Datenschutz-Bußgelder und Durchsetzung: Übersicht
Datenschutz-Bußgelder, Vergleiche, Klagen und neue Regeln aus der EU, Großbritannien, den USA und weiteren Ländern, geprüft anhand der Mitteilungen der Behörden. Suchen Sie nach Land, Gesetz, Unternehmen oder Grund und sehen Sie, wie Sie dieselben Fehler vermeiden.
- Fälle und Regeln
- 225
- Länder
- 41
- Zuletzt aktualisiert
Anstehende Fristen
Dez. 2026
Apple ATT prompt changes for EU apps in iOS 27.210. Dez. 2026
Australia Children's Online Privacy Code due to be registered10. Dez. 2026
Australia: privacy policies must disclose automated decision-making1. Jan. 2027
Colorado automated decision-making law (SB 26-189) takes effect1. Jan. 2027
Delaware privacy law amendments (HB 380) take effect1. Jan. 2027
Louisiana Data Privacy Act takes effect
Aktuelle Datenschutz-Bußgelder, Klagen und Regeln
Zuletzt aktualisiert
Keine Fälle passen zu Ihrer Suche.
- Regel oder FristBevorstehend
India DPDP Rules: core data fiduciary obligations take effect
India Ministry of Electronics and IT (MeitY), Indien, Andere Datenschutzgesetze
Grund
Dies ist die dritte Phase der im November 2025 bekannt gemachten DPDP Rules. Standards für Hinweise und Einwilligung, Pflichten der Data Fiduciaries, Regeln für Kinderdaten, Rechte der Data Principals und Regeln für grenzüberschreitende Übermittlungen gelten 18 Monate nach der Bekanntmachung.
Ergebnis
In Kraft ab 13. Mai 2027
- Regel oder FristBevorstehend
Alabama Personal Data Protection Act takes effect
Alabama Legislature, Alabama, US-Bundesstaatengesetze
Grund
Mit HB 351 erhält Alabama ein umfassendes Datenschutzgesetz. Es gilt für Unternehmen, die Daten von mehr als 25.000 Verbrauchern verarbeiten oder mehr als 25 % ihres Umsatzes mit dem Verkauf personenbezogener Daten erzielen. Der Attorney General setzt es durch, mit einer 45-tägigen Nachbesserungsfrist und Strafen von bis zu 15.000 $ pro Verstoß.
Ergebnis
In Kraft ab 1. Mai 2027
- Regel oder FristBevorstehend
IAB TCF 2.4 applies to mobile apps and CTV
IAB Europe, Europäische Union, IAB TCF
Grund
Apps und Connected TV, die das Transparency and Consent Framework nutzen, müssen TCF 2.4 einsetzen. Websites sind am 23. Oktober 2026 umgestiegen.
Ergebnis
Gilt für Apps und CTV ab 23. Februar 2027
- Regel oder FristBevorstehend
California Opt Me Out Act: browsers must offer an opt-out signal
California legislature, Kalifornien, CCPA / CPRA
Grund
Unternehmen, die Webbrowser herstellen, müssen eine Einstellung einbauen, die ein Opt-out-Präferenzsignal wie Global Privacy Control sendet.
Ergebnis
In Kraft ab 1. Januar 2027
- Regel oder FristBevorstehend
CCPA automated decisionmaking technology (ADMT) rules apply
California Privacy Protection Agency, Kalifornien, CCPA / CPRA
Grund
Unternehmen, die Technologien für automatisierte Entscheidungen (ADMT) für wesentliche Entscheidungen über Verbraucher einsetzen, müssen die CCPA-ADMT-Vorschriften einhalten. Nach denselben Regeln sind Bestätigungen zu Risikobewertungen bis 1. April 2028 fällig. Zertifizierungen von Cybersicherheitsaudits sind je nach Umsatz zwischen April 2028 und April 2030 fällig.
Ergebnis
In Kraft ab 1. Januar 2027
- Regel oder FristBevorstehend
Oklahoma consumer data privacy law (SB 546) takes effect
Oklahoma Legislature, Oklahoma, US-Bundesstaatengesetze
Grund
SB 546 gilt für Verantwortliche, die Daten von 100.000 Verbrauchern in Oklahoma verarbeiten, oder von 25.000, wenn mehr als die Hälfte ihres Umsatzes aus Datenverkäufen stammt. Es zählen nur Verkäufe gegen Geld. Universelle Opt-out-Signale müssen nicht beachtet werden, und eine dauerhafte 30-tägige Nachbesserungsfrist bleibt bestehen.
Ergebnis
In Kraft ab 1. Januar 2027
- Regel oder FristBevorstehend
Louisiana Data Privacy Act takes effect
Louisiana Legislature, Louisiana, US-Bundesstaatengesetze
Grund
SB 386 (Act 502) gilt für Unternehmen mit mehr als 25 Mio. $ Umsatz, für Unternehmen, die Daten von 75.000 Einwohnern, Haushalten oder Geräten verarbeiten, und für Unternehmen, die 50 % ihres Umsatzes mit Datenverkäufen erzielen. Vor dem Verkauf sensibler oder biometrischer Daten ist ein gesonderter Hinweis nötig.
Ergebnis
In Kraft ab 1. Januar 2027
- Regel oder FristBevorstehend
Delaware privacy law amendments (HB 380) take effect
Delaware General Assembly, Delaware, US-Bundesstaatengesetze
Grund
HB 380 senkt die Schwelle des Delaware Personal Data Privacy Act von 35.000 auf 10.000 Verbraucher. Es ergänzt Kategorien sensibler Daten wie neuronale Daten und verlangt Verträge und eine Sorgfaltsprüfung, bevor Daten an Dritte weitergegeben werden. Verbraucher können außerdem eine Liste der Dritten verlangen, die ihre Daten erhalten haben.
Ergebnis
In Kraft ab 1. Januar 2027
- Regel oder FristBevorstehend
Colorado automated decision-making law (SB 26-189) takes effect
Colorado General Assembly, Colorado, US-Bundesstaatengesetze
Grund
SB 26-189 hebt den Colorado AI Act von 2024 auf und ersetzt ihn. Betreiber müssen Verbraucher informieren, bevor automatisierte Entscheidungen eine folgenreiche Entscheidung wesentlich beeinflussen. Nach einem nachteiligen Ergebnis müssen sie es erklären und eine Korrektur sowie, soweit wirtschaftlich zumutbar, eine Prüfung durch einen Menschen anbieten.
Ergebnis
In Kraft ab 1. Januar 2027
- Regel oder FristBevorstehend
Australia: privacy policies must disclose automated decision-making
Australian Parliament (Privacy and Other Legislation Amendment Act 2024), Australien, Andere Datenschutzgesetze
Grund
Nach den neuen APPs 1.7 bis 1.9 müssen Stellen, die Computerprogramme für Entscheidungen mit erheblichen Auswirkungen auf Menschen nutzen, in ihren Datenschutzrichtlinien angeben, welche personenbezogenen Daten verwendet und welche Arten von Entscheidungen getroffen werden. Es handelt sich nur um eine Transparenzpflicht, ohne Recht auf Überprüfung.
Ergebnis
In Kraft ab 10. Dezember 2026
- Regel oder FristBevorstehend
Australia Children's Online Privacy Code due to be registered
OAIC, Australien, Andere Datenschutzgesetze
Grund
Die OAIC muss bis 10. Dezember 2026 einen Children's Online Privacy Code für soziale Medien und andere Onlinedienste registrieren, die wahrscheinlich von Kindern genutzt werden. Er verlangt, nur das unbedingt Nötige zu erheben, im besten Interesse des Kindes zu handeln, das Alter angemessen zu prüfen, stärkere Einwilligungs- und Löschrechte zu gewähren und Direktwerbung zu begrenzen.
Ergebnis
Registrierung bis 10. Dezember 2026 fällig; Starttermin noch offen
- Regel oder FristBevorstehend
Apple ATT prompt changes for EU apps in iOS 27.2
Apple, Europäische Union, Plattformrichtlinie
Grund
Ab iOS 27.2 dürfen Apps, die in Deutschland, Frankreich, Italien, Polen und Rumänien vertrieben werden, nur noch Apples überarbeitete Tracking-Abfrage nutzen. Sie verzichtet auf warnende Formulierungen und enthält einen Link zu weiteren Informationen. Das Bundeskartellamt gab Apple ab seiner Entscheidung vom August 2026 vier Monate für die Einführung. Das deutet auf Mitte Dezember 2026 hin.
Ergebnis
Deutsche Frist Mitte Dezember 2026
805 Mio. €
Grund
Die Facebook-App für Android las Fotos, Videos und deren Metadaten aus der Galerie des Telefons, um Beiträge vorzuschlagen. Die Funktion war standardmäßig aktiv, ohne gesonderte Einwilligung.
Ergebnis
Bußgeld von 805 Mio. € und 60 Tage Frist, um die Funktion standardmäßig zu deaktivieren und eine gesonderte Einwilligung einzuholen
11 Mio. €
Grund
Das Self-Service-Tool „Download My Data“ ließ einige personenbezogene Daten weg oder lieferte nur Zusammenfassungen, ohne die Nutzer darauf hinzuweisen.
Ergebnis
Bußgeld von 11 Mio. €, Verwarnung und Anordnung, die Vorgaben binnen drei Monaten zu erfüllen; Match will Rechtsmittel einlegen
2,975 Mio. $
Grund
FedEx erklärte, keine personenbezogenen Daten zu verkaufen oder zu teilen, setzte aber Werbetracker für kontextübergreifende verhaltensbasierte Werbung ein. Opt-out-Präferenzsignale beachtete FedEx nicht, und die Cookie-Einstellungen und das Antragsformular wirkten nicht auf Tracker.
Ergebnis
Bußgeld von 2,975 Mio. $ sowie vierteljährliche Tracker-Inventuren und Opt-out-Tests
- Regel oder Frist
CNIL recommendation on session replay tools
CNIL, Frankreich, ePrivacy (Cookie-Regeln)
Grund
Session-Replay-Tools brauchen eine vorherige Einwilligung, und das Consent-Banner muss Session Replay schon auf der ersten Ebene ausdrücklich nennen.
Ergebnis
Endgültige Empfehlung veröffentlicht
1,8 Mio. $
Grund
Lyft verkaufte oder teilte Fahrgastdaten für gezielte Werbung in der App, bot dort aber kein Opt-out an. Angemeldete Nutzer mussten Links zu einem Webformular folgen und Angaben erneut eingeben, die dem Unternehmen bereits vorlagen.
Ergebnis
Zivilstrafe von 1,8 Mio. $, Opt-out in der App und Hinweis an Einwohner Kaliforniens
Grund
Consent-Management-Plattformen, die das Transparency and Consent Framework nutzen, mussten die Offenlegungen nach TCF 2.4 bis zu diesem Datum auf Websites umsetzen.
Ergebnis
Gilt für Websites ab 23. Oktober 2026
7 Mio. €
Grund
Die Fnac-App nutzte einen Tracker, der eine Nutzerkennung und angesehene Produkte an einen externen Empfehlungsdienst sendete, auch wenn Nutzer Tracking abgelehnt hatten.
Ergebnis
Bußgeld von 7 Mio. € und Anordnung, die Einwilligung binnen eines Monats zu korrigieren, sonst 10.000 € pro Tag
- Regel oder Frist
EU Council agrees its Digital Omnibus position on cookies
Council of the EU, Europäische Union, ePrivacy (Cookie-Regeln)
Grund
Für sechs Verwendungszwecke von Cookies wäre keine Einwilligung mehr nötig, und Websites müssten nach einer Ablehnung vier Monate warten, bevor sie erneut fragen. Der Vorschlag ist noch kein Gesetz.
Ergebnis
Position des Rates beschlossen; Verhandlungen mit dem Parlament stehen noch aus
- Vergleich
23andMe (Chrome Holding)
California Attorney General, Kalifornien, Andere Datenschutzgesetze
6 Mio. $
Grund
Bei einem Datenleck 2023 wurden Daten von fast 7 Millionen Kunden offengelegt, darunter mehr als 855.000 Einwohner Kaliforniens. Kalifornien wandte sich außerdem nach seinem Genetic Information Privacy Act gegen den Verkauf genetischer Kundendaten im Insolvenzverfahren ohne gesonderte Einwilligung.
