Top 5 DSGVO-Bußgelder im Mai 2025

Die Datenschutzaufsichtsbehörden verhängen monatlich Bußgelder wegen Verstößen gegen die DSGVO. Aus diesen können Unternehmen einen Überblick über aktuelle Prüfungsschwerpunkte und die Sanktionspraxis der Behörden gewinnen. Hier finden Sie daher unsere Top 5 Bußgelder im Mai 2025.

TikTok mit Millionengeldbuße

Die irische Aufsichtsbehörde (DPC) hat TikTok mit einer Strafe von 530 Mio. EUR belegt. Grund hierfür war eine rechtswidrige Übermittlung personenbezogener Daten europäischer Nutzer nach China sowie mangelnde Transparenz gegenüber den Nutzern. TikTok hatte zunächst bestritten, Daten auf chinesischen Servern zu speichern, räumte später jedoch ein, dass dies in begrenztem Umfang doch der Fall gewesen war. Besonders besorgniserregend wird der mögliche Zugriff chinesischer Behörden gewertet.

Behörde: Data Protection Commission
Branche: Social Media Plattform
Verstoß: Art. 13 Abs. 1 lit. f) DSGVO, Art. 46 Abs. 1 DSGVO
Bußgeld: 530.000.000 EUR

Nicht nur bei der Nutzung von TikTok bestehen datenschutzrechtliche Unsicherheiten. Unternehmen sollten sich stets bewusst sein, dass bei internationalen Datenübermittlungen in Drittländer immer ein erhebliches Risiko für Unternehmen verbleibt, insbesondere dann, wenn der Datenempfänger in einem Land mit weitreichenden staatlichen Zugriffsbefugnissen sitzt. Eine detaillierte Auseinandersetzung zu diesem Bußgeld gegen TikTok haben wir bereits aufbereitet.

Unrechtmäßige Verarbeitung von Gesundheitsdaten durch Apothekenbesitzer

Im spanischen Katalonien hatte ein Apothekenbesitzer personenbezogene Daten von Bewohnern einer geriatrischen Einrichtung unrechtmäßig verarbeitet, indem er Gesundheitsdaten der Bewohner nutze, um ihnen Inkontinenzmittel zur Verfügung zu stellen. Die Daten erhielt er dafür von Dritten, ohne für die Verarbeitung eine Einwilligung der betroffenen Personen zu haben. Auch den Beweis für eine anderweitige Rechtsgrundlage konnte er nicht erbringen. Die Daten wurden zudem ohne ausreichende Sicherheitsvorkehrungen weitergeleitet.

Behörde: Agencia Española Protección Datos (AEPD)
Branche: Gesundheitswesen
Verstoß: Art 6 DSGVO, Art. 14 DSGVO, Art. 32 DSGVO
Bußgeld: 6.600 EUR

Unternehmen müssen immer sicherstellen, dass sie die Verarbeitung personenbezogener Daten auf eine Rechtsgrundlage stützen können. Auch dann, wenn die Daten über Dritte bezogen werden muss geprüft werden, auf welche Rechtsgrundlage die eigene Verarbeitung dieser Daten erfolgt. Darüber hinaus sind angemessene technische und organisatorische Maßnahmen unerlässlich, um die Sicherheit der verarbeiteten Daten zu gewährleisten.

Massenwerbung ohne Einwilligung

Die französische Datenschutzbehörde (CNIL) verhängte ein Bußgeld gegen ein Unternehmen, welches sich auf Marketinglösungen spezialisiert hat, nachdem es Millionen von Personen per E-Mail und SMS zu Werbezwecken kontaktiert hatte. Auch in diesem Fall fehlte es an einer gültigen Einwilligung oder sonstigen Rechtsgrundlage. Darüber hinaus hatte es die Daten der Betroffenen auch an Dritte zur Nutzung für Werbezwecke übermittelt, ohne die Betroffenen über diese Weitergabe zu informieren. Neben dem Bußgeld verhängte die CNIL eine tägliche Zwangsgeldstrafe in Höhe von 10.000 EUR pro Tag bis zum festgelegten Höchstbetrag oder vollständigen Umsetzung der geforderten Auflagen.

