DSGVO-Bußgelder Juni 2026: Ransomware im Krankenhaus kostet 300.000 €

Veröffentlicht am 14.07.2026

300.000 Euro Bußgeld nach einem Ransomware-Angriff, 1,82 Millionen Euro für ein falsch aufgesetztes Treueprogramm – die europäischen Datenschutzbehörden haben im Juni 2026 gleich zwei Fälle abgeschlossen, die für kleine und mittlere Unternehmen eine unbequeme Wahrheit bestätigen: Ein Cyberangriff ist heute fast immer auch ein Datenschutzfall. Und wer bei den technischen Schutzmaßnahmen oder bei der Einwilligung seiner Kunden schlampt, zahlt am Ende doppelt – erst für den Schaden, dann für das Bußgeld.

Wir haben die beiden Fälle für Sie aufbereitet und zeigen konkret, was Sie als Website-Betreiber oder Unternehmensinhaber daraus lernen müssen – und welche Prüfschritte Sie noch diese Woche angehen sollten.

Fall 1: Ransomware im Krankenhaus – 300.000 Euro und fast acht Jahre Verfahren

Am 14. November 2018 wurde das Laborinformationssystem des Midlands Regional Hospital Tullamore im irischen County Offaly Opfer eines Ransomware-Angriffs. Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Entschlüsselung ein Lösegeld fordert. Die Angreifer verschafften sich Zugang zu Computern, auf denen Laborbefunde und Diagnosedaten gespeichert waren, und verschlüsselten die personenbezogenen Daten von rund 84.000 Patienten.

Das betroffene System war ein eigenständiges Laborsystem, das nicht vollständig in die übrige IT-Infrastruktur des irischen Gesundheitsdienstes (Health Service Executive, HSE) integriert war. Eine forensische Untersuchung – also die technische Spurensicherung nach dem Angriff – konnte nicht ausschließen, dass die Daten vor der Verschlüsselung auch abgezogen (exfiltriert) wurden. Eindeutige Beweise dafür fand sie aber nicht. Klinisch konnte das Krankenhaus auf papierbasierte Prozesse ausweichen; direkte Patientenschäden wurden nicht gemeldet.

Die irische Datenschutzbehörde Data Protection Commission (DPC) leitete eine Untersuchung ein – und brauchte für die endgültige Entscheidung fast acht Jahre. Am 11. Juni 2026 informierte sie den HSE über das Ergebnis, am 15. Juni 2026 wurde es öffentlich gemacht.

Was die Behörde bemängelte

Die DPC stellte gleich mehrere DSGVO-Verstöße fest:

• Art. 5 Abs. 1 lit. f und Art. 32 Abs. 1 DSGVO – Verletzung von Integrität und Vertraulichkeit durch unzureichende technische und organisatorische Maßnahmen (TOMs). TOMs sind die konkreten Schutzvorkehrungen wie Netzwerksegmentierung, Zugriffskontrollen, Patch-Management und Backups.
• Art. 28 DSGVO – mangelhafte Auftragsverarbeitungsverträge mit Drittanbietern, die Daten im Auftrag verarbeiteten.
• Art. 30 DSGVO – fehlendes vollständiges Verzeichnis von Verarbeitungstätigkeiten.
• Art. 34 DSGVO – unvollständige Benachrichtigung der betroffenen Personen.

Das Bußgeld von 300.000 Euro wurde für die Verstöße gegen Art. 5 und Art. 32 verhängt – umgerechnet rund 3,57 Euro pro betroffenem Patienten. Dazu kamen eine formelle Rüge und die Anordnung, konkrete Sicherheitsrichtlinien umzusetzen. Die DPC erkannte an, dass der HSE in der Zwischenzeit erhebliche Verbesserungen vorgenommen hat, darunter die Integration des vormals eigenständigen Laborsystems.

„Die sensible Natur der personenbezogenen Daten und die große Zahl potenziell betroffener Personen bargen Risiken für die klinische Versorgung der Patienten sowie für die Offenlegung und den Missbrauch ihrer Daten.“ – Graham Doyle, stellvertretender Kommissar der DPC

Die entscheidende Lektion: Der Angriff kam von außen – trotzdem wurde das Krankenhaus bestraft, weil die Schutzmaßnahmen nicht ausreichten. Und ein einziger Vorfall legte gleich mehrere weitere Mängel offen. Dr. Datenschutz bringt es auf den Punkt:

„Oft treten, wie hier geschehen, durch einen Vorfall auch weitere datenschutzrechtliche Mängel zu Tage, sodass sich einmal mehr die Wichtigkeit einer ordentlichen Datenschutzorganisation zeigt.“

Fall 2: Elkjøp – 1,82 Millionen Euro für ein falsch gebautes Treueprogramm

Der zweite Fall ist kein Cyberangriff, sondern ein strukturelles Compliance-Versagen. Die norwegische Datenschutzbehörde Datatilsynet verhängte am 1. Juni 2026 ein Bußgeld von 20 Millionen norwegischen Kronen (rund 1,82 Millionen Euro) gegen den skandinavischen Elektronikhändler Elkjøp (eine Tochter der britischen Currys plc). Auslöser war eine Vor-Ort-Inspektion aus dem Juni 2022, angestoßen durch Datenpannenmeldungen, Beschwerden und Hinweise zum Kundenprogramm.

