DSGVO-Bußgelder 2025/26: was wirklich kostet

1. DSGVO-Bußgelder 2025/26: Einordnung und Zuständigkeit

Kurzantwort: Die höchsten Beträge entfallen auf wenige Konzernverfahren — die für KMU realistische Bezugsgröße ist deshalb nicht das Maximum, sondern der Rahmen, den die jeweils verletzte Pflicht eröffnet (Abschnitt 2). Die Angabe zum höchsten EU-Bußgeld gibt den Stand der Erstfassung vom 2. Mai 2026 wieder.

DE/AT — wer sanktioniert, und was kommt national dazu? Der Bußgeldrahmen des Art. 83 Abs. 4 und Abs. 5 DSGVO gilt in Deutschland und Österreich gleichermaßen. Unterschiedlich sind Aufsicht und nationale Zusatzbestimmungen: In Deutschland überwachen die nach Landesrecht zuständigen Behörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG), der oder die BfDI ist für öffentliche Stellen des Bundes und bestimmte Telekommunikationsanbieter zuständig (§ 9 Abs. 1 BDSG); ergänzend ahndet § 43 Abs. 2 und Abs. 3 BDSG bestimmte Verstöße als Ordnungswidrigkeit mit bis zu 50.000 EUR. In Österreich ist die Datenschutzbehörde als nationale Aufsichtsbehörde nach Art. 51 DSGVO eingerichtet (§ 18 Abs. 1 DSG); ergänzend sieht § 62 Abs. 1 DSG Verwaltungsstrafen bis 50.000 EUR vor, soweit die Tat nicht schon Art. 83 DSGVO unterfällt.

Für die eigene Einschätzung folgen daraus zwei Filter: erstens die Zuständigkeit — deutsche Unternehmen die Landesbehörde ihres Sitzes, österreichische ausschließlich die Datenschutzbehörde; zweitens die Frage, welche Pflicht verletzt wurde, denn davon hängt ab, ob der 20-Millionen-Rahmen überhaupt im Raum steht (Abschnitt 2).

2. Welcher Verstoß löst welchen Bußgeldrahmen aus

Kurzantwort: Die DSGVO kennt zwei Rahmen, und welcher gilt, hängt am verletzten Artikel. Verstöße gegen die Grundsätze der Verarbeitung, die Rechtmäßigkeit, die Einwilligungsbedingungen und die besonderen Datenkategorien (Art. 5, 6, 7, 9 DSGVO) sowie gegen die Rechte der betroffenen Person (Art. 12 bis 22 DSGVO) fallen unter anderem unter Art. 83 Abs. 5 DSGVO: bis 20 Mio. EUR oder 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs — daneben erfasst Abs. 5 auch Verstöße bei Drittlandstransfers (siehe FAQ „Wie hoch ist das Bußgeld-Maximum?"). Verstöße unter anderem gegen Art. 8, Art. 11, Art. 25 bis 39, Art. 42 und Art. 43 DSGVO — darunter alle Dokumentations-, Sicherheits- und Meldepflichten — fallen unter Art. 83 Abs. 4 DSGVO: bis 10 Mio. EUR oder 2 %. Maßgeblich ist jeweils der höhere der beiden Beträge.

Die ersten vier Zeilen der folgenden Tabelle betreffen den unionsrechtlichen Rahmen, die letzten beiden die nationalen Ergänzungsnormen, die neben Art. 83 DSGVO treten:

Praktisch heißt das: Ein fehlender Auftragsverarbeitungsvertrag, ein lückenhaftes Verarbeitungsverzeichnis oder eine unterlassene Datenpannenmeldung bewegen sich im 10-Millionen-Rahmen des Abs. 4 — die pauschale Formel „DSGVO-Bußgeld bis 20 Mio. EUR" ist für diese Fälle der falsche Maßstab. Umgekehrt genügt ein Cookie-Banner ohne wirksame Einwilligung, um beim strengeren Abs.-5-Rahmen zu landen, weil dann die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO und die Einwilligungsbedingungen nach Art. 7 DSGVO berührt sind.

