Ein sechsstelliges Bußgeld für das, was Prüfer in einem Badezimmer fanden
Irlands Datenschutzkommission gab ihre endgültige Entscheidung gegen den Gesundheitsdienst HSE am 2. September 2026 bekannt, nach einer Entscheidung vom 25. August 2026. Das Gesamtbußgeld erreichte 645.000 Euro, doch die Zahl ist weniger auffällig als das, was die Prüfer beschreiben gefunden zu haben: Patientenunterlagen, die laut dem stellvertretenden Kommissar Graham Doyle "durch Schimmel beschädigt oder zerstört, durch Tierkot verunreinigt, mit Schutt oder Unrat bedeckt, durch die Lagerumgebung verrottet oder wassergeschädigt" waren.
Die Akten selbst tauchten an Orten auf, an denen kein Krankenhausarchiv sein sollte: stillgelegte Badezimmer und Toilettenkabinen, ein Schiffscontainer in einem Torfschuppen, Räume ohne funktionierende Beleuchtung oder Heizung sowie verlassene Gebäude. Das war kein Hackerangriff und kein verlorener Laptop, sondern jahrelange physische Vernachlässigung, die erst durch eine förmliche Untersuchung ans Licht kam.
Wie sich das Bußgeld von 645.000 Euro zusammensetzt
Die DPC verteilte die Strafe auf vier separate DSGVO-Artikel, statt eine Pauschalsumme zu verhängen, und die Aufteilung zeigt, wo die Behörde das Versagen als am schwersten einstufte.
| DSGVO-Artikel | Bußgeld |
|---|---|
| Art. 5(1)(f) + Art. 32(1) - Sicherheit der Verarbeitung | 300.000 EUR |
| Art. 5(1)(e) - Speicherbegrenzung | 300.000 EUR |
| Art. 33(1) - Meldung an die Aufsichtsbehörde | 30.000 EUR |
| Art. 34(1) - Benachrichtigung der Betroffenen | 15.000 EUR |
Die beiden größten Anteile, für Verarbeitungssicherheit und Speicherbegrenzung, machen zusammen 600.000 der insgesamt 645.000 Euro aus - ein klares Zeichen, dass der Kern des Verstoßes nicht die verspätete Meldung war, sondern die jahrelange Vernachlässigung, die einen Vorfall unvermeidlich machte.
Der Vorfall, der alles auslöste: St. Loman's und St. Conal's
Die Untersuchung geht auf Verstöße zurück, die der DPC erstmals im Oktober und November 2023 gemeldet wurden und Akten am St. Loman's Hospital in Mullingar, County Westmeath, sowie am Standort St. Conal's betrafen. Diese ersten Meldungen waren eng gefasste Einzelfälle; die anschließende Untersuchung der DPC weitete sich zu einer systemischen Prüfung aus, wie der HSE Papierakten in seinem gesamten Bestand lagert.
Zwischen der ersten gemeldeten Verletzung und der endgültigen Entscheidung vergingen fast drei Jahre - ein Zeitrahmen, der für sich genommen zeigt, wie lange ein Versagen bei physischen Akten unsichtbar bleiben kann, verglichen mit einer digitalen Verletzung, die nach ihrer Entdeckung meist eine schnellere Offenlegung erzwingt.
Die Reaktion des HSE und die Korrekturanordnungen
Die Korrekturanordnungen der DPC verpflichten den HSE, jede genutzte Lagerstätte vollständig zu prüfen, ein ordentliches System zur Erfassung und Verwaltung von Akten einzuführen, nicht mehr benötigte Dokumente zu vernichten und Akten aus ungeeigneten Einrichtungen zu entfernen. Der HSE erklärte, die Feststellungen zu akzeptieren und sich daran zu halten.
Joe Ryan, der Chief Risk Officer des HSE, entschuldigte sich im Namen der Organisation dafür, Patientenakten nicht angemessen verwaltet zu haben, und der HSE erklärte, bereits ein Records Management Steering Committee sowie ein National Records Management Programme gestartet zu haben, um die Probleme zu beheben.
Die Compliance-Lücke, die dieser Fall offenlegt
Die meisten DSGVO-Durchsetzungsfälle, die Schlagzeilen machen, betreffen einen Cyberangriff, eine fehlkonfigurierte Datenbank oder eine falsch verschickte E-Mail. Dieser Fall zeigt, dass die DPC dieselbe Strenge auf ein völlig anderes Versagen anwendet: eine Organisation, die schlicht nicht verwaltet, wo ihre Papierakten über die Zeit physisch liegen.
Für jedes EU- oder UK-Unternehmen mit einem externen Archiv, einem stillgelegten Büro oder einer Aufbewahrungsrichtlinie, die seit Jahren niemand geprüft hat, ist die Lehre konkret: Ein DSGVO-Compliance-Audit, das bei Firewalls und Zugriffsprotokollen endet, ist unvollständig. Das Bußgeld gegen den HSE belegt, dass eine nationale Datenschutzbehörde einen verschimmelten Aktenschrank mit derselben Ernsthaftigkeit behandelt wie einen gehackten Server.
Weiterlesen: Algorithmus sperrte Fahrer - Uber zahlt 825 Millionen | Die Datenpanne der Met Police kann jedem passieren
