INSTITUT MARQUÉS OBSTETRICIA I GINECOLOGIA, S.L.P.

Was passiert ist

Die spanische Aufsichtsbehörde (AEPD) als federführende Behörde entscheidet über einen von der Klinik selbst gemeldeten Cyberangriff vom Dezember 2021, bei dem Daten von rund 400 Patienten, Nutzern und Beschäftigten – darunter Gesundheits- und Genetikdaten sowie Zahlungsdaten – abgeflossen waren und auch in anderen Mitgliedstaaten lebende Personen betroffen waren. Festgestellt wurden Verstöße gegen die Integritäts- und Vertraulichkeit (Art. 5(1)(f)), die Sicherheit der Verarbeitung (Art. 32) und die Benachrichtigungspflicht bei einer Verletzung mit hohem Risiko (Art. 34), u.a. weil die Betroffenen erst Monate später informiert wurden. Gegen drei Teilbußen von 50.000, 20.000 und 10.000 EUR (zusammen 80.000 EUR) erkannte die Klinik ihre Verantwortung an und zahlte freiwillig; der Bescheid erklärt daraufhin die Verfahrenseinstellung nach Art. 85 LPACAP.

Verfahrensgang

1. 03.09.2024 — Behörde
   festgesetzt · 80.000,00 €
   Art. 5Art. 32Art. 34

   Englischsprachige (übersetzte) Endfassung. Der Bescheid selbst enthält kein Ausstellungsdatum (Signaturblock ohne Datum; das Dokument erwähnt kein Datum nach 2023) – decision_date daher aus dem Register (2024-09-03) übernommen. Die Gesamtbuße von 80.000 EUR ergibt sich aus drei Teilbußen (50.000 EUR Art. 5(1)(f), 20.000 EUR Art. 32, 10.000 EUR Art. 34) aus dem Einleitungsbescheid vom 13.06.2023; am 18.10.2023 erfolgte die freiwillige Zahlung, woraufhin das Verfahren gem. Art. 85 LPACAP für beendet erklärt wurde – Sanktion also anerkannt/entrichtet, nicht erstinstanzlich vollstreckt. Financial Umsatzangabe der Gesellschaft im Dokument geschwärzt. Register stimmt mit den festgestellten Artikeln überein.

   Amtlicher Bescheid (PDF, en)

Quellen

• https://www.edpb.europa.eu/system/files/2025-04/decision-no-1422.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu EDPBI:ES:OSS:D:2024:1422 vorschlagen.