Zusammenfassung
Ein DSGVO-Bußgeld ist kein Automatismus, sondern eine behördliche Sanktion im Einzelfall. Die DSGVO kennt zwei zentrale Bußgeldrahmen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes sowie bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes. Maßgeblich ist jeweils der höhere Betrag.
- Die DSGVO kennt zwei zentrale Bußgeldrahmen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes sowie bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes; jeweils gilt der höhere Betrag.
- Welche Obergrenze greift, hängt vor allem davon ab, welche Pflicht verletzt wurde: eher Organisations- und Dokumentationspflichten oder eher Grundprinzipien, Betroffenenrechte und behördliche Anordnungen.
- Die konkrete Bußgeldhöhe ergibt sich nicht aus einem festen Rechner, sondern aus den Kriterien des Art. 83 Abs. 2 DSGVO, etwa Schwere, Dauer, Vorsatz oder Fahrlässigkeit, Zahl der Betroffenen, Datenkategorie und Kooperation mit der Behörde.
- Eine Beschwerde bei der Datenschutzbehörde führt nicht automatisch zu einem Bußgeld. Beschwerdeverfahren, Bußgeldverfahren und Schadenersatz sind rechtlich getrennt zu betrachten.
- Für Selbstständige, kleine Unternehmen und KMU liegen typische Risikofelder oft bei fehlenden technischen und organisatorischen Maßnahmen, mangelhaften Informationspflichten, Problemen bei Betroffenenrechten, unvollständiger Dokumentation und fehlenden AV-Verträgen.
- Wenn Du Bußgelder vermeiden willst, helfen zuerst die Basics: Verzeichnis von Verarbeitungstätigkeiten, TOM, Löschkonzept, AV-Verträge sowie Prozesse für Auskunft und Löschung.
Das Wichtigste zuerst: So hoch können DSGVO-Bußgelder ausfallen
DSGVO-Bußgelder können sehr hoch sein, aber nicht jeder Datenschutzfehler führt automatisch zur Maximalstrafe. Die DSGVO nennt in Art. 83 zwei Hauptstufen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes sowie bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes. Maßgeblich ist jeweils der höhere Betrag. Diese Zahlen sind gesetzliche Obergrenzen, nicht der Standardfall.
Definition: Was ist ein DSGVO-Bußgeld?
Ein DSGVO-Bußgeld ist eine behördliche Geldbuße wegen eines Datenschutzverstoßes nach Art. 83 DSGVO. Es handelt sich um eine aufsichtsrechtliche Sanktion. Davon zu unterscheiden sind die Beschwerde einer betroffenen Person bei der Datenschutzbehörde und der Schadenersatz nach Art. 82 DSGVO. Eine Beschwerde kann ein Verfahren anstoßen, ist aber nicht automatisch gleich ein Bußgeld.
Definitionen: Die wichtigsten Begriffe kurz erklärt
Die folgenden Begriffe helfen bei der Einordnung von Bußgeldrisiken im Datenschutz.
- DSGVO-Bußgeld: Behördliche Geldbuße wegen eines Datenschutzverstoßes nach Art. 83 DSGVO.
- Bußgeldrahmen: Die gesetzliche Obergrenze, innerhalb derer die Behörde die konkrete Höhe festlegt.
- Art. 83 Abs. 4 DSGVO: Bußgeldrahmen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für bestimmte Pflichtverstöße.
- Art. 83 Abs. 5 DSGVO: Bußgeldrahmen bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes für besonders gewichtige Verstöße, etwa gegen Grundsätze oder Betroffenenrechte.
- Art. 83 Abs. 6 DSGVO: Auch die Nichtbefolgung bestimmter behördlicher Anordnungen kann in den höheren Rahmen fallen.
- Bemessungskriterien: Faktoren aus Art. 83 Abs. 2 DSGVO wie Schwere, Dauer, Vorsatz, Fahrlässigkeit, Datenkategorie, Vorverstöße und Kooperation.
- TOM: Technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.
- AV-Vertrag: Vertrag zur Auftragsverarbeitung zwischen Verantwortlichem und Dienstleister.
Welche zwei Bußgeldrahmen nennt Art. 83 DSGVO?
Art. 83 DSGVO unterscheidet vereinfacht zwei Bußgeldrahmen. Für bestimmte Pflichtverstöße gilt ein Rahmen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Für schwerer gewichtete Verstöße gilt ein Rahmen bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes. Auch hier gilt jeweils: der höhere Betrag.
| Bußgeldrahmen | Gesetzliche Obergrenze | Typische Verstoßarten | Praxisbeispiele |
|---|---|---|---|
| Art. 83 Abs. 4 DSGVO | bis zu 10 Mio. Euro oder 2 % Umsatz | eher Organisations-, Sicherheits- und Dokumentationspflichten | fehlende TOM, fehlendes Verzeichnis von Verarbeitungstätigkeiten, fehlende Datenschutz-Folgenabschätzung, Probleme bei AV-Verträgen |
| Art. 83 Abs. 5 und 6 DSGVO | bis zu 20 Mio. Euro oder 4 % Umsatz | eher Grundsätze, Betroffenenrechte, unzulässige Übermittlungen, Missachtung behördlicher Anordnungen | unzulässige Verarbeitung, mangelhafte Transparenz, ignorierte Auskunft oder Löschung, Nichtbefolgung einer Anordnung |
Bis zu 10 Mio. Euro oder 2 % Umsatz: Welche Verstöße fallen typischerweise darunter?
