Compliance-Bußgelder 2026: der kompakte Atlas

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

DSGVO: zwei Stufen

Art. 83 der DSGVO sieht zwei Bußgeldstufen vor.

Stufe 1 (Art. 83 Abs. 4 DSGVO)

• bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist

Erfasst sind unter anderem die Pflichten nach Art. 25 bis 39, etwa das Verzeichnis von Verarbeitungstätigkeiten (Art. 30), technische und organisatorische Maßnahmen (Art. 32) und Verträge zur Auftragsverarbeitung (Art. 28).

Stufe 2 (Art. 83 Abs. 5 DSGVO)

• bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist

Erfasst sind unter anderem die Grundsätze und Rechtsgrundlagen der Verarbeitung (Art. 5 bis 9), die Betroffenenrechte (Art. 12 bis 22) und Übermittlungen in Drittländer (Art. 44 bis 49).

Bußgelder direkt gegen das Unternehmen

Der EuGH hat am 5. Dezember 2023 entschieden (C-807/21, Deutsche Wohnen), dass eine DSGVO-Geldbuße gegen ein Unternehmen verhängt werden kann, ohne dass der Verstoß zuvor einer bestimmten natürlichen Person zugerechnet wird. Vorausgesetzt ist aber ein schuldhafter, also vorsätzlicher oder fahrlässiger Verstoß.

Zahlen aus der Praxis

Der GDPR Enforcement Tracker Report 2026 der Kanzlei CMS (7. Ausgabe) zählt bis zum Stichtag 1. März 2026 insgesamt 2.685 Bußgelder, zusammen rund 6,11 Mrd. €. Die beiden größten Einzelfälle:

• Meta: 1,2 Mrd. € (irische Datenschutzbehörde, Mai 2023, Datenübermittlungen in die USA)
• TikTok: 530 Mio. € (irische Datenschutzbehörde, Mai 2025)

NIS2: Umsetzung im BSI-Gesetz

Die NIS2-Richtlinie gibt in Art. 34 Mindest-Obergrenzen vor: 10 Mio. € oder 2 % für wesentliche, 7 Mio. € oder 1,4 % für wichtige Einrichtungen. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist (BGBl. 2025 I Nr. 301). Die Bußgeldvorschriften stehen in § 65 BSIG:

• Für zentrale Pflichten, darunter fehlende oder unzureichende Risikomanagementmaßnahmen (§ 30 Abs. 1 Satz 1), fehlende Dokumentation (§ 30 Abs. 1 Satz 3) und versäumte Meldungen (§ 32), drohen bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen.
• Bei einem Gesamtumsatz von mehr als 500 Mio. € sind stattdessen bis zu 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes möglich (§ 65 Abs. 6 und 7 BSIG).
• Für andere Verstöße sieht § 65 Abs. 5 BSIG gestaffelte Beträge von 100.000 € bis 5 Mio. € vor.

Daneben gilt:

• Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und überwachen. Verletzt sie diese Pflicht, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht (§ 38 BSIG).
• Bei wesentlichen Einrichtungen können die Behörden als letztes Mittel Zertifizierungen aussetzen und Leitungspersonen vorübergehend die Wahrnehmung von Leitungsaufgaben untersagen (Art. 32 Abs. 5 NIS2).

DORA: Sanktionen nach nationalem Recht, Zwangsgeld für Drittdienstleister

Die DORA-Verordnung verpflichtet die Mitgliedstaaten in Art. 50 Abs. 3, „angemessene verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen" festzulegen. Die Höhe der Geldbußen gegen Finanzunternehmen ergibt sich damit aus dem nationalen Recht. Deutschland hat DORA mit dem Finanzmarktdigitalisierungsgesetz (FinmadiG) in die Aufsichtsgesetze übernommen.

Eine eigene Regel gilt für kritische IKT-Drittdienstleister, etwa große Cloud-Anbieter. Die federführende Überwachungsbehörde kann gegen sie ein Zwangsgeld verhängen, um die Einhaltung angeordneter Maßnahmen zu erzwingen:

• bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des Vorjahres (Art. 35 Abs. 8 DORA),
• täglich bis zur Einhaltung, höchstens für sechs Monate (Art. 35 Abs. 7 DORA).

