TL;DR
Am 22. September 2026 verhängte die schwedische Datenschutzbehörde (IMY) gegen Miljödata i Karlskrona AB ein Bußgeld von 1,8 Millionen Kronen wegen Verstoßes gegen Art. 32 Abs. 1 DSGVO. Im August 2025 hatte ein Angreifer Daten entwendet und im Darknet veröffentlicht; laut Unternehmen betraf das 2,2 Millionen Menschen: Personennummern, Kontaktdaten, Angaben zu Krankmeldungen, Rehabilitation und Vorfällen an Schulen. Zwei Mängel wurden festgestellt: unzureichende Kontrollen bei der Installation neuer Software und keine automatische Echtzeitüberwachung zur Erkennung von Angriffen. Das Verhalten wurde als fahrlässig gewertet. Zu den betroffenen Kunden zählen die meisten schwedischen Kommunen, mehrere Regionen und Behörden: die IMY hat Prüfungen bei zwei Kommunen und einer Region eingeleitet.
Was geschah
Miljödata liefert Informationssysteme an öffentliche Stellen und private Unternehmen. Im August 2025 drang ein Angreifer in die Systeme ein, kopierte große Mengen personenbezogener Daten und veröffentlichte sie im Darknet. Das Unternehmen selbst schätzte 2,2 Millionen Betroffene: ein erheblicher Teil der schwedischen Bevölkerung. Darunter waren besonders sensible Angaben wie Krankmeldungen, Rehabilitationsverläufe von Beschäftigten und Meldungen über Vorfälle an Schulen.
Die zwei festgestellten Mängel
- KEINE KONTROLLE NEUER SOFTWARE. Das Unternehmen prüfte nicht ausreichend, was auf seinen Systemen installiert wurde: einer der häufigsten Wege, auf denen Angreifer eindringen und bleiben.
- KEIN ALARM IN ECHTZEIT. Es fehlte eine automatische Überwachung, die Angriffe und verdächtige Aktivitäten sofort meldet.
- MASSSTAB IST DIE ART DER DATEN. Die IMY hielt die Sicherheit für unangemessen gemessen an dem, was der Dienstleister verarbeitete: bei Gesundheits- und Schuldaten von Millionen Menschen liegt die Messlatte höher.
- BUSSGELD WEGEN FAHRLÄSSIGKEIT. Das Verhalten wurde als fahrlässig eingestuft; verletzt ist Art. 32 Abs. 1, der Verantwortliche und Auftragsverarbeiter gleichermaßen bindet.
Auch die Kunden werden geprüft
Das Bußgeld trifft den Dienstleister, doch damit ist der Fall nicht erledigt. Die IMY hat Prüfungen bei zwei Kommunen und einer Region eingeleitet, die Systeme von Miljödata nutzten. Wer Daten einem Dienstleister anvertraut, muss einen mit hinreichenden Garantien wählen (Art. 28 Abs. 1) und ihn laufend überprüfen: der Vertrag überträgt die Verantwortung nicht.
Warum ein „kleiner“ Betrag zählt
Gemessen an der Zahl der Betroffenen wirken 1,8 Millionen Kronen gering. Der Wert der Entscheidung liegt woanders: die Behörde benennt zwei konkrete Maßnahmen, deren Fehlen schon für einen Verstoß gegen Art. 32 genügt. Es sind dieselben, nach denen jeder DSB einen Dienstleister morgen früh fragen kann — und die eine Behörde nach dem nächsten Angriff zuerst ansieht.
Was das für den DSB bedeutet
Fünf Fragen an Dienstleister
Erstens: Wer darf Software auf den Systemen installieren, die unsere Daten verarbeiten, und mit welcher Vorabprüfung? Zweitens: Gibt es eine automatische Angriffsüberwachung rund um die Uhr, und wer erhält den Alarm? Drittens: Beschreibt der Vertrag nach Art. 28 konkrete Maßnahmen oder nur „geeignete Maßnahmen“? Viertens: Binnen wie vieler Stunden meldet uns der Dienstleister eine Verletzung? Fünftens: Wann haben wir zuletzt geprüft, mit Nachweisen statt Erklärungen? In DPO Workspace gleicht das neu aufgebaute Verfahren für Datenschutzverletzungen die vertraglichen Fristen der Dienstleister mit den 72 Stunden des Verantwortlichen ab.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
