Bußgeld (DS-GVO)

Was die Prüfung erwartet

Die IHK prüft, ob du weißt, dass sich die Höhe eines Bußgelds nach Art. 83 DS-GVO nicht an einer festen Summe orientiert, sondern danach, welche Pflicht verletzt wurde. Der DIHK-Rahmenplan führt die Geldbuße im Abschnitt „Haftung und Sanktionen" auf, neben der Gefährdungshaftung und den Straf-/Bußgeldvorschriften des BDSG. Typische Prüfungsszenarien:

• Welcher Bußgeldrahmen greift bei einem schweren Verstoß gegen die Betroffenenrechte?
• Welche Konsequenzen drohen einem Mitarbeiter, der Daten vorsätzlich zur eigenen Bereicherung weitergibt?
• Wann haftet das Unternehmen zusätzlich zum handelnden Mitarbeiter?

So funktioniert es

Art. 83 DS-GVO verpflichtet jede Aufsichtsbehörde, ein Bußgeld in jedem Einzelfall wirksam, verhältnismäßig und abschreckend zu bemessen — es gibt keinen Automatismus, sondern eine Einzelfallprüfung. Bei einem schweren Verstoß gegen die Grundsätze der Verarbeitung oder gegen Betroffenenrechte reicht der Rahmen bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist.

Verfahrensrechtlich behandelt § 41 BDSG solche Verstöße wie eine Ordnungswidrigkeit: Für sie gelten, soweit das BDSG nichts anderes bestimmt, die Vorschriften des Ordnungswidrigkeitengesetzes sinngemäß. Wie hoch die Buße am Ende ausfällt, entscheidet die Behörde innerhalb dieses Rahmens nach der Schwere des einzelnen Falls.

Beispiel aus dem Dienst

Ein Sicherheitsunternehmen betreibt am Einlass eines Bürogebäudes eine Gesichtserkennung, die Besucherdaten dauerhaft speichert, obwohl weder eine Einwilligung noch ein anderer Erlaubnistatbestand vorliegt. Die Aufsichtsbehörde stuft das als schweren Verstoß gegen die Grundsätze der Verarbeitung ein. Obwohl das Unternehmen nur einen kleinen Umsatz hat, gilt der obere Rahmen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes — die Obergrenze richtet sich nach dem höheren der beiden Beträge, die konkrete Höhe bemisst die Behörde im Einzelfall.

Typischer Fehler in der Prüfung

Wer eine vorsätzliche, eigennützige Datenweitergabe für eine bloße Ordnungswidrigkeit hält, unterschätzt die Lage: Solches Handeln kann zusätzlich eine Straftat sein. Ebenso falsch ist die Annahme, das Unternehmen sei automatisch befreit, wenn ein Mitarbeiter allein gehandelt hat — es kann mithaften.

Quellen

• Art. 83 DS-GVO – Allgemeine Bedingungen für die Verhängung von Geldbußen · abgerufen 2026-09-04
• § 41 BDSG – Anwendung der Vorschriften über Ordnungswidrigkeiten · abgerufen 2026-09-04
• DIHK-Rahmenplan Bewachungsgewerbe · abgerufen 2026-09-04