Ausgabe Nr. 15 | Oktober 2026, Woche 4
20. Oktober 2026Die Aufsichtsbehörden gehen energisch gegen nachlässige Datenpraxis vor – von italienischen Verlagen, die wegen der Veröffentlichung grafischer Verbrechenfotos gebüßt wurden, bis hin zu US-Gesundheitsunternehmen, die 2,7 Mio. Dollar für Datenlecks bei Patientenakten zahlen mussten. Gleichzeitig drohen Prüfungsausschüssen und Polizeibehörden Strafen wegen des Verlusts von Prüfungsmaterial und der Weitergabe personenbezogener Daten auf unautorisierten Plattformen.
Italienische Datenschutzbehörde verhängt Bußgeld gegen einen Verlag wegen Tatortfotos
- Geltungsbereich
- Italien
- Rechtsname des Verletzers
- Cairo Editore
- Sitz des Rechtsverletzers
- Italien
- Behaupteter Verstoß
- Verletzung des Datenschutzes
- Vollstreckungsmaßnahme
- Nicht offengelegte Geldstrafe
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Die italienische Datenschutzbehörde hat den Verlag Cairo Editore mit einer Geldstrafe belegt, weil dieser in seiner Wochenzeitschrift drastische Bilder des blutüberströmten Leichnams eines Verbrechensopfers veröffentlicht hatte.
Die am 23. September 2026 ergangene Entscheidung folgte auf eine Beschwerde der Familie des Opfers. Das Magazin hatte am 26. März 2026 Fotos veröffentlicht, die den Fundort der Leiche zeigten, auf denen ihr Körper auf der Treppe lag und ein Teil ihres Gesichts verdeckt war. Die Familie erklärte, die Bilder hätten bei ihnen tiefe Verzweiflung ausgelöst und die Würde ihrer Tochter sowie ihr Andenken verletzt.
Die Behörde entschied, dass die Bilder für die Berichterstattung über den Fall unnötig waren und keine wesentlichen neuen Informationen bereitstellten. Sie erklärte, die Veröffentlichung verstoße gegen die Vorschriften zum Schutz personenbezogener Daten.
Die Aufsichtsbehörde wies zudem darauf hin, dass Journalisten die Würde der Opfer und ihrer Familien achten müssen, auch nach dem Tod einer Person. Sie warnte, dass übermäßige Medienaufmerksamkeit die Grenze zwischen Nachrichtenberichterstattung und Sensationalismus überschreiten kann.
In einer gesonderten Entscheidung verhängte die Behörde zudem ein Bußgeld gegen einen YouTube-Kanal wegen ähnlicher Inhalte im Zusammenhang mit dem Fall.
Die Behörde gab die Höhe der in den einzelnen Fällen verhängten Geldbußen nicht bekannt.
Ofqual verhängt gegen ABRSM eine Geldbuße von £150.000 wegen Daten-Aufbewahrungsmängeln
- Geltungsbereich
- UK
- Rechtsname des Verletzers
- ABRSM
- Sitz des Rechtsverletzers
- UK
- Behaupteter Verstoß
- Fehler bei der Datenaufbewahrung
- Vollstreckungsmaßnahme
- £150.000-Geldstrafe
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Die britische Aufsichtsbehörde für Qualifikationen Ofqual (The Office of Qualifications and Examinations Regulation) hat gegen das Associated Board of the Royal Schools of Music (ABRSM) eine Geldstrafe in Höhe von 150.000 £ (177.900 €) verhängt, da Prüfungsunterlagen und Nachweise nicht ordnungsgemäß aufbewahrt wurden. ABRSM vergibt Musikqualifikationen im Rahmen von Präsenz- und digitalen Prüfungen.
Ofqual stellte zwischen 2024 und 2025 drei Vorfälle fest, bei denen wichtige Prüfungsdaten verloren gingen oder gelöscht wurden. Im ersten Fall wurden 8.539 Audioaufzeichnungen aufgrund eines Softwarefehlers nicht aufbewahrt, was 20 Lernende betraf, die eine Nachprüfung ihrer Noten beantragt hatten. Bei einem weiteren Vorfall wurden Aufzeichnungen und Korrekturdokumentation von 16 Lernenden versehentlich gelöscht, was die Bekanntgabe der Ergebnisse verzögerte und die Nachprüfung ihrer Noten erschwerte.
