DSGVO-Bußgeldrechner 2026 — Bußgeld nach Art. 83 DSGVO schätzen
Schätzen Sie das mögliche Bußgeld bei einem Datenschutzverstoß nach Art. 83 DSGVO — auf Basis des DSK-Tagessatzmodells der deutschen Aufsichtsbehörden und der EDSA-Leitlinien 04/2022. Mit nachvollziehbarer Schritt-für-Schritt-Herleitung, aktueller Rechtsprechung (EuGH „Deutsche Wohnen“) und echten Bußgeld-Beispielen.
Geschätztes Bußgeld (DSK-Tagessatzmodell)
– €
Spanne: –
Gesetzliches Maximum: –
Schritt-für-Schritt-Herleitung
- Berechnung wird nach Eingabe angezeigt.
Was zählt überhaupt als DSGVO-Verstoß – und was löst ein Bußgeld aus?
Nicht jeder Datenschutz-Fehler führt automatisch zu einem Bußgeld – aber Art. 83 DSGVO unterscheidet zwei Verstoß-Kategorien mit unterschiedlichen Höchstgrenzen. So ordnen Sie Ihren Fall für den Rechner ein. Die häufigsten bußgeldbewehrten Verstöße:
Verletzung von Organisations- & Nachweispflichten:
- Kein Verzeichnis von Verarbeitungstätigkeiten (Art. 30)
- Trotz Pflicht kein Datenschutzbeauftragter benannt (Art. 37–39)
- Fehlender Auftragsverarbeitungsvertrag mit Dienstleistern (Art. 28)
- Unzureichende oder nicht dokumentierte technisch-organisatorische Maßnahmen (Art. 32)
- Datenpanne nicht oder zu spät gemeldet (Art. 33/34 – Frist: 72 Stunden)
- Keine Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 35)
Verletzung von Grundsätzen & Betroffenenrechten:
- Verarbeitung ohne Rechtsgrundlage oder ohne wirksame Einwilligung (Art. 6, 7)
- Verstoß gegen die Verarbeitungsgrundsätze – z. B. fehlende Zweckbindung oder unterlassene Löschung (Art. 5)
- Missachtung von Betroffenenrechten: Auskunft, Löschung, Widerspruch (Art. 12–22)
- Werbung / Tracking ohne Einwilligung (Cookies, Newsletter, Profiling)
- Verarbeitung besonderer Datenkategorien – Gesundheit, Religion, Biometrie – ohne Erlaubnis (Art. 9)
- Unzulässige Datenübermittlung in Drittländer (Art. 44 ff.)
Und wie ordne ich den Schweregrad ein?
| Schweregrad | Typische Merkmale |
|---|---|
| Leicht | Einmalig, wenige Betroffene, keine sensiblen Daten, schnell behoben. |
| Mittel | Systematisch oder über längere Zeit, größerer Betroffenenkreis, spürbarer Kontrollverlust. |
| Schwer | Viele Betroffene, sensible Daten (Art. 9) oder struktureller Organisationsmangel. |
| Sehr schwer | Vorsätzlich, Massendaten, besondere Kategorien betroffen, fehlende Kooperation mit der Behörde. |
So rechnen die Aufsichtsbehörden – die Methodik
1. Das DSK-Bußgeldkonzept (Tagessatzmodell, Oktober 2019)
Die deutschen Aufsichtsbehörden (Datenschutzkonferenz) bemessen Bußgelder gegen Unternehmen in fünf Stufen. Dieses Modell liefert die konkrete €-Schätzung dieses Rechners:
- Stufe 1 – Größenklasse: Einordnung des Unternehmens nach Vorjahres-Gesamtumsatz in eine von vier Hauptklassen (Kleinst-, kleine, mittlere, Großunternehmen) mit Untergruppen.
- Stufe 2 – mittlerer Jahresumsatz: Bestimmung des mittleren Jahresumsatzes der jeweiligen Untergruppe.
- Stufe 3 – Tagessatz: mittlerer Jahresumsatz ÷ 360.
- Stufe 4 – Schweregradfaktor: Multiplikation des Tagessatzes mit einem Faktor je nach Schwere der Tat – getrennt für formelle (Art. 83 Abs. 4) und materielle Verstöße (Art. 83 Abs. 5).
- Stufe 5 – Einzelfallanpassung: Anpassung anhand der täterbezogenen Umstände nach Art. 83 Abs. 2 und Deckelung beim gesetzlichen Maximum.
