Stand: August 2026
Kurzfakten: DSGVO-Bußgelder 2025 auf einen Blick
Deutsche Aufsichtsbehörden zogen 2025 eine deutliche Bilanz. Die Zahlen zeigen, wo die Risiken für Unternehmen liegen. Besonders die Spanne zwischen Einzelfällen und Gesamtsumme verdeutlicht die Durchsetzungspraxis.
- Höchstes deutsches Bußgeld: 45 Millionen Euro gegen Vodafone, aufgeteilt in 15 Millionen Euro für mangelhafte Auftragsverarbeitung und 30 Millionen Euro für IT-Sicherheitsmängel laut ODC Legal.
- Gesamtvolumen deutscher Behörden: rund 47 Millionen Euro bei 249 Verfahren so das DSGVO-Portal.
- EU-weit summierten sich die Strafen auf über 1,1 Milliarde Euro nach HUBIT-Analyse.
- Häufigster Verstoß: fehlende Rechtsgrundlage nach Artikel 6 DSGVO belegt der Bußgeldspiegel.
- Typische KMU-Bußgelder bewegen sich zwischen 2.000 und 100.000 Euro wie Fraghugo berichtet.
Die Daten unterstreichen, dass auch kleinere Betriebe konsequent zur Rechenschaft gezogen werden. Wer Basispflichten vernachlässigt, riskiert empfindliche Strafen.
Marktgröße & Wachstum der DSGVO-Bußgelder
Deutsche Aufsichtsbehörden verhängten 2025 insgesamt 249 Bußgelder mit einem Volumen von knapp 47 Millionen Euro – ein deutlicher Anstieg gegenüber den Vorjahren, wie der Rückblick des DSGVO-Portals belegt. EU-weit summierten sich die Strafen auf über 1,1 Milliarde Euro; der CMS-Report nennt für den Stand Ende November rund 1 Milliarde, HUBIT sogar mehr als 1,1 Milliarde. Seit Inkrafttreten der DSGVO 2018 haben sich die Bußgelder kumuliert auf ca. 5,6 Milliarden Euro (CMS) bzw. ca. 7 Milliarden Euro (HUBIT) aufaddiert – ein Beleg für das steigende Durchsetzungsniveau. Der CMS Enforcement Tracker erfasst bis März 2025 insgesamt 2.245 verhängte Bußgelder in der EU. Eine Analyse von Der Windows Papst bestätigt die Tendenz: Behörden greifen häufiger und härter durch.
| Kennzahl | Wert 2025 | Kumulativ seit 2018 | Quelle |
|---|---|---|---|
| Bußgelder deutsche Behörden | ~47 Mio. € (249 Verfahren) | – | DSGVO-Portal |
| EU-Gesamtvolumen (CMS) | ~1 Mrd. € (Stand Nov.) | ~5,6 Mrd. € | CMS Law |
| EU-Gesamtvolumen (HUBIT) | >1,1 Mrd. € | ~7 Mrd. € | HUBIT |
| Anzahl EU-Bußgelder (CMS Tracker) | – | 2.245 (Stichtag 1.3.2025) | CMS Tracker |
Die Zahlen zeigen: Datenschutzverstöße werden teurer, und die Durchsetzung gewinnt an Dynamik – auch für KMU, die längst nicht mehr unter dem Radar fliegen.
Vodafone – Auftragsverarbeitung & IT-Sicherheit
Das höchste deutsche Bußgeld 2025 traf Vodafone mit 45 Millionen Euro im Juni. Die Aufsichtsbehörde splittete den Betrag: 15 Millionen Euro wegen mangelhafter Auftragsverarbeitung nach Art. 28 DSGVO und 30 Millionen Euro wegen unzureichender IT-Sicherheit nach Art. 32 DSGVO. Fehlende Auftragsverarbeitungsverträge mit Dienstleistern und lückenhafte Kontrollen der technischen Maßnahmen führten zu den Verstößen.
