DSGVO-Bußgeld-Datenbank: alle Fälle mit Quelle
71 belegte Fälle von 2018 bis 2026, 45 davon aus Deutschland. Jeder Eintrag mit Quelle — und mit dem Betrag, der nach Gerichtsentscheidung tatsächlich gilt.
- Fälle, 45 aus Deutschland
- 71 Fälle, 45 aus Deutschland
- Median der deutschen Bußgelder
- 80.000 € Median der deutschen Bußgelder
- höchstes deutsches Bußgeld (Vodafone GmbH)
- 45.000.000 € höchstes deutsches Bußgeld (Vodafone GmbH)
- Fälle von Gerichten korrigiert
- 3 Fälle von Gerichten korrigiert
71 Fälle
Summe: 5.367.262.395 €
Median: 900.000 €
| Datum | Fall | Behörde | Verstoß | Betrag |
|---|---|---|---|---|
| Ridetech International B.V. (Yango) Der Fahrdienst übermittelte Daten seiner Fahrgäste ohne ausreichende Garantien in ein Drittland und legte die Übermittlung nicht offen. | Autoriteit Persoonsgegevens (AP) Niederlande · Verkehr & Logistik | Internationale Datenübermittlung Art. 5 DSGVO, Art. 44 DSGVO, Art. 46 DSGVO | 100.000.000 € Rechtsmittel offen | |
| Intesa Sanpaolo S.p.A. Unbefugte Zugriffe von Beschäftigten auf Kundenkonten blieben lange unentdeckt. Die Aufsicht bemängelte fehlende Zugriffskontrollen und die Aufarbeitung des Vorfalls. | Garante per la protezione dei dati personali Italien · Finanzen & Versicherung | Datensicherheit Art. 5 DSGVO, Art. 24 DSGVO, Art. 32 DSGVO, Art. 33 DSGVO | 31.800.000 € Rechtsmittel offen | |
| Free Mobile S.A.S. Kundendaten wurden weit über die erforderliche Dauer aufbewahrt, und die Sicherheitsmaßnahmen entsprachen nicht dem Stand der Technik. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Telekommunikation | Löschung & Speicherdauer Art. 5 DSGVO, Art. 32 DSGVO | 27.000.000 € Rechtsmittel offen | |
| Finanzdienstleister (Name nicht veröffentlicht) anonymisiert Kreditkartenanträge mehrerer Kundinnen und Kunden wurden automatisiert abgelehnt. Auf Nachfrage erklärte das Unternehmen die dahinterliegende Logik nicht ausreichend. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Finanzen & Versicherung | Automatisierte Entscheidungen Art. 15 DSGVO, Art. 22 DSGVO | 492.000 € bestandskräftig | |
| Handelsunternehmen (Name nicht veröffentlicht) anonymisiert Das Unternehmen ließ Postwerbung von einem externen Dienstleister ausspielen und reagierte auf Betroffenenanfragen dazu nicht innerhalb der Fristen. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Handel & E-Commerce | Betroffenenrechte Art. 12 DSGVO, Art. 21 DSGVO | 195.000 € bestandskräftig | |
| Vodafone GmbH Zwei Geldbußen: 15 Mio. € dafür, dass Partneragenturen nicht ausreichend geprüft und überwacht wurden — Mitarbeitende dort hatten Verträge zulasten von Kunden fingiert. Weitere 30 Mio. € für Schwachstellen bei der Authentifizierung zwischen dem Portal „MeinVodafone" und der Hotline, über die Dritte eSIM-Profile abrufen konnten. Was danach geschahHöchste je von der Bundesbehörde verhängte Geldbuße. Vodafone hat sie akzeptiert und vollständig gezahlt; die BfDI kündigte eine Folgekontrolle an. Die durchgehende Kooperation des Unternehmens wurde ausdrücklich mildernd gewertet. | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Bund, Deutschland · Telekommunikation | Auftragsverarbeitung Art. 28 DSGVO, Art. 32 DSGVO | 45.000.000 € bestandskräftig | |
| TikTok Technology Limited Daten europäischer Nutzer waren aus China zugänglich, ohne dass ein gleichwertiges Schutzniveau nachgewiesen wurde. Zusätzlich waren die Angaben zu diesen Übermittlungen unvollständig. | Data Protection Commission (DPC) Irland · Digitale Dienste | Internationale Datenübermittlung Art. 13 DSGVO, Art. 46 DSGVO | 530.000.000 € Rechtsmittel offen | |
| Polizeibeamter (Name nicht veröffentlicht) anonymisiert Ein Beamter rief für private Zwecke Daten aus polizeilichen Systemen ab. Solche Fälle machen einen erheblichen Teil aller deutschen Bußgeldverfahren aus. | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Öffentlicher Sektor | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO | 3.500 € bestandskräftig | |
