Der Kontext hat sich verschoben
Die DSGVO ist 2018 in Kraft getreten. Sieben Jahre später hat sich die Vollzugspraxis der Aufsichtsbehörden deutlich verändert — nicht in den Gesetzestexten, sondern in der Konsequenz und Geschwindigkeit, mit der Bußgelder verhängt werden. Wer 2018 noch mit einer Beratung davonkam, bekommt 2026 einen förmlichen Bescheid.
Für Berliner Unternehmen ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) zuständig. Sie gehört seit Jahren zu den aktivsten Aufsichtsbehörden Deutschlands. Die veröffentlichten Tätigkeitsberichte lassen erkennen, wo die Prüfschwerpunkte liegen — und wo KMU am häufigsten hängenbleiben.
Dieser Artikel fasst zusammen, welche Bußgeldhöhen aktuell realistisch sind, welche Auslöser besonders häufig zu Verfahren führen, und wie sich das Risiko mit vertretbarem Aufwand reduzieren lässt.
Bußgeldrahmen — was maximal möglich ist
Die DSGVO sieht zwei Bußgeldstufen vor (Art. 83 Abs. 4 und Abs. 5 DSGVO):
| Verstoß | Maximaler Rahmen |
|---|---|
| Formale Pflichtverstöße (z. B. fehlendes Verzeichnis der Verarbeitungstätigkeiten, unvollständige Datenschutzerklärung) | bis zu 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes — je nachdem, was höher ist |
| Materielle Verstöße (z. B. unrechtmäßige Verarbeitung, fehlende Rechtsgrundlage, Verletzung von Betroffenenrechten, mangelhafte Datensicherheit) | bis zu 20 Mio. € oder 4 % des weltweiten Vorjahresumsatzes |
Klingt abstrakt, ist es in der Praxis aber nicht. Die Behörden wenden ein Bemessungssystem an, das auf der Bußgeldberechnungs-Guideline 04/2022 des EDSA basiert und seit Ende 2023 in ganz Europa einheitlich angewendet wird. Kern: die Bußgeldhöhe orientiert sich am Jahresumsatz.
Realistische Größenordnungen für KMU
Für einen mittelständischen Betrieb in Berlin mit Jahresumsatz zwischen 500.000 € und 5 Mio. € liegen die typisch verhängten Bußgelder in folgenden Größenordnungen (basierend auf veröffentlichten Fällen aus 2023–2025):
- Formaler Erstverstoß (z. B. verspätete Meldung einer Datenpanne, unvollständige Datenschutzerklärung): 2.000 € – 15.000 €
- Wiederholter Verstoß nach Verwarnung: 10.000 € – 50.000 €
- Materieller Verstoß mit Betroffenen-Auswirkung (z. B. Datenleck durch mangelhafte Sicherung, unrechtmäßige Verarbeitung von Beschäftigtendaten): 20.000 € – 200.000 €
- Systemische Verstöße mit Vorsatz oder grober Fahrlässigkeit: ab 100.000 € aufwärts, bei Umsatz > 5 Mio. € auch sechsstellig
Die BlnBDI hat allein 2024 in ihrem Tätigkeitsbericht mehr als 700 abgeschlossene Bußgeldverfahren dokumentiert. Nicht alle enden mit hohen Summen — aber jedes einzelne bindet Ressourcen, kostet Anwaltskosten und beschäftigt die Geschäftsleitung.
Die sieben häufigsten Auslöser
Aus der veröffentlichten Bußgeldpraxis der letzten 24 Monate lassen sich die typischen Verstöße identifizieren:
1. Google Fonts und andere US-Fonts ohne Einwilligung
Nach dem Urteil des LG München (Az. 3 O 17493/20) ist die dynamische Einbindung von Google Fonts ohne Einwilligung des Nutzers unzulässig. Die IP-Adresse wird beim Aufruf an Google-Server in den USA übertragen — das ist eine Datenübermittlung im Sinne der DSGVO. Lösung: Fonts lokal einbetten (self-hosted), keine Verbindung zu fonts.googleapis.com.
Abmahn-Welle 2022/2023: mehrere tausend Fälle mit Streitwerten von 100–170 € pro Betroffenem. Auch wenn viele dieser Abmahnungen zurückgewiesen wurden, bleibt das Risiko real — und die technische Behebung ist trivial.
2. Cookie-Banner ohne funktionierende Ablehnung
Ein Consent-Banner, das „Alle akzeptieren" prominent anzeigt und „Ablehnen" verschwinden lässt, verstößt gegen den Grundsatz der freiwilligen Einwilligung (Art. 4 Nr. 11 DSGVO). Die DSK-Beschlüsse zu Cookie-Bannern sind hier eindeutig.
Prüfschwerpunkt der Behörden:
- Sind „Akzeptieren" und „Ablehnen" gleich prominent?
- Wird Tracking wirklich erst nach Einwilligung geladen?
- Ist ein Widerruf mit einem Klick möglich?
- Gibt es eine echte Alternative zur Einwilligung („Only necessary")?
3. WhatsApp Business ohne Rechtsgrundlage-Dokumentation
WhatsApp Business ist beliebt bei Handwerkern, Praxen und Kanzleien. Aber: WhatsApp gehört zu Meta, verarbeitet Metadaten in den USA, und die Nutzung erfordert eine sauber dokumentierte Rechtsgrundlage. Auftragsverarbeitungsvertrag (AVV) mit Meta, Verzeichnis der Verarbeitungstätigkeiten (Art. 30), Datenschutzhinweis mit expliziter Nennung — all das muss vorliegen.