Die kooperative Haltung des Konzerns wirkte strafmildernd, wie der Bußgeldspiegel 2026 dokumentiert. Der Fall zeigt exemplarisch: Verantwortliche haften für die Datenschutzsicherheit ihrer Auftragnehmer. Wer Dienstleister einsetzt, muss Verträge prüfen, Kontrollen durchsetzen und Nachweise über technische sowie organisatorische Maßnahmen (TOM) vorhalten. Ein Rückblick auf die Junisanktionen bestätigt, dass Behörden Art. 28 und Art. 32 zunehmend gemeinsam ahnden – insbesondere bei Authentifizierungsmängeln und unverschlüsselten Übermittlungswegen.
TikTok – Drittlandtransfers nach China
Die irische Datenschutzkommission (DPC) verhängte im Mai 2025 das bisher höchste EU-Bußgeld des Jahres: 530 Millionen Euro gegen TikTok Technology Limited. Grund war die unzulässige Übermittlung personenbezogener Daten europäischer Nutzer nach China ohne die nach Art. 44 ff. DSGVO erforderlichen Garantien. Die Behörde stellte fest, dass Standardvertragsklauseln allein nicht ausreichten, um das Schutzniveau der DSGVO in einem Drittstaat mit weitreichenden Zugriffsbefugnissen für Behörden zu gewährleisten. Ein Transfer Impact Assessment (TIA) fehlte vollständig.
Der Fall markiert eine Zäsur: Aufsichtsbehörden prüfen künftig nicht nur die vertragliche Absicherung, sondern verlangen eine risikobasierte Bewertung der tatsächlichen Zugriffsmöglichkeiten im Zielland. Unternehmen müssen nachweisen, dass ergänzende Maßnahmen – etwa technische Verschlüsselung, organisatorische Trennungen oder vertragliche Verpflichtungen der Empfänger – den Zugriff Dritter wirksam beschränken. Die DPC betonte, dass die bloße Berufung auf Standardvertragsklauseln bei problematischen Drittstaaten als unzureichend gilt.
Für KMU bedeutet das: Jede Übermittlung in Länder ohne Angemessenheitsbeschluss erfordert ein dokumentiertes TIA. Fehlt es, drohen Bußgelder nach Art. 83 DSGVO. Die Entwicklung 2026 zeigt, dass Behörden bei Cloud-Diensten, KI-Modellen und Analyse-Tools zunehmend auf die Drittlandproblematik fokussieren.
Häufigster Verstoß: Fehlende Rechtsgrundlage (Art. 6 DSGVO)
Der Bußgeldspiegel 2026 weist den fehlenden Rechtsgrundlagennachweis als am häufigsten geahnte Verstossart 2025 aus. Klassische Beispiele sind Trackings ohne Einwilligung, Kundendatenverarbeitung ohne Vertrags- oder Interessenbasis sowie die Weitergabe von Beschäftigtendaten ohne tragfähige Rechtfertigung. Für jeden Verarbeitungsvorgang verlangt die Aufsicht eine dokumentierte Zuordnung zu Art. 6 Abs. 1 DSGVO — und eine regelmäßige Prüfung, ob die gewählte Basis noch trägt.
Französische Behörden ahnden diesen Musterfehler besonders konsequent: Die CNIL verhängte 2025 insgesamt 83 Sanktionen mit einem Volumen von rund 486,8 Millionen Euro, oft weil Cookie-Banner keine informierte Einwilligung einholten oder Dark Patterns die Ablehnung verhinderten. Auch deutsche Landesdatenschutzbehörden zogen 2025 in 249 Verfahren Bußgelder von zusammen knapp 47 Millionen Euro ein — häufig wegen fehlender Verarbeitungsverzeichnisse, unzulässiger Videoüberwachung oder nicht geschlossener Auftragsverarbeitungsverträge.
Für KMU bewegen sich die Strafen laut Praxisberichten typischerweise zwischen 2.000 und 100.000 Euro. Wer jedes Processing-Register sauber führt, Einwilligungen protokolliert und berechtigte Interessen schriftlich abwägt, senkt das Risiko massiv. Ein halbjährlicher Review der Rechtsgrundlagen gehört mittlerweile zur Standard-Hygiene — genau wie das Entfernen nicht mehr genutzter Tracking-Pixel.