Behörde: Commission Nationale de l ’informatique et des Libertés (CNIL)
Branche: Marketing
Verstoß: Art. L.34-5 CPCE, Art. 6 DSGVO, Art 7 DSGVO
Bußgeld: 900.000 EUR

Wer personenbezogene Daten zu Werbezwecken nutzt, benötigt regelmäßige eine freiwillige und dokumentierte Einwilligung der Betroffenen – eine Ausnahme kann sich nur in seltenen Fällen wie dem Bestandskundenprivileg ergeben. Unternehmen sollten immer genau prüfen, ob sie personenbezogene Daten für ihre Werbezwecke nutzen dürfen und sich auch niemals blind auf Aussagen von Datenlieferanten verlassen.

Bußgeld droht auch im Treppenhaus

Die spanische Datenschutzbehörde (AEPD) verhängte ein Bußgeld gegen eine Eigentümergemeinschaft, die das Protokoll ihrer Eigentümerversammlung im Eingangsbereich des Gebäudes aufhängte. In dem Protokoll wurden Nachnamen und Initialen des Vornahmen eines der Eigentümer genannt sowie damit verbundene Informationen zu einer ausstehenden Zahlung. Hierin sah die Behörde eine unbefugte Offenlegung personenbezogender Daten, da das Protokoll für jeden, der das Treppenhaus betrat, offen einsehbar war.

Behörde: Agencia Española de Protección de Datos (AEPD)
Branche: Eigentümergemeinschaft
Verstoß: Art. 5 Abs. 1 lit. f DSGVO
Bußgeld: 1.000 EUR

Die Einhaltung der Regelungen der DSGVO ist nicht nur für große Unternehmen von Relevanz. Die Integrität und Vertraulichkeit personenbezogener Daten muss auch in Kreisen wie Eigentümerversammlungen und Kleingartenvereinen durch geeignete technische und organisatorische Maßnahmen gewährleistet werden. Ansonsten kann es hier schnell zu einer Datenschutzverletzung und im schlechtesten Fall sogar zu einem Bußgeld kommen.

KI-Freund ohne Altersbeschränkung

Die italienische Aufsichtsbehörde verhängte gegen das US-amerikanische Unternehmen Luca Inc., den Betreiber eines KI-gestützten Chatbots Replika ein Bußgeld in Höhe von 5.000.000 EUR. Replika ist ein virtueller Gesprächspartner und kann nach den Präferenzen des Nutzers auch als romantischer Gegenpart agieren. Durch unzureichende Altersverifikationsmechanismen erhielten jedoch Minderjährige Zugang zu nicht altersgerechten Inhalten bei der Nutzung von Replika. Neben fehlenden Einwilligungen für die Datenverarbeitung, mangelte es außerdem an Transparenz und ausreichender Informationen, auch hinsichtlich der Verarbeitung von EU-Nutzerdaten außerhalb der EU.

Behörde: Garante per la Protezione dei Dati Personali
Branche: KI basierte Digitale Dienste
Verstoß: Art. 5 DSGVO, Art. 6 DSGVO, Art. 8 DSGVO, Art. 13 DSGVO
Bußgeld: 5.000.000 EUR

Bei der Bereitstellungung von digitalen Diensten, die potenziell auch Minderjährige ansprechen, müssen immer auch ausreichende Schutzmechanismen implementiert werden. Gemäß Erwägungsgrund 38 der Datenschutz-Grundverordnung verdienen Kinder besonderen Schutz hinsichtlich ihrer personenbezogenen Daten, da sie sich der betreffenden Risiken und Folgen bei der Verarbeitung der Daten oft weniger bewusst sind. Bei Minderjährigen geht es also nicht nur um den Schutz der personenbezogenen Daten, sondern auch um den Jugendschutz. Es bedarf hier besonderer Fürsorge und digitaler Sicherheit.