Datenschutzverstoß — Strafen für Mitarbeiter, Unternehmen & Privatpersonen

Was ist ein Datenschutzverstoß? — Definition und Abgrenzung

Ein Datenschutzverstoß liegt vor, wenn gegen Bestimmungen der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) oder anderer datenschutzrechtlicher Vorschriften verstoßen wird. Der Begriff ist bewusst weit gefasst und umfasst jede Form der nicht rechtskonformen Verarbeitung personenbezogener Daten.

Wichtig ist die Abgrenzung zur Datenpanne (auch: Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO). Eine Datenpanne ist eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Jede Datenpanne ist ein Datenschutzverstoß — aber nicht jeder Datenschutzverstoß ist eine Datenpanne.

Beispiel: Eine fehlende Datenschutzerklärung auf der Website ist ein Datenschutzverstoß, aber keine Datenpanne. Der Versand einer E-Mail mit offenem Verteiler (CC statt BCC) ist beides — ein Verstoß und eine Datenpanne.

Arten von Datenschutzverstößen

• Verarbeitung ohne Rechtsgrundlage: Daten werden erhoben oder verarbeitet, ohne dass eine Einwilligung, ein Vertrag oder ein berechtigtes Interesse dies rechtfertigt
• Verletzung von Betroffenenrechten: Auskunfts-, Lösch- oder Widerspruchsanfragen werden ignoriert oder nicht fristgerecht bearbeitet
• Mangelhafte technische Sicherheit: Fehlende Verschlüsselung, schwache Passwörter, ungesicherte Datenübertragung
• Organisatorische Mängel: Kein Verzeichnis der Verarbeitungstätigkeiten, fehlende Auftragsverarbeitungsverträge, kein Datenschutzbeauftragter trotz Pflicht
• Unzulässige Übermittlung: Datenweitergabe an Dritte ohne Rechtsgrundlage, Drittlandtransfer ohne angemessenes Schutzniveau
• Verstöße gegen die Meldepflicht: Datenpannen werden nicht oder zu spät an die Aufsichtsbehörde gemeldet

Strafen für Unternehmen nach Art. 83 DSGVO

Die DSGVO sieht ein zweistufiges Bußgeldsystem vor, das sich am Schweregrad des Verstoßes orientiert:

Stufe 1: Bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes

Diese Obergrenze gilt für Verstöße gegen:

• Pflichten des Verantwortlichen und Auftragsverarbeiters (Art. 8, 11, 25–39, 42, 43 DSGVO)
• Pflichten der Zertifizierungsstelle (Art. 42, 43 DSGVO)
• Pflichten der Überwachungsstelle (Art. 41 Abs. 4 DSGVO)

Typische Beispiele: fehlendes Verarbeitungsverzeichnis, fehlender Auftragsverarbeitungsvertrag, keine Datenschutz-Folgenabschätzung trotz Pflicht, mangelhafte technisch-organisatorische Maßnahmen.

Stufe 2: Bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes

Diese Obergrenze gilt für schwerwiegendere Verstöße gegen:

• Grundsätze der Verarbeitung (Art. 5, 6, 7, 9 DSGVO)
• Rechte der betroffenen Personen (Art. 12–22 DSGVO)
• Übermittlung an Drittländer (Art. 44–49 DSGVO)
• Bestimmungen der Mitgliedstaaten
• Nichtbefolgung von Anordnungen der Aufsichtsbehörde

Maßgeblich ist jeweils der höhere Betrag — bei einem Unternehmen mit 500 Millionen Euro Jahresumsatz wäre die Obergrenze der Stufe 2 also 20 Millionen Euro (4 % von 500 Mio. = 20 Mio.).

