Wann werden Aufsichtsbehörden gefährlich?

Zuletzt aktualisiert am 1. Juni 2026

Jeder, der mit dem Datenschutz nach der DSGVO zu tun hat, fürchtet das bei einem Verstoß drohende Bußgeld. Dagegen erlangen die anderen in der DSGVO vorgesehenen Sanktionen wenig Beachtung.

Erhalten Sie hier einen Überblick über mögliche Sanktionen und wie diese Ihrem Unternehmen gefährlich werden können.

Maßnahmen der Aufsichtsbehörden

Die deutschen Bundesländer regeln die Datenschutzaufsicht selbst. Die jeweiligen Beauftragten für Datenschutz und Informationsfreiheit kontrollieren dabei alle privaten Stellen im Bundesland und alle öffentlichen Stellen des Landes. Die öffentlichen Stellen des Bundes unterliegen wiederum der Kontrolle des Bundesdatenschutzbeauftragten.

Zum effektiven Schutz des Datenschutzes können die zuständigen Behörden entsprechende Maßnahmen ergreifen. Diese Handlungsmöglichkeiten bestehen gegenüber Verantwortlichen und Auftragsverarbeitern und sind in Art. 58 DSGVO geregelt.

Informationen anfordern

Jede Aufsichtsbehörde kann den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben (vor allem Überwachung) erforderlich sind (Art. 58 I lit. a DSGVO). Es ist also möglich, dass die Aufsichtsbehörde Fragebögen verschickt, die der Verantwortliche oder andere ausfüllen muss oder dass Stellungsnahmen verlangt werden.

Untersuchungen, Überprüfungen und Hinweise

Die Aufsichtsbehörden können Datenschutzüberprüfungen durchführen, sowie nach Art. 42 VII DSGVO erteilte Zertifizierungen überprüfen (Art. 58 I lit. b, c DSGVO).

Außerdem können sie Verantwortliche und Auftragsverarbeiter auf vermeintliche Verstöße gegen die DSGVO ausdrücklich hinweisen (Art. 58 I lit. d DSGVO).

Zugang fordern

Sofern es zur Erfüllung ihrer Aufgaben notwendig ist, kann die Aufsichtsbehörde sogar Zugang zu allen notwendigen persönlichen Daten und Informationen einfordern (Art. 58 I lit. e DSGVO). Auch der Zugang zu den Räumlichkeiten, einschließlich aller Datenverarbeitungsanlagen und -geräte, des Verantwortlichen und des Auftragsverarbeiters kann verlangt werden (Art. 58 I lit. f DSGVO).

(Ver-)Warnung und Anweisung

Die Aufsichtsbehörde kann einen Verantwortlichen oder einen Auftragsverarbeiter warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen die DSGVO verstoßen (art. 58 II lit. a DSGVO). Es handelt sich hierbei um eine präventive Warnung, wenn eine Planung des Verantwortlichen voraussichtlich gegen Datenschutzrecht verstößt.

Wenn bereits ein Verstoß vorliegt, kann die Aufsichtsbehörde entsprechend verwarnen (Art. 58 II lit. b DSGVO) und anweisen, den Anträgen betroffener Personen auf Betroffenenrechte zu entsprechen (Art. 58 II lit. c).

Entsprechen Abläufe nicht der DSGVO, kann die Aufsichtsbehörde anweisen, dies innerhalb einer gesetzten Frist zu beheben (Art. 58 II lit. e DSGVO) und betroffene Personen entsprechend zu benachrichtigen (Art. 58 II lit. e DSGVO).

Verbot, Widerruf und Aussetzung der Übermittlung

Die Aufsichtsbehörden könne die Verarbeitung sogar vorübergehend oder endgültig beschränken oder verbieten, Zertifizierungen widerrufen (lassen) oder nicht erteilen sowie eine Aussetzung der Übermittlung in Drittländer anordnen (Art. 58 II lit.f, h, j DSGVO).

Berichtigung, Löschung und Einschränkung

Außerdem könne die Aufsichtsbehörden die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten offengelegt wurden, bewirken (Art. 58 II lit. g DSGVO).

