Datenschutz · Art. 83 DSGVO · Bußgeldverfahren
DSGVO-Bußgeld
Höhe, Berechnung & Verteidigung
Bei Datenschutzverstößen können Aufsichtsbehörden erhebliche Geldbußen verhängen. Die bekannten Höchstgrenzen von 10 Mio. € / 2 % beziehungsweise 20 Mio. € / 4 % des weltweiten Jahresumsatzes sind aber keine Pauschalen. Entscheidend sind der konkrete Verstoß, Verschulden, Schwere, Unternehmensumsatz und die Umstände des Einzelfalls.
Stand 5.10.2026 · Kanzlei Wrase in Hamburg · bundesweite Beratung
Anhörung oder Bußgeldbescheid erhalten?
Senden Sie die Anhörung, den Bußgeldbescheid oder die Anfrage der Datenschutzaufsicht und – soweit vorhanden – die zugrunde liegende Datenschutzdokumentation.
040 228 682 10 →mail@lawst.de →
Behördenschreiben, Verfahrensverzeichnis, TOM, Datenschutz-Folgenabschätzung, Auftragsverarbeitungsverträge oder Meldungen zu Datenpannen können Sie ergänzend per E-Mail übersenden.
Eine Anfrage allein begründet keine Mandatsübernahme. Verteidigungsstrategie, Fristen und Kosten werden vor einer Beauftragung geklärt. Hinweise zur Datenverarbeitung finden Sie in der Datenschutzerklärung.
- Höchstbetrag ist nicht Regelbetrag. Art. 83 verlangt in jedem Einzelfall eine wirksame, verhältnismäßige und abschreckende Geldbuße.
- Verschulden ist erforderlich. Nach EuGH „Deutsche Wohnen“ genügt kein reiner objektiver Pflichtenverstoß; Vorsatz oder Fahrlässigkeit müssen nachgewiesen sein.
- Konzernumsatz kann zählen. Seit EuGH „ILVA“ ist geklärt, dass bei Unternehmen die wirtschaftliche Einheit und damit gegebenenfalls der Gruppenumsatz relevant ist.
Kurzantwort
Wann kann ein DSGVO-Bußgeld verhängt werden?
Eine Datenschutzaufsichtsbehörde kann bei Verstößen gegen die DSGVO eine Geldbuße nach Art. 83 DSGVO verhängen. Ob überhaupt ein Bußgeld erforderlich ist und wie hoch es ausfällt, muss im konkreten Einzelfall beurteilt werden. Art. 83 verlangt, dass jede Geldbuße wirksam, verhältnismäßig und abschreckend ist.
Betroffene Personen können sich bei einer Aufsichtsbehörde beschweren. Sie haben jedoch keinen Anspruch darauf, dass gegen ein Unternehmen eine bestimmte Geldbuße verhängt wird. Die Auswahl der Abhilfemaßnahme liegt bei der zuständigen Behörde. Neben oder anstelle einer Geldbuße kommen etwa Verwarnungen, Anweisungen, Beschränkungen oder Verbote der Verarbeitung nach Art. 58 DSGVO in Betracht.
Wie hoch kann ein DSGVO-Bußgeld sein?
Art. 83 DSGVO unterscheidet die gesetzlichen Höchstgrenzen nach der verletzten Vorschrift. Die Einordnung richtet sich nicht danach, ob eine Behörde den Fall subjektiv als „leicht“ oder „schwer“ bezeichnet, sondern zunächst danach, welche DSGVO-Pflicht verletzt wurde.
Bis 10 Mio. € oder 2 %
Art. 83 Abs. 4 DSGVO erfasst insbesondere Pflichten der Verantwortlichen und Auftragsverarbeiter aus Art. 8, 11, 25 bis 39 sowie 42 und 43 DSGVO. Bei Unternehmen gilt bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, wenn dieser Betrag höher ist.