Kriterien für die Bußgeldbemessung

Die konkrete Höhe eines Bußgeldes richtet sich nach Art. 83 Abs. 2 DSGVO und berücksichtigt unter anderem:

• Art, Schwere und Dauer des Verstoßes
• Vorsätzlichkeit oder Fahrlässigkeit
• Maßnahmen zur Minderung des Schadens
• Grad der Verantwortung unter Berücksichtigung der getroffenen TOMs
• Frühere Verstöße
• Zusammenarbeit mit der Aufsichtsbehörde
• Betroffene Datenkategorien
• Art und Weise, wie der Verstoß bekannt wurde (Eigenanzeige vs. Beschwerde)

Aktuelle Bußgeld-Beispiele aus Deutschland

Deutsche Aufsichtsbehörden haben in den letzten Jahren zahlreiche Bußgelder verhängt:

• 35,3 Mio. Euro gegen H&M (2020) — systematische Überwachung von Mitarbeitern
• 14,5 Mio. Euro gegen Deutsche Wohnen (2019) — unzulässige Speicherung von Mieterdaten
• 10,4 Mio. Euro gegen 1&1 (2019) — unzureichende Authentifizierung bei telefonischen Auskünften
• 1,24 Mio. Euro gegen AOK Baden-Württemberg (2020) — unrechtmäßiges Direktmarketing

Auch kleinere Unternehmen werden sanktioniert: Bußgelder im fünfstelligen Bereich sind bei KMU keine Seltenheit — etwa für fehlende Cookie-Consent-Banner, unrechtmäßige Videoüberwachung oder mangelnde Löschung von Bewerberdaten.

Strafen für Mitarbeiter — Arbeitsrechtliche Konsequenzen

Datenschutzverstöße durch Mitarbeiter können erhebliche arbeitsrechtliche Folgen haben:

Abmahnung

Bei erstmaligen, weniger schwerwiegenden Verstößen — etwa dem versehentlichen Versand einer E-Mail an den falschen Empfänger — ist eine Abmahnung die übliche Reaktion. Die Abmahnung dokumentiert den Verstoß und warnt vor Konsequenzen bei Wiederholung.

Ordentliche Kündigung

Bei wiederholten Verstößen trotz Abmahnung oder bei schwerwiegenden einmaligen Verstößen kann eine ordentliche Kündigung gerechtfertigt sein. Voraussetzung ist in der Regel eine vorherige einschlägige Abmahnung (es sei denn, der Verstoß ist so schwer, dass eine Abmahnung entbehrlich ist).

Fristlose Kündigung

Bei besonders schwerwiegenden, vorsätzlichen Datenschutzverstößen kann eine fristlose Kündigung nach § 626 BGB gerechtfertigt sein. Beispiele: vorsätzlicher Datendiebstahl, Weitergabe von Geschäftsgeheimnissen, systematischer unbefugter Zugriff auf Kundendaten. Arbeitsgerichte prüfen hier immer den Einzelfall.

Schadensersatz gegenüber dem Arbeitgeber

Verursacht ein Mitarbeiter durch einen Datenschutzverstoß einen Schaden (z. B. Bußgeld gegen das Unternehmen), kann der Arbeitgeber unter Umständen Regress nehmen. Die Haftung richtet sich nach den allgemeinen Grundsätzen der Arbeitnehmerhaftung: Bei leichter Fahrlässigkeit keine Haftung, bei mittlerer Fahrlässigkeit anteilige Haftung, bei grober Fahrlässigkeit und Vorsatz volle Haftung.

Besonderheiten für Führungskräfte und Datenschutzbeauftragte

Geschäftsführer und Vorstände tragen eine besondere Verantwortung und können persönlich haftbar gemacht werden — einschließlich einer Organhaftung nach § 43 GmbHG bzw. § 93 AktG. Der betriebliche Datenschutzbeauftragte genießt hingegen besonderen Kündigungsschutz (§ 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG), haftet aber auch für eigene Pflichtverletzungen.

