DSGVO-Bußgelder 2026: Statistik, Rekordstrafen & Trends

Kernzahlen auf einen Blick

Die 10 höchsten DSGVO-Bußgelder aller Zeiten (EU)

Auffällig: 8 der 10 höchsten Bußgelder verhängte die irische DPC — dort sitzen die EU-Zentralen der großen Tech-Konzerne. Irland führt mit kumuliert rund 4,04 Mrd. € die Bußgeld-Statistik an.

Deutschland: Bußgeld-Bilanz 2025

Die deutschen Aufsichtsbehörden verhängten 2025 insgesamt 249 Bußgelder mit einer Gesamtsumme von knapp 47 Millionen Euro — weniger Verfahren als im Vorjahr, aber eine deutlich höhere Summe. Das liegt vor allem am größten deutschen DSGVO-Bußgeld aller Zeiten:

• Vodafone GmbH — 45 Mio. € (BfDI, 2025): 15 Mio. € wegen unzureichender Kontrolle von Auftragsverarbeitern (Partneragenturen) + 30 Mio. € wegen Sicherheitsmängeln bei Authentifizierungsverfahren („MeinVodafone“/Hotline). Zum Vergleich: Der bisherige deutsche Rekord lag bei H&M mit 35,3 Mio. € (2020, Hamburg).
• Aktivste Behörde nach Fallzahl: Bremen mit 101 Bußgeldern — mehr als doppelt so viele wie Hessen (47).
• Volkswagen: Ein Bußgeld über 4,3 Mio. € wurde wegen eines Verfahrensfehlers der Staatsanwaltschaft Hannover hinfällig.

Die höchsten deutschen DSGVO-Bußgelder (historisch)

Was wird am häufigsten sanktioniert?

Über alle Jahre zeigen sich drei wiederkehrende Bußgeld-Treiber:

1. Unzureichende technische und organisatorische Maßnahmen (Art. 32 DSGVO) — Sicherheitslücken, fehlende Zugriffskontrollen, schwache Authentifizierung (Kern des Vodafone-Falls).
2. Fehlende Rechtsgrundlage der Verarbeitung (Art. 5/6 DSGVO) — Tracking und Werbung ohne wirksame Einwilligung (Amazon, Meta).
3. Unzulässige Drittlandtransfers (Kap. V DSGVO) — die beiden größten Bußgelder überhaupt (Meta 1,2 Mrd. €, TikTok 530 Mio. €) betrafen Datenübermittlungen in die USA bzw. nach China.

Für den Mittelstand relevanter als die Tech-Rekorde: Die Masse der deutschen Verfahren trifft kleine und mittlere Unternehmen — typisch sind vierstellige bis niedrig sechsstellige Bußgelder für fehlende Auskunftserteilung (Art. 15), zu späte Datenpannen-Meldung (Art. 33) oder offene E-Mail-Verteiler. Wie sich ein Bußgeld konkret bemisst, können Sie mit unserem DSGVO-Bußgeldrechner nach dem DSK-Tagessatzmodell nachvollziehen.

Diese Statistik zitieren

Häufige Fragen

Wie hoch ist das höchste DSGVO-Bußgeld aller Zeiten?

1,2 Milliarden Euro gegen Meta Platforms (Mai 2023, irische DPC) wegen unzulässiger Datentransfers in die USA. Das höchste deutsche Bußgeld sind 45 Millionen Euro gegen Vodafone (BfDI, 2025).

Wie viele DSGVO-Bußgelder gab es in Deutschland 2025?

249 Bußgelder mit einer Gesamtsumme von knapp 47 Millionen Euro. Die meisten Einzelverfahren führte Bremen (101), die höchste Einzelstrafe verhängte der BfDI (Vodafone, 45 Mio. €).

Wie hoch kann ein DSGVO-Bußgeld maximal sein?

Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes — je nachdem, welcher Wert höher ist (Art. 83 Abs. 5 DSGVO). Für formelle Verstöße gilt die halbe Obergrenze (10 Mio. € / 2 %).

Treffen DSGVO-Bußgelder auch kleine Unternehmen?

Ja. Die Masse der deutschen Verfahren richtet sich gegen KMU — typische Auslöser sind fehlende Auskunftserteilung, verspätete Datenpannen-Meldungen, offene E-Mail-Verteiler oder unzulässige Videoüberwachung. Ein externer Datenschutzbeauftragter reduziert dieses Risiko systematisch.

Quellen & Methodik

Aggregierte Zahlen: DLA Piper GDPR Fines and Data Breach Survey (Januar 2026) · Einzelfälle: Pressemitteilungen der Aufsichtsbehörden (BfDI, DPC, CNPD, AP) und GDPR Enforcement Tracker · Deutschland-Auswertung 2025: DSGVO-Portal Jahresrückblick. Beträge teils gerundet; gerichtliche Reduzierungen sind vermerkt. Dieser Report wird jährlich aktualisiert.