Geldbußen und Einzelfallmaßnahmen

Zu guter Letzt führt Art. 58 II lit. i DSGVO die bekannteste Maßnahme an: das Bußgeld. Gleichzeitig wird hier aber auch geregelt, dass die Aufsichtsbehörden die Geldbuße zusätzlich zu oder anstelle von den in Art. 58 II DSGVO genannten Maßnahmen zu ergreifen. Es ist also eine Kombination möglich.

Zusammenfassung

Bei einem Datenschutzverstoß ist das Bußgeld nach DSGVO längst nicht das einzige Risiko. Die Liste der möglichen Maßnahmen der Aufsichtsbehörden ist vergleichbar mit diesem Artikel sehr lang. Unbeachtet bleiben an dieser Stelle auch die wirtschaftlichen und immateriellen Risiken: Imageschaden, Vertrauensverlust, Umsatzeinbußen usw.

Diesen Risiken lässt sich effektiv mit einem guten Datenschutzmanagement begegnen. Binden Sie einen Datenschutzbeauftragten in Ihr Unternehmen ein und stellen Sie so sicher, dass Verarbeitungen rechtskonform stattfinden, überwacht werden und alle Beteiligten immer fachkundig beraten werden können.

Wie läuft ein Verfahren vor der Aufsichtsbehörde ab?

Ein Verfahren vor der Datenschutzaufsichtsbehörde wird in der Regel durch eine Beschwerde einer betroffenen Person oder durch eine eigene Prüfung der Behörde ausgelöst. Nach Eingang einer Beschwerde prüft die Behörde zunächst, ob sie zuständig ist und ob die Beschwerde hinreichend begründet erscheint.

Im nächsten Schritt wird der Verantwortliche kontaktiert und aufgefordert, zu dem Vorwurf Stellung zu nehmen. Diese Stellungnahme sollte laufend ernst genommen und sorgfältig vorbereitet werden, da sie maßgeblich den weiteren Verlauf des Verfahrens beeinflussen kann. Eine unvollständige oder verspätete Antwort kann die Behörde zu weitergehenden Maßnahmen veranlassen.

Nach Auswertung der Stellungnahme entscheidet die Behörde über das weitere Vorgehen. Mögliche Ergebnisse reichen von der Einstellung des Verfahrens über eine Verwarnung bis hin zur Verhängung eines Bußgeldes. In besonders schweren Fällen kann die Behörde auch die Einleitung eines Ordnungswidrigkeitenverfahrens beschließen.

Bußgelder nach Art. 83 DSGVO im Detail

Die Bußgeldvorschriften der DSGVO gehören zu den schärfsten Sanktionsinstrumenten im europäischen Datenschutzrecht. Art. 83 DSGVO unterscheidet dabei zwischen zwei Bußgeldkategorien, die sich nach der Schwere des Verstoßes richten.

Bußgelder bis 10 Millionen Euro

Für Verstöße gegen bestimmte Pflichten des Verantwortlichen oder Auftragsverarbeiters können Geldbußen von bis zu 10 Millionen Euro oder im Fall eines Unternehmens von bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden. Dies betrifft unter anderem Verstöße gegen die Pflichten zur Bestellung eines Datenschutzbeauftragten, die Führung eines Verarbeitungsverzeichnisses oder die Durchführung einer Datenschutz-Folgenabschätzung.

Bußgelder bis 20 Millionen Euro

Schwerwiegendere Verstöße, etwa gegen die Grundsätze der Verarbeitung nach Art. 5 DSGVO, die Rechtmäßigkeit der Verarbeitung, die Bedingungen für die Einwilligung oder die Rechte der betroffenen Person, können mit Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes sanktioniert werden. In beiden Fällen gilt jeweils der höhere Betrag.

Kriterien für die Bußgeldbemessung

Die Aufsichtsbehörden berücksichtigen bei der Festsetzung der Bußgeldhöhe eine Vielzahl von Faktoren. Dazu gehören unter anderem die Art, Schwere und Dauer des Verstoßes, die Vorsätzlichkeit oder Fahrlässigkeit, die getroffenen Maßnahmen zur Minderung des Schadens sowie die Kategorie der betroffenen personenbezogenen Daten.

