DSGVO-Bußgeldpraxis in Deutschland: Rahmen, Verfahren, belegte Fälle

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Der Rahmen: Art. 83 DSGVO

Abs. 4 (bis 10 Mio. € oder 2 %) erfasst Pflichten aus Art. 8, 11, 25–39, 42 und 43 sowie Pflichten von Überwachungsstellen nach Art. 41 Abs. 4. Dazu gehören etwa Auftragsverarbeitung (Art. 28), Verarbeitungsverzeichnis (Art. 30), Sicherheit (Art. 32), Meldung von Datenpannen (Art. 33, 34), Datenschutz-Folgenabschätzung (Art. 35) und Datenschutzbeauftragte (Art. 37–39).

Abs. 5 (bis 20 Mio. € oder 4 %) erfasst die Grundsätze und Rechtsgrundlagen (Art. 5, 6, 7, 9), die Betroffenenrechte (Art. 12–22) und Drittlandübermittlungen (Art. 44–49). Abs. 6 sieht denselben Rahmen vor, wenn eine Anweisung der Aufsichtsbehörde nach Art. 58 Abs. 2 nicht befolgt wird.

Nach Abs. 2 entscheidet die Behörde im Einzelfall über das Ob und die Höhe. Die Kriterien reichen von Art, Schwere und Dauer des Verstoßes (lit. a) über Vorsatz oder Fahrlässigkeit (lit. b), Maßnahmen zur Schadensminderung (lit. c) und frühere Verstöße (lit. e) bis zur Zusammenarbeit mit der Aufsicht (lit. f), den betroffenen Datenkategorien (lit. g) und der Art, wie die Behörde vom Verstoß erfahren hat (lit. h). Hängen mehrere Verstöße an denselben oder verbundenen Verarbeitungsvorgängen, begrenzt Abs. 3 die Gesamtsumme auf den Höchstbetrag für den schwersten Verstoß.

Gehört der Adressat zu einem Konzern, zählt der Umsatz des gesamten Konzerns. So hat es der EuGH in derselben Entscheidung vom 05.12.2023 festgehalten: Maßgeblich ist der kartellrechtliche Unternehmensbegriff.

Die Bemessung nach den EDSA-Leitlinien 04/2022

Die Leitlinien 04/2022 (aktuell Version 2.1) beschreiben fünf Schritte:

1. Verarbeitungsvorgänge bestimmen und prüfen, ob Art. 83 Abs. 3 greift.
2. Ausgangsbetrag festlegen: Einstufung nach Abs. 4 oder 5, Schweregrad und Umsatz des Unternehmens.
3. Erschwerende und mildernde Umstände berücksichtigen.
4. Gesetzlichen Höchstbetrag prüfen. Er darf durch keinen Schritt überschritten werden.
5. Wirksamkeit, Verhältnismäßigkeit und Abschreckung des Endbetrags prüfen und ihn gegebenenfalls anpassen.

Für den Ausgangsbetrag setzen die Leitlinien je nach Schweregrad Spannen an: 0–10 % des anwendbaren Höchstbetrags bei geringer, 10–20 % bei mittlerer und 20–100 % bei hoher Schwere. Bei kleineren Unternehmen kann dieser Betrag nach Umsatz weiter abgesenkt werden. Die Leitlinien betonen, dass die Bemessung keine bloße Rechenübung ist. Entscheidend bleiben die Umstände des Einzelfalls.

Das Verfahren: OWiG mit Besonderheiten

Nach § 41 BDSG gelten für DSGVO-Geldbußen die Vorschriften des OWiG sinngemäß, mit Ausnahmen unter anderem bei § 17 OWiG. Drei Punkte sind für Unternehmen wichtig:

• Einspruch: Er ist innerhalb von zwei Wochen nach Zustellung schriftlich oder zur Niederschrift bei der Behörde einzulegen, die den Bescheid erlassen hat. Er lässt sich auf bestimmte Beschwerdepunkte beschränken (§ 67 OWiG).
• Keine Vollstreckung vor Rechtskraft: Bußgeldentscheidungen sind erst vollstreckbar, wenn sie rechtskräftig sind (§ 89 OWiG). Solange über einen fristgerechten Einspruch nicht entschieden ist, kann die Behörde die Geldbuße also nicht beitreiben.
• Gericht: Grundsätzlich entscheidet das Amtsgericht. Übersteigt die festgesetzte Geldbuße 100.000 €, ist das Landgericht zuständig (§ 41 Abs. 1 S. 3 BDSG). Die Staatsanwaltschaft kann das Verfahren nur mit Zustimmung der Aufsichtsbehörde einstellen (§ 41 Abs. 2 BDSG).

Verfolgungsverjährung: Weil der Bußgeldrahmen der DSGVO 15.000 € übersteigt, beträgt die Frist drei Jahre (§ 31 Abs. 2 Nr. 1 OWiG). Sie beginnt, sobald die Handlung beendet ist.

Belegte deutsche Fälle

Die folgende Auswahl enthält nur Fälle, die durch eine Pressemitteilung der Behörde oder eine Gerichtsentscheidung belegt sind.

Was die Fälle gemeinsam haben: Die Behörden heben Kooperation ausdrücklich hervor, bei 1&1 als Grund für eine Festsetzung am unteren Rand, bei Vodafone mit Blick auf Umstände, die das Unternehmen selbst offengelegt hatte. Die beiden Gerichtsentscheidungen zeigen, dass die Bemessung vor Gericht vollständig überprüft wird.

Versicherbarkeit von Geldbußen

Ob DSGVO-Geldbußen über eine Cyber- oder D&O-Police erstattet werden dürfen, ist umstritten und höchstrichterlich nicht geklärt. Ein ausdrückliches gesetzliches Verbot gibt es nicht. Häufig wird § 103 VVG genannt, der aber etwas anderes regelt: Die Haftpflichtversicherung wird leistungsfrei, wenn der Versicherungsnehmer den Schaden eines Dritten vorsätzlich und widerrechtlich herbeigeführt hat (§ 103 VVG). Ob eine Police Bußgelder abdeckt, steht im konkreten Vertrag.

FAQ

Richtet sich das Bußgeld gegen die Geschäftsführung persönlich?

Adressat nach Art. 83 DSGVO ist der Verantwortliche oder Auftragsverarbeiter, bei Unternehmen also die Gesellschaft. Nach EuGH C-807/21 muss keine konkrete natürliche Person als Täter festgestellt werden.

Muss während des Einspruchs gezahlt werden?

Nein. Ein fristgerechter Einspruch verhindert die Rechtskraft, und vollstreckbar ist eine Bußgeldentscheidung nach § 89 OWiG erst mit Rechtskraft.

Wie lange kann eine Aufsichtsbehörde einen Verstoß verfolgen?

Drei Jahre nach § 31 Abs. 2 Nr. 1 OWiG, gerechnet ab dem Ende der verbotenen Handlung.

Wo finden sich aktuelle deutsche Fälle?

In den Pressemitteilungen und Tätigkeitsberichten der BfDI und der Landesaufsichten. Private Übersichten wie der Enforcement Tracker sammeln Fälle EU-weit. Maßgeblich bleibt die Originalquelle der Behörde.