Die meisten DSGVO-Bußgelder betreffen wenige wiederkehrende Fehler: Verarbeitung ohne Rechtsgrundlage, unzureichende Datensicherheit, Verstöße gegen Informationspflichten und Betroffenenrechte, unzulässige Überwachung von Beschäftigten, verspätete oder unterlassene Meldungen von Datenpannen und Tracking ohne Einwilligung. Die höchsten Bußgelder in Deutschland trafen bisher die Überwachung von Beschäftigten und fehlende Löschkonzepte. Mehrere davon haben Gerichte später deutlich reduziert.
Die häufigsten Verstoßgründe
- Fehlende Rechtsgrundlage (Art. 6 DSGVO): Daten werden ohne wirksame Einwilligung, ohne Vertrag und ohne tragfähige Interessenabwägung verarbeitet.
- Unzureichende technische und organisatorische Maßnahmen (Art. 32 DSGVO): schwache Authentifizierung, fehlende Verschlüsselung, zu weite Zugriffsrechte.
- Informationspflichten (Art. 12 bis 14 DSGVO): fehlende oder unvollständige Datenschutzhinweise.
- Betroffenenrechte (Art. 15 bis 22 DSGVO): Auskunftsanfragen bleiben unbeantwortet, Löschungen unterbleiben.
- Datenpannen (Art. 33 DSGVO): keine oder verspätete Meldung.
- Überwachung von Beschäftigten: Videoüberwachung ohne Anlass, Erfassung privater Lebensumstände.
- Videoüberwachung von Kunden und Nachbarn: fehlende Abwägung, fehlende Hinweisschilder, zu lange Speicherung.
- Drittlandübermittlung (Art. 44 ff. DSGVO): Übermittlung ohne Angemessenheitsbeschluss oder Garantien.
- Auftragsverarbeitung (Art. 28 DSGVO): kein oder unvollständiger AVV.
- Cookies und Tracking (§ 25 TDDDG): Tracking ohne Einwilligung, manipulative Banner.
Bekannte Bußgeldverfahren in Deutschland
| Unternehmen | Bußgeld der Behörde | Vorwurf | Weiterer Verlauf |
|---|---|---|---|
| H&M, Servicecenter Nürnberg | 35,3 Mio. Euro (HmbBfDI, 2020) | umfangreiche Erfassung privater Lebensumstände von Beschäftigten | keine Angabe |
| notebooksbilliger.de | 10,4 Mio. Euro (LfD Niedersachsen, 2021) | Videoüberwachung von Beschäftigten ohne Rechtsgrundlage | LG Hannover 2024: 700.000 Euro; OLG Celle, Dezember 2025: 900.000 Euro |
| Deutsche Wohnen SE | 14,5 Mio. Euro (Berliner Datenschutzbeauftragte, 2019) | Archivsystem ohne Löschmöglichkeit | nach Vorlage an den EuGH (C-807/21) setzte das LG Berlin I im Juni 2026 900.000 Euro fest, noch nicht rechtskräftig |
| 1&1 Telecom | 9,55 Mio. Euro (BfDI, 2019) | unzureichende Authentifizierung an der Kundenhotline | LG Bonn 2020: 900.000 Euro |
Die Verfahren zeigen zweierlei: Die Aufsichtsbehörden verhängen hohe Bußgelder, und Gerichte prüfen die Bemessung genau. Die Verstöße selbst wurden in diesen Fällen bestätigt.
Europäische Vergleichswerte
Die höchsten Bußgelder in der EU betrafen große Plattformen, etwa 1,2 Milliarden Euro gegen Meta wegen Datenübermittlungen in die USA (irische Datenschutzbehörde, 2023), 746 Millionen Euro gegen Amazon wegen Werbung ohne wirksame Grundlage (Luxemburg, 2021) und 225 Millionen Euro gegen WhatsApp wegen Verstößen gegen Transparenzpflichten (Irland, 2021). Für kleine und mittlere Unternehmen sind diese Zahlen kein Maßstab. Sie zeigen aber, wie die Umsatzbezogenheit wirkt.
Was kleine und mittlere Unternehmen daraus lernen
- Bußgelder gegen KMU liegen meist deutlich niedriger, sind aber für den einzelnen Betrieb spürbar. Die Aufsichtsbehörden berichten in ihren Tätigkeitsberichten regelmäßig über Fälle aus Handwerk, Praxen, Vereinen und Online-Handel.
- Viele Verfahren beginnen mit einer Beschwerde von Kunden, Beschäftigten oder Nachbarn.
- Wer eine Datenpanne selbst meldet und kooperiert, wird milder behandelt als jemand, dessen Verstoß die Behörde selbst aufdeckt (Art. 83 Abs. 2 lit. f und h DSGVO).
So vermeiden Sie die typischen Fehler
- Rechtsgrundlagen im Verzeichnis von Verarbeitungstätigkeiten festhalten.
- Datenschutzhinweise für Website, Beschäftigte und Bewerber aktuell halten.
- Prozesse für Auskunft, Löschung und Datenpannen einrichten.
- Videoüberwachung und Mitarbeiterkontrollen vorab prüfen lassen.
- AVV mit allen Dienstleistern abschließen.
- Cookie-Banner und eingesetzte Tools regelmäßig kontrollieren.
Wo Ihr Unternehmen angreifbar ist, zeigt ein Datenschutz-Audit.