Ausgabe #13 | Oktober 2026, Woche 2

Italienische Datenschutzbehörde verhängt 7-Mio.-Euro-Geldbuße gegen IQVIA

Geltungsbereich

Italien

Rechtsname des Verletzers

IQVIA Solutions Italy Srl

Sitz des Rechtsverletzers

Italien

Behaupteter Verstoß

Mangelnder Schutz der Gesundheitsdaten

Vollstreckungsmaßnahme

Geldbuße in Höhe von 7 Millionen Euro

Verfahrensstatus

Verwaltungsmaßnahme

Die italienische Datenschutzbehörde Garante hat gegen IQVIA Solutions Italy Srl, ein Unternehmen, das Informationen, Analysen und Beratungsdienstleistungen im Gesundheitswesen anbietet, eine Geldbuße in Höhe von 7 Millionen Euro wegen der Verarbeitung von Gesundheitsdaten von rund einer Million Patienten verhängt.

Das Unternehmen, das im Bereich Gesundheitsdaten und klinischer Forschung tätig ist, erstellte eine Datenbank mit Informationen von 800 Hausärzten für Studien, die von Pharmaunternehmen finanziert wurden. Nach Angaben der Aufsichtsbehörde waren die Informationen nicht anonymisiert. Patientencodes ermöglichten es, Personen über einen längeren Zeitraum nachzuvollziehen, und Angaben wie Alter, Geschlecht, Diagnosen, Medikamente, Tests, Impfungen und Standort konnten ebenfalls zur Identifizierung von Patienten genutzt werden.

Die Aufsichtsbehörde stellte zudem fest, dass IQVIA Gesundheitsdaten ohne gültige Rechtsgrundlage verarbeitet hatte und nicht klar erklärt hatte, wie die Daten verwendet wurden. Das Unternehmen hatte zudem keine klaren Aufbewahrungsfristen festgelegt, wobei einige Daten bis ins Jahr 2001 zurückreichten.

Zu den weiteren Problemen zählten das Fehlen einer erforderlichen Folgenabschätzung sowie unzureichende Sicherheitsmaßnahmen. Die Datenbank enthielt zudem Namen, Steuernummern, Adressen und Kontaktdaten von mehr als 3.300 Patienten, wobei über 3.000 von ihnen mit Gesundheitsdaten verknüpft waren.

Dem Unternehmen wurden 120 Tage eingeräumt, seine Datenverarbeitung an die Vorschriften anzupassen, wenn es seinen Betrieb fortsetzen möchte. Andernfalls müssen die Daten von Ärzten unabhängig unter Einhaltung der von der Aufsichtsbehörde festgelegten Sicherheitsvorkehrungen anonymisiert werden.

In einer separaten Entscheidung hat der Garante das in Bologna ansässige Sicherheitsunternehmen La Patria mit einer Geldbuße in Höhe von 39.000 € belegt, da es gegen die DSGVO im Zusammenhang mit Mitarbeiterdaten verstoßen hatte. Der Fall ging auf die Beschwerde eines ehemaligen Mitarbeiters zurück, nachdem das Unternehmen sich geweigert hatte, ihm GPS-Daten seines Dienstwagens zur Verfügung zu stellen, die er in einem disziplinarrechtlichen Streit verwenden wollte. Die Behörde stellte fest, dass das Unternehmen seinen Auskunftsanspruch nicht ordnungsgemäß beantwortet und die Mitarbeiter nicht angemessen über die Verarbeitung der GPS-Daten informiert hatte. Zudem wurden Ungenauigkeiten in den Datenschutzerklärungen des Unternehmens festgestellt.

Zudem wurde das National Institute of Metrological Research (NRIM) in Turin wegen des unrechtmäßigen Einsatzes seines Videoüberwachungssystems mit einer Geldbuße in Höhe von 10.000 € belegt. Das Institut hatte mit den Gewerkschaften vereinbart, wo die Kameras installiert werden durften, fügte jedoch später acht Kameras hinzu und veränderte deren Positionen, ohne die Mitarbeiter zu informieren. Die Kameras wurden während der Arbeitszeit aktiviert, was zur unrechtmäßigen Erhebung personenbezogener Daten von Mitarbeitern und Besuchern führte.

