BBVA wird hart bestraft, weil es einen Kunden, der ausdrücklich widersprochen hatte, mit Spam bombardiert hat, während Grindr 26 Mio. £ zahlt, um Datenschutzklagen zum Schweigen zu bringen. An anderer Stelle erfassen die Aufsichtsbehörden Extia, Telia und zwielichtige Zahlungsabwickler, die das Löschungsrecht ignorierten oder Betrug ermöglichten.

Mehr

Aufrufe:6.9k Lesezeit:4 Min.

Ausgabe Nr. 10 | September 2026, Woche 3

BBVA Italia: 5,5 Mio. € Bußgeld wegen Ignorieren von Datenschutzantrag

Die italienische Datenschutzbehörde Garante hat eine Reihe von Geldbußen gegen mehrere Unternehmen wegen verschiedener Datenschutzverstöße verhängt.

Insbesondere wurde Banco Bilbao Italia (BBVA) mit einer Geldbuße von mehr als 5,5 Millionen Euro belegt, da sie einem Kunden Werbebotschaften zusandte, nachdem dieser eindeutig „Nein“ gesagt hatte. Wegen einer technischen Störung zwischen den Systemen der Bank wurden die Nachrichten sieben Monate lang weitergesendet. Die Aufsichtsbehörde erklärte, dass die Erfassung einer Kundenablehnung nicht ausreiche und dass die Bank sicherstellen müsse, dass diese Entscheidung in ihren gesamten Systemen beachtet werde. BBVA wurde außerdem angeordnet, ihre technischen und organisatorischen Verfahren zur Bearbeitung von Datenschutzanfragen zu verbessern.

Die Aufsichtsbehörde hat außerdem die Gesundheitsbehörde der Universität Zentralfriaul (ASUFC) in Udine mit 24.000 € belegt, da Krankenhauspersonal auf die Krankenakten von Mitarbeitern zugreifen konnte, ohne an deren Behandlung beteiligt zu sein. Dem System fehlten angemessene Zugriffskontrollen und Warnungen. Die ASUFC wurde angewiesen, die Sicherheit und Überwachung zu verbessern.

ASIS Trento, die öffentliche Sonderbehörde, die Sportanlagen für die Stadt Trient verwaltet und unterhält, wurde mit einer Geldstrafe von 8.000 € belegt, weil sie Kameras in Umkleideräumen einsetzte, um Diebstähle zu verhindern. Die Kameras verstießen gegen Datenschutzbestimmungen, da Umkleideräume Bereiche sind, in denen eine hohe Erwartung an Privatsphäre besteht, so die Aufsichtsbehörde. ASIS entfernte die Kameras, verbesserte die Hinweise und verkürzte die Datenhaltungsfrist.

Abschließend wurde die regionale Arbeitsagentur der Emilia-Romagna mit einer Geldstrafe von 30.000 € belegt, weil sie während eines Einstellungsverfahrens eines Krankenhauses die Namen von Personen veröffentlicht hatte, die bei Arbeitsämtern registriert waren. Durch die Veröffentlichung konnten sensible personenbezogene Daten offengelegt werden. Die Behörde erklärte, die Agentur hätte die Daten anonymisieren müssen, anstatt sie online zu veröffentlichen.

Grindr legt britische Datenschutzklage für 26 Mio. £ bei

Die LGBTQ+-Dating-App Grindr hat sich bereit erklärt, 26 Millionen Pfund (30,3 Millionen Euro) zu zahlen, um einen Rechtsstreit in Großbritannien beizulegen, in dem dem Unternehmen vorgeworfen wurde, sensible Nutzerdaten – darunter den HIV-Status – an Werbetreibende weitergegeben zu haben.

Die Klage wurde im April 2024 im Namen von etwa 12.000 britischen Nutzern erhoben. Die mutmaßliche Datenweitergabe fand vor 2020 statt, als Grindr noch im Besitz des chinesischen Unternehmens Kunlun war.