Die Behörde stellte vier Verstöße fest:

1. Ungültige Einwilligung im Kundenklub (Art. 6 Abs. 1 lit. a i.V.m. Art. 4 Nr. 11 DSGVO): Die Einwilligung war nicht spezifisch (mehrere Zwecke wurden gebündelt), nicht freiwillig (nach dem Alles-oder-nichts-Prinzip führte eine Ablehnung zum Verlust der Mitgliedschaft) und nicht informiert (die Informationen an der Kasse waren unzureichend und inkonsistent). Zudem wurden Daten von Minderjährigen ab 15 Jahren ohne Altersverifikation verarbeitet. Über 6 Millionen Klubmitglieder in den nordischen Ländern waren betroffen.
2. Zweckentfremdung durch ein Customer-Match-Tool (Art. 6 Abs. 4 DSGVO): Elkjøp lud Kundendaten wie E-Mail-Adressen und Telefonnummern auf Werbeplattformen hoch, um sie mit Nutzerprofilen abzugleichen – ohne die erforderliche Vereinbarkeitsprüfung.
3. Unzureichende Dokumentation der Interessenabwägung (Art. 5 Abs. 2 DSGVO): Einkaufsdaten aus stationären Geschäften wurden an Google und Meta übermittelt. Die Abwägung dazu ließ wesentliche Elemente aus.
4. Verspätete Bearbeitung von Betroffenenanfragen (Art. 12 Abs. 3 DSGVO): Berichtigungsanfragen wurden systematisch als „komplex“ eingestuft und die Fristen verlängert. Zum Inspektionszeitpunkt lagen 75 ungelöste Anfragen vor – einige seit über 16 Monaten.

Das Bußgeld wurde auf Basis des weltweiten Umsatzes der Currys-Gruppe (rund 8,7 Milliarden GBP) berechnet. Der Ausgangspunkt lag bei 0,4 bis 0,8 Prozent des Umsatzes, wurde aber deutlich reduziert. Rechtsanwalt Kjell Steffner von Nordia Law ordnet ein:

„Die Lektion für das Management lautet: Einwilligungsdesign, Rechtsgrundlage und Verfahren für Betroffenenrechte sind Führungsaufgaben, keine technischen Details.“

Und der deutsche Fachjournalist Michael Dobler von Dr. Web fasst das Kernproblem knapp zusammen: „Freiwillig ist eine Zustimmung nur, wenn ein Nein nichts kostet.“

Warum das für Ihr Unternehmen wichtig ist

Vielleicht denken Sie: „Ein Krankenhaus in Irland, ein Großhändler in Norwegen – was hat das mit meiner Firma zu tun?“ Sehr viel. Denn die zugrunde liegenden Fehler machen KMU jeden Tag:

• Ransomware ist laut BSI-Lagebericht die häufigste Ursache für IT-Sicherheitsvorfälle in Deutschland – der durchschnittliche Schaden für KMU liegt im sechsstelligen Bereich.
• Ein Ransomware-Angriff ist fast immer gleichzeitig eine meldepflichtige Datenpanne.
• Viele Unternehmen haben keine vollständigen Auftragsverarbeitungsverträge mit ihren Dienstleistern und kein Verarbeitungsverzeichnis – beides sind eigenständige Verstöße.
• Newsletter, Cookie-Banner und Kundenprogramme mit Alles-oder-nichts-Einwilligung sind unzulässig – genau wie bei Elkjøp.

Zum Einordnen: Kumuliert übersteigen die DSGVO-Bußgelder europaweit seit 2018 die Marke von 6,31 Milliarden Euro. Der Bußgeldrahmen ist erheblich: Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen Art. 28, 30 und 32; bis zu 20 Millionen Euro oder 4 Prozent bei Verstößen gegen die Grundprinzipien und das Einwilligungsrecht (Art. 5, 6, 7). Für KMU werden die Beträge verhältnismäßig angepasst – existenzbedrohend können sie trotzdem sein.

