DSGVO-Bußgelder: Wie groß ist das Risiko wirklich — und wie schützt man sich?

Die DSGVO gilt seit Mai 2018 — und dennoch behandeln viele Unternehmen Datenschutz immer noch als lästige Pflicht. Das ist gefährlich. Die Datenschutzbehörden der Bundesländer haben ihre Aktivitäten deutlich gesteigert: Beschwerden werden bearbeitet, Prüfungen eingeleitet, und Bußgeldbescheide verschickt. Dabei spielt die Unternehmensgröße eine kleinere Rolle als viele denken.

Artikel 83 der DSGVO definiert zwei Bußgeldkategorien. Die untere Stufe erfasst weniger schwere Verstöße — etwa unvollständige Datenschutzhinweise, fehlende Auftragsverarbeitungsverträge oder mangelhafte technische Maßnahmen. Hier sind Bußgelder bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes möglich. Die obere Stufe trifft schwere Verstöße: unzulässige Datenverarbeitung, Missachtung von Betroffenenrechten, unrechtmäßige Übermittlung in Drittländer. Hier können bis zu 20 Millionen Euro oder 4% des Jahresumsatzes verhängt werden — je nachdem, was höher ist.

Für einen mittelständischen Betrieb mit 5 Millionen Euro Umsatz bedeutet das: 4% entsprechen 200.000 Euro. Das ist kein theoretischer Wert — es ist eine realistische Größenordnung, die Unternehmen existenziell treffen kann. Hinzu kommen Abmahnungen durch Wettbewerber (die seit dem neuen UWG unter bestimmten Bedingungen möglich sind) sowie Schadensersatzklagen von betroffenen Personen nach Art. 82 DSGVO.

Die bekanntesten DSGVO-Bußgelder in Deutschland zeigen die Bandbreite: H&M erhielt 2020 ein Bußgeld von 35,3 Millionen Euro, weil das Unternehmen systematisch private Informationen über Mitarbeiter gesammelt und ausgewertet hatte — von Krankheiten bis zu religiösen Überzeugungen. Die Deutsche Wohnen SE wurde mit 14,5 Millionen Euro belegt, weil Mieterdaten ohne rechtliche Grundlage aufbewahrt wurden. Rapidata GmbH bekam 10.400 Euro — ein kleines Unternehmen, das schlicht vergessen hatte, Betroffenenanfragen korrekt zu bearbeiten.

Diese Beispiele zeigen: Bußgelder treffen Konzerne und KMU gleichermaßen. Der Unterschied liegt nicht in der Unternehmensgröße, sondern im Verhalten. Behörden prüfen, ob ein Unternehmen erkennbar versucht hat, datenschutzkonform zu handeln. Ein dokumentiertes Datenschutzkonzept, ein benannter Datenschutzbeauftragter und nachweisbare technisch-organisatorische Maßnahmen (TOM) signalisieren den Behörden Ernsthaftigkeit — und mindern das Bußgeld erheblich, sollte es dennoch zu einem Verstoß kommen.

Zusätzlich zur behördlichen Kontrolle gibt es zwei weitere Risikoquellen: Erstens Beschwerden von Betroffenen. Jeder, der sich in seinen Datenschutzrechten verletzt fühlt, kann sich an die zuständige Aufsichtsbehörde wenden — kostenlos und mit wenigen Klicks. Zweitens Wettbewerberabmahnungen. Fehlende Cookie-Banner, unvollständige Datenschutzerklärungen oder rechtswidrige E-Mail-Werbung können von Wettbewerbern abgemahnt werden, was zusätzliche Kosten und Unterlassungsklagen nach sich zieht.

Bei INREMA ist Datenschutz kein optionaler Zusatz — er ist fester Bestandteil jedes Webprojekts. Das bedeutet konkret: Cookie-Consent-System wird vor dem ersten Deployment implementiert und getestet. Datenschutzerklärung wird auf Basis der tatsächlich eingesetzten Dienste erstellt — kein Textbaustein von der Stange. Kontaktformulare erhalten korrekte Datenschutzhinweise und werden nur mit AVV-gesicherten Hosting-Diensten betrieben. Google Fonts werden lokal eingebunden, keine externen Ressourcen ohne Einwilligung. Impressum wird nach §5 DDG geprüft — inklusive Verantwortlicher für journalistisch-redaktionelle Inhalte, wenn relevant.

Darüber hinaus beraten wir unsere Kunden in der Region OWL zu grundlegenden Datenschutzfragen und empfehlen bei Bedarf externe Datenschutzbeauftragte, die auf KMU spezialisiert sind. Datenschutz funktioniert nur, wenn er gelebt wird — nicht wenn er einmalig auf Papier gebracht und dann vergessen wird.

Das Fazit ist pragmatisch: Die meisten DSGVO-Verstöße, die zu Bußgeldern führen, wären mit einfachen Maßnahmen vermeidbar gewesen. Fehlende AVV, veraltete Datenschutzerklärungen, fehlende Cookie-Einwilligung — das sind keine komplexen Probleme. Sie erfordern Aufmerksamkeit und einen strukturierten Prozess. Wer beides hat, schläft ruhig.