Die Top 5 der DSGVO-Bußgelder im September 2026

TLDR: Das Wichtigste in Kürze

Die Top 5 der DSGVO-Bußgelder im September 2026 zeigen, wie unterschiedlich Datenschutzfehler entstehen. Dieser Beitrag ordnet fünf Fälle aus der Monatsübersicht von Dr. Datenschutz ein. Es handelt sich um eine redaktionelle Auswahl, nicht um eine vollständige Rangliste der höchsten Bußgelder Europas.

Die irische Datenschutzbehörde DPC verhängte das Google-Bußgeld am 21. September 2026. Gegenstand waren die Verarbeitung, Transparenz und Aufbewahrung von Standortdaten. Die Monatsübersicht dient als Sekundärquelle; maßgeblich bleiben die jeweiligen Behördenentscheidungen.

Das Bußgeld über 645.000 Euro betrifft den irischen Gesundheitsdienst Health Service Executive (HSE). Beanstandet wurden unsicher gelagerte Patientenakten sowie Verstöße gegen Speicherbegrenzung und Meldepflichten.

Fünf ausgewählte DSGVO-Bußgelder im Überblick

Die Top fünf der DSGVO-Bußgelder im September 2026 bilden derzeit nur eine vorläufige Rangliste. Nach den dokumentierten Beträgen ergibt sich folgende Reihenfolge. Der dritte Fall betrifft den irischen Gesundheitsdienst HSE.

1. Google Ireland Ltd.: 403.000.000 Euro durch die irische DPC wegen rechtswidriger Verarbeitung, unzureichender Transparenz und überlanger Speicherung von Standortdaten.
2. BBVA Italia: 5.508.000 Euro durch die italienische GPDP wegen Werbenachrichten trotz deaktivierter Benachrichtigungen und ausdrücklichen Widerspruchs.
3. Health Service Executive (HSE): 645.000 Euro wegen unsicher gelagerter Patientenakten sowie Verstößen gegen Speicherbegrenzung und Meldepflichten.
4. Hôpital Privé de la Loire: 500.000 Euro durch die französische CNIL wegen unzureichender Sicherheitsmaßnahmen bei einem Angriff mit gestohlenen Zugangsdaten.
5. EXTIA: 300.000 Euro durch die französische CNIL wegen mangelhafter Bearbeitung von Löschanträgen und fehlender oder verspäteter Rückmeldungen.

Entscheidungsmonat und Veröffentlichungsmonat sind nicht identisch. Die Zusammenstellung erfasst im September veröffentlichte oder dokumentierte Fälle. Sie enthält nicht ausschließlich im September erlassene Bescheide.

Für belastbare Vergleiche prüfst du Bescheiddatum, Veröffentlichungsdatum und Originalentscheidung getrennt.

Die Fallauswahl belegt weder eine europaweite Rangfolge noch die Rechtskraft sämtlicher Entscheidungen. Für rechtliche Bewertungen zählt die jeweilige Behördenentscheidung, nicht allein der Monatsrückblick.

Bußgeldhöhe und betroffene Unternehmen im Vergleich

Googles Bußgeld ist etwa 73-mal so hoch wie die Sanktion gegen BBVA Italia. Die Beträge allein erklären weder die Schwere eines Verstoßes noch die wirtschaftliche Belastung des Unternehmens.

Ein Vergleich der Top 5 der DSGVO-Bußgelder im September 2026 braucht mehr als Rangpositionen. Branche, verantwortliche Gesellschaft und zuständige Behörde müssen nebeneinanderstehen.

• Technologie und Ingenieurwesen: Google Ireland und EXTIA betreffen unterschiedliche Verfahren vor der irischen DPC beziehungsweise der französischen CNIL.
• Bankgeschäft: Die Entscheidung der GPDP gegen BBVA Italia betrifft die italienische Gesellschaft, nicht pauschal sämtliche Unternehmen der Bankengruppe.
• Gesundheitsversorgung: Der HSE steht unter Aufsicht der irischen DPC, das Hôpital Privé de la Loire unter französischer CNIL-Aufsicht.

Zwei Fälle betreffen das Gesundheitswesen. Beim HSE geht es um Papierakten, beim französischen Krankenhaus um digitale Patientendaten. Datenschutz endet also weder am Aktenschrank noch am Bildschirm.