Ergebnis
Vergleich über 6 Mio. $ vor dem Insolvenzgericht, Genehmigung ausstehend
403 Mio. €
Grund
Googles Einstellungen Web- & App-Aktivitäten, Standortverlauf und Standortgenauigkeit verarbeiteten zwischen Mai 2018 und Februar 2020 Standortdaten rechtswidrig und ohne ausreichende Transparenz. Nutzer wussten möglicherweise nicht, dass ihr Standort für gezielte Werbung oder zum Ableiten ihrer Interessen genutzt wurde. Die Daten wurden zu lange gespeichert.
Ergebnis
Bußgelder von 403 Mio. €; Google muss die Verarbeitung binnen 6 Monaten rechtskonform gestalten
36.400 $
Grund
Der Datenbroker aus Virginia verkaufte personenbezogene Daten von Verbrauchern, ohne sich bis zur Frist 2025 im kalifornischen Data Broker Registry einzutragen.
Ergebnis
Bußgeld von 36.400 $; muss Kennzahlen zu Datenschutzrechten veröffentlichen und Löschungen über DROP bearbeiten
153,77 Mio. R$
Grund
TikTok verarbeitete Daten von Kindern und Jugendlichen ohne gültige Rechtsgrundlage, sowohl im Feed für nicht angemeldete Nutzer als auch bei der Registrierung. Die einzige Hürde gegen Registrierungen unter 13 Jahren war die Selbstauskunft zum Alter.
Ergebnis
Bußgeld von 153,7 Mio. R$ für fünf LGPD-Verstöße, Löschanordnung und Compliance-Plan
824,99 Mio. €
Grund
Zwischen 2018 und 2022 sperrte oder deaktivierte die Software von Uber Fahrerkonten automatisch wegen Betrugsverdachts oder schlechter Bewertungen, ohne Prüfung durch einen Menschen. Die Fahrer wurden zudem nicht ordnungsgemäß über diese automatisierte Entscheidungsfindung informiert.
Ergebnis
Bußgeld von 824,99 Mio. €; Uber will Widerspruch einlegen
400 Mio. $
Grund
Das DOJ klagte im August 2024 nach einer Untersuchung der FTC. Der Vorwurf: TikTok habe Kinder unter 13 wissentlich Konten anlegen lassen, ihre Daten ohne Einwilligung der Eltern erhoben, Löschanträge von Eltern nicht beachtet und gegen eine Consent Order der FTC von 2019 verstoßen.
Ergebnis
Vergleich über 400 Mio. $: 300 Mio. $ sofort und 100 Mio. $, sobald das Musical.ly-Consent-Decree von 2019 aufgehoben ist. Keine Feststellung einer Haftung und keine neuen Unterlassungsanordnungen.
275.000 $
Grund
Von 2018 bis 2022 sendeten Tracking-Technologien auf der Website von TaxAct Angaben von Steuerzahlern wie Einkommen, Erstattungen und unterhaltsberechtigte Personen ohne Hinweis an Werbepartner. Das widersprach den eigenen Datenschutzversprechen.
Ergebnis
275.000 $ und ein Compliance-Programm für Tracking-Technologien mit zwei unabhängigen Audits
52.400 $
Grund
Der Datenbroker aus Boston verpasste die Frist 2025 für die Eintragung im kalifornischen Data Broker Registry nach dem Delete Act.
Ergebnis
Bußgeld von 52.400 $
116.490 $
Grund
Der Datenbroker aus Iowa registrierte sich verspätet und verlangte von Einwohnern Kaliforniens die letzten vier Ziffern ihrer Sozialversicherungsnummer, bevor sie dem Datenverkauf widersprechen konnten.
Ergebnis
Bußgeld von 116.490 $ und geänderte Praktiken; erstes Verfahren nach CCPA und Delete Act zugleich
10,3 Mrd. ₩
Grund
Die Werbetools von TikTok erfassten die Aktivitäten von Nutzern auf anderen Websites und Apps und verknüpften sie für personalisierte Werbung mit ihren Konten. Das wurde nicht klar offengelegt, und Nutzer mussten einwilligen, um die App zu nutzen.
Ergebnis
Bußgeld von 10,3 Mrd. KRW; in derselben Sitzung erhielt Apple wegen Siri-Aufnahmen ein Bußgeld von 252 Mio. KRW
- Klage
NFL Enterprises (Kimmons v. NFL Enterprises)
Alameda County Superior Court, Kalifornien, CIPA (Abhören)
Grund
Die Klage zählt 182 Drittanbieter-Tracker auf NFL.com, bevor eine Einwilligungsentscheidung getroffen wurde, und 186, nachdem ein Besucher abgelehnt hatte. Es handelt sich um Vorwürfe.
Ergebnis
Klage eingereicht; noch keine Entscheidung
- Regel oder Frist
UK GDPR: people can complain directly to organisations
UK Parliament, Vereinigtes Königreich, UK-DSGVO
Grund
Organisationen müssen Datenschutzbeschwerden selbst annehmen und bearbeiten. Das folgt aus einer Änderung durch den Data (Use and Access) Act 2025.
Ergebnis
In Kraft ab 19. Juni 2026
- Regel oder Frist
Google Signals no longer controls Google Ads data from Analytics
Google, Global, Plattformrichtlinie
Grund
Seit 15. Juni 2026 entscheiden die Einstellungen im Consent Mode, nicht mehr Google Signals, ob Google Analytics Google-Ads-Cookies und -IDs erfasst. Google Signals verknüpft Analytics-Daten nur noch für Berichte mit angemeldeten Nutzern. Die Steuerung der Anzeigenpersonalisierung wechselt später im Jahr 2026 in den Consent Mode.
Ergebnis
Gilt ab 15. Juni 2026
624,681 Mrd. ₩
Grund
Schlecht verwaltete Signaturschlüssel ermöglichten einem ehemaligen Mitarbeiter den Zugriff auf Daten von rund 33 Millionen Nutzern. Coupang erhob außerdem ohne Einwilligung Verhaltensdaten von rund 11 Millionen Nutzern von externen Websites und Apps für gezielte Werbung.
Ergebnis
Strafzuschläge von 624,681 Mrd. KRW (423,575 Mrd. für Sicherheit, 201,106 Mrd. für Verhaltensdaten) plus ein Bußgeld von 16,8 Mio. KRW
300.000 £
Grund
Das Unternehmen verschickte mehr als 5,5 Millionen unerwünschte Werbe-SMS, darunter gefälschte Nachrichten von Gerichtsvollziehern. Sie führten zu über 60.000 Beschwerden beim Spam-Meldedienst 7726.
Ergebnis
Bußgeld von 300.000 £
12,75 Mio. $
Grund
GM verkaufte OnStar-Fahr- und Standortdaten von Hunderttausenden Einwohnern Kaliforniens ohne Hinweis an Verisk und LexisNexis. In der Datenschutzrichtlinie hieß es, solche Daten würden nicht verkauft.
Ergebnis
Strafe von 12,75 Mio. $ (höchste CCPA-Strafe bisher), 5-jähriges Verbot des Verkaufs von Fahrdaten, Löschung
Grund
Der Datenbroker verkaufte ohne Wissen der Nutzer Standortdaten von Hunderten Millionen Geräten, die Besuche medizinischer und religiöser Orte offenlegen konnten.
Ergebnis
Vergleichsanordnung verbietet den Verkauf sensibler Standortdaten ohne ausdrückliche Einwilligung; keine Geldzahlung
- Regel oder Frist
CNIL recommendation on email tracking pixels
CNIL, Frankreich, ePrivacy (Cookie-Regeln)
Grund
Die französische Aufsichtsbehörde legte fest, wann Tracking-Pixel in E-Mails eine Einwilligung brauchen und wie sie einzuholen ist.
Ergebnis
Empfehlung veröffentlicht
- Vergleich
European Wax Center (Cumor v. European Wax Center)
Florida Circuit Court, Hillsborough County (class action), Florida, CIPA (Abhören)
5 Mio. $
Grund
Laut Sammelklage nutzte waxcenter.com Pixel und andere Tracker, um Besucherdaten ohne Einwilligung mit Dritten wie Meta zu teilen. European Wax Center bestreitet ein Fehlverhalten.
Ergebnis
Sammelvergleich über bis zu 5 Mio. $, ohne Schuldeingeständnis
100 Mio. €
Grund
Die Taxi-App sendete Daten finnischer und norwegischer Fahrgäste und Fahrer, darunter Standort, Chats, Bankdaten und Führerscheinscans, ohne angemessene Garantien an Yandex-Unternehmen in Russland. Die Verschlüsselung war unwirksam, weil die Schlüssel bis Ende 2023 ebenfalls in Russland lagen.
Ergebnis
Bußgeld von 100 Mio. € gegen MLU B.V. (Rechtsnachfolgerin von Ridetech International); Anordnung, die Übermittlungen nach Russland zu stoppen; das Unternehmen will dagegen vorgehen
31,8 Mio. €
Grund
Über 35 Monate rief ein Mitarbeiter ohne dienstlichen Grund Bankdaten von 3.573 Kunden ab, darunter Personen des öffentlichen Lebens. Die Bank hatte keine Schutzmaßnahmen, um das zu verhindern. Gegenüber der Aufsichtsbehörde gab sie zunächst nur neun Betroffene an.
Ergebnis
Bußgeld von 31,8 Mio. €
375.703 $
Grund
Ford verlangte eine Bestätigung der E-Mail-Adresse, bevor Opt-out-Anträge bearbeitet wurden. Der CCPA erlaubt diesen Schritt nicht.
Ergebnis
Bußgeld von 375.703 $
50 Mio. $
Grund
Meta täuschte Facebook-Nutzer darüber, wie viel Kontrolle sie darüber hatten, wer auf ihre Daten zugreifen konnte, auch Entwickler von Drittanbieter-Apps. Es geht um das Verhalten hinter dem Cambridge-Analytica-Skandal.
Ergebnis
Zivilstrafen von 50 Mio. $ und 3-jährige Unterlassungsanordnung zum Datenzugriff von Entwicklern (Urteil des SF Superior Court)
1,1 Mio. $
Grund
Nutzer mussten Tracking akzeptieren, bevor sie Tickets oder die Websites nutzen konnten. PlayOn verwies auf die Opt-out-Tools von NAI/DAA statt auf ein eigenes und beachtete keine Opt-out-Präferenzsignale.
Ergebnis
Bußgeld von 1,10 Mio. $, Risikobewertungen, Opt-in für 13- bis 15-Jährige
- Vergleich
Limited Run Games (Carbone v. Limited Run Games)
E.D. New York (class action), Vereinigte Staaten, VPPA
2,72 Mio. $
Grund
Laut den Klägern sendeten die Videoseiten des Unternehmens über das Meta Pixel ohne Einwilligung Daten zum Videoverhalten und identifizierende Angaben der Nutzer an Facebook.
Ergebnis
Gericht genehmigte einen Sammelvergleich über 2,72 Mio. $
14,473 Mio. £
Grund
Reddit prüfte das Alter der Nutzer erst ab Juli 2025. Für die Verarbeitung von Daten unter 13-Jähriger, die die Website trotzdem nutzten, fehlte daher eine Rechtsgrundlage. Die Risiken für Kinder bewertete Reddit erst im Januar 2025.
Ergebnis
Bußgeld von 14,47 Mio. £; Reddit hat beim First-tier Tribunal Rechtsmittel eingelegt
2,75 Mio. $
Grund
Opt-outs, auch Signale von Global Privacy Control, galten nur für einen Streamingdienst und ein Gerät statt für das gesamte Konto.
Ergebnis
Vergleich über 2,75 Mio. $, damals die höchste CCPA-Strafe
Grund
Die FTC warf GM und OnStar in einer erstmals im Januar 2025 bekannt gegebenen Klage vor, genaue Standort- und Fahrverhaltensdaten von Fahrern ohne ordnungsgemäße Einwilligung erhoben und an Verbraucherauskunfteien verkauft zu haben. Grundlage war ein irreführender Anmeldeprozess für OnStar Smart Driver.
Ergebnis
Endgültige Anordnung mit 2:0 Stimmen genehmigt. GM darf 5 Jahre lang keine Standort- oder Fahrdaten an Verbraucherauskunfteien weitergeben und muss 20 Jahre lang eine ausdrückliche Einwilligung einholen sowie Auskunft, Löschung und Opt-out anbieten. Keine Geldstrafe.
- Bußgeld
Datamasters (Rickenbacher Data)
California Privacy Protection Agency, Kalifornien, California Delete Act
45.000 $
Grund
Der nicht registrierte Datenbroker aus Texas verkaufte Listen mit Millionen Menschen mit Erkrankungen wie Alzheimer und Suchterkrankungen für gezielte Werbung weiter.
