Nicht jeder Verstoß führt zum Bußgeld. Aber jeder undokumentierte Prozess macht die Verteidigung teurer.
Zuletzt fachlich geprüft am 25. Juli 2026 · Rechtsstand 2026
Nach Art. 83 DSGVO drohen Geldbußen bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist; für leichtere Verstöße gilt die Stufe von 10 Mio. Euro bzw. 2 %. Die Bemessung folgt einem Katalog von Kriterien (Art, Schwere, Dauer, Vorsatz, Abhilfe, Kooperation). Daneben können Betroffene nach Art. 82 DSGVO materiellen und immateriellen Schadensersatz verlangen. Der EuGH hat klargestellt: Ein Verstoß allein genügt nicht – es bedarf eines konkreten Schadens, eine Erheblichkeitsschwelle gibt es dafür aber nicht.
Bußgelder: Rahmen und Bemessung
Die DSGVO kennt zwei Bußgeldstufen. Bis 10 Mio. Euro oder 2 % des Jahresumsatzes werden vor allem organisatorische Verstöße sanktioniert – fehlender AV-Vertrag, kein Verarbeitungsverzeichnis, unterlassene Meldung einer Datenschutzverletzung. Bis 20 Mio. Euro oder 4 % reicht der Rahmen bei Verstößen gegen Grundsätze, Rechtsgrundlagen, Betroffenenrechte und Drittlandtransfers.
| Kriterium | Wirkung |
|---|---|
| Art, Schwere, Dauer | Wie viele Betroffene, wie sensibel die Daten, wie lange der Zustand. |
| Vorsatz oder Fahrlässigkeit | Bewusstes Wegsehen wirkt deutlich strafschärfend. |
| Maßnahmen zur Minderung | Schnelle Abhilfe und Information der Betroffenen mindern. |
| Technische Vorkehrungen | Verschlüsselung, Berechtigungskonzepte, Löschkonzept – dokumentiert. |
| Kooperation mit der Aufsicht | Transparenz und Mitwirkung wirken mildernd. |
| Frühere Verstöße | Wiederholung verschiebt den Rahmen nach oben. |
Gegen Finanzbehörden werden in Deutschland regelmäßig keine Bußgelder verhängt – hier bleiben Beanstandung durch die Aufsicht, Amtshaftung und Art. 82 DSGVO. Für Unternehmen und Kanzleien gilt der volle Rahmen.
Schadensersatz: die EuGH-Linie
Art. 82 DSGVO gibt jeder Person, der wegen eines Verstoßes ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Ersatz. Der EuGH hat den Anspruch in mehreren Entscheidungen konturiert:
Erstens: Der Verstoß allein begründet keinen Anspruch – erforderlich ist ein Schaden. Zweitens: Es gibt keine Erheblichkeitsschwelle; auch ein geringer Schaden ist ersatzfähig. Drittens: Der Ersatz hat Ausgleichsfunktion, keine Straffunktion – Strafschadensersatz kennt die DSGVO nicht. Viertens: Der bloße befürchtete Kontrollverlust kann genügen, wenn er nachvollziehbar dargelegt wird.
Praktisch bewegen sich zugesprochene Beträge bei einfachen Verstößen häufig im niedrigen dreistelligen bis vierstelligen Bereich – die Masse macht das Risiko, etwa bei einem Datenleck mit vielen Betroffenen.
Die Meldepflicht bei einer Datenpanne
Bei einer Verletzung des Schutzes personenbezogener Daten musst du die Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden informieren (Art. 33 DSGVO), sofern kein Risiko ausgeschlossen ist. Bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen (Art. 34 DSGVO).
Die versäumte Meldung ist selbst ein bußgeldbewehrter Verstoß – und wirkt in der Bemessung des Hauptverstoßes strafschärfend. Umgekehrt zählt eine schnelle, vollständige Meldung zu den wirksamsten mildernden Umständen.
Führe deshalb ein internes Vorfallregister: Zeitpunkt der Kenntnis, betroffene Daten, Maßnahmen, Entscheidung über die Meldung samt Begründung. Auch die Entscheidung, nicht zu melden, gehört dokumentiert.