Vergleichbare Größenangaben fehlen auch bei den benannten Empfängern. Die verfügbaren Zusammenfassungen nennen keine einheitlichen Umsatz- oder Beschäftigtenzahlen. Eine Einteilung nach Konzernbekanntheit wäre deshalb irreführend.

Der Bußgeldbetrag allein zeigt keine relative wirtschaftliche Belastung.

Trenne für deinen Vergleich die sanktionierte Gesellschaft vom Gesamtkonzern. Prüfe danach, ob Umsatzangaben dieselbe Gesellschaft und denselben Zeitraum betreffen. Ohne diese Grundlage lässt sich keine relative wirtschaftliche Belastung aus dem Betrag ableiten.

Die einzelnen DSGVO-Verstöße hinter den fünf Fällen

Die Top 5 der DSGVO-Bußgelder im September 2026 zeigen unterschiedliche Fehlerketten. Sie betreffen:

• Datenverarbeitung
• Systemabgleich
• Vorfallmeldung
• Zugriffsschutz

Ein dokumentierter Angriff belegt die konkrete Pflichtverletzung noch nicht.

Google: Standortdaten ohne ausreichende Grenzen

Bei Google betrafen die Beanstandungen unter anderem „Web & App Activity“, „Location History“ und „Location Accuracy“. Entscheidend waren Rechtmäßigkeit, Transparenz und Speicherdauer, nicht nur die Erhebung der Standortdaten.

BBVA Italia: Widerspruch ohne technische Wirkung

Bei BBVA Italia erreichte der Werbewiderspruch nicht alle relevanten Systeme. Der fehlende Abgleich mit dem CRM erklärt den Fehler: Die gespeicherte Präferenz steuerte den Versand nicht durchgängig.

HSE: Unsichere Papierakten und versäumte Meldungen

Laut Monatsübersicht waren Patientenakten in ehemaligen Krankenhäusern für Unbefugte zugänglich. Teilweise lagerten sie in feuchten oder verschimmelten Räumen. Die DPC beanstandete auch die Speicherbegrenzung sowie versäumte Meldungen und Benachrichtigungen nach Art. 33 und 34 DSGVO.

Hôpital Privé de la Loire: Gestohlene Zugangsdaten

Der Krankenhausfall betrifft unzureichende Sicherheitsmaßnahmen beim Zugriff auf Patienteninformationen. Gestohlene Zugangsdaten ermöglichten den Angriff im Sommer 2025.

Die Monatsübersicht nennt fehlende Mehrfaktor-Authentifizierung, übermäßige Zugriffsrechte und unzureichende Überwachung verdächtiger Aktivitäten. Auch der Zugriff des Softwareanbieters und die unterbliebene direkte Benachrichtigung betroffener Vertrauenspersonen wurden beanstandet.

EXTIA: Löschanträge ohne verlässliche Rückmeldung

EXTIA bearbeitete Löschanträge nicht zuverlässig und informierte Betroffene teilweise gar nicht oder verspätet. Laut Monatsübersicht blieben von 265 Löschanträgen zwölf unbearbeitet. In 166 Fällen fehlte eine Rückmeldung, in weiteren 27 erfolgte sie verspätet. Automatisches Löschen ersetzt die vorgeschriebene Information über die ergriffenen Maßnahmen nicht.

Ein KI-Bezug ist damit nicht belegt.

Bei einer internen KI-Wissensdatenbank stellt sich dieselbe Prüffrage: Erreichen geänderte Zugriffsrechte auch bereits übernommene Mitarbeiterdaten?

Die rechtlichen Grundlagen der DSGVO-Bußgelder

Art. 83 DSGVO definiert den Bußgeldrahmen. Die verletzte Datenschutzpflicht bildet den konkreten rechtlichen Anknüpfungspunkt. Bei den Top 5 der DSGVO-Bußgelder im September 2026 müssen beide Ebenen getrennt betrachtet werden.

