Teaser. Zwei stillgelegte Krankenhäuser, Unbefugte in den Räumen, beschädigte Akten: Die irische Datenschutzaufsicht hat den staatlichen Gesundheitsdienst mit 645.000 Euro belegt. Der Kern des Falls ist kein IT-Thema, sondern eine nicht eingehaltene Aufbewahrungsfrist — die regelmäßige Überprüfung musste die Aufsicht erst anordnen.
Faktenlage
Die irische Datenschutzaufsicht DPC verhängte gegen den Health Service Executive (HSE) insgesamt 645.000 Euro Geldbußen und einen Verweis (A01, A09). Gegenstand ist die Aufbewahrung von Papierakten in externen Lagerstätten. Auslöser waren zwei Datenschutzverletzungen: Unbefugte erlangten Zutritt zu Akten in zwei stillgelegten psychiatrischen Krankenhäusern, gemeldet im Oktober und November 2023 (Meldung der Vorfälle) (A02, A05). Bei zwölf Vor-Ort-Inspektionen stellte die DPC Mängel an den Lagerbedingungen und an der Unversehrtheit der Unterlagen fest (A06). Festgestellt wurden Verstöße gegen Art. 5 Abs. 1 lit. e und f, Art. 32 Abs. 1, Art. 33 Abs. 1 und Art. 34 Abs. 1 DSGVO; Rechtsraum Irland (A08). Mitgeteilt wurde die Entscheidung der HSE am 25. August 2026 (Mitteilung), die DPC-Mitteilung erschien am 2. September 2026 (Veröffentlichung) (A03, A04).
Was das für Ihr Unternehmen bedeutet
Nach unserer Einschätzung ist dieser Fall gerade deshalb übertragbar, weil er ohne Technik auskommt: Geprüft wurden Räume, nicht Systeme. Die Verteilung der Bußgelder zeigt den Kern — je 300.000 Euro auf Sicherheit und auf Speicherbegrenzung, 30.000 Euro auf die Meldung an die Aufsicht und 15.000 Euro auf die Benachrichtigung der Betroffenen (A01). Das deutet darauf hin, dass die Akten dort nicht lagen, weil eine Schutzmaßnahme versagte, sondern weil niemand entschied, dass sie weg können; die DPC ordnete ausdrücklich die regelmäßige Überprüfung der eigenen Aufbewahrungsrichtlinien an (A09). Ein grenzüberschreitender Bezug ist nicht erkennbar; die Mitteilung nennt keine Zusammenarbeit mit anderen Aufsichtsbehörden. Für deutsche Organisationen ist gesondert zu prüfen, wie eine Aufsichtsbehörde hier entscheiden würde; die irische Entscheidung gilt in Deutschland nicht unmittelbar.
Maßnahmen
- Erfassen Sie zuerst, welche Lagerorte Sie überhaupt haben, einschließlich Keller, Außenstellen und stillgelegter Gebäude. Die DPC gab der HSE ein vollständiges Audit aller Lagerstätten auf (A09).
- Führen Sie ein Verzeichnis, das jede eingelagerte Akte erfasst und nachverfolgbar macht — angeordnet wurde ein System zur Erfassung und Nachverfolgung aller dort gelagerten Akten (A09).
- Setzen Sie einen festen Termin, zu dem Sie die Einhaltung Ihrer eigenen Aufbewahrungsfristen prüfen, und vernichten Sie nicht mehr benötigte Akten unverzüglich und sicher (A09).
Datenschutz ist kein einmaliges Projekt, sondern eine laufende Aufgabe — gerade wenn sich Rechtsprechung und Anforderungen weiterentwickeln. Eine eigene Datenschutz-Beratungsseite führt artif auf artif.com aktuell nicht; wer die eigene Website oder Prozesse einordnen lassen möchte, kann sich direkt an artif wenden: per E-Mail an info@artif.com, telefonisch unter +49 7071 70491-00 oder über das Kontaktformular auf https://artif.com/kontakt.html.
Quellen
- Data Protection Commission (DPC) / An Coimisiún um Chosaint Sonraí, „Data Protection Commission announces Final Decision following Inquiry into the Health Service Executive (HSE)“, veröffentlicht 2. September 2026, https://www.dataprotection.ie/en/news-media/latest-news/data-protection-commission-announces-final-decision-following-inquiry-health-service-executive-hse (abgerufen 2026-10-03, HTTP 200). Übersetzungen aus dem Englischen sind eigene Übersetzungen.
- Data Protection Commission (DPC), Entscheidungsregister zu den HSE-Verfahren, Aktenzeichen
IN-19-9-1 & IN-19-9-2, Entscheidungen vom 18. August und 29. September 2020, https://www.dataprotection.ie/en/dpc-guidance/decisions/inquiries-concerning-health-service-executive (abgerufen 2026-10-03, HTTP 200) — nur für die ältere Vorgeschichte.
Alle Angaben zum Verfahren 2026 stammen aus der Mitteilung der DPC unter Nr. 1. Weitere gefundene Darstellungen geben diese Mitteilung wieder und sind daher keine unabhängige Bestätigung, sondern dieselbe Quelle. Beide hier genannten Quellen stammen von der DPC; eine herausgeberunabhängige Bestätigung liegt weder für das Verfahren 2026 noch für die Vorgeschichte vor.
Grenzen dieses Beitrags
Die Vollentscheidung ist noch nicht veröffentlicht; die DPC hat ihre Veröffentlichung angekündigt (A07). Deshalb sind das Entscheidungsdatum und das Aktenzeichen des Verfahrens 2026 nicht bekannt — der 25. August 2026 ist das Datum der Mitteilung an die HSE, nicht das Entscheidungsdatum (A03). Zum Rechtsmittelstand liegt keine öffentliche Information vor; nach Darstellung der DPC werden von ihr verhängte Geldbußen erst mit gerichtlicher Bestätigung fällig, und bei einem Rechtsmittel kann die Geldbuße bis zu dessen Abschluss nicht eingezogen werden (A11). Die Entscheidung ist damit weder als rechtskräftig noch als gezahlt zu lesen. Die DPC hat erschwerend berücksichtigt, dass die HSE bereits zuvor gleichartige Verstöße begangen hat, benennt die früheren Verfahren aber nicht (A10). Im Entscheidungsregister der DPC sind für die HSE Entscheidungen aus dem Jahr 2020 verzeichnet (IN-19-9-1 & IN-19-9-2); die dort verhängte Geldbuße von 65.000 Euro stammt aus der Entscheidung IN-19-9-1. Ob die Behörde genau diese Verfahren meint, ergibt die Mitteilung nicht. In den 645.000 Euro des Verfahrens 2026 sind diese 65.000 Euro jedenfalls nicht enthalten; beide Beträge dürfen nicht addiert werden.
Stand: 2026-10-03