Ausgabe Nr. 14 | Oktober 2026, Woche 3

Irische Aufsichtsbehörde stellt Verstöße gegen die DSGVO in einer Einrichtung von Children’s Health Ireland fest

Geltungsbereich

Irland

Rechtsname des Verletzers

Children’s Health Ireland (CHI)

Sitz des Rechtsverletzers

Irland

Behaupteter Verstoß

Mangelhafter Schutz von Kinderdaten

Vollstreckungsmaßnahme

Eine Rüge und die Anordnung zur Durchführung von Datenschutz-Folgenabschätzungen

Verfahrensstatus

Verwaltungsmaßnahme

Die irische Datenschutzkommission (DPC) hat festgestellt, dass Children’s Health Ireland (CHI) in ihrer Einrichtung im Tallaght University Hospital gegen die DSGVO-Vorschriften zur Sicherheit und Vertraulichkeit von Gesundheitsakten von Kindern verstoßen hat.

Die Entscheidung, die CHI am 10. September 2026 zugestellt wurde, folgt auf eine im August 2025 eingeleitete Untersuchung, nachdem geschützte Meldungen Bedenken hinsichtlich der Verarbeitung und Sicherheit von Papierpatientenakten hervorgerufen hatten.

Die DPC erfuhr zudem, dass Dokumente mit sensiblen personenbezogenen Daten von Kindern aus einem Container für vertrauliche Abfälle ausgequollen und später entfernt worden waren. Der Container befand sich neben der Tür des Büros eines Nicht-Facharztes im Krankenhaus.

Die Datenschutzbehörde stellte fest, dass CHI gegen Artikel 5 Abs. 1 lit. f und Artikel 32 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) verstoßen hat. Artikel 5 Abs. 1 lit. f verlangt, dass personenbezogene Daten vertraulich und sicher aufbewahrt werden, während Artikel 32 Organisationen verpflichtet, angemessene Sicherheitsmaßnahmen zum Schutz personenbezogener Daten zu ergreifen.

Die DPC erteilte CHI einen Verweis und wies sie an, Datenschutz-Folgenabschätzungen zur Speicherung von Gesundheitsdaten und zur Entsorgung von vertraulichem Abfall durchzuführen. CHI muss zudem die in den Abschätzungen festgestellten Sicherheitsmaßnahmen und Verfahren vollständig umsetzen. CHI wurde angewiesen, die abgeschlossenen Abschätzungen innerhalb von vier Wochen nach Erlass der Entscheidung bei der DPC einzureichen.

Italienische Datenschutzbehörde verhängt Geldbußen gegen zwei Einrichtungen wegen Datenschutzverstößen

Geltungsbereich

Italien

Rechtsname des Verletzers

Mehrere Einrichtungen

Sitz des Rechtsverletzers

Italien

Behaupteter Verstoß

Verstoß gegen die DSGVO-Vorschriften

Vollstreckungsmaßnahme

Ein Bußgeld von 8.000 Euro; ein Bußgeld von 4.000 Euro

Verfahrensstatus

Verwaltungsmaßnahme

Die italienische Datenschutzbehörde Garante hat gegen zwei Unternehmen wegen Verstößen gegen die DSGVO-Vorschriften Geldbußen verhängt. Im ersten Fall hat die Behörde gegen die Stiftung Rome Technopole eine Geldbuße von 8.000 € verhängt, da diese die personenbezogenen Daten von 480 Stipendienbewerbern unrechtmäßig online veröffentlicht hatte.

Die Ermittlungen begannen, nachdem ein Student eine Beschwerde über eine Excel-Datei eingereicht hatte, die die Rangliste der erfolgreichen Bewerber für Stipendien für Erststudienabsolventen enthielt. Die auf der Website der Stiftung veröffentlichte Datei enthielt sensible personenbezogene Daten wie Wohnadressen, Steuernummern, Geburtsdaten, E-Mail-Adressen, Angaben zu Ausweisdokumenten, Hochschulunterlagen und Bankkontodaten, einschließlich IBANs.

