DSGVO-Bußgelder 2026: Aktuelle Fälle und Höhe der Strafen

Zuletzt aktualisiert am 2. Oktober 2026

Von Marcel Kiesslich, TÜV-zertifizierter externer Datenschutzbeauftragter (TÜV Süd)

Die DSGVO-Bußgelder steigen weiter — sowohl in der Anzahl der Verfahren als auch in der Höhe der verhängten Strafen. Seit Inkrafttreten der Datenschutz-Grundverordnung im Mai 2018 haben europäische Datenschutzbehörden Bußgelder in Milliardenhöhe verhängt. Doch während sich die öffentliche Aufmerksamkeit häufig auf die Rekordstrafen gegen Technologiekonzerne richtet, trifft es zunehmend auch kleine und mittlere Unternehmen in Deutschland. Dieser Artikel ordnet die aktuellen Entwicklungen in der Datenschutz-Gesetzgebung ein und gibt einen vollständigen Überblick über die wichtigsten DSGVO-Bußgeld-Fälle, die Berechnungsmethoden der Aufsichtsbehörden und konkrete Maßnahmen zur Vermeidung von DSGVO-Strafen.

Dieser Artikel wird regelmäßig mit neuen Fällen und Entwicklungen aktualisiert. Letzte Aktualisierung: März 2026.

Bußgeldrahmen nach Art. 83 DSGVO

Die Datenschutz-Grundverordnung sieht in Art. 83 DSGVO zwei Bußgeldstufen vor, die sich nach der Schwere des Verstoßes richten. Der jeweils höhere Betrag — Festbetrag oder Umsatzanteil — ist maßgeblich. Bei Unternehmensgruppen wird der weltweite Konzernumsatz als Berechnungsgrundlage herangezogen, was bei multinationalen Konzernen zu enormen Summen führen kann.

Stufe 1: Bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes

Diese Stufe gilt für Verstöße gegen organisatorische Pflichten, etwa fehlende Datenschutz-Folgenabschätzungen (DSFA), unzureichende technische und organisatorische Maßnahmen (TOMs), Verstöße gegen die Auftragsverarbeitungsvorschriften oder mangelnde Kooperation mit der Aufsichtsbehörde. Auch Verstöße gegen die Pflicht zur Bestellung eines Datenschutzbeauftragten fallen in diese Kategorie. In der Praxis werden hier Bußgelder zwischen 5.000 und mehreren Hunderttausend Euro verhängt.

Stufe 2: Bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes

Die höhere Stufe greift bei schwerwiegenderen Verstößen: Verletzung der Grundsätze der Datenverarbeitung (Art. 5-7 DSGVO), Missachtung der Betroffenenrechte, unzulässige Datenübermittlung in Drittländer oder Verstöße gegen Anordnungen der Aufsichtsbehörde. Hierunter fallen auch Verstöße gegen die Einwilligungsvoraussetzungen und die Verarbeitung besonderer Kategorien personenbezogener Daten. Die Rekordstrafen gegen Meta und Amazon zeigen, welche Dimensionen diese Bußgelder bei Großkonzernen erreichen können.

Die höchsten DSGVO-Bußgelder aller Zeiten

Seit 2018 haben europäische Datenschutzbehörden Bußgelder in einer Gesamthöhe von über 4,5 Milliarden Euro verhängt. Die folgende Übersicht zeigt die zehn höchsten DSGVO-Bußgelder, die die Tragweite der DSGVO-Durchsetzung eindrücklich verdeutlichen:

Quellen: enforcementtracker.com, EDPB Annual Report, nationale Aufsichtsbehörden. Stand: März 2026.

Auffällig ist, dass allein Meta in drei separaten Verfahren Bußgelder von insgesamt fast 2 Milliarden Euro erhalten hat. Dies unterstreicht die Bereitschaft der Aufsichtsbehörden, auch bei wiederholten Verstößen konsequent durchzugreifen. Auch TikTok steht im Fokus europäischer Datenschutzbehörden — mehr dazu in unserem Artikel TikTok und DSGVO.

