DSGVO-Bußgeldrechner: wie hoch kann die Strafe werden?

Welche zwei Höchstgrenzen gelten nach Art. 83 DSGVO?

Die DSGVO kennt zwei Bußgeldrahmen. Für eher formelle Pflichten gelten bis zu 10 Mio. Euro oder 2 % des weltweiten Konzern-Jahresumsatzes (Art. 83 Abs. 4). Für materielle Kernpflichten steigt der Rahmen auf bis zu 20 Mio. Euro oder 4 % (Art. 83 Abs. 5). Es zählt der jeweils höhere Betrag.

Welcher Rahmen gilt, hängt vom verletzten Artikel ab. Der niedrigere Rahmen nach Art. 83 Abs. 4 DSGVO erfasst eher formelle Pflichten: die Sicherheit der Verarbeitung (Art. 32), die Meldung von Datenpannen (Art. 33 und 34), die Datenschutz-Folgenabschätzung (Art. 35) sowie Datenschutz durch Technikgestaltung (Art. 25).

Der höhere Rahmen nach Art. 83 Abs. 5 und 6 DSGVO gilt für die materiellen Kernpflichten: die Verarbeitungsgrundsätze (Art. 5), die Rechtmäßigkeit (Art. 6), die Einwilligung (Art. 7), besondere Datenkategorien (Art. 9), die Betroffenenrechte (Art. 12 bis 22), internationale Datenübermittlungen (Art. 44 bis 49) und die Missachtung behördlicher Anordnungen.

Bei beiden Rahmen zählt der jeweils höhere Wert aus festem Betrag und Umsatzprozent. Für große Konzerne dominiert deshalb der Prozentsatz, für kleine Unternehmen der feste Betrag. Bemessungsgrundlage ist der gesamte weltweit erzielte Konzernumsatz des vorangegangenen Geschäftsjahres. Maßgeblich ist der komplette Konzern einschließlich ausländischer Umsätze und Tochtergesellschaften (funktionaler Unternehmensbegriff, Erwägungsgrund 150).

Wie wird ein DSGVO-Bußgeld berechnet?

Der Europäische Datenschutzausschuss (EDSA) hat am 24.05.2023 eine EU-weit einheitliche Methodik in fünf Schritten veröffentlicht. Sie ordnet den Verstoß einem Rahmen zu, leitet aus der Schwere einen Ausgangsbetrag ab, richtet ihn an der Unternehmensgröße aus, berücksichtigt erschwerende und mildernde Umstände und deckelt das Ergebnis an der Höchstgrenze.

Der Schweregrad bestimmt, welcher Anteil des gesetzlichen Maximums als Ausgangsbetrag dient. Der EDSA nennt drei Korridore: niedrige Schwere 0 bis 10 %, mittlere Schwere 10 bis 20 %, hohe Schwere 20 bis 100 % des anwendbaren Maximums. Maßstab sind Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit und die Kategorien betroffener Daten.

Anschließend richtet die Behörde den Ausgangsbetrag an der Unternehmensgröße aus. Kleine Unternehmen bis 2 Mio. Euro Umsatz rechnen mit 0,2 bis 0,4 % des Ausgangsbetrags, mittlere Unternehmen bis 50 Mio. Euro mit 1,5 bis 10 %, Unternehmen über 250 bis 500 Mio. Euro mit 40 bis 100 %. Ab 500 Mio. Euro Umsatz bildet bereits die prozentuale Höchstgrenze die Größe ab.

Das Ergebnis ist eine Schätzspanne, die die zuständige Behörde im Einzelfall konkretisiert. Das ältere deutsche DSK-Konzept von 2019 folgte derselben Logik über einen umsatzbasierten Tagessatz (mittlerer Jahresumsatz geteilt durch 360), verliert mit den finalen EDSA-Leitlinien aber seine Geltung.