Schweregradfaktoren des DSK-Konzepts:
| Schweregrad | Formeller Verstoß (Art. 83 Abs. 4) | Materieller Verstoß (Art. 83 Abs. 5) |
|---|---|---|
| Leicht | Faktor 1 – 2 | Faktor 1 – 4 |
| Mittel | Faktor 2 – 4 | Faktor 4 – 8 |
| Schwer | Faktor 4 – 6 | Faktor 8 – 12 |
| Sehr schwer | Faktor > 6 | Faktor > 12 |
Größenklassen & mittlerer Jahresumsatz (Auszug):
| Klasse | Jahresumsatz | Mittlerer Umsatz (Berechnungsbasis) |
|---|---|---|
| Kleinstunternehmen | bis 2 Mio € | 0,35 – 1,7 Mio € |
| Kleine Unternehmen | 2 – 10 Mio € | 2,4 – 7,75 Mio € |
| Mittlere Unternehmen | 10 – 50 Mio € | 13,75 – 40 Mio € |
| Großunternehmen | über 50 Mio € | 62,5 Mio € bis tatsächlicher Umsatz |
2. Die EDSA-Leitlinien 04/2022 (EU-weiter Rahmen)
Der Europäische Datenschutzausschuss (EDSA/EDPB) hat 2023 ein harmonisiertes Berechnungsmodell veröffentlicht. Es bestimmt einen Ausgangsbetrag als Anteil am gesetzlichen Höchstbetrag, gestaffelt nach der Schwere des Verstoßes:
| Schwere-Einstufung | Ausgangskorridor (Anteil am gesetzlichen Maximum) |
|---|---|
| Geringe Schwere | 0 – 10 % |
| Mittlere Schwere | 10 – 20 % |
| Hohe Schwere | 20 – 100 % |
Anschließend wird der Betrag an den Umsatz des Unternehmens angepasst (Verhältnismäßigkeit) und nach den Faktoren des Art. 83 Abs. 2 erhöht oder gemindert. Dieser Rechner nutzt den Schwere-Korridor als Gegenprobe: Er zeigt, in welchem Bereich des gesetzlichen Maximums die DSK-Schätzung liegt. Dass beide Modelle abweichen – besonders bei kleinen Unternehmen – ist methodisch gewollt: Das DSK-Modell ist umsatzgebunden, der EDSA-Ausgangskorridor abstrakt am Höchstbetrag orientiert (vor der Umsatz-Anpassung).
Die Bemessungsfaktoren nach Art. 83 Abs. 2 DSGVO
Ob ein Bußgeld am oberen oder unteren Rand liegt, entscheidet sich an den gesetzlichen Kriterien des Art. 83 Abs. 2 DSGVO. Die wichtigsten:
| Faktor | Wirkung |
|---|---|
| Art, Schwere & Dauer (lit. a) | Umfang der Verarbeitung, Zahl der Betroffenen, Schadenshöhe – Kernkriterium der Schwere. |
| Vorsatz oder Fahrlässigkeit (lit. b) | Vorsätzliche Verstöße werden deutlich höher geahndet. |
| Schadensminderung (lit. c) | Maßnahmen zur Begrenzung des Schadens wirken mildernd. |
| Verantwortungsgrad & TOM (lit. d) | Umgesetzte technisch-organisatorische Maßnahmen (Art. 32) mindern das Bußgeld. |
| Frühere Verstöße (lit. e) | Einschlägige Wiederholungen erhöhen erheblich. |
| Kooperation (lit. f) | Zusammenarbeit mit der Aufsichtsbehörde wirkt mildernd. |
| Datenkategorien (lit. g) | Besondere Kategorien nach Art. 9 (Gesundheit, Religion, Biometrie) erhöhen das Bußgeld. |
| Art der Bekanntwerdung (lit. h) | Eigene Meldung (Art. 33) wirkt mildernd gegenüber behördlicher Aufdeckung. |
Neueste Rechtsprechung: das Urteil „Deutsche Wohnen" (EuGH C-807/21)
Am 5. Dezember 2023 hat der Europäische Gerichtshof (Rs. C-807/21, Deutsche Wohnen) zwei für die Bußgeldpraxis zentrale Fragen geklärt:
- Verschulden erforderlich: Ein Bußgeld setzt einen schuldhaften Verstoß voraus – Vorsatz oder Fahrlässigkeit. Eine rein objektive Haftung genügt nicht.
- Unmittelbare Unternehmenshaftung: Eine Geldbuße kann direkt gegen eine juristische Person verhängt werden, ohne dass der Verstoß einer bestimmten natürlichen Leitungsperson zugeordnet werden muss. Für die Umsatz-Berechnung gilt der funktionale Unternehmensbegriff des EU-Kartellrechts (Konzernumsatz).
Praktische Folge: Der maßgebliche Umsatz für das gesetzliche Maximum ist der weltweite Gesamtkonzernumsatz – relevant für die 2-%- bzw. 4-%-Grenze in diesem Rechner.
