoß gegen das Transparenzverbot aufgrund unzureichender Begründung der Ablehnung	600.000,00
Versendung einer E-Mail ohne Zustimmung des Betroffenen und darauffolgende Nichtbeantwortung eines Auskunftsersuchens dieses Betroffenen	10.000,00
Versendung von Werbe-E-Mail trotz Widerspruch der Betroffenen; keine Kooperation mit der Aufsichtsbehörde	1.000,00
Verwendung von unrechtmäßig erlangten Kontaktdaten zu Zwecken der Wahlwerbung	5.000,00
Versendung von Direktmarketing-Nachrichten, obwohl die Betroffenen hinsichtlich ihrer Kontaktdaten von ihrem Löschungs- und Widerspruchsrecht Gebrauch gemacht hatten	1.000,00
Versendung von Einladungen durch einen Social Media Provider an Kontakte, die von seinen Nutzern ohne Zustimmung der Betroffenen und ohne eine andere gesetzliche Grundlage hochgeladen wurden	50.000,00
Nicht ausreichende Einbindung der Datenschutzbeauftragten in die Verarbeitung von Datenschutzvorfällen sowie mangelnde Unabhängigkeit der Datenschutzbeauftragten	50.000,00
Keine Reaktion auf Auskunftsersuche von Betroffenen sowie keine Löschung der Daten	2.000,00
Die Datenschutzerklärung wurde lediglich in englischer Sprache zur Verfügung gestellt, obwohl sich die Website an niederländisch- und französischsprachiges Publikum richtete; Einsatz von Google Analytics ohne Zustimmung der Website-Besucher	15.000,00
Verwendung von E-Mail-Adressen ohne Rechtsgrundlage	5.000,00
Missbräuchliche Verwendung von personenbezogenen Daten durch einen Bürgermeister zu Wahlkampfzwecken	2.000,00
Verstoß gegen die Pflicht zu ausreichenden organisatorischen Maßnahmen durch unzureichende Schutzmaßnahmen vor unberechtigten Abfragen, Art. 5 Abs. 1 lit. f), 32 DSGVO	100.000,00
Fortgesetzte Werbeanrufe bei werdenden Müttern trotz widerrufener Einwilligung, Art. 5, 6 DSGVO	50.000,00
Weiterbetrieb des E-Mail-Postfachs Angestellter für eine Zeitraum von 2,5 Jahren nach Beendigung des Arbeitsverhältnisses, Art. 5, 6, 17 DSGVO	15.000,00
Verwendung von Daten zum Zwecke der Wahlwerbung ohne erforderliche Einwilligung, Art. 5, 6 DSGVO	5.000,00
Fortdauernde Verarbeitung trotz Widerruf des Betroffenen. Unterlassene Aufklärung anderer verarbeitender Herausgeber über den Widerruf, Art. 5, 6, 7, 24 DSGVO	20.000,00

Verstoß	Höhe des Bußgeldes in Euro
Mangelnde technische und organisatorische Maßnahmen, wodurch Dritte Einsicht in vertrauliche personenbezogene Daten enthielten	20.149,50
Keine Löschung von personenbezogenen Daten innerhalb der vom Unternehmen im Löschkonzept festgesetzten Fristen	147.763,00
Veröffentlichung von Sitzungsprotokollen durch das städtische Kinder- und Jugendzentrum, die besonders sensible Informationen und personenbezogene Daten enthielten	6.700,00
Löschung von personenbezogenen Daten ohne rechtlichen Grund nach einer Zugangsanfrage durch die betroffene Person	6.700,00
Ein Computer wurde aus dem Rathaus gestohlen, auf dem sensible Informationen von ca. 20.620 Bürgern unverschlüsselt gespeichert waren	13.384,00
Einem Mitarbeiter der Stadtverwaltung wurde sein Arbeitscomputer gestohlen, der die persönlichen und u.a. sehr sensiblen Daten von etwa 1.600 Mitarbeitern der Stadtverwaltung enthielt	7.000,00
Fehlendes Löschkonzept (Festlegung und Dokumentation von Fristen) für das CRM-System. Ferner wurden Daten länger verarbeitet, als es für die erhobenen Zwecke erforderlich war.	13.390,00
Verstoß gegen das Prinzip der Datenminimierung mangels Löschung der personenbezogenen Daten nach einer gewissen Frist	161.000,00
Unzureichende technische und organisatorische Maßnahmen einer Gemeinde bei Versendung automatisierter Begrüßungsbriefe, Art. 32 DSGVO	26.895,00
Unzureichendes Berechtigungsmanagement und Fehlen einer Risikoanalyse bei Übermittlung von Daten zu COVID-19 Tests mittels WhatsApp in einer Gruppe der Mitarbeiter, Art. 32, 5 Abs. 1 lit. f) DSGVO	80.681,00
Verstoß gegen die Implementierung ausreichender technischer und organisatorischer Maßnahmen durch unterhalten einer Datenbank für klinische Zwecke und Forschungszwecke ohne ausreichende Zugriffskontrolle, Art. 32 DSGVO	67.227,00
Unzureichende technische und organisatorische Maßnahmen führten zur Aufnahme von Verfahren aufgrund Protokollfehlern bei der Einwanderungsbehörde, Art. 5, 32 DSGVO	20.171,00

