DSGVO-Bußgeldrechner: grobe Orientierung nach Art. 83

Welche zwei Höchstgrenzen gelten nach Art. 83 DSGVO?

Für Verstöße gegen die in Art. 83 Abs. 4 DSGVO genannten Pflichten gelten bis zu 10 Mio. Euro oder 2 % des gesamten weltweiten Vorjahresumsatzes. Für Verstöße nach Art. 83 Abs. 5 und 6 gelten bis zu 20 Mio. Euro oder 4 %. Maßgeblich ist jeweils der höhere Höchstbetrag.

Welcher Rahmen gilt, hängt von der verletzten Vorschrift ab. Art. 83 Abs. 4 erfasst Verstöße gegen die dort aufgezählten Pflichten, darunter Datenschutz durch Technikgestaltung (Art. 25), Sicherheit der Verarbeitung (Art. 32), Meldung und Benachrichtigung bei Datenschutzverletzungen (Art. 33 und 34) sowie die Datenschutz-Folgenabschätzung (Art. 35).

Art. 83 Abs. 5 und 6 umfasst unter anderem Verstöße gegen die Verarbeitungsgrundsätze (Art. 5), die Rechtmäßigkeit (Art. 6), die Einwilligung (Art. 7), besondere Datenkategorien (Art. 9), Betroffenenrechte (Art. 12 bis 22), internationale Datenübermittlungen (Art. 44 bis 49) und behördliche Anordnungen.

Bei Unternehmen wird für die umsatzbezogene Grenze der gesamte weltweit erzielte Jahresumsatz des vorangegangenen Geschäftsjahres herangezogen. Der unionsrechtliche Unternehmensbegriff kann dabei die wirtschaftliche Einheit und damit den Konzern erfassen. Die konkrete Einordnung bleibt eine Rechtsfrage des Einzelfalls.

Wie strukturieren die EDSA-Leitlinien die Bußgeldbemessung?

Die EDSA-Leitlinien ordnen die Prüfung in fünf Schritte: Verarbeitungsvorgänge und mögliche Konkurrenz von Verstößen bestimmen, einen Ausgangspunkt anhand von Verstoß, Schwere und Umsatz finden, erschwerende und mildernde Umstände würdigen, die gesetzliche Höchstgrenze bestimmen und das Ergebnis auf Wirksamkeit, Verhältnismäßigkeit und Abschreckung prüfen.

Der EDSA nahm die finalen Leitlinien 04/2022 am 24. Mai 2023 an. Version 2.1 vom 29. Juni 2023 enthält eine kleinere Korrektur. Die Leitlinien harmonisieren Ausgangspunkte und Vorgehen. Sie ermöglichen keine genaue Berechnung eines zu erwartenden Bußgeldes.

Für den Ausgangspunkt nennt der EDSA drei Spannen: niedrige Schwere 0 bis 10 %, mittlere Schwere 10 bis 20 %, hohe Schwere 20 bis 100 % des anwendbaren Maximums. Maßstab sind Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit und die Kategorien betroffener Daten. Für Unternehmen bis 500 Mio. Euro Umsatz nennt der EDSA zusätzlich Orientierungsbereiche zur Anpassung an die Unternehmensgröße. Die Aufsichtsbehörde muss diese Anpassung nicht anwenden, wenn sie für Wirksamkeit, Verhältnismäßigkeit und Abschreckung nicht erforderlich ist.

Der Rechner veranschaulicht die äußeren Grenzen dieser Ausgangsbereiche. Er bildet weder die Tatsachenwürdigung noch das Ermessen der Behörde ab. Das ältere deutsche DSK-Konzept von 2019 erscheint getrennt als historischer Vergleich und ist kein Bestandteil der EDSA-Orientierung.