Bis 20 Mio. € oder 4 %
Art. 83 Abs. 5 und 6 DSGVO erfasst unter anderem Verstöße gegen die Grundsätze der Verarbeitung und Rechtsgrundlagen, Betroffenenrechte, Drittlandübermittlungen sowie die Nichtbefolgung bestimmter Anweisungen der Aufsichtsbehörde. Bei Unternehmen gilt bis zu 4 % des weltweiten Jahresumsatzes, wenn dieser Betrag höher ist.
Bei mehreren Verstößen im Rahmen gleicher oder miteinander verbundener Verarbeitungsvorgänge begrenzt Art. 83 Abs. 3 DSGVO den Gesamtbetrag auf den Höchstbetrag des schwerwiegendsten Verstoßes. Die einzelnen Pflichtverletzungen bleiben bei der Bewertung des Sachverhalts dennoch relevant.
Welche DSGVO-Verstöße führen typischerweise zu Bußgeldrisiken?
Die Altfassung dieser Seite stellte Einwilligungen zu stark in den Mittelpunkt. Personenbezogene Daten dürfen auch auf andere Rechtsgrundlagen des Art. 6 DSGVO gestützt verarbeitet werden. Bußgeldrisiken entstehen vielmehr in sehr unterschiedlichen Bereichen.
- Fehlende Rechtsgrundlage: Verarbeitung ohne wirksame Grundlage nach Art. 6 oder – bei besonderen Datenkategorien – Art. 9 DSGVO.
- Verstoß gegen Grundsätze: Zweckbindung, Datenminimierung, Speicherbegrenzung, Richtigkeit oder Rechenschaftspflicht nach Art. 5 DSGVO.
- Betroffenenrechte: fehlerhafte oder verweigerte Auskunft, Löschung, Berichtigung, Einschränkung oder Widerspruch.
- Datensicherheit: unzureichende technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
- Datenpannen: Verstöße gegen Melde- oder Benachrichtigungspflichten aus Art. 33 und 34 DSGVO.
- Privacy by Design: unzureichende Umsetzung von Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO.
- Dokumentation: fehlende oder unzureichende Verzeichnisse, Verträge, Datenschutz-Folgenabschätzungen oder sonstige Rechenschaftsnachweise.
- Drittlandtransfers: Übermittlungen außerhalb des EWR ohne die Voraussetzungen der Art. 44 ff. DSGVO.
Ein Datenschutzbeauftragter ist nicht pauschal in jedem Unternehmen erforderlich. Eine Benennungspflicht ergibt sich aus Art. 37 DSGVO und in Deutschland ergänzend aus § 38 BDSG, wenn dessen Voraussetzungen erfüllt sind.
EuGH „Deutsche Wohnen“: Unternehmen direkt bebußbar – aber nicht ohne Verschulden
Der EuGH hat mit Urteil vom 5.12.2023, C-807/21 – Deutsche Wohnen, zwei zentrale Fragen für deutsche Bußgeldverfahren geklärt.
Erstens: Gegen eine juristische Person als Verantwortliche kann unmittelbar eine DSGVO-Geldbuße verhängt werden. Es ist nicht erforderlich, zuvor einen Datenschutzverstoß einer konkret identifizierten natürlichen Leitungsperson zuzurechnen.
Zweitens: Art. 83 DSGVO begründet keine reine Gefährdungs- oder Erfolgshaftung. Eine Geldbuße darf nur verhängt werden, wenn nachgewiesen ist, dass der Verantwortliche den betreffenden Verstoß vorsätzlich oder fahrlässig begangen hat.
EuGH „ILVA“ 2025: Wann zählt der Konzernumsatz?
Mit Urteil vom 13.2.2025, C-383/23 – ILVA, hat der EuGH die umsatzbezogene Bußgeldbemessung weiter konkretisiert. Der Begriff des „Unternehmens“ in Art. 83 Abs. 4 bis 6 DSGVO entspricht dem funktionalen Unternehmensbegriff des europäischen Wettbewerbsrechts.
