DSGVO-Bußgelder in Deutschland: Höhe, Beispiele und was kleinen Firmen droht

Worum es geht: Über Datenschutz-Strafen und Bußgelder kursieren zwei Zahlen: 20 Millionen Euro und 4 Prozent vom Umsatz. Das ist der gesetzliche Rahmen. Wie die Behörden ihn in Deutschland nutzen, steht in ihren eigenen Jahresberichten. Die zeigen ein anderes Bild, und sie zeigen, womit man sich ein teures Verfahren wirklich einhandelt.

Kein Rechtsrat. Wir geben wieder, was Gesetz und Behördenberichte sagen. Für Ihren konkreten Fall fragen Sie einen Anwalt oder Ihren Datenschutzbeauftragten.

Was das Gesetz erlaubt

Die DSGVO kennt zwei Stufen. Für Verstöße etwa gegen Pflichten zur Datensicherheit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für Verstöße etwa gegen die Grundsätze der Verarbeitung oder die Rechte der Betroffenen bis zu 20 Millionen Euro oder 4 Prozent, jeweils der höhere Betrag^[1].

Genauso wichtig ist, was daneben steht:

• Die Behörde muss jedes Bußgeld „wirksam, verhältnismäßig und abschreckend“ bemessen, und zwar „in jedem Einzelfall“^[1].
• Sie berücksichtigt dabei unter anderem Art, Schwere und Dauer des Verstoßes, ob er vorsätzlich war und was Sie getan haben, um den Schaden zu mindern^[1].
• Bei einem geringfügigeren Verstoß kann sie statt einer Geldbuße eine Verwarnung erteilen^[1]. Die Verwarnung ist ein eigenes Mittel der Aufsicht, ebenso wie die Anweisung, etwas abzustellen^[1].

Die Millionen sind also die Obergrenze, nicht der Normalfall.

Was die Behörden tatsächlich verhängen

Die Landesbehörde in Nordrhein-Westfalen veröffentlicht ihre Zahlen als Tabelle. Für 2025^[2]:

• 53 Bußgeldbescheide, zusammen 431.900 Euro.
• Höchstes Bußgeld 300.000 Euro, Mittelwert 8.150 Euro, Median 500 Euro.
• Daneben 2.033 Hinweise, 35 Verwarnungen und 236 Anweisungen.

Der Median, also der Wert, unter dem die Hälfte der Bußgelder liegt, betrug in NRW in fast jedem Jahr seit 2020 500 Euro, nur 2024 lag er bei 875 Euro^[2]. Die Tabelle trennt nicht zwischen Firmen und Privatpersonen. (Hinweis von uns)

In anderen Ländern sieht es ähnlich aus:

• Baden-Württemberg: 101 Bußgeldbescheide mit zusammen 308.850 Euro im Jahr 2025^[4].
• Brandenburg: 25 Geldbußen gegen 9 Verantwortliche, zusammen knapp 109.000 Euro^[5].

Große Summen gibt es auch, aber bei großen Unternehmen. Die Bundesbeauftragte verhängte 2025 zwei Geldbußen von 15 und 30 Millionen Euro gegen einen Telekommunikationsanbieter, unter anderem wegen Sicherheitslücken, über die Fremde Mobilfunknummern hätten übernehmen können^[6]. Selbst dort wurde die Kooperation des Unternehmens ausdrücklich bußgeldmindernd berücksichtigt^[6].

Wie die Aufsicht vorgeht

Das bayerische Landesamt beschreibt seine Linie offen. Ziel sei vorrangig, die Verarbeitung wieder mit der DSGVO in Einklang zu bringen. Ein Bußgeld sei dafür „kein geeignetes Mittel“, weil es nur eine Zahlungspflicht auferlegt. Geldbußen würden daher „in der Regel nur als zusätzliche Maßnahme und auch nur bei schwerwiegenderen Verstößen festgesetzt“^[3].

Der übliche Weg ist eine Anweisung mit Frist, durchgesetzt mit Zwangsgeld von mindestens 15 und höchstens 50.000 Euro^[3]. Schon die förmliche Anweisung kostet Gebühren^[3].

Wann es wirklich teuer wird

Der Bericht aus Bayern zeigt auch die Kehrseite. Wer eine förmliche Anweisung missachtet, bei dem liegt nach Ansicht der Behörde „keine Geringfügigkeit mehr vor“, ganz gleich, wie klein der ursprüngliche Verstoß war^[3]. Dann kommt ein Bußgeld neben der Anweisung in Betracht^[3].