3. Top 10 Bußgelder 2025/26

Kurzantwort: Die zehn größten Verfahren sind Konzernfälle und als Betragsmaßstab für KMU unbrauchbar — als Musterkatalog der Verstoßtypen aber sehr wohl verwertbar. Die zehn Zeilen decken sieben Muster ab: Drittlandtransfer ohne Garantie, Targeting ohne Einwilligung, Werbeanrufe, biometrische Verarbeitung ohne Rechtsgrundlage, Aufbewahrung ohne Löschkonzept, Video- und Mitarbeiter-Überwachung sowie Datenpannen- und Auskunftsmängel. Dieselben Tatbestände tauchen in KMU-Verfahren in kleinerem Maßstab auf. Die Liste gibt den Stand der Erstfassung vom 2. Mai 2026 wieder.

Die Ableitung für die eigene Praxis: Die genannten Verstöße sind überwiegend keine technischen Pannen, sondern Entscheidungen — und damit dokumentationsseitig sichtbar. Wer den Drittlandtransfer im Verarbeitungsverzeichnis samt Garantie führt und das Löschkonzept datiert vorhält, hat genau die Belege, nach denen eine Aufsicht als Erstes fragt (Abschnitt 6).

4. KMU-Bußgelder: was wirklich Praxis ist

Kurzantwort: In der KMU-Praxis entscheidet nicht die Unternehmensgröße über den Rahmen, sondern die verletzte Pflicht; innerhalb dieses Rahmens bemisst die Aufsicht die Geldbuße in jedem Einzelfall nach den Kriterien des Art. 83 Abs. 2 DSGVO. Die Zuordnung typischer Auslöser zu Unternehmensgrößen in der folgenden Tabelle ist ein Erfahrungswert der Erstfassung, keine amtliche Statistik; die mittlere Spalte nennt den gesetzlichen Rahmen.

Die Spalte „Häufigste Auslöser" mischt beide Rahmen: Cookie-Banner, fehlende Datenschutzerklärung und Auskunftsverweigerung berühren Rechtsgrundlage, Einwilligung und Betroffenenrechte und damit Art. 83 Abs. 5 DSGVO; fehlende AVVs, schwache TOMs, VVT-Mängel, fehlende DSFA und verzögerte Meldungen liegen im Bereich der Art. 25 bis 39 DSGVO und damit im Rahmen des Art. 83 Abs. 4 DSGVO. Für die eigene Einschätzung zählen deshalb nicht Beschäftigte, sondern offene Pflichten.

5. 7 typische Fehler, die zu Bußgeldern führen

Kurzantwort: Sieben Fehlerbilder kehren in Verfahren gegen KMU immer wieder — Cookie-Banner ohne echte Wahl, fehlende Auftragsverarbeitungsverträge, unzureichende technische und organisatorische Maßnahmen, verweigerte oder verspätete Auskunft, fehlende Folgenabschätzung, fehlendes Löschkonzept und undokumentierter Drittlandtransfer. Die Auswahl ist eine Praxiseinschätzung der Redaktion, keine amtliche Statistik.

1. Cookie-Banner ohne echte Wahl — EuGH C-673/17, EuGH C-621/22 verschärft
2. Fehlende AVVs mit Cloud-Anbietern — typisch: Microsoft 365 ohne aktivierte EU Data Boundary
3. Unzureichende TOMs nach Datenpannen — Aufsicht prüft nach Vorfall, ob Schutzmaßnahmen vor dem Vorfall ausreichend waren
4. Auskunftsverweigerung Art. 15 — Antwort >1 Monat OHNE Verlängerungs-Begründung
5. Fehlende DSFA bei Hochrisiko-Verarbeitungen
6. Kein Löschkonzept (Aufbewahrung über alle Fristen hinaus)
7. Drittlandtransfer ohne TIA (Schrems II / DPF nicht dokumentiert)

Die sieben Fehler im Einzelnen: was zu tun ist und warum

Jeder Punkt nennt die konkrete Maßnahme, den Grund und — soweit vorhanden — die Norm. Angaben ohne Normbezug sind ausdrücklich als Praxisempfehlung gekennzeichnet.