Ist der bebußte Verantwortliche Teil einer wirtschaftlichen Einheit, kann deshalb für die gesetzliche Höchstgrenze der gesamte weltweite Jahresumsatz dieser wirtschaftlichen Einheit maßgeblich sein. Der Unternehmensbegriff ist nach dem EuGH außerdem bei der Beurteilung der tatsächlichen wirtschaftlichen Leistungsfähigkeit zu berücksichtigen.
Das bedeutet nicht, dass jeder Konzernverstoß automatisch mit einem festen Prozentsatz des Konzernumsatzes belegt wird. Auch bei hohen Umsätzen muss die konkret festgesetzte Geldbuße weiterhin wirksam, verhältnismäßig und abschreckend sein.
Welche Faktoren bestimmen die konkrete Höhe?
Art. 83 Abs. 2 DSGVO enthält einen umfangreichen Kriterienkatalog. Die Behörde muss den Einzelfall bewerten und darf nicht allein auf den Umsatz abstellen.
- Art, Schwere und Dauer des Verstoßes sowie Zweck und Umfang der betroffenen Verarbeitung,
- Zahl der betroffenen Personen und Ausmaß des erlittenen Schadens,
- Vorsatz oder Fahrlässigkeit,
- Maßnahmen zur Minderung der Folgen,
- Grad der Verantwortung unter Berücksichtigung von Art. 25 und 32 DSGVO,
- einschlägige frühere Verstöße,
- Umfang der Zusammenarbeit mit der Aufsichtsbehörde,
- Kategorien der betroffenen personenbezogenen Daten,
- Art und Weise, wie der Verstoß bekannt wurde – insbesondere eine eigene Meldung,
- Beachtung früherer behördlicher Maßnahmen, genehmigter Verhaltensregeln oder Zertifizierungen,
- sonstige erschwerende oder mildernde Umstände, insbesondere wirtschaftliche Vorteile oder vermiedene Verluste.
Wie berechnen Aufsichtsbehörden DSGVO-Geldbußen?
Der Europäische Datenschutzausschuss hat mit den finalen Leitlinien 04/2022 eine unionsweit harmonisierte Berechnungsmethode beschrieben. Es handelt sich nicht um einen starren Bußgeldrechner, sondern um ein mehrstufiges Prüfmodell.
- 01→ VERSTOSS
Vorgänge und Konkurrenz
Zunächst wird bestimmt, welche Verarbeitungsvorgänge und welche DSGVO-Verstöße vorliegen und wie Art. 83 Abs. 3 anzuwenden ist.
- 02→ START
Ausgangsbetrag
Art des Verstoßes, Schweregrad und Unternehmensumsatz bilden den Ausgangspunkt für die weitere Berechnung.
- 03→ ANPASSEN
Einzelfallfaktoren
Erschwerende und mildernde Umstände nach Art. 83 Abs. 2 werden berücksichtigt.
- 04→ PRÜFEN
Maximum & Verhältnismäßigkeit
Zum Schluss werden gesetzliche Höchstgrenze sowie Wirksamkeit, Verhältnismäßigkeit und Abschreckungswirkung kontrolliert.
Die Leitlinien ersetzen daher die frühere Vorstellung, die Bußgeldhöhe lasse sich allein aus „2 % oder 4 % Umsatz“ ablesen. Der Umsatz beeinflusst die Berechnung, ist aber nur ein Teil der Gesamtbewertung.
Datenpanne: Was gilt für die 72-Stunden-Frist?
Die frühere LAWST-Fassung stellte die Meldepflicht zu pauschal dar. Nach Art. 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.
Eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO ist nochmals enger: Sie ist grundsätzlich erforderlich, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat, wobei Art. 34 Ausnahmen vorsieht.
Für deutsche Bußgeldverfahren ist § 43 Abs. 4 BDSG besonders relevant. Eine Meldung nach Art. 33 oder Benachrichtigung nach Art. 34 Abs. 1 DSGVO darf in einem OWiG-Verfahren gegen den Melde- oder Benachrichtigungspflichtigen grundsätzlich nur mit dessen Zustimmung verwendet werden. Das ist jedoch keine allgemeine Bußgeldimmunität für den zugrunde liegenden Datenschutzverstoß.