| Meta Platforms Ireland Limited Bei der Datenpanne von 2018 („View As") konnten Angreifer Zugriffstoken von rund 29 Mio. Konten erbeuten. Die Meldung an die Aufsicht war unvollständig, und der Datenschutz durch Technikgestaltung griff nicht. | Data Protection Commission (DPC) Irland · Digitale Dienste | Meldepflicht bei Datenpannen Art. 25 DSGVO, Art. 33 DSGVO | 251.000.000 € Rechtsmittel offen | |
| Inkassodienstleister (Name nicht veröffentlicht) anonymisiert Ergebnis einer branchenweiten Schwerpunktprüfung im Forderungsmanagement: Der Dienstleister verarbeitete Schuldnerdaten ohne tragfähige Rechtsgrundlage. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Finanzen & Versicherung | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO | 900.000 € bestandskräftig | |
| LinkedIn Ireland Unlimited Company Für verhaltensbasierte Werbung und Analysen fehlte eine tragfähige Rechtsgrundlage; weder Einwilligung noch berechtigtes Interesse trugen die Verarbeitung. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO | 310.000.000 € Rechtsmittel offen | |
| Meta Platforms Ireland Limited Passwörter von Nutzern wurden über Jahre im Klartext in internen Systemen gespeichert. Derselbe Fehler, der 2018 Knuddels.de 20.000 € gekostet hatte — nur in anderer Größenordnung. | Data Protection Commission (DPC) Irland · Digitale Dienste | Datensicherheit Art. 5 DSGVO, Art. 32 DSGVO, Art. 33 DSGVO | 91.000.000 € Rechtsmittel offen | |
| Uber Technologies Inc. / Uber B.V. Daten europäischer Fahrerinnen und Fahrer — darunter Ausweisdokumente, Standortdaten und in Einzelfällen Gesundheitsdaten — wurden über zwei Jahre ohne geeignete Garantien auf US-Server übertragen. | Autoriteit Persoonsgegevens (AP) Niederlande · Verkehr & Logistik | Internationale Datenübermittlung Art. 44 DSGVO | 290.000.000 € Rechtsmittel offen | |
| Clearview AI Inc. Aus dem Internet gesammelte Gesichtsbilder wurden zu biometrischen Profilen verarbeitet und als Suchdienst verkauft — ohne Rechtsgrundlage und ohne Wissen der Betroffenen. Was danach geschahVier europäische Behörden haben Clearview AI unabhängig voneinander mit zusammen über 90 Mio. € belegt (Italien und Griechenland je 20 Mio. €, Frankreich 20 Mio. €). Gezahlt wurde bislang nichts. | Autoriteit Persoonsgegevens (AP) Niederlande · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO | 30.500.000 € Rechtsmittel offen | |
| Enel Energia S.p.A. Unerlaubtes Telemarketing über ein Netz von Vertriebspartnern, deren Datenquellen der Konzern nicht kontrollierte. Die Aufsicht bemängelte fehlende Steuerung der Auftragsverarbeiter. | Garante per la protezione dei dati personali Italien · Energie & Versorgung | Werbung ohne Einwilligung Art. 5 DSGVO, Art. 24 DSGVO, Art. 32 DSGVO | 79.100.000 € Rechtsmittel offen | |
| Großes Unternehmen der Finanzbranche (Name nicht veröffentlicht) anonymisiert Auskünfte an Betroffene kamen wiederholt zu spät, sensible Kundenunterlagen gingen an falsche Empfänger, und Kunden wurden ohne Einwilligung telefonisch beworben. Was danach geschahErstes prominentes deutsches Settlement-Verfahren: Das Unternehmen räumte die Verstöße ein und erhielt dafür einen bußgeldmindernden Abschlag. Der Bescheid wurde rechtskräftig. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Finanzen & Versicherung | Betroffenenrechte Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 15 DSGVO | 496.000 € bestandskräftig | |
| Unternehmen (Name nicht veröffentlicht) anonymisiert Das Unternehmen wirkte trotz mehrfacher Aufforderung nicht an der Aufklärung mit. Fehlende Mitwirkung ist nach Art. 31 DSGVO ein eigenständiger, bußgeldbewehrter Verstoß. Quelle: Sächsischer Datenschutzbeauftragter, Tätigkeitsbericht 2024 | Sächsischer Datenschutzbeauftragter Sachsen, Deutschland · Beratung & Dienstleistung | Mitwirkung gegenüber der Aufsicht Art. 31 DSGVO | 120.000 € bestandskräftig | |
