DSGVO Bußgeldkatalog: So berechnen Behörden die Höhe von Datenschutz-Bußgeldern
Dieser Artikel ist 7 Jahre alt. Rechtliche Grundlagen und technische Anforderungen können sich seitdem geändert haben.
Für aktuelle Informationen besuchen Sie unseren Shop oder
die TSMONDO Software-Übersicht.
Professionelle Compliance-Tools und Beratung von TSMONDO: ISO 27001, NIS2, DSGVO, BCM — mandantenfähig, auf deutschen Servern.
DSGVO Bußgelder: So berechnen die Aufsichtsbehörden die Höhe
Viele Unternehmer fragen sich: Was kostet ein Verstoß gegen die DSGVO wirklich? Die Antwort ist seit der Veroeffentlichung des offiziellen Bußgeldkatalogs der Datenschutzkonferenz (DSK) deutlich klarer geworden. Die deutschen Aufsichtsbehörden haben ein einheitliches 5-Schritte-Modell entwickelt, mit dem sie die Höhe von DSGVO-Bußgeldern berechnen. In diesem Artikel erklären wir das Verfahren verständlich und zeigen, was es für Ihr Unternehmen bedeutet.
Warum gibt es einen Bußgeldkatalog?
Bis zur Einführung des Berechnungsmodells war die Höhe von DSGVO-Bußgeldern kaum vorhersehbar. Unternehmen wussten nicht, ob sie mit Hunderten oder Hunderttausenden Euro rechnen mussten. Die Datenschutzkonferenz (DSK) – das Gremium aller deutschen Aufsichtsbehörden – hat deshalb ein transparentes Berechnungsmodell entwickelt, das sich am Umsatz des Unternehmens orientiert.
Das Ziel: Gleichbehandlung aller Unternehmen, unabhängig vom Bundesland. Ob die Aufsichtsbehörde in Bayern, NRW oder Hamburg zuständig ist – das Bußgeld wird nach dem gleichen Schema berechnet.
Das 5-Schritte-Modell zur Bußgeldberechnung
Schritt 1: Einordnung in eine Groessenklasse
Zunaechst wird Ihr Unternehmen anhand des weltweiten Jahresumsatzes in eine Groessenklasse eingeordnet. Die DSK unterscheidet vier Hauptgruppen:
| Gruppe | Bezeichnung | Jahresumsatz |
|---|---|---|
| A | Kleinstunternehmen | bis 2 Mio. € |
| B | Kleine Unternehmen | 2 bis 10 Mio. € |
| C | Mittlere Unternehmen | 10 bis 50 Mio. € |
| D | Grossunternehmen | über 50 Mio. € |
Jede Gruppe wird nochmals in Untergruppen unterteilt. Ein Kleinstunternehmen (Gruppe A) mit einem Jahresumsatz von bis zu 700.000 € faellt beispielsweise in die Untergruppe A.I.
Schritt 2: Mittlerer Jahresumsatz bestimmen
Für jede Untergruppe wird ein mittlerer Jahresumsatz festgelegt. Dieser Wert dient als Berechnungsgrundlage:
| Untergruppe | Umsatzspanne | Mittlerer Jahresumsatz |
|---|---|---|
| A.I | bis 700.000 € | 350.000 € |
| A.II | 700.000 bis 1,4 Mio. € | 1.050.000 € |
| A.III | 1,4 bis 2 Mio. € | 1.700.000 € |
Schritt 3: Wirtschaftlicher Grundwert (Tagessatz)
Aus dem mittleren Jahresumsatz wird ein Tagessatz berechnet (Jahresumsatz geteilt durch 360). Dieser Tagessatz ist die Basiseinheit für die Bußgeldberechnung:
| Untergruppe | Tagessatz |
|---|---|
| A.I (Kleinstunternehmen) | 972 € |
| A.II | 2.917 € |
| A.III | 4.722 € |
Das bedeutet: Selbst das kleinste Unternehmen in Gruppe A.I hat einen Tagessatz von fast 1.000 €. Und das ist nur der Ausgangswert – der im naechsten Schritt vervielfacht wird.
