DSGVO-Bußgelder aus September und Oktober 2026: Sicherheit, Auftragsverarbeiter und Betroffenenrechte
Sieben DSGVO-Entscheidungen aus sechs Ländern, von Norwegen bis Italien: schwache Sicherheit, fehlende AV-Verträge und ignorierte Anträge.
Zwischen Anfang September und Mitte Oktober 2026 hat der Europäische Datenschutzausschuss (EDSA) eine Reihe von DSGVO-Bußgeldern nationaler Behörden veröffentlicht. Neben den großen Fällen Uber und Google aus DSGVO-Durchsetzung 2026 fallen zwei Themen auf: schwache Sicherheit sowie Einwilligungen und Anträge, die nicht beachtet wurden.
Sicherheit und Auftragsverarbeiter
- HSE, 645.000 Euro, Irland (28. August 2026). Eindringlinge gelangten an medizinische Papierakten in ehemaligen psychiatrischen Kliniken. Bußgelder, eine Verwarnung und Anordnungen.
- Hôpital Privé de la Loire, 500.000 Euro, Frankreich (3. September 2026). Ein Angreifer gelangte an die Daten von 524.867 Patienten: keine Mehr-Faktor-Authentifizierung für externe Nutzer, Zugriff nicht auf das Behandlungsteam beschränkt, keine Erkennung in Echtzeit, und die 202.246 "Vertrauenspersonen", deren Daten ebenfalls abflossen, wurden nicht informiert.
- Miljödata, 1,8 Mio. schwedische Kronen, Schweden (22. September 2026). Ein Cyberangriff auf einen IT-Dienstleister betraf 2,2 Millionen Menschen; keine ausreichenden Prüfungen bei der Installation neuer Software und keine Überwachung in Echtzeit.
- Griechisches Ministerium für sozialen Zusammenhalt und Familie, 200.000 Euro, und sein Auftragsverarbeiter E.E.T.A.A., 150.000 Euro (28. Juli 2026). Veraltete Systeme trotz bekannter Risiken und Mängel nach Artikel 28; beide müssen einen Auftragsverarbeitungsvertrag schließen.
Einwilligung und Betroffenenrechte
- Xandr, 92 Mio. norwegische Kronen (rund 8,6 Mio. Euro), Norwegen (2. Oktober 2026). Das Werbeunternehmen verarbeitete beim Real-Time-Bidding Daten von Nutzern einer Dating-App für schwule, bisexuelle, trans und queere Menschen ohne gültige Rechtsgrundlage. Es stützte sich auf die Einwilligung der App, die unwirksam war: Jeder gemeinsam Verantwortliche muss die Einwilligung selbst prüfen. Es ist das bisher höchste Bußgeld der norwegischen Behörde und rechtskräftig.
- EXTIA, 300.000 Euro, Frankreich (21. Juli 2026). Von 265 Löschanträgen im Jahr 2024 wurden 12 nie bearbeitet, und 166 Personen erfuhren nie das Ergebnis.
- BBVA, 5.508.000 Euro, Italien (3. Juli 2026). Ein Kunde widersprach in der App der Bank der Werbung, erhielt aber sieben Monate lang Werbemitteilungen, weil interne Systeme nicht synchronisiert waren.
Was jetzt zu tun ist
Prüfen Sie Mehr-Faktor-Authentifizierung und Überwachung für Systeme mit sensiblen Daten, einen unterschriebenen AV-Vertrag mit jedem Dienstleister und ob ein Antrag oder Widerspruch das System erreicht, das ihn umsetzt.
Dazr Compliance hält DSGVO-Sicherheitskontrollen, ein Dienstleisterverzeichnis mit Links zu AV-Verträgen und Prüfterminen, das Verzeichnis nach Artikel 30 und ein Register für Datenpannen mit 72-Stunden-Uhr an einem Ort, mit Erinnerungen, wenn eine Prüfung fällig ist.
Quellen
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 7. November 2026.
Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål