Die Datenschutzaufsichtsbehörden verhängen regelmäßig Bußgelder für Verstöße gegen die Datenschutz-Grundverordnung (DSGVO). Diese Bußgelder bieten Unternehmen einen Einblick in aktuelle Prüfungsschwerpunkte und die Sanktionspraxis der Behörden. Hier sind fünf Beispiele aus dem Juli 2026:
Ausweisscans ohne Erforderlichkeitsprüfung
Die polnische Datenschutzbehörde UODO verhängte ein Bußgeld in Höhe von rund 4,3 Millionen Euro gegen eine Bank. Das Institut hatte im Zeitraum vom 1. April 2019 bis zum 23. September 2020 systematisch Scans von Ausweisdokumenten angefertigt, ohne im Einzelfall zu prüfen, ob dies zur Erfüllung der geldwäscherechtlichen Pflichten tatsächlich erforderlich war.
Die Behörde betonte, dass die pauschale Anwendung von Gesetzesbefugnissen nicht zulässig ist. Die Grundsätze der Rechtmäßigkeit, Zweckbindung und Datenminimierung nach Art. 5 Abs. 1 DSGVO müssen beachtet werden. Es ist daher im Einzelfall zu prüfen, ob eine Ausweisdokumentation tatsächlich erforderlich ist.
Hacker als Support-Techniker
Die italienische Datenschutzbehörde verhängte ein Bußgeld von 1.715.600 Euro gegen den Telekommunikationsanbieter Wind Tre. Angreifer hatten Mitarbeiter von Verkaufsstellen telefonisch kontaktiert und unter dem Vorwand einer technischen Assistenz Zugang zu ihren Geräten erlangt.
Die Behörde fand Mängel bei der Verwaltung von Zugangsdaten und den Sicherheitsprüfungen. Trotz der Datenpannen, die selbst gemeldet wurden, und der eingeleiteten Abhilfemaßnahmen, wurde das Bußgeld verhängt.
Der Fall zeigt, dass Social-Engineering-Angriffe umgehen können, was durch klar definierte Authentifizierungs- und Freigabeprozesse, geschulte Beschäftigte sowie regelmäßige Überprüfung von Zugriffsrechten eindämmbar ist.
Biometrisches Mitgliederregister ohne Datenschutz-Folgenabschätzung
Die digitale Aktualisierung des Mitgliederverzeichnisses beim FC Barcelona führte zu einem Bußgeld in Höhe von 500.000 Euro. Ein Mitglied hatte sich bei der spanischen Aufsichtsbehörde darüber beschwert, dass der Verein im Rahmen der digitalen Aktualisierung des Mitgliederregisters verpflichtend biometrische Daten erhoben hatte.
Die AEPD (Agencia Española de Protección de Datos) erkannte, dass eine gründliche Datenschutz-Folgenabschätzung fehlte. Dies unterstreicht die Notwendigkeit einer sorgfältigen Bewertung der Datenverarbeitungen und der Einhaltung der Datenschutzbestimmungen.
Die Fälle zeigen, dass Unternehmen sich nicht pauschal auf gesetzliche Pflichten berufen dürfen, um weitreichende Datenverarbeitungen zu rechtfertigen. Es ist wichtig, die Grundsätze der Rechtmäßigkeit, Zweckbindung und Datenminimierung zu beachten und im Einzelfall zu prüfen, ob eine bestimmte Verarbeitung tatsächlich erforderlich ist.
Quelle: www.dr-datenschutz.de