1. Verarbeitungsvorgänge und Verstöße bestimmen. Zuerst werden die betroffenen Verarbeitungsvorgänge ermittelt. Danach ist zu prüfen, ob ein Vorgang mehrere Verstöße umfasst oder mehrere getrennte Vorgänge vorliegen und wie Art. 83 Abs. 3 DSGVO anzuwenden ist.
2. Ausgangspunkt bestimmen. Die Einordnung nach Art. 83 Abs. 4 bis 6, die Schwere nach Art. 83 Abs. 2 lit. a, b und g sowie der Umsatz des Unternehmens bilden den Ausgangspunkt für die weitere Prüfung.
3. Weitere Umstände würdigen. Erschwerende und mildernde Umstände aus dem früheren oder gegenwärtigen Verhalten des Verantwortlichen oder Auftragsverarbeiters werden im Einzelfall berücksichtigt.
4. Gesetzliche Höchstgrenze prüfen. Für die festgestellten Verstöße wird die einschlägige statische oder umsatzbezogene Höchstgrenze bestimmt. Erhöhungen dürfen diesen Betrag nicht überschreiten.
5. Wirksamkeit, Verhältnismäßigkeit und Abschreckung prüfen. Die Behörde prüft abschließend, ob der Betrag im konkreten Fall wirksam, verhältnismäßig und abschreckend ist. Sie kann ihn innerhalb der gesetzlichen Höchstgrenze anpassen.

Welche Kriterien erhöhen oder senken das Bußgeld?

Art. 83 Abs. 2 DSGVO nennt Umstände, die bei der Entscheidung über ein Bußgeld und seine Höhe zu berücksichtigen sind. Ihre Wirkung hängt vom Fall ab. Auch Zusammenarbeit oder eine Meldung wirken nicht automatisch mildernd, wenn damit nur eine ohnehin bestehende Pflicht erfüllt wird.

Die Liste in Art. 83 Abs. 2 lit. a bis k reicht von Art, Schwere und Dauer des Verstoßes über Vorsatz oder Fahrlässigkeit und den Grad der Verantwortung bis zu früheren Verstößen, Zusammenarbeit, betroffenen Datenkategorien und sonstigen Umständen.

Technische und organisatorische Maßnahmen fließen über den Grad der Verantwortung nach lit. d ein. Ein Verstoß gegen Art. 32 kann daneben einen eigenen Bußgeldtatbestand bilden. Die Behörde würdigt den Sachverhalt insgesamt und begründet die Gewichtung im konkreten Fall.

Tabelle seitlich wischen

Welche hohen DSGVO-Bußgelder zeigen die Größenordnung?

Das höchste Bußgeld in dieser Auswahl ist die 2023 gegen Meta Platforms Ireland verhängte Geldbuße von 1,2 Mrd. Euro. Danach folgt die 2025 gegen TikTok verhängte Geldbuße von 530 Mio. Euro. Beide Entscheidungen waren laut irischer Datenschutzbehörde am 10. August 2026 noch angefochten.

Die höchsten Beträge der Auswahl betreffen internationale Plattformen. Zu den Gegenständen zählen Drittlandübermittlungen, Kinderdaten und Werbung ohne tragfähige Rechtsgrundlage. In Deutschland setzte der Hamburgische Beauftragte für Datenschutz 2020 gegen H&M rund 35,3 Mio. Euro fest, weil private Lebensumstände von Beschäftigten umfassend erfasst und gespeichert worden waren.

Im Verfahren gegen Deutsche Wohnen verhängte die Berliner Aufsichtsbehörde 2019 zunächst rund 14,5 Mio. Euro. Nach der Entscheidung des EuGH in der Sache C-807/21 setzte das Landgericht Berlin I am 9. Juni 2026 eine Geldbuße von 900.000 Euro fest. Das Urteil war bei Veröffentlichung noch nicht rechtskräftig. Die Tabelle nennt den jeweils ausgewiesenen Verfahrensstand und verlinkt die Primärquelle.

Tabelle seitlich wischen

Quelle für den ausgewiesenen Rechtsmittelstand bei den irischen Verfahren: DPC-Bußgeldübersicht, aktualisiert am 10. August 2026.

Welche Rolle spielen Schutzmaßnahmen bei Bußgeldern?

Unzureichende technische und organisatorische Maßnahmen können ein Bußgeldrisiko nach Art. 32 DSGVO begründen. Bei der Höhe berücksichtigt die Behörde außerdem den Grad der Verantwortung und bereits getroffene Schutzmaßnahmen nach Art. 83 Abs. 2 lit. d.

