Datenschutzverstoß 2026: Strafen, Haftung und was Unternehmen jetzt wissen müssen

Das Wichtigste in Kürze

Wer gegen die DSGVO verstößt, riskiert Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Doch Geldstrafen sind nur ein Teil der Konsequenzen. Geschäftsführer haften unter Umständen persönlich, Betroffene können Schadensersatz fordern, und bei bestimmten Verstößen drohen sogar Freiheitsstrafen von bis zu drei Jahren.

Dieser Artikel zeigt Ihnen, welche Konsequenzen ein Datenschutzverstoß konkret hat, welche Fehler am häufigsten vorkommen und wie Sie Ihr Unternehmen effektiv schützen.

Verstoß gegen Datenschutz: Strafen für Privatpersonen und Unternehmen

Das Thema betrifft nicht nur Konzerne. Auch Privatpersonen können gegen den Datenschutz verstoßen und sich strafbar machen. Wer etwa heimlich Nachbarn filmt, Fotos ohne Einwilligung veröffentlicht oder personenbezogene Daten von Bekannten weitergibt, riskiert Abmahnungen, Schadensersatzforderungen und im schlimmsten Fall ein Ermittlungsverfahren. Die DSGVO gilt zwar primär für die geschäftliche Verarbeitung — doch das BDSG und das Kunsturhebergesetz (KUG) schützen die Persönlichkeitsrechte auch im privaten Bereich.

Für Unternehmen ist die Lage deutlich ernster. Hier greifen die vollen Bußgeldrahmen der DSGVO. Ein fehlender Datenschutzbeauftragter, ein unzureichendes Cookie-Banner oder eine ignorierte Auskunftsanfrage können schnell fünfstellige Bußgelder nach sich ziehen. Und die Aufsichtsbehörden prüfen zunehmend proaktiv — auch kleine und mittlere Unternehmen.

Was genau ist ein Datenschutzverstoß?

Wichtig ist die Abgrenzung zur Datenpanne (Art. 4 Nr. 12 DSGVO): Eine Datenpanne ist eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Jede Datenpanne ist ein Datenschutzverstoß — aber nicht jeder Datenschutzverstoß ist eine Datenpanne.

Ein Beispiel: Wenn Sie kein Verarbeitungsverzeichnis führen, ist das ein Datenschutzverstoß nach Art. 30 DSGVO. Aber es ist keine Datenpanne, weil keine konkreten Daten kompromittiert wurden. Versenden Sie hingegen versehentlich eine Kundenliste an den falschen Empfänger, liegt beides vor.

Die häufigsten Datenschutzverstöße in der Praxis

In meiner Beratungstätigkeit sehe ich bestimmte Verstöße immer wieder. Viele davon passieren nicht aus böser Absicht, sondern schlicht aus Unwissenheit oder Nachlässigkeit. Das ändert aber nichts an den rechtlichen Konsequenzen.

Organisatorische Verstöße

• Kein Datenschutzbeauftragter bestellt, obwohl die gesetzliche Pflicht besteht (§ 38 BDSG)
• Fehlendes Verzeichnis von Verarbeitungstätigkeiten — der Klassiker, den nahezu jede Aufsichtsbehörde als erstes prüft
• Keine oder veraltete Auftragsverarbeitungsverträge mit Dienstleistern wie Cloud-Anbietern, Newsletter-Tools oder Hosting-Providern — unser Leitfaden zeigt, welche Daten nicht an Dritte weitergegeben werden dürfen
• Fehlende Datenschutz-Folgenabschätzung bei risikoreichen Verarbeitungen (Art. 35 DSGVO)
• Unzureichende Mitarbeiterschulungen — der Mensch bleibt das größte Risiko

