Bußgeld im Datenschutz (DSGVO)

Einen festen Betrag gibt es nicht. Art. 83 DSGVO legt nur Obergrenzen fest: bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für bestimmte Pflichtverstöße und bis 20 Millionen Euro oder 4 Prozent für schwerere Verstöße. Die konkrete Höhe bemisst die Behörde nach den Kriterien des Art. 83 Abs. 2, etwa Schwere, Dauer, Verschulden und Kooperation.

Nein, nicht in Form fester Tabellen wie beim Bußgeldkatalog im Straßenverkehr. Der Europäische Datenschutzausschuss hat mit den Leitlinien 04/2022 aber eine einheitliche Methode zur Berechnung veröffentlicht, an der sich die Aufsichtsbehörden orientieren. Ausgangspunkt sind die Schwere des Verstoßes und der Umsatz des Unternehmens, danach werden erschwerende und mildernde Umstände berücksichtigt.

Ja, wenn sie Daten außerhalb des rein persönlichen oder familiären Bereichs verarbeiten. Für private Tätigkeiten gilt die DSGVO nach Art. 2 Abs. 2 Buchst. c nicht. Wer aber etwa öffentlich zugängliche Bereiche filmt oder fremde Daten im Internet veröffentlicht, kann als Verantwortlicher einem Bußgeld unterliegen. Die Höhe richtet sich nach den Umständen des Einzelfalls.

Ja. Der Europäische Gerichtshof hat am 05.12.2023 entschieden, dass nur ein schuldhafter Verstoß zu einer Geldbuße führen kann, also vorsätzlich oder fahrlässig (C-807/21). Es genügt, dass sich der Verantwortliche über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte. Ob ihm bewusst war, gegen die DSGVO zu verstoßen, ist dagegen nicht entscheidend.

Schriftlich oder zur Niederschrift bei der Aufsichtsbehörde, die den Bescheid erlassen hat, innerhalb von zwei Wochen nach Zustellung (§ 67 OWiG, anwendbar über § 41 BDSG). Eine Begründung ist nicht zwingend, aber sinnvoll. Hält die Behörde am Bescheid fest, gibt sie die Sache über die Staatsanwaltschaft an das Gericht ab. Bei mehr als 100.000 Euro ist das Landgericht zuständig.

Das Bußgeld im Datenschutz verhängt die Aufsichtsbehörde als Sanktion, das Geld fließt an den Staat. Schadensersatz nach Art. 82 DSGVO verlangt dagegen die betroffene Person selbst vor den Zivilgerichten, für materielle oder immaterielle Schäden. Beides kann nebeneinander bestehen. Ein Bußgeldverfahren ist keine Voraussetzung für Schadensersatz und umgekehrt.

Für Unternehmen, Vereine und Selbstständige mit Sitz in Hamburg ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig. Er nimmt Beschwerden entgegen, prüft Verstöße und kann Bußgelder verhängen. Die Kontaktdaten und ein Beschwerdeformular stehen auf seiner Website datenschutz-hamburg.de. Gegen einen Bescheid entscheidet nach Einspruch das Amtsgericht Hamburg oder ab 100.000 Euro das Landgericht.

Bundesbehörden nicht. Art. 83 Abs. 7 DSGVO überlässt den Mitgliedstaaten, ob gegen öffentliche Stellen Geldbußen verhängt werden. Der Bund hat das in § 43 Abs. 3 BDSG für seine Behörden und sonstigen öffentlichen Stellen ausgeschlossen; für Landes- und Kommunalbehörden regeln das die Landesdatenschutzgesetze. Die Aufsichtsbehörden können aber andere Abhilfemaßnahmen nach Art. 58 DSGVO anordnen, etwa Anweisungen oder Verarbeitungsverbote.

Die Behörde prüft den Sachverhalt und bittet den Verantwortlichen in der Regel um Stellungnahme. Danach kann sie das Verfahren einstellen, einen Hinweis geben, verwarnen, Anweisungen erteilen oder ein Bußgeldverfahren einleiten. Welche Maßnahme sie wählt, hängt von der Schwere des Verstoßes ab. Der Europäische Datenschutzausschuss hat im September 2026 dazu neue Leitlinien 04/2026 zur Konsultation gestellt.

Für den Höchstbetrag ja. Nach dem Urteil des EuGH vom 05.12.2023 (C-807/21) gilt der wettbewerbsrechtliche Unternehmensbegriff. Gehört eine Gesellschaft zu einem Konzern, ist der weltweite Jahresumsatz der gesamten wirtschaftlichen Einheit aus dem Vorjahr maßgeblich. Dadurch kann die Obergrenze von 2 oder 4 Prozent deutlich höher liegen als beim Umsatz der Tochtergesellschaft allein.