Verstoß	Höhe des Bußgeldes in Euro
Veröffentlichung von Fotos von Personen ohne deren Zustimmung	500,00
Unbefugter Zugriff auf Daten in einer Datenbank einer öffentlichen Stelle	48,00 bzw. 56,00 (zwei voneinander unabhängige Bußgelder)
Videoüberwachung mit vier Videokameras in den Toilettenräumen, Art. 6 DSGVO	24.000,00

Verstoß	Höhe des Bußgeldes in Euro
Weitergabe von sehr sensiblen Daten durch die Child and Family Agency an unbefugte Dritte	75.000,00
Versand eines Briefes durch die Child and Family Agency, der Missbrauchsvorwürfe enthielt, an einen unbefugten Dritten, der den Brief veröffentlichte. Der Vorfall wurde auch nicht der Datenschutzaufsichtsbehörde gemeldet.	40.000,00
Entsorgung von Patientendaten in öffentlicher Recycling-Anlage	65.000,00
Verspätete Meldung eines Datenschutzvorfalls	450.000,00

Verstoß	Höhe des Bußgeldes in Euro
Unrechtmäßiger Betrieb einer Dash-Cam. Verstoß gegen Art. 6 DSGVO	Zwischen 50,00 und 800,00
Verstoß gegen die Auskunftspflicht	500,00

Verstoß	Höhe des Bußgeldes in Euro
Offener Mail-Verteiler, in dem personenbezogene Mail-Adressen erkennbar sind	2.628,50
Unverschlüsselte Übermittlung von Bilddateien als Beweismaterial zu Verkehrsverstößen an die Bußgeldabteilung einer Stadt. Verstoß gegen Art. 5, 32 DSGVO	200,00

Verstoß	Höhe des Bußgeldes in Euro
Unzulässige Datenübergabe an einen Geschäftsnachfolger ohne Einwilligung der zahlreichen Betroffenen	>10.000,00
Videoaufnahmen in einer Gaststätte	>10.000,00

Verstoß	Höhe des Bußgeldes in Euro
Fälschung von Unterschriften für eine Wählerliste durch eine Partei	2.000,00
Nichtbeachtung von Betroffenenrechten (Auskunftsrecht)	1.800,00
Mangelnde technische und organisatorische Maßnahmen, wodurch Hacker in die Datenbank einer Finanzbehörde eindringen und Daten von ca. 5 Mio. Bürgern abgreifen konnten	2,61 Mio.
Mangelnde technische und organisatorische Maßnahmen, durch die unbefugte Zugriff auf Kundendaten einer Bank hatten	511.000,00
Übermittlung von Inkasso-Daten ohne Rechtsgrundlage, Art. 10 DSGVO	5113,00

Verstoß	Höhe des Bußgeldes in Euro
Verarbeitung von Mitarbeiterdaten ohne ausreichende Rechtsgrundlage	12.500,00
Nichtdurchführung einer Datenschutz-Folgenabschätzung hinsichtlich der Verarbeitung von Standortdaten von Mitarbeiten	16.000,00
Zusendung von Werbung trotz Aufforderung der Betroffenen, ihre Daten zu löschen sowie Verstoß gegen das Transparenzgebot in der Datenschutzerklärung	100.000,00
Mehrere Verstöße, unter anderem Nichtdurchführung einer Datenschutz-Folgenabschätzung im Kontext mit Video-/Audioüberwachung sowie der Verarbeitung von Standortdaten	72.000,00
Versendung von Direktmarketing-Nachrichten ohne Zustimmung der Betroffenen; Nichtbeachtung der Betroffenenrechte	7000,00
Verstoß gegen Betroffenenrechte sowie Gebot der Speicherbegrenzung und der Datenminimierung, Art. 5, 12, 14, 17, 25 DSGVO	75.000,00
Unrechtmäßige Erfassung der Standortdaten bei der Nutzung einer App zur Zeiterfassung der Beschäftigten, Art. 5, 6 DSGVO	25.000,00