Ergebnis
Bußgeld von 45.000 $; muss den Verkauf von Daten aus Kalifornien einstellen
62.600 $
Grund
Wegen eines Verwaltungsfehlers registrierte sich S&P Global nicht als Datenbroker.
Ergebnis
Bußgeld von 62.600 $ und Prüfverfahren für die Registrierung
42 Mio. €
Grund
Im Oktober 2024 drang ein Angreifer in die Systeme der Telekommunikationsunternehmen ein und erreichte Daten zu 24 Millionen Teilnehmerverträgen, darunter Kontonummern (IBANs). Die Sicherheit war unzureichend, und den E-Mails an die Kunden über den Vorfall fehlten vorgeschriebene Angaben.
Ergebnis
Bußgeld von 27 Mio. € gegen Free Mobile und 15 Mio. € gegen Free (insgesamt 42 Mio. €) sowie Anordnungen zur Behebung
- Bußgeld
VNG (Zalo)
Vietnam Competition Commission (Ministry of Industry and Trade), Vietnam, Andere Datenschutzgesetze
810 Mio. ₫
Grund
Zalo gab Nutzern keine klaren Optionen, zu wählen, welche personenbezogenen Daten sie teilen, oder deren Nutzung für Werbung und andere kommerzielle Zwecke zu erlauben oder abzulehnen. Die Nutzungsbedingungen enthielten zudem unzulässige Klauseln.
Ergebnis
Bußgeld von 810 Mio. VND für sechs Verstöße gegen das Verbraucherschutzgesetz; TikTok erhielt wegen ähnlicher Verstöße separat ein Bußgeld von 880 Mio. VND
1 Mio. €
Grund
Ein Auftragsverarbeiter im Marketing behielt nach Vertragsende eine Kopie der Daten von mehr als 46 Millionen Deezer-Nutzern und nutzte sie ohne Weisung des Kunden.
Ergebnis
Bußgeld von 1 Mio. €
56.600 $
Grund
Eine Marketingfirma aus Nevada erstellte und verkaufte individuelle Zielgruppenlisten aus Daten von über 262 Millionen Amerikanern, ohne sich in Kalifornien als Datenbroker zu registrieren.
Ergebnis
56.600 $ an Bußgeldern und überfälligen Gebühren
1,5 Mio. €
Grund
Die Website setzte Werbetracker, bevor Besucher eine Wahl getroffen hatten, und sogar nach einer Ablehnung. Außerdem las sie vorhandene Tracker weiter aus, nachdem Nutzer ihre Einwilligung widerrufen hatten.
Ergebnis
Bußgeld von 1,5 Mio. €
1,4 Mio. $
Grund
Keines der 21 Mobile Games von Jam City bot ein rechtskonformes Opt-out für Verkauf oder Weitergabe. Einige verkauften oder teilten Daten von 13- bis 16-Jährigen ohne Opt-in-Einwilligung.
Ergebnis
Strafe von 1,4 Mio. $, Opt-outs in den Apps, Opt-in für 13- bis 15-Jährige
750.000 €
Grund
Cookies wurden gleich beim Besuch gesetzt, einige Werbecookies waren als unbedingt erforderlich gekennzeichnet, und eine Ablehnung stoppte sie nicht.
Ergebnis
Bußgeld von 750.000 €; der Verlag hatte bereits 2021 eine Anordnung der CNIL wegen Cookies erhalten
10,043 Mio. €
Grund
Der Flughafenbetreiber führte an mehreren Flughäfen ein Pilotprojekt zur Gesichtserkennung durch, ohne vorher eine Datenschutz-Folgenabschätzung zu machen.
Ergebnis
Bußgeld von 10.043.002 €
530.000 $
Grund
Sling leitete Opt-out-Anträge über die Cookie-Einstellungen und ließ angemeldete Nutzer Daten erneut eingeben. In den TV-Apps fürs Wohnzimmer gab es kein Opt-out.
Ergebnis
Strafe von 530.000 $, Opt-out in der App, Kinderprofile ohne gezielte Werbung
1,35 Mio. $
Grund
Die Datenschutzhinweise ließen die Rechte von Verbrauchern und Bewerbern weg, Opt-outs funktionierten nicht (auch Signale von Global Privacy Control nicht), und Daten wurden ohne die vorgeschriebenen Verträge geteilt.
Ergebnis
Bußgeld von 1,35 Mio. $, Tracker-Scans und vier Jahre jährliche Compliance-Bestätigung
- Klage
Google (Web & App Activity)
N.D. California (class action), Kalifornien, Andere Datenschutzgesetze
425 Mio. $
Grund
Google erhob über seine Analysetools weiter App-Aktivitätsdaten von rund 98 Millionen Nutzern, die Web- & App-Aktivitäten ausgeschaltet hatten.
Ergebnis
Geschworenenurteil über rund 425 Mio. $ Schadensersatz; kein Strafschadensersatz; Google will Rechtsmittel einlegen
10 Mio. $
Grund
Laut FTC kennzeichnete Disney einige an Kinder gerichtete YouTube-Videos nicht als „Made for Kids“. Dadurch wurden Kinderdaten ohne Einwilligung der Eltern erhoben und für gezielte Werbung genutzt.
Ergebnis
Zivilstrafe von 10 Mio. $ und ein 10-jähriges Programm zur Prüfung von Videos; das Gericht genehmigte die Anordnung am 31. Dezember 2025
1,5 Mio. DKK
Grund
ILVA speicherte rund 350.000 Kundendatensätze in einem alten IT-System, ohne Routine zum Löschen oder Anonymisieren. In Dänemark empfiehlt die Datenschutzbehörde ein Bußgeld, und die Gerichte legen es fest.
Ergebnis
Das Bezirksgericht Aarhus verhängte 2021 wegen Fahrlässigkeit ein Bußgeld von 100.000 DKK. Am 2. September 2025 stufte der Western High Court den Verstoß als vorsätzlich ein und erhöhte das Bußgeld auf 1,5 Mio. DKK, gestützt auf den Konzernumsatz (EuGH C-383/23).
325 Mio. €
Grund
Anzeigen in Gmail-Posteingängen und Cookies bei der Kontoregistrierung ohne gültige Einwilligung.
Ergebnis
Bußgeld von 325 Mio. € (200 Mio. € Google LLC, 125 Mio. € Google Ireland) und Anordnung, beide Probleme binnen sechs Monaten zu beheben, sonst 100.000 € pro Tag
150 Mio. €
Grund
shein.com setzte Werbecookies, bevor Besucher auf das Banner reagiert hatten, und die Banner erklärten den Werbezweck nicht. Nachdem Nutzer auf „Refuse all“ geklickt oder ihre Einwilligung widerrufen hatten, wurden weiter Cookies gesetzt und ausgelesen.
Ergebnis
Bußgeld von 150 Mio. € gegen Infinite Styles Services Co. Ltd (Sheins irische Gesellschaft)
- Vergleich
Google, Flo Health and Flurry (Frasco v. Flo Health)
N.D. California (class action), Vereinigte Staaten, CIPA (Abhören)
59,5 Mio. $
Grund
Nutzer der Flo-App gaben an, dass ihre Menstruations- und Schwangerschaftsdaten zwischen November 2016 und Februar 2019 über Drittanbieter-SDKs mit Google, Flurry und Meta geteilt wurden. Das verstoße gegen den California Invasion of Privacy Act.
Ergebnis
Google 48 Mio. $, Flo 8 Mio. $ und Flurry 3,5 Mio. $, ohne Schuldeingeständnis; der Richter kündigte am 29. Oktober 2026 die endgültige Genehmigung an
134,8 Mrd. ₩
Grund
Schwache Zugriffskontrollen und verbundene Netze ermöglichten Hackern, Daten von mehr als 23 Millionen Kunden abzugreifen, darunter unverschlüsselte SIM-Authentifizierungsschlüssel. SKT informierte die Nutzer zudem verspätet.
Ergebnis
Bußgeld von 134,8 Mrd. KRW plus Verwaltungsstrafe von 9,6 Mio. KRW
Grund
Geschworene befanden, dass Meta gegen den California Invasion of Privacy Act verstieß, indem es über sein SDK vorsätzlich Kommunikation von Flo-Nutzern aufzeichnete, darunter Menstruations- und Schwangerschaftsdaten.
Ergebnis
Haftungsurteil gegen Meta; Anträge nach dem Verfahren im September 2025 abgewiesen; Stand November 2026 noch kein Urteil über Schadensersatz
55.400 $
Grund
Der Datenbroker aus Washington registrierte sich nicht bei der CPPA und zahlte die nach dem Delete Act vorgeschriebene Jahresgebühr nicht.
Ergebnis
Zahlung eines Bußgelds von 55.400 $ vereinbart
85.000 $
Grund
Der Datenschutzhinweis von TicketNetwork war unlesbar, ließ wichtige Rechte weg, und die Mechanismen zur Ausübung der Rechte funktionierten nicht. Nach einer Aufforderung zur Nachbesserung 2023 behob das Unternehmen dies nicht.
Ergebnis
85.000 $; erste öffentliche Durchsetzung des CTDPA
1,55 Mio. $
Grund
Healthline teilte weiter Daten mit Werbepartnern, nachdem Nutzer widersprochen hatten, auch über Global Privacy Control. Außerdem gab Healthline Artikeltitel, die auf eine medizinische Diagnose schließen ließen, für Werbe-Targeting weiter.
Ergebnis
Vergleich über 1,55 Mio. $, damals der größte CCPA-Vergleich
45 Mio. €
Grund
Vodafone prüfte und überwachte Partneragenturen im Vertrieb nicht ausreichend. Deren Mitarbeiter legten zulasten von Kunden gefälschte Verträge und Vertragsänderungen an. Eine schwache Authentifizierung zwischen dem MeinVodafone-Portal und der Hotline ermöglichte Außenstehenden zudem, eSIM-Profile zu erhalten.
Ergebnis
Bußgelder von 45 Mio. € (15 Mio. € + 30 Mio. €) sowie eine Verwarnung
7,25 Mio. $
Grund
Patreon soll Videoauswahl und personenbezogene Daten von Abonnenten ohne ordnungsgemäße Einwilligung über das Meta Pixel mit Meta geteilt haben.
Ergebnis
Vergleich über 7,25 Mio. $ endgültig genehmigt
1,369 Mrd. ₩
Grund
Temu übermittelte Daten koreanischer Nutzer ohne Offenlegung an Auftragsverarbeiter in China, Singapur und Japan. Es hatte keinen Vertreter im Inland und erhob ohne Rechtsgrundlage Ausweise und Gesichtsvideos von Verkäufern.
Ergebnis
Strafe von 1,369 Mrd. KRW plus Bußgeld von 17,6 Mio. KRW und Abhilfeanordnungen
900.000 €
Grund
Das Unternehmen verschickte Werbe-SMS und -E-Mails mit Daten, die es von Datenbrokern gekauft hatte. Deren Gewinnspielformulare drängten Menschen zur Zustimmung. Es konnte keine gültige Einwilligung nachweisen und gab Daten ohne Rechtsgrundlage an Kunden weiter.
Ergebnis
Bußgeld von 900.000 €; Anordnung, Kundenakquise ohne gültige Einwilligung einzustellen
1,375 Mrd. $
Grund
Zwei Klagen aus Texas von 2022 warfen Google vor, ohne Einwilligung Standorte, Inkognito-Suchen und biometrische Daten wie Stimmabdrücke und Gesichtsgeometrie erfasst zu haben.
Ergebnis
Vergleich über 1,375 Mrd. $; kein Schuldeingeständnis und keine Produktänderungen verlangt
- Bußgeld
Jerico Pictures (National Public Data)
California Privacy Protection Agency, Kalifornien, California Delete Act
46.000 $
Grund
Der Datenbroker aus Florida hinter dem Datenleck bei National Public Data 2024 registrierte sich nicht bei der CPPA und zahlte die Jahresgebühr nicht. Die CPPA leitete im Februar 2025 ein Verwaltungsverfahren gegen ihn ein.
Ergebnis
Zur Zahlung eines Bußgelds von 46.000 $ verpflichtet
345.178 $
Grund
Ein falsch konfiguriertes Datenschutzportal bearbeitete 40 Tage lang keine Opt-out-Anträge. Der Händler verlangte zudem eine Identitätsprüfung und übermäßig viele Daten, bevor Menschen widersprechen konnten.
Ergebnis
Bußgeld von 345.178 $, Korrektur der Opt-out-Tools, Mitarbeiterschulung
530 Mio. €
Grund
Auf Daten von Nutzern im EWR wurde aus China aus der Ferne zugegriffen, ohne gleichwertigen Schutz nachzuweisen. TikTok informierte die Nutzer nicht über die Übermittlungen.