Im Rahmen des Vergleichs wird Grindr bis Ende Dezember 2026 13 Millionen Pfund (~15,2 Millionen Euro) und bis Ende März 2027 weitere 13 Millionen Pfund zahlen.

Grindr hat die Vorwürfe zurückgewiesen und erklärt, dass der Vergleich kein Schuldeingeständnis beinhalte. Das Unternehmen gab an, seine Datenschutzpraktiken seit 2020 erheblich geändert zu haben und sich weiterhin für den Schutz der Nutzerdaten einzusetzen.

Tech-Berater Extia wegen DSGVO-Verstoßes mit 300.000 € Strafe belegt

Die französische Datenschutzbehörde, die Commission nationale de l’informatique et des libertés (CNIL), hat dem IT- und Ingenieurberatungsunternehmen Extia eine Geldbuße in Höhe von 300.000 Euro verhängt, weil es Löschanfragen von Personen gemäß der General Data Protection Regulation (GDPR) der Europäischen Union nicht ordnungsgemäß bearbeitet hatte.

Die Untersuchung der CNIL folgte auf mehrere Beschwerden im Jahr 2024 von ehemaligen Extia-Mitarbeitern und Bewerbern, die Schwierigkeiten bei der Ausübung ihres „Rechts auf Vergessenwerden“ gemäß Artikel 17 der DSGVO meldeten.

Die Behörde stellte fest, dass Extia im Jahr 2024 265 Löschanträge erhalten hatte, vorwiegend von Bewerbern und ehemaligen Mitarbeitern. Laut CNIL wurden mehr als drei Viertel der Anträge entweder nicht bearbeitet oder nicht zufriedenstellend abgewickelt.

Extia argumentierte, dass viele Anfragen Bewerber betrafen, deren personenbezogene Daten bereits automatisch gelöscht worden waren. Die CNIL erklärte jedoch, dass das Unternehmen auch im Falle einer Löschung der Daten verpflichtet sei, die Betroffenen über das Ergebnis ihrer Anfragen zu informieren.

Die Behörde stellte fest, dass Extia gegen Artikel 17 verstoßen hat, da es Löschungsanfragen nicht angemessen bearbeitet hat, sowie gegen Artikel 12, da es die betroffenen Personen nicht über die Ergebnisse informiert hat.

Die CNIL stellte fest, dass Extia Korrekturmaßnahmen ergriffen hat, darunter die Löschung der betreffenden Daten und die Unterrichtung der betroffenen Personen über die ergriffenen Maßnahmen. Trotz dieser Maßnahmen verhängte die Behörde ein Bußgeld in Höhe von 300.000 Euro wegen früherer Verstöße des Unternehmens gegen die DSGVO.

Der schwedische Telekommunikationsanbieter Telia wurde mit einer Geldbuße von 1 Mio. SEK belegt, nachdem er versehentlich Daten gelöscht hatte.

Der große schwedische multinationale Telekommunikationsanbieter Telia wurde von der schwedischen Post- und Telekommunikationsbehörde (PTS) mit einer Geldstrafe in Höhe von 1 Million SEK (rund 88.600 €) belegt, nachdem das Unternehmen versehentlich Daten gelöscht hatte, die zu Strafverfolgungszwecken gespeichert waren. Der Vorfall war auf einen Softwarefehler zurückzuführen, der dazu führte, dass gespeicherte Daten früher als vorgesehen gelöscht wurden.

Die Daten wurden zu Strafverfolgungszwecken aufbewahrt und hätten zehn Monate lang gespeichert werden müssen. Nach einem Software-Update wurden jedoch einige Daten bereits nach zehn Tagen gelöscht.

Infolgedessen könnten rund 100 Anfragen von Strafverfolgungsbehörden falsch beantwortet worden sein. Telia könnte angegeben haben, dass kein Abonnent mit einer bestimmten IP-Adresse verknüpft sei, obwohl tatsächlich einer existiert haben könnte, so die Regulierungsbehörde.

