--- title: "DSGVO-Bußgeldrechner: Wie hoch kann die Strafe werden?" description: "Wie hoch kann ein DSGVO-Bußgeld werden? Die zwei Höchstgrenzen nach Art. 83 DSGVO, die Zumessung Schritt für Schritt und acht reale Bußgelder im Vergleich." canonical: "https://veronto.de/daten/dsgvo-bussgeldrechner" --- # DSGVO-Bußgeldrechner: Wie hoch kann die Strafe werden? Ein DSGVO-Bußgeld kann zwei Höchstgrenzen erreichen. Bei formellen Pflichten gelten bis zu 10 Mio. Euro oder 2 % des weltweiten Konzern-Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Bei materiellen Kernpflichten wie den Grundsätzen oder Betroffenenrechten sind es bis zu 20 Mio. Euro oder 4 % (Art. 83 Abs. 5). Es gilt jeweils der höhere Betrag. Die tatsächliche Höhe bestimmt die Aufsichtsbehörde im Einzelfall nach Schwere und Unternehmensgröße. Der interaktive Rechner auf der Seite bildet die öffentlich dokumentierte Methodik nach: EDSA Leitlinien 04/2022 zur Berechnung von Geldbußen (Version 2.1, angenommen am 24.05.2023) und DSK-Bußgeldkonzept vom 14.10.2019. Das Ergebnis ist eine unverbindliche Schätzspanne, keine Rechtsberatung. Stand der Angaben: 21. Juli 2026. ## Die zwei Bußgeldrahmen des Art. 83 DSGVO | Rahmen | Höchstgrenze | Gilt für | | --- | --- | --- | | Art. 83 Abs. 4 | bis 10 Mio. Euro oder 2 % des gesamten weltweit erzielten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist | eher formelle Pflichten, z. B. Art. 8, 11, 25 bis 39 (u. a. Sicherheit Art. 32, Meldung Art. 33/34, Folgenabschätzung Art. 35), 42, 43 | | Art. 83 Abs. 5 und 6 | bis 20 Mio. Euro oder 4 % des gesamten weltweit erzielten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist | materielle Kernpflichten: Grundsätze (Art. 5), Rechtmäßigkeit (Art. 6), Einwilligung (Art. 7), besondere Kategorien (Art. 9), Betroffenenrechte (Art. 12 bis 22), Drittlandtransfer (Art. 44 bis 49), Missachtung behördlicher Anordnungen | Bemessungsgrundlage ist der gesamte weltweit erzielte Konzernumsatz des vorangegangenen Geschäftsjahres (funktionaler Unternehmensbegriff, Erwägungsgrund 150). Mehrere Verstöße in einem Verfahren können kumuliert werden, ohne dass die für den schwersten Verstoß geltende Höchstgrenze überschritten wird (Art. 83 Abs. 3). ## Die Fünf-Schritt-Methodik des EDSA (24.05.2023) 1. **Verstoß dem Bußgeldrahmen zuordnen.** Niedrigerer Rahmen nach Art. 83 Abs. 4 oder höherer Rahmen nach Art. 83 Abs. 5 und 6. Das anwendbare Maximum ist der höhere Wert aus festem Betrag und Umsatzprozent. 2. **Ausgangsbetrag aus der Schwere ableiten.** Niedrige Schwere 0 bis 10 %, mittlere Schwere 10 bis 20 %, hohe Schwere 20 bis 100 % des anwendbaren Maximums. Maßstab: Art, Schwere und Dauer, Vorsatz oder Fahrlässigkeit, betroffene Datenkategorien. 3. **Betrag an der Unternehmensgröße ausrichten.** Skalierung mit dem Anteil der passenden Umsatzklasse, von 0,2 % für die kleinsten Unternehmen bis 100 % für Unternehmen über 500 Mio. Euro Umsatz. 4. **Erschwerende und mildernde Umstände einrechnen.** Die elf Kriterien des Art. 83 Abs. 2 DSGVO erhöhen oder senken den Betrag. Der EDSA nennt für diesen Schritt keine festen Prozentwerte. 5. **An der Höchstgrenze deckeln und prüfen.