HinSchG: überschaubarer Rahmen

Das Hinweisgeberschutzgesetz regelt die Bußgelder in § 40:

• bis 50.000 €: Behindern einer Meldung, Ergreifen einer Repressalie, vorsätzliche oder leichtfertige Verletzung der Vertraulichkeit sowie der Versuch der ersten beiden Taten,
• bis 20.000 €: keine interne Meldestelle eingerichtet oder betrieben, wissentliche Offenlegung unrichtiger Informationen,
• bis 10.000 €: fahrlässige Verletzung der Vertraulichkeit.

Für Behinderung, Repressalien und Vertraulichkeitsverstöße verweist § 40 Abs. 6 auf § 30 Abs. 2 Satz 3 OWiG. Gegen Unternehmen kann das Höchstmaß dadurch auf das Zehnfache steigen, also bis 500.000 €.

Hinzu kommt eine arbeitsrechtliche Wirkung: Bei einer Benachteiligung nach einer Meldung wird vermutet, dass sie eine Repressalie ist (§ 36 Abs. 2 HinSchG).

AI Act: drei Stufen

Der AI Act (Verordnung (EU) 2024/1689) staffelt die Geldbußen in Art. 99:

• verbotene KI-Praktiken (Art. 5): bis 35 Mio. € oder 7 %,
• Verstöße gegen weitere Pflichten, etwa von Anbietern und Betreibern: bis 15 Mio. € oder 3 %,
• falsche, unvollständige oder irreführende Angaben gegenüber Behörden: bis 7,5 Mio. € oder 1 %.

Jeweils gilt der höhere Betrag. Für KMU einschließlich Start-ups gilt nach Art. 99 Abs. 6 der niedrigere der beiden Beträge; seit dem Digital Omnibus (VO (EU) 2026/1744) gilt das nach Art. 99 Abs. 6a auch für kleine Midcap-Unternehmen, dort beschränkt auf die Stufen nach Abs. 4 und 5. Die Sanktionsvorschriften gelten seit dem 2. August 2025, mit Ausnahme der Geldbußen für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck nach Art. 101 (Art. 113 AI Act).

Weitere Regime

Cyber Resilience Act (Produkte mit digitalen Elementen)

• bis 15 Mio. € oder 2,5 % bei Verstößen gegen die grundlegenden Anforderungen in Anhang I und die Pflichten nach Art. 13 und 14,
• bis 10 Mio. € oder 2 % bei anderen Pflichten,
• bis 5 Mio. € oder 1 % bei falschen oder unvollständigen Angaben (Art. 64 CRA).

Die Verordnung gilt im Wesentlichen ab 11. Dezember 2027, die Meldepflichten nach Art. 14 bereits ab 11. September 2026 (Art. 71 CRA).

KWG (Kredit- und Finanzdienstleistungsinstitute)

• je nach Verstoß Höchstbeträge zwischen 100.000 € und 5 Mio. € (§ 56 Abs. 6 KWG); gegen juristische Personen bei bestimmten Verstößen bis zum höheren Betrag von 20 Mio. € oder 10 % bzw. 5 Mio. € oder 10 % des Gesamtumsatzes (§ 56 Abs. 6a und 6b KWG)

Lieferkettensorgfaltspflichtengesetz (LkSG)

• in der geltenden Fassung bis 800.000 €, bis 500.000 € oder bis 100.000 € je nach Verstoß (§ 24 Abs. 2 LkSG),
• für die beiden oberen Stufen gilt § 30 Abs. 2 Satz 3 OWiG, gegen Unternehmen sind damit bis zum Zehnfachen möglich,
• bei einem durchschnittlichen Jahresumsatz über 400 Mio. € für bestimmte Verstöße bis 2 % des Jahresumsatzes (§ 24 Abs. 3 LkSG).

Die Bundesregierung hat eine Änderung beschlossen, nach der nur noch schwere Verstöße mit Bußgeld bedroht sein sollen. Der Bundestag hat sie im Januar 2026 in erster Lesung beraten. Vor einer Einschätzung den aktuellen Stand prüfen.

