DSGVO-Bußgelder: Reale Beispiele und wie Sie sie vermeiden (2026)

Jedes DSGVO-Bußgeld beginnt auf dieselbe Weise: eine Lücke zwischen dem, was die Verordnung verlangt, und dem, was ein Unternehmen tatsächlich tut. Für Meta war diese Lücke ein Jahrzehnt unzulässiger Datenübermittlungen. Für eine kleine ungarische Immobilienagentur war es eine ohne dokumentierten Einwilligungsnachweis gesendete E-Mail. Die Aufsichtsbehörden unterscheiden nicht nach Unternehmensgröße. Sie unterscheiden nach Verstoßschwere.

Wie DSGVO-Bußgelder funktionieren: Das zweistufige System

DSGVO-Artikel 83 legt zwei separate Bußgeldstufen fest:

Stufe 1 — bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes:

Diese Stufe umfasst administrative und verfahrenstechnische Verstöße. Beispiele sind das Versäumnis, Artikel-30-Aufzeichnungen zu führen, keine angemessenen technischen Sicherheitsmaßnahmen zu implementieren, eine Datenpanne nicht innerhalb des 72-Stunden-Fensters zu melden, keinen Datenschutzbeauftragten zu ernennen, wenn erforderlich, und Verstöße gegen die Regeln zu Auftragsverarbeitungsvereinbarungen.

Stufe 2 — bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes:

Diese Stufe umfasst grundlegende Verstöße gegen DSGVO-Grundsätze. Beispiele sind die Verarbeitung von Daten ohne gültige Rechtsgrundlage, die Verletzung von Betroffenenrechten (Auskunft, Löschung, Portabilität) und die unzulässige Übermittlung personenbezogener Daten in Drittländer.

Reale DSGVO-Bußgelder: 10 Fälle, die die Durchsetzung definieren

Die 7 häufigsten Verstöße, die zu DSGVO-Bußgeldern führen

1. Unzulässige internationale Datenübermittlungen

Die Übermittlung personenbezogener Daten außerhalb der EU/des EWR erfordert einen gültigen Mechanismus nach Kapitel V der DSGVO. Nach dem Schrems-II-Urteil 2020 wurden viele US-Datenübermittlungen über Nacht unzulässig. Standardvertragsklauseln sind weiterhin gültig, müssen aber durch eine Datenschutz-Folgenabschätzung für Drittlandübermittlungen ergänzt werden.

2. Ungültige Cookie-Einwilligung

Ein Cookie-Banner ist nicht dasselbe wie eine gültige Cookie-Einwilligung. Die Einwilligung muss freiwillig, spezifisch, informiert, eindeutig und so einfach zu widerrufen wie zu erteilen sein. Vorangekreuzte Kästchen und die Erschwerung der „Ablehnen"-Option sind ungültig.

3. Unzulässige Marketing-E-Mails

Das Versenden von Werbe-E-Mails erfordert entweder eine vorherige Einwilligung oder ein nachweisbares berechtigtes Interesse. Der Kauf von E-Mail-Listen und deren Benutzung ohne Einwilligung ist einer der schnellsten Wege zu einer DSGVO-Beschwerde.

4. Unzureichende Transparenz — Fehlende oder unvollständige Datenschutzerklärungen

Artikel 13 verlangt spezifische Offenlegungen, wann immer personenbezogene Daten erhoben werden. Eine Website mit einem Kontaktformular und keiner Datenschutzerklärung ist ein Verstoß.

5. Unzulässige Verarbeitung von Mitarbeiterdaten

H&Ms Bußgeld in Höhe von 35,3 Millionen Euro zeigt, was passiert, wenn HR-Praktiken in den Bereich DSGVO-Verstoß übergehen. Die Speicherung übermäßiger persönlicher Informationen über Mitarbeiter — Gesundheitszustand, familiäre Situationen, religiöse Überzeugungen — ohne gültige Rechtsgrundlage ist ein schwerwiegender Verstoß.

6. Unzureichende technische Sicherheitsmaßnahmen

Artikel 32 verlangt „angemessene technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten. British Airways erlitt eine Panne durch ein kompromittiertes Drittanbieter-Skript.

