REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS - 1.550.000 €
Die spanische Datenschutzbehörde (AEPD) verhängte ein Bußgeld in Höhe von 1.550.000 € gegen REPSOL COMERCIALIZADORA DE ELECTRICIDAD Y GAS. Anlass war die Beschwerde einer betroffenen Person, deren personenbezogene Daten ohne ihre Autorisierung für einen Vertragsabschluss verwendet wurden – der Vertrag bezog sich offenbar auf einen anderen Kunden des Unternehmens. Obwohl REPSOL erklärte, den Fehler behoben und den Vertrag gelöscht zu haben, erhielt die Betroffene weiterhin Rechnungen, was auf eine mangelhafte Korrektur der Daten hindeutet. Die AEPD beanstandete zudem unzureichende technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.
HEP-TOPLINARSTVO - 320.000 €
Die kroatische Datenschutzbehörde verhängte ein Bußgeld in Höhe von 320.000 € gegen HEP-Toplinarstvo, einen Anbieter von Fernwärme. Bei einer Untersuchung stellte die Behörde fest, dass sämtliche Login-Daten – einschließlich Passwörtern – unverschlüsselt auf den Servern des Unternehmens gespeichert wurden. Zudem wurden vergessene Passwörter den Nutzerinnen und Nutzern im Klartext per E-Mail zugesendet. Neben dem erheblichen Mangel an technischen und organisatorischen Maßnahmen verweigerte HEP-Toplinarstvo der Behörde auch die Herausgabe angeforderter Informationen – ein zusätzlicher Verstoß gegen die Rechenschaftspflicht nach der DSGVO.
SIDECU - 96.000 €
Die spanische Datenschutzbehörde (AEPD) verhängte ein Bußgeld gegen den Betreiber eines Fitnessstudios der Kette SIDECU, weil dieses den Zugang ausschließlich über Fingerabdruckscanner ermöglichte – ohne seine Kundinnen und Kunden über die Verarbeitung ihrer biometrischen Daten zu informieren. Kurz darauf wurde zusätzlich eine Gesichtserkennung zur Zugangskontrolle eingeführt.
Die AEPD kritisierte das Fehlen einer Datenschutz-Folgenabschätzung (DSFA) sowie die mangelnde Transparenz. Das ursprüngliche Bußgeld von 160.000 € wurde nach Anerkennung der Verantwortung und freiwilliger Zahlung auf 96.000 € reduziert.
HAESUNG DS - 212.744 €
Die südkoreanische Datenschutzbehörde PIPC verhängte ein Bußgeld gegen Haesung DS in Höhe von 212.744 €, nachdem Hacker im Jahr 2023 in das Unternehmensnetzwerk eindrangen und personenbezogene Daten von 73.975 Betroffenen entwendeten und veröffentlichten. Im Rahmen der Untersuchung stellte die Behörde erhebliche Mängel bei den technischen Schutzmaßnahmen fest: Die Angreifer nutzten bekannte Schwachstellen in den VPN-Verbindungen, um sich Zugang zu den Systemen zu verschaffen. Zudem reagierte das eingesetzte Antivirenprogramm nicht auf die verdächtigen Aktivitäten im Netzwerk. Die PIPC wertete dies als Verstoß gegen die Pflicht zur sicheren Verarbeitung personenbezogener Daten.