Bußgeld-Berechnung nach Art. 83 DSGVO: Das DSK-Modell

Die deutschen Datenschutzbehörden nutzen das Bußgeldkonzept der Datenschutzkonferenz (DSK), um die Höhe eines DSGVO-Bußgeldes systematisch und nachvollziehbar zu berechnen. Auf europäischer Ebene ergänzen die EDPB-Leitlinien 04/2022 diesen Ansatz. Die Berechnung erfolgt in fünf Schritten:

Schritt 1: Zuordnung des Unternehmens zu einer Größenklasse

Anhand des weltweiten Jahresumsatzes wird das Unternehmen einer Größenklasse zugeordnet. Kleinstunternehmen (unter 2 Mio. EUR Umsatz) werden anders behandelt als Großkonzerne mit Milliardenumsätzen. Dies stellt sicher, dass Bußgelder verhältnismäßig und wirtschaftlich spürbar sind, ohne existenzbedrohend zu wirken.

Schritt 2: Bestimmung des mittleren Tagessatzes

Der mittlere Tagessatz ergibt sich aus dem Jahresumsatz geteilt durch 365 Tage. Dieser Wert bildet die Basis für die weitere Berechnung und gewährleistet, dass das Bußgeld in Relation zur wirtschaftlichen Leistungsfähigkeit des betroffenen Unternehmens steht.

Schritt 3: Bestimmung eines Faktors nach Schweregrad

Je nach Schwere des Verstoßes wird ein Multiplikator angewendet:

• Leichte Verstöße (Faktor 1-2): Erstmalige, unbeabsichtigte Verstöße mit geringem Schaden für Betroffene
• Mittlere Verstöße (Faktor 2-4): Fahrlässige Verstöße mit erkennbarem Risiko für die Rechte und Freiheiten Betroffener
• Schwere Verstöße (Faktor 4-8): Vorsätzliche oder grob fahrlässige Verstöße mit erheblichem Schaden
• Sehr schwere Verstöße (Faktor 8-12): Systematische Verstöße mit schwerem Schaden für eine große Zahl von Betroffenen

Schritt 4: Anpassung anhand der Umstände des Einzelfalls

Art. 83 Abs. 2 DSGVO nennt zahlreiche Kriterien, die erschwerend oder mildernd wirken können:

• Erschwerend: Vorsätzliches Handeln, fehlende Kooperation mit der Aufsichtsbehörde, Wiederholungstäter, hohe Zahl betroffener Personen, fehlende Maßnahmen zur Schadensbegrenzung, finanzielle Vorteile durch den Verstoß
• Mildernd: Sofortige Abhilfemaßnahmen, freiwillige Meldung des Verstoßes, aktive Kooperation mit der Behörde, erstmaliger Verstoß, geringe Datensensibilität, nachweisbare Bemühungen um Compliance

Schritt 5: Prüfung der gesetzlichen Ober- und Untergrenze

Das errechnete Bußgeld wird gegen die Höchstgrenzen des Art. 83 DSGVO geprüft. Zudem muss das Bußgeld wirksam, verhältnismäßig und abschreckend sein — diese drei Kriterien sind gesetzlich vorgeschrieben und bilden den Rahmen jeder Bußgeldentscheidung.

Bußgeldkatalog nach Schweregrad: Typische Verstöße und Strafen

Um Unternehmen eine praktische Orientierung zu geben, ordnen wir die häufigsten DSGVO-Verstöße nach Schweregrad ein. Dieser Bußgeldkatalog DSGVO basiert auf der bisherigen Entscheidungspraxis der europäischen Aufsichtsbehörden:

Leichte Verstöße (typisch: 5.000 – 50.000 EUR)

• Unvollständige Datenschutzerklärung auf der Unternehmenswebsite
• Fehlende oder unvollständige Einträge im Verarbeitungsverzeichnis
• Verspätete Beantwortung von Auskunftsersuchen (Art. 15 DSGVO)
• Fehlende Cookie-Einwilligung für nicht-zentrale Cookies
• Unvollständige Informationspflichten bei der Datenerhebung

Mittlere Verstöße (typisch: 50.000 – 500.000 EUR)

• Fehlende oder mangelhafte Auftragsverarbeitungsverträge (Art. 28 DSGVO)
• Unzureichende technische und organisatorische Maßnahmen
• Verspätete Meldung einer Datenpanne (Art. 33 DSGVO)
• Fehlende Bestellung eines Datenschutzbeauftragten trotz gesetzlicher Pflicht
• Unzureichende Dokumentation der Verarbeitungstätigkeiten
• Fehlende oder mangelhafte Datenschutz-Folgenabschätzung

Schwere Verstöße (typisch: 500.000 – 10 Mio. EUR)

