Bußgelder DSGVO

Definition: Bußgelder nach der Datenschutz-Grundverordnung (DSGVO) sind Verwaltungssanktionen, die von nationalen Datenschutzaufsichtsbehörden gegen natürliche oder juristische Personen verhängt werden können, die gegen Bestimmungen der DSGVO verstoßen. Art. 83 DSGVO sieht ein zweistufiges Bußgeldrahmen vor: Für schwerwiegendere Verstöße – insbesondere Verletzungen der Grundsätze der Verarbeitung, Rechtsgrundlagen, Betroffenenrechte, Übermittlungen in Drittländer und Anordnungen der Aufsichtsbehörden – können Bußgelder von bis zu 20 Millionen Euro oder, bei Unternehmen, bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, wobei der höhere der beiden Beträge gilt. Für weniger schwerwiegende Verstöße – wie fehlende technisch-organisatorische Maßnahmen, unterlassene Meldepflichten oder fehlende AVV – gilt ein Rahmen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Die Behörden haben dabei einen breiten Ermessensspielraum und müssen die Bußgelder im Einzelfall als wirksam, verhältnismäßig und abschreckend gestalten.

Erläuterung

Seit dem Geltungsbeginn der DSGVO im Mai 2018 haben die europäischen Datenschutzbehörden Bußgelder in Milliardenhöhe verhängt. Das DSGVO-Bußgeldsystem unterscheidet sich fundamental vom früheren Regime: Während das alte Bundesdatenschutzgesetz Bußgelder von maximal 300.000 Euro vorsah, ermöglicht die DSGVO nun empfindliche Strafen, die selbst für große Konzerne wirtschaftlich schmerzhaft sind.

Die bekanntesten DSGVO-Bußgelder umfassen: Meta Platforms Ireland (1,2 Milliarden Euro durch die irische DPC 2023 wegen Datentransfers in die USA), Amazon (746 Millionen Euro durch die luxemburgische Datenschutzbehörde CNPD 2021 wegen unzulässiger Werbeaussteuerung), TikTok (345 Millionen Euro durch die irische DPC 2023 wegen unzureichenden Datenschutzes für Minderjährige), Instagram/Meta (405 Millionen Euro durch die irische DPC 2022 wegen Datenschutzverletzungen bei Jugendlichen), WhatsApp/Meta (225 Millionen Euro durch die irische DPC 2021 wegen mangelnder Transparenz) sowie Google/Alphabet (50 Millionen Euro durch die französische CNIL 2019 wegen unzureichender Transparenz und fehlender Einwilligungsgrundlage für personalisierte Werbung).

Auch kleine und mittelständische Unternehmen sind von DSGVO-Bußgeldern betroffen – die Größenordnungen sind hier naturgemäß kleiner, aber die Relation zum Jahresumsatz kann erheblich sein. Deutsche Aufsichtsbehörden haben zum Beispiel Bußgelder gegen mittelständische Unternehmen wegen fehlender AVV, unzulässigen E-Mail-Marketings und mangelhafter Cookie-Banner verhängt.

Neben Bußgeldern stehen den Aufsichtsbehörden weitere Abhilfemaßnahmen zur Verfügung: Verwarnungen, Anweisungen zur Einhaltung der DSGVO, vorübergehende oder dauerhafte Verbote der Datenverarbeitung sowie Anordnungen zur Benachrichtigung betroffener Personen. In schwerwiegenden Fällen kann auch die Untersagung bestimmter Verarbeitungen (z. B. der Übermittlung in bestimmte Drittländer) ohne Verhängung eines Bußgeldes eine massive wirtschaftliche Konsequenz darstellen.

Bemessungskriterien nach Art. 83 Abs. 2 DSGVO

Art, Schwere und Dauer des Verstoßes: Wie gravierend war der Verstoß? Wie viele Personen waren betroffen? War er einmalig oder dauerhaft?
Vorsätzlichkeit oder Fahrlässigkeit: Wurde der Verstoß absichtlich begangen oder war er auf Nachlässigkeit zurückzuführen?
Ergriffene Maßnahmen zur Minderung des Schadens: Hat das Unternehmen nach Bekanntwerden des Verstoßes schnell gehandelt, um den Schaden für Betroffene zu begrenzen?
Grad der Verantwortung: Hat das Unternehmen technische und organisatorische Maßnahmen nach dem Stand der Technik umgesetzt?
Frühere Verstöße: Hat das Unternehmen in der Vergangenheit bereits gegen Datenschutzvorschriften verstoßen?
Kooperation mit der Aufsichtsbehörde: Hat das Unternehmen transparent kooperiert, um den Verstoß zu beheben?
Art der betroffenen Datenkategorien: Waren besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten, Kinderdaten) betroffen?
Art und Weise, wie der Verstoß bekannt wurde: Hat das Unternehmen den Verstoß selbst gemeldet oder wurde er durch Dritte aufgedeckt?
Erzielter wirtschaftlicher Vorteil: Hat das Unternehmen durch den Verstoß einen wirtschaftlichen Vorteil erlangt?

Typische Verstöße im Online Marketing

Cookie-Banner ohne echte Wahlmöglichkeit: Fehlende Ablehnen-Option, vorausgefüllte Einwilligungen (Dark Patterns) oder fehlende Granularität.
Unzulässiges E-Mail-Marketing: Newsletter-Versand ohne gültige Einwilligung oder ohne Opt-out-Möglichkeit.
Fehlende Auftragsverarbeitungsverträge: Keine AVV mit Tool-Anbietern, die personenbezogene Daten verarbeiten.
Unzureichende Datenschutzerklärung: Fehlende Informationen über Verarbeitungszwecke, Rechtsgrundlagen oder Empfänger.
Nicht beantwortete Betroffenenanfragen: Ignorieren oder verspätetes Beantworten von Auskunfts- oder Löschanfragen.
Unzulässige Datentransfers in Drittländer: Nutzung von US-Diensten ohne geeigneten Transfermechanismus (z. B. Standardvertragsklauseln).

Praxistipp: Führe regelmäßige Datenschutz-Audits durch, um Compliance-Lücken frühzeitig zu erkennen und zu schließen, bevor eine Beschwerde oder Behördenprüfung sie aufdeckt. Falls ein Verstoß doch einmal passiert: Informiere sofort deinen Datenschutzbeauftragten, dokumentiere den Vorfall lückenlos und kooperiere proaktiv mit der Aufsichtsbehörde – dies wird bei der Bußgeldbemessung strafmildernd berücksichtigt. Die teuerste Art, DSGVO-Konformität zu erreichen, ist ein Bußgeldverfahren; investiere stattdessen in präventive Compliance-Maßnahmen.