Verstoß	Höhe des Bußgeldes in Euro
Nach vorherigem Hinweis der Aufsichtsbehörde Verstoß gegen den Grundsatz der Datenminimierung, die Pflicht zur Begrenzung der Speicherfríst, Informationspflichten gegenüber der Betroffenen und mangelnde technische und organisatorische Maßnahmen.	250.000,00
Unangemeldete Anrufe nach Beschwerde der Betroffenen, dass zu viele Daten über Kunden und ihre Gesundheit gespeichert worden seien. Ferner wurden die Betroffenen nicht ausreichend über die Datenverarbeitungen informiert und über die Aufzeichnung der Telefongespräche aufgeklärt	500.000,00
Ermöglichung des unbefugten Zugangs (online) zu einer Vielzahl von sensiblen Kundendaten ohne jegliche vorherige Authentifizierung	180.000,00
Rechtswidrige Videoüberwachung von Mitarbeitern trotz mehrmaliger Aufforderung der Aufsichtsbehörde, die Videoüberwachung dem geltenden Recht anzupassen	20.000,00
Veröffentlichung von sensiblen personenbezogener Daten (bspw. Personalausweis, Gesundheitskarten, Steuerbescheide, Kontodaten) aufgrund mangelnder Sicherheitsmaßnahmen; langsame Beseitigung der Sicherheitsmängel; zu lange Speicherung von Daten	400.000,00
Die Datenschutzbehörde verhängte Anfang 2019 ein Bußgeld gegen Google, da der Konzernriese ohne Einwilligungen zur Datenverarbeitung arbeite und das Transparenzprinzip missachte	50 Mio.
Vorhalten einer Datei mit personenbezogenen Daten zu mehr als 200 einflussreichen Personen ohne die Personen darüber zu informieren sowie Erstellung der Datei ohne Abschluss eines Vertrags über die Auftragsverarbeitung, Art. 14, 28 DGVO	400.000,00
Aufbewahrung von Kundendaten einer Versicherung über die Aufbewahrungsfrist hinaus sowie anschließende Verletzung der Betroffenenrechte durch Nichteinhaltung der Informationspflicht, Art. 5, 13, 14 DSGVO	1.750.000,00
Verstoß gegen das Prinzip der Speicherbegrenzung bei personenbezogenen Daten der Accounts von 130.000 Interessenten/Kunden eines Online-Shops sowie Verletzung der Betroffenenrechte und unzureichender technischer wie auch organisatorischer Maßnahmen, Art. 5, 13, 17, 32 DSGVO	500.000,00
Nicht ausreichende technische und organisatorische Maßnahmen nach wiederholten Datenschutzpannen. Verstoß gegen Art. 32 DSGVO	150.000,00
Nicht ausreichende technische und organisatorische Maßnahmen nach wiederholten Datenschutzpannen. Subunternehmer entwickelte in nicht hinreichender Art du Weise ein Tool. Verstoß gegen Art. 32 DSGVO.	75.000,00
Lieferdienst verletzte auf seiner Website die Informationspflichten gegenüber seinen Nutzern. Die technischen und organisatorischen Maßnahmen bei Erstellung eines Nutzerkontos genügten nicht den Anforderungen, indem ein sicheres Passwort nicht erzwungen wurde. Verstoß gegen Art. 12, 13, 32 DSGVO.	20.000,00
Nicht ausreichende technische und organisatorische Maßnahmen durch mangelnde Verschlüsselung von Patientendaten. Verletzung der Meldepflicht nach Hinweis der Behörde auf einen Verstoß. Verstoß gegen Art. 32, 33 DSGVO	3.000,00
Nicht ausreichende technische und organisatorische Maßnahmen durch mangelnde Verschlüsselung des Servers. Im Übrigen unverschlüsselte Patientendaten auf dem Laptop. Verletzung der Meldepflicht nach Hinweis der Behörde auf einen Verstoß. Verstoß gegen Art. 32, 33 DSGVO	6.000,00
Versendung von Werbung trotz Widerspruchs. Verletzung von Fristen bei Auskunftsansprüchen. Nicht erfolgte Löschung von nicht mehr erforderlichen Daten. Mangelnde Zugänglichkeit auf der Website zu Informationen nach Art. 12, 13 DSGVO. Keine ausreichenden technischen und organisatorischen Maßnahmen. Verstoß gegen Art. 5, 12ff, 32, 33 DSGVO.	2.250.000,00
Empfänger der erhobenen Daten wird nicht ordnungsgemäß angegeben. Mangelnde Zugänglichkeit auf der Website zu Informationen. Verstoß gegen Art. 5 Abs. 1 lit. a), 12, 13 DSGVO.	800.000,00