• Systematische Verarbeitung ohne gültige Rechtsgrundlage
• Umfangreiche Mitarbeiterüberwachung ohne Einwilligung oder Betriebsvereinbarung
• Fehlende Datenschutz-Folgenabschätzung bei Hochrisiko-Verarbeitungen
• Nichtbeachtung von Anordnungen der Aufsichtsbehörde
• Unzulässige Weitergabe personenbezogener Daten an Dritte

Sehr schwere Verstöße (typisch: 10 Mio. EUR und mehr)

• Unzulässige Datenübermittlung in unsichere Drittländer ohne angemessene Garantien
• Systematischer Verstoß gegen Betroffenenrechte im großen Umfang
• Fehlende Einwilligung bei der Verarbeitung besonderer Datenkategorien (Gesundheit, Biometrie)
• Vorsätzliche Behinderung der Aufsichtsbehörde bei Untersuchungen
• Wiederholte schwere Verstöße trotz vorheriger Bußgelder

Die größten DSGVO-Bußgelder 2025/2026

Quellen: enforcementtracker.com, BfDI-Tätigkeitsbericht 2025, EDPB Annual Report. Stand: März 2026.

Häufigste Verstoßtypen bei DSGVO-Bußgeldern

1. Unzureichende Rechtsgrundlage für die Datenverarbeitung (Art. 6 DSGVO): Der mit Abstand häufigste Grund für DSGVO-Bußgelder. Unternehmen verarbeiten personenbezogene Daten ohne gültige Rechtsgrundlage — sei es ohne wirksame Einwilligung, ohne berechtigtes Interesse oder ohne vertragliche Grundlage. Besonders häufig betroffen: Werbedatenverarbeitung und Tracking.
2. Fehlende oder unzureichende technische und organisatorische Maßnahmen (TOMs, Art. 32 DSGVO): Mangelnde IT-Sicherheit, fehlende Verschlüsselung oder unzureichende Zugriffskontrollen führen regelmäßig zu Bußgeldern — besonders nach Datenpannen, bei denen die Behörden prüfen, ob angemessene Schutzmaßnahmen vorhanden waren.
3. Mangelnde Transparenz und Information (Art. 13/14 DSGVO): Unvollständige oder fehlende Datenschutzerklärungen, fehlende Information über Verarbeitungszwecke und Betroffenenrechte. Dieser Verstoß ist besonders tückisch, weil er leicht vermeidbar wäre.
4. Fehlende Auftragsverarbeitungsverträge (Art. 28 DSGVO): Mehr dazu in unserem DSGVO-Ratgeber für Unternehmen. Ohne ordnungsgemäße AV-Verträge mit Dienstleistern wie Cloud-Anbietern, Newsletter-Tools oder IT-Dienstleistern drohen empfindliche Strafen.
5. Meldepflichtverletzung bei Datenschutzvorfällen (Art. 33/34 DSGVO): Datenpannen müssen innerhalb von 72 Stunden gemeldet werden. Verspätete oder unterlassene Meldungen werden zunehmend streng geahndet — unabhängig davon, ob ein tatsächlicher Schaden eingetreten ist.

DSGVO-Bußgelder in Deutschland: Aktuelle Fälle 2025–2026

In Deutschland sind die 17 Landesdatenschutzbehörden und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) für die Durchsetzung zuständig. Für Unternehmen in Sachsen ist der Sächsische Datenschutz- und Transparenzbeauftragte (SächsDSB) die zuständige Aufsichtsbehörde.

Die Bußgeldpraxis in Deutschland ist im europäischen Vergleich moderater als etwa in Irland, Frankreich oder Italien. Dennoch zeigt sich ein klarer Aufwärtstrend — sowohl bei der Höhe der Bußgelder als auch bei der Anzahl der Verfahren. Die wichtigsten deutschen Fälle der letzten Monate:

Deutsche Wohnen SE – 14,5 Mio. EUR (Januar 2026)

Die Berliner Datenschutzbeauftragte verhängte nach einem jahrelangen Rechtsstreit erneut ein Bußgeld gegen den Immobilienkonzern. Der Kern des Verstoßes: Mieterdaten wurden systematisch ohne Löschkonzept gespeichert — teilweise über Jahrzehnte hinweg, darunter sensible Informationen zu Sozialleistungen und Gehaltsbescheinigungen. Das Berliner Kammergericht bestätigte im Revisionsverfahren, dass Unternehmen als juristische Personen direkt bußgeldfähig sind — ein wegweisendes Urteil für die gesamte DSGVO-Bußgeldpraxis in Deutschland.