Technische Verstöße

• Cookie-Banner ohne echte Consent-Steuerung — vorangekreuzte Checkboxen, kein Ablehn-Button oder Tracking trotz Ablehnung
• Externe Einbindung von Google Fonts ohne Einwilligung — seit dem Urteil des LG München I (Az. 3 O 17493/20) ein teurer Fehler
• Unverschlüsselte Übertragung personenbezogener Daten
• Fehlende Zugangskontrollen — wenn jeder Mitarbeiter auf alle Kundendaten zugreifen kann. Zugangskontrollen gehören zu den vier Schutzzielen der Informationssicherheit, die jedes Unternehmen kennen sollte

Verstöße im Umgang mit Betroffenenrechten

• Auskunftsanfragen ignoriert oder verspätet beantwortet — die Frist beträgt einen Monat (Art. 12 Abs. 3 DSGVO)
• Löschanfragen nicht umgesetzt oder ohne rechtlich tragfähige Begründung abgelehnt
• Widersprüche gegen Direktwerbung nicht beachtet — ein absolutes Recht nach Art. 21 Abs. 2 DSGVO

Die meisten Datenschutzverstöße, die ich in der Praxis sehe, passieren nicht aus böser Absicht. Es fehlt an klaren Prozessen, an Schulung und an einem Ansprechpartner, der die Risiken kennt. Genau deshalb gibt es uns.

Nils OehmichenDatenschutzberater bei frag.hugo

Welche Strafen drohen?

Die DSGVO kennt zwei Bußgeldkategorien. Art. 83 Abs. 4 DSGVO regelt den "niedrigeren" Rahmen, Art. 83 Abs. 5 DSGVO den höheren. Die Unterscheidung richtet sich nach der Art des Verstoßes.

Bußgeldrahmen nach DSGVO

Wie Bußgelder berechnet werden

Die Aufsichtsbehörden schätzen Bußgelder nicht nach Gefühl. Seit 2023 wenden die deutschen Behörden das Bußgeld-Berechnungsmodell des Europäischen Datenschutzausschusses (EDSA) an, das fünf Schritte vorsieht:

1. Bestimmung des Umsatzes des Unternehmens
2. Festlegung eines Ausgangsbetrags je nach Schwere des Verstoßes
3. Bewertung erschwerender oder mildernder Umstände (Dauer, Kooperation, Vorsatz)
4. Anpassung an den gesetzlichen Höchstbetrag (10 bzw. 20 Mio. €)
5. Prüfung der Verhältnismäßigkeit und Wirksamkeit

Mildernde Faktoren sind etwa: sofortige Kooperation mit der Behörde, schnelle Behebung des Verstoßes, erstmalige Auffälligkeit und nachweisbare Datenschutzmaßnahmen. Umgekehrt wirken Vorsatz, wiederholte Verstöße und mangelnde Kooperation strafverschärfend.

Strafrechtliche Konsequenzen

Neben den verwaltungsrechtlichen Bußgeldern nach der DSGVO gibt es strafrechtliche Tatbestände im BDSG. § 42 BDSG stellt unter Strafe:

• Die wissentlich unbefugte Verarbeitung nicht allgemein zugänglicher personenbezogener Daten in großem Umfang
• Die Verarbeitung gegen Entgelt oder mit der Absicht, sich oder andere zu bereichern oder Dritte zu schädigen

In diesen Fällen droht eine Freiheitsstrafe von bis zu zwei Jahren — bei Gewerbsmäßigkeit oder Bereicherungsabsicht sogar bis zu drei Jahren. Das klingt theoretisch, wird aber durchaus verfolgt: Mitarbeiter, die Kundendaten an Dritte verkaufen, oder Geschäftsführer, die systematisch gegen Datenschutzauflagen verstoßen, können sich strafbar machen.

Wer haftet? Geschäftsführer, Unternehmen, Mitarbeiter?

Die Haftungsfrage ist differenzierter, als viele denken. Grundsätzlich gilt: Das Unternehmen als Verantwortlicher haftet für Bußgelder und Schadensersatz. Aber das ist nicht die ganze Geschichte.

