Datenschutzverletzungen „made in Germany“ Die größten deutschen Datenpannen in 2025

Anbieter zum Thema

FTAPI Software GmbH

2025 verteilten deutsche Aufsichtsbehörden Millionenbußgelder wegen mangelnder Partnerkontrollen, schwacher Authentifizierung, WhatsApp-Datenteilung, ignorierter Betroffenenrechte und automatisierter Ent­schei­dun­gen ohne Transparenz. Die Fälle zeigen, wie eng IT-Sicherheit und DSGVO-Compliance verzahnt sein müssen.

Aus Fehlern lernen, lautet auch im Datenschutz eine wichtige Empfehlung. Deshalb sollte man in der Datenschutzunterweisung immer auch Beispiele für Datenpannen betrachten. In der Folge finden Sie Datenschutzverletzungen aus dem Jahr 2025, die aus Sicht der deutschen Datenschutzaufsichtsbehörden besonders relevant waren.

Zwei Geldbußen in einer Gesamthöhe von 45 Millionen Euro machen das erste Beispiel natürlich besonders aufmerksamkeitsstark. Was war passiert? Die Bun­des­da­ten­schutz­be­auf­trag­te, Prof. Dr. Louisa Specht-Riemenschneider, hatte der Vodafone GmbH diese Geldbußen auferlegt, da es durch böswillig handelnde Mitarbeitende in Partneragenturen, die im Auftrag von Vodafone Verträge an Kunden vermitteln, unter anderem zu Betrugsfällen durch fingierte Verträge oder Vertragsänderungen zulasten von Kunden gekommen war.

Eine Geldbuße in Höhe von 15 Millionen Euro erging, weil die Vodafone GmbH für sie tätige Partneragenturen nicht im ausreichenden Umfang datenschutzrechtlich überprüft und überwacht hatte. Darüber hinaus hatte die Bundesdatenschutzbeauftragte Vodafone wegen festgestellter Schwachstellen in bestimmten Vertriebssystemen verwarnt.

Unlautere Geschäftspraktiken

Millionenstrafen für Vodafone

Eine weitere Geldbuße in Höhe von 30 Millionen Euro wurde wegen Sicherheitsmängeln beim Authentifizierungsprozess bei der kombinierten Nutzung des Onlineportals „MeinVodafone“ mit der Vodafone Hotline verhängt. Die aufgedeckten Schwachstellen der Authentifizierung ermöglichten unter anderem den Abruf von eSIM-Profilen durch unbefugte Dritte.

Was kann man daraus lernen? Bei Unternehmen in vielen Branchen besteht ein Investitionsstau bei der Modernisierung und Konsolidierung von IT-Systemen. Bei der Sicherheit wird daher teilweise gespart. Auch der Einsatz von Auftragsverarbeitern wird in der Praxis häufig nicht ausreichend kontrolliert. Neue technische Möglichkeiten und komplexere Bedrohungsszenarien führen zu erhöhten Risiken für Kunden, denen durch fehlenden Datenschutz Schäden entstehen können.

Dazu die Bundesdatenschutzbeauftragte: „Datenschutz wird häufig fälschlicherweise als Hindernis für IT-Investitionen angesehen. Dabei ist das Gegenteil der Fall: Ohne IT-Investitionen drohen Sicherheitsvorfälle und auch Sanktionen der Datenschutzaufsicht. Daher mein Aufruf: Investieren statt Riskieren!“

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2025

Dreiste Geschäftspraktiken in der Telekommunikation

Ein weiteres, relativ hohes Bußgeld: Das illegale Geschäftsgebaren eines Telekommunikationsunternehmen aus Nordrhein-Westfalen hat zu empfindlichen Konsequenzen geführt. Wegen massiver Verletzung von Datenschutzrechten hat die Landesdatenschutzbeauftragte in NRW ein Bußgeld in Höhe von insgesamt 300.000 Euro gegen das Unternehmen verhängt. „Der Verstoß gegen Auskunftsrechte der Verbraucherinnen und Verbraucher sowie die hartnäckige Weigerung des Unternehmens, Transparenz über die eigene Datenverarbeitung herzustellen, konnte nicht ohne Antwort bleiben“, erklärte die NRW-Landesbeauftragte Bettina Gayk. „Selten bin ich auf so wenig Einsicht bei den Verantwortlichen gestoßen.“