Ergebnis
Bußgeld von 530 Mio. € und Anordnung, binnen sechs Monaten rechtskonform zu werden oder die Übermittlungen nach China auszusetzen
14,4 Mio. €
Grund
Amadeus verwendete personenbezogene Daten von Reisenden aus seinem Buchungssystem für Fluggesellschaften für ein anderes Produkt weiter, ohne Rechtsgrundlage und ohne die Betroffenen zu informieren.
Ergebnis
Bußgeld von 14,4 Mio. € (18 Mio. €, um 20 % gesenkt wegen sofortiger Zahlung)
27 Mio. PLN
Grund
Die staatliche Post verarbeitete bei der Vorbereitung der Briefwahl zur Präsidentschaftswahl 2020 ohne Rechtsgrundlage Daten aus dem PESEL-Register von rund 30 Millionen Erwachsenen.
Ergebnis
Vom Verwaltungsgericht Warschau am 5. März 2026 aufgehoben (II SA/Wa 837/25), weil die Post an die Entscheidung des Ministerpräsidenten gebunden war. Nicht rechtskräftig; UODO kann Kassationsbeschwerde einlegen.
632.500 $
Grund
Honda verlangte eine Identitätsprüfung für Opt-outs und nutzte ein Datenschutztool, das die Optionen nicht gleichwertig darstellte. Außerdem teilte Honda Daten ohne die vorgeschriebenen Verträge mit Adtech-Firmen.
Ergebnis
Bußgeld von 632.500 $, einfacheres Verfahren für Betroffenenrechte, Beratung durch UX-Designer
Grund
Der kalifornische Datenbroker, der damit warb, „beängstigende“ Mengen an Informationen über Menschen ausgraben zu können, registrierte sich nicht und zahlte die Jahresgebühr nach dem Delete Act nicht.
Ergebnis
Vereinbarte, sein Geschäft als Datenbroker bis 2028 einzustellen; ein Bußgeld von 50.000 $ wird nur bei Verstoß gegen den Vergleich fällig
- Vergleich
Key Marketing Advantage
California Privacy Protection Agency, Kalifornien, California Delete Act
55.800 $
Grund
Der Datenbroker registrierte sich nicht bei der CPPA und zahlte die nach dem Delete Act vorgeschriebene Jahresgebühr nicht.
Ergebnis
Vergleich über 55.800 $
20 Mio. $
Grund
Laut FTC erhob der Entwickler von Genshin Impact Daten von Kindern unter 13 ohne Einwilligung der Eltern und täuschte Spieler über Gewinnchancen und Kosten von Lootboxen.
Ergebnis
Strafe von 20 Mio. $ und Verbot, Lootboxen ohne Einwilligung der Eltern an unter 16-Jährige zu verkaufen
Grund
Die FTC warf Mobilewalla vor, Standortdaten aus Real-Time-Bidding-Werbebörsen erhoben und Daten über Besuche sensibler Orte verkauft zu haben, ohne die Einwilligung der Verbraucher zu prüfen. Erstmals stufte die FTC diese Art der Erhebung über Werbebörsen als unlauter ein.
Ergebnis
Endgültige Anordnung (4:1) verbietet den Verkauf sensibler Standortdaten und die Nutzung von Gebotsdaten aus Werbebörsen für andere Zwecke als Auktionen. Keine Geldstrafe.
Grund
Die FTC warf Gravy Analytics und der Tochter Venntel in einer im Dezember 2024 bekannt gegebenen Klage vor, Standortdaten ohne ordnungsgemäße Einwilligung verkauft zu haben, darunter Listen von Menschen, die Gesundheitseinrichtungen und Gotteshäuser besucht hatten.
Ergebnis
Endgültige Anordnung (5:0) verbietet Verkauf, Weitergabe und Nutzung sensibler Standortdaten, außer in eng begrenzten Fällen der nationalen Sicherheit oder Strafverfolgung. Ein Programm für sensible Standortdaten ist vorgeschrieben. Keine Geldstrafe.
54.200 $
Grund
Der Datenbroker war vom 1. Februar bis 4. November 2024 nicht bei der CPPA registriert und zahlte die Jahresgebühr nicht.
Ergebnis
Vergleich über 54.200 $
46.600 $
Grund
Der Datenbroker war vom 1. Februar bis 20. September 2024 nicht bei der CPPA registriert und zahlte die Jahresgebühr nicht.
Ergebnis
Vergleich über 46.600 $
50 Mio. AU$
Grund
Daten von 311.127 australischen Facebook-Nutzern waren über die App „This Is Your Digital Life“ dem Risiko einer Offenlegung an Cambridge Analytica ausgesetzt.
Ergebnis
Zahlungsprogramm über 50 Mio. A$ per durchsetzbarer Verpflichtungserklärung, womit das Strafverfahren vor dem Federal Court endete
251 Mio. €
Grund
Eine Schwachstelle in Facebooks Funktion „View As“ ermöglichte Angreifern 2018, Tokens von rund 29 Millionen Konten zu übernehmen, 3 Millionen davon in der EU/im EWR. Dabei wurden auch Kinderdaten offengelegt. Metas Meldung des Vorfalls war unvollständig, und die Systeme waren nicht auf Datenschutz durch Technikgestaltung ausgelegt.
Ergebnis
Bußgeld von 251 Mio. €
950.000 €
Grund
Kreditanträge ließen sich über persönliche Kunden-URLs öffnen, auf die es Phisher abgesehen hatten. Dadurch wurden Einkommen, Wohnkosten, Familienstand und Kinder der Antragsteller offengelegt.
Ergebnis
Bußgeld von 950.000 € und Anordnung, betroffene Kunden zu benachrichtigen
40.000 €
Grund
Tracking-Cookies wurden mit vorab angekreuzten Kästchen gesetzt, und weiteres Surfen galt als Einwilligung.
Ergebnis
Bußgeld von 40.000 €
- Bußgeld
Meta (WhatsApp 2021 privacy policy)
Competition Commission of India, Indien, Andere Datenschutzgesetze
2,131 Mrd. ₹
Grund
Die CCI befand, dass WhatsApps Datenschutz-Update von 2021 den Nutzern nach dem Prinzip „Friss oder stirb“ aufgezwungen wurde. Das sei eine unfaire Bedingung und ein Missbrauch der marktbeherrschenden Stellung nach dem Competition Act, 2002.
Ergebnis
Strafe von 213,14 Crore Rs; am 4. November 2025 bestätigte das NCLAT (Berufungsgericht) sie, hob aber das fünfjährige Verbot auf, WhatsApp-Daten für Werbung mit Meta zu teilen
2 Mio. TRY
Grund
Ein Datenleck von 125 GB betraf 35.274 Menschen in der Türkei. Die KVKK befand die Sicherheitsmaßnahmen und Risikobewertungen von Twitch für unzureichend und stellte fest, dass der Vorfall nicht gemeldet wurde.
Ergebnis
1,75 Mio. TRY für unzureichende Sicherheit plus 250.000 TRY für die nicht gemeldete Datenpanne
50 Mio. €
Grund
Mail Orange zeigte ohne Einwilligung Anzeigen im E-Mail-Stil zwischen echten Nachrichten in den Posteingängen. Auf orange.fr wurden Cookies weiter ausgelesen, nachdem Nutzer ihre Einwilligung widerrufen hatten.
Ergebnis
Bußgeld von 50 Mio. €; Anordnung, das Auslesen von Cookies nach Widerruf der Einwilligung einzustellen, mit einem Zwangsgeld von 100.000 € pro Tag
35.400 $
Grund
Der Datenbroker war vom 1. Februar bis 26. Juli 2024 nicht bei der CPPA registriert und zahlte die Jahresgebühr nicht. Es war einer der ersten Vergleiche nach dem Delete Act.
Ergebnis
Vergleich über 35.400 $
34.400 $
Grund
Der Datenbroker war vom 1. Februar bis 21. Juli 2024 nicht bei der CPPA registriert und zahlte die Jahresgebühr nicht. Es war einer der ersten Vergleiche nach dem Delete Act.
Ergebnis
Vergleich über 34.400 $
2,4 Mio. €
Grund
Posti richtete für Kunden automatisch ein elektronisches Postfach ein und bündelte es so mit anderen Diensten, dass es sich nicht ablehnen ließ. Kunden wurden nicht klar informiert, und es wurde ein vorab angekreuztes Kästchen verwendet.
Ergebnis
Das Verwaltungsgericht Helsinki hob das Bußgeld von 2,4 Mio. € auf (gemeldet am 3. November 2025), behielt aber die Verwarnung und die Anordnung zur Einhaltung bei
15 Mio. €
Grund
Die Garante stellte fest, dass OpenAI ChatGPT ohne Rechtsgrundlage mit Nutzerdaten trainierte, nicht transparent genug war, eine Datenpanne von 2023 nicht meldete und keine Altersprüfung hatte.
Ergebnis
Bußgeld von 15 Mio. € und eine 6-monatige Aufklärungskampagne; am 18. März 2026 vom Gericht in Rom aufgehoben, weil die Zuständigkeit der Garante auf die irische DPC übergegangen war
310 Mio. €
Grund
Keine gültige Rechtsgrundlage für die Nutzung von Mitgliederdaten für verhaltensbasierte Werbung.
Ergebnis
Bußgeld von 310 Mio. €, Verwarnung und Anordnung, die Verarbeitung rechtskonform zu gestalten
Grund
Anordnung, „Reject all“ auf die erste Ebene des Cookie-Banners zu setzen und keine Farben mehr zu verwenden, die Besucher zur Zustimmung drängen.
Ergebnis
Anordnung zur Änderung des Cookie-Banners mit täglichen Zwangsgeldern, im März 2025 von der Datenschutzbehörde zurückgenommen; die Beschwerde wurde im September 2025 geschlossen, nachdem RTL sein Banner geändert hatte
91 Mio. €
Grund
Meta speicherte Passwörter einiger Nutzer im Klartext auf internen Systemen. Es meldete und dokumentierte dies nicht als Datenpanne.
Ergebnis
Bußgeld von 91 Mio. € und eine Verwarnung
- Anordnung
Mediahuis (De Standaard, Het Nieuwsblad, Het Belang van Limburg, Gazet van Antwerpen)
Belgian DPA, Belgien, DSGVO
Grund
Nach einer Beschwerde von noyb wies die Datenschutzbehörde die vier Nachrichtenseiten von Mediahuis an, überall dort, wo „accept all“ erscheint, eine Ablehnungsoption ins Cookie-Banner aufzunehmen und keine irreführenden Buttonfarben mehr zu verwenden. Das ersetzte einen früheren Vergleich über 10.000 €, der keine Änderungen am Banner verlangt hatte.
Ergebnis
Zwei Anordnungen mit 45 Tagen Frist, jeweils mit einem Zwangsgeld von 25.000 € pro Tag und Website (insgesamt bis zu 200.000 € pro Tag). Der Marktgerichtshof hob die Entscheidung am 19. März 2025 (2024/AR/1690) aus Verfahrensgründen auf, weil noyb sein Beschwerderecht missbraucht habe.
Grund
Verwarnung, weil Werbecookies gesetzt wurden, bevor Besucher sie akzeptieren oder ablehnen konnten.
Ergebnis
Verwarnung, kein Bußgeld
290 Mio. €
Grund
Personenbezogene Daten von Fahrern wurden ohne angemessenen Schutz in die USA übermittelt.
Ergebnis
Bußgeld von 290 Mio. €
1,4 Mrd. $
Grund
Facebooks standardmäßig aktive Funktion Tag Suggestions nutzte Gesichtserkennung, um aus hochgeladenen Fotos ohne Offenlegung oder Einwilligung biometrische Merkmale zu erheben.
Ergebnis
1,4 Mrd. $ über fünf Jahre; damals der größte Datenschutzvergleich eines einzelnen Bundesstaats
600.000 €
Grund
Kruidvat.nl verfolgte Besucher ohne gültige Einwilligung mit Tracking-Cookies; die Einwilligungskästchen im Banner waren vorab angekreuzt, und Ablehnen war schwerer. So entstanden detaillierte Profile aus sensiblen Drogerieeinkäufen wie Schwangerschaftstests und Medikamenten.
Ergebnis
Bußgeld von 600.000 €
500.000 $
Grund
Das Spiel „SpongeBob: Krusty Cook-Off“ nutzte eine nicht neutrale Altersabfrage und falsch konfigurierte SDKs. Dadurch erhob und verkaufte es Kinderdaten ohne Einwilligung der Eltern.