Die beschriebenen Sachverhalte lassen sich rechtlich wie folgt einordnen. Diese Einordnung bildet nicht sämtliche Feststellungen der jeweiligen Behörde ab:

• Google: Rechtmäßigkeit, Transparenz und Speicherbegrenzung betreffen insbesondere Art. 5 und 6 DSGVO.
• BBVA Italia: Nach einem Widerspruch gegen Direktwerbung untersagt Art. 21 Abs. 3 DSGVO die weitere Verarbeitung für diese Zwecke.
• Health Service Executive (HSE): Art. 33 regelt die Meldung an die Aufsicht, Art. 34 die Benachrichtigung betroffener Personen.
• Krankenhaus: Art. 32 verlangt risikogerechte Sicherheitsmaßnahmen. Art. 34 betrifft die Benachrichtigung Betroffener. Bei EXTIA betreffen Art. 12 und 17 die Antragsbearbeitung und Löschung.

Art. 83 Abs. 4 DSGVO erfasst unter anderem Verstöße gegen Sicherheits- und Meldepflichten. Verstöße gegen Verarbeitungsgrundsätze und Betroffenenrechte unterliegen dem höheren Bußgeldrahmen nach Art. 83 Abs. 5 DSGVO.

Nicht jede Datenpanne ist automatisch meldepflichtig. Art. 33 verlangt eine Meldung an die Aufsicht, wenn ein Risiko für Betroffene nicht unwahrscheinlich ist.

Art. 34 verlangt für die Benachrichtigung betroffener Personen grundsätzlich ein hohes Risiko. Die Schwelle für die Behördenmeldung und die Benachrichtigung ist also nicht identisch.

Für deine KI-Praxis gilt: Ein Auftragsverarbeitungsvertrag nach Art. 28 ersetzt keine Rechtsgrundlage für Kundendaten in Prompts. Prüfe Anbieterrolle und Verarbeitungszweck deshalb getrennt.

So bemessen Aufsichtsbehörden ein DSGVO-Bußgeld

Art. 83 Abs. 2 DSGVO verlangt eine Bewertung des konkreten Verstoßes, keine pauschale Strafe pro betroffenem Datensatz. Die Geldbuße muss wirksam, verhältnismäßig und abschreckend sein.

Bei der Bemessung prüfen Aufsichtsbehörden unter anderem:

• Art, Schwere und Dauer des Verstoßes.
• Die betroffenen Datenarten sowie Zahl und Schädigung der Betroffenen.
• Vorsatz, Fahrlässigkeit und frühere Verstöße.
• Maßnahmen zur Schadensbegrenzung und die Kooperation mit der Aufsicht.

Eine vollständige Antwort auf Behördenfragen ersetzt keine zuvor versäumte Sicherheitsmaßnahme.

Welche Umstände den Betrag verändern

Ein Beispiel aus der KI-Praxis: Ein Unternehmen entdeckt versehentlich freigegebene Personalakten in seiner internen Wissensdatenbank. Für die Bemessung zählen die Beschäftigten mit Zugriff, die Dauer der Freigabe und die abrufbaren Daten.

Gesundheitsdaten verschärfen die Bewertung gegenüber einer bloßen Liste geschäftlicher Kontaktdaten. Das ist kein Detail, sondern ein anderer Risikofall.

Sperrt das Unternehmen den Zugriff sofort und dokumentiert die Eindämmung, zählen diese Schritte als Maßnahmen zur Schadensbegrenzung. Ignorierte Warnungen oder wiederholte Berechtigungsfehler sprechen dagegen für eine strengere Bewertung.

Schadensbegrenzung beseitigt den Verstoß nicht. Sie gehört aber ausdrücklich zur Bußgeldbemessung.

Für die Top 5 der DSGVO-Bußgelder im September 2026 fehlen teilweise vollständige Entscheidungsgründe. Deshalb bleibt die konkrete Gewichtung nicht durchgehend nachvollziehbar.

Ein reduzierter Betrag beweist weder Kooperation noch geringeres Verschulden.

Konsequenzen der fünf Entscheidungen für Unternehmen und Betroffene

Ein Bußgeld finanziert weder die technische Reparatur noch entschädigt es betroffene Personen automatisch. Unternehmen tragen zusätzlich den Aufwand für:

• Fehleranalyse
• Systemkorrekturen
• Betroffenenkommunikation

Die Top 5 der DSGVO-Bußgelder im September 2026 belegen nicht durchgehend Umsatzeinbußen oder Kundenabwanderung. Solche Folgen ohne Nachweis zu behaupten, wäre Spekulation.

