Amazon muss 2,25 Mio. US-Dollar zahlen, da es Unterlagen vor Betrugsopfern zurückgehalten hat
16. Juli 2026Amazon zahlt eine Rekordstrafe von 2,25 Mio. USD für das Horten von Betrugsdaten, während Südkorea und Mexiko Milliardenstrafen gegen Coupang und Fußballfans wegen mangelhafter Datenschutzpraxis verhängen. Weltweit greifen Aufsichtsbehörden gleichzeitig gegen laxe Altersverifizierung und mangelhafte biometrische Einwilligung ein – von Erwachsenen-Websites bis zu Character.AI.
Amazon zahlt 2,25 Mio. US-Dollar für Zurückhaltung von Unterlagen gegenüber Betrugsopfern
Amazon hat sich bereit erklärt, eine Zivilstrafe in Rekordhöhe von 2,25 Millionen US-Dollar zu zahlen, nachdem die US Federal Trade Commission (FTC) festgestellt hatte, dass das Unternehmen Opfern von Identitätsdiebstahl keine Aufzeichnungen über betrügerische Transaktionen, die in deren Namen getätigt wurden, zur Verfügung gestellt hatte.
Laut FTC lehnten Amazon-Kundendienstmitarbeiter Anfragen nach den Unterlagen häufig ab, mit der Begründung, sie könnten diese aus „Datenschutz“- oder „Sicherheitsgründen“ nicht bereitstellen. In anderen Fällen dauerte es länger als die vom Fair Credit Reporting Act (FCRA) vorgeschriebenen 30 Tage, um die Informationen bereitzustellen. Einigen Kunden wurde zudem mitgeteilt, dass Amazon keinen Zugriff auf die von ihnen benötigten Unterlagen habe. Die Aufsichtsbehörde stellte fest, dass Amazon erst Anfang 2025, nach Kenntnisnahme von der Untersuchung, über Richtlinien zur Bearbeitung von Anfragen gemäß Abschnitt 609(e) verfügte.
In der Beschwerde der FTC hieß es zudem, Amazon habe sich geweigert, Unterlagen an Strafverfolgungsbehörden zur Verfügung zu stellen, die gesetzlich befugt waren, diese im Namen von Identitätsdiebstahlopfern anzufordern. Einige Verbraucher schickten Amazon sogar Kopien des Gesetzes und der FTC-Leitlinien, doch das Unternehmen stellte die angeforderten Unterlagen dennoch nicht bereit.
Im Rahmen des Vergleichs muss Amazon die Geldbuße in Höhe von 2,25 Millionen US-Dollar zahlen und den Opfern von Identitätsdiebstahl sowie den zuständigen Strafverfolgungsbehörden innerhalb von 30 Tagen die rechtmäßig angeforderten Unterlagen zur Verfügung stellen. Das Unternehmen muss zudem Kunden benachrichtigen, die seit April 2024 Unterlagen angefordert, diese jedoch nie erhalten haben, damit sie die Informationen abrufen können.
Das südkoreanische Unternehmen LocknLock wurde wegen Datenpannen mit einer Geldstrafe von 530 Millionen Won belegt
Die südkoreanische Kommission zum Schutz personenbezogener Daten (PIPC) hat gegen den Haushaltswarenhersteller LocknLock ein Bußgeld in Höhe von 530 Millionen Won (rund 337.000 US-Dollar) sowie Bußgelder in Höhe von 5,4 Millionen Won (~35.000 US-Dollar) verhängt, nachdem bei einer Reihe von Cyberangriffen personenbezogene Daten von rund 1,3 Millionen Kunden gestohlen worden waren. Die Bußgelder wurden wegen Verstößen gegen das Gesetz zum Schutz personenbezogener Daten (PIPA) verhängt.
Die Kommission erklärte, Hacker hätten im April 2024 erstmals durch Ausnutzung einer Sicherheitslücke in die Systeme des Unternehmens eingedrungen. Die Angreifer stahlen anschließend Kunden- und Mitarbeiterdaten, darunter Namen, Telefonnummern, Adressen und einige sensible Mitarbeiterdokumente.
Die Behörden stellten fest, dass LocknLock wichtige Sicherheitsupdates nicht installiert hatte, für Administratorkonten dasselbe Passwort verwendete und den Einbruch erst entdeckte, als das Unternehmen eine Erpressungsemail von den Hackern erhielt. Zusätzlich zu ben Geldbußen wurde das Unternehmen außerdem dazu verpflichtet, die Strafe auf seiner Website zu veröffentlichen.
Die Aufsichtsbehörde hat außerdem das südkoreanische BPO-Unternehmen Ubase mit einer Geldstrafe von 168 Millionen Won (ca. 105.000 Euro) und den Foto- und Videogerätehändler SUN-PHOTO mit einer Geldstrafe von 30 Millionen Won (ca. 18.750 Euro) belegt, nachdem bei separaten Datenschutzverletzungen personenbezogene Daten von 1.852 bzw. rund 170.000 Nutzern offengelegt wurden.
Im Juni wurde Südkoreas größter Online-Händler Coupang mit einer Geldstrafe in Höhe von 624,7 Milliarden Won (409 Millionen US-Dollar) belegt, nachdem ein schwerwiegendes Datenleck im vergangenen Jahr die personenbezogenen Daten von über 30 Millionen Kunden preisgab. Die Strafe ist die höchste jemals wegen eines Verstoßes gegen den Schutz personenbezogener Daten verhängte und übertrifft die bisherige Rekordstrafe, die im Oktober 2025 gegen SK Telecom verhängt wurde.