Rumänien verhängt Bußgeld gegen Lebensmittelunternehmen wegen Biometriedaten

Geltungsbereich

Rumänien

Rechtsname des Verletzers

TIP TOP FOOD INDUSTRY

Sitz des Rechtsverletzers

Rumänien

Behaupteter Verstoß

Rechtswidrige Verarbeitung biometrischer Daten

Vollstreckungsmaßnahme

Bußgeld von 5.000 €

Verfahrensstatus

Verwaltungsmaßnahme

Die rumänische Nationale Aufsichtsbehörde für die Verarbeitung personenbezogener Daten (ANSPDCP) hat gegen TIP TOP FOOD INDUSTRY eine Geldbuße in Höhe von 26.236 RON (ca. 5.000 €) wegen der unrechtmäßigen Verarbeitung biometrischer Daten von Mitarbeitern verhängt. Die Strafe erging auf eine Beschwerde eines Individuums darüber, wie das Unternehmen die Fingerabdrücke von Mitarbeitern für die Zugangskontrolle und die Arbeitszeiterfassung nutzt.

Laut ANSPDCP verarbeitete das Unternehmen biometrische Daten seiner Mitarbeiter ohne gültige Rechtsgrundlage und verstieß damit gegen Artikel 9 der EU-Datenschutz-Grundverordnung (DSGVO). Die Behörde stellte zudem einen Verstoß gegen Artikel 5 Absatz 1 Buchstabe c fest, der den Grundsatz der Datenminimierung festlegt.

Zusätzlich zur Geldbuße wies die ANSPDCP TIP TOP FOOD INDUSTRY an, ihr auf Fingerabdrücken basierendes Zugangskontroll- und Zeiterfassungssystem durch eine alternative Lösung zu ersetzen, die für dieselben Zwecke genutzt werden kann, ohne biometrische Daten zu verarbeiten.

Unabhängig davon hat die Behörde gegen den Callcenter-Betreiber GLOBAL CUSTOMER CARE SERVICES S.R.L. eine Geldbuße in Höhe von 26.294 RON (5.000 €) verhängt, nachdem ein Cyberangriff zu einem unbefugten Zugriff auf personenbezogene Daten, darunter auch Informationen zu Mitarbeitern und ehemaligen Mitarbeitern, geführt hatte. Die Behörde stellte fest, dass das Unternehmen nicht über die gemäß der DSGVO erforderlichen angemessenen Sicherheitsmaßnahmen verfügte, und ordnete an, die IT-Sicherheit durch die Implementierung von Zugriffsüberwachungs- und Protokollierungssystemen sowie die Aufbewahrung von Aktivitätsprotokollen für mindestens 30 Tage zu verbessern.

Schulverbund Zuid-Kempen droht eine DSGVO-Geldbuße in Höhe von 1.000 Euro

Geltungsbereich

Belgien

Rechtsname des Verletzers

OZCS

Sitz des Rechtsverletzers

Belgien

Behaupteter Verstoß

Nichteinhaltung der Grundsätze der DSGVO

Vollstreckungsmaßnahme

Bußgeld in Höhe von 1.000 €

Verfahrensstatus

Verwaltungsmaßnahme

Einer belgischen Schulgruppe droht möglicherweise eine GDPR-Geldbuße in Höhe von 1.000 €, nachdem ein Berater des Europäischen Gerichtshofs erklärt hat, dass privat geführte, staatlich finanzierte Schulen nicht vor solchen Strafen geschützt sind.

Der Fall begann 2019, als ein Vater Beschwerde erhob, nachdem die Schule seines Kindes den Schülern eine Online-Umfrage zu ihrem Wohlbefinden zugestellt hatte, ohne die Eltern vorher zu informieren. Er gab an, die Schule habe keine Einwilligung eingeholt, mehr Daten als nötig erhoben und nicht ordnungsgemäß erläutert, wie die Daten verwendet würden.

Die belgische Datenschutzbehörde stellte später vier DSGVO-Verstöße fest und verhängte zunächst eine Geldbuße in Höhe von 2.000 € gegen die Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen VZW, bekannt als OZCS. Die Geldbuße wurde später auf 1.000 € herabgesetzt.

OZCS argumentierte, dass das belgische Recht öffentliche Behörden vor Datenschutzbußgeldern schütze. Da seine Schulen öffentliche Mittel erhielten und eine öffentliche Dienstleistung erbrächten, sollte OZCS denselben Schutz genießen. Generalanwalt Manuel Campos Sánchez-Bordona widersprach dem jedoch in einer am 10. September 2026 abgegebenen Stellungnahme. Er erklärte, die belgische Regelung könne eine Geldbuße gegen eine privat geführte Organisation nicht verhindern, nur weil diese öffentlich geförderte Bildung anbiete.