Was ist genau passiert? Seit 2022 hatten sich immer wieder Verbraucherinnen und Verbraucher aus demselben Grund an die Landesbeauftragte gewandt: Sie erhielten personalisierte Werbeschreiben, in denen ein Vertrag für einen Internet- und Telefonanschluss angepriesen wurde. Die Betroffenen gaben durchweg an, niemals zuvor Kontakt zu diesem Unternehmen gehabt zu haben. Dafür waren die Werbeschreiben jedoch umso detaillierter. Sie enthielten zum einen die Adresse und die Festnetztelefonnummer der Betroffenen. Zum anderen wurde ein mit Namen, Adresse und Anschluss vorausgefüllter Auftrag zum Abschluss des angebotenen Tarifs mit dem Unternehmen und zur Kündigung des Vertrags bei dem aktuellen Telekommunikationsanbieter mitgeliefert. Die Angeschriebenen sollten nur noch die IBAN ergänzen und den Auftrag unterschreiben.

Nach Überprüfung des Falles zog die LDI NRW Konsequenzen. Insgesamt wurden Bußgelder in Höhe von 100.000 und 200.000 Euro verhängt. Dabei spielte nicht zuletzt das ignorante Verhalten des Unternehmens eine Rolle. „Weder wurde auf Auskunftsansprüche der Betroffenen über die Verarbeitung ihrer Daten geantwortet noch auf den Wunsch nach Löschung oder auf Widersprüche gegen die Datenverarbeitung“, erläuterte Gayk. „Dabei waren die Schreiben oder E-Mails dem Unternehmen entgegen seiner Einlassung in den meisten Fällen nachweisbar zugegangen.“

Datenleck bei Juwelierkette

Personenbezogene Daten von Christ gestohlen

Datenschutzverletzungen made in Germany

Die größten Datenpannen in 2024

Kundendaten in WhatsApp-Gruppen

Ein weiteres Beispiel aus NRW, das nicht Schule machen sollte: Fotos von Kundeninnen und Kunden, von Personal- und Schwerbehindertenausweisen, Namen, Adressen, Überweisungen, Rezepte, Kliniknamen und Termine, all diese Daten teilte ein Taxiunternehmen aus NRW über zwei WhatsApp-Gruppen mit all seinen Fahrerinnen und Fahrern. Die betroffenen Kunden wurden nicht um Erlaubnis gefragt. Die Praxis wurde von dem Unternehmen beendet, nachdem die Landesbeauftragte für Datenschutz und Informationsfreiheit in NRW (LDI NRW) tätig geworden ist. Dem Unternehmen droht außerdem eine Geldbuße. „Hier wurden in einer Vielzahl von Fällen hochsensible Daten ohne Einwilligung der Betroffenen geteilt. Das ist ein fortlaufender schwerwiegender Rechtsverstoß“, erklärte die Landesbeauftragte Bettina Gayk.

Durch die WhatsApp-Gruppen wollte das Unternehmen unter anderem die Organisation von Krankentransportfahrten vereinfachen und Abrechnungen leichter erstellen können. Das rechtfertigt aber nicht die vorgenommene Datenverarbeitung, so die Datenschutzaufsicht. Abgesehen davon, dass die Daten nicht für die Durchführung eines Transportvertrags notwendig waren, und sie schon gar nicht allen Fahrerinnen und Fahrern hätten zur Verfügung gestellt werden dürfen, sind Gesundheitsinformationen besonders schutzwürdig. Sie dürfen in der Regel nur dann verarbeitet werden, wenn die Betroffenen darin einwilligen. Eine solche Einwilligung fehlte aber. Die LDI NRW hatte deshalb die Nutzung der WhatsApp-Gruppen unterbunden.

„Datenschutzfreundliche Werbe-Messung“

Mozilla trackt heimlich Firefox-Nutzer

Personalvermittlung versus Betroffenenrechte

„Ignoranz beim Datenschutz zahlt sich nicht aus.“ Mit dieser klaren Botschaft hatte die Landesbeauftragte für Datenschutz und Informationsfreiheit in NRW, Bettina Gayk, ein Bußgeld von über 35.000 Euro gegen ein Unternehmen aus Düsseldorf verhängt. Die Personalvermittlung hatte nicht nur die Datenschutzrechte der Arbeitssuchenden konstant ignoriert, sondern auch Aufforderungen der Landesbeauftragten (LDI NRW) als Aufsichtsbehörde. „Solch dreistes Verhalten nimmt leider zu“, so Gayk. „Umso wichtiger ist es, dass wir als Aufsichtsbehörde konsequent dagegen vorgehen, und zwar mit allen Instrumenten, die uns zur Verfügung stehen.“