| Unternehmen im Gesundheitsbereich (Name nicht veröffentlicht) anonymisiert Unzureichende technische und organisatorische Maßnahmen im Umgang mit Gesundheitsdaten. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Gesundheitswesen | Datensicherheit Art. 32 DSGVO | 60.000 € bestandskräftig | |
| Energieunternehmen (Name nicht veröffentlicht) anonymisiert Unzureichende technische und organisatorische Maßnahmen zum Schutz von Kundendaten. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Energie & Versorgung | Datensicherheit Art. 32 DSGVO | 32.000 € bestandskräftig | |
| Unternehmen (Name nicht veröffentlicht) anonymisiert Auch hier: keine Mitwirkung an der Aufklärung trotz förmlicher Aufforderung. Quelle: Sächsischer Datenschutzbeauftragter, Tätigkeitsbericht 2024 | Sächsischer Datenschutzbeauftragter Sachsen, Deutschland · Beratung & Dienstleistung | Mitwirkung gegenüber der Aufsicht Art. 31 DSGVO | 22.080 € bestandskräftig | |
| IT-Unternehmen (Name nicht veröffentlicht) anonymisiert Für eine einmalige Kaltakquise-Kampagne wurden über 2.700 Personen angeschrieben, deren Adressen aus öffentlich zugänglichen Quellen zusammengeführt worden waren. Eine Einwilligung lag nicht vor, und die Voraussetzungen des § 7 Abs. 2 UWG waren nicht erfüllt. Was danach geschahLehrreich an zwei Stellen: Die Behörde rechnete ausdrücklich nach den EDSA-Leitlinien 04/2022 und rechnete dem Verantwortlichen das Handeln seines Auftragsverarbeiters zu — unter Verweis auf EuGH C-683/21. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Digitale Dienste | Werbung ohne Einwilligung Art. 6 DSGVO, Art. 7 DSGVO | 10.000 € bestandskräftig | |
| Freiberuflicher Websitebetreiber (Name nicht veröffentlicht) anonymisiert Auf der Website fehlten die Pflichtinformationen nach Art. 13 DSGVO. Der Betreiber ignorierte anschließend eine förmliche Anweisung der Aufsichtsbehörde. Was danach geschahZusätzlich zur Geldbuße wurden Zwangsgelder von insgesamt 6.000 € festgesetzt. Der Bescheid ist rechtskräftig. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Beratung & Dienstleistung | Mitwirkung gegenüber der Aufsicht Art. 13 DSGVO, Art. 31 DSGVO, Art. 58 DSGVO | 10.000 € bestandskräftig | |
| Onlinehändler (Name nicht veröffentlicht) anonymisiert Eine Verletzung des Schutzes personenbezogener Daten wurde nicht fristgerecht gemeldet. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Handel & E-Commerce | Meldepflicht bei Datenpannen Art. 33 DSGVO | 6.000 € bestandskräftig | |
| Arztpraxis (Name nicht veröffentlicht) anonymisiert Die Praxis antwortete öffentlich auf negative Google-Bewertungen und gab dabei Patientendaten preis. Was danach geschahEin Fall für die Größenordnung am unteren Ende: Auch eine kleine Praxis zahlt — nur eben vierstellig, weil das Modell am Umsatz ansetzt. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Gesundheitswesen | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO | 3.300 € bestandskräftig | |
| Arztpraxis (Name nicht veröffentlicht) anonymisiert Patientendaten waren in der Praxis unzureichend gegen unbefugten Zugriff gesichert. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Gesundheitswesen | Datensicherheit Art. 5 DSGVO, Art. 6 DSGVO, Art. 32 DSGVO | 2.500 € bestandskräftig | |
| TikTok Technology Limited Konten von Kindern waren voreingestellt öffentlich, und die Funktion „Family Pairing" erlaubte Erwachsenen Einstellungen, die für Minderjährige riskant waren. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 12 DSGVO, Art. 25 DSGVO | 345.000.000 € Rechtsmittel offen | |