Strafrechtliche Folgen nach §§ 42–43 BDSG

Neben den verwaltungsrechtlichen Bußgeldern der DSGVO sieht das BDSG auch strafrechtliche Sanktionen vor:

§ 42 BDSG — Strafvorschriften

§ 42 Abs. 1 BDSG stellt unter Strafe:

• Unbefugtes Verarbeiten nicht allgemein zugänglicher personenbezogener Daten gegen Entgelt oder in der Absicht, sich oder einen Dritten zu bereichern oder einen anderen zu schädigen → Freiheitsstrafe bis zu drei Jahren oder Geldstrafe
• Erschleichen von personenbezogenen Daten durch unrichtige Angaben → Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe

§ 42 BDSG ist ein Antragsdelikt — die Strafverfolgung setzt grundsätzlich einen Strafantrag der betroffenen Person, des Verantwortlichen, des Datenschutzbeauftragten oder der Aufsichtsbehörde voraus.

§ 43 BDSG — Ordnungswidrigkeiten

§ 43 BDSG ergänzt das Bußgeldregime der DSGVO für spezifisch deutsche Regelungen und droht Bußgelder bis zu 50.000 Euro an für:

• Verstöße gegen die Meldepflicht bei der Benennung eines Datenschutzbeauftragten
• Verstöße gegen spezielle BDSG-Verarbeitungsvorschriften

Weitere strafrechtliche Normen

Je nach Art des Verstoßes können auch andere Straftatbestände einschlägig sein:

• § 202a StGB — Ausspähen von Daten: Freiheitsstrafe bis drei Jahre für unbefugten Zugang zu besonders gesicherten Daten
• § 202b StGB — Abfangen von Daten: Strafbarkeit bei unbefugtem Abfangen nicht für den Täter bestimmter Daten
• § 303a StGB — Datenveränderung: Strafbarkeit bei rechtswidriger Löschung, Unterdrückung oder Veränderung von Daten
• § 203 StGB — Verletzung von Privatgeheimnissen: Relevant für Berufsgeheimnisträger (Ärzte, Anwälte, etc.)

Haftung für Privatpersonen

Auch Privatpersonen können für Datenschutzverstöße haftbar gemacht werden, wenn sie personenbezogene Daten anderer verarbeiten — allerdings nur außerhalb der „Haushaltsausnahme“ (Art. 2 Abs. 2 lit. c DSGVO). Die rein persönliche oder familiäre Nutzung fällt nicht unter die DSGVO.

Relevante Szenarien für Privatpersonen:

• Veröffentlichung von Fotos anderer Personen ohne Einwilligung in sozialen Medien (wenn über den privaten Rahmen hinaus)
• Dashcam-Aufnahmen: permanente, anlasslose Videoüberwachung des öffentlichen Raums
• Weitergabe von Kontaktdaten an Dritte ohne Befugnis
• Stalking und Doxing: systematisches Sammeln und Veröffentlichen persönlicher Daten

Betroffene können Unterlassung, Schadensersatz (Art. 82 DSGVO) und Schmerzensgeld verlangen. Deutsche Gerichte haben Schmerzensgeld zwischen 100 und 5.000 Euro für Datenschutzverstöße durch Privatpersonen zugesprochen.

Schadensersatz nach Art. 82 DSGVO

Art. 82 DSGVO gewährt jeder Person, der wegen eines Datenschutzverstoßes ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder Auftragsverarbeiter.

Entwicklung der Rechtsprechung

Der EuGH hat in mehreren Grundsatzurteilen die Voraussetzungen konkretisiert:

• Ein bloßer DSGVO-Verstoß reicht nicht — es muss ein tatsächlicher Schaden vorliegen
• Der Schaden kann auch immateriell sein (Ärger, Kontrollverlust, Bloßstellung)
• Es gibt keine Bagatellgrenze — auch geringe Schäden sind ersatzfähig
• Die Beweislast für die Einhaltung der DSGVO liegt beim Verantwortlichen (Beweislastumkehr)

Deutsche Gerichte haben Schadensersatzbeträge zwischen 100 und 15.000 Euro für immaterielle Schäden zugesprochen — Tendenz steigend. Besonders hohe Beträge werden bei vorsätzlichen Verstößen, sensiblen Daten und großem Personenkreis zugesprochen.

