TYPEFORM S.L.

Was passiert ist

Die spanische Datenschutzbehörde wurde 2018 über zwei Sicherheitsvorfälle informiert: Unbekannte Angreifer nutzten kompromittierte API-Zugriffsschlüssel, um über einen öffentlich erreichbaren internen Dienst Backups aus der Cloud-Umgebung des Unternehmens herunterzuladen. Betroffen waren rund 232.766 Kundenkonten im ersten und rund 2.892.786 Konten im zweiten Vorfall (Nutzername und E-Mail-Adresse, im ersten Fall auch möglicherweise Formularinhalte von Befragten) in über 170 Ländern. Die Untersuchung ergab schwere Schwachstellen und unzureichende technische und organisatorische Maßnahmen zum Zeitpunkt der Vorfälle. Wegen Verstoßes gegen Art. 32 Abs. 1 DSGVO wurde eine Geldbuße von 100.000 EUR verhängt; die Pflichten nach Art. 33 und 34 DSGVO (Meldung bzw. Informationspflicht) wurden dagegen eingehalten.

Verfahrensgang

1. 18.02.2021 — Behörde
   festgesetzt · 100.000,00 €
   Art. 32

   Englische Fassung (spanisches Original); mehrere Auszüge des forensischen Gutachtens sind im Dokument geschwärzt/leer, darunter Details zu Angriffsursachen. Das Unternehmen hat die Verantwortlichkeit anerkannt. Das Dokument nennt 18.02.2021 ausdrücklich als Datum der Einleitung des Bußgeldverfahrens; ein gesondertes Datum der abschließenden Entscheidung wird nicht genannt – decision_date ist daher der Register-Fallback. Register listet Artikel 32, 33 und 34; im Bescheid werden Art. 33 und 34 ausdrücklich als eingehalten befunden, nur Art. 32 Abs. 1 als verletzt festgestellt. Verfahren nach Art. 60 DSGVO als federführende Aufsichtsbehörde; betroffene Aufsichtsbehörden erhoben Einwände zur Begründungstiefe des Entwurfs.

   Amtlicher Bescheid (PDF, en)

Quellen

• https://www.edpb.europa.eu/system/files/2021-11/es_2021-06_decisionpublic.pdf — abgerufen 31.08.2026, Rolle: tragende Quelle

Einen Fehler melden

Fehlt eine Instanz oder stimmt ein Betrag nicht? Korrektur zu EDPBI:ES:OSS:D:2021:239 vorschlagen.