| Criteo S.A. Das Werbenetzwerk konnte für seine Retargeting-Profile keinen Nachweis wirksamer Einwilligungen vorlegen und informierte die Betroffenen unzureichend. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Digitale Dienste | Rechtsgrundlage fehlt Art. 7 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 15 DSGVO | 40.000.000 € bestandskräftig | |
| Deutsche Kreditbank AG Ein Kreditkartenantrag wurde automatisiert abgelehnt. Auf die Frage nach den Gründen bekam der Antragsteller nur allgemeine Textbausteine — nicht die Logik der Entscheidung. Was danach geschahDie Pressemitteilung der Behörde trägt den Titel „Computer sagt nein". Der Fall ist der deutsche Referenzfall zu Art. 22 DSGVO. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Finanzen & Versicherung | Automatisierte Entscheidungen Art. 5 DSGVO, Art. 15 DSGVO, Art. 22 DSGVO | 300.000 € bestandskräftig | |
| Meta Platforms Ireland Limited Facebook-Nutzerdaten wurden auf Grundlage von Standardvertragsklauseln in die USA übermittelt, obwohl der EuGH in „Schrems II" entschieden hatte, dass diese den Zugriff US-amerikanischer Nachrichtendienste nicht ausgleichen. Was danach geschahDie höchste je nach der DSGVO verhängte Geldbuße. Meta hat Rechtsmittel eingelegt. | Data Protection Commission (DPC) Irland · Digitale Dienste | Internationale Datenübermittlung Art. 46 DSGVO | 1.200.000.000 € Rechtsmittel offen | |
| Meta Platforms Ireland Limited Personalisierte Werbung auf Facebook und Instagram wurde auf „Erfüllung des Vertrags" gestützt statt auf eine Einwilligung. Der EDSA hielt das für unzulässig. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO | 390.000.000 € Rechtsmittel offen | |
| Humboldt Forum Service GmbH Die Servicegesellschaft des Humboldt Forums verarbeitete Beschäftigtendaten ohne ausreichende Rechtsgrundlage. Die Berliner Aufsicht verhängte dafür mehrere Geldbußen von zusammen 215.000 €. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Kultur & Bildung | Beschäftigtenüberwachung Art. 5 DSGVO, Art. 6 DSGVO | 215.000 € bestandskräftig | |
| Arbeitgeber (Name nicht veröffentlicht) anonymisiert Gesundheitsdaten von Beschäftigten wurden ohne die für besondere Datenkategorien nötigen Schutzmaßnahmen verarbeitet. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Beratung & Dienstleistung | Beschäftigtenüberwachung Art. 9 DSGVO, Art. 32 DSGVO | 75.000 € bestandskräftig | |
| Projektentwicklungsunternehmen (Name nicht veröffentlicht) anonymisiert Grundbuchdaten wurden zweckwidrig genutzt, um Eigentümer für Ankaufsangebote anzuschreiben. Die Betroffenen erfuhren nicht, woher ihre Daten stammten. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 21.09.2022 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Immobilienwirtschaft | Rechtsgrundlage fehlt Art. 6 DSGVO, Art. 14 DSGVO | 50.000 € bestandskräftig | |
| Konzerngesellschaft (Name nicht veröffentlicht) anonymisiert Der bestellte Datenschutzbeauftragte war zugleich Geschäftsführer zweier Dienstleistungsgesellschaften, die im Auftrag des Unternehmens personenbezogene Daten verarbeiteten. Er hätte also sich selbst kontrollieren müssen. Was danach geschahDer teuerste dokumentierte Interessenkonflikt eines Datenschutzbeauftragten in Deutschland — und ein Argument für die externe Bestellung. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Beratung & Dienstleistung | Datenschutzbeauftragter Art. 38 DSGVO | 525.000 € bestandskräftig | |
| Meta Platforms, Inc. (Instagram) Konten minderjähriger Nutzer waren standardmäßig öffentlich, und bei Umstellung auf ein Unternehmenskonto wurden Telefonnummer und E-Mail-Adresse sichtbar. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 25 DSGVO | 405.000.000 € Rechtsmittel offen | |
| Hannoversche Volksbank eG Das Kreditinstitut analysierte Kundendaten für Werbezwecke, ohne dass eine wirksame Einwilligung vorlag. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Finanzen & Versicherung | Werbung ohne Einwilligung Art. 6 DSGVO | 900.000 € bestandskräftig | |
