Millionenstrafen wegen unzureichend geschützter Gesundheitsdaten, rechtswidriger Werbung und Sicherheitslücken in Testsystemen: Die DSGVO-Bußgelder aus Oktober 2026 zeigen, wie unterschiedlich Datenschutzverstöße aussehen können.

Besonders interessant für Unternehmen und Behörden: Nicht nur große Datenlecks, sondern auch vermeintlich alltägliche Prozesse können erhebliche rechtliche und finanzielle Folgen haben.

Die fünf Datenschutzfälle im Überblick

1️⃣ 8,6 Millionen Euro: Unwirksame Einwilligungen bei Werbedaten

Die norwegische Datenschutzaufsicht verhängte gegen das Werbetechnologieunternehmen Xandr ein Bußgeld von 8,6 Millionen Euro. Das Unternehmen hatte sensible Daten von Nutzern der Dating-App Grindr für personalisierte Werbung verarbeitet und sich dabei auf unwirksame Einwilligungen verlassen.

Die Lehre: Wer personenbezogene Daten von Geschäftspartnern erhält, muss die Rechtmäßigkeit der Verarbeitung auch selbst prüfen, insbesondere bei gemeinsamer Verantwortlichkeit.

2️⃣ 7 Millionen Euro: Gesundheitsdaten nicht ausreichend anonymisiert

In Italien erhielt IQVIA Solutions Italy ein Bußgeld von sieben Millionen Euro. Das Unternehmen verarbeitete Gesundheitsinformationen von rund einer Million Patienten und ging davon aus, dass diese anonym seien.

Tatsächlich ermöglichten dauerhafte Kennungen und zusätzliche Informationen eine mögliche Reidentifizierung. Hinzu kamen Defizite bei Informationspflichten, Aufbewahrungsfristen und der Datenschutz-Folgenabschätzung.

3️⃣ 33.000 Euro: Tracking auf einer Therapieplattform

Ein finnischer Gesundheitsdienstleister übermittelte durch Tracking-Technologien sensible Informationen über Terminbuchungen und Therapieformen an externe Anbieter wie Google, Meta und Microsoft.

Der Fall zeigt: Bereits die Nutzung bestimmter Online-Dienstleistungen kann Rückschlüsse auf besonders schützenswerte personenbezogene Daten ermöglichen.

4️⃣ 15.000 Euro: Bewerberdaten öffentlich zugänglich

Eine italienische Behörde veröffentlichte Namen und Prüfungsergebnisse von Bewerbern im Internet. Obwohl die Liste ersetzt werden sollte, blieb die ursprüngliche Version weiterhin abrufbar.

Auch öffentliche Stellen dürfen personenbezogene Daten nicht allein deshalb veröffentlichen, weil sie Transparenzpflichten erfüllen müssen.

5️⃣ 6.000 Euro: Echte Kundendaten auf einem Testserver

Nach einem Cyberangriff auf eine rumänische Testumgebung konnten Unbefugte auf personenbezogene Daten zugreifen. Das Unternehmen hatte dort reale Nutzerdaten statt fiktiver Testdatensätze eingesetzt.

Ein vermeidbares Risiko, denn auch Entwicklungs- und Testsysteme benötigen angemessene Sicherheitsmaßnahmen.

Was Unternehmen und Behörden daraus lernen können

Die fünf Fälle betreffen unterschiedliche Branchen, zeigen aber wiederkehrende Schwachstellen:

✅ Anonymisierung kritisch prüfen: Entfernte Namen bedeuten nicht automatisch, dass Daten anonym sind.

✅ Dienstleister und Datenflüsse kontrollieren: Externe Anbieter entbinden nicht von eigenen Datenschutzpflichten.

✅ Sensible Daten besonders schützen: Gerade Gesundheits- und Bewerberdaten erfordern sorgfältige Prüfungen.

✅ Testumgebungen absichern: Auch außerhalb des Produktivsystems gelten Datenschutzanforderungen.

✅ Veröffentlichungen regelmäßig kontrollieren: Ein gelöschter oder ersetzter Inhalt ist nicht zwangsläufig vollständig aus dem Netz verschwunden.

Fazit: Datenschutzverstöße entstehen oft im Detail

Die Bußgelder aus Oktober 2026 machen deutlich, dass Datenschutz nicht allein eine Frage großer Cyberangriffe ist.

Auch fehlerhafte Einwilligungen, unzureichende Anonymisierung, unkontrollierte Datenweitergaben und schlecht abgesicherte Testsysteme können Konsequenzen haben.

Für Unternehmen und Behörden bedeutet das: Datenschutz muss in alltäglichen Prozessen funktionieren, nicht erst dann, wenn die Aufsichtsbehörde vor der Tür steht.

Regelmäßige Überprüfungen, klare Verantwortlichkeiten und angemessene technische und organisatorische Maßnahmen helfen, solche Risiken frühzeitig zu erkennen.

Quelle: Dr. Datenschutz, „Top 5 DSGVO-Bußgelder im Oktober 2026“, veröffentlicht am 2. November 2026