Wie hoch ein DSGVO-Bußgeld ausfällt

Welche zwei Bußgeldrahmen Art. 83 DSGVO kennt

Die DSGVO arbeitet mit zwei Obergrenzen, und welche gilt, hängt allein davon ab, gegen welche Vorschrift verstoßen wurde. Der niedrigere Rahmen aus Art. 83 Abs. 4 reicht bis 10 Millionen Euro oder, bei einem Unternehmen, bis 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs. Der höhere Rahmen aus Art. 83 Abs. 5 und 6 reicht bis 20 Millionen Euro oder 4 Prozent. In beiden Fällen gilt der jeweils höhere der beiden Beträge.

Die Zuordnung folgt einer klaren Logik: Organisationspflichten liegen im niedrigeren Rahmen, die Grundrechte der betroffenen Person im höheren. Wer kein Verarbeitungsverzeichnis führt, fällt unter Abs. 4. Wer ohne Rechtsgrundlage verarbeitet oder ein Auskunftsverlangen ignoriert, fällt unter Abs. 5.

Zwei Feinheiten entscheiden über die Rechenbasis. Erstens ist mit Unternehmen nicht die einzelne juristische Person gemeint, sondern der Unternehmensbegriff des europäischen Wettbewerbsrechts, also die wirtschaftliche Einheit. Bei einem Konzern kann deshalb der Konzernumsatz die Bezugsgröße sein, nicht der Umsatz der handelnden Tochter. Zweitens ordnet Art. 83 Abs. 3 an, dass bei mehreren Verstößen im Rahmen gleicher oder verbundener Verarbeitungsvorgänge der Gesamtbetrag den Betrag für den schwerwiegendsten Verstoß nicht übersteigt.

Oberer Bußgeldrahmen nach Art. 83 Abs. 5 DSGVO

20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes

Art. 83 Abs. 5 DSGVO, Stand 20. September 2026

Geldbuße des Hamburgischen Beauftragten für Datenschutz gegen H&M

35.258.707,95 Euro

Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit, Pressemitteilung, Stand 1. Oktober 2020

Geldbußen im Zuständigkeitsbereich des BfDI im Berichtsjahr 2025

45.177.500 Euro

Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, 34. Tätigkeitsbericht, Stand 31. Dezember 2025

Wovon die Höhe im Einzelfall abhängt

Der Rahmen ist die Obergrenze, nicht die Erwartung. Art. 83 Abs. 1 verlangt, dass jede Geldbuße im Einzelfall wirksam, verhältnismäßig und abschreckend ist. Wie die Behörde dorthin kommt, steht in Art. 83 Abs. 2 mit elf Kriterien, die sie gebührend berücksichtigen muss. Sie lassen sich in drei Gruppen ordnen: die Tat selbst, das Verhalten davor und das Verhalten danach.

• Die Tat: Art, Schwere und Dauer des Verstoßes, Umfang und Zweck der Verarbeitung, Zahl der betroffenen Personen und Ausmaß des erlittenen Schadens (Buchstabe a).
• Die innere Seite: ob vorsätzlich oder fahrlässig gehandelt wurde (Buchstabe b) und welchen Grad an Verantwortung die technischen und organisatorischen Maßnahmen nach Art. 25 und 32 erkennen lassen (Buchstabe d).
• Die Datenkategorien: welche Arten personenbezogener Daten betroffen sind (Buchstabe g). Gesundheitsdaten wiegen schwerer als Bestelldaten.
• Die Vorgeschichte: frühere einschlägige Verstöße (Buchstabe e) und die Einhaltung früher angeordneter Maßnahmen (Buchstabe i).
• Das Verhalten danach: Maßnahmen zur Minderung des Schadens (Buchstabe c), der Umfang der Zusammenarbeit mit der Aufsichtsbehörde (Buchstabe f) und die Art und Weise, wie der Verstoß bekannt wurde, insbesondere ob das Unternehmen ihn selbst mitgeteilt hat (Buchstabe h).
• Die Selbstbindung: die Einhaltung genehmigter Verhaltensregeln nach Art. 40 oder eines Zertifizierungsverfahrens nach Art. 42 (Buchstabe j).
• Der wirtschaftliche Vorteil: unmittelbar oder mittelbar erlangte finanzielle Vorteile oder vermiedene Verluste (Buchstabe k).