Ergebnis
Strafe von 500.000 $, neutrale Altersabfrage, SDK-Governance (gemeinsam mit dem LA City Attorney)
30,5 Mio. €
Grund
Clearview sammelte über 30 Milliarden Fotos, auch von Niederländern, um ohne Rechtsgrundlage Gesichtserkennungsprofile zu erstellen. Die Betroffenen wurden nicht informiert.
Ergebnis
Bußgeld von 30,5 Mio. € plus Anordnungen unter Androhung von Zwangsgeld
7 Mio. $
Grund
Über Tracking-Tools teilte das Telemedizin-Unternehmen sensible Daten zur psychischen Gesundheit von fast 3,2 Millionen Menschen für Werbung mit LinkedIn, Snapchat, TikTok und anderen. Außerdem erschwerte es Kündigungen.
Ergebnis
Über 7 Mio. $ (rund 5,1 Mio. $ Erstattungen plus 2 Mio. $ einer Strafe von 10 Mio. $); Verbot, Gesundheitsdaten für die meisten Werbezwecke zu nutzen
351 Mio. CZK
Grund
Avast gab die Browserverläufe von rund 100 Millionen Nutzern seiner Antiviren-Software und Browsererweiterungen an seine Tochter Jumpshot weiter. Avast behauptete, die Daten seien anonym, sie waren aber nur pseudonymisiert, und einige Menschen ließen sich wieder identifizieren.
Ergebnis
Bußgeld von 351 Mio. CZK, inzwischen rechtskräftig
Grund
Die Klage warf Google vor, das Surfverhalten von Chrome-Nutzern verfolgt zu haben, die glaubten, der Inkognito-Modus schütze ihre Privatsphäre.
Ergebnis
Kein Schadensersatz; Löschung von Milliarden Datensätzen, klarere Hinweise, Drittanbieter-Cookies im Inkognito-Modus 5 Jahre lang blockierbar
16,5 Mio. $
Grund
Avast erhob über seine Antiviren-Software und Erweiterungen Surfdaten und verkaufte sie über Jumpshot an mehr als 100 Käufer, obwohl es versprach, Nutzer vor Tracking zu schützen.
Ergebnis
16,5 Mio. $ und Verbot, Surfdaten für Werbung zu verkaufen
375.000 $
Grund
DoorDash gab Namen, Adressen und Bestellverläufe kalifornischer Kunden an eine Marketing-Kooperative weiter. Das galt nach dem CCPA als Verkauf, und es gab weder Hinweis noch Opt-out.
Ergebnis
Strafe von 375.000 $, Prüfung der Dienstleisterverträge, jährliche Berichte
79,1 Mio. €
Grund
Schwache Kontrollen ermöglichten nicht autorisierten Agenturen, Kunden per illegalem Telefonmarketing zu werben. Enel übernahm 978 Verträge von Agenturen außerhalb seines Vertriebsnetzes.
Ergebnis
Bußgeld von 79,1 Mio. €
140.000 £
Grund
HelloFresh verschickte rund 79 Millionen Werbe-E-Mails und 1 Million SMS auf Grundlage einer ungültigen Einwilligung. Diese war in ein Kästchen zur Altersbestätigung eingebunden und erwähnte keine SMS. Manche erhielten weiter Nachrichten, nachdem sie um ein Ende gebeten hatten.
Ergebnis
Bußgeld von 140.000 £
Grund
Der Datenbroker verkaufte genaue, nicht anonymisierte Standortdaten, die mit Werbe-IDs verknüpft waren, darunter Besuche in Arztpraxen und Kliniken, ohne sicherzustellen, dass Nutzer informiert eingewilligt hatten.
Ergebnis
Erstes Verbot der FTC für den Verkauf sensibler Standortdaten; Löschung der Daten und daraus abgeleiteter Produkte
15 Mio. DKK
Grund
Datatilsynet zeigte Netcompany wegen des öffentlichen digitalen Postfachs mit.dk bei der Polizei an. Sicherheit war nicht in die Gestaltung eingebaut, und die Folgenabschätzung war unzureichend.
Ergebnis
Empfehlung der Datenschutzbehörde von mindestens 15 Mio. DKK; das endgültige Bußgeld legen die Gerichte fest. Noch offen, kein Urteil gefunden.
10 Mio. €
Grund
Yahoo setzte Werbetracker ohne vorherige Einwilligung. Außerdem erklärte Yahoo den Nutzern, ein Widerruf der Einwilligung würde wichtige Dienste wie Yahoo Mail sperren.
Ergebnis
Bußgeld von 10 Mio. € gegen Yahoo EMEA; vom Conseil d'État am 7. Oktober 2025 bestätigt
- Vergleich
NewYork-Presbyterian Hospital
New York Attorney General, New York, Andere Datenschutzgesetze
300.000 $
Grund
Von 2016 bis 2022 sendeten Tracking-Tools auf der Website des Krankenhauses Suchen nach Ärzten und Erkrankungen sowie Termindetails an Technologieunternehmen. Das verstieß gegen HIPAA.
Ergebnis
300.000 $, Prüfung der Tracking-Tools, Löschung der weitergegebenen Daten
32 Mio. €
Grund
Amazon überwachte Lagerbeschäftigte über ihre Scanner, bildete detaillierte Produktivitätskennzahlen und speicherte sie zu lange. Leiharbeitskräfte wurden darüber und über die Videoüberwachung nicht ordnungsgemäß informiert.
Ergebnis
Bußgeld von 32 Mio. €; vom Conseil d'État am 23. Dezember 2025 auf 15 Mio. € gesenkt
10 Mio. €
Grund
Uber teilte europäischen Fahrern nicht mit, wie lange es ihre Daten speicherte und in welche Länder außerhalb der EU sie gingen. Zudem machte es Fahrern unnötig schwer, ihre Daten anzufordern.
Ergebnis
Bußgeld von 10 Mio. €
5,47 Mio. €
Grund
Das Inkassounternehmen verarbeitete ohne Rechtsgrundlage Daten von Nicht-Schuldnern sowie Gesundheitsdaten. Es zeichnete ohne Rechtsgrundlage Anrufe von rund 49.850 Menschen auf, und wegen schwacher Sicherheit wurden Daten von 181.641 Menschen abgegriffen.
Ergebnis
Bußgeld von 5,47 Mio. €, das höchste in Kroatien; EOS Matrix kündigte an, dagegen vorzugehen
10 Mio. €
Grund
Energieverträge wurden ohne Wissen der Betroffenen in ihrem Namen abgeschlossen, mit falschen oder veralteten Kontaktdaten. Axpo hatte Kundendaten ohne ordnungsgemäße Prüfung von Vertriebsagenten übernommen.
Ergebnis
Bußgeld von 10 Mio. €
345 Mio. €
Grund
Mängel im Umgang mit Kinderdaten und Kinderkonten.
Ergebnis
Bußgeld von 345 Mio. €
- Vergleich
Advocate Aurora Health
Federal court, Wisconsin (class action), Wisconsin, Andere Datenschutzgesetze
12,225 Mio. $
Grund
Der Klinikverbund nutzte Meta Pixel und Google Analytics auf seiner Website, im Patientenportal und in der Termin-App. Dadurch wurden Daten von rund 2,5 Millionen Patienten offengelegt.
Ergebnis
Sammelvergleich über 12.225.000 $
- Vergleich
Boston Globe Media Partners (Ambrose v. Boston Globe)
D. Massachusetts (class action), Vereinigte Staaten, VPPA
4 Mio. $
Grund
Abonnenten warfen dem Globe vor, dass das Facebook-Pixel auf seinen Videoseiten ihre Videonutzungsdaten an Facebook sendete. Bloomberg Law nannte es den ersten Datenschutzfall zum Meta Pixel.
Ergebnis
Vergleichsfonds über 4 Mio. $; das Gericht kürzte die beantragten Anwaltshonorare von rund 1,7 Mio. $ auf 750.000 $
75.000 $
Grund
Das Gentest-Unternehmen ließ DNA- und Gesundheitsberichte in öffentlichem Cloud-Speicher liegen, täuschte Nutzer über die Löschung und änderte seine Datenschutzrichtlinie rückwirkend, um mehr Weitergabe zu erlauben.
Ergebnis
75.000 $ für Erstattungen, Vernichtung von DNA-Proben, Einwilligung für Weitergabe erforderlich
40 Mio. €
Grund
Surfdaten wurden über Cookies auf Partnerseiten erhoben, ohne zu prüfen, ob die Partner eine gültige Einwilligung eingeholt hatten.
Ergebnis
Bußgeld von 40 Mio. €, im März 2026 vom französischen Conseil d'État bestätigt
58 Mio. SEK
Grund
Auf Anfrage gab Spotify Menschen ihre Daten heraus, erklärte aber nicht klar, wie es diese Daten nutzte. Technische Daten wurden nicht verständlich erläutert.
Ergebnis
Bußgeld von 58 Mio. SEK
20 Mio. $
Grund
Microsoft erhob bei der Xbox-Registrierung Kinderdaten, ohne die Eltern zu informieren oder ihre Einwilligung einzuholen, und speicherte sie länger als erlaubt.
Ergebnis
Zivilstrafe von 20 Mio. $
25 Mio. $
Grund
Amazon speicherte Alexa-Sprachaufnahmen und Standortdaten von Kindern unbegrenzt, beachtete Löschanträge nicht und nutzte die Daten, um seine Algorithmen zu verbessern.
Ergebnis
Zivilstrafe von 25 Mio. $ und Löschpflichten
5,8 Mio. $
Grund
Ring ließ Mitarbeiter und Auftragnehmer private Videos von Kunden ansehen. Grundlegende Sicherheit fehlte, sodass Hacker rund 55.000 Konten übernahmen.
Ergebnis
5,8 Mio. $ für Erstattungen und ein Datenschutz- und Sicherheitsprogramm
1,2 Mrd. €
Grund
Daten von Facebook-Nutzern wurden ohne angemessenen Schutz in die USA übermittelt. Das bisher höchste DSGVO-Bußgeld.
Ergebnis
Bußgeld von 1,2 Mrd. € und Anordnung, die Übermittlungen einzustellen
100.000 $
Grund
Über SDKs teilte die Ovulations-App sensible Gesundheitsdaten mit AppsFlyer, Google und zwei Firmen mit Sitz in China, ohne die Nutzer jemals zu informieren.
Ergebnis
Strafe von 100.000 $ nach der Health Breach Notification Rule (plus 100.000 $ an CT, DC und OR) und ein Verbot der Weitergabe für Werbung
380.000 €
Grund
Die Gesundheitswebsite erhob Daten aus Gesundheitsquizzen ohne gesonderte Einwilligung und speicherte sie zu lange. Sie setzte beim Aufruf ein Werbecookie und zwei weitere sogar nach „Refuse all“.
Ergebnis
Insgesamt 380.000 € (280.000 € DSGVO + 100.000 € Cookies)
2,265 Mio. €
Grund
Das Inkassounternehmen nannte in seiner Datenschutzerklärung die falsche Rechtsgrundlage und hatte für einen Dienst zur Insolvenzüberwachung keinen Auftragsverarbeitungsvertrag. Wegen unzureichender Sicherheit wurden Daten von mindestens 132.652 Menschen offengelegt.
Ergebnis
Bußgeld von 2,265 Mio. €, damals das höchste der AZOP
12,7 Mio. £
Grund
TikTok ließ sehr viele Kinder unter 13 im Vereinigten Königreich die App ohne Einwilligung der Eltern nutzen und tat zu wenig, um sie zu finden und zu entfernen. Außerdem erklärte TikTok nicht klar, wie es die Daten der Menschen nutzte.
Ergebnis
Bußgeld von 12,7 Mio. £; TikTok zog im September 2026 seine Rechtsmittel zurück und akzeptierte es
7,8 Mio. $
Grund
Laut FTC teilte BetterHelp E-Mail-Adressen, IP-Adressen und Antworten aus Gesundheitsfragebögen für Werbung mit Facebook, Snapchat, Criteo und Pinterest.
Ergebnis
7,8 Mio. $ für Erstattungen an Verbraucher und ein Verbot, Gesundheitsdaten für Werbung zu teilen
1,5 Mio. $
Grund
GoodRx teilte Medikamente und Erkrankungen der Nutzer mit Facebook, Google und Criteo und nutzte sie für gezielte Werbung, obwohl es das Gegenteil versprochen hatte.
