Ein Bußgeld nach DSGVO ist eine Geldsanktion, die Datenschutzaufsichtsbehörden bei Verstößen gegen die Datenschutz-Grundverordnung verhängen können. Der Rahmen reicht nach Art. 83 DSGVO bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes eines Unternehmens — je nachdem, welcher Betrag höher ist. Die tatsächliche Höhe richtet sich nach Schwere, Dauer und Umständen des Verstoßes.
Was ist ein Bußgeld nach der DSGVO?
Ein Bußgeld nach der Datenschutz-Grundverordnung (DSGVO) ist eine Geldsanktion, die eine Datenschutzaufsichtsbehörde verhängen kann, wenn ein Unternehmen oder eine Behörde gegen datenschutzrechtliche Pflichten verstößt. Die Rechtsgrundlage bildet Art. 83 DSGVO, der die Voraussetzungen, die Bemessungskriterien und die maximalen Rahmen festlegt. Das Bußgeld ist dabei nur eine von mehreren möglichen Maßnahmen — Behörden können auch Verwarnungen aussprechen, Anweisungen erteilen oder eine Verarbeitung ganz untersagen.
Zweck der Sanktion ist es, die Regeln der Verordnung wirksam, verhältnismäßig und abschreckend durchzusetzen; diese drei Kriterien nennt die DSGVO ausdrücklich. Die konkrete Höhe ist keine feste Größe, sondern das Ergebnis einer Einzelfallabwägung, die sich unter anderem am Datenschutz-Niveau des Unternehmens, an der Schwere des Verstoßes und am weltweiten Jahresumsatz orientiert. Dieser Beitrag beschreibt die Systematik in allgemeiner Form und stellt ausdrücklich keine Rechtsberatung dar.
Wie hoch können DSGVO-Bußgelder sein?
Die DSGVO kennt zwei Bußgeldrahmen. Für Verstöße gegen eher organisatorische Pflichten — etwa fehlende Verträge zur Auftragsverarbeitung oder unzureichende technische und organisatorische Maßnahmen — reicht der Rahmen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Für Verstöße gegen Grundprinzipien, Rechtsgrundlagen und Betroffenenrechte liegt er bei bis zu 20 Millionen Euro oder 4 % des Umsatzes. Maßgeblich ist jeweils der höhere der beiden Werte, was bei umsatzstarken Konzernen zu Beträgen weit oberhalb der festen Millionengrenzen führen kann.
Bei der Bemessung berücksichtigen die Behörden Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, die Zahl der betroffenen Personen, ergriffene Abhilfemaßnahmen, frühere Verstöße und die Kooperation mit der Behörde. Der Europäische Datenschutzausschuss hat dafür Leitlinien zur Berechnung von Geldbußen veröffentlicht, die ein mehrstufiges, am Umsatz orientiertes Verfahren beschreiben und die Bußgeldpraxis der Behörden europaweit vereinheitlichen sollen. Den vollständigen Verordnungstext stellt EUR-Lex bereit.
Wichtig ist die Klarstellung, dass die genannten Prozentwerte Obergrenzen sind, keine Regelsätze. Die überwiegende Zahl der verhängten Bußgelder liegt deutlich unter dem theoretischen Maximum; die spektakulären Millionenfälle betreffen meist große Plattformen mit sehr hohen Umsätzen und schwerwiegenden, systematischen Verstößen. Für ein durchschnittliches mittelständisches Unternehmen bewegt sich ein Bußgeld in aller Regel in einer weit niedrigeren Größenordnung — was die Pflicht zur Einhaltung der Regeln freilich nicht mindert.
Warum sind DSGVO-Bußgelder wichtig?
Die hohen Rahmen machen Datenschutz zum Managementthema und nicht mehr zur reinen IT-Frage. Bekannte Verfahren gegen große Konzerne erreichten Bußgelder im dreistelligen Millionen- bis Milliardenbereich; öffentliche Übersichten wie der Bußgeld-Tracker von gdpr.eu dokumentieren die Bandbreite. Aber auch kleine und mittlere Unternehmen werden sanktioniert — häufige Anlässe sind unerlaubte Werbe-E-Mails, fehlende Auskunft, unzureichend gesicherte Systeme, unzulässige Videoüberwachung oder Tracking ohne wirksame Einwilligung.