7. Ignorieren von Betroffenenanfragen

Wenn eine Person eine Auskunftsanfrage, Löschanfrage oder Datenportabilitätsanfrage stellt, haben Sie 30 Tage Zeit zu antworten. Das Ignorieren oder Verzögern dieser Anfragen ohne Begründung ist ein DSGVO-Verstoß.

Faktoren, die Bußgelder erhöhen oder verringern

Faktoren, die ein Bußgeld erhöhen:

• Der Verstoß ist vorsätzlich, nicht fahrlässig
• Der Verantwortliche hat keine Maßnahmen ergriffen, um den Schaden zu begrenzen
• Hohe Anzahl betroffener Personen
• Besondere Datenkategorien betroffen (Gesundheit, biometrisch, Kinderdaten)
• Der Verantwortliche hat frühere Verstöße oder Durchsetzungshistorie

Faktoren, die ein Bußgeld reduzieren:

• Der Verstoß war fahrlässig statt vorsätzlich
• Der Verantwortliche hat die Aufsichtsbehörde proaktiv informiert
• Der Verantwortliche hat vollständig mit der Untersuchung kooperiert
• Wenige Personen waren betroffen, und der Schaden war minimal
• Der Verantwortliche hat sofortige Abhilfemaßnahmen ergriffen

Reale DSGVO-Bußgelder für Kleinunternehmen

• Portugiesische Arztpraxis — 150.000 Euro für die Erlaubnis, unbefugtem Verwaltungspersonal Zugang zu Patientenakten im klinischen System zu geben
• Dänisches Taxiunternehmen — 160.000 Euro für die Aufbewahrung von Kundendaten — insbesondere Fahrgastnamen und Fahrtenaufzeichnungen — für 5 Jahre, obwohl die angegebene Aufbewahrungsfrist 2 Jahre betrug
• Rumänische Lebensmittel-Website — 15.000 Euro für den Betrieb einer Website mit Google Analytics ohne gültige Cookie-Einwilligung und mit unzureichender Datenschutzerklärung
• Deutsches Bauunternehmen — 5.000 Euro für die verspätete Beantwortung einer Auskunftsanfrage
• Österreichische Hotelkette — 18.000 Euro für den Betrieb von CCTV-Kameras ohne ordnungsgemäße Kennzeichnung

Wie Sie sich schützen: 10-Punkte-DSGVO-Compliance-Checkliste

1. Veröffentlichen Sie eine konforme Datenschutzerklärung mit allen neun Artikel-13-Elementen
2. Prüfen Sie Ihr Cookie-Setup und implementieren Sie eine Einwilligungsverwaltungsplattform, die das Akzeptieren und Ablehnen von Cookies gleich einfach macht
3. Überprüfen Sie Ihre E-Mail-Marketing-Liste und stellen Sie sicher, dass jeder Abonnent einen dokumentierten Einwilligungsnachweis hat
4. Erfassen Sie Ihre internationalen Datenübermittlungen — identifizieren Sie jeden Drittanbieter-Dienst, der EU-Personendaten in einem Nicht-Angemessenheitsland verarbeitet
5. Unterzeichnen Sie Auftragsverarbeitungsverträge mit jedem Auftragsverarbeiter
6. Erstellen Sie ein Verfahren für Auskunftsanfragen — legen Sie eine E-Mail-Adresse fest, setzen Sie eine Kalendererinnerung für das 30-Tage-Antwortfenster
7. Implementieren Sie einen Datenpannen-Reaktionsplan — stellen Sie fest, wer für die Bewertung einer Panne verantwortlich ist, wann die Aufsichtsbehörde benachrichtigt werden muss (innerhalb von 72 Stunden)
8. Überprüfen Sie Mitarbeiterdatenpraktiken — stellen Sie sicher, dass HR-Akten nur Daten enthalten, die eine dokumentierte Rechtsgrundlage haben
9. Legen Sie Aufbewahrungsfristen für jede Datenkategorie fest und implementieren Sie einen Prozess zum tatsächlichen Löschen von Daten
10. Führen Sie eine jährliche Überprüfung durch — DSGVO-Compliance ist kein einmaliges Projekt

Quellen: EU-Verordnung 2016/679 (DSGVO); EDPB-Bußgeld-Tracker; Irische DPC-Entscheidung im Meta-Fall (Mai 2023); Luxemburgische CNPD-Entscheidung im Amazon-Fall (Juli 2021).