1. Cookie-Banner: Prüfen Sie, ob vor dem ersten Setzen nicht erforderlicher Cookies eine Einwilligung vorliegt und ob Sie diese belegen können. In Deutschland sind Speicherung auf der Endeinrichtung und Zugriff auf dort gespeicherte Informationen nur nach Einwilligung auf Grundlage klarer und umfassender Informationen zulässig (§ 25 Abs. 1 TDDDG); ohne Einwilligung geht es nur, wenn der alleinige Zweck die Durchführung der Nachrichtenübertragung ist oder der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann (§ 25 Abs. 2 TDDDG). In Österreich verlangt § 165 TKG 2021 das Opt-in für Tracking-Cookies. Auf DSGVO-Ebene kommen die Nachweisbarkeit (Art. 7 Abs. 1 DSGVO) und der ebenso einfache Widerruf (Art. 7 Abs. 3 DSGVO) hinzu. Praxisempfehlung: Consent-Protokolle so aufbewahren, dass sie zu einem konkreten Zeitpunkt und einer konkreten Banner-Version zurückverfolgbar sind.
2. Auftragsverarbeitungsverträge: Gleichen Sie die Empfänger-Kategorien Ihres Verarbeitungsverzeichnisses gegen Ihre AVV-Liste ab; jeder externe Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet, braucht einen Vertrag. Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten; Art. 28 Abs. 3 DSGVO gibt den Mindestinhalt vor: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen.
3. Technische und organisatorische Maßnahmen: Dokumentieren Sie das TOM-Konzept datiert und vor dem Vorfall — nach einer Datenpanne prüft die Aufsicht die Lage zum Zeitpunkt davor. Wirksame Schutzmaßnahmen wirken dabei doppelt: Sie können nach Art. 34 Abs. 3 DSGVO auch die Benachrichtigung der betroffenen Personen entbehrlich machen (Abschnitt 7). Ein zentrales TOM-Konzept genügt; in das Verzeichnis gehört nur der Verweis darauf, nicht der Inhalt.
4. Auskunft nach Art. 15: Antworten Sie unverzüglich, in jedem Fall aber binnen eines Monats nach Eingang des Antrags. Die Frist kann um zwei Monate verlängert werden, wenn Komplexität und Anzahl der Anträge es erfordern — dann muss die betroffene Person aber innerhalb des ersten Monats über die Verlängerung und deren Gründe unterrichtet werden (Art. 12 Abs. 3 DSGVO). Genau diese Unterrichtung fehlt in der Praxis am häufigsten. Verstöße gegen Art. 12 bis 22 DSGVO fallen in den strengeren Rahmen des Art. 83 Abs. 5 DSGVO.
5. Datenschutz-Folgenabschätzung: Führen Sie die DSFA vorab durch, wenn eine Verarbeitung — insbesondere bei Verwendung neuer Technologien — nach Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Erforderlich ist sie insbesondere bei systematischer umfassender Bewertung persönlicher Aspekte einschließlich Profiling mit Rechtswirkung, bei umfangreicher Verarbeitung besonderer Kategorien nach Art. 9 DSGVO und bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 3 DSGVO).
6. Löschkonzept: Legen Sie Löschfristen je Datenkategorie fest und dokumentieren Sie den Konflikt zwischen Aufbewahrungspflicht und Löschanspruch. Bezugspunkte der Praxis sind die handels- und steuerrechtlichen Aufbewahrungsfristen (10 Jahre) sowie sozialrechtliche Fristen (5 Jahre); wo eine Aufbewahrungspflicht der Löschung nach Art. 17 DSGVO entgegensteht, gehört diese Kollision dokumentiert. Ohne festgelegte Fristen fehlt zugleich eine Pflichtangabe des Verarbeitungsverzeichnisses.
7. Drittlandtransfer: Führen Sie Drittlandübermittlungen im Verarbeitungsverzeichnis mit der jeweiligen Garantie in einer eigenen Spalte — Standardvertragsklauseln, Data Privacy Framework oder verbindliche interne Datenschutzvorschriften. Praxisempfehlung: Die Prüfung je US-Werkzeug schriftlich festhalten, damit bei einer Anfrage nicht erst rekonstruiert werden muss, auf welcher Grundlage der Transfer läuft.

6. Aufsichts-Praxis: was Behörden wirklich prüfen

Kurzantwort: Aufsichtsverfahren beginnen nach der Praxis-Beobachtung meist beim Verarbeitungsverzeichnis und arbeiten sich von dort in einer typischen Reihenfolge durch die übrige Dokumentation — Auftragsverarbeitung, Sicherheitsmaßnahmen, Folgenabschätzung, Website-Angaben, Cookie-Banner, Datenpannen-Workflow und Schulungsnachweise.