1. Verstoß dem Bußgeldrahmen zuordnen. Den Verstoß dem niedrigeren Rahmen nach Art. 83 Abs. 4 (10 Mio. Euro oder 2 % vom Umsatz) oder dem höheren Rahmen nach Art. 83 Abs. 5 und 6 (20 Mio. Euro oder 4 %) zuordnen. Das anwendbare Maximum ist der höhere Wert aus festem Betrag und Umsatzprozent.
2. Ausgangsbetrag aus der Schwere ableiten. Aus dem Schweregrad den Ausgangsbetrag als Anteil des Maximums bestimmen: niedrige Schwere 0 bis 10 %, mittlere Schwere 10 bis 20 %, hohe Schwere 20 bis 100 %. Maßstab sind Art, Schwere und Dauer, Vorsatz oder Fahrlässigkeit und die betroffenen Datenkategorien.
3. Betrag an der Unternehmensgröße ausrichten. Den Ausgangsbetrag mit dem Anteil der passenden Umsatzklasse skalieren: von 0,2 % für die kleinsten Unternehmen bis 100 % für Unternehmen über 500 Mio. Euro Umsatz.
4. Erschwerende und mildernde Umstände einrechnen. Die elf Kriterien nach Art. 83 Abs. 2 DSGVO anwenden: Vorsatz, Dauer, betroffene Datenkategorien, getroffene Schutzmaßnahmen, Zusammenarbeit mit der Behörde und die eigene Meldung erhöhen oder senken den Betrag.
5. An der Höchstgrenze deckeln und prüfen. Das Ergebnis an der gesetzlichen Höchstgrenze deckeln und auf Wirksamkeit, Verhältnismäßigkeit und Abschreckung prüfen. Das Resultat ist eine Spanne; die zuständige Behörde entscheidet im Einzelfall.

Welche Kriterien erhöhen oder senken das Bußgeld?

Art. 83 Abs. 2 DSGVO nennt elf Zumessungskriterien. Erschwerend wirken Vorsatz, viele Betroffene, eine lange Dauer, besondere Datenkategorien nach Art. 9 und frühere Verstöße. Mildernd wirken Maßnahmen zur Schadensbegrenzung, die Zusammenarbeit mit der Aufsichtsbehörde und die eigene Meldung des Verstoßes. Jede Behörde gewichtet diese Umstände im Einzelfall.

Die vollständige Liste steht in Art. 83 Abs. 2 lit. a bis k DSGVO. Sie reicht von Art, Schwere und Dauer des Verstoßes (lit. a) über den Grad der Verantwortung samt getroffener technischer und organisatorischer Maßnahmen nach Art. 25 und 32 (lit. d) bis zu genehmigten Verhaltensregeln oder Zertifizierungen (lit. j).

Der Grad der technischen und organisatorischen Maßnahmen ist ein doppelter Hebel: Fehlende Schutzmaßnahmen können ein eigenes Bußgeld nach Art. 32 auslösen und zugleich als erschwerender Umstand die Höhe anderer Verstöße anheben. Wer Daten früh schützt, den Umgang dokumentiert und Vorfälle selbst meldet, verschiebt mehrere Kriterien in Richtung mildernd.

Was war das höchste DSGVO-Bußgeld?

Das bislang höchste DSGVO-Bußgeld verhängte die irische Datenschutzbehörde 2023 gegen Meta Platforms Ireland: 1,2 Mrd. Euro für die fortgesetzte Übermittlung von Facebook-Nutzerdaten in die USA ohne ausreichende Garantien nach dem Schrems-II-Urteil (Art. 46 Abs. 1 DSGVO). Meta hat das Bußgeld angefochten. Es folgen TikTok mit 345 Mio. und LinkedIn mit 310 Mio. Euro.

Die vier größten Bußgelder trafen internationale Plattformen und beruhten überwiegend auf unzulässigen Datentransfers oder fehlender Rechtsgrundlage für Werbung. In Deutschland setzte der Hamburgische Beauftragte für Datenschutz 2020 gegen H&M rund 35,3 Mio. Euro fest, weil das Unternehmen private Lebensumstände von Beschäftigten über Jahre ausspähte und dauerhaft speicherte (Art. 5 und 6 DSGVO).

Die Berliner Aufsichtsbehörde verhängte 2019 gegen die Deutsche Wohnen SE rund 14,5 Mio. Euro wegen eines Archivsystems ohne Löschmöglichkeit (Art. 25 Abs. 1 und Art. 5). Dieser Bescheid ist angefochten; der EuGH klärte im Urteil C-807/21 vom 05.12.2023 die Verschuldensfrage, danach lief das Verfahren weiter. Die vollständige Übersicht mit Behörde, Artikel und Verfahrensstand steht in der Tabelle unten.

Wie entstehen Bußgelder aus ungeschützten Klardaten?

Ein großer Teil der Sicherheitsbußgelder entsteht durch Klardaten, die niemand hätte offenlegen müssen. Wer personenbezogene Daten in Dokumenten, Exporten oder KI-Prompts ungeschützt verarbeitet, riskiert Verstöße gegen die Sicherheit der Verarbeitung (Art. 32) und die Grundsätze (Art. 5). Die AOK Baden-Württemberg zahlte 1,24 Mio. Euro genau für ein solches Versäumnis.

