Die DSGVO kennt zwei Bußgeldstufen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, etwa für Verstöße gegen Dokumentations- und Sicherheitspflichten, und bis zu 20 Millionen Euro oder 4 % des Umsatzes, etwa für Verarbeitung ohne Rechtsgrundlage oder die Missachtung von Betroffenenrechten (Art. 83 Abs. 4 und 5 DSGVO). Es gilt jeweils der höhere Betrag. Die konkrete Höhe bemisst die Aufsichtsbehörde im Einzelfall nach den Kriterien des Art. 83 Abs. 2 DSGVO.
Die zwei Bußgeldstufen
| Stufe | Höchstbetrag | Typische Verstöße |
|---|---|---|
| Art. 83 Abs. 4 DSGVO | 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes | fehlendes Verzeichnis (Art. 30), unzureichende TOM (Art. 32), fehlender AVV (Art. 28), keine Meldung einer Datenpanne (Art. 33), fehlender Datenschutzbeauftragter (Art. 37), keine DSFA (Art. 35) |
| Art. 83 Abs. 5 und 6 DSGVO | 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes | Verstoß gegen die Grundsätze (Art. 5), keine Rechtsgrundlage (Art. 6), unwirksame Einwilligung (Art. 7), sensible Daten ohne Ausnahme (Art. 9), Betroffenenrechte und Informationspflichten (Art. 12 bis 22), unzulässige Drittlandübermittlung (Art. 44 bis 49), Nichtbefolgung einer Anordnung der Aufsichtsbehörde |
Rechenbeispiel: Bei einem Konzernumsatz von 1 Milliarde Euro liegt die Obergrenze der höheren Stufe bei 40 Millionen Euro, weil 4 % mehr sind als 20 Millionen Euro. Bei 100 Millionen Euro Umsatz bleibt es bei 20 Millionen Euro.
Maßgeblich ist der Umsatz des Unternehmens im Sinne des Wettbewerbsrechts, also bei Konzernen der Gruppenumsatz (EG 150 DSGVO). Der EuGH hat bestätigt, dass dieser Unternehmensbegriff sowohl für die Obergrenze als auch für die Bemessung gilt (EuGH, Urteil vom 13.02.2025, C-383/23, ILVA).
Wie wird die Höhe bemessen?
Bußgelder müssen wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO). Art. 83 Abs. 2 DSGVO nennt die Kriterien:
- lit. a: Art, Schwere und Dauer des Verstoßes, Zahl der Betroffenen, Ausmaß des Schadens
- lit. b: Vorsatz oder Fahrlässigkeit
- lit. c: Maßnahmen zur Minderung des Schadens
- lit. d: Grad der Verantwortung unter Berücksichtigung der TOM
- lit. e: frühere Verstöße
- lit. f: Zusammenarbeit mit der Aufsichtsbehörde
- lit. g: betroffene Datenkategorien
- lit. h: wie die Behörde vom Verstoß erfahren hat, etwa durch eigene Meldung
- lit. i: Einhaltung früher angeordneter Maßnahmen
- lit. j: Einhaltung genehmigter Verhaltensregeln oder Zertifizierungen
- lit. k: sonstige Umstände, etwa erlangte finanzielle Vorteile
Die europäischen Aufsichtsbehörden wenden dazu die Leitlinien 04/2022 des Europäischen Datenschutzausschusses an. Sie beschreiben fünf Schritte: Verarbeitungsvorgänge und Verstöße bestimmen, Ausgangsbetrag nach Schwere und Umsatz festlegen, erschwerende und mildernde Umstände berücksichtigen, Höchstbetrag prüfen und abschließend Wirksamkeit, Verhältnismäßigkeit und Abschreckung kontrollieren.
Braucht es ein Verschulden?
Ja. Ein Bußgeld setzt voraus, dass der Verstoß vorsätzlich oder fahrlässig begangen wurde. Es muss aber nicht nachgewiesen werden, welche Leitungsperson gehandelt hat. Dem Unternehmen wird das Verhalten seiner Beschäftigten zugerechnet (EuGH, Urteile vom 05.12.2023, C-807/21, Deutsche Wohnen, und C-683/21).
Das Verfahren in Deutschland
Für Bußgeldverfahren gelten die Vorschriften des Gesetzes über Ordnungswidrigkeiten sinngemäß, die Obergrenzen des OWiG aber nicht (§ 41 BDSG). Gegen einen Bußgeldbescheid kann das Unternehmen Einspruch einlegen. Übersteigt das Bußgeld 100.000 Euro, entscheidet über den Einspruch das Landgericht (§ 41 Abs. 1 Satz 3 BDSG). Gegen Behörden und öffentliche Stellen werden in Deutschland keine Bußgelder verhängt (§ 43 Abs. 3 BDSG).
Weitere Sanktionen neben dem Bußgeld
- Anordnungen der Aufsichtsbehörde: Verwarnung, Anweisung, Beschränkung oder Verbot einer Verarbeitung, Anordnung der Löschung (Art. 58 Abs. 2 DSGVO).
- Schadensersatz an Betroffene (Art. 82 DSGVO).
- Strafrecht: Die gewerbsmäßige unbefugte Übermittlung von Daten einer großen Zahl von Personen wird mit Freiheitsstrafe bis zu drei Jahren bestraft, die unbefugte Verarbeitung gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht mit bis zu zwei Jahren (§ 42 BDSG).
- TDDDG: Wer ohne Einwilligung Cookies setzt oder ausliest, riskiert ein Bußgeld bis 300.000 Euro (§ 28 Abs. 1 Nr. 13, Abs. 2 TDDDG).
- Wettbewerbsrecht: Mitbewerber und Verbände können bestimmte Verstöße abmahnen.
Wie Sie das Risiko senken
Viele Kriterien des Art. 83 Abs. 2 DSGVO können Sie beeinflussen: gute TOM, schnelle Schadensbegrenzung, eine eigene Meldung und offene Zusammenarbeit mit der Behörde wirken mildernd. Die wichtigste Grundlage ist eine vollständige Dokumentation, denn Sie müssen die Einhaltung der DSGVO nachweisen können (Art. 5 Abs. 2 DSGVO).
Wo Ihr Unternehmen angreifbar ist, zeigt ein Datenschutz-Audit. Ist bereits eine Datenpanne passiert, finden Sie die nächsten Schritte unter Datenpanne melden.