Praxis-Reihenfolge, in der Aufsichten typischerweise prüfen:

1. VVT-Vorlage und Plausibilitätsprüfung
2. AVV-Liste (passend zu VVT-Empfängern)
3. TOM-Konzept (passend zur Risikolage)
4. DSFA für Hochrisiko-Verarbeitungen
5. Datenschutzerklärung Website
6. Cookie-Banner (Test der echten Auswahl)
7. Datenpannen-Workflow (Tabletop-Übung erfragt)
8. Schulungs-Nachweise

Diese Reihenfolge ist eine Praxis-Beobachtung, keine gesetzliche Verfahrensordnung. Die gesetzliche Anknüpfung ist schmaler: Das Verzeichnis ist der Aufsichtsbehörde nach Art. 30 Abs. 4 DSGVO „auf Anfrage" zur Verfügung zu stellen — eine Tages- oder Wochenfrist nennt die Norm nicht. In der Praxis erwarten Aufsichten die Übermittlung binnen ein bis zwei Wochen; wer nicht liefern kann, signalisiert Dokumentationsmängel, die das weitere Verfahren prägen.

Drei Details entscheiden häufig über den Verlauf der ersten Runde. Erstens das Format: Aufsichten arbeiten mit bearbeitbaren Dateien, ein PDF-Export ohne Excel- oder CSV-Fassung erschwert die Prüfung. Zweitens die Versionierung — ohne Datum und Fassungsstand ist nicht belegbar, welcher Stand zum Zeitpunkt eines Vorfalls galt. Drittens die Konsistenz: Empfänger im Verzeichnis ohne passenden Auftragsverarbeitungsvertrag und Drittlandnennungen ohne dokumentierte Garantie sind die Widersprüche, die in Schritt 2 und 3 sichtbar werden. Verzeichnis, Auftragsverarbeitung, Sicherheit und Meldewesen folgen unmittelbar der DSGVO und sind in Deutschland und Österreich identisch; Cookie-Banner-Prüfung und Beschäftigtendatenschutz folgen dagegen nationalen Normen (Abschnitt 9). Welche Eskalationsstufen einem Bußgeldbescheid vorausgehen und wo Verhandlungsspielraum besteht, steht in den FAQ am Ende dieses Artikels.

7. Datenpannen: ein häufiger Weg in ein Verfahren

Kurzantwort: Eine Datenpanne löst zwei getrennte Pflichten aus — die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 Abs. 1 DSGVO) und, nur bei voraussichtlich hohem Risiko, die Benachrichtigung der betroffenen Personen (Art. 34 Abs. 1 DSGVO). Beide Pflichten liegen im Bereich der Art. 25 bis 39 DSGVO und damit im Rahmen des Art. 83 Abs. 4 DSGVO.

Die Meldepflicht entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen — die Fristüberschreitung ist damit kein K.-o.-Kriterium, das Fehlen einer Begründung aber ein eigener Anknüpfungspunkt.

Die Benachrichtigung der betroffenen Personen ist nach Art. 34 Abs. 3 DSGVO entbehrlich, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden, wenn das hohe Risiko durch nachfolgende Maßnahmen nicht mehr besteht oder wenn sie mit unverhältnismäßigem Aufwand verbunden wäre; im letzten Fall tritt eine öffentliche Bekanntmachung an ihre Stelle.

Unabhängig davon gilt: Jede Panne wird dokumentiert, auch die nicht gemeldete (Art. 33 Abs. 5 DSGVO). In die Dokumentation gehören Eintritts- und Kenntniszeitpunkt, eine detaillierte Beschreibung, Folgen und Risikoabschätzung, die ergriffenen Maßnahmen und — falls nicht gemeldet wurde — die Begründung dafür. Die Meldung selbst muss die Pflichtinhalte des Art. 33 Abs. 3 DSGVO abdecken: Beschreibung der Verletzung, ungefähre Zahl betroffener Personen und Datensätze, Datenkategorien, voraussichtliche Folgen, Maßnahmen zur Behebung und Schadensminderung sowie die Kontaktdaten des Datenschutzbeauftragten oder des Verantwortlichen.

Wohin gemeldet wird, unterscheidet sich: In Deutschland melden nichtöffentliche Stellen an die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG); jedes Bundesland betreibt ein eigenes Meldeportal — in Bayern etwa das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), während der Bayerische Landesbeauftragte für den Datenschutz den öffentlichen Bereich betreut. Der oder die BfDI nimmt Meldungen nur von öffentlichen Stellen des Bundes und bestimmten Telekommunikationsanbietern entgegen (§ 9 Abs. 1 BDSG), nicht von Unternehmen allgemein. In Österreich gilt Art. 33 DSGVO wortgleich; Adressat ist die Datenschutzbehörde (§ 18 Abs. 1 DSG).