CNIL-Sanktionen: Fokus auf Cookie-Compliance & Gesichtserkennung
Die französische Datenschutzbehörde CNIL zog 2025 eine harte Bilanz: 83 Sanktionen, zusammen rund 486,8 Millionen Euro. Schwerpunkte lagen auf fehlerhaften Cookie-Bannern und dem Einsatz biometrischer Gesichtserkennung ohne tragfähige Rechtsgrundlage.
Bei Tracking-Verfahren ahndete die Behörde systematisch fehlende informierte Einwilligung, Dark Patterns und das Fehlen einer echten Ablehnmöglichkeit. Wer Nutzer:innen nicht gleichberechtigt „Alle ablehnen“ anbietet, riskiert empfindliche Strafen. Die CNIL wertet schon scheinbar marginale Mängel im Consent-Management als schwere Verstöße gegen Art. 6 und Art. 7 DSGVO.
Parallel gingen Verfahren gegen Gesichtserkennung im öffentlichen Raum und in Einzelhandelsfilialen einher. Betreiber konnten weder ein berechtigtes Interesse noch eine ausdrückliche Einwilligung darlegen; Transparenzpflichten nach Art. 12 ff. DSGVO blieben unbeachtet. Die Entscheidungen zeigen: Biometrie verlangt strenge Verhältnismäßigkeitsprüfung und dokumentierte DSFA.
Eine Auswertung der Top-15-Fälle belegt, dass Bußgelder schnell sechs- bis siebenstellige Beträge erreichen. Der Ausblick für 2026 bestätigt: Cookie- und Tracking-Compliance bleibt Priorität Nummer eins der europäischen Aufsichtsbehörden.
Auftragsverarbeitung & Lieferkette (Art. 28) – Lessons für KMU
Der Vodafone-Fall zeigt eindrucksvoll, wie teuer mangelhafte Steuerung von Dienstleistern wird. Die Aufsichtsbehörde verhängte im Juni 2025 insgesamt 45 Mio. Euro – davon 15 Mio. Euro allein für Verstöße gegen Art. 28 DSGVO. Fehlende oder lückenhafte Auftragsverarbeitungsverträge (AVV) sowie unzureichende Kontrollen der Weisungsbefugnisse und Sicherheitsvorgaben führten direkt in die Bußgeldfalle. Kooperatives Verhalten milderte zwar, verhinderte die Strafe aber nicht.
KMU unterschätzen oft die Reichweite der Verantwortung. Wer Cloud-Dienste, Agenturen oder IT-Dienstleister einsetzt, bleibt für die Rechtmäßigkeit der Verarbeitung haftbar. Ein AVV reicht nicht; er muss konkrete technische und organisatorische Maßnahmen (TOM) festschreiben, Audit-Rechte vorsehen und Nachweispflichten des Auftragnehmers definieren. Standardklauseln aus Musterverträgen helfen, Lücken zu vermeiden.
Prüfen Sie bestehende AVVs auf Vollständigkeit: Zweckbindung, Weisungsfreiheit, Unterauftragnehmer-Ketten, Löschkonzepte und Meldepflichten bei Datenpannen. Dokumentieren Sie regelmäßige Kontrollen – Stichproben, Zertifikate, Pentest-Berichte. Die Rechtsprechung honoriert nachweisbare Sorgfalt. Auch die Juniauswertung bestätigt: Lieferketten-Verletzungen ziehen hohe Sanktionen nach sich. Wer Art. 28 als reine Formalie behandelt, riskiert existenzielle Bet
IT-Sicherheit & Art. 32 – Ransomware, MFA, Verschlüsselung
Das höchste deutsche Bußgeld 2025 traf Vodafone mit 45 Millionen Euro. Davon entfielen 30 Millionen Euro auf Verstöße gegen Artikel 32 DSGVO – also mangelhafte technische und organisatorische Maßnahmen. Die Behörde beanstandete fehlende Multi-Factor-Authentication für privilegierte Zugänge, unverschlüsselte Datenbestände sowohl im Ruhezustand als auch bei der Übertragung sowie unzureichende Schutzvorkehrungen gegen Ransomware-Angriffe. Ein Überblick der relevanten Bußgeldverfahren zeigt, dass IT-Sicherheitsmängel zunehmend preisintensiv geahndet werden.