Wenn Datenschutzfehler den Betrieb verändern

Der BBVA-Fall zeigt eine direkte betriebliche Aufgabe: Ein Werbewiderspruch muss alle angeschlossenen Versandwege erreichen. Eine Korrektur im CRM reicht nicht, wenn ein anderes System weiter Nachrichten verschickt.

Gesundheitsinformationen betreffen besonders private Lebensbereiche. Bei Löschanträgen brauchen Betroffene eine nachvollziehbare Rückmeldung. Welche individuellen Schäden tatsächlich entstanden sind, lässt sich aus der Monatsübersicht nicht ableiten.

Die Konsequenz für deinen KI-Betrieb

Ein Praxisbeispiel, kein belegter September-Fall: Dein Vertrieb übernimmt Kundendaten aus dem CRM in eine KI-Wissensdatenbank. Wird ein Datensatz gelöscht, bleibt eine übersehene Kopie dort weiterhin abrufbar.

Zur Fehlerbehebung gehören Dokumentkopien, Suchindizes und angebundene Systeme. Prüfe mit einer erneuten Suchanfrage, ob die entfernten Kundendaten tatsächlich verschwunden sind.

Die Zahlung beendet keine fehlerhafte Datenverarbeitung. Erst die nachgewiesene Korrektur schließt die technische Fehlerquelle.

Unterschiede der Bußgeldpraxis in europäischen Ländern

Die DSGVO setzt gemeinsame Maßstäbe. Nationale Aufsichtsbehörden entscheiden jedoch über die konkreten Verfahren. Einzelne Bußgeldhöhen belegen keine strengere oder mildere Landesaufsicht.

Die Top 5 der DSGVO-Bußgelder im September 2026 ergeben keine belastbare Länderrangliste.

Dafür unterscheiden sich die Fälle zu stark:

• Die Datenarten unterscheiden sich.
• Die betroffenen Unternehmen haben unterschiedliche Größen.
• Die Behörden untersuchen unterschiedliche Verarbeitungen.

Andere Fälle, kein anderer Datenschutzmaßstab

Die irische DPC untersuchte bei Google Standortdaten. Die italienische GPDP prüfte bei BBVA unerwünschte Werbung. Die französische CNIL bewertete beim Krankenhaus den Zugriffsschutz.

Bei EXTIA prüfte die französische CNIL die Bearbeitung von Löschanträgen. Beim HSE untersuchte die irische DPC die Aktenaufbewahrung. Diese Auswahl zeigt unterschiedliche Sachverhalte, aber keine nachgewiesenen nationalen Prüfungsschwerpunkte.

Für diesen Nachweis bräuchtest du sämtliche vergleichbaren Entscheidungen über einen längeren Zeitraum. Veröffentlichungsdatum, Entscheidungsdatum und Verfahrensstand müssten ebenfalls übereinstimmen.

Grenzüberschreitende KI braucht eine Zuständigkeitsprüfung

Bei grenzüberschreitender Verarbeitung sieht Art. 56 DSGVO unter bestimmten Voraussetzungen eine federführende Aufsichtsbehörde vor. Der Serverstandort allein bestimmt diese Zuständigkeit nicht.

Beispiel: Ein Unternehmen betreibt einen KI-Assistenten für Beschäftigte in Deutschland, Frankreich und Spanien. Prüfe, welche Niederlassung über Verarbeitungszwecke und Mittel entscheidet.

Dokumentiere auch, wo diese Entscheidungen umgesetzt werden. Der EDSA nahm die Leitlinien 04/2026 am 17. September 2026 zur öffentlichen Konsultation an. Sie betreffen das Verhältnis von Geldbußen zu anderen Abhilfebefugnissen.

Die Konsultationsfassung darf nicht als endgültige Leitlinie dargestellt werden. Sie ersetzt keine Einzelfallprüfung.