Welche Umstände nach einer Panne die Entscheidung über eine Geldbuße und ihre Höhe beeinflussen, legt Art. 83 Abs. 2 DSGVO fest — die Aufsicht berücksichtigt sie in jedem Einzelfall. Die Beispiele in der mittleren Spalte sind Erläuterungen der Redaktion:

Für die Vorbereitung heißt das: Verschlüsselung, eine schnelle Meldung und nachweisbare Kooperation sind Umstände, die bei der Bemessung zugunsten des Verantwortlichen berücksichtigt werden können; betroffene besondere Kategorien nach Art. 9 DSGVO und fehlende Schutzmaßnahmen sprechen in die Gegenrichtung. Einen bestimmten Betrag legt keines der Kriterien fest — entschieden wird im Einzelfall.

8. 14 Dokumente, die Aufsichten erwarten

Kurzantwort: Vierzehn Dokumente decken den Nachweisbedarf ab, den Aufsichten in der Praxis abfragen; zwölf davon lassen sich unmittelbar auf eine Norm zurückführen, beim Löschkonzept und bei der Drittlandtransfer-Prüfung ist nur die Dokumentationsangabe normiert, die Methodik dagegen Praxis-Standard. Die folgende Tabelle weist beides getrennt aus und benennt die Stellen, an denen sich Deutschland und Österreich unterscheiden.

1. VVT (Verarbeitungsverzeichnis Art. 30)
2. TOM-Konzept (Art. 32)
3. AVV-Liste mit allen Auftragsverarbeitern
4. DSFA-Methodik + Schwellwertanalyse
5. Datenpannen-Response-Plan + 72h-Meldevorlage
6. Löschkonzept (DIN 66398-konform)
7. Bestellungsurkunde des Datenschutzbeauftragten (sofern pflichtig)
8. Datenschutzerklärung Website
9. Datenschutzerklärung Bewerber/Mitarbeiter
10. Cookie-/Consent-Konzept (TDDDG-konform)
11. Drittlandtransfer-TIA (Schrems II)
12. Schulungs-Konzept + Teilnahme-Nachweise
13. Verpflichtungserklärung Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 32 Abs. 4 DSGVO)
14. Auskunfts-Workflow (Art. 15-22)

Fundstellen und DE/AT-Unterschiede je Dokument

Zwei Zeilen sind länderabhängig: Bei Zeile 7 entsteht die Benennungspflicht in Deutschland früher, weil § 38 Abs. 1 BDSG ausdrücklich „ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c" DSGVO gilt — ein Betrieb mit 20 Beschäftigten in automatisierter Verarbeitung ist in Deutschland benennungspflichtig, in Österreich ohne Art.-37-Tatbestand nicht. Bei Zeile 9 fehlt in Österreich eine dem § 26 BDSG entsprechende Norm; Kontrollmaßnahmen, die die Menschenwürde berühren, setzen dort eine Betriebsvereinbarung nach § 96 Abs. 1 Z 3 ArbVG voraus.

9. Österreich: gleicher Rahmen, andere Praxis

Kurzantwort: In Österreich gelten dieselben unionsrechtlichen Bußgeldrahmen des Art. 83 DSGVO wie in Deutschland, aber eine andere Aufsichtsarchitektur und eigene Ergänzungsnormen: Zuständig ist allein die Datenschutzbehörde (§ 18 Abs. 1 DSG), § 11 DSG sieht die verhältnismäßige Anwendung des Art. 83 DSGVO und insbesondere bei erstmaligen Verstößen die Verwarnung statt der Geldbuße vor, und die Verwaltungsstrafe nach § 62 Abs. 1 DSG greift nur subsidiär (Abschnitt 2).

Die Datenschutzbehörde ist eine zentrale Bundesbehörde mit Sitz in Wien (Barichgasse 40-42, dsb.gv.at); ein Online-Beschwerdeformular steht zur Verfügung. Anders als in Deutschland, wo die Aufsicht auf die nach Landesrecht zuständigen Behörden für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG) und den oder die BfDI für Bundesstellen und bestimmte Telekommunikationsanbieter (§ 9 Abs. 1 BDSG) verteilt ist. Das deutsche BDSG gilt in Österreich nicht; weder § 43 BDSG noch die 20-Personen-Schwelle des § 38 Abs. 1 BDSG sind dort anwendbar.