Die häufigsten Datenschutzverstöße in der Praxis

1. E-Mail-Fehlversand

Der Klassiker: Eine E-Mail mit vertraulichen Informationen geht an den falschen Empfänger, oder ein Newsletter wird mit offenem CC- statt BCC-Verteiler verschickt. Durch diesen einen Fehler werden alle E-Mail-Adressen für alle Empfänger sichtbar — bei großen Verteilern ein massiver Datenschutzverstoß.

2. Unzureichende technische Sicherheit

Fehlende Verschlüsselung, Standard-Passwörter, veraltete Software, ungesicherte WLAN-Netzwerke — die Liste mangelhafter technisch-organisatorischer Maßnahmen ist lang. Besonders kritisch: unverschlüsselte Übertragung personenbezogener Daten per E-Mail oder über HTTP statt HTTPS.

3. Fehlende oder fehlerhafte Datenschutzerklärung

Jede Website, die personenbezogene Daten erhebt (und das tut praktisch jede), benötigt eine vollständige Datenschutzerklärung nach Art. 13 DSGVO. Fehlt sie oder ist sie unvollständig, ist dies ein abmahnfähiger Verstoß.

4. Unrechtmäßige Videoüberwachung

Überwachungskameras am Arbeitsplatz, im Einzelhandel oder an Privathäusern ohne Rechtsgrundlage, ohne Hinweisschilder oder mit übermäßiger Speicherdauer sind einer der häufigsten Beschwerdegründe bei Aufsichtsbehörden.

5. Mangelnde Löschung

Personenbezogene Daten werden über die zulässige Speicherdauer hinaus aufbewahrt — Bewerbungsunterlagen nach Absage, Kundendaten nach Vertragsende, Mitarbeiterdaten nach Ausscheiden. Fehlende Löschkonzepte sind ein Dauerbrenner.

6. Fehlende Auftragsverarbeitungsverträge

Wenn Dienstleister personenbezogene Daten im Auftrag verarbeiten (Cloud-Anbieter, IT-Support, Lohnbuchhaltung), ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht. Das Fehlen solcher Verträge wird regelmäßig beanstandet.

Meldepflicht nach Art. 33 DSGVO — Die 72-Stunden-Frist

Nicht jeder Datenschutzverstoß muss gemeldet werden — aber jede Datenpanne, die voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, muss gemäß Art. 33 DSGVO binnen 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden.

Was muss gemeldet werden?

• Art der Verletzung
• Betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen
• Kontaktdaten des Datenschutzbeauftragten
• Beschreibung der wahrscheinlichen Folgen
• Ergriffene oder vorgeschlagene Gegenmaßnahmen

Wann müssen auch Betroffene informiert werden?

Art. 34 DSGVO verlangt zusätzlich die Benachrichtigung der betroffenen Personen, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten mit sich bringt. Die Benachrichtigung muss in klarer, einfacher Sprache erfolgen.

Konsequenzen bei unterlassener Meldung

Die Nicht-Meldung einer meldepflichtigen Datenpanne ist selbst ein Datenschutzverstoß — und kann mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes sanktioniert werden. In der Praxis wird die unterlassene oder verspätete Meldung von Aufsichtsbehörden besonders kritisch bewertet.

Prävention: So vermeiden Unternehmen Datenschutzverstöße

1. Regelmäßige Datenschutzschulungen

Der häufigste Auslöser für Datenschutzverstöße ist menschliches Versagen. Regelmäßige Schulungen sensibilisieren Mitarbeiter für typische Risiken und vermitteln praktische Handlungsanleitungen. Die DSGVO verlangt, dass Mitarbeiter „angemessen geschult“ sind.

2. Angemessene technisch-organisatorische Maßnahmen

Ein dokumentiertes TOM-Konzept schützt vor Verstößen und reduziert gleichzeitig die Bußgeldhöhe im Ernstfall. Verschlüsselung, Zugriffskontrollen, regelmäßige Updates und Backups sind Basis-Maßnahmen.

3. Datenschutzbeauftragter

Unternehmen mit regelmäßig mindestens 20 Beschäftigten, die personenbezogene Daten verarbeiten, müssen einen Datenschutzbeauftragten benennen. Aber auch ohne Pflicht ist ein externer Datenschutzbeauftragter eine lohnende Investition — er erkennt Risiken frühzeitig und verhindert kostspielige Verstöße.