Der niedrigere Bußgeldrahmen betrifft typischerweise Pflichten rund um Organisation, Sicherheit und Nachweisbarkeit. Dazu gehören etwa Verstöße im Zusammenhang mit der Sicherheit der Verarbeitung, Verzeichnissen von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen und bestimmten Pflichten von Verantwortlichen und Auftragsverarbeitern. In der Praxis kann das etwa ein fehlender AV-Vertrag, unzureichende Zugriffsrechte oder aufgeschobene Dokumentation sein.
Bis zu 20 Mio. Euro oder 4 % Umsatz: Welche Verstöße fallen typischerweise darunter?
Der höhere Bußgeldrahmen betrifft typischerweise Verstöße gegen zentrale Datenschutzgrundsätze, Betroffenenrechte und bestimmte besonders gewichtige Pflichten. Dazu zählen etwa Verarbeitung ohne tragfähige Rechtsgrundlage, unzureichende Transparenz, ignorierte Auskunftsersuchen, problematische Drittlandübermittlungen oder die Nichtbefolgung bestimmter behördlicher Anordnungen.
Wie wird die konkrete Bußgeldhöhe bestimmt?
Die gesetzliche Obergrenze ist noch nicht die konkrete Geldbuße. Wie hoch ein DSGVO-Bußgeld tatsächlich ausfällt, hängt von einer Gesamtwürdigung nach Art. 83 Abs. 2 DSGVO ab. Berücksichtigt werden unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Abhilfemaßnahmen, Grad der Verantwortung, frühere Verstöße, Kooperation mit der Behörde, Kategorien der betroffenen Daten und auch, wie die Behörde von dem Verstoß erfahren hat. Einen simplen Standardrechner gibt es daher nicht.
Die wichtigsten Bemessungskriterien nach Art. 83 Abs. 2 DSGVO
Mehrere Faktoren wirken zusammen und bestimmen die Höhe im Einzelfall.
- Schwere und Dauer des Verstoßes: Je gravierender und je länger ein Verstoß andauert, desto problematischer wird es.
- Vorsatz oder Fahrlässigkeit: Absicht wirkt regelmäßig schwerer als Fahrlässigkeit, auch wenn Fahrlässigkeit kein Freifahrtschein ist.
- Zahl der Betroffenen und Art der Daten: Viele Betroffene oder sensible Daten erhöhen das Risiko.
- Abhilfe und Reaktion: Wer schnell reagiert, Lücken schließt und Schäden begrenzt, verbessert seine Position.
- Frühere Verstöße: Bereits bekannte Mängel oder Vorfälle können negativ ins Gewicht fallen.
- Kooperation mit der Aufsichtsbehörde: Transparente und lösungsorientierte Zusammenarbeit wirkt sich meist günstiger aus.
Welche Rolle spielen Unternehmensgröße und Umsatz?
Unternehmensgröße und Umsatz spielen in der Bußgeldpraxis eine Rolle, weil Aufsichtsbehörden die wirtschaftliche Leistungsfähigkeit berücksichtigen können. In Deutschland wird dazu auf ein umsatzbezogenes Berechnungskonzept der Aufsichtsbehörden verwiesen. Das ist jedoch Vollzugspraxis und nicht einfach der nackte Gesetzestext der DSGVO.
Gibt es einen Bußgeldrechner für die DSGVO?
Kurz gesagt: keinen wirklich belastbaren. Art. 83 DSGVO arbeitet mit Obergrenzen und Abwägungskriterien, nicht mit einem öffentlich verbindlichen Standardrechner. Online-Rechner können daher höchstens grob orientieren, ersetzen aber keine juristische Einzelfallbewertung.
Typische DSGVO-Verstöße mit erhöhtem Bußgeldrisiko
Besonders riskant sind in der Praxis oft nicht nur große Skandale, sondern alltägliche Standardfehler in kleinen Unternehmen und bei Selbstständigen.
Risiko 1: Fehlende technische und organisatorische Maßnahmen
Wenn Zugriffe schlecht abgesichert sind, Passwörter schwach bleiben, Berechtigungen zu weit gefasst sind oder Daten unnötig offenliegen, kann das schnell bußgeldrelevant werden. Solche Fälle wiegen besonders schwer, wenn viele Personen betroffen sind, sensible Daten verarbeitet werden oder die Schwachstellen lange bestanden haben.
Woran Du hier denken solltest
- gemeinsame Logins im Team
- fehlende Rollen- und Rechtekonzepte
- unverschlüsselte Geräte oder Datenträger
- unsichere Speicherorte für Kundendaten
- kein klarer Umgang mit mobilen Geräten
Risiko 2: Verstöße gegen Informationspflichten und Datenschutzgrundsätze
Wer personenbezogene Daten ohne tragfähige Rechtsgrundlage verarbeitet oder Betroffene nicht sauber informiert, bewegt sich oft in einem besonders sensiblen Bereich. Transparenz ist deshalb keine bloße Formalität, sondern ein wesentlicher Vertrauensfaktor.