Unternehmenshaftung

Das Bußgeld nach Art. 83 DSGVO richtet sich primär an das Unternehmen als "Verantwortlichen" im Sinne des Art. 4 Nr. 7 DSGVO. Der BGH hat 2023 klargestellt, dass Unternehmen auch dann haften, wenn der Verstoß durch Mitarbeiter begangen wurde — ohne dass ein Organisationsverschulden nachgewiesen werden muss (BGH, Urt. v. 05.12.2023, I ZR 97/22).

Persönliche Geschäftsführerhaftung

Hier wird es für die Leitungsebene unangenehm. Die Geschäftsführung kann in mehreren Konstellationen persönlich haften:

• Innenhaftung: Das Unternehmen kann den Geschäftsführer auf Schadensersatz in Anspruch nehmen, wenn er seine Organisationspflichten verletzt hat (§ 43 GmbHG, § 93 AktG). Wenn das Unternehmen ein Bußgeld zahlen muss, weil der Geschäftsführer keine angemessenen Datenschutzmaßnahmen etabliert hat, kann das Unternehmen diesen Betrag vom Geschäftsführer zurückfordern.
• Strafrechtliche Haftung: Bei persönlichem Vorsatz oder Beteiligung an den Verstößen nach § 42 BDSG
• Ordnungswidrigkeitenrecht: § 130 OWiG ermöglicht es, ein gesondertes Bußgeld gegen die Geschäftsführung persönlich zu verhängen, wenn Aufsichtspflichten verletzt wurden

Mitarbeiterhaftung

Mitarbeiter haften grundsätzlich nicht direkt nach der DSGVO — die Bußgelder richten sich an den Verantwortlichen, also das Unternehmen. Allerdings können Mitarbeiter bei vorsätzlichen Verstößen strafrechtlich belangt werden (§ 42 BDSG) und arbeitsrechtliche Konsequenzen bis hin zur fristlosen Kündigung drohen.

Das Unternehmen kann zudem unter bestimmten Voraussetzungen Regress beim Mitarbeiter nehmen, allerdings nur bei vorsätzlichem oder grob fahrlässigem Handeln und unter Beachtung der arbeitsrechtlichen Haftungsgrundsätze.

Meldepflicht: Die 72-Stunden-Regel bei Datenpannen

Viele Unternehmen unterschätzen, was als Datenpanne gilt. Es muss kein spektakulärer Hackerangriff sein. Schon eine E-Mail mit offenem CC-Verteiler an 50 Kunden, ein verlorener USB-Stick mit Personaldaten oder ein versehentlich öffentlich zugänglicher Cloud-Ordner löst die Meldepflicht aus.

Was Sie bei einer Datenpanne tun müssen

Sie stehen gerade vor einer Datenpanne und wissen nicht weiter? Unser Datenpannen-Service in Hamburg unterstützt Sie bei der korrekten Meldung und Abwicklung — auch kurzfristig.

Die häufigsten Fehler bei der Datenpannenmeldung

Aus meiner Erfahrung scheitern Meldungen oft an denselben Stellen:

• Zu spät gemeldet, weil intern erst lange diskutiert wird, ob es "wirklich" eine Datenpanne ist
• Unvollständige Meldung, weil die nötigen Informationen nicht rechtzeitig zusammengetragen werden
• Gar nicht gemeldet, weil das Unternehmen hofft, dass niemand etwas bemerkt — eine gefährliche Strategie, die bei Aufdeckung zu deutlich höheren Bußgeldern führt
• Fehlende Dokumentation, auch wenn die Meldung selbst korrekt war

Schadensersatzansprüche der Betroffenen

Neben den Bußgeldern der Behörden gibt es eine zweite finanzielle Front: Schadensersatzansprüche nach Art. 82 DSGVO. Jede Person, der durch einen Datenschutzverstoß ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadensersatz gegen den Verantwortlichen.