Verstoß	Höhe des Bußgeldes in Euro
Rechtswidrige Verarbeitung von personenbezogenen Daten von Mitarbeitern (falsche Rechtsgrundlage); Verstoß gegen die Rechenschaftspflicht	150.000,00
Organisation für Vorschulbildung veröffentlichte Bewerbungsunterlagen ohne Rechtsgrundlage und reagierte im Anschluss nicht auf die dazu gehörige Löschanfrage, Art. 5, 6, 17 DSGVO	10.000,00
Unzulässige Videoüberwachung in den Büroräumen und der Küche, Art. 5 DSGVO	15.000,00

Verstoß	Höhe des Bußgeldes in Euro
Rechtswidrige Weitergabe von Gesundheitsdaten (detaillierte medizinische Informationen über 252 Personen sowie 3.000 Namen von Personen, die wegen Alkohol- und Drogenmissbrauchs behandelt wurden) wegen mangelnder technischer und organisatorisches Maßnahmen	20.600,00
Versendung einer E-Mail durch einen Lehrer mit ungewolltem Anhang, in dem sensible personenbezogene Daten enthalten waren, aufgrund mangelnder technischer und organisatorischer Maßnahmen	9.000,00
Nicht autorisierte Nutzer konnten auf personenbezogene Daten von mehr als 400 größtenteils minderjährigen Schülern zugreifen verursacht durch die fehlende Prüfung der Berechtigung, Art. 5, 6, 32 DSGVO.	23.100,00
Unrechtmäßige Videoüberwachung der Beschäftigten bei einem Eisdielenbetreiber sowie Verletzung der Gebote der Transparenz und Datenminimierung, Art. 5, 6, 12, 13 DSGVO	34.000,00

Verstoß	Höhe des Bußgeldes in Euro
Verarbeitung von personenbezogenen Daten ohne schriftliche Einwilligung oder sonstige Rechtsgrundlage; Verstoß gegen Informationspflichten: kein Hinweis zu Betroffenenrechten	2 Mio. (je 6.000 €/Verstoß für 78 Verstöße + je 10.000 €/Verstoß für 155 andere Verstöße)
Verstoß gegen Datenschutzvorgaben bei Terminvergaben. Keine ordnungsgemäße Information der Kunden über die Verarbeitung. Die ergriffenen technischen und organisatorischen Maßnahmen erwiesen sich als nicht ausreichend. Verstoß gegen Art. 5 Abs. 1 lit. a), 13, 14, 28 Abs. 2, 3, 32 DSGVO	500.000,00
Vertragsverlängerung im Kundenerfassungssystem ohne Einwilligung. Verstoß gegen Art. 5 Abs. 1 lit. a) DSGVO	3,0 Mio.
Unrechtmäßige Übermittlung von Gesundheitsdaten in 48 Fällen von Patienten, Art. 5, 9 DSGVO	120.000,00
Unzureichende technische und organisatorische Maßnahmen eines Software-Unternehmens mangels Verwendung eines sicheren Netzwerkprotokolls sowie fehlender Datenverschlüsselung bei der Meldung von Missständen im Unternehmen. Verstoß durch das Fehlen eines Vertrags über die Auftragsverarbeitung, Art. 28, 32 DSGVO	20.000,00
Unzureichender Umgang mit Arbeitnehmerdaten durch einen Essenszulieferdienst in 8000 Fällen. Das Unternehmen informierte die Arbeitnehmer nicht über die Funktion des Systems und beging Verstöße gegen die Grundsätze der Datenminimierung und Speicherbegrenzung, indem es pauschal Daten der Fahrer für 12 Jahre speicherte und einer Erhebung der Standortdaten im Abstand von 12 Sekunden. Es fehlten zureichende technische und organisatorische Maßnahmen, ein ausreichendes Verarbeitungsverzeichnis, eine ordnungsgemäße Meldung des Datenschutzbeauftragten sowie die Vornahme einer Datenschutzfolgenabschätzung, Art. 5, 13, 25, 32, 35, 37 DSGVO	2,5 Mio.