| Volkswagen AG Ein Forschungsfahrzeug für Fahrassistenzsysteme filmte den Straßenverkehr, ohne dass Passanten darauf hingewiesen wurden. Es fehlten außerdem der Auftragsverarbeitungsvertrag, ein vollständiger Eintrag im Verarbeitungsverzeichnis und die Datenschutz-Folgenabschätzung. Was danach geschahVolkswagen akzeptierte den Bescheid. Der Fall zeigt, dass auch reine Dokumentationsversäumnisse siebenstellig werden können, wenn sie sich häufen. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Industrie & Produktion | Informationspflichten Art. 13 DSGVO, Art. 28 DSGVO, Art. 30 DSGVO, Art. 35 DSGVO | 1.100.000 € bestandskräftig | |
| Google LLC Löschanträge liefen über ein Formular eines US-Projekts, das die Daten an Dritte weitergab, statt über einen Weg, der dem Löschanspruch der DSGVO genügt. | Agencia Española de Protección de Datos (AEPD) Spanien · Digitale Dienste | Betroffenenrechte Art. 6 DSGVO, Art. 17 DSGVO | 10.000.000 € bestandskräftig | |
| Clearview AI Inc. Bilder britischer Bürger landeten ohne deren Wissen in einer Datenbank mit über 20 Mrd. Gesichtern, die an Sicherheitsbehörden vermarktet wurde. | Information Commissioner’s Office (ICO) Vereinigtes Königreich · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO | 9.000.000 € Rechtsmittel offen | |
| BREBAU GmbH Das Wohnungsunternehmen verarbeitete Daten von mehr als 9.500 Mietinteressenten ohne Rechtsgrundlage — darunter Angaben zu Haartracht, Körpergeruch, Hautfarbe, Religionszugehörigkeit und Gesundheit. Was danach geschahDas Unternehmen kooperierte, legte den Sachverhalt offen und verzichtete auf Rechtsmittel; das reduzierte die Buße erheblich. | Landesbeauftragte für Datenschutz und Informationsfreiheit Bremen (LfDI) Bremen, Deutschland · Immobilienwirtschaft | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO | 1.900.000 € bestandskräftig | |
| Clearview AI Inc. Biometrische Verarbeitung von Gesichtsbildern italienischer Bürger ohne Rechtsgrundlage; zusätzlich wurden Auskunfts- und Löschansprüche nicht bearbeitet. | Garante per la protezione dei dati personali Italien · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO, Art. 12 DSGVO | 20.000.000 € Rechtsmittel offen | |
| Corona-Testzentrum (Name nicht veröffentlicht) anonymisiert Testergebnisse waren über eine unsichere Weboberfläche abrufbar; der Vorfall wurde zudem nicht ordnungsgemäß gemeldet. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Gesundheitswesen | Datensicherheit Art. 6 DSGVO, Art. 33 DSGVO | 16.400 € bestandskräftig | |
| Apotheke (Name nicht veröffentlicht) anonymisiert Kundendaten wurden nicht ausreichend vertraulich behandelt. | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Gesundheitswesen | Datensicherheit Art. 5 DSGVO | 6.500 € bestandskräftig | |
| Grindr LLC Die Dating-App gab Standortdaten, Gerätekennungen und die Tatsache der Nutzung — und damit einen Hinweis auf die sexuelle Orientierung — ohne wirksame Einwilligung an Werbepartner weiter. | Datatilsynet Norwegen · Digitale Dienste | Rechtsgrundlage fehlt Art. 6 DSGVO, Art. 9 DSGVO | 6.300.000 € bestandskräftig | |
| Vattenfall Europe Sales GmbH Rund 500.000 Neukundenanfragen wurden daraufhin geprüft, ob der Anfragende regelmäßig Bonusangebote abgreift („Bonushopper"). Über diesen Abgleich wurden die Betroffenen nicht informiert. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Energie & Versorgung | Informationspflichten Art. 12 DSGVO, Art. 13 DSGVO | 900.000 € bestandskräftig | |
| WhatsApp Ireland Ltd. Nutzer und Nichtnutzer wurden nicht ausreichend darüber informiert, welche Daten WhatsApp verarbeitet und an andere Konzerngesellschaften weitergibt. | Data Protection Commission (DPC) Irland · Digitale Dienste | Informationspflichten Art. 5 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO | 225.000.000 € Rechtsmittel offen | |