Ergebnis
Strafe von 1,5 Mio. $ (erster Fall nach der Health Breach Notification Rule) und ein Verbot, Gesundheitsdaten für Werbung zu teilen
390 Mio. €
Grund
Meta stützte verhaltensbasierte Werbung auf seinen Vertrag mit den Nutzern (die Nutzungsbedingungen) als Rechtsgrundlage. Die DPC erklärte das für unzulässig.
Ergebnis
Bußgeld von 390 Mio. € (210 Mio. € Facebook, 180 Mio. € Instagram) und Anordnung, binnen drei Monaten rechtskonform zu werden
3 Mio. €
Grund
Der Publisher von Mobile Games las auf iPhones ohne Einwilligung Apples Kennung IDFV für Werbung aus, selbst nachdem Nutzer Tracking abgelehnt hatten.
Ergebnis
Bußgeld von 3 Mio. €; vom Conseil d'État am 14. Mai 2024 bestätigt
5 Mio. €
Grund
tiktok.com bot „accept all“ mit einem Klick an, aber keinen ebenso einfachen Weg, Cookies abzulehnen; ein „refuse all“-Button kam erst im Februar 2022. Besucher wurden nicht klar genug über den Zweck der Cookies informiert.
Ergebnis
Bußgeld von 5 Mio. €
8 Mio. €
Grund
Unter iOS 14.6 las Apple ohne vorherige Abfrage iPhone-Kennungen für personalisierte Werbung im App Store aus. Werbe-Targeting war standardmäßig aktiv, und das Ausschalten erforderte mehrere Schritte.
Ergebnis
Bußgeld von 8 Mio. €; Apple kündigte Rechtsmittel an
520 Mio. $
Grund
Laut FTC erhob Epic Kinderdaten ohne Einwilligung der Eltern, aktivierte Sprach- und Textchat standardmäßig und nutzte Dark Patterns, die zu ungewollten Käufen führten.
Ergebnis
COPPA-Strafe von 275 Mio. $ plus 245 Mio. $ Erstattungen an Verbraucher (insgesamt 520 Mio. $)
60 Mio. €
Grund
bing.com setzte Cookies, auch Werbecookies, und machte das Ablehnen nicht so einfach wie das Akzeptieren.
Ergebnis
Bußgeld von 60 Mio. € plus Anordnung zur Behebung
- Vergleich
Google (location tracking)
40 US state attorneys general, Vereinigte Staaten, US-Bundesstaatengesetze
391,5 Mio. $
Grund
Laut den Bundesstaaten täuschte Google Nutzer ab 2014 über Standort-Tracking: Auch nach dem Ausschalten des Standortverlaufs wurden über Einstellungen wie Web- & App-Aktivitäten weiter Daten erhoben.
Ergebnis
Vergleich über 391,5 Mio. $, damals der größte Datenschutzvergleich mehrerer Bundesstaaten in der US-Geschichte
4,3 Mio. €
Grund
Für den Zensus 2021 nutzte INE Cloudflare zu Bedingungen, die Datenübermittlungen in die USA und andere Länder ohne angemessene Garantien erlaubten. Weitere Mängel betrafen Informationspflichten, Regeln zur Auftragsverarbeitung und eine fehlende DSFA.
Ergebnis
Bußgeld von 4,3 Mio. €, das höchste in Portugal; INE legte im Januar 2023 Rechtsmittel ein, eine endgültige Entscheidung wurde nicht gefunden
20 Mio. €
Grund
Clearview sammelte ohne Rechtsgrundlage Milliarden Onlinefotos für Gesichtserkennung, auch von Menschen in Frankreich. Anträge auf Auskunft und Löschung beantwortete es nicht ordnungsgemäß.
Ergebnis
Bußgeld von 20 Mio. € und Anordnung zur Löschung der Daten; 2023 kam wegen Nichterfüllung ein weiteres Zwangsgeld von 5,2 Mio. € hinzu
- Vergleich
Google (Google Photos, Rivera v. Google)
Circuit Court of Cook County, Illinois (class action), Illinois, Illinois BIPA
100 Mio. $
Grund
Einwohner von Illinois warfen Google vor, dass die Gesichtergruppierung von Google Fotos aus ihren Fotos Gesichtsvorlagen erstellte, ohne den Hinweis und die schriftliche Einwilligung, die BIPA verlangt.
Ergebnis
Vergleich über 100 Mio. $, am 28. September 2022 endgültig genehmigt
405 Mio. €
Grund
Kontaktdaten von Kindern wurden über Business-Konten und standardmäßig öffentliche Profile veröffentlicht.
Ergebnis
Bußgeld von 405 Mio. €
69,2 Mrd. ₩
Grund
Google teilte Nutzern nicht klar mit, dass es ihr Verhalten in anderen Diensten für personalisierte Werbung erfasste, und stellte die Einwilligung standardmäßig auf „zustimmen“.
Ergebnis
Bußgeld von 69,2 Mrd. KRW und Abhilfeanordnung
30,8 Mrd. ₩
Grund
Meta erhob und nutzte das Verhalten von Nutzern auf anderen Websites und Apps für personalisierte Werbung, ohne bei der Registrierung eine gültige Einwilligung einzuholen.
Ergebnis
Bußgeld von 30,8 Mrd. KRW und Abhilfeanordnung
1,2 Mio. $
Grund
Daten wurden über Drittanbieter-Tracker verkauft, ohne die Kunden zu informieren, und Signale von Global Privacy Control wurden ignoriert.
Ergebnis
Vergleich über 1,2 Mio. $
35 Mio. $
Grund
Nutzer aus Illinois warfen Snap vor, dass die Lenses und Filter von Snapchat ihre Gesichtsgeometrie scannten und speicherten, ohne die Hinweise und die schriftliche Einwilligung, die BIPA verlangt. Snap wies die Vorwürfe zurück.
Ergebnis
Sammelvergleich über 35 Mio. $ für Nutzer in Illinois seit November 2015; Anhörung zur endgültigen Genehmigung für November 2022 angesetzt
92 Mio. $
Grund
Die Kläger warfen TikTok vor, ohne Einwilligung Gesichtsabdrücke nach BIPA erhoben und Nutzungsdaten nach dem VPPA offengelegt zu haben.
Ergebnis
Vergleich über 92 Mio. $ endgültig genehmigt
8,026 Mrd. CN¥
Grund
Didi erhob ab 2015 ohne Einwilligung rechtswidrig Kundendaten, darunter Gesichtserkennungsdaten und Fotos vom Handy. Außerdem speicherte es Daten von 57 Millionen Fahrern unsicher.
Ergebnis
Bußgeld von 8,026 Mrd. CNY nach PIPL, Cybersicherheitsgesetz und Datensicherheitsgesetz
20 Mio. €
Grund
Clearview sammelte Gesichtsbilder von Menschen in Griechenland von öffentlichen Websites und sozialen Netzwerken, um durchsuchbare biometrische Profile zu erstellen, ohne Rechtsgrundlage oder Transparenz.
Ergebnis
Bußgeld von 20 Mio. €
220.000 €
Grund
Der Krankenversicherer schickte einer Person zwischen April 2020 und März 2021 51 E-Mails mit ärztlichen Freigaben und Testergebnissen anderer Menschen und ignorierte ihre Hinweise. Die Datenpanne meldete er nicht.
Ergebnis
220.000 € vorgeschlagen (100.000 € nach Art. 5 Abs. 1 lit. f plus je 60.000 € für zwei weitere Verstöße); DKV zahlte nach den Abschlägen für freiwillige Zahlung und Anerkenntnis 132.000 € (PS/00080/2022)
Grund
Die App erfasste den Standort der Nutzer alle paar Minuten, auch wenn sie geschlossen war, obwohl es hieß, der Standort werde nur während der Nutzung erhoben.
Ergebnis
Verstöße festgestellt; Tim Hortons sagte zu, Daten zu löschen und ein Datenschutzprogramm aufzubauen (kein Bußgeld)
150 Mio. $
Grund
Twitter erhob Telefonnummern und E-Mail-Adressen von über 140 Millionen Nutzern für die Kontosicherheit und nutzte sie dann für gezielte Werbung. Das verstieß gegen eine FTC-Anordnung von 2011.
Ergebnis
Zivilstrafe von 150 Mio. $
7,553 Mio. £
Grund
Clearview baute eine Gesichtserkennungsdatenbank aus über 20 Milliarden gesammelten Bildern auf, auch von Menschen im Vereinigten Königreich, ohne sie zu informieren und ohne Rechtsgrundlage.
Ergebnis
Bußgeld von 7.552.800 £ und Anordnung zur Löschung britischer Daten; 2023 vom First-tier Tribunal wegen fehlender Zuständigkeit aufgehoben, im Oktober 2025 vom Upper Tribunal jedoch revidiert und zurückverwiesen
10 Mio. €
Grund
Google gab ohne Rechtsgrundlage personenbezogene Daten von Menschen, die die Entfernung von Inhalten beantragt hatten, an das Lumen-Projekt in Harvard weiter, das solche Anträge veröffentlicht. Außerdem erschwerte Google es, Daten löschen zu lassen.
Ergebnis
Bußgeld von 10 Mio. €
17 Mio. €
Grund
Nach 12 Datenpannen im Jahr 2018 konnte Meta nicht nachweisen, dass es angemessene Maßnahmen zum Schutz der Daten von EU-Nutzern getroffen hatte.
Ergebnis
Bußgeld von 17 Mio. €
1,5 Mio. $
Grund
Eine Abnehm-App, die sich an Kinder ab acht Jahren richtete, erhob deren Daten ohne Einwilligung der Eltern. Bei der Registrierung konnten Kinder angeben, älter als 13 zu sein.
Ergebnis
Strafe von 1,5 Mio. $, Löschung von Daten und Algorithmen
20 Mio. €
Grund
Clearview betrieb eine biometrische Gesichtersuche mit aus dem Web gesammelten Bildern, auch von Menschen in Italien, ohne Rechtsgrundlage oder Transparenz.
Ergebnis
Bußgeld von 20 Mio. €
250.000 €
Grund
Das Transparency & Consent Framework der Werbebranche hatte keine gültige Rechtsgrundlage für die Verarbeitung des TC String und gab Nutzern nur vage Informationen. Es stellte nicht sicher, dass die Entscheidungen der Nutzer beachtet wurden.
Ergebnis
Bußgeld von 250.000 €; Anordnungen zur Korrektur des TCF, darunter ein Verbot, sich auf berechtigtes Interesse zu stützen; Aktionsplan später genehmigt, dann bis zur Entscheidung über das Rechtsmittel ausgesetzt
8 Mio. €
Grund
Die DSB stellte DSGVO-Verstöße im Zusammenhang mit dem Kundenbindungsprogramm jö Bonus Club fest. Zuvor hatte der Club selbst 2021 ein Bußgeld von 2 Mio. € erhalten, weil er rund 2 Millionen Kunden nicht über die Verwendung ihrer Daten informiert hatte.
Ergebnis
Bei Bekanntgabe nicht rechtskräftig; REWE kündigte an, dagegen vorzugehen. Kein Gerichtsergebnis gefunden.
1,25 Mio. €
Grund
Die Stadtverwaltung gab zwischen 2018 und 2021 in 225 Fällen personenbezogene Daten von Organisatoren von Protesten an Dritte weiter, darunter die russische Botschaft.
Ergebnis
Von den Gerichten gesenkt, weil einige Verstöße verjährt waren; im August 2025 beließ das Zentrale Verwaltungsgericht Süd rund 738.000 € für 65 Verstöße. Weitere Rechtsmittel möglich.
150 Mio. €
Grund
google.fr und youtube.com ließen Nutzer alle Cookies mit einem Klick akzeptieren, für das Ablehnen waren aber mehrere Klicks nötig.
Ergebnis
Insgesamt 150 Mio. € (90 Mio. € Google LLC + 60 Mio. € Google Ireland) plus Anordnung zur Behebung
60 Mio. €
Grund
facebook.com ließ Nutzer Cookies mit einem Klick akzeptieren, für das Ablehnen waren aber mehrere Klicks nötig, und Nutzer wurden nicht klar informiert, wie sie ablehnen können.
Ergebnis
Bußgeld von 60 Mio. € gegen Facebook Ireland plus Anordnung zur Behebung
65 Mio. NOK
Grund
Grindr teilte ohne gültige Einwilligung GPS-Standort, Werbe-IDs und andere Daten der Nutzer mit Werbepartnern. Diese Daten verrieten, dass sie eine schwule Dating-App nutzten. Um die App zu nutzen, mussten Nutzer die gesamte Datenschutzrichtlinie akzeptieren.
