UODO Polen: Mehr DSGVO-Bußgelder als Frankreich
Aktualisiert für 2026
Polen schlägt über seinem Gewicht
Polens Datenschutzbehörde ist das Urząd Ochrony Danych Osobowych (UODO). Es verhängte 2023 insgesamt 47 DSGVO-Bußgelder. Gesamtbetrag: 2,8 Millionen Euro. Im selben Jahr bearbeitete die Behörde 8.234 Beschwerden. Pro Kopf übertrifft diese Bußgeldquote Frankreich, Deutschland und die meisten westlichen Peers.
Für Firmen in Polen ist das ein reales Risiko — nicht nur Papierkram.
Warum Polen mehr durchsetzt als der Westen
Beschwerdekultur. Polen hat 38 Millionen Einwohner mit starkem Bewusstsein für digitale Rechte. Datenschutzgruppen reichen regelmäßig große Beschwerdemengen ein. Die Behörde bearbeitet jährlich tausende Fälle.
BPO-Sektor-Risiko. Polen ist eines der größten EU-Outsourcing-Zentren. Polnische Call Center verarbeiten Daten für Kunden in Deutschland, Frankreich, Großbritannien und den Niederlanden. Jeder Datenfluss birgt zwei Risiken: Maßnahmen der polnischen Aufsicht und Maßnahmen der federführenden Behörde betroffener EU-Bürger.
Gesundheitsdatenpannen. Meldungen zu Gesundheitsdaten stiegen 2024 um 45 %. Gesundheitsdaten sind besondere Kategorien nach Artikel 9 DSGVO. Das bedeutet höheres Bußgeldrisiko für Gesundheitsverarbeiter.
Fehlende Aufzeichnungen. 34 % der polnischen Firmen verfügen über kein dokumentiertes Verzeichnis von Verarbeitungstätigkeiten (VVT). Prüfer suchen danach als Erstes. Ein fehlendes VVT führt zu einer vertieften Prüfung.
Das PESEL-Problem
PESEL ist Polens 11-stellige nationale Ausweisnummer. Ziffern 1–6 kodieren das Geburtsdatum. Ziffern 7–10 sind eine Sequenznummer. Die letzte Ziffer ist eine Prüfziffer. Sie verwendet eine gewichtete Formel des polnischen Ministeriums für Digitalisierung.
Generische PII-Tools scheitern bei PESEL auf zwei Arten.
Mustererkennung. Die meisten Tools kennen US- oder UK-Ausweisformate. Eine US-Sozialversicherungsnummer hat 9 Stellen. Eine UK-NI-Nummer ist alphanumerisch. PESELs 11-stelliges Format fehlt in deren Trainingsdaten. Sie erkennen es nicht.
Validierungsfehler. Selbst wenn ein Tool 11 Stellen findet, kann es die Prüfziffer nicht bestätigen. Das erzeugt falsch positive und falsch negative Treffer. Echte PESELs mit vertauschten Ziffern werden übersehen.
PESEL erscheint in fast jedem polnischen Dokument: Gesundheitsakte, Personalakte, Steuerformular und Versicherungspolice. Fehlt die Erkennung, bleibt der wichtigste Identifier ungeschützt.
89 % der an polnischen Dokumenten getesteten PII-Tools erkennen PESEL nicht korrekt.
Weitere polnische Identifier mit Erkennungslücken
NIP (Numer Identyfikacji Podatkowej). 10-stellige Steuer-ID mit gewichtetem Prüfsum. In Rechnungen, Verträgen und Arbeitsnachweisen zu finden.
REGON. 9- oder 14-stellige Unternehmensnummer für alle polnischen Firmen. Erscheint in Lieferanten- und Kaufdokumenten.
Dowód osobisty. Polnischer Personalausweis im Format XXX NNNNNN — drei Buchstaben, dann sechs Ziffern — mit eigener Prüfzifferregel. Pflichtnachweis im Bank-, Gesundheits- und Behördenverkehr.
Alle drei zeigen ähnliche Lücken wie PESEL.
Durchsetzungsschwerpunkte 2024–2025
Gesundheitsdaten. Pannenmeldungen von Gesundheitsanbietern stiegen 2024 um 45 %. Proaktive Prüfungen laufen. Häufige Befunde: schwache Zugriffskontrollen, keine Verschlüsselung und fehlende Datenschutz-Folgenabschätzungen (DSFA).
Mitarbeiterüberwachung. Fernarbeit veranlasste viele Firmen, Tastaturprotokollierung und Bildschirmerfassung einzuführen. Die meisten verstoßen gegen DSGVO-Zweckbindungsregeln. Mitarbeiterdatenfälle machen 28 % der Durchsetzungsmaßnahmen aus.
Unterauftragnehmer-Ketten. Polens Outsourcing-Sektor nutzt komplexe Lieferantennetzwerke. Prüfer finden fehlende Auftragsverarbeitungsverträge (AVV) zwischen Hauptverarbeitern und Unterauftragnehmern. Auch Tools der Unterauftragnehmer müssen Artikel 32 DSGVO erfüllen.
Technische Maßnahmen, die die Prüfung bestehen
Durchsetzungsentscheidungen verweisen auf drei Pflichtkontrollen.
Verschlüsselung. Alle personenbezogenen Daten müssen im Ruhezustand und bei der Übertragung verschlüsselt sein. Zugriffskontrollen allein reichen nicht. Firmen, die sich nur auf Zugriffsregeln stützten, wurden bebußt.
Dokumentierte Anonymisierung. Firmen, die Daten als anonymisiert bezeichnen, müssen das belegen. Die Behörde verlangt technischen Nachweis, dass eine Reidentifikation nicht möglich ist.
PII-Erkennungsabdeckung. Schutzmaßnahmen müssen polnische Identifier erfassen. PESEL mit Prüfsummenvalidierung, NIP, REGON und Dowód osobisty müssen erkennbar sein. Englischsprachige Tools erfüllen diesen Standard nicht.
Polens BPO-Sektor verarbeitet täglich 2,3 Millionen EU-Kundendatensätze. Firmen ohne polnisch-spezifische PII-Erkennung tragen hohes Bußgeldrisiko — von der nationalen Behörde und von federführenden Behörden in der EU.
Unser DSGVO-Leitfaden deckt Dokumentationsanforderungen ab. Unsere Sicherheits-Compliance-Übersicht erläutert technische Kontrollen. Zur mehrsprachigen PII-Erkennung siehe unseren mehrsprachigen PII-Erkennungsleitfaden.