Was das in der Praxis bedeutet

Der EuGH hat in mehreren Urteilen seit 2023 die Hürden für Schadensersatzansprüche konkretisiert:

• Es muss ein tatsächlicher Schaden vorliegen — der bloße Verstoß gegen die DSGVO reicht allein nicht aus (EuGH, Urt. v. 04.05.2023, C-300/21, "Österreichische Post")
• Ein immaterieller Schaden (z. B. Kontrollverlust, Angst vor Datenmissbrauch) genügt, es gibt aber keine Bagatellgrenze (EuGH, Urt. v. 14.12.2023, C-456/22)
• Die Schadensersatzhöhe muss den Schaden vollständig ausgleichen, hat aber keine Straffunktion

Deutsche Gerichte sprechen in der Praxis Beträge zwischen 100 € und 5.000 € pro betroffenem Individuum zu. Das klingt überschaubar — bis man die Zahl der Betroffenen hochrechnet. Bei einem Datenleck mit 10.000 betroffenen Kunden und einem durchschnittlichen Schadensersatz von 500 € stehen wir bei 5 Millionen Euro.

Reale Fälle: Bußgelder in Deutschland 2024–2026

Theorie ist wichtig, aber reale Fälle zeigen die Konsequenzen deutlicher. Hier eine Auswahl relevanter Bußgelder der letzten zwei Jahre:

Die vollständige Datenbank der europäischen Bußgelder finden Sie unter enforcementtracker.com — ein empfehlenswertes Werkzeug, um ein Gefühl für die Bußgeldpraxis zu bekommen.

Weitere Konsequenzen jenseits des Bußgelds

Bußgelder und Schadensersatz sind die offensichtlichen Folgen. In der Praxis wiegen andere Konsequenzen oft schwerer:

Reputationsschaden

Datenschutzverstöße werden öffentlich. Die Aufsichtsbehörden veröffentlichen Tätigkeitsberichte, Medien berichten über prominente Fälle, und betroffene Kunden teilen ihre Erfahrungen. Für ein mittelständisches Unternehmen kann der Vertrauensverlust gravierender sein als das Bußgeld selbst.

Anordnungen der Aufsichtsbehörde

Die Behörden können weit mehr als Bußgelder verhängen. Nach Art. 58 Abs. 2 DSGVO können sie:

• Die Einstellung einer Verarbeitung anordnen — im schlimmsten Fall müssen Sie ein Geschäftsmodell aufgeben
• Eine Beschränkung der Verarbeitung verfügen
• Die Löschung von Daten anordnen
• Das Unternehmen zu konkreten Maßnahmen verpflichten — mit Frist und unter Androhung von Zwangsgeldern

Wettbewerbsrechtliche Abmahnungen

Seit dem BGH-Urteil zu Google Analytics und der fortlaufenden Rechtsprechung können Mitbewerber und Verbraucherschutzverbände Datenschutzverstöße auch als Wettbewerbsverstöße abmahnen. Die Kosten einer Abmahnung liegen typischerweise bei 1.000 € bis 5.000 € — zuzüglich der Kosten für die Unterlassungserklärung und die tatsächliche Behebung des Verstoßes.

So schützen Sie Ihr Unternehmen

Prävention ist nicht nur günstiger als Reaktion — sie ist auch deutlich weniger stressig. Hier die Maßnahmen, die in der Praxis den größten Unterschied machen:

Was ein Datenschutzbeauftragter konkret verhindert

Ein qualifizierter Datenschutzbeauftragter ist nicht nur eine gesetzliche Pflicht — er ist Ihr wichtigstes Werkzeug zur Vermeidung von Verstößen. Konkret sorgt ein DSB dafür, dass:

• Neue Verarbeitungen vor der Einführung datenschutzrechtlich geprüft werden
• Datenpannen schnell erkannt, korrekt bewertet und fristgerecht gemeldet werden
• Mitarbeiter wissen, was sie dürfen und was nicht
• Die Dokumentation aktuell und vollständig ist
• Betroffenenanfragen fristgerecht und korrekt beantwortet werden

Ohne DSB fehlt diese zentrale Kontrollinstanz — und Verstöße werden oft erst durch eine Behördenprüfung oder eine Kundenbeschwerde sichtbar. Dann ist es zu spät für Prävention. Wenn Sie unsicher sind, ob Ihr Unternehmen ausreichend aufgestellt ist, hilft eine professionelle Datenschutzberatung als erster Schritt.

