DSGVO Top-10 Fehler bei KMU 2026
TL;DR
- Median-Bußgeld DSGVO 2025: 12.500 EUR (DACH-Aufsichtsbehörden)
- Top-Fehler: fehlendes VVT, kein AVV, unvollständige Datenschutzerklärung, fehlende DSFA
- Cookie-Banner nicht TDDDG-konform — häufigste Sofort-Beanstandung
- Datenpannen nicht binnen 72h gemeldet (Art. 33 DSGVO)
- Schulung fehlt — Pflicht via Art. 32, BDSG § 64
1. VVT als 'einmaliges Excel' behandeln
Das Verarbeitungsverzeichnis ist ein lebendiges Dokument. Median-Update-Frequenz Aufsichts-Anforderung: quartalsweise. Bei jeder neuen Verarbeitung ergänzen.
Fix: Quartalsweiser VVT-Review im Compliance-Kalender.
2. Kein AVV mit Standard-SaaS-Anbietern
Microsoft 365, Salesforce, HubSpot, Mailchimp — alle Auftragsverarbeiter. Ohne AVV: Verstoß Art. 28. Bußgeld bis 10 Mio. EUR / 2%.
Fix: AVV-Inventar. Pro Tool: Standard-AVV des Anbieters herunterladen, prüfen, freigeben.
3. Cookie-Banner ohne Equal-Choice
'Akzeptieren' grün/groß + 'Ablehnen' verlinkt = Dark Pattern (VG Berlin 2024). Bußgeld 5-50k EUR DSK-Praxis.
Fix: Banner-Audit mit gleicher Größe, Farbe, Position für beide Buttons.
4. Datenpanne nicht binnen 72h gemeldet
Art. 33 DSGVO: 72h-Meldefrist. Praxis-Bußgeld bei Verspätung: 5-50k EUR plus Ruf-Schaden.
Fix: Datenpannen-Verfahren mit 24h-Internal-Trigger + 48h-Meldung an AB.
5. Keine TIA bei US-Anbietern
Auch unter DPF empfohlen — EDSA 03/2026. Bei DPF-Kollaps droht Sofort-Risiko.
Fix: Pro US-Anbieter TIA dokumentieren. Vorlagen: Compliance-Kit DSGVO-Kit.
6. DSB nicht benannt trotz § 38 BDSG-Schwelle
20+ MA mit automatisierter Verarbeitung (DE) → DSB Pflicht. Bußgeld 15-50k EUR Median 2025.
Fix: Sofort externen oder internen DSB benennen + bei AB melden.
7. Datenschutzerklärung >12 Monate alt
Pflicht-Update bei jeder Änderung der Verarbeitungen. Stale-Erklärungen sind Indiz.
Fix: Halbjährlicher Review.
8. Bewerber-Daten >6 Monate aufbewahrt
BAG 2 AZR 1180/16: 6 Monate nach Absage Pflichtlöschung. Talent-Pool nur mit Einwilligung.
Fix: Automatisierte Löschung im ATS-System.
9. Keine Schulung in DSGVO + AI-Literacy
DSGVO Art. 32 + AI Act Art. 4 ab 02.02.2025. Schulungspflicht jährlich.
Fix: E-Learning-Modul mit Quiz + Wissens-Nachweis.
10. Kein Verfahren für Betroffenenrechte
Art. 15-22: Antwort binnen 1 Monat Pflicht. Bei Komplexität verlängerbar auf 3 Monate.
Fix: Workflow + Templates für Auskunft, Löschung, Berichtigung.
Häufig gestellte Fragen
Welcher Fehler ist häufigster Bußgeld-Grund?
Reicht eine externe Datenschutz-Beratung?
Was ist das günstigste Setup für KMU?
Bußgeldrisiko realistisch?
Wo am besten anfangen?
Quellen
- Verordnung (EU) 2016/679 (DSGVO) — deutscher Volltext, EUR-Lex (Stand: 02.05.2026, geltend seit 25.05.2018)
- Bundesdatenschutzgesetz (BDSG) — gesetze-im-internet.de (Stand: laufend, BMJ-Servicestelle)
- Europäische Kommission — Datenschutz-Hauptseite (Stand: laufend)
- EDPB Leitlinien 04/2022 zur Berechnung von Geldbußen (Stand: 02.05.2026)
- Europäische Kommission — Digital Omnibus Pressemitteilung (Stand: 02.05.2026, Trilog laufend)