Verstoß	Höhe des Bußgeldes in Euro
Weigerung eines Kreditinstituts, seinen Kunden (ca. 2.500 Anträge) Zugang zu ihren personenbezogenen Daten in Kreditdokumenten zu gewähren über einen Zeitraum von knapp einem Jahr	n.a.

DSGVO Bußgeldatlas

National

International

Veranstaltungen

Unsere Beratungsfelder

Verstoß	Höhe des Bußgeldes in Euro
Der Verantwortliche missachtete das Recht der Betroffenen auf Löschung und übermittelte der Aufsichtsbehörde nach einer entsprechenden Aufforderung nicht die geforderten Informationen	7.000,00

Verstoß	Höhe des Bußgeldes in Euro
Zahlungsdienstleiser verarbeitete mehr Daten, als erforderlich. Zudem wurde ein Datenschutzvorfall bekannt, welcher der Aufsichtsbehörde nicht gemeldet wurde; es waren zeitweise Transaktionen, die von dem Zahlungsdienstleister verarbeitet wurden, online zugänglich.	61.500,00
Unsachgemäße Verarbeitung personenbezogener Daten der Eltern eines adoptierten Kindes	15.000,00

Verstoß	Höhe des Bußgeldes in Euro
Übermäßige Videoüberwachung als Verstoß gegen Art. 5 Abs. 1 lit. c), 13 DSGVO	12.500,00
Unrechtmäßige Verarbeitung personenbezogener Daten in einer Vielzahl von Fällen	746 Mio.

Verstoß	Höhe des Bußgeldes in Euro
Mangelnde Sicherheitsmaßnahmen, durch die eine Vielzahl von personenbezogenen Daten bei einer einfach Google-Suche zugänglich gemacht wurden, darunter auch sehr sensible Informationen.	5.000,00

Verstoß	Höhe des Bußgeldes in Euro
Fehlende technische und organisatorische Maßnahmen, insbesondere kein Berechtigungskonzept, sodass ein unbefugter Zugriff auf eine Vielzahl von personenbezogene Daten leicht möglich war	170.000,00
Einsatz einer App durch eine Schule, die eine mangelhafte Datensicherheit aufwies und einen unbefugten Zugriff durch Dritte ermöglichte	120.000,00
Einsatz einer Lernplattform, durch die ein Zugriff auf sensible Informationen von Schülern möglich war; keine Durchführung einer Datenschutz-Folgenabschätzung	44.826,00
Kein Löschkonzept, sodass 20 Jahre alte Daten ohne Rechtsgrund archiviert wurden	358.610,00
Verbreitung und Veröffentlichung einer Videoaufnahme einer Überwachungskamera aus einem Supermarkt ohne Rechtsgrundlage	37.976,00
Nutzung eines Voicemail-Systems, welches für Hackangriffe anfällig war; keine Meldung von Datenschutzvorfällen	134.578,00
Mangelnde technische und organisatorische Maßnahmen sowie ein unzureichendes Sicherheitskonzept bei einem Kommunikations-Tool, über das eine Schule mit Eltern kommunizierte	269.155,00
Verarbeitung von personenbezogenen Daten ohne Rechtsgrundlage durch ein Unternehmen, dass die Bonität von Personen bewertet	26.916,00
Verarbeitung von personenbezogenen Daten eines Einzelunternehmers ohne Rechtsgrundlage durch ein Unternehmen, dass die Bonität von Personen bewertet	27.813,00
Unzulässige Videoüberwachung von Straßenarbeiten durch Verkehrskameras	37.847,00
Fehlendes Zugriffskonzept auf sensible personenbezogene Daten (Gesundheitsdaten), keine Protokollierung der Zugriffe, Verstoß über 6 Jahre	71.900,00
Rechtswidrige Videoüberwachung in einem Waxing-Salon, Art. 6 DSGVO	9.565,00