Echte DSGVO-Bußgelder (Auswahl)
| Unternehmen | Bußgeld | Behörde / Jahr | Verstoß / Status |
|---|---|---|---|
| Meta Platforms (Facebook) | 1,2 Mrd € | DPC Irland · 2023 | Unzulässige Datentransfers in die USA (höchstes DSGVO-Bußgeld überhaupt). |
| Amazon Europe | 746 Mio € | CNPD Luxemburg · 2021 | Werbe-/Cookie-Praktiken; Verfahren noch nicht rechtskräftig. |
| TikTok | 345 Mio € | DPC Irland · 2023 | Verarbeitung von Kinderdaten, voreingestellte Sichtbarkeit. |
| Google (LLC) | 50 Mio € | CNIL Frankreich · 2019 | Intransparenz & fehlende Einwilligung bei personalisierter Werbung. |
| H&M | 35,3 Mio € | Hamburg · 2020 | Heimliche Überwachung von Beschäftigten. |
| Deutsche Wohnen SE | 14,5 Mio € | Berlin · 2019 | Aufbewahrung ohne Löschkonzept; Grundlage des EuGH-Urteils C-807/21. |
| Notebooksbilliger.de | 10,4 Mio € | Niedersachsen · 2021 | Videoüberwachung; vom LG Hannover später weitgehend aufgehoben. |
| 1&1 Telecom | 9,55 Mio € | BfDI · 2019 | Unzureichende Authentifizierung; vom LG Bonn auf 900.000 € reduziert. |
| AOK Baden-Württemberg | 1,24 Mio € | Baden-Württemberg · 2020 | Gewinnspiel-Daten für Werbung ohne wirksame Einwilligung. |
Hinweis: Mehrere Bußgelder wurden gerichtlich reduziert oder aufgehoben – ein weiterer Beleg dafür, dass Schätzungen nur Orientierung bieten.
Bußgeldrisiko konkret prüfen lassen
Ein externer Datenschutzbeauftragter senkt Ihr Bußgeldrisiko nachweislich – durch geprüfte TOM, Löschkonzepte und ein belastbares Verarbeitungsverzeichnis. Wir beraten bundesweit, branchenerfahren und TÜV-/BSI-zertifiziert.
Kostenloses Erstgespräch Externen DSB beauftragenQuellen & Rechtsgrundlagen
- Art. 83 DSGVO – Allgemeine Bedingungen für die Verhängung von Geldbußen (Volltext).
- § 41 BDSG – Anwendung der Vorschriften über das Bußgeld- und Strafverfahren.
- EDSA-Leitlinien 04/2022 zur Berechnung von Geldbußen nach der DSGVO (finale Fassung vom 24.05.2023).
- DSK – Konzept der unabhängigen Datenschutzaufsichtsbehörden zur Bußgeldzumessung (Oktober 2019).
- EuGH, Urteil vom 05.12.2023, Rs. C-807/21 (Deutsche Wohnen SE) – Verschuldenserfordernis & unmittelbare Unternehmenshaftung.
Häufige Fragen zum DSGVO-Bußgeld
- Wie hoch können DSGVO-Bußgelder maximal sein?
- Bei materiellen Verstößen (Art. 83 Abs. 5 DSGVO) bis zu 20 Mio € oder 4 % des weltweiten Jahresumsatzes des Vorjahres – je nachdem, welcher Betrag höher ist. Bei formellen Verstößen (Art. 83 Abs. 4) bis zu 10 Mio € oder 2 %.
- Wie berechnet die Aufsichtsbehörde ein Bußgeld?
- Deutsche Behörden nutzen das DSK-Tagessatzmodell: Unternehmensgröße → mittlerer Jahresumsatz → Tagessatz (Umsatz ÷ 360) → Schweregradfaktor → Einzelfallanpassung nach Art. 83 Abs. 2. EU-weit gilt zusätzlich die EDSA-Leitlinie 04/2022.
- Wonach richtet sich die konkrete Höhe?
- Nach den Kriterien des Art. 83 Abs. 2 DSGVO: Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Zahl der Betroffenen, betroffene Datenkategorien, frühere Verstöße, Kooperation mit der Behörde und umgesetzte technisch-organisatorische Maßnahmen.
- Was hat das EuGH-Urteil „Deutsche Wohnen" geändert?
- Der EuGH (C-807/21, 05.12.2023) stellte klar, dass ein Bußgeld ein Verschulden (Vorsatz/Fahrlässigkeit) voraussetzt, aber direkt gegen das Unternehmen verhängt werden kann. Für das gesetzliche Maximum zählt der weltweite Konzernumsatz.
- Ist das Ergebnis dieses Rechners verbindlich?
- Nein. Es ist eine unverbindliche Orientierungs-Schätzung und ersetzt keine Rechtsberatung. Die tatsächliche Bußgeldhöhe legen Aufsichtsbehörden und Gerichte im Einzelfall fest und können erheblich abweichen.