Zuletzt aktualisiert am 1. Juni 2026

Warum DSGVO-Verstöße so häufig vorkommen

Die Zahl der gemeldeten Datenschutzverstöße steigt von Jahr zu Jahr. Dies liegt nicht nur an der zunehmenden Digitalisierung, sondern auch an der wachsenden Sensibilität von Betroffenen und Aufsichtsbehörden. Viele Unternehmen unterschätzen nach wie vor die Anforderungen der DSGVO oder setzen sie nur unzureichend um. Ein professionelles Datenschutzmanagement ist daher wichtig.

Weitere aktuelle DSGVO-Bußgelder

3 – Unzulässige Videoüberwachung von Mitarbeitern

Behörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Branche: Einzelhandel
Verstoß: Art. 5 Abs. 1 lit. a, Art. 6 Abs. 1 DSGVO
Bußgeld: 35,3 Millionen Euro

Ein großes Einzelhandelsunternehmen hatte seine Mitarbeiter über Jahre hinweg systematisch per Videokameras überwacht. Die Aufnahmen wurden ohne ausreichende Rechtsgrundlage gespeichert und ausgewertet. Zusätzlich wurden in Mitarbeitergesprächen detaillierte Informationen über das Privatleben der Beschäftigten erhoben und in einer Datenbank gespeichert. Dieser Fall zeigt eindrücklich die Bedeutung des Beschäftigtendatenschutzes.

4 – Fehlendes Verarbeitungsverzeichnis und mangelnde TOM

Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit
Branche: Immobilienwirtschaft
Verstoß: Art. 5 Abs. 1 lit. a, Art. 25 Abs. 1 DSGVO
Bußgeld: 14,5 Millionen Euro

Das Unternehmen hatte ein Archivsystem verwendet, das keine Möglichkeit bot, nicht mehr erforderliche Mieterdaten zu löschen. Sensible Daten wie Gehaltsbescheinigungen, Sozialversicherungsnummern und Kontoauszüge ehemaliger Mieter waren jahrelang ohne Zweck gespeichert. Ein ordnungsgemäßes Verarbeitungsverzeichnis hätte diese Problematik frühzeitig aufgedeckt.

Die häufigsten Ursachen für DSGVO-Bußgelder

Eine Analyse der verhängten Bußgelder zeigt wiederkehrende Muster bei den Verstößen:

• Fehlende Rechtsgrundlage (Art. 6 DSGVO): Der häufigste Grund für Bußgelder – Daten werden ohne gültige Rechtsgrundlage verarbeitet
• Unzureichende technische Sicherheit (Art. 32 DSGVO): Mangelnde Verschlüsselung, schwache Passwörter oder fehlende Zugangskontrollen
• Verstöße gegen die Transparenzpflicht (Art. 13/14 DSGVO): Fehlende oder unvollständige Datenschutzhinweise
• Verspätete Meldung von Datenpannen (Art. 33 DSGVO): Die 72-Stunden-Frist wird häufig nicht eingehalten
• Unzulässige Datenübermittlung in Drittländer (Art. 44 ff. DSGVO): Insbesondere seit dem Schrems-II-Urteil ein kritischer Bereich

Lehren für Unternehmen

Die genannten Fälle verdeutlichen, dass DSGVO-Verstöße keine Kavaliersdelikte sind. Unternehmen jeder Größe können betroffen sein – von Start-ups bis zu multinationalen Konzernen. Die Aufsichtsbehörden gehen zunehmend konsequent gegen Verstöße vor und nutzen ihre Befugnisse, empfindliche Geldbußen zu verhängen.

Um sich vor Bußgeldern und Schadensersatzforderungen zu schützen, sollten Unternehmen vorausschauend handeln:

1. Regelmäßige Datenschutz-Audits durchführen
2. Einen qualifizierten Datenschutzbeauftragten bestellen
3. Mitarbeiter regelmäßig schulen und sensibilisieren
4. Technisch-organisatorische Maßnahmen aktuell halten
5. Datenschutzvorfälle dokumentieren und Meldeprozesse einrichten

Die DATUREX GmbH aus Dresden bietet als externer Datenschutzbeauftragter umfassende Unterstützung bei der DSGVO-Compliance. Wir helfen Ihnen, Risiken zu identifizieren und geeignete Gegenmaßnahmen zu implementieren – bevor es zu kostspieligen Verstößen kommt.