4. Regelmäßige Datenschutz-Audits

Systematische Überprüfungen decken Schwachstellen auf, bevor sie zu Verstößen führen. Audits sollten mindestens jährlich durchgeführt werden — bei hohem Risiko häufiger.

5. Incident-Response-Plan

Ein vorbereiteter Plan für den Umgang mit Datenpannen stellt sicher, dass die 72-Stunden-Frist eingehalten wird und alle notwendigen Schritte systematisch abgearbeitet werden. Der Plan sollte regelmäßig geübt werden.

6. Offene Fehlerkultur

Mitarbeiter müssen wissen, dass sie Datenpannen sofort melden sollen — ohne Angst vor Bestrafung. Nur so kann das Unternehmen rechtzeitig reagieren und die Meldepflicht einhalten. Eine Kultur der Vertuschung führt zu deutlich höheren Schäden.

Häufig gestellte Fragen (FAQ)

Welche Strafen drohen bei einem Datenschutzverstoß?

Die Konsequenzen sind verschieden: Bußgelder bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO), Schadensersatz an betroffene Personen (Art. 82 DSGVO), strafrechtliche Konsequenzen nach §§ 42–43 BDSG (Geld- oder Freiheitsstrafe bis drei Jahre), arbeitsrechtliche Folgen für Mitarbeiter von der Abmahnung bis zur fristlosen Kündigung sowie erhebliche Reputationsschäden.

Was ist ein Datenschutzverstoß?

Ein Datenschutzverstoß ist jede Verletzung der DSGVO, des BDSG oder anderer datenschutzrechtlicher Vorschriften. Das umfasst unter anderem unzulässige Datenverarbeitung, fehlende Einwilligungen, mangelhafte technische Schutzmaßnahmen, Verstöße gegen Betroffenenrechte und Meldepflichtverletzungen. Nicht jeder Verstoß ist automatisch eine meldepflichtige Datenpanne.

Können Mitarbeiter persönlich für Datenschutzverstöße haften?

Ja, Mitarbeiter können persönlich haften: arbeitsrechtlich (Abmahnung, Kündigung, Regressansprüche des Arbeitgebers), strafrechtlich nach § 42 BDSG bei vorsätzlichem unbefugtem Datenzugriff, und zivilrechtlich durch Schadensersatzansprüche betroffener Personen. Besonders betroffen sind Mitarbeiter, die vorsätzlich oder grob fahrlässig handeln.

Muss jeder Datenschutzverstoß gemeldet werden?

Nein. Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde nur bei Verletzungen des Schutzes personenbezogener Daten (Datenpannen), die voraussichtlich ein Risiko für betroffene Personen darstellen. Die Meldung muss innerhalb von 72 Stunden erfolgen. Interne Compliance-Verstöße ohne Datenpanne sind nicht meldepflichtig.

Was sind die häufigsten Datenschutzverstöße in Unternehmen?

Die häufigsten Verstöße sind: E-Mail-Fehlversand (offenes CC statt BCC), unzureichende technische Sicherheit (fehlende Verschlüsselung), fehlende oder fehlerhafte Datenschutzerklärungen, unrechtmäßige Videoüberwachung, Verarbeitung ohne Rechtsgrundlage, mangelnde Löschung nach Fristablauf und fehlende Auftragsverarbeitungsverträge.

Wie können Unternehmen Datenschutzverstöße verhindern?

Wirksame Prävention umfasst: regelmäßige Datenschutzschulungen für alle Mitarbeiter, Benennung eines kompetenten Datenschutzbeauftragten, angemessene technisch-organisatorische Maßnahmen, klare interne Richtlinien, regelmäßige Audits, einen vorbereiteten Incident-Response-Plan und eine offene Fehlerkultur, die frühzeitiges Melden von Vorfällen fördert statt bestraft.