Der Rechtsstreit hat mehrfach belgische Gerichte durchlaufen. Der belgische Kassationsgerichtshof bat schließlich den EU-Gerichtshof in Luxemburg um eine Klärung der Rechtslage. Die Rechtssache C-458/25 betrifft die Frage, ob privat geführte Organisationen, die Aufgaben im öffentlichen Interesse wahrnehmen, gemäß der DSGVO mit Geldbußen belegt werden können. Die Stellungnahme des Generalanwalts ist keine endgültige Entscheidung. Der Gerichtshof wird die endgültige Entscheidung treffen.

Kroatien verhängt gegen Glücksspielanbieter eine Geldstrafe in Höhe von 2,59 Mio. € wegen Verstößen gegen die DSGVO

Geltungsbereich

Kroatien

Rechtsname des Verletzers

Unbenannter Glücksspielanbieter

Sitz des Rechtsverletzers

Kroatien

Behaupteter Verstoß

Rechtswidrige Verarbeitung biometrischer Daten

Vollstreckungsmaßnahme

Geldbuße von 2,59 Mio. €

Verfahrensstatus

Verwaltungsmaßnahme

Die kroatische Datenschutzbehörde hat gegen einen namentlich nicht genannten Glücksspielanbieter eine Geldbuße in Höhe von 2,59 Millionen Euro wegen mehrfacher Verstöße gegen die Datenschutz-Weizungen-Grundverordnung (DSGVO) verhängt, darunter die unrechtmäßige Verarbeitung biometrischer Daten und fehlende gültige Einwilligung.

Die Untersuchung ergab, dass der Betreiber den Spielern zusätzlich zur Identifizierung per Ausweis die Möglichkeit bot, sich über einen RFID-Chip oder Fingerabdrücke zu identifizieren. Obwohl der Betreiber angab, zwei Fingerabdrücke erfasst zu haben, stellten die Behörden fest, dass vier Fingerabdrücke erfasst und zur biometrischen Identifizierung verwendet wurden.

Die Behörde entschied, dass die Erfassung von vier Fingerabdrücken zum Zweck der Identifizierung von Spielern unverhältnismäßig sei. Der Betreiber argumentierte, dass zusätzliche Fingerabdrücke als Backup erforderlich seien, falls die Haut eines Spielers beschädigt sei, doch die Behörde stellte fest, dass er nicht nachgewiesen habe, warum ein solches Volumen an biometrischen Daten notwendig sei.

Die Behörde stellte zudem fest, dass die Einwilligung zur biometrischen Datenverarbeitung ungültig war. In den Einwilligungserklärungen wurden verschiedene Verarbeitungszwecke zusammengefasst, sodass die Spieler keine separaten Entscheidungen über die optionale biometrische Datenverarbeitung treffen konnten.

Zudem enthielten die Registrierungsunterlagen unvollständige und widersprüchliche Angaben zu den Zwecken und Rechtsgrundlagen der Verarbeitung personenbezogener Daten. Die Behörde erklärte, dass die Spieler nicht ausreichend klar darüber informiert worden seien, wie ihre Daten, einschließlich Fingerabdrücke, verwendet würden.

Die rumänische DNSC verhängt erste Geldbuße nach NIS2-Meldevorschriften

Geltungsbereich

Rumänien

Rechtsname des Verletzers

Unbenannte Einrichtung der Zentralregierung

Sitz des Rechtsverletzers

Rumänien

Behaupteter Verstoß

Nichteinhaltung der NIS2-Anforderungen

Vollstreckungsmaßnahme

Bußgeld in Höhe von 9.350 €

Verfahrensstatus

Verwaltungsmaßnahme

Die rumänische Nationale Direktion für Cybersicherheit (DNSC) hat gegen eine Einrichtung der zentralen öffentlichen Verwaltung ein Bußgeld in Höhe von 50.000 Lei (etwa 9.350 €) verhängt, da diese eine Meldefrist gemäß dem NIS2-Cybersicherheitsrahmen des Landes nicht eingehalten hatte.

Die Sanktion wurde am 29. September 2026 verhängt. DNSC gab den Namen der Behörde nicht bekannt.

Laut DNSC hat die Einrichtung die in Artikel 18 Absatz 2 der Notverordnung Nr. 155/2024 festgelegte Meldepflicht nicht erfüllt. Diese Bestimmung verpflichtet Einrichtungen im Geltungsbereich der Rechtsvorschrift, sich beim DNSC zur Registrierung als systemrelevante oder wichtige Einrichtung anzumelden.

Die Nichteinhaltung stellt einen Verstoß gemäß Artikel 60 Absatz 1 Buchst. o derselben Verordnung dar. Die DNSC erklärte, dies sei die erste Sanktion, die sie wegen Nichteinhaltung dieser Meldepflicht verhängt habe.