** Deckelung an der gesetzlichen Höchstgrenze, abschließende Prüfung auf Wirksamkeit, Verhältnismäßigkeit und Abschreckung. Das Resultat ist eine Spanne; die zuständige Behörde entscheidet im Einzelfall. ## EDSA-Schwerekorridore (Anteil am anwendbaren Maximum) | Schweregrad | Startkorridor | | --- | --- | | niedrig | 0 bis 10 % des anwendbaren gesetzlichen Maximums | | mittel | 10 bis 20 % des anwendbaren gesetzlichen Maximums | | hoch | 20 bis 100 % des anwendbaren gesetzlichen Maximums | ## EDSA-Umsatzklassen (Anteil am Ausgangsbetrag) | Jahresumsatz | Anteil am Ausgangsbetrag | | --- | --- | | bis 2 Mio. Euro | 0,2 bis 0,4 % | | über 2 bis 10 Mio. Euro | 0,3 bis 2 % | | über 10 bis 50 Mio. Euro | 1,5 bis 10 % | | über 50 bis 100 Mio. Euro | 8 bis 20 % | | über 100 bis 250 Mio. Euro | 15 bis 50 % | | über 250 bis 500 Mio. Euro | 40 bis 100 % | | über 500 Mio. Euro | keine Anpassung (100 % des Ausgangsbetrags); die Größe bildet bereits die prozentuale Höchstgrenze ab | Das ältere DSK-Konzept 2019 rechnete mit einem umsatzbasierten Tagessatz (mittlerer Jahresumsatz der Untergruppe geteilt durch 360) multipliziert mit einem Schwerefaktor (formell 1 bis über 6, materiell 1 bis über 12). Es verliert mit den finalen EDSA-Leitlinien seine Geltung, bleibt aber als transparentes Rechenmodell lehrreich. ## Die elf Zumessungskriterien (Art. 83 Abs. 2 lit. a bis k) - **lit. a** Art, Schwere und Dauer des Verstoßes (erschwerend oder mildernd) - **lit. b** Vorsatz oder Fahrlässigkeit (erschwerend oder mildernd) - **lit. c** Maßnahmen zur Minderung des Schadens (mildernd) - **lit. d** Grad der Verantwortung, getroffene technische und organisatorische Maßnahmen nach Art. 25 und 32 (erschwerend oder mildernd) - **lit. e** Frühere einschlägige Verstöße (erschwerend) - **lit. f** Zusammenarbeit mit der Aufsichtsbehörde (mildernd) - **lit. g** Kategorien betroffener Daten, besondere Kategorien nach Art. 9 und 10 (erschwerend) - **lit. h** Art der Kenntniserlangung, insbesondere eigene Meldung (mildernd) - **lit. i** Einhaltung früherer Anordnungen nach Art. 58 Abs. 2 (erschwerend oder mildernd) - **lit. j** Genehmigte Verhaltensregeln oder Zertifizierung nach Art. 40 und 42 (mildernd) - **lit. k** Sonstige Umstände, etwa erlangte finanzielle Vorteile (erschwerend oder mildernd) ## Reale DSGVO-Bußgelder im Vergleich (amtliche Primärquellen) | Fall | Jahr | Bußgeld | Verstoß (Artikel) | Aufsichtsbehörde | Verfahrensstand | | --- | --- | --- | --- | --- | --- | | Meta Platforms Ireland | 2023 | 1,2 Mrd. Euro | Art. 46 Abs. 1 (Datentransfer USA) | DPC (Irland) | angefochten | | TikTok Technology | 2023 | 345 Mio. Euro | Art. 5, 12, 13, 24, 25 (Kinderdaten) | DPC (Irland) | angefochten | | LinkedIn Ireland | 2024 | 310 Mio. Euro | Art. 5, 6, 13, 14 (Werbung ohne Rechtsgrundlage) | DPC (Irland) | rechtskräftig (Stand Recherche) | | Uber Technologies | 2024 | 290 Mio. Euro | Art. 44 (Fahrerdaten in die USA) | AP (Niederlande) | angefochten | | Google LLC | 2019 | 50 Mio. Euro | Art. 6, 12, 13 (Transparenz, Einwilligung) | CNIL (Frankreich) | rechtskräftig (2020 bestätigt) | | H&M Hennes & Mauritz | 2020 | 35.258.707,95 Euro | Art. 5, 6 (Beschäftigtendaten) | HmbBfDI (Hamburg) | rechtskräftig | | Deutsche Wohnen SE | 2019 | rund 14,5 Mio. Euro | Art. 25 Abs. 1, Art. 5 (Löschkonzept) | BlnBDI (Berlin) | angefochten (EuGH C-807/21) | | AOK Baden-Württemberg | 2020 | 1,24 Mio. Euro | Art. 32 (Datensicherheit) | LfDI Baden-Württemberg | rechtskräftig | Primärquellen: Meta https://www.dataprotection.ie/en/news-media/press-releases/Data-Protection-Commission-announces-conclusion-of-inquiry-into-Meta-Ireland · TikTok https://www.dataprotection.ie/en/news-media/press-releases/DPC-announces-345-million-euro-fine-of-TikTok · LinkedIn https://www.dataprotection.ie/en/news-media/press-releases/irish-data-protection-commission-fines-linkedin-ireland-eu310-million · Uber https://www.edpb.europa.eu/news/news/2024/dutch-sa-imposes-fine-290-million-euro-uber-because-transfers-drivers-data-us_en · Google (Bestätigung Conseil d'État) https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2020-06-19/430810 · H&M https://datenschutz-hamburg.de/fileadmin/user_upload/HmbBfDI/Pressemitteilungen/2020/2020-10-01-H_M.pdf · Deutsche Wohnen https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/pressemitteilungen/2019/20191105-PM-Bussgeld_DW.pdf · AOK https://www.baden-wuerttemberg.datenschutz.de/lfdi-baden-wuerttemberg-verhaengt-bussgeld-gegen-aok-baden-wuerttemberg-wirksamer-datenschutz-erfordert-regelmaessige-kontrolle-und-anpassung/ ## Häufige Fragen **Wie wird ein DSGVO-Bußgeld berechnet?** Die Aufsichtsbehörde ordnet den Verstoß einem der beiden Rahmen des Art. 83 DSGVO zu, leitet aus der Schwere einen Ausgangsbetrag als Anteil des gesetzlichen Maximums ab, richtet ihn an der Unternehmensgröße aus und passt ihn nach den Kriterien des Art. 83 Abs. 2 an. Diese Fünf-Schritt-Methodik hat der EDSA am 24.05.2023 EU-weit vereinheitlicht. **Was ist das höchste DSGVO-Bußgeld?** 1,2 Mrd. Euro gegen Meta Platforms Ireland (2023, irische Datenschutzbehörde) wegen der Übermittlung von Facebook-Nutzerdaten in die USA ohne ausreichende Garantien (Art. 46 Abs. 1 DSGVO). Meta hat die Entscheidung angefochten. **Auf welchen Umsatz bezieht sich der Prozentsatz?** Auf den gesamten weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahres, gemessen am kompletten Konzern (Erwägungsgrund 150). Maßgeblich ist der jeweils höhere Wert aus festem Betrag und Umsatzprozent. **Können mehrere Verstöße zusammen geahndet werden?** Ja, in einem Verfahren kann die Behörde Verstöße kumulieren, ohne die für den schwersten Verstoß geltende Höchstgrenze zu überschreiten (Art. 83 Abs. 3 DSGVO). Das TikTok-Bußgeld von 345 Mio. Euro besteht aus drei Einzelbeträgen von 100, 65 und 180 Mio. Euro. **Ist das Ergebnis des Bußgeldrechners verbindlich?** Nein. Der Rechner liefert eine unverbindliche Schätzspanne auf Basis der öffentlichen Methodik von EDSA und DSK. Die tatsächliche Höhe bestimmt allein die zuständige Aufsichtsbehörde nach den Umständen des Einzelfalls (Art. 83 Abs. 2 DSGVO). Der Rechner ersetzt keine Rechtsberatung. ## Weiter - [redact: Daten in Dokumenten schwärzen und anonymisieren](https://veronto.de/redact) - [alias: Klardaten aus dem Prompt an ein Sprachmodell heraushalten](https://veronto.de/alias) - [Was muss in einem Dokument geschwärzt werden?](https://veronto.de/blog/was-muss-geschwaerzt-werden) - [ChatGPT im Unternehmen datenschutzkonform nutzen](https://veronto.de/blog/chatgpt-unternehmen-datenschutz) - [Glossar: Anonymisierung](https://veronto.de/wissen/glossar/anonymisierung) - [Glossar: Pseudonymisierung](https://veronto.de/wissen/glossar/pseudonymisierung) - [Interaktiver Rechner auf der Seite](https://veronto.de/daten/dsgvo-bussgeldrechner)