Buchstabe h ist der Grund, warum die Meldung einer Datenpanne nach Art. 33 DSGVO trotz ihres unangenehmen Charakters lohnt. Ein Verstoß, den die Behörde aus einer Beschwerde oder aus der Presse erfährt, steht am Anfang schlechter da als einer, den das Unternehmen binnen 72 Stunden selbst gemeldet hat. Buchstabe f wirkt in dieselbe Richtung: Wer Unterlagen zügig liefert, verbessert seine Position bei der Bemessung.

Was deutsche Gerichte aus den größten Bußgeldern gemacht haben

Die Schlagzeilen nennen den Bescheid, nicht das Ergebnis. Zwischen der Geldbuße, die eine Aufsichtsbehörde festsetzt, und dem Betrag, der am Ende gezahlt wird, liegt in Deutschland regelmäßig ein Gerichtsverfahren. Wer die Größenordnung eines Risikos abschätzen will, sollte beide Zahlen kennen.

Die beiden Gerichtsentscheidungen zeigen dasselbe Muster. Das Landgericht Bonn bestätigte 2020 den Verstoß der 1&1 Telecom GmbH gegen Art. 32 DSGVO, weil Anrufer im Kundenservice allein mit Name und Geburtsdatum umfangreiche Auskünfte erhielten, gab bei der Bemessung aber den tatbezogenen Kriterien Vorrang vor einer reinen Orientierung am Umsatz. Das Landgericht Berlin I bestätigte 2026 ebenfalls den Verstoß der Deutsche Wohnen SE und kürzte die Geldbuße um rund 94 Prozent.

Daraus folgt keine Entwarnung. Beide Unternehmen haben den Verstoß dem Grunde nach nicht abwenden können, und beide Verfahren liefen über Jahre. Die Deutsche Wohnen SE erhielt ihren Bescheid im Oktober 2019 und das Urteil im Juni 2026, also nach mehr als sechs Jahren. Die Kosten dieses Zeitraums stehen in keiner Bußgeldtabelle.

Warum ein Bußgeld Verschulden voraussetzt

Lange war in Deutschland umstritten, ob eine Geldbuße gegen ein Unternehmen voraussetzt, dass der Verstoß zuerst einer bestimmten Leitungsperson zugerechnet wird. Das folgte aus § 30 des Gesetzes über Ordnungswidrigkeiten, auf das § 41 BDSG für DSGVO-Verstöße verweist. Der Gerichtshof der Europäischen Union hat diese Frage im Urteil der Großen Kammer vom 5. Dezember 2023 in der Rechtssache C-807/21 (Deutsche Wohnen SE gegen Staatsanwaltschaft Berlin) entschieden.

Der erste Teil der Antwort belastet Unternehmen. Eine nationale Regelung, die eine Geldbuße nur zulässt, wenn der Verstoß zuvor einer identifizierten natürlichen Person zugerechnet wurde, ist mit der DSGVO unvereinbar. Juristische Personen haften nicht nur für Verstöße ihrer Vertreter, Leiter oder Geschäftsführer, sondern auch für Verstöße jeder anderen Person, die im Rahmen der unternehmerischen Tätigkeit und in ihrem Namen handelt. Eine Kenntnis des Leitungsorgans ist nicht erforderlich.

Der zweite Teil entlastet. Eine Geldbuße setzt Verschulden voraus: Der Verstoß muss vorsätzlich oder fahrlässig begangen worden sein. Nach der Entscheidung genügt dafür, dass sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte. Eine reine Erfolgshaftung ohne jedes Verschulden gibt es also nicht.

Was neben dem Bußgeld auf Sie zukommen kann

Ein Bußgeld fließt an die Staatskasse, nicht an die betroffenen Personen. Deren Ansprüche stehen daneben in Art. 82 DSGVO: Wer wegen eines Verstoßes einen materiellen oder immateriellen Schaden erleidet, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Bei größeren Datenpannen ist diese Summe in der Praxis oft das größere Risiko, weil sie sich mit der Zahl der Betroffenen multipliziert.