Verteidigungslinien
Vier Ebenen, die im Verfahren tatsächlich tragen: 1. Rechtsgrundlage – war die Verarbeitung erlaubt (Vertrag, rechtliche Verpflichtung, berechtigtes Interesse)? 2. Organisation – existieren Verzeichnis, AV-Verträge, Löschkonzept, Schulungen, und sind sie datiert?
3. Kausalität und Schaden – ist der behauptete Schaden konkret und auf den Verstoß zurückzuführen? 4. Verhältnismäßigkeit – passt die Sanktionshöhe zu Schwere, Umsatz und Abhilfe?
Wer angeschrieben wird, sollte Fristen ernst nehmen und vor der Stellungnahme die eigene Dokumentation zusammenstellen. Für die eigene Beschwerde gegen einen Verantwortlichen nutzt du unser Muster für die Beschwerde bei der Aufsichtsbehörde.
Deine Checkliste
Hak ab, was du erledigt hast – dein Fortschritt wird automatisch gespeichert.
Haftungsrisiko senken
0 von 7 erledigt- Verarbeitungsverzeichnis führenAktuell, datiert, je Verarbeitung mit Rechtsgrundlage.
- AV-Verträge sammelnFür jeden Dienstleister, inklusive KI-Anbieter.
- Löschkonzept dokumentierenFristen, Auslöser, Protokolle.
- Vorfallregister anlegenJede Panne mit Entscheidung und Begründung.
- 72-Stunden-Prozess definierenWer meldet, wer entscheidet, wer informiert.
- Schulungen nachweisenDatenschutz und KI-Kompetenz, mit Teilnehmerliste.
- Technische Maßnahmen belegenVerschlüsselung, Rollen, Protokollierung.
Häufige Fragen (FAQ)
Wie hoch fallen Bußgelder in der Praxis aus?
Der Rahmen reicht bis 20 Mio. Euro oder 4 % des Jahresumsatzes, die Praxis liegt bei kleinen und mittleren Unternehmen meist deutlich darunter. Entscheidend sind Schwere, Dauer, Zahl der Betroffenen und die nachgewiesene Organisation.
Bekomme ich Schadensersatz allein wegen eines Verstoßes?
Nein. Nach der Rechtsprechung des EuGH ist ein konkreter materieller oder immaterieller Schaden darzulegen. Eine Mindestschwelle für dessen Erheblichkeit gibt es aber nicht.
Haftet der Geschäftsführer persönlich?
Bußgelder richten sich regelmäßig gegen das Unternehmen. Eine persönliche Haftung kommt bei eigenen Pflichtverletzungen in Betracht, etwa wenn Organisationspflichten bewusst vernachlässigt wurden.
Muss ich jede Datenpanne melden?
Nur wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen nicht ausgeschlossen ist. Die Bewertung und die Entscheidung – auch die gegen eine Meldung – müssen dokumentiert werden.
Kann ich gegen ein Bußgeld vorgehen?
Ja. Gegen den Bußgeldbescheid ist der Einspruch möglich; das Verfahren geht dann an das zuständige Gericht. Erfahrungsgemäß lohnt zuvor eine sorgfältige Stellungnahme im Anhörungsverfahren.
Quellen & Rechtsgrundlagen
Alle Angaben wurden am 25. Juli 2026 anhand der folgenden Quellen geprüft. Rechtsstand: 2026.
- Art. 83 DSGVO – Allgemeine Bedingungen für die Verhängung von Geldbußen.
- Art. 82 DSGVO – Haftung und Recht auf Schadenersatz.
- EuGH, Urteile zum immateriellen Schadensersatz nach Art. 82 DSGVO (u. a. C-300/21, C-340/21, C-456/22).
Wir übersetzen Steuer- und Datenschutzrecht in verständliche Sprache und prüfen jede Aussage gegen die Primärquelle. Dieser Beitrag ersetzt keine individuelle Beratung durch Steuerberater, Rechtsanwalt oder Lohnsteuerhilfeverein.