| Amazon Europe Core S.à r.l. Personalisierte Werbung wurde ohne wirksame Einwilligung ausgespielt. Ausgangspunkt war eine Sammelbeschwerde der französischen Organisation La Quadrature du Net für rund 10.000 Personen. Was danach geschahDas Verwaltungsgericht Luxemburg wies Amazons Klage am 18.03.2025 in vollem Umfang ab und bestätigte die Buße. Zweithöchste DSGVO-Geldbuße überhaupt. | Commission nationale pour la protection des données (CNPD) Luxemburg · Handel & E-Commerce | Rechtsgrundlage fehlt Art. 6 DSGVO | 746.000.000 € Rechtsmittel offen | |
| VfB Stuttgart 1893 AG Bei der Aufarbeitung einer Datenaffäre konnte der Verein nicht belegen, auf welcher Grundlage Mitgliederdaten verarbeitet und weitergegeben worden waren. Die Aufsicht wertete das als Verstoß gegen die Rechenschaftspflicht. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 10.03.2021 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Sport & Freizeit | Rechtsgrundlage fehlt Art. 5 DSGVO | 300.000 € bestandskräftig | |
| notebooksbilliger.de AG Über mindestens zwei Jahre liefen Kameras auf Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche — ohne Rechtsgrundlage. Eine Videoüberwachung zur Aufdeckung von Straftaten setzt einen konkreten Verdacht gegen bestimmte Personen voraus; eine Dauerüberwachung auf Verdacht genügt dafür nicht. Was danach geschahDas LG Hannover senkte die Buße am 06.05.2024 auf 700.000 €, das OLG Celle setzte sie schließlich auf 900.000 € fest. Mildernd wirkte unter anderem, dass ein Großteil der Aufnahmen ungesehen gelöscht wurde. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Handel & E-Commerce | Beschäftigtenüberwachung Art. 5 DSGVO, Art. 6 DSGVO | 900.000 € Bescheid: 10.400.000 € gerichtlich geändert | |
| Elektronikfachmarkt (Name nicht veröffentlicht) anonymisiert Kundendaten wurden über die Erforderlichkeit hinaus gespeichert und Löschansprüche nicht umgesetzt. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Handel & E-Commerce | Löschung & Speicherdauer Art. 5 DSGVO, Art. 17 DSGVO | 16.000 € bestandskräftig | |
| Marriott International, Inc. In der übernommenen Starwood-Reservierungsdatenbank saßen Angreifer seit 2014 unbemerkt; betroffen waren weltweit rund 339 Mio. Gästedatensätze. Die Sicherheitslücke wurde bei der Übernahme nicht erkannt. Was danach geschahAngekündigt waren 99,2 Mio. £, festgesetzt wurden 18,4 Mio. £. Der Fall ist das Standardargument für Datenschutz-Due-Diligence bei Unternehmenskäufen: Marriott haftete für ein Leck, das vor der Übernahme entstand. | Information Commissioner’s Office (ICO) Vereinigtes Königreich · Gastgewerbe & Tourismus | Datensicherheit Art. 32 DSGVO | 20.450.000 € bestandskräftig | |
| British Airways plc Angreifer leiteten Zahlungsdaten von rund 400.000 Kunden über eine manipulierte Skriptdatei um. Es fehlten Mehrfaktor-Authentifizierung, Netzsegmentierung und Angriffserkennung. Was danach geschahDie angekündigte Buße lag zunächst bei 183,4 Mio. £. Nach Anhörung und mit Blick auf die wirtschaftliche Lage in der Pandemie blieben 20 Mio. £ übrig — ein Lehrstück dazu, dass die angekündigte Zahl nicht die endgültige ist. | Information Commissioner’s Office (ICO) Vereinigtes Königreich · Verkehr & Logistik | Datensicherheit Art. 5 DSGVO, Art. 32 DSGVO | 22.046.000 € bestandskräftig | |
| H&M Hennes & Mauritz Online Shop A.B. & Co. KG Im Servicecenter Nürnberg wurden seit mindestens 2014 Notizen über Urlaube, Krankheiten, Familienverhältnisse und religiöse Überzeugungen mehrerer hundert Beschäftigter gesammelt und dauerhaft auf einem Netzlaufwerk gespeichert. Die Aufzeichnungen flossen in Personalentscheidungen ein. Was danach geschahAufgeflogen durch einen Konfigurationsfehler im Oktober 2019, durch den die Notizen für einige Stunden unternehmensweit lesbar waren. Bis zum Vodafone-Verfahren 2025 die höchste Geldbuße in Deutschland. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Handel & E-Commerce | Beschäftigtenüberwachung Art. 5 DSGVO, Art. 6 DSGVO | 35.258.708 € bestandskräftig | |