Datenschutzbeauftragte und Unternehmensstrategie nach den September-Fällen

Die Geschäftsführung verantwortet Datenschutzentscheidungen, der Datenschutzbeauftragte berät und überwacht nach Art. 39 DSGVO. Die Top 5 der DSGVO-Bußgelder im September 2026 liefern Prüfanlässe, belegen jedoch keine KI-Verstöße.

Ich finde: Datenschutz gehört vor die Beschaffung, nicht hinter den unterschriebenen Vertrag. Nach Art. 38 Abs. 1 DSGVO musst du den Datenschutzbeauftragten frühzeitig bei datenschutzrelevanten Fragen einbinden. Dokumentiere, wer Risiken bewertet, Maßnahmen umsetzt und verbleibende Risiken gegenüber der Geschäftsführung begründet.

KI-Projekte brauchen belegbare Entscheidungen

Ein KI-Projektsteckbrief dokumentiert Entscheidungen so, dass sie später prüfbar bleiben. Er enthält:

• Zweck und Datenarten
• Rechtsgrundlage und Anbieterrollen
• Trainingsnutzung und Löschfristen
• Zugriffsrechte

Die bloße Anbieterzusage „DSGVO-konform“ ersetzt keine Prüfung.

Beispiel: Dein Vertrieb will Kundenanfragen mit einem KI-Assistenten beantworten. Für den ersten Test verwendet das Team erfundene Anfragen statt echter Kundenkorrespondenz. Vor dem Produktivbetrieb klären Einkauf und Datenschutzbeauftragter Vertragsrollen sowie eine erforderliche Auftragsverarbeitung.

Die IT prüft Trainingsnutzung, Speicherorte und Löschmöglichkeiten anhand der Vertragsunterlagen und Einstellungen. Bei einer internen Wissensdatenbank prüft ein reguläres Vertriebskonto, ob vertrauliche Personaldokumente tatsächlich ausgeschlossen bleiben. Ein bestandener Zugriffstest belegt noch keine zulässige Verarbeitung.

Bei der Einführung von innoGPT kannst du die begleitete Implementierung für solche Tests und Team-Schulungen nutzen. Die Verantwortung des Unternehmens bleibt bestehen.

Checkliste gegen typische DSGVO-Bußgelder

Eine Datenschutzkontrolle braucht Nachweise statt Häkchen: Testergebnis, verantwortliche Person und Termin zur Fehlerbehebung.

Die Top 5 der DSGVO-Bußgelder im September 2026 liefern Prüfanlässe, aber keine Garantie gegen Sanktionen.

• Daten minimieren: Entferne vor einer KI-Auswertung von Bewerbungen Namen, Kontaktdaten und entbehrliche Angaben, statt vollständige Personalakten hochzuladen.
• Rechtsgrundlage abgleichen: Prüfe am konkreten Arbeitsablauf, ob Zweck, Datenarten und tatsächliche KI-Nutzung mit der dokumentierten Rechtsgrundlage übereinstimmen.
• Widersprüche durchtesten: Setze bei einem Testkontakt eine Werbesperre und kontrolliere, ob CRM, Versandsoftware und angeschlossene Automatisierungen diese übernehmen.
• Löschung nachweisen: Verfolge einen synthetischen Testdatensatz durch Chatverlauf, Dokumentenspeicher und Suchindex. Protokolliere verbleibende Kopien nach dem Löschlauf.
• Zugänge absichern: Deaktiviere ein Testkonto eines ausgeschiedenen Beschäftigten und prüfe, ob aktive Sitzungen sowie angebundene Zugänge ebenfalls gesperrt sind.
• Vorfall üben: Simuliere einen gestohlenen Zugang und dokumentiere Erkennung, Eskalation sowie die Prüfung der Meldepflichten nach Art. 33 und 34 DSGVO.

Bei einem KI-Projekt mit innoGPT gehören auch angebundene Datenquellen in diese Tests, nicht nur die Chatoberfläche.

Dokumentiere bei Löschtests gesondert, welche Sicherungskopien zunächst verbleiben. Ein verschwundener Suchtreffer beweist keine vollständige Löschung.

FAQ zu DSGVO-Bußgeldern im September 2026

Fazit

Die Top 5 der DSGVO-Bußgelder im September 2026 liefern vor allem Prüfanlässe für deine Datenverarbeitung, keine vollständig belegte Rangfolge. Grundlage dieser Einordnung ist die Monatsübersicht von Dr. Datenschutz. Ein Datenschutzfall ist nicht automatisch ein KI-Fall.