Als Reaktion auf die Auskunftsanfrage der Behörde erklärte die Stiftung, sie habe die Datei etwa 12 Stunden nach der Veröffentlichung entfernt. Sie erläuterte, der Vorfall sei auf ein Missverständnis der Vorschriften zur Verwaltungstransparenz zurückzuführen.

Garante stellte fest, dass die Stiftung gegen die Grundsätze der Rechtmäßigkeit und Datenminimierung nach dem Datenschutzrecht verstoßen hatte und keine ausreichende Rechtsgrundlage für die Veröffentlichung der Informationen vorlag.

Der zweite Fall betrifft die Gemeinde Arvier, die wegen mehrerer Verstöße im Zusammenhang mit ihrem Videoüberwachungssystem 4.000 Euro zahlen muss. Die Untersuchung folgte einer Beschwerde einer Bürgerin, wonach eine Kamera ihr Haus, einschließlich der Fenster und Balkone, filmte. Die Aufsichtsbehörde stellte fest, dass dem System eine klare Rechtsgrundlage fehlte, es unnötige Aufnahmen von Privatgrundstücken erfasste und die Öffentlichkeit unzureichend informierte. Außerdem identifizierte sie Schwachstellen in der Datenschutz-Folgenabschätzung der Gemeinde.

Die Gemeinde wurde angewiesen, ihre Kameras zu überprüfen, deren Blickwinkel anzupassen, Privathäuser bei Bedarf durch Bildmaskierung zu schützen, die Zwecke der Überwachung zu klären sowie ihre Datenschutzhinweise und die Datenschutz-Folgenabschätzung zu verbessern.

FCC schlägt Bußgelder in Höhe von über 10 Mio. US-Dollar wegen Betrugs bei Lifeline-Anträgen vor

Geltungsbereich

Vereinigte Staaten

Rechtsname des Verletzers

AirVoice Wireless und TAG Mobile

Sitz des Rechtsverletzers

Vereinigte Staaten

Behaupteter Verstoß

Fernkommunikationsbetrug

Vollstreckungsmaßnahme

Vorgeschlagene Bußgelder von 2,67 Mio. US-Dollar bzw. 7,45 Mio. US-Dollar

Verfahrensstatus

Verwaltungsmaßnahme

Die US-amerikanische Federal Communications Commission (FCC) schlägt gegen zwei Mobilfunkanbieter Geldstrafen in Höhe von über 10 Millionen US-Dollar vor, denen Betrug im Zusammenhang mit einem Bundesprogramm vorgeworfen wird, das einkommensschwachen Haushalten bei der Bezahlung von Telefondiensten hilft.

AirVoice Wireless und TAG Mobile, beide betrieben von der in Houston ansässigen HTH Communications, werden beschuldigt, doppelte Erstattungsanträge eingereicht, falsche Bescheinigungen ausgestellt und gegen Bundesvorschriften verstoßen zu haben.

Die Unternehmen sollen angeblich Anträge für dieselben Abonnenten eingereicht und dabei teilweise deren Adressen geändert haben, um Zahlungen für dieselbe Person in verschiedenen Bundesstaaten zu erhalten. Die Behörde warf den Unternehmen zudem möglichen Wire Fraud und Verstöße gegen die Programmregeln vor.

Die FCC schlägt eine Geldstrafe in Höhe von 2,67 Millionen Dollar gegen AirVoice Wireless wegen 74 doppelter Abrechnungen und drei unzulässiger Erstattungsanträge vor. TAG Mobile droht eine vorgeschlagene Geldstrafe in Höhe von 7,45 Millionen Dollar wegen 318 doppelter Abrechnungen und drei unzulässiger Anträge sowie weiterer mutmaßlicher Verstöße.