Ergebnis
Bußgeld von 65 Mio. NOK; bestätigt vom Privacy Appeals Board, vom Bezirksgericht Oslo und schließlich am 21. Oktober 2025 vom Berufungsgericht
1,95 Mio. TRY
Grund
Die KVKK stellte fest, dass WhatsApps Datenschutz-Update von 2021 nicht klar erklärte, wie und warum Nutzerdaten verarbeitet werden. Nutzer mussten den Vertrag als Ganzes akzeptieren, statt frei einzuwilligen.
Ergebnis
Bußgeld von 1,95 Mio. TRY (rund 197.000 €) und Anordnung, die Datenschutzrichtlinie an türkisches Recht anzupassen
225 Mio. €
Grund
WhatsApp erklärte Nutzern und Nicht-Nutzern nicht klar, wie es ihre Daten verarbeitete, auch nicht, wie es Daten mit anderen Facebook-Unternehmen teilte.
Ergebnis
Bußgeld von 225 Mio. €, Verwarnung und Anordnung zur Einhaltung; nach einem verbindlichen Beschluss des EDSA erhöht
746 Mio. €
Grund
Personenbezogene Daten wurden ohne gültige Rechtsgrundlage für Werbe-Targeting genutzt.
Ergebnis
Bußgeld von 746 Mio. €, 2025 bestätigt, im März 2026 aber vom luxemburgischen Verwaltungsgerichtshof aufgehoben und an die CNPD zurückverwiesen
650 Mio. $
Grund
Facebook nutzte Gesichtserkennung, um biometrische Merkmale von Nutzern in Illinois ohne die schriftliche Einwilligung, die BIPA verlangt, zu erheben und zu speichern.
Ergebnis
Vergleich über 650 Mio. $, von Richter Donato endgültig genehmigt
60.000 £
Grund
Die Modemarke verschickte zwischen Juni 2019 und Juni 2020 1.746.632 Direktwerbenachrichtigungen ohne gültige Einwilligung, einige mit einer kostenlosen Gesichtsmaske für das Herunterladen ihrer App. Im Checkout gab es keine einfache Möglichkeit, Werbung abzulehnen, daher griff das Soft-Opt-in nicht.
Ergebnis
PECR-Bußgeld von 60.000 £
10.000 £
Grund
Der Online-Händler für Sticker verschickte zwischen August 2019 und April 2020 491.995 Werbe-E-Mails ohne Einwilligung, viele davon mit Werbung für Gesichtsmasken zu Beginn der Pandemie.
Ergebnis
PECR-Bußgeld von 10.000 £
50.000 €
Grund
Das Unternehmen verschickt „Pink Box“-Probenpakete an werdende Eltern. Es gab Kundendaten, auch Daten von Kindern, ohne gültige, informierte und freiwillige Einwilligung an Dritte wie Datenbroker weiter. Eine Frau, die ihre Einwilligung widerrufen hatte, erhielt weiter Werbeanrufe.
Ergebnis
Bußgeld von 50.000 € und Anordnung, die Verarbeitung rechtskonform zu gestalten (Entscheidung 04/2021)
Grund
Die Zyklus-App teilte Gesundheitsdaten, auch zu Schwangerschaften, mit externen Analyse- und Marketingfirmen, obwohl sie Datenschutz versprach.
Ergebnis
Consent Order: unabhängige Prüfung, Einwilligung vor der Weitergabe, Hinweis an Nutzer; keine Geldzahlung
10,4 Mio. €
Grund
Der Online-Händler filmte seine Beschäftigten mindestens zwei Jahre lang ohne Rechtsgrundlage, an Arbeitsplätzen, in Verkaufsräumen, Lagern und Pausenbereichen. Aufnahmen wurden oft 60 Tage gespeichert.
Ergebnis
Das LG Hannover senkte es auf 700.000 € (6. Mai 2024); auf Rechtsmittel der Staatsanwaltschaft setzte das OLG Celle das endgültige Bußgeld auf 900.000 € fest (18. Dezember 2025, 3 ORbs 113/25)
6 Mio. €
Grund
Die Einwilligung der Kunden war nicht gültig, und die Bank konnte sich für Profiling nicht auf berechtigtes Interesse stützen. Außerdem informierte sie die Kunden nicht ordnungsgemäß.
Ergebnis
Bußgeld von 6 Mio. € (4 Mio. € für rechtswidrige Verarbeitung, 2 Mio. € für fehlende Information)
100 Mio. €
Grund
google.fr setzte Werbecookies ohne vorherige Einwilligung und informierte Nutzer nicht klar über ihren Zweck. Ein Werbecookie blieb zudem aktiv, nachdem Nutzer die Anzeigenpersonalisierung ausgeschaltet hatten.
Ergebnis
Insgesamt 100 Mio. € (60 Mio. € Google LLC + 40 Mio. € Google Ireland) plus Anordnung zur Behebung
35 Mio. €
Grund
amazon.fr setzte Werbecookies auf den Geräten der Besucher ohne vorherige Einwilligung und ohne klare Information.
Ergebnis
Bußgeld von 35 Mio. € gegen Amazon Europe Core plus Anordnung zur Behebung
7.300 €
Grund
Ein E-Mail-Akquise-Unternehmen mit zwei Personen verschickte Werbe-E-Mails ohne Nachweis einer vorherigen Einwilligung. Außerdem speicherte es unnötige Daten, informierte schlecht, die Abmeldung funktionierte nicht, und der Auftragsverarbeitungsvertrag war unvollständig.
Ergebnis
Bußgeld von 7.300 €, niedrig angesetzt für ein sehr kleines Unternehmen, plus Anordnung zur Einhaltung binnen zwei Monaten, sonst 1.000 € pro Tag (SAN-2020-016)
1,969 Mio. PLN
Grund
Virgin Mobile testete seine Sicherheitsmaßnahmen nicht regelmäßig, und durch ein Datenleck wurden PESEL- und Ausweisnummern von rund 114.000 Prepaid-Kunden offengelegt.
Ergebnis
Die erste Entscheidung wurde aufgehoben; UODO setzte das Bußgeld neu auf 1.599.395 PLN fest. Es wurde 2023 bestätigt und rechtskräftig, als das Oberste Verwaltungsgericht die Kassationsbeschwerde am 7. Mai 2026 zurückwies
2,25 Mio. €
Grund
Die Websites und das Treueprogramm von Carrefour gaben unklare Informationen, speicherten Daten zu lange, bearbeiteten Betroffenenanfragen fehlerhaft und verstießen bei Cookies gegen die Regeln.
Ergebnis
Bußgeld von 2,25 Mio. € gegen Carrefour France (Carrefour Banque erhielt separat ein Bußgeld von 800.000 €)
1,25 Mio. £
Grund
Ein schlecht gesicherter Chatbot eines Drittanbieters auf der Zahlungsseite von Ticketmaster wurde 2018 angegriffen. Dadurch waren möglicherweise Daten von 9,4 Millionen europäischen Kunden offengelegt, darunter Zahlungskartendaten.
Ergebnis
Bußgeld von 1,25 Mio. £
12,252 Mio. €
Grund
Millionen Kunden erhielten ohne Einwilligung Werbeanrufe, einige davon von Vertriebspartnern über gefälschte Nummern.
Ergebnis
Bußgeld von 12.251.601 €
18,4 Mio. £
Grund
Ein Cyberangriff 2014 auf Starwood, das Marriott später kaufte, legte rund 339 Millionen Gästedatensätze offen und blieb bis 2018 unbemerkt. Marriott hatte nicht genug Sorgfaltsprüfung und Sicherheit betrieben.
Ergebnis
Bußgeld von 18,4 Mio. £
20 Mio. £
Grund
Angreifer leiteten 2018 den Traffic der BA-Website um und griffen wegen mangelhafter Sicherheit Anmelde-, Zahlungskarten- und Buchungsdaten von rund 400.000 Kunden ab.
Ergebnis
Bußgeld von 20 Mio. £ (gesenkt von vorgeschlagenen 183,39 Mio. £)
35,259 Mio. €
Grund
Vorgesetzte im Servicecenter von H&M in Nürnberg hielten Details aus dem Privatleben der Beschäftigten fest, darunter Krankheiten und Diagnosen aus „Welcome Back“-Gesprächen, und erstellten daraus Profile.
Ergebnis
Bußgeld von 35.258.708 €
16,7 Mio. €
Grund
Kunden erhielten ohne Einwilligung Werbe-SMS, -E-Mails und -Anrufe. Wegen unvollständiger Datenschutzinformationen war es für sie schwer, ihre Einwilligung zu widerrufen oder zu widersprechen.
Ergebnis
Bußgeld von 16,7 Mio. €
1,2 Mio. TRY
Grund
amazon.com.tr verarbeitete personenbezogene Daten über Cookies, sobald Nutzer die Seite aufriefen, ohne Hinweis oder Einwilligungsabfrage. Zudem nutzte die Website eine vorab angekreuzte Einwilligung für Werbe-E-Mails und übermittelte Daten ohne ausdrückliche Einwilligung ins Ausland.
Ergebnis
1,1 Mio. TRY (Datensicherheit) plus 100.000 TRY (Informationspflicht); Anordnung, Datenschutz-, AGB- und Cookie-Hinweise zu korrigieren
27,8 Mio. €
Grund
Hunderte Beschwerden zeigten, dass TIM Werbeanrufe ohne Einwilligung oder bei Menschen tätigte, die widersprochen hatten. Außerdem gab es unklare Informationen in der App und gebündelte Einwilligungen.
Ergebnis
Bußgeld von 27,8 Mio. €
9,55 Mio. €
Grund
Der Telefonsupport gab umfangreiche Kundendaten an jeden heraus, der Namen und Geburtsdatum eines Kunden nannte. Diese Prüfung war nach Art. 32 DSGVO zu schwach.
Ergebnis
Das LG Bonn bestätigte das Bußgeld dem Grunde nach, senkte es aber am 11. November 2020 auf 900.000 €
14,5 Mio. €
Grund
Das Archivsystem des Vermieters konnte alte Mieterdaten nicht löschen. Gehaltsabrechnungen, Kontoauszüge sowie Steuer- und Krankenversicherungsdaten wurden daher jahrelang gespeichert (Art. 25 Abs. 1 und Art. 5 DSGVO).
Ergebnis
Das LG Berlin hob es 2021 auf. Der EuGH entschied am 5. Dezember 2023 (C-807/21), dass Unternehmen direkt mit Bußgeldern belegt werden können, aber nur bei schuldhaften Verstößen. Am 9. Juni 2026 senkte das LG Berlin I das Bußgeld auf 900.000 €; noch nicht rechtskräftig.
30.000 €
Grund
Die Website von Vueling bot Besuchern keine Möglichkeit, Cookies abzulehnen: Sie mussten sie akzeptieren, um weiterzusurfen.
Ergebnis
Bußgeld von 30.000 € (18.000 € bei früher Zahlung)
18 Mio. €
Grund
Die Post schätzte die wahrscheinlichen Parteipräferenzen von 2,2 Millionen Österreichern und verkaufte sie ohne Einwilligung.
Ergebnis
2020 wegen eines Formfehlers aufgehoben, nach dem EuGH-Urteil Deutsche Wohnen neu auf 16 Mio. € festgesetzt. Der Verwaltungsgerichtshof setzte das endgültige Bußgeld am 24. Juni 2026 auf 13 Mio. € fest (Ro 2025/04/0007).
2,83 Mio. PLN
Grund
Schwache Zugriffskontrolle und Authentifizierung sowie keine Reaktion auf ungewöhnliche Datenübertragungen ermöglichten einem Angreifer 2018, Daten von rund 2,2 Millionen Kunden des Onlineshops abzugreifen.
Ergebnis
2020 bestätigt, am 9. Februar 2023 vom Obersten Verwaltungsgericht aufgehoben; UODO verhängte im Februar 2024 erneut ein Bußgeld von 3,8 Mio. PLN, gegen das Rechtsmittel läuft
170 Mio. $
Grund
YouTube erhob Cookies von Zuschauern kindgerichteter Kanäle ohne Einwilligung der Eltern und nutzte sie für gezielte Werbung.
Ergebnis
170 Mio. $ (136 Mio. $ FTC, 34 Mio. $ New York); System zur Kennzeichnung von Kanalinhalten
195.407 €
Grund
Der Essenslieferdienst löschte lange inaktive Konten nicht, verschickte nach Widersprüchen weiter Werbe-E-Mails und beantwortete Auskunftsanfragen nicht.