Wie Aufsichten Bußgelder bemessen

Für die DSGVO nennt Art. 83 Abs. 2 die Kriterien, darunter:

• Art, Schwere und Dauer des Verstoßes sowie Zahl der Betroffenen,
• Vorsatz oder Fahrlässigkeit,
• Maßnahmen zur Minderung des Schadens,
• frühere Verstöße,
• Umfang der Zusammenarbeit mit der Aufsichtsbehörde,
• betroffene Kategorien personenbezogener Daten,
• Art und Weise, wie der Verstoß der Behörde bekannt wurde, insbesondere ob das Unternehmen ihn selbst gemeldet hat.

Schnelle Meldung, dokumentierte Abhilfe und Zusammenarbeit fließen damit ausdrücklich in die Bemessung ein. Eine feste Quote, um die sich ein Bußgeld dadurch verringert, gibt es nicht.

Kumulation: ein Vorfall, mehrere Regime

Ein Vorfall kann mehrere Regelwerke gleichzeitig berühren:

• Ein Cyberangriff mit Datenabfluss kann DSGVO-Pflichten (Art. 32 bis 34) und NIS2-Pflichten (Risikomanagement, Meldung) betreffen.
• Ein Hinweisgeberfall kann HinSchG und DSGVO berühren.
• Ein KI-System, das personenbezogene Daten verarbeitet, unterliegt AI Act und DSGVO.

Versicherbarkeit

Ob Geldbußen in Deutschland versicherbar sind, ist umstritten und höchstrichterlich nicht geklärt. Maßgeblich ist zunächst der Wortlaut der eigenen Police. Unabhängig davon decken Cyberversicherungen typischerweise Folgekosten eines Vorfalls ab, etwa Forensik, Wiederherstellung, Betriebsunterbrechung, Krisenkommunikation, Rechtsverteidigung und Ansprüche Dritter. Welche Leistungen und Ausschlüsse gelten, ergibt sich aus den Bedingungen des jeweiligen Vertrags.

FAQ

Werden Bußgelder wirklich verhängt?

Ja. Der CMS Enforcement Tracker Report 2026 zählt bis März 2026 insgesamt 2.685 DSGVO-Bußgelder mit zusammen rund 6,11 Mrd. €. Für NIS2 in Deutschland gelten die Bußgeldvorschriften erst seit Dezember 2025, belastbare Zahlen dazu gibt es noch nicht.

Trifft das auch KMU?

Ja. Die Obergrenzen gelten unabhängig von der Unternehmensgröße, der Prozentsatz verschiebt sie für große Unternehmen nur nach oben. Beim AI Act gilt für KMU ausdrücklich der niedrigere der beiden Beträge (Art. 99 Abs. 6), für kleine Midcap-Unternehmen bei den Stufen nach Abs. 4 und 5 ebenso (Art. 99 Abs. 6a).

Haftet die Geschäftsführung persönlich?

Nach § 38 BSIG haftet die Geschäftsleitung der Einrichtung für Schäden aus der Verletzung ihrer NIS2-Pflichten, und zwar nach Gesellschaftsrecht. Darüber hinaus kommt eine Geldbuße gegen den Inhaber wegen Verletzung der Aufsichtspflicht nach § 130 OWiG in Betracht. Deren Höhe richtet sich nach der zugrunde liegenden Pflichtverletzung, bis 1 Mio. € nur dann, wenn diese eine Straftat ist.

Senken Korrekturmaßnahmen das Bußgeld?

Sie sind nach Art. 83 Abs. 2 DSGVO ausdrücklich bei der Bemessung zu berücksichtigen. Um wie viel sich ein Bußgeld dadurch verringert, legt keine Vorschrift fest.

Welche Versicherung deckt was?

Das regelt der jeweilige Vertrag. Folgekosten eines Vorfalls sind typischer Gegenstand einer Cyberversicherung. Ob und wie weit eine Police auch Geldbußen umfasst, ist rechtlich umstritten und im Einzelfall zu prüfen.