Norwegen verhängt gegen Microsofts Xandr 8-Mio.-€-Buße wegen Grindr-Nutzerdaten

Geltungsbereich

Norwegen

Rechtsname des Verletzers

Xandr

Sitz des Rechtsverletzers

Vereinigte Staaten

Behaupteter Verstoß

Illegale Weitergabe personenbezogener Daten

Vollstreckungsmaßnahme

Bußgeld in Höhe von 8 Millionen Euro

Verfahrensstatus

Verwaltungsmaßnahme

Die norwegische Datenschutzbehörde (Datatilsynet) hat gegen Xandr, die Werbetech-Sparte von Microsoft, eine Geldbuße in Höhe von 92 Millionen norwegischen Kronen (etwa 8 Millionen Euro) verhängt, weil das Unternehmen sensible personenbezogene Daten von Grindr-Nutzern ohne gültige Rechtsgrundlage an Tausende von Werbetreibenden weitergegeben hat.

Die Daten, die zwischen Juli 2018 und April 2020 weitergegeben wurden, konnten Aufschluss über die sexuelle Orientierung der Nutzer geben. Sie wurden über automatisierte Werbeauktionen weitergeleitet, wodurch Unternehmen Nutzer ohne deren Wissen mit personalisierten Anzeigen ansprechen konnten.

Xandr argumentierte, dass davon ausgegangen wurde, Grindr habe die Einwilligung der Nutzer eingeholt. Die norwegische Datenschutzbehörde wies diese Erklärung jedoch zurück und erklärte, dass Unternehmen sich ihrer Verantwortung nicht entziehen könnten, indem sie anderen die Schuld zuschieben. Sie entschied, dass Xandr gemeinsam mit Grindr die rechtliche Verantwortung trage und nicht überprüft habe, ob eine gültige Einwilligung vorliege.

Der Fall begann 2020, nachdem der norwegische Verbraucherschutzrat eine Beschwerde gegen Xandr eingereicht hatte, das damals noch als AppNexus bekannt war.

Grindr wurde 2021 wegen derselben Verstöße mit einem Bußgeld von 65 Millionen Norwegischen Kronen (ca. 5,7 Mio. Euro) belegt. Das gegen Xandr verhängte Bußgeld ist das höchste jemals von der norwegischen Datenschutzbehörde ausgesprochene Bußgeld. Xandr hat drei Wochen Zeit, um gegen die Entscheidung Berufung einzulegen.

Finnland verhängt gegen ein Gesundheitsunternehmen ein Bußgeld von 33.000 € wegen Cookie-Tracking

Geltungsbereich

Finnland

Rechtsname des Verletzers

Mindemo Oy

Sitz des Rechtsverletzers

Finnland

Behaupteter Verstoß

Verstoß gegen Datenschutzvorschriften

Vollstreckungsmaßnahme

Ein Bußgeld von 33.000 €

Verfahrensstatus

Verwaltungsmaßnahme

Der finnische Datenschutzbeauftragte hat dem finnischen Anbieter für Gesundheitsleistungen Mindemo Oy (früher bekannt als Heltti Oy) eine Geldbuße in Höhe von 33.000 € auferlegt, weil die personenbezogenen Daten der Nutzer durch Website-Cookies und Tracking-Tools nicht ordnungsgemäß geschützt wurden.

Der Online-Buchungsdienst des Unternehmens für Therapietermine gab Nutzerdaten an Google, Meta und Microsoft weiter, wenn diese Cookies akzeptierten; lehnten Besucher Cookies ab, wurden die Daten nicht weitergegeben.

Die Untersuchung ergab, dass Informationen mindestens ein Jahr lang an Tracking-Dienstleister übermittelt worden waren. Zu den Daten gehörten gesundheitsbezogene Angaben wie Terminbuchungen und -bestätigungen, die Art der gewählten Therapie sowie der Name des Therapeuten. Die Informationen wurden nicht ordnungsgemäß anonymisiert oder geschützt, um zu verhindern, dass sie mit einzelnen Nutzern in Verbindung gebracht werden konnten.

Zusätzlich zur Geldbuße erhielt Mindemo eine Verwarnung wegen Mängeln bei der sicheren Verarbeitung personenbezogener Daten.

Das Unternehmen gab an, die Tracking-Tools während der Untersuchung von seiner Website und seinem Terminbuchungsdienst entfernt zu haben. Außerdem habe es die Dienstleister aufgefordert, die von ihnen gesammelten Daten zu löschen.