Der dritte Vorfall betraf einen mutmaßlichen Fachfehler im Zusammenhang mit einem Tutor im Ausland, der 710 Lernende zu Prüfungen angemeldet hatte. Allerdings fehlten 231 Aufzeichnungen, was die vollständige Ermittlung des Falls durch die ABRSM erschwerte.
Ofqual stellte außerdem fest, dass rund 72.000 Zertifikate mit falschen Qualifikationsbezeichnungen ausgestellt wurden, was ein Risiko der Verwirrung für Lernende, Arbeitgeber und Bildungsanbieter darstellte. ABRSM korrigierte den Fehler später, informierte die Lernenden und bot Ersatzzertifikate an.
Im Rahmen des Vergleichs wird ABRSM die Geldstrafe in Höhe von 150.000 £ zahlen, sich mit 10.000 £ (11.860 €) an den Ermittlungskosten von Ofqual beteiligen und eine unabhängige Prüfung seiner Systeme zur Aufbewahrung von Prüfungsunterlagen in Auftrag geben.
Gesundheitsunternehmen zahlen nach Datenpanne 2,7 Mio. Dollar für offen gelegte Patientendaten
- Geltungsbereich
- Die Vereinigten Staaten
- Rechtsname des Verletzers
- BCHP; XTIUM
- Sitz des Rechtsverletzers
- Die Vereinigten Staaten
- Behaupteter Verstoß
- Fehlender Schutz von Patientendaten
- Vollstreckungsmaßnahme
- 2,7 Mio. $ Geldstrafe
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Boston Children’s Health Physicians (BCHP) und das IT-Unternehmen XTIUM müssen 2,7 Millionen US-Dollar zahlen, nachdem bei einer Datenpanne die privaten Daten von etwa 825.000 New-York-Bewohnern und 62.871 Connecticut-Bewohnern offengelegt wurden.
Das Datenleck trat im August 2024 auf, als Hacker Zugriff auf die Systeme von XTIUM erlangten und Daten von 18 Kunden, darunter BCHP, stahlen.
Zu den gestohlenen Daten gehörten persönliche, medizinische und finanzielle Informationen. Bei mehr als 170.000 New Yorkern wurden Sozialversicherungs- und Führerscheinnummern freigelegt. Die Untersuchung ergab, dass BCHP grundlegende Sicherheitsmaßnahmen nicht umsetzte, obwohl es über bei einem Audit im Jahr 2023 festgestellte Probleme informiert war. Das Unternehmen ließ zudem ein unverschlüsseltes Archiv mit mehr als einer Million Patientenabrechnungsdatensätzen weitgehend ungeschützt.
Bei XTIUM wurden zudem schwache Sicherheitskontrollen und ein unzureichendes Monitoring zur Erkennung verdächtiger Aktivitäten festgestellt. Im Rahmen des Vergleichs werden die Unternehmen 2,1 Millionen US-Dollar an den Staat New York und 540.000 US-Dollar an den Staat Connecticut zahlen. Die Unternehmen sind zudem verpflichtet, ihre Cybersecurity-Systeme zu stärken, das Monitoring zu verbessern und bessere Reaktionspläne für zukünftige Bedrohungen zu entwickeln.
Rumänien verhängt nach einem Cyberangriff eine Geldbuße von 6.000 € gegen MyConnector Platform
- Geltungsbereich
- Rumänien
- Rechtsname des Verletzers
- Myconnector
Platform SRL - Sitz des Rechtsverletzers
- Rumänien
- Behaupteter Verstoß
- DSGVO-Verstoß
- Vollstreckungsmaßnahme
- Eine Geldbuße in Höhe von 31.451 Lei
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Die rumänische Nationale Aufsichtsbehörde für die Verarbeitung personenbezogener Daten hat gegen die Technologie- und Veranstaltungsmanagement-Plattform Myconnector Platform SRL ein Bußgeld in Höhe von 31.451 Lei (6.000 €) wegen Verstoßes gegen Artikel 32 Absatz 1 Buchstabe b und Artikel 32 Absatz 2 der Datenschutz-Grundverordnung (DSGVO), Verordnung (EU) 2016/679, verhängt.