Wie Aufsichtsbehörden Bußgelder berechnen

Die Berechnung von DSGVO-Bußgeldern folgt den Leitlinien des Europäischen Datenschutzausschusses (EDSA). Die Aufsichtsbehörden berücksichtigen dabei zahlreiche Faktoren:

• Art, Schwere und Dauer des Verstoßes: Ein einmaliger versehentlicher Verstoß wird milder bewertet als ein systematischer, über Jahre andauernder Verstoß
• Vorsätzlichkeit oder Fahrlässigkeit: Vorsätzliche Verstöße werden deutlich strenger geahndet als fahrlässige
• Maßnahmen zur Minderung des Schadens: Schnelles und vorausschauendes Handeln nach einem Vorfall kann bußgeldmindernd wirken
• Verantwortungsgrad: Welche technisch-organisatorischen Maßnahmen waren zum Zeitpunkt des Verstoßes implementiert?
• Frühere Verstöße: Wiederholungstäter müssen mit höheren Bußgeldern rechnen
• Kooperation mit der Aufsichtsbehörde: Eine konstruktive Zusammenarbeit kann sich positiv auswirken
• Umsatz des Unternehmens: Das Bußgeld muss für das Unternehmen wirksam, verhältnismäßig und abschreckend sein

Branchenspezifische Risiken

Bestimmte Branchen sind aufgrund der Art und des Umfangs ihrer Datenverarbeitung besonders gefährdet für DSGVO-Verstöße:

Gesundheitswesen: Krankenhäuser, Arztpraxen und Apotheken verarbeiten besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Verstöße in diesem Bereich wiegen besonders schwer und können neben Bußgeldern auch berufsrechtliche Konsequenzen haben.

Finanzdienstleistungen: Banken und Versicherungen verarbeiten umfangreiche Finanzdaten und unterliegen neben der DSGVO auch sektorspezifischen Regulierungen. Die Anforderungen an die Datensicherheit sind hier besonders hoch.

E-Commerce: Online-Händler verarbeiten Kundendaten, Zahlungsinformationen und Nutzungsverhalten in großem Umfang. Cookie-Banner, Tracking-Tools und personalisierte Werbung sind häufige Problemfelder.

Personaldienstleistungen: Zeitarbeitsunternehmen und Personalvermittler verarbeiten umfangreiche Bewerberdaten und müssen die strengen Vorgaben des Beschäftigtendatenschutzes beachten.

Meldepflicht bei Datenpannen: Die 72-Stunden-Frist

Ein besonders häufiger Verstoß ist die verspätete Meldung von Datenpannen. Art. 33 DSGVO schreibt vor, dass Datenschutzverletzungen innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden müssen. Viele Unternehmen scheitern an dieser Frist, weil ihnen klare interne Prozesse fehlen.

Ein vorbereiteter Meldeprozess sollte folgende Elemente umfassen:

1. Klare Definition, was eine meldepflichtige Datenschutzverletzung ist
2. Benannte Ansprechpartner für die Meldung interner Vorfälle
3. Vorlage für die Meldung an die Aufsichtsbehörde
4. Entscheidungsmatrix für die Risikobewertung
5. Prozess für die Benachrichtigung betroffener Personen
6. Dokumentationsvorlage für die interne Aufarbeitung

Die DATUREX GmbH unterstützt Unternehmen bei der Etablierung solcher Meldeprozesse und steht im Ernstfall als kompetenter Partner zur Seite.

Weitere bedeutende DSGVO-Bußgeldfälle

3 — Bußgeld gegen Meta wegen Datentransfer in die USA

Behörde: Data Protection Commission (Irland)
Branche: Social Media / Technologie
Verstoß: Art. 46 Abs. 1 DSGVO (Datenübermittlung in Drittländer)
Bußgeld: 1,2 Milliarden Euro

Die irische Datenschutzbehörde verhängte im Mai 2023 gegen Meta Platforms Ireland Limited das bis dato höchste DSGVO-Bußgeld. Der Konzern hatte über Jahre hinweg personenbezogene Daten europäischer Facebook-Nutzer ohne ausreichende Rechtsgrundlage in die USA übermittelt.