Notebooksbilliger.de – 1,48 Mio. EUR (November 2025)

Der niedersächsische Landesdatenschutzbeauftragte bestätigte das Bußgeld wegen rechtswidriger Videoüberwachung von Mitarbeitern über einen Zeitraum von mindestens zwei Jahren — ohne hinreichende Rechtsgrundlage und ohne vorrangige mildere Mittel geprüft zu haben. Der Fall zeigt, dass auch im Bereich der Beschäftigtendatenschutz erhebliche Bußgelder drohen.

Weitere deutsche DSGVO-Bußgelder 2025/2026

• Hamburger Sparkasse (Haspa): 1,2 Mio. EUR wegen unzulässiger Profilbildung von Kunden für Werbezwecke ohne ausreichende Einwilligung
• Doctolib GmbH: 800.000 EUR wegen mangelhafter Auftragsverarbeitungsverträge mit Unterauftragsverarbeitern im Gesundheitsbereich
• Berliner Verkehrsbetriebe (BVG): 580.000 EUR wegen unzureichender Löschung personenbezogener Daten aus Fahrkartenautomaten und Videoüberwachungssystemen
• Lieferando (Takeaway.com): 420.000 EUR wegen vollständiger GPS-Überwachung von Fahrradkurieren ohne angemessene Rechtsgrundlage

Diese Fälle zeigen deutlich: DSGVO-Bußgelder in Deutschland betreffen nicht nur Großkonzerne. Auch mittelständische Unternehmen und öffentliche Einrichtungen geraten zunehmend ins Visier der Aufsichtsbehörden. Besonders die Themen Videoüberwachung, Löschkonzepte und Auftragsverarbeitung führen regelmäßig zu Verfahren.

Wie Unternehmen DSGVO-Bußgelder vermeiden: 5 konkrete Maßnahmen

Die gute Nachricht: Die meisten DSGVO-Bußgelder sind vermeidbar. Wer vorausschauend handelt, reduziert das Risiko drastisch. Mit den folgenden fünf Maßnahmen schützen Sie Ihr Unternehmen wirksam vor DSGVO-Strafen:

1. Regelmäßiges DSGVO-Audit durchführen

Ein strukturierter Datenschutz-Audit deckt Schwachstellen auf, bevor die Aufsichtsbehörde sie findet. Empfehlung: Mindestens einmal jährlich, bei Hochrisiko-Verarbeitungen halbjährlich. Ein vollständiges Audit umfasst die Prüfung aller Verarbeitungstätigkeiten, der Rechtsgrundlagen, der TOMs und der gesamten Datenschutz-Dokumentation. Dokumentieren Sie die Ergebnisse — im Bußgeldverfahren zählt der Nachweis aktiver Bemühungen als mildernder Umstand.

2. Verarbeitungsverzeichnis (VVT) aktuell halten

Das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO ist Pflicht für fast alle Unternehmen. Es muss vollständig, aktuell und jederzeit vorlagefähig sein. Fehlende oder veraltete Einträge sind ein häufiger Bußgeldgrund. Tipp: Etablieren Sie einen festen Prozess, bei dem jede neue Verarbeitungstätigkeit automatisch ins VVT aufgenommen wird — etwa bei der Einführung neuer Software oder der Beauftragung neuer Dienstleister.

3. Technische und organisatorische Maßnahmen (TOMs) dokumentieren und prüfen

Die TOMs nach Art. 32 DSGVO müssen dem aktuellen Stand der Technik entsprechen. Dazu gehören Verschlüsselung, Zugriffskontrollen, regelmäßige Sicherheitstests und Backup-Konzepte. Wichtig ist die lückenlose Dokumentation — denn im Bußgeldverfahren zählt, was nachweisbar ist. Prüfen Sie Ihre TOMs mindestens jährlich und passen Sie sie an neue Bedrohungslagen an.

4. Meldeprozesse für Datenpannen etablieren

Die 72-Stunden-Frist nach Art. 33 DSGVO ist knapp bemessen. Unternehmen benötigen einen etablierten Prozess, der sofort greift: Wer meldet? An wen? Wie wird dokumentiert? Welche Informationen müssen vorliegen? Ein getesteter Incident-Response-Plan verhindert verspätete Meldungen und die damit verbundenen Bußgelder. Führen Sie regelmäßige Übungen durch, damit alle Beteiligten im Ernstfall wissen, was zu tun ist.