Anhörung und Bußgeldbescheid: Was ist in Deutschland zu beachten?
Für Bußgeldverfahren nach Art. 83 Abs. 4 bis 6 DSGVO verweist § 41 BDSG weitgehend auf das Gesetz über Ordnungswidrigkeiten und die strafprozessualen Verfahrensregeln. Unternehmen sollten behördliche Auskunftsersuchen, Anhörungen und Aktenlage deshalb nicht wie eine gewöhnliche Datenschutzkorrespondenz behandeln.
Ergeht ein Bußgeldbescheid, kann nach § 67 OWiG grundsätzlich innerhalb von zwei Wochen nach Zustellung Einspruch bei der Behörde eingelegt werden. § 41 BDSG enthält für Datenschutzbußgelder besondere Zuständigkeits- und Verfahrensregeln; bei einer Geldbuße von mehr als 100.000 € entscheidet im gerichtlichen Verfahren nach § 41 Abs. 1 BDSG das Landgericht statt des Amtsgerichts.
Welche Punkte sind bei der Verteidigung gegen ein DSGVO-Bußgeld wichtig?
Eine wirksame Verteidigung beginnt nicht erst bei der Frage, ob die Behörde „zu hoch“ gerechnet hat. Zunächst muss geprüft werden, ob überhaupt ein tatbestandsmäßiger und schuldhafter DSGVO-Verstoß vorliegt.
- richtigen Verantwortlichen beziehungsweise Auftragsverarbeiter bestimmen,
- konkret vorgeworfene Verarbeitung und verletzte Normen abgrenzen,
- Rechtsgrundlage und tatsächlichen Datenfluss rekonstruieren,
- Vorsatz oder Fahrlässigkeit nach „Deutsche Wohnen“ prüfen,
- technische und organisatorische Maßnahmen sowie Rechenschaftsnachweise sichern,
- Abhilfemaßnahmen und Kooperation sachgerecht dokumentieren,
- Unternehmens- und Konzernstruktur für die Umsatzbasis nach „ILVA“ analysieren,
- EDSA-Berechnung und Art.-83-Kriterien auf Begründungs- und Bewertungsfehler prüfen,
- Rechtsbehelfsfristen konsequent sichern.
Präventiv sollten Unternehmen Datenschutzorganisation, Löschkonzepte, Verzeichnisse, Auftragsverarbeitung, Berechtigungskonzepte, TOM, Meldeprozesse und die Bearbeitung von Betroffenenrechten so dokumentieren, dass die Einhaltung der DSGVO im Streitfall auch nachgewiesen werden kann.
DSGVO-Bußgeld und Schadensersatz sind zwei verschiedene Risiken
Eine Geldbuße nach Art. 83 DSGVO wird von der Aufsichtsbehörde verhängt und dient der Durchsetzung des Datenschutzrechts. Ein Schadensersatzanspruch nach Art. 82 DSGVO steht dagegen einer betroffenen Person zu und soll deren materiellen oder immateriellen Schaden ausgleichen.
Beides kann aus demselben Datenschutzvorfall entstehen, folgt aber unterschiedlichen Voraussetzungen und Bemessungsregeln. Insbesondere dürfen die Bußgeldkriterien des Art. 83 nicht einfach zur Berechnung eines Art.-82-Schadensersatzes verwendet werden.
Für diese zweite Ebene finden Sie die zentrale LAWST-Seite DSGVO-Schadensersatz nach Art. 82. Bei Streit über eine Auskunft nach Art. 15 DSGVO: DSGVO-Auskunft und Schadensersatz.
Ihr Ansprechpartner
DSGVO-Bußgeldverfahren rechtlich prüfen lassen
Kanzlei Wrase berät Unternehmen bundesweit bei datenschutzrechtlichen Auseinandersetzungen mit Aufsichtsbehörden. Bei Bußgeldverfahren sind neben dem zugrunde liegenden Datenschutzverstoß insbesondere Verschulden, Verfahrensstand, Umsatzbasis und die konkrete Bemessung nach Art. 83 DSGVO zu prüfen.