Die Voraussetzungen hat der Gerichtshof in einer Reihe von Entscheidungen geklärt. Im Urteil vom 4. Mai 2023 in der Rechtssache C-300/21 (Österreichische Post) hat er entschieden, dass der bloße Verstoß gegen die DSGVO für einen Anspruch nicht genügt: Verstoß, Schaden und Kausalzusammenhang sind drei kumulative Voraussetzungen. Zugleich darf das nationale Recht den Ersatz immateriellen Schadens nicht von einem Erheblichkeitsgrad abhängig machen.

Der Bundesgerichtshof hat diese Linie für Deutschland im Urteil vom 18. November 2024 in der Sache VI ZR 10/24 ausgefüllt. Nach dem amtlichen Leitsatz kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten ein immaterieller Schaden sein; eine konkrete missbräuchliche Verwendung oder sonstige spürbare negative Folgen sind nicht erforderlich. Einen Betrag hat der Bundesgerichtshof nicht zugesprochen, sondern die Sache zurückverwiesen und dem Tatgericht in den Gründen eine Größenordnung von 100 Euro als von Rechts wegen unbedenklich genannt.

Zur Bemessung hat der Gerichtshof im Urteil vom 4. September 2025 in der Rechtssache C-655/23 (Quirin Privatbank) zwei Punkte geklärt, die bis dahin offen waren: Der Grad des Verschuldens des Verantwortlichen darf bei der Bemessung nicht berücksichtigt werden, und ein parallel erwirkter Unterlassungstitel darf die finanzielle Entschädigung weder mindern noch ersetzen.

Womit Sie die Bemessung beeinflussen, bevor der Bescheid kommt

Die meisten Stellschrauben liegen vor dem Bescheid, nicht danach. Art. 83 Abs. 2 nennt drei davon ausdrücklich: Maßnahmen zur Schadensminderung, den Umfang der Zusammenarbeit und die Art, wie der Verstoß bekannt wurde. Alle drei entstehen in den Tagen nach der Entdeckung eines Vorfalls, nicht im Bußgeldverfahren.

1. Halten Sie den Zeitpunkt der Kenntnis fest. Die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO beginnt, sobald dem Verantwortlichen die Verletzung bekannt wurde, nicht mit ihrem Eintritt.
2. Prüfen Sie, ob ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Nur wenn das voraussichtlich nicht der Fall ist, entfällt die Meldung an die Aufsichtsbehörde.
3. Melden Sie mit den vier Angaben aus Art. 33 Abs. 3: Art der Verletzung mit Kategorien und ungefährer Zahl der Betroffenen, Kontaktdaten der Anlaufstelle, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben dürfen nach Art. 33 Abs. 4 schrittweise nachgereicht werden.
4. Prüfen Sie zusätzlich Art. 34: Bei voraussichtlich hohem Risiko benachrichtigen Sie auch die betroffenen Personen, in klarer und einfacher Sprache. Die Benachrichtigung entfällt unter anderem, wenn die Daten durch Verschlüsselung für Unbefugte unzugänglich waren.
5. Dokumentieren Sie den Vorfall nach Art. 33 Abs. 5 vollständig, einschließlich aller Fakten, Auswirkungen und Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung ermöglichen und ist später Ihr wichtigster Beleg für Buchstabe c und f.
6. Beheben Sie die Ursache und halten Sie fest, wann. Eine binnen Tagen geschlossene Lücke wirkt bei der Bemessung anders als eine, die erst das Bußgeldverfahren schließt.

Wird eine Meldung nicht binnen 72 Stunden abgegeben, ist ihr nach Art. 33 Abs. 1 Satz 2 eine Begründung für die Verzögerung beizufügen. Die verspätete Meldung ist also vorgesehen, aber begründungsbedürftig. Wer gar nicht meldet, verliert die Möglichkeit, den Verstoß über Buchstabe h zu seinen Gunsten einzubringen, und riskiert einen zweiten Verstoß neben dem ersten.

Ob der Bescheid am Ende angreifbar ist, hängt an Umständen, die nur mit Aktenkenntnis zu beurteilen sind: der Zurechnung, dem Verschulden, der Rechenbasis des Umsatzes und der Gewichtung der elf Kriterien. Die Frist für den Einspruch beträgt zwei Wochen ab Zustellung, und sie lässt sich nicht verlängern. Wer sie prüfen lassen will, hat dafür also weniger Zeit als für die meisten anderen Entscheidungen in diesem Verfahren.