Bei Bußgeldverfahren fragen Behörden inzwischen standardmäßig nach der AVV mit Meta. Wer keine hat, hat ein Problem.
4. Auftragsverarbeitungsverträge fehlen oder sind veraltet
Jeder externe Dienstleister, der personenbezogene Daten verarbeitet, braucht einen Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO). Das betrifft:
- Cloud-Hosting (Vercel, AWS, Hetzner, IONOS)
- E-Mail-Dienste (Google Workspace, Microsoft 365, mailbox.org)
- CRM-Systeme (HubSpot, Pipedrive, Salesforce)
- Newsletter (Mailchimp, Brevo, Rapidmail)
- Buchhaltung (DATEV, Lexoffice, sevDesk)
- Terminbuchung (Cal.com, Calendly)
- Video-Konferenz (Zoom, Google Meet, Teams)
Fehlende AVV ist einer der häufigsten formalen Verstöße bei Vor-Ort-Prüfungen.
5. Beschäftigtendaten ohne saubere Rechtsgrundlage
Bewerbungsunterlagen zu lange gespeichert, Videoüberwachung von Mitarbeitern ohne Betriebsrat-Zustimmung, Zeiterfassung ohne Betriebsvereinbarung — das sind Klassiker in KMU. Beschäftigtendatenschutz nach § 26 BDSG ist ein häufig geprüfter Bereich, und die Bußgelder sind hier tendenziell höher als bei Kundendaten-Verstößen.
6. Datenpannen nicht innerhalb von 72 Stunden gemeldet
Wenn ein Datenleck auftritt (z. B. E-Mail an falschen Verteiler, gestohlener Laptop, Ransomware-Vorfall), muss die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden erfolgen (Art. 33 DSGVO). Wer das versäumt, addiert ein zweites Bußgeld auf die eigentliche Panne obendrauf.
Praktischer Tipp: Ein einfacher Notfall-Plan mit Meldebogen und Kontaktdaten der BlnBDI reduziert das Risiko drastisch. Wenige DIN-A4-Seiten reichen.
7. Datenschutzerklärung als Textbaustein ohne Anpassung
Vorlagen sind ein Startpunkt, kein Endpunkt. Wenn in der Datenschutzerklärung Dienste erwähnt werden, die nicht mehr genutzt werden (klassisch: Google Fonts, Facebook-Pixel), oder Dienste fehlen, die tatsächlich eingesetzt werden — dann ist die Erklärung falsch. Und falsche Datenschutzerklärungen sind selbst ein Bußgeldtatbestand.
Was 2026 neu ist
Zwei Entwicklungen sind für das laufende Jahr besonders relevant:
1. DSK-Beschluss zu KI-Diensten (November 2024) Die Datenschutzkonferenz hat klargestellt, dass der Einsatz von KI-Diensten wie ChatGPT, Claude, Gemini oder Copilot bei der Verarbeitung personenbezogener Daten einer expliziten Rechtsgrundlage bedarf. Der pauschale Hinweis „wir nutzen KI" in der Datenschutzerklärung reicht nicht. Wer Kundendaten in KI-Prompts eingibt, braucht dokumentierte Prozesse.
2. AI Act Übergangsregelungen (2025-2027) Der EU AI Act ist am 1. August 2024 in Kraft getreten. Für hochrisikobehaftete KI-Systeme gelten Übergangsfristen bis 2026/2027. Für die meisten KMU relevant sind die Transparenzpflichten für KI-generierte Inhalte (Chatbots, generierte Bilder in Marketingmaterial müssen kennzeichnungsfähig sein).
Praktischer Fahrplan — Was Sie diese Woche tun können
Tag 1 (2 Stunden):
- Datenschutzerklärung öffnen, Zeile für Zeile durchgehen: welche Dienste sind noch aktuell, welche sind weg, welche fehlen?
- Cookie-Banner testen: funktioniert „Ablehnen" wirklich? Werden bei „Ablehnen" wirklich keine Tracking-Cookies geladen? (Prüfen mit Browser-Devtools, Reiter „Application" > „Cookies")
Tag 2 (3 Stunden):
- Liste aller externen Dienstleister erstellen (siehe Punkt 4 oben)
- Für jeden prüfen: Liegt ein AVV vor? Wenn nein — anfordern. Alle seriösen Anbieter haben Standard-AVVs zum Download.
Tag 3–5 (je 1 Stunde):
- Verzeichnis der Verarbeitungstätigkeiten (VVT) erstellen oder aktualisieren. Standardvorlagen gibt es kostenlos bei den Landesdatenschutzbehörden.
- Notfall-Meldeplan für Datenpannen dokumentieren (2 DIN-A4-Seiten reichen).
Monatlich (30 Minuten):
- Neue Dienstleister prüfen, VVT aktualisieren
- Update-Check bei bestehenden Anbietern (Änderungen in deren Datenschutz-Policies?)
Fazit
DSGVO-Bußgelder sind kein abstraktes Risiko mehr. Die Behörden prüfen, sie verhängen Bußgelder auch gegen KMU, und die Bemessung orientiert sich am Umsatz. Die gute Nachricht: der überwiegende Teil der typischen Verstöße lässt sich in wenigen Tagen bereinigen. Der überwiegende Teil der Bußgelder trifft Unternehmen, die es hätten wissen können.
Für Berliner Unternehmen, die ihre Website, Kommunikationswege und Kundenprozesse einmal sauber ziehen wollen: Bodenova prüft Ihre bestehende Digital-Infrastruktur auf DSGVO-Konformität und setzt konkrete Verbesserungen um. Kein Datenschutz-Consulting, kein Beratungs-PDF — technische Umsetzung, die Sie tatsächlich schützt.