Der Fehler wurde etwa zehn Monate später entdeckt, und Telia meldete den Vorfall der PTS. Die Behörde erklärte, der Vorfall habe ein Schadensrisiko begründet, obwohl es keine Hinweise auf tatsächlich eingetretene Schäden gebe. Dennoch entschied die Behörde, dass Telia eine Geldstrafe in Höhe von 1 Million SEK zahlen muss.

Demo anfordern

ImmuniWeb kann Ihnen helfen, Datenpannen zu verhindern und regulatorische Anforderungen zu erfüllen.

Zahlungsabwickler wegen betrügerischer Zahlungsabwicklung mit 12-Mio.-Strafe belegt

Die US-amerikanische Federal Trade Commission (FTC) ist gegen den Zahlungsabwickler Humboldt Merchant Services vorgegangen und wirft dem Unternehmen vor, wissentlich Zahlungen für mehr als 1.000 zwielichtige Händler abgewickelt zu haben, die mit betrügerischen Unternehmen in Verbindung stehen.

Laut dem vorgeschlagenen Beschluss wird Humboldt 12 Millionen Dollar als Verbraucherentschädigung zahlen und dauerhaft von der Zahlungsabwicklung für bestimmte risikoreiche Händler ausgeschlossen. Nach Angaben der FTC eröffnete Humboldt Konten für Briefkastenfirmen, obwohl Anzeichen darauf hindeuteten, dass diese zur Unterstützung von unautorisiertem Abrechnungsbetrug und anderen Betrugsdelikten genutzt wurden.

Die FTC behauptet zudem, dass viele der Konten extrem hohe Chargeback-Quoten aufwiesen. In einigen Fällen soll Humboldt Transaktionen auf eine Bankidentifikationsnummer mit geringerem Risiko umgeleitet haben, um die Wahrscheinlichkeit zu erhöhen, dass Zahlungen genehmigt würden.

Die vorgeschlagene Anordnung würde Humboldt untersagen, Zahlungen für Strohfirmen, Händler, die wegen Betrugs oder übermäßiger Rückbuchungen gemeldet wurden, Unternehmen, gegen die Strafverfolgungsmaßnahmen ergriffen wurden, sowie bestimmte risikoreiche E-Commerce-Unternehmen abzuwickeln. Zudem wäre es dem Unternehmen verboten, Händlern zu helfen, falsche Angaben zu machen oder Betrugs- und Risikoüberwachungssysteme zu umgehen.

Separiert verhängte die Behörde verhängte dem globalen Zahlungsabwickler Nuvei eine Geldstrafe in Höhe von 4,85 Millionen US-Dollar, weil dieser Zahlungen für Unternehmen abwickelte, die an betrügerischen Aktivitäten beteiligt waren, darunter Tech-Support-Betrugsmaschen. Die vorgeschlagene Anordnung verbietet es Nuvei, Zahlungsdienste an Personen anzubieten, die Tech-Support-Produkte oder -Dienstleistungen über Telemarketing oder irreführende Pop-up-Meldungen verkaufen, die behaupten, dass ein Computer oder anderes Gerät Sicherheits- oder Leistungsprobleme habe.

Nuvei ist zudem untersagt, falsche oder irreführende Angaben zu machen, um Händlerkonten oder Zahlungsabwicklungsdienste zu erhalten, sowie Taktiken wie Lastenausgleich einzusetzen, um Betrugs- oder Risikoüberwachungssysteme von Banken und Kreditkartennetzwerken zu umgehen.

Im Rahmen des Vergleichs ist Nuvei verpflichtet, Mittel für Rückerstattungen an Verbraucher bereitzustellen und die Überprüfung und Überwachung von Händlern zu verstärken, um zu verhindern, dass betrügerische Unternehmen seine Zahlungsdienste nutzen.

Mehr

Tags:Datenschutzrecht Datenschutzrecht Gesetz zur Meldung von Datenschutzverstößen Geldstrafen Datenpanne GDPR Datenschutzverstöße Vergleich Bankbetrug

Was kommt als Nächstes?