Die Ermittlung wurde eingeleitet, nachdem das Unternehmen einen Datenverstoß gemäß Artikel 33 DSGVO gemeldet hatte. Die Behörden stellten fest, dass ein Cyberangriff auf den Testserver des Unternehmens einem unbefugten Dritten den Zugriff auf die personenbezogenen Daten der Nutzer ermöglichte.
Zu den exponierten Daten gehörten E-Mail-Adressen, Telefonnummern, vollständige Namen, persönliche Nummerncodes und Angaben zu Ausweisdokumenten. Die Ermittlungen stellten zudem fest, dass das Unternehmen beim Testen seiner Anwendung MyConnector Platform echte personenbezogene Daten anstelle von fiktiven Daten verwendet hatte.
Nach Angaben der Behörde war der Vorfall auf das Nicht-Umsetzen angemessener technischer und organisatorischer Sicherheitsmaßnahmen zum Schutz personenbezogener Daten und zur Gewährleistung der Vertraulichkeit und Integrität der Systeme zurückzuführen, wie in Artikel 32 der DSGVO gefordert.
Zusätzlich zum Bußgeld wies die Behörde das Unternehmen gemäß Artikel 58 Absatz 2 Buchstabe d der DSGVO an, in Entwicklungs- und Testumgebungen ausschließlich fiktive Daten zu verwenden.
Die ICO rügt die Metropolitan Police wegen unrechtmäßiger Weitergabe personenbezogener Daten
- Geltungsbereich
- UK
- Rechtsname des Verletzers
- MPS
- Sitz des Rechtsverletzers
- UK
- Behaupteter Verstoß
- Datenschutzverstoß
- Vollstreckungsmaßnahme
- Aufsichtsmaßnahme – keine Geldbuße verhängt
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Das britische Information Commissioner’s Office (ICO) hat erlassen eine Rüge und eine Enforcement Notice an den Metropolitan Police Service (MPS), nachdem Beamte und Mitarbeiter personenbezogene Daten über eine nicht genehmigte Kriminalintelligenz-Plattform weitergegeben hatten.
Die ICO stellte fest, dass die Plattform zwischen März 2023 und September 2024 ohne angemessene Datenschutzvorkehrungen oder Aufsicht genutzt wurde. Rund 500 Konten wurden erstellt, von denen 375 aktiv für polizeiliche Zwecke genutzt wurden.
Zwischen Januar und September 2024 wurden personenbezogene Daten von 179 Personen, darunter drei unter 18-Jährige, hochgeladen, um mutmaßliche Ladendiebe zu identifizieren. Die Informationen umfassten Namen, Geburtsdaten und in wenigen Fällen Wohnadressen.
Die Untersuchung ergab, dass die Polizei personenbezogene Daten unrechtmäßig weitergegeben hatte, eine erforderliche Datenschutzprüfung versäumt hatte und keine geeigneten Maßnahmen zur Kontrolle der Nutzung von Drittanbieter-Technologien vorgesehen hatte.
Die MPS stellte die Plattform im September 2024 still und führte sie im Januar 2026 nach Einführung von Änderungen, darunter verbesserte Aufsicht, Mitarbeiterschulungen und strengere vertragliche Kontrollen, wieder ein.
Die ICO erklärte jedoch, dass weitere Maßnahmen erforderlich seien, um breitere Bedenken bezüglich der Genehmigung und Verwaltung von Dritttechnologien durch die Polizei auszuräumen.
Haftungsausschluss: Die Informationen in diesem Blog stammen aus offenen und behördlichen Quellen. Wir erinnern unsere Leser höflich an die Unschuldsvermutung. Die hierin enthaltenen Informationen dienen ausschließlich Bildungszwecken und stellen keine Rechtsauskunft oder Rechtsberatung dar.