Ein Fall aus demselben Bericht: Ein Unternehmen beantwortete das Auskunftsersuchen einer Bürgerin nie. Es zahlte Gebühren, Zwangsgelder und Mahnungen, gab die Auskunft aber trotzdem nicht. Am Ende standen zwei Geldbußen von zusammen 50.000 Euro^[3]. Teuer war nicht der Fehler, sondern das Ignorieren.

Die Fälle kleiner Betriebe

Die Berichte nennen Fälle, wie sie jedem kleinen Betrieb passieren können:

• Ransomware in einer Arztpraxis (Brandenburg): Die Sicherungsfestplatten hingen alle gleichzeitig am System und wurden mitverschlüsselt, alle Daten waren verloren. Folge: eine Verwarnung und Hinweise zur Datensicherung^[5].
• Versteckter Tracker im Firmenwagen (Bayern): Eine Einzelunternehmerin ließ zweimal heimlich einen Apple-AirTag im Dienstwagen ihres Mitarbeiters anbringen. Folge: eine Geldbuße im oberen vierstelligen Bereich, bemessen auch nach ihrer wirtschaftlichen Lage^[3].
• Ausweiskopien im Papiermüll (Baden-Württemberg): Ein Autohaus entsorgte Kopien von Ausweisen und Führerscheinen von Probefahrern im normalen Papiermüll. Das Unternehmen kooperierte, das Bußgeld wurde reduziert und auf 120.000 Euro festgesetzt^[4]. Das war ein großes Unternehmen. (Hinweis von uns.)

Recht und Praxis zusammen gelesen (Einschätzung)

• Das Gesetz erlaubt Millionen. Die Praxis in den Ländern liegt bei einem Bruchteil davon: In NRW lag die Hälfte der Bescheide 2025 bei höchstens 500 Euro^[2].
• Wer kooperiert und den Fehler abstellt, landet meist bei Hinweis, Verwarnung oder Anweisung^[1][2][3].
• Wer Post von der Aufsicht ignoriert, macht aus einem kleinen Fehler einen teuren^[3].
• Unberechenbar bleibt der Einzelfall: Ein Bußgeld kann auch bei kleinen Betrieben vier- oder fünfstellig werden, und die Behörde misst am Umsatz und an der Schwere^[1][3]. Panik vor den Millionen ist aber für einen kleinen Betrieb die falsche Richtschnur.
• Zwei andere Wege behandelt dieser Beitrag nicht: Betroffene können Schadenersatz verlangen, wenn ihnen durch einen Verstoß ein Schaden entstanden ist^[1], und Mitbewerber oder Verbände können abmahnen.

Was Sie tun können

1. Post von der Datenschutzbehörde nie liegen lassen. Fristgerecht antworten, notfalls um Aufschub bitten.
2. Auskunftsanfragen beantworten, unverzüglich, spätestens innerhalb eines Monats; in begründeten Fällen ist eine Verlängerung um zwei Monate möglich^[1]. Das ist der Fall, an dem es in Bayern teuer wurde^[3].
3. Backups getrennt aufbewahren, mindestens eine Kopie nicht dauerhaft am Rechner. Das schützt vor Datenverlust und vor dem Vorwurf aus der Arztpraxis^[5].
4. Beschäftigte nicht heimlich überwachen, auch nicht mit einem Tracker^[3].
5. Papiere mit Ausweisdaten datenschutzgerecht vernichten^[4].
6. Kooperieren, wenn etwas schiefgeht. Das wirkt in der Praxis mindernd^[4][6].

Häufige Fragen

Bekomme ich als kleine Firma sofort ein Bußgeld? In der Regel nicht. Die Behörden setzen nach eigener Darstellung zuerst auf Anweisung oder Verwarnung, Bußgelder vor allem bei schwereren Verstößen^[3].

Wie hoch sind DSGVO-Strafen in Deutschland typischerweise? Eine bundesweite Zahl haben wir nicht gefunden. In NRW lag der Median 2025 bei 500 Euro, der Mittelwert bei 8.150 Euro^[2].

Was kostet es, wenn ich auf ein Schreiben der Behörde nicht reagiere? Zwangsgelder, Gebühren und am Ende womöglich ein Bußgeld. Im Fall aus Bayern waren es zwei Geldbußen von zusammen 50.000 Euro^[3].

Wo die Daten in Ihrem Betrieb überall liegen, zeigen wir unter Datenwege.