Verstoß	Höhe des Bußgeldes in Euro
Rechtswidriges Kopieren eines Personalausweises	n.A.
Rechtswidrige Erstellung von Profilen, die Informationen über Wohnadressen, persönliche Vorlieben, Gewohnheiten und Parteiaffinitäten enthielten – diese wurden anschließend z.B. an politische Parteien und Unternehmen weiterverkauft	18 Mio.
Keine Bestellung einer Datenschutzbeauftragten; keine Prüfung, ob einer Datenschutz-Folgenabschätzung für gewisse Verarbeitungsvorgänge notwendig ist; Nichteinhaltung von Informationspflichten; Fehlerhafte Einholung von Einwilligungen der Betroffenen	50.000,00
Videoüberwachung in Gemeinschaftsräumen eines Wohnhauses (Flur, Parkplatz, etc.) ohne die Zustimmung der aufgenommenen Personen und ungeeignete Kennzeichnung der Videoüberwachung	2.200,00
Videoüberwachung im öffentlichen Raum einer Vielzahl von Personen, ungeeignete Kennzeichnung der Videoüberwachung, keine Löschung der Aufnahmen innerhalb einer angemessenen Frist und fehlende Protokollierung der Verarbeitungsvorgänge	4.800,00
Videoaufnahmen im öffentlichen Raum sowie zu lange Speicherdauer und mangelnde Kennzeichnung der Videoüberwachung	1.500,00
Unrechtmäßige Nutzung einer Dashcam (Verstoß gegen die DSGVO und nationales Datenschutzrecht)	300,00
Veröffentlichung von Patientendaten (Namen, Befunddaten, etc.) auf der privaten Facebook Seite	600,00
Videoaufnahme von einer Person in sensibler Situation	150,00
Unzulängliches Formular bei der Anmeldung einer Club-Mitgliedschaft von 2,3 Millionen Kunden durch eine unzureichende Formatierung und eine Aufklärung erst nach erfolgter Einwilligung. Weiter erfolgte die Verschleierung von Profiling. Verletzung der Betroffenenrechte durch die fehlende Information der Betroffenen, Art. 6, 7, 12, 13 DSGVO	2 Mio.

Verstoß	Höhe des Bußgeldes in Euro
Unberechtigte Veröffentlichung der Daten von 300.000 Kunden durch eine Bank aufgrund unzureichender Schutzmaßnahmen innerhalb der Datenverarbeitung, Art. 5, 25 DSGVO.	130.000,00
Unzureichende technische und organisatorische Maßnahmen ermöglichten die Veröffentlichung einer Gästeliste mit über 40 Personen, Art. 32 DGVO	15.000,00
Verstoß gegen die Meldepflicht und die Vorhaltung angemessener technischer und organisatorischer Maßnahmen, Art. 32, 33 DSGVO	20.000,00
Unzureichende technische und organisatorische Maßnahmen durch die Nutzung von WhatsApp für die Einholung von Bonitätseinkünften bei über 1000 Personen, Art. 32, 33 DSGVO	150.000,00
Kurierdienst mit unzureichenden technischen und organisatorischen Maßnahmen bei etwa 1100 betroffenen Personen, Art. 32 DSGVO	11.000,00
Fehlen ausreichender technischer und organisatorischer Maßnahmen sowie datenschutzfreundlicher Voreinstellungen bei dem Abrechnungsprozess der Kartentransaktionen von über 200.000 Kunden, Art. 25, 32 DSGVO	80.000,00
Unbefugte Veröffentlichung einer Passagierliste im Internet aufgrund unzureichender technischer und organisatorischer Maßnahmen bei einer Fluggesellschaft, Art. 32 DSGVO	20.000,00
Verstoß gegen die Datenschutzgrundsätze, die 72 Stunden Frist für die Meldepflicht nach einer Datenpanne und die Vorhaltung angemessener technischer und organisatorischer Maßnahmen sowie datenschutzfreundliche Voreinstellungen bei einem Kreditunternehmen, Art. 5, 25, 32, 33 DSGVO	14.000,00
Rechtswidrige Videoüberwachung in den Umkleideräumen und rechtswidrige Verarbeitung biometrischer Fingerabdrücke von Arbeitnehmern sowie Verletzung der Informationspflichten gegenüber den Betroffenen, Art. 6, 9, 13 DSGVO	10.000,00
Unzureichende technische und organisatorische Maßnahmen, durch Veröffentlichung eines Screenshot mit Zugangspasswort zu einem geschützten Bereich mit Teilnehmerformularen, Art. 32 DSGVO	15.000,00
Unzureichende technische und organisatorische Maßnahmen gegen unautorisierte Zugriffe von Mitarbeitern, Art. 32 DSGVO	100.000,00
Unzureichende technische und organisatorische Maßnahmen bei der Versendung von Rechnungen. Durch die Ablage der Rechnungsadressen in der falschen Datenbank erfolgte die Versendung an die falsche Rechnungsadressen, Art. 32 DSGVO	13.000,00