Die Beratung kann die rechtliche Einordnung behördlicher Anfragen, die Vorbereitung einer Stellungnahme, die Prüfung eines Bußgeldbescheids und die weitere Vertretung im Verfahren umfassen.
Für die übergreifende datenschutzrechtliche Beratung: Anwalt für Datenschutzrecht – Kanzlei Wrase.
Rechtsanwalt Björn Wrase
Kanzlei Wrase
Am Kaiserkai 69
20457 Hamburg · Deutschland
040 228 682 10 · mail@lawst.de
Häufige Fragen zu DSGVO-Bußgeldern
Wie hoch kann ein DSGVO-Bußgeld sein?
Je nach verletzter Vorschrift liegt der gesetzliche Höchstrahmen bei bis zu 10 Mio. € beziehungsweise 2 % oder bis zu 20 Mio. € beziehungsweise 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, wobei jeweils der höhere Höchstbetrag gilt. Der konkrete Betrag muss dennoch verhältnismäßig sein.
Führt jeder DSGVO-Verstoß automatisch zu einem Bußgeld?
Nein. Die Aufsichtsbehörde entscheidet anhand der Umstände des Einzelfalls über die geeignete Abhilfemaßnahme. Nach EuGH „Deutsche Wohnen“ setzt eine Geldbuße außerdem Vorsatz oder Fahrlässigkeit voraus.
Muss eine konkrete Führungskraft den Verstoß begangen haben?
Nein. Für die unmittelbare Bebußung einer juristischen Person muss der Verstoß nicht zuvor einer identifizierten natürlichen Leitungsperson zugerechnet werden. Das hat der EuGH in C-807/21 klargestellt.
Kann bei einem Konzern der weltweite Konzernumsatz relevant sein?
Ja. Nach EuGH C-383/23 „ILVA“ entspricht der Unternehmensbegriff in Art. 83 dem funktionalen Unternehmensbegriff des Wettbewerbsrechts. Gehört der Verantwortliche zu einer wirtschaftlichen Einheit, kann deren weltweiter Umsatz für Höchstgrenze und wirtschaftliche Leistungsfähigkeit maßgeblich sein.
Muss jede Datenpanne binnen 72 Stunden gemeldet werden?
Nein. Art. 33 DSGVO verlangt die Meldung, sofern die Datenschutzverletzung voraussichtlich zu einem Risiko für Rechte und Freiheiten natürlicher Personen führt. Liegt voraussichtlich kein Risiko vor, besteht diese Meldepflicht nicht.
Müssen Betroffene bei jeder Datenpanne informiert werden?
Nein. Die Benachrichtigung nach Art. 34 DSGVO knüpft grundsätzlich an ein voraussichtlich hohes Risiko an und kennt gesetzliche Ausnahmen.
Wie lange ist die Einspruchsfrist gegen einen Bußgeldbescheid?
Nach § 67 OWiG kann gegen einen Bußgeldbescheid grundsätzlich innerhalb von zwei Wochen nach Zustellung Einspruch bei der Verwaltungsbehörde eingelegt werden. Bei DSGVO-Bußgeldern sind zusätzlich die besonderen Verfahrensregeln des § 41 BDSG zu beachten.
Ist DSGVO-Schadensersatz dasselbe wie ein Bußgeld?
Nein. Bußgelder werden durch Aufsichtsbehörden zur Durchsetzung des Datenschutzrechts verhängt. Schadensersatz nach Art. 82 DSGVO dient dem Ausgleich eines konkreten Schadens der betroffenen Person.
Vorwurf prüfen. Frist sichern.
Anhörung oder DSGVO-Bußgeldbescheid erhalten?
Senden Sie das Behördenschreiben und die maßgebliche Datenschutzdokumentation. Kanzlei Wrase prüft den vorgeworfenen Verstoß, Verschulden, Bußgeldbemessung und die möglichen nächsten Schritte.