Nach einem Bericht des Handelsblatts werden die meisten Bußgeldverfahren durch Beschwerden von Betroffenen ausgelöst. Die Behörden beginnen dann ihre Ermittlungen.
Unternehmen müssen jedoch auch selbst Datenpannen melden – unverzüglich, möglichst 72 Stunden nachdem sie bekannt wurden. Typische Fälle: Eine Klinik übergab die Kopie eines Schwerbehindertenausweises versehentlich an den falschen Patienten, einige Bankkunden konnten beim Online-Banking die Kontoauszüge Dritter einsehen. Bei einem Hackerangriff auf einen Webshop wurden Kundendaten unbefugt kopiert.
Das höchste Einzel-Bußgeld hat mit 80.000 € der Landesdatenschutzbeauftragte von Baden-Württemberg verhängt. In diesem Fall gelangten Gesundheitsdaten aufgrund mangelhafter interner Kontrollsysteme ins Internet.
Feuerwehr in Bremen, sämtliche Telefonate aufgezeichnet, also nicht nur die Notrufe.
Hotel, das nicht ausschließen konnte, dass aufgrund eines erpresserischen Hackerangriffs Kreditkarten- und andere Kundendaten gestohlen wurden.
Bei der Chat-Plattform Knuddels wurden die gestohlenen Passwörter, E-Mail-Adressen und Pseudonyme von 330.000 Nutzern hingegen gestohlen und im Internet veröffentlicht. Besonders brisant: Das Unternehmen hatte die Kundendaten im Klartext auf seinem Server gespeichert.
Außerdem wurden unzulässige Werbemails, die unzulässige Nutzung von Dashcam-Kameras und offene E-Mail-Verteiler bestraft. Auch im Bereich Videoüberwachung gibt es häufige Rechtsverletzungen.
5000 € gegen das relativ kleine Unternehmen Kolibri Image verhängt; da kein AV-Vertrag mit Dienstleister geschlossen war. Dass der Dienstleister trotz mehrfacher Aufforderung keinen Auftragsdatenverarbeitungsvertrag übersenden wollte, spielte dabei keine Rolle. Nach Ansicht des Hamburger Datenschutzbeauftragten trifft die Pflicht, einen solchen Vertrag zu schließen, grundsätzlich beide Seiten.
Für Bußgeldverfahren sorgten auch Dashcam-Nutzung sowie offene E-Mail-Verteiler. Die schleswig-holsteinische Behördenchefin Marit Hansen nennt als Beispiel den Bereich der Videoüberwachung. Hier lägen häufig „zu invasive Umsetzungen“ vor, also eine „heimliche oder zu wenig transparent gemachte Beschäftigten- und Kundenüberwachung, auch in sensiblen Bereichen, wo mildere Mittel ausreichend wären“.