4 — Unzureichende technisch-organisatorische Maßnahmen

Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit
Branche: Immobilien
Verstoß: Art. 5, Art. 25, Art. 32 DSGVO
Bußgeld: 14,5 Millionen Euro

Die Deutsche Wohnen SE speicherte personenbezogene Daten von Mietern in einem Archivsystem, das keine Möglichkeit bot, nicht mehr erforderliche Daten zu löschen. Es wurden auch hochsensible Daten wie Gehaltsbescheinigungen und Krankenversicherungsdaten ohne Rechtsgrundlage aufbewahrt.

5 — Videoüberwachung am Arbeitsplatz ohne Rechtsgrundlage

Behörde: Landesbeauftragte für den Datenschutz Niedersachsen
Branche: Einzelhandel
Verstoß: Art. 5, Art. 6, Art. 13 DSGVO
Bußgeld: 10,4 Millionen Euro

Ein Unternehmen hatte seine Mitarbeiter über einen Zeitraum von mindestens zwei Jahren per Videokamera überwacht — ohne ausreichende Rechtsgrundlage und ohne die Mitarbeiter angemessen zu informieren.

Bußgeldentwicklung in Deutschland und Europa

Die Höhe der verhängten DSGVO-Bußgelder ist seit Inkrafttreten der Verordnung kontinuierlich gestiegen. Die Gesamtsumme der in Europa verhängten Bußgelder hat inzwischen die Marke von vier Milliarden Euro überschritten.

Die deutschen Aufsichtsbehörden orientieren sich bei der Bußgeldbemessung an den Leitlinien des Europäischen Datenschutzausschusses (EDSA). Folgende Faktoren beeinflussen die Höhe des Bußgeldes:

• Art, Schwere und Dauer des Verstoßes
• Vorsätzlichkeit oder Fahrlässigkeit
• Maßnahmen zur Minderung des Schadens
• Grad der Verantwortung unter Berücksichtigung der getroffenen technisch-organisatorischen Maßnahmen
• Frühere Verstöße
• Zusammenarbeit mit der Aufsichtsbehörde
• Art der betroffenen personenbezogenen Daten
• Jahresumsatz des Unternehmens

Die häufigsten Gründe für DSGVO-Bußgelder

Eine Analyse der verhängten Bußgelder zeigt wiederkehrende Verstöße:

1. Unzureichende Rechtsgrundlage für die Datenverarbeitung: Viele Unternehmen verarbeiten personenbezogene Daten ohne gültige Rechtsgrundlage — insbesondere bei Werbezwecken und Tracking.
2. Mangelnde technisch-organisatorische Maßnahmen: Unzureichende Sicherheitsmaßnahmen, die zu Datenpannen führen, werden regelmäßig geahndet.
3. Verstoß gegen Informationspflichten: Unvollständige oder fehlende Datenschutzhinweise sind ein häufiger Bußgeldgrund.
4. Unzureichende Einwilligungen: Insbesondere im Online-Marketing werden Einwilligungen oft nicht rechtskonform eingeholt.
5. Verspätete Meldung von Datenschutzverletzungen: Die 72-Stunden-Frist des Art. 33 DSGVO wird häufig nicht eingehalten.

Wie können Unternehmen Bußgelder vermeiden?

Die konsequente Einhaltung der DSGVO ist der beste Schutz vor Bußgeldern:

• Bestellung eines qualifizierten Datenschutzbeauftragten — ob intern oder als externer Datenschutzbeauftragter
• Erstellung und Pflege eines vollständigen Verarbeitungsverzeichnisses
• Implementierung angemessener technisch-organisatorischer Maßnahmen
• Regelmäßige Datenschutz-Audits
• Schulung aller Mitarbeiter
• Etablierung eines Prozesses für die Meldung von Datenschutzverletzungen

Die DATUREX GmbH aus Dresden unterstützt Unternehmen in ganz Sachsen bei der DSGVO-Compliance. Kontaktieren Sie uns für eine unverbindliche Erstberatung und schützen Sie Ihr Unternehmen vor kostspieligen Datenschutzverstößen.