Ein Bußgeld nach DSGVO ist eine Geldsanktion, die Datenschutzaufsichtsbehörden bei Verstößen gegen die Datenschutz-Grundverordnung verhängen können. Der Rahmen reicht nach Art. 83 DSGVO bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes eines Unternehmens — je nachdem, welcher Betrag höher ist. Die tatsächliche Höhe richtet sich nach Schwere, Dauer und Umständen des Verstoßes.
Wie funktionieren Bußgelder nach der DSGVO?
Die DSGVO kennt zwei Bußgeldrahmen: Für Verstöße gegen organisatorische Pflichten — etwa fehlende Auftragsverarbeitungsverträge oder unzureichende Sicherheitsmaßnahmen — bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Für Verstöße gegen Grundprinzipien, Rechtsgrundlagen und Betroffenenrechte bis zu 20 Millionen Euro oder 4 % des Umsatzes. Maßgeblich ist jeweils der höhere Wert.
Bei der Bemessung berücksichtigen die Behörden unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, ergriffene Abhilfemaßnahmen, frühere Verstöße und die Kooperation mit der Behörde. Der Europäische Datenschutzausschuss hat dafür Leitlinien zur Bußgeldberechnung veröffentlicht, die sich am Umsatz des Unternehmens orientieren.
Warum sind DSGVO-Bußgelder wichtig?
Die hohen Rahmen machen Datenschutz zum Managementthema: Bekannte Verfahren gegen große Konzerne erreichten Bußgelder im dreistelligen Millionen- bis Milliardenbereich. Aber auch kleine und mittlere Unternehmen werden sanktioniert — häufige Anlässe sind unerlaubte Werbe-E-Mails, fehlende Auskunft, unzureichend gesicherte Systeme, unzulässige Videoüberwachung oder Tracking ohne Einwilligung.
Neben dem Bußgeld drohen weitere Folgen: Anordnungen der Behörde (etwa ein Verarbeitungsverbot), Schadensersatzansprüche Betroffener nach Art. 82 DSGVO und Reputationsschäden. Für Kanzleien und Steuerberater kann ein öffentlich gewordener Datenschutzverstoß das Mandantenvertrauen empfindlich treffen.
Bußgeldrisiken im Online-Marketing vermeiden
Im Marketing-Alltag entstehen Bußgeldrisiken vor allem an bekannten Stellen: Tracking- und Werbe-Cookies ohne wirksame Einwilligung, E-Mail-Werbung ohne nachweisbares Opt-in, fehlende oder veraltete Datenschutzerklärungen, ungeprüfte Drittlandtransfers und nicht beantwortete Betroffenenanfragen. Diese Punkte lassen sich mit überschaubarem Aufwand absichern.
Sinnvoll ist ein regelmäßiger Basis-Check: Funktioniert das Cookie-Banner technisch korrekt? Sind alle Tools in der Datenschutzerklärung erfasst? Liegen AVVs vor? Gibt es Prozesse für Auskunft, Löschung und Datenpannen? Wer diese Grundlagen dokumentiert pflegt, reduziert nicht nur das Bußgeldrisiko, sondern steht auch bei Beschwerden einzelner Nutzer deutlich besser da. Konkrete Streitfälle sollten anwaltlich begleitet werden.