Italien verhängt Strafe gegen den Character.AI-Hersteller wegen GDPR- und Kindersicherheitsverstößen
Die italienische Datenschutzbehörde hat Character Technologies eine Geldbuße in Höhe von 158.000 € wegen Verstoßes gegen die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union verhängt. Die Geldbuße ist innerhalb von 30 Tagen nach Zustellung zu zahlen und folgt einer Untersuchung darüber, wie die KI-Plattform die personenbezogenen Daten der Nutzer verarbeitet und Minderjährige schützt.
Character Technologies ist ein US-amerikanisches Unternehmen hinter Character.AI, einem Chatbot-Dienst, bei dem Nutzer mit KI-generierten Charakteren chatten können, darunter virtuelle Assistenten und Rollenspielfiguren.
Die italienische Aufsichtsbehörde erklärte, das Unternehmen habe keine ausreichend klaren Informationen darüber vorgelegt, wie die Daten der Nutzer erhoben und verwendet werden, and das Altersverifikationssystem des Dienstes sei nicht wirksam genug.
Der Garante erklärte, dass Character Technologies sein Altersprüfungssystem verbessern, die Maßnahmen verstärken, die verhindern, dass gesperrte Minderjährige neue Konten erstellen, und die Profile minderjähriger Nutzer standardmäßig privat einstellen müsse.
Die Regulierungsbehörde stellte zudem fest, dass das Unternehmen eine vorgeschriebene Datenschutz-Folgenabschätzung nicht durchgeführt und innerhalb der vorgeschriebenen Frist keinen EU-Vertreter benannt hat.
Im April verhängte die italienische Datenschutzaufsichtsbehörde gegen Intesa Sanpaolo eine Geldbuße in Höhe von 31,8 Millionen Euro, nachdem eine Untersuchung ergeben hatte, dass ein Mitarbeiter mehr als 6.600 Mal unbefugt auf die persönlichen Bankdaten von über 3.500 Kunden zugegriffen hatte. Die Aufsichtsbehörde kam zu dem Schluss, dass die internen Kontrollen der Bank den unbefugten Zugriff nicht erkannt hatten.
Ofcom verhängt gegen Website für Erwachseneninhalte Geldstrafe von £630,000 wegen Verstößen gegen den Online Safety Act
Die britische Aufsichtsbehörde Ofcom hat gegen den Betreiber einer Plattform für Erwachseneninhalte eine Geldstrafe in Höhe von 630.000 £ (~840.000 $) wegen Verstoßes gegen den Online Safety Act verhängt.
Die Geldbuße umfasst 600.000 £ für das Versäumnis, geeignete Altersprüfungen einzurichten, um Kinder am Zugriff auf pornografische Inhalte zu hindern. Weitere 30.000 £ (~40.000 $) wurden verhängt, nachdem das Unternehmen die von Ofcom angeforderten Informationen nicht vorgelegt hatte.
Nach der Maßnahme von Ofcom blockierte Fapello[.]com den Zugang für Nutzer im Vereinigten Königreich.
Ofcom hat zudem eine neue Ermittlung gegen Bit Hive, den Betreiber von Eporner[.]com, eingeleitet, um zu prüfen, ob dessen Altersüberprüfungssystem den gesetzlichen Anforderungen entspricht. Die Regulierungsbehörde hat außerdem ihre Ermittlung gegen Kemono[.]cr ausgeweitet, da Bedenken bestehen, dass die Plattform amtlichen Anfragen möglicherweise nicht nachgekommen ist.
Mexikanischer Fußballverband mit Geldstrafe von rund 1,95 Mio. € wegen Datenschutzverstößen bei FAN ID
Der mexikanische Fußballverband (FMF) wurde vom mexikanischen Sekretariat für Korruptionsbekämpfung und gute Regierungsführung mit Geldstrafe in Höhe von 42,8 Millionen Pesos (etwa 1,95 Millionen Euro) belegt, nachdem er gegen Datenschutzgesetze im Zusammenhang mit dem digitalen Identifikationssystem FAN ID verstoßen hatte.
Die Behörden stellten fest, dass die FMF die Nutzer nicht klar darüber informiert hatte, dass die zur Erstellung einer FAN ID erhobenen Gesichtsfotos als sensible personenbezogene Daten gelten, was die Fans daran hinderte, vollständig zu verstehen, wie ihre biometrischen Daten verarbeitet würden.
Das Sekretariat stellte außerdem fest, dass der Verband nicht die gesetzlich vorgeschriebene ausdrückliche, schriftliche Einwilligung zur Verarbeitung sensibler personenbezogener Daten eingeholt hatte. Stattdessen nutzte der Verband ein Kontrollkästchen auf einer Website, um die Registrierung zu autorisieren, was nach Ansicht der Behörde nicht den gesetzlichen Anforderungen entsprach.
Die Behörde stellte zudem fest, dass die FMF ihre gesetzlichen Pflichten nicht erfüllt habe, da sie die erforderlichen Maßnahmen unterlassen habe, um eine ordnungsgemäße Verarbeitung personenbezogener Daten sicherzustellen.
Was kommt als Nächstes?
- Fordern Sie eine kostenlose Produktdemo oder Preisinformationen an.
- Registrieren Sie sich für unsere Webinare und Produktschulungen.
- Lesen Sie unseren wöchentlichen Blog „Cybercrime Investigations“
- Folgen Sie uns auf LinkedIn, X, Telegram und WhatsApp
- Abonnieren Sie unseren Newsletter
- Nehmen Sie an unserem Partnerprogramm teil.