Neben dem Bußgeld drohen weitere Folgen, die im Einzelfall schwerer wiegen können als die Geldsumme selbst: Anordnungen der Behörde bis hin zum Verarbeitungsverbot, Schadensersatzansprüche Betroffener nach Art. 82 DSGVO und Reputationsschäden durch öffentlich gewordene Verfahren. Gerade für Kanzleien und Steuerberater, die mit besonders sensiblen Mandantendaten arbeiten, kann ein bekannt gewordener Datenschutzverstoß das Vertrauensverhältnis empfindlich treffen und im schlimmsten Fall zum Mandatsverlust führen.
Hinzu kommt ein Abschreckungseffekt, den die Verordnung ausdrücklich beabsichtigt: Weil Bußgelder öffentlich werden können und der Umsatzbezug sie kalkulierbar macht, entwickeln viele Unternehmen ein systematisches Datenschutzmanagement, statt Datenschutz als lästige Formalie zu behandeln. Für das Marketing bedeutet das einen Perspektivwechsel — Datenschutz ist keine nachgelagerte rechtliche Hürde, sondern ein Qualitätsmerkmal, mit dem sich seriöse Anbieter positiv von unseriösen abheben können.
Bußgeldrisiken im Online-Marketing vermeiden
Im Marketing-Alltag entstehen Bußgeldrisiken vor allem an bekannten Stellen: Tracking- und Werbe-Cookies ohne wirksame Einwilligung, E-Mail-Marketing ohne nachweisbares Opt-in, fehlende oder veraltete Datenschutzerklärungen und nicht beantwortete Betroffenenanfragen. Ein technisch korrekt eingerichtetes Cookie-Banner, das Skripte erst nach der Zustimmung lädt, und ein sauberes Double-Opt-in für Newsletter senken das Risiko erheblich, weil sie die häufigsten Beschwerdegründe von vornherein entschärfen.
Sinnvoll ist ein regelmäßiger Basis-Check: Funktioniert das Banner technisch korrekt und werden Nutzerentscheidungen tatsächlich respektiert? Sind alle Tools in der Datenschutzerklärung erfasst? Liegen die nötigen Verträge vor, und gibt es dokumentierte Prozesse für Auskunft, Löschung und Datenpannen? Wer diese Grundlagen dokumentiert pflegt — bei Bedarf begleitet durch einen Datenschutzbeauftragten —, reduziert nicht nur das Bußgeldrisiko, sondern kann bei einer Prüfung auch nachweisen, dass er die Rechenschaftspflicht der DSGVO ernst nimmt.
Ein häufig übersehener Punkt ist das Zusammenspiel mit externen Dienstleistern. Werbe-, Analyse- und Hosting-Anbieter verarbeiten personenbezogene Daten im Auftrag; ohne die entsprechenden Verträge und ohne Prüfung der Datenübermittlung in Drittländer entsteht ein Risiko, das im Kampagnenalltag leicht untergeht. Wer neue Tools einführt, sollte deshalb vorab klären, welche Daten wohin fließen und auf welcher Rechtsgrundlage — und diese Bewertung dokumentieren, damit sie im Prüfungsfall belegbar ist.
Wie läuft ein Bußgeldverfahren ab?
Ein Verfahren beginnt meist mit einem Anlass: einer Beschwerde betroffener Personen, einer gemeldeten Datenpanne oder einer anlasslosen Prüfung der Aufsichtsbehörde. Die Behörde fordert Auskünfte an, prüft den Sachverhalt und gibt dem Unternehmen Gelegenheit zur Stellungnahme, bevor sie entscheidet. Häufig endet ein Verfahren gerade nicht mit einem Bußgeld, sondern mit einer Verwarnung oder einer Auflage, den Missstand zu beheben.
Gegen einen Bußgeldbescheid können Betroffene den Rechtsweg beschreiten; Gerichte haben in mehreren Fällen die Höhe deutlich korrigiert oder Bescheide ganz aufgehoben. Kooperation, schnelle Fehlerbehebung und dokumentierte Schutzmaßnahmen wirken sich in der Regel mildernd aus, während Verschleierung oder wiederholte Verstöße die Sanktion erhöhen. Die Aufsichtspraxis wird in Deutschland zwischen Bund und Ländern über die Datenschutzkonferenz abgestimmt. Konkrete Streitfälle sollten stets anwaltlich begleitet werden.