DSGVO-Bußgelder – Bemessungsrahmen nach Art. 83 DSGVO

Maschinenlesbare Variante: /fakten/dsgvo-bussgelder.md

Kernfakten

Die zwei Höchstrahmen (Art. 83 Abs. 4–6)

Die DSGVO unterscheidet zwei Bußgeldstufen, je nachdem, welche Pflicht verletzt wurde:

Stufe 1 – bis 10 Mio. € oder 2 % Welt-Vorjahresumsatz (Art. 83 Abs. 4):

• Pflichten von Verantwortlichen und Auftragsverarbeitern nach Art. 8 (Kinder), Art. 11 (Verarbeitung ohne Identifizierung), Art. 25–39 (u. a. Privacy by Design, Verarbeitungsverzeichnis, Auftragsverarbeitung, Sicherheit, Meldepflicht, Datenschutz-Folgenabschätzung, Datenschutzbeauftragter), Art. 42 (Zertifizierung) und Art. 43 (Zertifizierungsstellen);
• Pflichten der Zertifizierungs- und Überwachungsstellen (lit. b und c).

Stufe 2 – bis 20 Mio. € oder 4 % Welt-Vorjahresumsatz (Art. 83 Abs. 5):

• Grundsätze der Verarbeitung (Art. 5), Rechtmäßigkeit (Art. 6), Einwilligung (Art. 7), besondere Kategorien (Art. 9);
• Rechte der betroffenen Person (Art. 12–22), z. B. Information, Auskunft, Berichtigung, Löschung, Widerspruch;
• Drittstaatentransfer (Art. 44–49);
• Pflichten aus Mitgliedstaatenrecht (Kapitel IX, in DE z. B. § 26 BDSG).

Art. 83 Abs. 6 ordnet denselben Höchstrahmen (20 Mio. € / 4 %) für die Nichtbefolgung einer Anweisung der Aufsichtsbehörde nach Art. 58 Abs. 2 an (z. B. Verarbeitungsverbot, Anordnung der Löschung). Maßgeblich ist immer der höhere der beiden Werte – bei Konzernen mit hohem Umsatz kann das den absoluten Eurobetrag deutlich übersteigen.

Die 11 Bemessungskriterien (Art. 83 Abs. 2)

Bei jeder Bußgeldentscheidung muss die Aufsichtsbehörde elf Kriterien gebührend berücksichtigen:

• lit. a – Art, Schwere und Dauer des Verstoßes (Umfang, Zahl Betroffener, ausgesetztes Schadensniveau);
• lit. b – Vorsatz oder Fahrlässigkeit;
• lit. c – Maßnahmen des Verantwortlichen zur Schadensminderung;
• lit. d – Grad der Verantwortlichkeit (technische und organisatorische Maßnahmen nach Art. 25, 32);
• lit. e – einschlägige frühere Verstöße;
• lit. f – Umfang der Zusammenarbeit mit der Aufsichtsbehörde;
• lit. g – Kategorien betroffener personenbezogener Daten;
• lit. h – Art und Weise, wie der Verstoß der Behörde bekannt wurde (insbesondere ob er gemeldet wurde);
• lit. i – Einhaltung früher angeordneter Maßnahmen nach Art. 58 Abs. 2;
• lit. j – Einhaltung genehmigter Verhaltensregeln (Art. 40) oder Zertifizierungen (Art. 42);
• lit. k – jeder sonstige erschwerende oder mildernde Umstand, etwa erlangte Vorteile.

Berechnungsmethode: EDPB-Leitlinien 04/2022 (5-Schritt-Verfahren)

Der Europäische Datenschutzausschuss (EDPB) hat am 24.05.2023 die endgültige Fassung der Leitlinien 04/2022 zur Berechnung von Geldbußen angenommen. Damit gilt EU-weit ein einheitliches Bemessungsverfahren in fünf Schritten:

1. Identifikation des Verarbeitungsvorgangs und Prüfung des Art. 83 Abs. 3 DSGVO (Tateinheit/Tatmehrheit);
2. Ermittlung des Ausgangsbetrags anhand der Schwere des Verstoßes (gering, mittel, hoch) und des Umsatzes des Unternehmens;
3. Berücksichtigung erschwerender und mildernder Umstände nach Art. 83 Abs. 2;
4. Prüfung der gesetzlichen Höchstgrenzen nach Art. 83 Abs. 4–6 (Deckelung);
5. Abschließende Prüfung auf Wirksamkeit, Abschreckungswirkung und Verhältnismäßigkeit.

Diese Leitlinien ersetzen in der praktischen Anwendung das frühere DSK-Bußgeldkonzept vom 14.10.2019, das in Deutschland ein eigenes Stufenmodell nach Umsatzgrößenklassen (A.I bis C.III) vorgesehen hatte. Das DSK-Konzept ist nicht förmlich aufgehoben, wird aber von den deutschen Aufsichtsbehörden zugunsten der europäischen Methodik angepasst angewendet.