Für KMU bedeutet der Fall: Basisschutz ist nicht mehr optional. Regelmäßiges Patchen, MFA für alle administrativen Accounts und Verschlüsselung von Daten bei Rest und in Transit gehören zum rechtlich geforderten Mindeststandard. Wer diese Maßnahmen unterlässt, handelt fahrlässig im Sinne der Verordnung. Die Juni-Statistik der Aufsichtsbehörden bestätigt den Trend: Sicherheitslücken ziehen hohe Sanktionen nach sich.
Ransomware bleibt die akuteste Bedrohung. Unverschlüsselte Backups, fehlende Netzsegmentierung und fehlende Notfallpläne verschärfen die Haftung erheblich. Eine Analyse deutscher Datenpannen 2025 belegt, dass Angreifer genau diese Lücken systematisch ausnutzen. Unternehmen, die Art. 32 als statische Checkliste verstehen statt als kontinuierlichen Verbesserungsprozess, riskieren empfindliche Bußgelder – unabhängig von ihrer Größe.
Drittlandtransfers & Transfer Impact Assessment (TIA) – Praxis
Die DSGVO verlangt bei Übermittlungen in unsichere Drittstaaten mehr als nur Standardvertragsklauseln. Ein Transfer Impact Assessment muss dokumentieren, ob das Schutzniveau der EU gewährleistet werden kann. Der TikTok-Fall mit 530 Millionen Euro Bußgeld zeigt: Behörden prüfen die Effektivität der SCC zunehmend streng.
Unternehmen sollten für jeden Drittlandtransfer eine eigene TIA durchführen. Dabei sind lokale Zugriffsbefugnisse, Überwachungsgesetze und Durchsetzbarkeit der Betroffenenrechte zu bewerten. Reicht das Schutzniveau nicht aus, sind zusätzliche Maßnahmen wie Ende-zu-Ende-Verschlüsselung oder Pseudonymisierung zwingend.
Aufsichtsbehörden erwarten, dass die Prüfung vor dem ersten Datentransfer erfolgt und regelmäßig aktualisiert wird. Ein pauschales Verweis auf SCC genügt nicht mehr. Die Dokumentation muss konkrete Risiken benennen und getroffene Ergänzungsmaßnahmen begründen.
Ein Blick auf die aktuelle Bußgeldpraxis bestätigt: Fehlende oder unzureichende TIA werden als eigenständiger Verstoß gegen Art. 44 ff. DSGVO gewertet. KMU mit Cloud-Diensten aus den USA oder Asien sollten ihre Lieferantenketten systematisch prüfen und TIA-Ergebnisse revisionssicher ablegen.
Ausblick 2026 – Wichtigste Trends
- Cookie‑ & Tracking-Compliance bleibt Top-Fokus: Behörden prüfen Banner auf informierte Einwilligung und Dark Patterns. Die CNIL ahndete 2025 allein 83 Verstöße schwerpunktmäßig hier (Lexallaw) (Datenschutzbeauftragter-DSGVO).
- Generative KI rückt ins Visier: Fehlende Rechtsgrundlage, unzureichende Transparenz und fehlende Altersprüfung bei ChatGPT-ähnlichen Systemen ziehen Sanktionen nach sich (AZ Datenschutz).
- Auftragsverarbeitung & Lieferkette (Art. 28): Unternehmen haften für Dienstleister. Der Vodafone-Fall zeigt, dass fehlende AVV und lückenhafte Kontrollen teuer werden (ODC Legal).
- IT-Sicherheit & Art. 32: Ransomware, fehlende MFA und unverschlüsselte Daten führen zu hohen Bußgeldern. Beim Vodafone-Verfahren entfielen 30 Mio. € auf Sicherheitsmängel (ODC Legal).
- Drittlandtransfers & TIA: Neben SCC verlangen Behörden regelmäßige Transfer Impact Assessments – besonders bei Übermittlungen in die USA und China (FragHugo).