Häufige Fragen zu Datenschutzverstößen

Muss ich jeden Datenschutzverstoß an die Aufsichtsbehörde melden?

Nein. Die Meldepflicht nach Art. 33 DSGVO gilt nur für Datenpannen, also Verletzungen der Sicherheit personenbezogener Daten. Und auch dann nur, wenn die Verletzung voraussichtlich zu einem Risiko für die Betroffenen führt. Organisatorische Verstöße wie ein fehlendes Verarbeitungsverzeichnis müssen Sie nicht proaktiv melden — aber Sie müssen sie natürlich trotzdem beheben.

Können Mitarbeiter persönlich belangt werden?

Grundsätzlich haftet das Unternehmen. Mitarbeiter können aber bei vorsätzlichen Verstößen strafrechtlich nach § 42 BDSG verfolgt werden und arbeitsrechtliche Konsequenzen tragen. Ein Mitarbeiter, der absichtlich Kundendaten weitergibt, riskiert eine fristlose Kündigung und eine Freiheitsstrafe.

Wie erfahren die Behörden von Datenschutzverstößen?

Die häufigsten Auslöser sind: Beschwerden von Betroffenen (Kunden, Mitarbeiter, Website-Besucher), Datenpannenmeldungen durch das Unternehmen selbst, Hinweise von Mitarbeitern (Whistleblower), anlasslose Prüfungen der Behörden und Medienberichte. Die Behörden prüfen zunehmend auch systematisch Websites — etwa auf Cookie-Banner-Compliance.

Kann ich gegen ein Bußgeld vorgehen?

Ja. Gegen Bußgeldbescheide der Aufsichtsbehörden steht Ihnen der Rechtsweg offen. Sie können Einspruch einlegen, der dann vor dem zuständigen Amtsgericht verhandelt wird. In der Praxis werden Bußgelder in vielen Fällen reduziert, wenn das Unternehmen Kooperationsbereitschaft zeigt und nachweist, dass es Maßnahmen ergriffen hat. Dennoch sollten Sie dies nicht als Einladung verstehen, den Datenschutz auf die leichte Schulter zu nehmen.

Was kostet ein Datenschutzverstoß insgesamt?

Das Bußgeld ist oft nur die Spitze des Eisbergs. Hinzu kommen: Kosten für rechtliche Vertretung (5.000–50.000 €), interne Aufwände für die Behebung und Dokumentation, mögliche Schadensersatzforderungen der Betroffenen, Reputationsschaden und Kundenverlust sowie Kosten für nachträgliche Compliance-Maßnahmen. Die IBM-Studie "Cost of a Data Breach 2025" beziffert die durchschnittlichen Gesamtkosten einer Datenpanne in Deutschland auf rund 4,9 Millionen Euro.

Gilt eine Datenschutz-Versicherung als Schutz?

Eine Cyber-Versicherung kann finanzielle Folgen abfedern, deckt aber in der Regel keine Bußgelder ab — die Versicherbarkeit von Bußgeldern ist in Deutschland rechtlich umstritten und von den meisten Anbietern ausgeschlossen. Schadensersatzansprüche Dritter und Kosten für Krisenmanagement können hingegen versicherbar sein. Eine Versicherung ersetzt aber niemals die eigentliche Compliance-Arbeit.

Datenschutzverstöße vermeiden — mit professioneller Unterstützung