Die Höchstrahmen des Art. 83 Abs. 4 und Abs. 5 DSGVO sind mit den deutschen identisch; § 11 DSG ändert nicht den Rahmen, sondern seine Anwendung im Einzelfall. Bei Wiederholung oder schwerwiegenden Verstößen stehen die vollen Rahmen weiterhin im Raum.

Vier österreichische Sonderthemen haben unmittelbare Bußgeldrelevanz:

Praxisempfehlung für Unternehmen mit Standorten in beiden Ländern: Dokumentensätze nicht als „DACH-Vorlage" führen, sondern je Rechtsraum trennen. Verzeichnis, Auftragsverarbeitung, Sicherheit und Meldewesen folgen unmittelbar der DSGVO und sind identisch; Aufsichtsadressat, Beschwerdestelle in der Datenschutzerklärung, Videoüberwachungskonzept und Beschäftigtendatenschutz sind es nicht.

10. Schadensersatz nach Art. 82 — eskalierend

Kurzantwort: Neben dem behördlichen Bußgeld läuft ein zweites, davon unabhängiges Kostenrisiko: zivilrechtliche Schadensersatz-Ansprüche betroffener Personen nach Art. 82 DSGVO, die sich bei vielen Betroffenen zu erheblichen Summen addieren.

Neben Aufsichts-Bußgeldern: zivilrechtliche Schadensersatz-Klagen nach Art. 82 DSGVO. EuGH C-340/21 (Dez. 2023): immaterieller Schadensersatz bereits bei 'Befürchtung' eines Missbrauchs. Für die Risikoeinschätzung:

• Einzelner Schadensersatz: Art. 82 DSGVO nennt keine Beträge; die Höhe bemessen die Gerichte im Einzelfall
• Viele Betroffene: die Einzelansprüche addieren sich, das Risiko wächst mit der Zahl der betroffenen Personen
• EU-Verbandsklage-Richtlinie ermöglicht qualifizierte Verbraucherorganisationen die Klage im Namen vieler

Für die Vorbereitung zählt vor allem, dass beide Verfahren auf dieselbe Beweislage zugreifen: Was im Aufsichtsverfahren zu Schutzmaßnahmen, Meldezeitpunkt und Risikobewertung vorgelegt wird, ist auch im Zivilverfahren die Grundlage. Die Dokumentation nach Art. 33 Abs. 5 DSGVO sollte deshalb unmittelbar nach dem Vorfall entstehen, nicht rückwirkend.

11. 9-Schritte-Checkliste zur Bußgeld-Vermeidung

Kurzantwort: Neun wiederkehrende Prüfschritte decken die Pflichten ab, an denen Verfahren typischerweise ansetzen — acht davon knüpfen an eine Norm an; der jährliche Tätigkeitsbericht des Datenschutzbeauftragten ist eine Praxisempfehlung.

1. VVT-Audit: alle Verarbeitungen dokumentiert?
2. AVV-Inventar: alle externen Dienstleister vertraglich abgedeckt?
3. TOM-Review: angemessen für Risikolage?
4. DSFA für alle Hochrisiko-Verarbeitungen
5. Datenpannen-Tabletop-Übung halbjährlich
6. Cookie-Banner mit Consent-Tool getestet
7. Drittlandtransfer-TIA für alle US-Tools
8. Mitarbeiter-Schulung jährlich + Onboarding
9. Tätigkeitsbericht des Datenschutzbeauftragten an die Geschäftsleitung

Rhythmus und Charakter je Schritt

Die Spalte „Charakter" trennt, was die Norm selbst verlangt, von dem, was sich in der Praxis bewährt hat. Die Intervalle in der Spalte „Rhythmus" sind durchweg Praxisempfehlungen; gesetzlich vorgegeben ist in dieser Tabelle allein der Zeitpunkt zweier Schritte — die Vorab-Pflicht der Folgenabschätzung (Art. 35 Abs. 1 DSGVO) und die 72-Stunden-Meldung (Art. 33 Abs. 1 DSGVO).

Ein Punkt, der in der Liste nicht auftaucht, aber regelmäßig Verfahren auslöst: die unbesetzte Datenschutzbeauftragten-Stelle — dazu die FAQ am Ende des Artikels.