Besonders relevant ist auch die Frage, ob der Verantwortliche zuvor bereits gegen die DSGVO verstoßen hat. Wiederholungstäter müssen mit deutlich höheren Bußgeldern rechnen. Ebenso wird berücksichtigt, inwieweit der Verantwortliche mit der Aufsichtsbehörde zusammengearbeitet hat, um den Verstoß abzustellen und seine Auswirkungen zu mindern.

Beispiele aus der Praxis

Die deutschen Aufsichtsbehörden haben in den vergangenen Jahren zahlreiche Bußgelder verhängt. Besonders aufsehenerregend war das Bußgeld von 35,3 Millionen Euro gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG durch den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit wegen umfangreicher Überwachung von Beschäftigten.

Auch die Berliner Datenschutzbeauftragte verhängte ein Bußgeld von 14,5 Millionen Euro gegen die Deutsche Wohnen SE, weil das Unternehmen ein Archivsystem nutzte, das keine Möglichkeit zur Löschung nicht mehr erforderlicher Mieterdaten vorsah. Diese Fälle zeigen, dass die Aufsichtsbehörden die ihnen zur Verfügung stehenden Sanktionsmöglichkeiten durchaus nutzen.

Zivilrechtliche Haftung neben dem Bußgeld

Neben den behördlichen Sanktionen drohen Unternehmen bei Datenschutzverstößen auch zivilrechtliche Ansprüche betroffener Personen. Art. 82 DSGVO gewährt jeder Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter.

Die Gerichte sprechen dabei zunehmend auch immaterielle Schadensersatzansprüche zu. Dies kann insbesondere bei Massenverstößen, die viele betroffene Personen gleichzeitig betreffen, zu erheblichen finanziellen Belastungen führen. Die Kombination aus Bußgeld und Schadensersatzforderungen kann für Unternehmen existenzbedrohend werden.

Zusammenarbeit mit der Aufsichtsbehörde als Strategie

Eine kooperative Haltung gegenüber der Aufsichtsbehörde kann sich positiv auf den Ausgang eines Verfahrens auswirken. Art. 83 Abs. 2 lit. f DSGVO sieht ausdrücklich vor, dass der Umfang der Zusammenarbeit mit der Aufsichtsbehörde bei der Bemessung eines Bußgeldes berücksichtigt wird.

Unternehmen sollten daher Anfragen der Aufsichtsbehörde laufend fristgerecht und vollständig beantworten. Auch die vorausschauende Meldung von Datenschutzverletzungen nach Art. 33 DSGVO wird in der Regel positiv bewertet. Wer hingegen versucht, Verstöße zu verschleiern oder die Zusammenarbeit zu verweigern, riskiert deutlich höhere Sanktionen.

Um das Risiko von Sanktionen durch Aufsichtsbehörden zu minimieren, sollten Unternehmen vorausschauend handeln. Ein vollständiges Datenschutz-Management-System bildet die Grundlage für die Einhaltung der DSGVO. Dazu gehören regelmäßige Schulungen der Mitarbeiter, die Implementierung technischer und organisatorischer Maßnahmen sowie die kontinuierliche Überprüfung und Anpassung der Datenverarbeitungsprozesse.

Ein externer Datenschutzbeauftragter kann dabei helfen, Schwachstellen frühzeitig zu identifizieren und geeignete Gegenmaßnahmen zu ergreifen. Durch regelmäßige Audits und Bestandsaufnahmen lässt sich der Datenschutz im Unternehmen systematisch verbessern und das Risiko behördlicher Maßnahmen deutlich reduzieren.

Sie suchen noch nach einem externen Datenschutzbeauftragten? Kontaktieren Sie uns gerne!

Datenschutz für Ihr Unternehmen

• DSGVO-Beratung
• Verarbeitungsverzeichnis
• TOM Datenschutz
• Datenschutz-Schulung

Erstberatung anfragen