DSGVO-Bußgelder: Wie groß ist das Risiko wirklich — und wie schützt man sich?
Kurz gesagt
DSGVO-Bußgelder reichen bis zu 10 Millionen Euro oder 2 Prozent des Umsatzes bei leichteren Verstößen und bis zu 20 Millionen Euro oder 4 Prozent bei schweren. Hinzu kommen Abmahnungen durch Wettbewerber und Schadensersatzklagen — auch kleinere Unternehmen werden geprüft.
Warum auch kleine Unternehmen betroffen sind
Für einen mittelständischen Betrieb mit fünf Millionen Euro Umsatz entsprechen vier Prozent 200.000 Euro — kein theoretischer Wert, sondern eine Größenordnung, die existenziell treffen kann. Hinzu kommen Wettbewerberabmahnungen unter bestimmten UWG-Voraussetzungen und Schadensersatzklagen Betroffener nach Art. 82 DSGVO. Bekannte deutsche Bußgeldfälle zeigen die Bandbreite: Große Konzerne wurden mit Beträgen im zweistelligen Millionenbereich belegt, kleinere Unternehmen mit vierstelligen Summen — etwa weil Betroffenenanfragen nicht korrekt bearbeitet wurden. Der Unterschied liegt nicht in der Unternehmensgröße, sondern im Verhalten: Ein dokumentiertes Datenschutzkonzept, ein benannter Datenschutzbeauftragter und nachweisbare technisch-organisatorische Maßnahmen mindern das Bußgeld erheblich, sollte es dennoch zu einem Verstoß kommen.
Zwei zusätzliche Risikoquellen
Neben der behördlichen Kontrolle gibt es zwei weitere Auslöser: Beschwerden von Betroffenen, die sich kostenlos und mit wenigen Klicks an die Aufsichtsbehörde wenden können, und Wettbewerberabmahnungen bei fehlenden Cookie-Bannern, unvollständigen Datenschutzerklärungen oder rechtswidriger E-Mail-Werbung. Ein verbreiteter Irrglaube ist, kleine Unternehmen kämen an Behörden nicht in den Blick — tatsächlich reicht eine einzige Beschwerde, um eine Prüfung auszulösen.
Die acht wichtigsten Schutzmaßnahmen
- Datenschutzerklärung: aktuell, vollständig, alle Verarbeitungszwecke transparent aufgeführt.
- Verarbeitungsverzeichnis nach Art. 30 DSGVO: jede Verarbeitung dokumentiert und begründet.
- Auftragsverarbeitungsverträge mit jedem Dienstleister, der personenbezogene Daten verarbeitet.
- Technisch-organisatorische Maßnahmen dokumentiert: Verschlüsselung, Zugriffskontrolle, Backup-Konzept.
- Cookie-Consent-System rechtssicher implementiert, keine vorausgewählten Drittdienste.
- Datenschutzbeauftragter benannt, wenn gesetzlich erforderlich.
- Mitarbeiterschulung mindestens einmal jährlich, nachweisbar dokumentiert.
- Reaktionsprozess für Betroffenenanfragen mit eingehaltener Antwortfrist.
Vorgehen Schritt für Schritt
- Bestandsaufnahme: alle Prozesse mit personenbezogenen Daten erfassen — Kunden-, Mitarbeiter-, Bewerberdaten, Newsletter-Empfänger, Website-Besucher.
- Verarbeitungsverzeichnis erstellen: je Vorgang Zweck, Rechtsgrundlage, Kategorien betroffener Personen, Empfänger, Speicherdauer — aktuell halten.
- Verträge mit allen Dienstleistern abschließen: jeder Cloud-Dienst, jede Marketing-Plattform, jedes CRM braucht einen Auftragsverarbeitungsvertrag.
- TOM dokumentieren und technisch umsetzen: Verschlüsselung, Zugriffsrechte, Backup, Umgang mit Datenpannen schriftlich festhalten.
- Website datenschutzkonform gestalten: Cookie-Consent vor dem Laden von Tracking-Diensten, Datenschutzhinweis am Formular, korrektes Impressum.
- Prozess für Betroffenenanfragen einrichten: klare Zuständigkeit, dokumentierte Fristeinhaltung von 30 Tagen.