Verstoß	Höhe des Bußgeldes in Euro
Rechtswidriger Einsatz einer Gesichtserkennungssoftwarfe in einer Schule	18.820,00
Rechtswidrige Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Strafverfahren	35.000,00
Verspätete Meldung von Datenschutzvorfällen	18.800,00
Rechtswidrige Veröffentlichung von personenbezogenen Daten eines Betroffenen, unter anderem auch sensible Gesundheitsdaten, auf einer Webseite	11.280,00
Videoüberwachung in dem Treppenhaus eines Mietshauses durch den Vermieter ohne ausreichende Rechtsgrundlage	1.882,00
Fehlen einer Risikoanalyse durch mangelhaftes Berechtigungskonzept im Hinblick auf Patientendaten in acht Gesundheitseinrichtungen, Verstöße gegen Art. 5 Abs. 1 lit. f), Abs. 2, 32 DSGVO	1,15 - 2,9 Mio.
Unrechtmäßige Verarbeitung von besonderen Kategorien von Daten. Die Daten über strafrechtliche Verurteilungen wurden nach Anordnung nicht ordnungsgemäß gelöscht. Keine fristgemäße Entfernung von Suchergebnissen aus Listing. Verstoß gegen Art. 5, 6, 9, 17 DSGVO	5,1 Mio.
Verarbeitung sensibler personenbezogener Daten innerhalb einer Cloud ohne angemessene technische und organisatorische Schutzmaßnahmen sowie Verstoß gegen die Meldepflicht, Art. 32, 33 DSGVO	55.000,00
Verstoß gegen die Pflicht vor Beginn der Verarbeitung über die Verarbeitung zu informieren bei Gesprächsaufnahmen eines medizinischen Beratungsdienstes, Art. 13 DSGVO	24.000,00
Ungeschützte Speicherung der Gesprächsaufzeichnungen eines medizinischen Beratungsdienstes auf einem Webserver, Art. 32 DSGVO	65.000,00
Verstöße eines Gesundheitsdienstleisters durch die freie Verfügbarkeit der aufgezeichneten Telefongespräche eines medizinischen Beratungsdienstes auf einem Webserver ohne Sicherheitsmaßnahmen oder Passwortschutz sowie anschließende Verletzung der Informationspflicht gegenüber Betroffenen, Art. 5, 6, 9, 13, 32 DSGVO	1,19 Mio.
Rechtswidrige Videoüberwachung von sechs Feuerwehrwachen bei unzureichenden technischen und organisatorischen Maßnahmen, Art. 5, 32 DSGVO	35.000,00
Übermäßiger Einsatz von Körperkameras im Zuge der Fahrkartenkontrolle im Nahverkehr mit einer Voraufnahmezeit von einer Minute sowie Verletzung der Informationspflicht im Zuge der Aufnahme,	1,6 Mio.