Meiner Meinung nach gehört nicht die höchste Summe auf deine nächste Projektagenda, sondern der nächste überprüfbare Fehler. Priorisiere Verarbeitungsvorgänge, bei denen personenbezogene Daten ohne geklärten Zweck oder kontrollierte Zugriffsrechte in KI-Anwendungen gelangen. Halte die Freigabe zurück, bis Verantwortliche offene Punkte geklärt und dokumentiert haben.

Eine KI-Freigabe braucht einen bestandenen Praxistest, nicht nur einen unterschriebenen Vertrag.

Für eine interne Wissensdatenbank startest du mit einem Testdokument ohne echte Personaldaten im geschützten Personalbereich. Frage anschließend mit einem Vertriebskonto nach dessen Inhalt. Liefert die KI daraus Informationen, scheitert die Berechtigungsprüfung, selbst wenn die ursprüngliche Datei für den Vertrieb gesperrt bleibt.

Dokumentiere Anfrage, Antwort und verwendetes Konto. Die IT kann den Fehler dann gezielt nachstellen.

Auch beim Einsatz von innoGPT ersetzt die Plattformwahl keine Prüfung deines konkreten Arbeitsablaufs. Kläre vor der Freigabe:

• welche Daten verarbeitet werden,
• wer Antworten erhält,
• wie Löschungen nachgewiesen werden.

So stützt die Bußgeldlektüre eine dokumentierte Entscheidung für deinen KI-Einsatz.

Ergänzende Übersichten und Datenbank

Der Wochenüberblick von The DPO zum 25. September 2026 ergänzt die zeitliche Einordnung veröffentlichter Entscheidungen. Ein Wochenüberblick ersetzt keine vollständige Monatsauswertung.

Die DSGVO-Bußgeld-Datenbank des DSGVO-Portals trennt Veröffentlichungsdatum und Bescheiddatum in eigenen Feldern. Dieser Unterschied entscheidet über die Zuordnung zum September.

Eine Sekundärübersicht hilft beim Auffinden eines Falls. Den genauen Inhalt einer Entscheidung belegt die Originalentscheidung.

Für eine interne Compliance-Dokumentation hältst du folgende Angaben fest:

• Behörde
• Aktenzeichen
• Bescheiddatum
• Verfahrensstand

Speichere die zugehörige Behördenveröffentlichung mit Abrufdatum. Fehlt dieser Nachweis, kennzeichnest du die Angabe als sekundär belegt. Eine fehlende Rechtskraftangabe belegt weder Rechtskraft noch ein laufendes Rechtsmittelverfahren.

Hinweis: Wir geben keine Rechtsberatung

Quellen

• Die Top 5 der DSGVO-Bußgelder im September 2026
• DSGVO Bußgeld Datenbank - immer aktuell und vollständig

Grundlage der Fallauswahl: Dr. Datenschutz, „Die Top 5 der DSGVO-Bußgelder im September 2026“. Abgerufen am 20. Oktober 2026. https://www.dr-datenschutz.de/die-top-5-der-dsgvo-bussgelder-im-september-2026/

In der Monatsübersicht verlinkte Behördenquelle zu Google Ireland (DPC): https://www.dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location

In der Monatsübersicht verlinkte Behördenquelle zu BBVA Italia (GPDP): https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10291895

In der Monatsübersicht verlinkte Behördenquelle zum HSE (DPC): https://dataprotection.ie/en/news-media/latest-news/data-protection-commission-announces-final-decision-following-inquiry-health-service-executive-hse

In der Monatsübersicht verlinkte Behördenquelle zum Hôpital Privé de la Loire (CNIL): https://www.cnil.fr/en/sanction-fine-hopital-prive-loire

In der Monatsübersicht verlinkte Behördenquelle zu EXTIA (CNIL): https://www.cnil.fr/en/sanction-failure-rights-individuals-extia

EDSA, Leitlinien 04/2026, Konsultationsfassung: https://www.edpb.europa.eu/documents/guideline/guidelines-042026-on-the-application-of-the-power-to-impose-administrative\_en