Datenschutzverstöße und Unternehmensreputation

Neben den rechtlichen und finanziellen Konsequenzen verursachen Datenschutzverstöße oft erhebliche Reputationsschäden, die langfristig teurer sein können als jedes Bußgeld. Studien zeigen, dass Unternehmen nach öffentlich gewordenen Datenschutzvorfällen durchschnittlich 3–5 Prozent ihres Kundenstamms verlieren — bei vertrauenssensiblen Branchen wie Finanzdienstleistungen oder Gesundheitswesen deutlich mehr.

Die DSGVO verstärkt diesen Effekt: Art. 34 DSGVO verpflichtet zur Benachrichtigung betroffener Personen bei hohem Risiko, was Datenschutzvorfälle öffentlich macht. Zudem veröffentlichen mehrere Aufsichtsbehörden Bußgeldentscheidungen namentlich — das Bußgeld wird so zur öffentlichen Angelegenheit. Die Kombination aus Bußgeld und negativer Berichterstattung kann für kleinere Unternehmen existenzbedrohend sein.

Datenschutzverstöße im internationalen Vergleich

Die DSGVO hat weltweit Maßstäbe gesetzt, aber auch andere Jurisdiktionen haben strenge Datenschutzregime etabliert. Die UK GDPR sieht nach dem Brexit weitgehend identische Bußgeldrahmen vor, die ICO hat bereits Strafen in Millionenhöhe verhängt. Brasiliens LGPD droht mit Bußgeldern bis 2 Prozent des brasilianischen Umsatzes, maximal 50 Millionen BRL pro Verstoß. Kaliforniens CCPA/CPRA sieht bis 7.500 Dollar pro vorsätzlichem Verstoß vor, mit privaten Klagerechten bei Datenpannen. Chinas PIPL ist besonders streng mit Bußgeldern bis 5 Prozent des Jahresumsatzes und persönlicher Haftung von Führungskräften.

Für international tätige Unternehmen bedeutet dies: Die Einhaltung der DSGVO ist notwendig, aber nicht immer hinreichend. Länderspezifische Anforderungen müssen zusätzlich berücksichtigt werden.

Whistleblowing und Datenschutzverstöße

Das Hinweisgeberschutzgesetz (HinSchG), das seit Juli 2023 in Deutschland gilt, schützt Personen, die Datenschutzverstöße melden. Unternehmen mit mindestens 50 Beschäftigten müssen interne Meldekanäle einrichten. Für Datenschutzverstöße bedeutet das: Mitarbeiter können Verstöße anonym melden, ohne arbeitsrechtliche Konsequenzen befürchten zu müssen. Dies erhöht das Entdeckungsrisiko für Unternehmen, die Datenschutzverstöße ignorieren oder vertuschen.

Versicherungsschutz bei Datenschutzverstößen

Cyber-Versicherungen können die finanziellen Folgen von Datenschutzverstößen abmildern. Typische Leistungen umfassen Kosten für forensische Untersuchungen, Rechtsberatungskosten, Kosten für die Benachrichtigung betroffener Personen, PR-Krisenmanagement und Schadensersatzansprüche Dritter. Wichtig ist allerdings: DSGVO-Bußgelder sind in der Regel nicht versicherbar, da sie als persönliche Sanktion gegen den Verantwortlichen gelten. Auch vorsätzliche Verstöße sind vom Versicherungsschutz ausgeschlossen. Die Versicherung ergänzt, aber ersetzt nicht ein solides Datenschutzkonzept.

Datenschutzverstöße verhindern — mit professioneller Unterstützung

Prävention ist immer günstiger als Sanktion. Als externer Datenschutzbeauftragter unterstützt die DATUREX GmbH Unternehmen in Dresden, Sachsen und bundesweit dabei, Datenschutzverstöße systematisch zu verhindern — durch Schulungen, Audits, TOM-Konzepte und die professionelle Begleitung bei Datenpannen. Wir kennen die Anforderungen der sächsischen Datenschutzaufsicht und helfen Ihnen, diese effizient zu erfüllen.

→ Jetzt kostenlose Erstberatung anfordern — bevor der Ernstfall eintritt