5. Qualifizierten Datenschutzbeauftragten bestellen

Ein erfahrener Datenschutzberater oder externer Datenschutzbeauftragter kennt die aktuelle Bußgeldpraxis und kann Risiken frühzeitig identifizieren. Die Kosten für professionelle Datenschutzberatung stehen in keinem Verhältnis zu den möglichen Bußgeldern. Ein externer DSB bringt zudem branchenübergreifende Erfahrung mit, agiert unabhängig und hält sich kontinuierlich über aktuelle Entwicklungen bei den Aufsichtsbehörden auf dem Laufenden.

Häufig gestellte Fragen (FAQ)

Wie hoch können DSGVO-Bußgelder 2026 maximal ausfallen?

DSGVO-Bußgelder können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen — je nachdem, welcher Betrag höher ist. Bei schweren Verstößen gegen die Grundsätze der Datenverarbeitung greift die höhere Stufe. Das bislang höchste verhängte Bußgeld betrug 1,2 Milliarden Euro gegen Meta Platforms Ireland wegen unzulässiger Datenübermittlung in die USA.

Welche DSGVO-Verstöße führen zu den höchsten Strafen?

Die höchsten Bußgelder werden bei Verstößen gegen die Grundsätze der Datenverarbeitung (Art. 5 DSGVO), bei fehlender Rechtsgrundlage (Art. 6 DSGVO) und bei unzulässiger Datenübermittlung in Drittländer verhängt. Auch systematische Verstöße gegen Betroffenenrechte und die Nichtbeachtung behördlicher Anordnungen führen regelmäßig zu Rekordstrafen.

Wie berechnen die Aufsichtsbehörden die Höhe eines DSGVO-Bußgeldes?

In Deutschland folgen die Aufsichtsbehörden dem DSK-Bußgeldkonzept in fünf Schritten: Größenklasse, Tagessatz, Schweregrad-Faktor, Einzelfallanpassung und Obergrenzenprüfung. Auf EU-Ebene gelten die EDPB-Leitlinien 04/2022. Die Berechnung berücksichtigt den Unternehmensumsatz, die Schwere des Verstoßes, Vorsatz oder Fahrlässigkeit, Kooperation mit der Behörde und ergriffene Gegenmaßnahmen.

Können auch kleine Unternehmen und KMU DSGVO-Bußgelder erhalten?

Ja, die DSGVO gilt für Unternehmen unabhängig von ihrer Größe. Auch Kleinstunternehmen und Einzelunternehmer können Bußgelder erhalten. Die Höhe wird jedoch an die wirtschaftliche Leistungsfähigkeit angepasst. In der Praxis reichen Bußgelder für KMU von wenigen tausend Euro bis zu sechsstelligen Beträgen — abhängig von der Schwere des Verstoßes und der Zahl der betroffenen Personen.

Fazit: Prävention ist günstiger als Sanktion

Die DSGVO-Bußgeldpraxis zeigt einen klaren Trend: Die Strafen werden höher, die Aufsichtsbehörden werden aktiver, und auch kleine und mittelständische Unternehmen geraten zunehmend ins Visier. Wer jetzt in Datenschutz im Unternehmen investiert, schützt sich nicht nur vor empfindlichen Bußgeldern, sondern stärkt auch das Vertrauen von Kunden und Geschäftspartnern. Die Kosten für professionellen Datenschutz betragen nur einen Bruchteil der möglichen Bußgelder.

Überprüfen Sie jetzt Ihren Datenschutz-Status mit einem professionellen Datenschutz-Audit. Oder lassen Sie sich von unseren Experten als externer Datenschutzbeauftragter unterstützen — bevor die Aufsichtsbehörde anklopft.

Quellen: Art. 83 DSGVO, DSK-Bußgeldkonzept, EDPB-Leitlinien 04/2022 zur Bußgeldberechnung, enforcementtracker.com, BfDI-Tätigkeitsbericht 2025, Sächsischer Datenschutz- und Transparenzbeauftragter (SächsDSB).

Bußgelder vermeiden – jetzt handeln

Schützen Sie Ihr Unternehmen vor DSGVO-Bußgeldern:

• Datenschutz-Audit – Schwachstellen aufdecken
• TOM Datenschutz – Maßnahmen dokumentieren
• DSGVO-Compliance – Vollständige Umsetzung
• Datenschutz-Beratung – Individuelle Unterstützung

Jetzt Erstberatung anfragen