Schritt 4: Schweregrad-Multiplikator
Der Tagessatz wird nun mit einem Faktor multipliziert, der den Schweregrad des Verstoßes widerspiegelt. Die DSK unterscheidet verschiedene Schweregrade:
| Schweregrad | Faktor | Beispiel A.I (972 € Tagessatz) |
|---|---|---|
| Leicht | 1 – 2 | 972 – 1.944 € |
| Mittel | 2 – 4 | 1.944 – 3.888 € |
| Schwer | 4 – 8 | 3.888 – 7.776 € |
| Sehr schwer | 8 – 12 | 7.776 – 11.664 € |
| Ausserordentlich schwer | ab 12 | ab 11.664 € |
Typische leichte Verstöße: fehlendes Verarbeitungsverzeichnis, unvollständige Datenschutzerklärung. Schwere Verstöße: fehlende Einwilligung bei Werbung, ungesicherte Datenübertragung. Sehr schwere Verstöße: systematischer Handel mit Daten, absichtliche Verschleierung von Datenpannen.
Schritt 5: Individuelle Anpassung
Im letzten Schritt kann die Aufsichtsbehörde das berechnete Bußgeld noch nach oben oder unten anpassen. Dabei werden beruecksichtigt:
Freiwillige Kooperation mit der Behörde, schnelle Behebung des Verstoßes, erstmaliger Verstoß, nachgewiesene Datenschutz-Maßnahmen, geringe Zahl betroffener Personen
Wiederholte Verstöße, vorsaetzliches Handeln, mangelhafte Kooperation, hohe Zahl betroffener Personen, besonders sensible Daten (Gesundheit, Religion)
Konkretes Rechenbeispiel
Ein Handwerksbetrieb mit 500.000 € Jahresumsatz (Gruppe A.I) hat kein Verarbeitungsverzeichnis gefuehrt und keine Datenschutzerklärung auf seiner Webseite:
Untergruppe: A.I (Tagessatz: 972 €)
Verstoß: Fehlendes Verarbeitungsverzeichnis + fehlende Datenschutzerklärung
Schweregrad: Leicht bis mittel (Faktor 2)
Berechnung: 972 € × 2 = 1.944 €
Nach Anpassung: Bei Erstversoss und Kooperationsbereitschaft möglicherweise Reduktion auf ca. 1.500 €
Zum Vergleich: Ein mittelstaendisches Unternehmen mit 25 Mio. € Umsatz (Gruppe C) wuerde für den gleichen Verstoß schnell einen fuenfstelligen Betrag zahlen.
Die häufigsten DSGVO-Verstöße in Deutschland
Laut den Tätigkeitsberichten der Aufsichtsbehörden sind die häufigsten Gruende für Bußgelder:
So schützen Sie sich vor DSGVO-Bußgeldern
Die gute Nachricht: Fast alle häufigen Verstöße lassen sich mit ueberschaubarem Aufwand vermeiden. Die Aufsichtsbehörden beruecksichtigen ausdruecklich, ob ein Unternehmen erkennbare Bemühungen zum Datenschutz unternommen hat. Ein dokumentiertes Datenschutzkonzept kann im Ernstfall den Unterschied zwischen einem hohen Bußgeld und einer blossen Verwarnung ausmachen.
Die wichtigsten Maßnahmen:
DSGVO-Bußgelder vermeiden – mit der richtigen Software
Unsere Datenschutz-Software hilft Ihnen, alle Pflichten systematisch zu erfuellen und nachzuweisen.
Weiterführende Themen zum Datenschutz
Ein fehlendes Verarbeitungsverzeichnis ist einer der häufigsten Gruende für DSGVO-Bußgelder.
TOMs nach DSGVO →
Unzureichende technische und organisatorische Maßnahmen können empfindliche Strafen nach sich ziehen.
Datenschutzkonzept →
Ein lueckenloses Datenschutzkonzept ist der beste Schutz vor Bußgeldern.
DSGVO Checkliste →
Prüfen Sie mit unserer DSGVO-Checkliste, ob Sie alle Anforderungen erfuellen und Bußgelder vermeiden.
ISO 27001 Zertifizierung →
Eine ISO 27001 Zertifizierung kann das Bußgeldrisiko erheblich reduzieren.
Weitere Beiträge zum Thema
Compliance-Software für Ihr Unternehmen
DSGVO, ISO 27001, NIS2 — alles in einer Plattform.
Zum Shop →