Risiko 3: Probleme bei Auskunft, Löschung und anderen Betroffenenrechten
Versäumnisse bei Betroffenenrechten sind heikel, weil sie direkt die Schutzrechte der betroffenen Personen betreffen. Wenn Auskunftsersuchen untergehen, Löschbegehren nicht sauber geprüft werden oder Fristen intern niemandem klar zugeordnet sind, steigt das Risiko für Beschwerden und aufsichtsrechtliche Maßnahmen.
Risiko 4: Dokumentationsmängel und fehlende Auftragsverarbeitungsverträge
Fehlende Verzeichnisse von Verarbeitungstätigkeiten, lückenhafte Dokumentation oder unsauber geregelte Auftragsverarbeitung sind typische Schwachstellen gerade in kleinen Unternehmen. Im Ernstfall können sie die eigene Position deutlich verschlechtern, weil Nachweise fehlen.
Beschwerde, Bußgeld oder Schadenersatz: Was ist der Unterschied?
Eine Datenschutzbeschwerde, ein DSGVO-Bußgeld und ein Schadenersatzanspruch sind drei verschiedene Dinge. Eine Beschwerde nach Art. 77 DSGVO kann ein Verfahren bei der Aufsichtsbehörde auslösen. Das bedeutet aber nicht automatisch, dass ein Bußgeld verhängt wird. Ein Bußgeld ist die behördliche Sanktion wegen eines Verstoßes nach Art. 83 DSGVO. Ein Schadenersatzanspruch nach Art. 82 DSGVO ist dagegen zivilrechtlich und rechtlich getrennt von der behördlichen Geldbuße.
Wie sieht die Bußgeldpraxis in Deutschland aus?
In Deutschland orientiert sich die Bußgeldpraxis nicht nur am Wortlaut der DSGVO, sondern auch an behördlichen Konzepten und Leitlinien zur Bemessung. Dabei spielt insbesondere die wirtschaftliche Leistungsfähigkeit eines Unternehmens in der Praxis eine Rolle. Vollzugspraxis, Leitlinien und Rechtsprechung können sich jedoch ändern und sollten daher nur als Orientierung verstanden werden.
So können Unternehmen DSGVO-Bußgelder vermeiden
Bußgelder lassen sich nicht allein durch Vorlagen vermeiden. Mit einem pragmatischen und sauberen Fundament lässt sich das Risiko jedoch deutlich senken.
Mini-Checkliste: Die 6 wichtigsten Prioritäten
- Verzeichnis von Verarbeitungstätigkeiten pflegen: Halte fest, welche personenbezogenen Daten Du verarbeitest, zu welchem Zweck und auf welcher Grundlage.
- TOM prüfen und aktualisieren: Sorge für angemessene technische und organisatorische Maßnahmen, zum Beispiel bei Zugriffen, Geräten, Speicherorten und Berechtigungen.
- AV-Verträge sauber abschließen: Prüfe alle Dienstleister, die für Dich personenbezogene Daten verarbeiten.
- Löschkonzept festlegen: Daten sollten nicht ewig liegenbleiben. Definiere, was wann gelöscht wird.
- Prozesse für Auskunft und Löschung schaffen: Kläre intern, wer Anfragen bearbeitet und wie Fristen eingehalten werden.
- Vorfälle ernst nehmen und kooperativ reagieren: Wenn etwas passiert, zählen Tempo, Transparenz und nachvollziehbare Abhilfe.
Prioritäten für Selbstständige, kleine Unternehmen und KMU
Wer mit wenig Zeit und kleinem Team arbeitet, braucht keinen Datenschutz-Perfektionismus, sondern Prioritäten. Entscheidend sind klare Antworten darauf, welche personenbezogenen Daten verarbeitet werden, warum dies zulässig ist, welche Tools und Dienstleister beteiligt sind, wie die Daten abgesichert werden und wer auf Auskunfts- oder Löschanfragen reagiert.
- Welche personenbezogenen Daten verarbeiten wir überhaupt?
- Warum dürfen wir das?
- Welche Tools und Dienstleister sind beteiligt?
- Wie sichern wir die Daten praktisch ab?
- Wer reagiert, wenn jemand Auskunft oder Löschung verlangt?
Nächster sinnvoller Schritt
Wenn Du selbstständig bist oder ein kleines Unternehmen führst, lohnt sich ein ehrlicher Datenschutz-Quick-Check oft mehr als jede Panik-Recherche. Schon ein sauberer Blick auf TOM, AV-Verträge, Verzeichnis, Löschregeln und Betroffenenprozesse kann helfen, echte Lücken zu erkennen, bevor sie teuer werden.
Deine Frage an Dich
Wo ist in Deinem Business gerade die größte Datenschutz-Baustelle: bei Tools, Prozessen, Dokumentation oder bei der Frage, wer sich überhaupt zuständig fühlt?