Was war passiert? Bei der LDI NRW waren zahlreiche Beschwerden gegen das Unternehmen eingegangen. Im Mittelpunkt standen Auskunftsersuchen der Arbeitskräfte, ob und welche Daten das Unternehmen von ihnen verarbeitet hatte. Außerdem verlangten einige der Personen die Löschung ihrer Daten. Die Firma ignorierte jedoch nicht nur die zu Recht geltend gemachten Ansprüche. Sie reagierte auch nicht auf Schreiben der LDI NRW, in denen sie um Auskunft gebeten und über die Pflicht aufgeklärt wurde, die Rechte der Betroffenen zu wahren. „Dabei sind Unternehmen zur Kooperation mit uns gesetzlich verpflichtet“, betonte Gayk.

Leitlinien zum berechtigten Interesse

Wackelt die beliebteste Rechtsgrundlage im Datenschutz?

Automatisierte Entscheidungen ohne menschliches Eingreifen

In Zeiten zunehmender Automatisierung und Nutzung von KI (Künstliche Intelligenz) ist dieses Beispiel aus Hamburg lehrreich: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat gegen ein Unternehmen aus der Finanzwirtschaft ein Bußgeld in Höhe von 492.000 Euro wegen Verstößen gegen die Rechte betroffener Kundinnen und Kunden bei automatisierten Entscheidungen in Einzelfällen verhängt.

Was war passiert? Trotz guter Bonität waren die Kreditkartenanträge mehrerer Kundinnen und Kunden mittels automatisierter Entscheidungen abgelehnt worden, also mittels Entscheidungen, die auf der Grundlage von Algorithmen und ohne menschliches Eingreifen maschinell getroffen werden. Als daraufhin die Betroffenen eine Begründung für die abgelehnten Anträge verlangten, erfüllte das Unternehmen seine gesetzlich vorgegebenen Informations- und Auskunftspflichten nicht ausreichend.

E-Mail-Werbung ohne Einwilligung, Werbeschreiben ohne Auskunft

Aus Hamburg kommen weitere, interessante Beispiele für Datenschutzunterweisungen, um aus den Fehlern zu lernen: In drei Fällen hatten Unternehmen Kunden Werbung per E-Mail zugesandt, ohne dass die Empfänger darin eingewilligt hatten. Gegen diese Unternehmen wurden Bußgelder im unteren fünfstelligen Bereich festgesetzt.

Löschkonzepte auf den Prüfstand

Warum Daten ein neues Verfallsdatum brauchen

Zudem verhängte die Datenschutzaufsicht aus Hamburg gegen ein Handelsunternehmen ein Bußgeld in Höhe von 195.000 Euro. Das Unternehmen hatte Dienstleister mit dem Versand postalischer Werbung beauftragt. Die nach Erhalt des Werbeschreibens von den Empfängern geltend gemachten Betroffenenrechte erfüllte das Unternehmen in mehreren Fällen und über einen längeren Zeitraum nicht fristgerecht.

Was man daraus lernen kann, erklärte Thomas Fuchs, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, so: „Wenn Unternehmen auf Auskunfts- und Informationsansprüche systematisch nicht oder nur unzureichend reagieren, ist eine spürbare Sanktion geboten. Dies gilt insbesondere bei Strukturen, die für die Betroffenen undurchsichtig sind, wie Adresshandel oder komplexe Entscheidungsalgorithmen –und immer mehr auch für den Einsatz künstlicher Intelligenz. Entscheidet eine Software über Menschen, muss die verarbeitende Stelle die tragenden Gründe verständlich erklären können.“

Es zeigt sich: Datenschutzverletzungen in Verbindung mit erfolgreichen Cyberattacken kommen zwar häufiger in den Schlagzeilen, doch Datenpannen haben oftmals auch andere Ursachen. Für die Compliance nach DSGVO (Datenschutz-Grundverordnung) ist deshalb eine zuverlässige IT-Sicherheit Pflicht, aber nicht alles. Umgekehrt ist aber zum Beispiel die Erfüllung von Auskunftspflichten ohne eine angemessene IT-Sicherheit ebenso nicht ausreichend, um der DSGVO zu entsprechen, denn sonst bekommen unbefugte Dritte ebenfalls „Auskunft“ über die Daten. Datenschutz und IT-Sicherheit gehören zusammen und müssen gemeinsam umgesetzt werden.

EuGH präzisiert Personenbezug pseudonymisierter Daten

Wann pseudonyme Daten personen­bezogen sind und was das für KI heißt

(ID:50665064)