Verstoß	Höhe des Bußgeldes in Euro
Erteilung mangelhafter Datenschutzhinweise im Hinblick auf die Informationspflichten und Rechtmäßigkeit der Verarbeitung. Es fehlten insbesondere Zweck, Rechtsgrundlage sowie Angabe der Datenkategorien. Anforderungen an eine informierte Einwilligung wurden nicht erfüllt. Im Übrigen war die Rechtfertigung für das berechtigte Interesse unzureichend. Verstöße gegen Art. 6, 13, 14 DSGVO.	5,0 Mio.
Rechtswidrige Verarbeitung von Daten des Betroffenen bei Beantragung eines Mikrokredit durch den Identitätsdieb, Art. 6 DSGVO	12.000,00
Falschausstellung von Zahlungserinnerungen eines Telekommunikationsunternehmens, Art. 6 DSGVO	60.000,00
Entschlüsselungstool auf den Unternehmenssystemen sowie eine nicht getrennte Speicherung von Kreditkartendaten und sonstigen personenbezogenen Daten. Keine Meldung einer Datenpanne innerhalb von 72 Stunden, Art. 32, 33 DSGVO	600.000,00
Auf Löschungsbegehren eines Bankkunden wurden Daten nur vorübergehend gesperrt und nicht unwiderruflich gelöscht, Art. 17 DSGVO	60.000,00
SMS-Versand über Vorliegen neuer Rechnung bereits nach Vertragsende, Art. 6 DSGVO	90.000,00
Energieversorger erteilte betroffenen Personen insbesondere keine ausreichenden Informationen über den für die Verarbeitung Verantwortlichen, die Rechtsgrundlage für die Verarbeitung, die nicht auf einer Einwilligung beruht, die Zwecke der Verarbeitung im Zusammenhang mit dem Profiling auf der Grundlage eines berechtigten Interesses sowie die Möglichkeit des Widerspruchs gegen Verarbeitungen, die der für die Verarbeitung Verantwortliche auf sein berechtigtes Interesse stützt, Art. 13, 25 DSGVO	1,5 Mio.
Rechnung eines Versicherungsunternehmens ohne vertragliche Beziehung, Art. 6 DSGVO	30.000,00
Keine systematische Abgleichung von Rufnummern mit der Robinson Liste vor Werbeanrufen durch ein Telekommunikationsunternehmen sowie fehlende Kommunikation dieser Tatsache an seinen Auftragsverarbeiter, Art. 28 DSGVO	100.000,00
Rechtswidrige Verarbeitung im Rahmen einer Servicebuchung und bei Übermittlung an ein Inkasso-Unternehmen durch eine Telekommunikationsunternehmen in Zusammenhang mit einer tatsächlich nicht gebuchten Leistung, Art. 6 DSGVO	45.000,00
Aufnahme in Kreditauskunftsverzeichnis ohne Rechtsgrundlage, Art. 6 DSGVO	20.000,00
Rechtswidrige Videoüberwachung der Geschäftsräume mit 14 Kameras sowie Verletzung der Informationspflicht, Art. 5, 12 DSGVO	19.600,00
Falsche Angaben bei der Rechnungsstellung an den Betroffenen, wodurch personenbezogene Daten des Betroffenen dessen Arbeitgeber offengelegt wurden, Art. 5 DSGVO	10.000,00
Zusendung unerwünschter Werbung auf postalischem Wege entgegen der ablehnenden Aufforderung des Betroffenen, Art. 6 DSGVO	50.000,00
Unrechtmäßige Verarbeitung der Telefonnummer und des Kundenprofils durch ein Telekommunikationsunternehmen, Art. 6 DSGVO	45.000,00
Vorhalten personenbezogener Daten trotz berechtigter Aufforderung zur Löschung von Seiten der betroffenen Person, Art. 17 DSGVO	10.000,00
Unbeantwortete Auskunftsersuchen des Betroffenen mit Blick auf angeblich bestehende Schulden beim Bußgeldempfänger, Art. 6, 15 DSGVO	60.000,00
Ablehnung der Berichtigung geänderter Adressdaten, Art. 16 DSGVO	30.000,00
Systematische und großflächige Verwendung einer Gesichtserkennung in 40 Filialen eines Supermarktes, Unterlassen einer Datenschutzfolgenabschätzung und Verletzung der Betroffenenrechte, Art. 5, 6, 9, 12, 13, 25, 35 DSGVO	2,52 Mio.
Rechtswidrige Verarbeitung von personenbezogenen Daten und Verletzung der Betroffenenrechte durch die fehlende Antwort auf eine Löschanfrage, Art. 6, 17 DSGVO	96.000,00

Verstoß	Höhe des Bußgeldes in Euro
Nichtachtung der Betroffenenrechte (Art. 15 Abs. 1, 3, Art. 18 DSGVO)	2.738,00
Versendung einer SMS mit personenbezogenen Daten einer anderen Person; keine Löschung der Telefonnummer	1370,00
Nichtachtung von Betroffenenrechten (Art. 15, Art. 17 DSGVO). Verstoß gegen das Transparenzgebot, da der Verantwortliche die betroffenen Person nicht vor der Erhebung der Daten darüber informierte, dass das Recht auf Löschung aufgrund von Aufbewahrungsfristen eingeschränkt wird	1370,00
Weitergabe von personenbezogenen Daten ohne entsprechende Rechtsgrundlage an Unbefugte	2.738,00
Nichtachtung der Rechts auf Löschung; Verarbeitung von Daten ohne Rechtsgrundlage; Verstoß gegen den Grundsatz der Zweckbindung	2.738,00
Nichtachtung des Auskunftsrechts	1.642,00
Nichtachtung des Auskunftsrechts sowie Verstoß gegen das Transparenzgebot, die Rechenschaftspflicht, die Richtigkeit der verarbeiteten Daten	5.474,00
Verarbeitung von personenbezogenen Daten ohne Rechtsgrundlage und Verstoß gegen die Rechenschaftspflicht	2.738,00
Versäumnis der Frist von einem Monat zur Auskunft über personenbezogene Daten	28,00