Die AOK Baden-Württemberg nutzte Daten von über 500 Gewinnspielteilnehmern ohne wirksame Einwilligung zu Werbezwecken, weil die technischen und organisatorischen Maßnahmen unzureichend waren. Der Landesbeauftragte stützte das Bußgeld ausdrücklich auf Art. 32 DSGVO. Auch das H&M-Bußgeld über 35,3 Mio. Euro beruhte auf im Klartext dauerhaft gespeicherten Beschäftigtendaten.

An dieser Stelle setzt Datenminimierung technisch an: Wer personenbezogene Daten schwärzt, pseudonymisiert oder anonymisiert, bevor sie in Dokumente, Auswertungen oder KI-Systeme fließen, senkt die Angriffsfläche und stützt den Grad der Verantwortung nach Art. 83 Abs. 2 lit. d. Genau dafür sind redact und alias gebaut: redact schwärzt und anonymisiert Dokumente, alias hält Klardaten aus dem Prompt an ein Sprachmodell heraus.

Häufige Fragen zum DSGVO-Bußgeld

Wie wird ein DSGVO-Bußgeld berechnet?

Die Aufsichtsbehörde ordnet den Verstoß einem der beiden Rahmen des Art. 83 DSGVO zu, leitet aus der Schwere einen Ausgangsbetrag als Anteil des gesetzlichen Maximums ab, richtet ihn an der Unternehmensgröße aus und passt ihn nach den Kriterien des Art. 83 Abs. 2 an. Diese Fünf-Schritt-Methodik hat der EDSA am 24.05.2023 EU-weit vereinheitlicht. Das Ergebnis bleibt eine Einzelfallentscheidung.

Was ist das höchste DSGVO-Bußgeld?

Das höchste DSGVO-Bußgeld beträgt 1,2 Mrd. Euro. Die irische Datenschutzbehörde verhängte es 2023 gegen Meta Platforms Ireland wegen der Übermittlung von Facebook-Nutzerdaten in die USA ohne ausreichende Garantien (Art. 46 Abs. 1 DSGVO). Meta hat die Entscheidung angefochten. Es folgen TikTok mit 345 Mio. Euro und LinkedIn mit 310 Mio. Euro.

Haftet die Geschäftsführung persönlich?

Der Bußgeldrahmen des Art. 83 DSGVO richtet sich gegen das Unternehmen als Verantwortlichen oder Auftragsverarbeiter. Bemessungsgrundlage ist der weltweite Konzernumsatz des Vorjahres (Erwägungsgrund 150). Ob einzelne Personen darüber hinaus in Anspruch genommen werden, bewertet dieser Rechner nicht; das hängt vom Einzelfall ab und ist keine Aussage dieser Seite.

Auf welchen Umsatz bezieht sich der Prozentsatz?

Die 2 % und 4 % beziehen sich auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres, gemessen am kompletten Konzern (funktionaler Unternehmensbegriff, Erwägungsgrund 150). Maßgeblich ist der jeweils höhere Wert aus festem Betrag und Umsatzprozent. Bei großen Konzernen dominiert deshalb der Prozentsatz, bei kleinen Unternehmen der feste Betrag.

Können mehrere Verstöße zusammen geahndet werden?

Ja. Mehrere Verstöße in einem Verfahren kann die Behörde kumulieren, ohne dass die für den schwersten Verstoß geltende Höchstgrenze überschritten wird (Art. 83 Abs. 3 DSGVO). Das TikTok-Bußgeld von 345 Mio. Euro setzt sich zum Beispiel aus drei Einzelbeträgen von 100, 65 und 180 Mio. Euro zusammen.

Ist das Ergebnis des Bußgeldrechners verbindlich?

Nein. Der Rechner liefert eine unverbindliche Schätzspanne auf Basis der öffentlich dokumentierten Methodik von EDSA und DSK. Die tatsächliche Höhe bestimmt allein die zuständige Aufsichtsbehörde nach den Umständen des Einzelfalls (Art. 83 Abs. 2 DSGVO). Aufsichtsbehörden können den vollen Rahmen bis zur gesetzlichen Höchstgrenze ausschöpfen. Der Rechner ersetzt keine Rechtsberatung.

Dieser Rechner liefert eine unverbindliche Schätzung auf Basis der öffentlich dokumentierten Methodik von EDSA und DSK. Die tatsächliche Höhe eines Bußgeldes bestimmt allein die zuständige Aufsichtsbehörde nach den Umständen des Einzelfalls (Art. 83 Abs. 2 DSGVO). Die Angaben sind allgemeine Information und keine Rechtsberatung. Für Richtigkeit und Vollständigkeit besteht keine Gewähr. Stand der Angaben: 21. Juli 2026.