Ergebnis
Rechtskräftig; bekannt gegeben am 19. September 2019
5 Mrd. $
Grund
Laut FTC verstieß Facebook gegen seine Datenschutzanordnung von 2012, indem es Nutzer über die Kontrolle ihrer Daten täuschte, unter anderem durch die Weitergabe von Daten von Freunden an Drittanbieter-Apps. Die Vorwürfe folgten auf den Cambridge-Analytica-Skandal.
Ergebnis
Strafe von 5 Mrd. $, damals die höchste für einen Datenschutzverstoß, plus ein Datenschutzausschuss im Board
1,2 Mio. DKK
Grund
Das Taxiunternehmen speicherte Telefonnummern und Fahrtstandorte von fast neun Millionen Fahrten länger als nötig. Die Datenschutzbehörde empfahl 1,2 Mio. DKK; in Dänemark legen Gerichte Bußgelder fest.
Ergebnis
Das Bezirksgericht Frederiksberg verhängte im Januar 2023 ein Bußgeld von 100.000 DKK
5,7 Mio. $
Grund
Die App erhob personenbezogene Daten von Nutzern unter 13 ohne Einwilligung der Eltern, obwohl bekannt war, dass viele Nutzer Kinder waren.
Ergebnis
Zivilstrafe von 5,7 Mio. $, Entfernung von Videos unter 13-Jähriger
50 Mio. €
Grund
Android-Nutzer, die ein Google-Konto einrichteten, erhielten unklare und verstreute Informationen zur Anzeigenpersonalisierung. Die Einwilligung war gebündelt und nutzte ein vorab angekreuztes Kästchen.
Ergebnis
Bußgeld von 50 Mio. €; vom Conseil d'État am 19. Juni 2020 bestätigt
- Bußgeld
IHiS (Integrated Health Information Systems)
Singapore PDPC, Singapur, Andere Datenschutzgesetze
750.000 SGD
Grund
Als IT-Dienstleister von SingHealth versäumte IHiS es, vor dem Cyberangriff 2018 angemessene Sicherheitsmaßnahmen zu treffen. Dabei wurden Daten von über 1,5 Millionen Patienten kopiert.
Ergebnis
Bußgeld von 750.000 S$
250.000 SGD
Grund
SingHealth blieb für die Sicherung der Patientenakten verantwortlich, die es an IHiS ausgelagert hatte. Vor der Datenpanne 2018 hatte es keine angemessene Sicherheit.
Ergebnis
Bußgeld von 250.000 S$
385.000 £
Grund
Vermeidbare Sicherheitslücken ermöglichten Angreifern 2016, Daten von rund 2,7 Millionen Fahrgästen und 82.000 Fahrern im Vereinigten Königreich abzugreifen. Uber bezahlte die Angreifer und verschwieg die Datenpanne über ein Jahr lang.
Ergebnis
Bezahlt (Data Protection Act 1998)
20.000 €
Grund
Die Chatplattform speicherte Passwörter im Klartext, und Hacker griffen im Juli 2018 Daten von rund 330.000 Nutzern ab.
Ergebnis
Erstes DSGVO-Bußgeld in Deutschland, niedrig gehalten, weil Knuddels die Datenpanne selbst meldete und kooperierte
500.000 £
Grund
Facebook ließ die App „This Is Your Digital Life“ Daten von bis zu 87 Millionen Nutzern erheben, die an Cambridge Analytica gingen. Das verstieß gegen die Grundsätze der Transparenz und Sicherheit des Data Protection Act 1998.
Ergebnis
Höchstbußgeld nach dem Gesetz von 1998. Facebook legte Rechtsmittel ein, willigte am 30. Oktober 2019 aber in die Zahlung ohne Schuldeingeständnis ein, und beide Seiten zogen ihre Rechtsmittel zurück.
4.800 €
Grund
Die Videoüberwachung des Wettlokals filmte ohne Rechtsgrundlage einen großen Teil des öffentlichen Gehwegs, und die Kamera war nicht ordnungsgemäß gekennzeichnet.
Ergebnis
Erstes DSGVO-Bußgeld in Österreich; bei der Meldung nicht rechtskräftig, ein späteres Gerichtsergebnis wurde nicht bestätigt
- Bußgeld
Lifecycle Marketing (Mother and Baby) Ltd (Emma's Diary)
UK ICO, Vereinigtes Königreich, Andere Datenschutzgesetze
140.000 £
Grund
Der Datenbroker verkaufte Daten von mehr als einer Million Menschen, überwiegend junge Mütter, an Experian. Daraus entstand eine Datenbank, die die Labour Party für Wahlwerbung 2017 nutzte. Die Datenschutzrichtlinie erwähnte politisches Marketing nie.
Ergebnis
Bezahlt (Data Protection Act 1998)
400.000 €
Grund
Wegen mangelhafter Zugriffskontrollen konnte nichtärztliches Personal klinische Patientenakten öffnen. Es gab 985 aktive Arztkonten, aber nur 296 Ärzte.
Ergebnis
Nach dem Rechtsmittel des Krankenhauses wurde das Bußgeld zu einem einzigen Bußgeld von 380.000 € zusammengefasst, auf das die CNPD am 14. Juli 2020 mit Verweis auf die Pandemie und das Defizit des Krankenhauses verzichtete
77.000 £
Grund
BT verschickte fast fünf Millionen Werbe-E-Mails an Kunden ohne die nötige Einwilligung.
Ergebnis
Bezahlt
12.000 £
Grund
Royal Mail schickte E-Mails an 327.014 Menschen, die der Direktwerbung bereits widersprochen hatten.
Ergebnis
Bezahlt
300.000 €
Grund
WhatsApp gab Nutzerdaten ohne gültige Einwilligung an Facebook weiter. Nutzer mussten die Bedingungen von 2016 akzeptieren, um die App weiter zu nutzen.
Ergebnis
Schwerer Verstoß gegen das spanische Datenschutzgesetz vor der DSGVO (LOPD); WhatsApp kündigte Rechtsmittel an
300.000 €
Grund
Facebook nutzte von WhatsApp erhaltene Daten für eigene Zwecke, auch für Werbung, ohne freiwillige, spezifische und informierte Einwilligung.
Ergebnis
Schwerer Verstoß gegen das LOPD
1,2 Mio. €
Grund
Facebook nutzte sensible Daten wie Weltanschauung, Religion und Sexualleben ohne ausdrückliche Einwilligung für Werbe-Targeting. Über Cookies und Like-Buttons verfolgte es Nicht-Nutzer und abgemeldete Nutzer, ohne sie zu informieren.
Ergebnis
1,2 Mio. € nach dem LOPD (PS/00082/2017), damals das höchste Bußgeld der AEPD; Facebook kündigte Rechtsmittel an
10.500 £
Grund
Morrisons verschickte Werbe-E-Mails an Empfänger ohne ausreichende Einwilligung.
Ergebnis
Bezahlt
150.000 €
Grund
Facebook verfolgte Menschen, auch Nicht-Nutzer, mit seinem Cookie „datr“ über andere Websites hinweg, ohne klare Information, und kombinierte Daten ohne Rechtsgrundlage für Werbe-Targeting. Nutzer konnten die Cookies nicht wirksam ablehnen.
Ergebnis
Bußgeld von 150.000 € gegen Facebook Inc. und Facebook Ireland
70.000 £
Grund
Flybe verschickte bewusst mehr als 3,3 Millionen E-Mails an Menschen, die seinem Marketing widersprochen hatten.
Ergebnis
Bezahlt
13.000 £
Grund
Honda verschickte 289.790 E-Mails, in denen Kunden ihre Marketingpräferenzen bestätigen sollten. Diese E-Mails waren selbst Werbung ohne Einwilligung.
Ergebnis
Bezahlt
Die höchsten DSGVO- und EU-Datenschutzbußgelder
- 1Meta Platforms IrelandIrish DPC, 20231,2 Mrd. €
- 2UberDutch DPA (AP), 2026824,99 Mio. €
- 3Meta (Facebook Android app)Italian Garante, 2026805 Mio. €
- 4Amazon Europe CoreLuxembourg CNPD, 2021746 Mio. €
- 5TikTokIrish DPC, 2025530 Mio. €
- 6Meta (Instagram)Irish DPC, 2022405 Mio. €
- 7GoogleIrish DPC, 2026403 Mio. €
- 8Meta (Facebook and Instagram)Irish DPC, 2023390 Mio. €
- 9TikTokIrish DPC, 2023345 Mio. €
- 10Google LLC and Google IrelandCNIL, 2025325 Mio. €
Die höchsten CCPA- und US-Datenschutzstrafen
- 1Meta (Facebook)FTC, 20195 Mrd. $
- 2MetaTexas Attorney General, 20241,4 Mrd. $
- 3GoogleTexas Attorney General, 20251,375 Mrd. $
- 4FacebookN.D. California (class action), 2021650 Mio. $
- 5Epic Games (Fortnite)FTC, 2022520 Mio. $
- 6Google (Web & App Activity)N.D. California (class action), 2025425 Mio. $
- 7TikTok and ByteDanceDOJ on behalf of FTC (C.D. California), 2026400 Mio. $
- 8Google (location tracking)40 US state attorneys general, 2022391,5 Mio. $
- 9Google / YouTubeFTC, 2019170 Mio. $
- 10TwitterFTC, 2022150 Mio. $
Bußgelder nach Datenschutzgesetz
Bußgelder nach Land
- Kalifornien37
- Vereinigte Staaten30
- Frankreich28
- Vereinigtes Königreich20
- Irland12
- Italien9
- Spanien9
- Niederlande7
- Deutschland7
- Südkorea6
- Europäische Union4
- Belgien4
- Illinois4
- Australien3
- Dänemark3
- Polen3
- Türkei3
- Portugal3
- Österreich3
- Indien2
- Connecticut2
- Texas2
- Finnland2
- Kroatien2
- Singapur2
- Alabama1
- Oklahoma1
- Louisiana1
- Delaware1
- Colorado1
- Brasilien1
- Global1
- Florida1
- Vietnam1
- Tschechien1
- New York1
- Wisconsin1
- Schweden1
- China1
- Griechenland1
- Kanada1
- Norwegen1
- Luxemburg1
Leading Consent Management Platform
Compliant with GDPR, CCPA, COPPA, LGPD, PECR, PDPA, PIPEDA, and more.
Häufige Fragen
Was ist das höchste DSGVO-Bußgeld?
Das höchste DSGVO-Bußgeld beträgt 1,2 Milliarden Euro. Die irische Datenschutzbehörde verhängte es im Mai 2023 gegen Meta Platforms Ireland, weil Facebook-Nutzerdaten ohne angemessenen Schutz in die USA übermittelt wurden.
Was ist das höchste CCPA-Bußgeld?
Die bislang höchste CCPA-Strafe ist der Vergleich über 12,75 Millionen Dollar, den General Motors im Mai 2026 mit dem kalifornischen Generalstaatsanwalt schloss, weil Standort- und Fahrdaten ohne Hinweis verkauft wurden. Das höchste Bußgeld der kalifornischen Datenschutzbehörde sind die 2,975 Millionen Dollar gegen FedEx im November 2026.
Wie hoch kann ein DSGVO-Bußgeld sein?
Bei den schwersten Verstößen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes eines Unternehmens, je nachdem, welcher Betrag höher ist.
Kann ein Unternehmen außerhalb der EU nach der DSGVO bestraft werden?
Ja. Die DSGVO gilt für Unternehmen weltweit, die Menschen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten, was auch das Tracking auf einer Website einschließt.
Was sind die häufigsten Gründe für Datenschutz-Bußgelder?
In den hier erfassten Fällen sind die häufigsten Probleme Cookies und Tracking-Pixel, die vor der Einwilligung laufen, Opt-outs und Global-Privacy-Control-Signale, die nicht beachtet werden, sowie Werbung ohne gültige Rechtsgrundlage.
Wie oft wird diese Übersicht aktualisiert?
Wir ergänzen neue Bußgelder, Klagen und Fristen, sobald wir im UniConsent-Blog darüber berichten. Jeder Fall verlinkt auf seine Quelle und unsere Analyse.
Eine Analyse der Trends hinter diesen Fällen finden Sie in DSGVO-Durchsetzung und Bußgelder 2026 und US-Datenschutz 2026: Bundesstaatsgesetze, FTC-Verfahren und Sammelklagerisiko.
Zuletzt aktualisiert
Beginnen Sie damit, Ihre Website und Anwendung gemäß EU-DSGVO, US-CPRA, CA-PIPEDA usw. konform zu machen
RegistrierenBeim Datenschutz immer einen Schritt voraus
Datenschutzgesetze, Einwilligung und Compliance, ein paar E-Mails im Monat.