So prüfen Sie, ob Sie betroffen sind

1. Ransomware-Schutz: Sind alle Systeme aktuell gepatcht? Führen Sie ein Inventar Ihrer Software und Betriebssysteme und prüfen Sie, ob automatische Updates aktiv sind.
2. Backup-Strategie: Halten Sie die 3-2-1-Regel ein – drei Kopien, zwei verschiedene Medien, eine Offsite- oder Offline-Kopie? Testen Sie aktiv, ob sich Backups wiederherstellen lassen.
3. Auftragsverarbeitungsverträge: Listen Sie alle Dienstleister auf, die Daten in Ihrem Auftrag verarbeiten (Hosting, E-Mail-Marketing, Analytics, CRM, Buchhaltung). Gibt es mit jedem einen schriftlichen AVV nach Art. 28 DSGVO?
4. Verarbeitungsverzeichnis: Führen Sie ein vollständiges Verzeichnis nach Art. 30 DSGVO mit Zwecken, Datenkategorien, Empfängern und Löschfristen?
5. Einwilligungen: Prüfen Sie alle Formulare (Newsletter, Cookie-Banner, Kontaktformulare, Treueprogramme). Ist jede Einwilligung freiwillig, spezifisch, informiert und aktiv – also ohne vorausgefülltes Häkchen?
6. Meldeprozess für Datenpannen: Können Sie eine Datenpanne innerhalb von 72 Stunden nach Kenntnis melden? Ist eine verantwortliche Person benannt?
7. Betroffenenrechte: Beantworten Sie Anfragen auf Auskunft, Berichtigung oder Löschung innerhalb eines Monats – ohne pauschale Fristverlängerung?

Das müssen Sie jetzt konkret tun

1. Ransomware-Schutz implementieren: Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) für alle Konten – insbesondere E-Mail, VPN und Cloud-Dienste. Richten Sie automatisches Patch-Management ein und setzen Sie die 3-2-1-Backup-Regel mit regelmäßigen Wiederherstellungstests um.
2. Netzwerk segmentieren: Trennen Sie kritische Systeme wie Kundendatenbanken vom allgemeinen Büronetzwerk. Vergeben Sie Zugriffsrechte nach dem Least-Privilege-Prinzip – jeder erhält nur die Rechte, die er wirklich braucht.
3. AVVs abschließen: Schließen Sie mit jedem Dienstleister, der personenbezogene Daten verarbeitet, einen Auftragsverarbeitungsvertrag ab und prüfen Sie die enthaltenen Sicherheitsgarantien.
4. Verarbeitungsverzeichnis erstellen oder aktualisieren: Dokumentieren Sie alle Verarbeitungstätigkeiten samt Rechtsgrundlagen und Löschfristen.
5. Einwilligungsmodell überarbeiten: Gestalten Sie Einwilligungen granular – eine separate Einwilligung pro Zweck. Entfernen Sie vorausgefüllte Häkchen und ermöglichen Sie die Ablehnung ohne Nachteile.
6. Incident-Response-Plan erstellen: Legen Sie einen Notfallplan mit klaren Verantwortlichkeiten und der 72-Stunden-Meldefrist fest und üben Sie ihn regelmäßig.
7. Mitarbeiter schulen: Trainieren Sie regelmäßig Phishing-Erkennung, sichere Passwörter und den Meldeprozess bei Vorfällen.
8. Interessenabwägung dokumentieren: Wenn Sie Daten auf Basis berechtigten Interesses verarbeiten (etwa für Marketing-Analytics oder Retargeting), erstellen Sie eine vollständige, dokumentierte Interessenabwägung (Legitimate Interest Assessment).

Fazit

Die beiden Juni-Fälle zeigen zwei Gesichter desselben Problems: Datenschutz ist keine Formsache, die man einmal abhakt. Beim Tullamore-Krankenhaus reichte ein einziger Ransomware-Angriff, um gleich fünf DSGVO-Verstöße offenzulegen – von unzureichenden Schutzmaßnahmen bis zum fehlenden Verarbeitungsverzeichnis. Bei Elkjøp operierte ein Milliardenkonzern jahrelang mit ungültigen Einwilligungen und zahlte am Ende 1,82 Millionen Euro.

Für Sie als KMU heißt das: Prüfen Sie Ihre technischen Schutzmaßnahmen genauso ernsthaft wie Ihre Einwilligungsformulare. Beides gehört zusammen – und beides prüfen die Behörden im Ernstfall. Wer jetzt Backups testet, MFA aktiviert, seine AVVs sortiert und seine Cookie-Banner und Newsletter-Formulare auf echte Freiwilligkeit umstellt, macht sich nicht nur bußgeldsicherer, sondern vor allem widerstandsfähiger gegen den nächsten Angriff. Wie es Fabian M. Teichmann formuliert: „IT-Sicherheit ist Patientensicherheit.“ Übersetzt auf Ihr Unternehmen: IT-Sicherheit und sauberer Datenschutz sind Kundenschutz – und Ihr eigener Schutz.