Bei der AOK Baden-Württemberg reichten interne Richtlinien, Schulungen und technische Maßnahmen nicht aus, um die Werbenutzung auf wirksam eingewilligte Gewinnspielteilnehmende zu begrenzen. Dadurch wurden Daten von mehr als 500 Personen ohne Einwilligung zu Werbezwecken verwendet. Der LfDI Baden-Württemberg verhängte 2020 wegen eines Verstoßes gegen Art. 32 DSGVO eine Geldbuße von 1,24 Mio. Euro. Versichertendaten waren laut Behörde nicht betroffen.

Datenminimierung, Pseudonymisierung und geeignete Schutzmaßnahmen können die Angriffsfläche senken. Welche Maßnahme angemessen ist und wie sie sich auf eine behördliche Entscheidung auswirkt, hängt vom konkreten Verarbeitungsvorgang ab.

Häufige Fragen zum DSGVO-Bußgeld

Wie wird ein DSGVO-Bußgeld berechnet?

Die EDSA-Leitlinien sehen fünf Schritte vor: Verarbeitungsvorgänge und mögliche Konkurrenz bestimmen, den Ausgangspunkt anhand von Verstoß, Schwere und Umsatz finden, weitere erschwerende und mildernde Umstände würdigen, die Höchstgrenze bestimmen und Wirksamkeit, Verhältnismäßigkeit sowie Abschreckung prüfen. Die Behörde entscheidet anhand aller Umstände des Einzelfalls.

Was ist das höchste DSGVO-Bußgeld?

Das höchste Bußgeld in dieser Auswahl beträgt 1,2 Mrd. Euro. Die irische Datenschutzbehörde verhängte es 2023 gegen Meta Platforms Ireland wegen der Übermittlung von Facebook-Nutzerdaten in die USA ohne ausreichende Garantien. Danach folgt die 2025 gegen TikTok verhängte Geldbuße von 530 Mio. Euro. Beide Entscheidungen waren laut irischer Datenschutzbehörde am 10. August 2026 noch angefochten.

Haftet die Geschäftsführung persönlich?

Der Bußgeldrahmen des Art. 83 DSGVO richtet sich gegen das Unternehmen als Verantwortlichen oder Auftragsverarbeiter. Bemessungsgrundlage ist der weltweite Konzernumsatz des Vorjahres (Erwägungsgrund 150). Ob einzelne Personen darüber hinaus in Anspruch genommen werden, bewertet dieser Rechner nicht; das hängt vom Einzelfall ab und ist keine Aussage dieser Seite.

Auf welchen Umsatz bezieht sich der Prozentsatz?

Die 2 % und 4 % beziehen sich bei Unternehmen auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres. Der unionsrechtliche Unternehmensbegriff kann die wirtschaftliche Einheit und damit den Konzern erfassen. Maßgeblich ist jeweils der höhere Höchstbetrag aus festem Betrag und Umsatzprozent.

Können mehrere Verstöße zusammen geahndet werden?

Wenn derselbe oder miteinander verbundene Verarbeitungsvorgang mehrere Vorschriften verletzt, darf der Gesamtbetrag nach Art. 83 Abs. 3 DSGVO den Rahmen des schwerwiegendsten Verstoßes nicht überschreiten. Bei mehreren getrennten Vorgängen ist die Konkurrenz gesondert zu prüfen.

Ist das Ergebnis des Bußgeldrechners verbindlich?

Nein. Der Rechner zeigt eine grobe Orientierung anhand der äußeren Grenzen ausgewählter EDSA-Ausgangsbereiche. Er sagt weder voraus, ob eine Behörde ein Bußgeld verhängt, noch wie hoch es ausfällt. Das ältere DSK-Konzept erscheint nur als historischer Vergleich. Die Behörde würdigt den Einzelfall und kann den gesetzlichen Rahmen ausschöpfen. Der Rechner ersetzt keine Rechtsberatung.

Dieser Rechner zeigt eine grobe Orientierung anhand der äußeren Grenzen ausgewählter EDSA-Ausgangsbereiche. Er kann die Tatsachenwürdigung und das Ermessen einer Aufsichtsbehörde nicht abbilden. Über ein Bußgeld und seine Höhe entscheidet die zuständige Behörde im Einzelfall. Das DSK-Konzept erscheint nur als historischer Vergleich. Die Angaben sind allgemeine Information und keine Rechtsberatung. Für Richtigkeit und Vollständigkeit besteht keine Gewähr. Stand: 4. September 2026.