Bußgelder, Aufsichtsbehörden und Praxisfälle
„DSGVO ist doch nur Bürokratie" – diesen Satz hört man oft. Bis das erste Bußgeldbescheid ankommt. Die DSGVO hat Zähne: Verstöße können mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden – je nachdem was höher ist. Diese Lektion zeigt, wie das Sanktionssystem aufgebaut ist, wer es vollzieht und was echte Unternehmen erlebt haben.
1) Das Bußgeldsystem der DSGVO (Art. 83)
Art. 83 DSGVO sieht zwei Bußgeld-Stufen vor, die sich nach der Schwere des Verstoßes richten. Wichtig: Es handelt sich um Maximalbeträge. Die tatsächliche Höhe richtet sich nach Kriterien wie Schwere und Dauer des Verstoßes, Kooperationsbereitschaft, Vorsatz oder Fahrlässigkeit und ob das Unternehmen den Verstoß selbst gemeldet hat.
2) Die Aufsichtsbehörden
Die DSGVO wird dezentral durch nationale und regionale Aufsichtsbehörden vollzogen. In Deutschland gibt es wegen des Föderalismus sowohl Landesbehörden (eine pro Bundesland, zuständig für nicht-öffentliche Stellen mit Sitz im jeweiligen Land) als auch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) für Bundesbehörden und Telekommunikationsanbieter.
| Behörde | Zuständigkeit |
|---|---|
| LfDI / LDA (je Bundesland) | Unternehmen und private Stellen mit Sitz im jeweiligen Bundesland |
| BfDI | Bundesbehörden, Telekommunikationsanbieter, Post |
| One-Stop-Shop | EU-weit tätige Unternehmen: zuständig ist die Behörde am Hauptsitz (z.B. Irland für Google, Meta) |
3) Reale Praxisfälle
Abstrakte Regeln werden greifbarer durch echte Fälle. Die folgenden Praxisfälle zeigen, welche Verstöße zu Bußgeldern geführt haben – und was man daraus lernen kann. Klicke auf einen Fall für Details.
Zusammenfassung
Das DSGVO-Bußgeldsystem hat zwei Stufen: bis 10 Mio. € für Organisationspflichtverletzungen (fehlender AVV, kein DSB, keine TOMs) und bis 20 Mio. € für Verstöße gegen Grundprinzipien und Betroffenenrechte. Vollzogen wird die DSGVO durch nationale Aufsichtsbehörden (in Deutschland LfDI je Bundesland und BfDI). Reale Fälle zeigen: Am teuersten sind systematische Verstöße, fehlende Löschkonzepte, ungültige Einwilligungen und unzulässige Datentransfers. Wer die Grundprinzipien aus Art. 5 DSGVO einhält und dokumentiert, ist auf der sicheren Seite.