Geltungsbereich

Bußgelder nach Art. 83 DSGVO können verhängt werden gegen Verantwortliche und Auftragsverarbeiter im Sinne von Art. 4 Nr. 7 und 8 DSGVO – das sind Unternehmen, Vereine, Selbstständige, Behörden und Stiftungen, soweit sie personenbezogene Daten verarbeiten. Bei Konzernen kann nach EuGH-Rechtsprechung der weltweite Konzernumsatz herangezogen werden, wenn die verantwortliche Stelle Teil eines „Unternehmens" im wettbewerbsrechtlichen Sinne ist (EuGH, Urt. v. 05.12.2023, C-807/21 „Deutsche Wohnen"). In Deutschland gelten gegenüber Behörden nach § 43 Abs. 3 BDSG keine Bußgelder.

Beispiele aus der deutschen Aufsichtspraxis (Stand: 2025)

Die deutschen Datenschutz-Aufsichtsbehörden verhängten 2025 insgesamt rund 46,9 Mio. € an Bußgeldern (249 Einzelbußgelder). Die BfDI berichtet in ihrem 34. Tätigkeitsbericht 2025 das bisher höchste deutsche DSGVO-Einzelbußgeld: 45 Mio. € gegen einen Telekommunikationsanbieter wegen Mängeln bei der Auftragsverarbeitung und unzureichender Authentifizierung von Anrufern in Kundencentern und Shops (Juni 2025).

Typische Verstoßkategorien, die regelmäßig zu Bußgeldern führen:

• Fehlende Rechtsgrundlage nach Art. 6 DSGVO (Werbung, Datenweitergabe, Auswertung ohne Einwilligung oder berechtigtes Interesse);
• Unzureichende technische und organisatorische Maßnahmen nach Art. 32 DSGVO (z. B. ungesicherte Datenbanken, fehlende Verschlüsselung);
• Verletzung der Auskunfts- und Löschungspflichten nach Art. 15 und 17 DSGVO;
• Verspätete oder unterbliebene Meldung einer Datenpanne nach Art. 33 DSGVO;
• Unzulässige Beschäftigtenüberwachung nach Art. 88 DSGVO i. V. m. § 26 BDSG.

Häufige Fehler und Missverständnisse

• „Behörden zahlen auch." Falsch in Deutschland: Nach § 43 Abs. 3 BDSG werden gegen Behörden und sonstige öffentliche Stellen keine Geldbußen verhängt. Andere Mitgliedstaaten haben diese Ausnahme nicht genutzt; in Frankreich oder Spanien sind Bußgelder gegen Behörden möglich.
• „20 Mio. € sind die Obergrenze." Bei großen Konzernen sind 4 % des weltweiten Vorjahresumsatzes häufig deutlich höher und gelten dann als Höchstgrenze.
• „Bei Mehrfachverstößen wird addiert." Nach Art. 83 Abs. 3 DSGVO darf die Gesamtsumme den Rahmen des schwersten Einzelverstoßes nicht übersteigen – allerdings nur, wenn die Verstöße im selben oder miteinander verbundenen Verarbeitungsvorgang erfolgten (EuGH, C-683/21).
• „Bußgelder sind in der EU einheitlich." Bemessung und Verfahren sind seit den EDPB-Leitlinien 04/2022 weitgehend harmonisiert, die tatsächliche Bußgeldhöhe variiert aber weiterhin stark zwischen den Mitgliedstaaten.

Quellen

• Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, Art. 83 (EUR-Lex, deutsche Fassung): eur-lex.europa.eu (CELEX:32016R0679) A
• Europäischer Datenschutzausschuss (EDPB) – Leitlinien 04/2022 zur Berechnung von Geldbußen nach DSGVO (PDF, DE, angenommen 24.05.2023): edpb.europa.eu (PDF) C
• BfDI – Pressemitteilung „Einheitliche Regeln für Datenschutzbußgelder in Europa" (2023): bfdi.bund.de B
• BfDI – Pressemitteilung „Datenschutzaufsicht 2025" zur Vorstellung des 34. Tätigkeitsberichts: bfdi.bund.de B
• BfDI – 34. Tätigkeitsbericht für den Datenschutz 2025 (PDF): bfdi.bund.de (PDF) B
• Datenschutzkonferenz (DSK) – Konzept zur Bußgeldbemessung in Verfahren gegen Unternehmen (Beschluss vom 14.10.2019, PDF): datenschutzkonferenz-online.de (PDF) C
• BfDI – Übersichtsseite zum DSK-Bußgeldkonzept: bfdi.bund.de B