| Wind Tre S.p.A. Unerbetene Werbung per Anruf, SMS und App-Nachricht; Widersprüche wurden über Jahre nicht umgesetzt, und Vertriebspartner arbeiteten mit fragwürdigen Adresslisten. | Garante per la protezione dei dati personali Italien · Telekommunikation | Werbung ohne Einwilligung Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 24 DSGVO | 16.700.000 € bestandskräftig | |
| AOK Baden-Württemberg Daten aus Gewinnspielen wurden für Werbung genutzt, obwohl die Einwilligung dafür nicht vorlag. Die technischen und organisatorischen Maßnahmen reichten nicht aus, um das zu verhindern. Was danach geschahDie AOK stellte das Verfahren nach Bekanntwerden sofort um und richtete ein internes Kontrollsystem ein — die Aufsicht wertete das ausdrücklich mildernd. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 30.06.2020 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Gesundheitswesen | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 32 DSGVO | 1.240.000 € bestandskräftig | |
| TIM S.p.A. Millionen Werbeanrufe gingen an Personen, die nie eingewilligt oder ausdrücklich widersprochen hatten. Widerspruchslisten wurden nicht gepflegt. | Garante per la protezione dei dati personali Italien · Telekommunikation | Werbung ohne Einwilligung Art. 5 DSGVO, Art. 6 DSGVO, Art. 17 DSGVO, Art. 21 DSGVO | 27.800.000 € bestandskräftig | |
| Unternehmen (Name nicht veröffentlicht) anonymisiert Die technischen und organisatorischen Maßnahmen genügten nicht dem Risiko der Verarbeitung. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Industrie & Produktion | Datensicherheit Art. 32 DSGVO | 65.000 € bestandskräftig | |
| Clearview AI Inc. Das US-Unternehmen beantwortete ein Auskunftsverlangen der Hamburger Aufsicht zu seiner Gesichtserkennungs-Datenbank nicht. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Digitale Dienste | Mitwirkung gegenüber der Aufsicht Art. 58 DSGVO | 10.000 € bestandskräftig | |
| 1&1 Telecom GmbH In der telefonischen Kundenbetreuung genügten Name und Geburtsdatum, um Auskünfte zu einem Kundenkonto zu bekommen. Eine Anruferin erhielt so die neue Mobilfunknummer ihres Ex-Partners. Was danach geschahDas LG Bonn reduzierte die Buße am 11.11.2020 auf 900.000 € — die erste deutsche Gerichtsentscheidung, die ein DSGVO-Bußgeld deutlich zusammenstrich. | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Bund, Deutschland · Telekommunikation | Datensicherheit Art. 32 DSGVO | 900.000 € Bescheid: 9.550.000 € gerichtlich geändert | |
| Rapidata GmbH Das Unternehmen benannte trotz Aufforderung über längere Zeit keinen Datenschutzbeauftragten. | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Bund, Deutschland · Telekommunikation | Datenschutzbeauftragter Art. 37 DSGVO | 10.000 € bestandskräftig | |
| Krankenhaus (Name nicht veröffentlicht) anonymisiert Eine Patientenverwechslung bei der Aufnahme führte zu einer falschen Rechnungsstellung. Dahinter standen strukturelle Mängel im Patientenmanagement. | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI) Rheinland-Pfalz, Deutschland · Gesundheitswesen | Datensicherheit Art. 32 DSGVO | 105.000 € bestandskräftig | |
| Deutsche Wohnen SE Das Archivsystem für Mieterdaten sah schlicht keine Löschfunktion vor. Gehaltsbescheinigungen, Ausweiskopien und Kontoauszüge früherer Mieter blieben jahrelang gespeichert, ohne dass geprüft wurde, ob sie noch gebraucht werden. Was danach geschahDer bekannteste deutsche Bußgeldfall — und der Grund, warum das Bußgeldrecht heute anders aussieht. Das LG Berlin stellte 2021 zunächst ein, der EuGH entschied am 05.12.2023 (C-807/21), dass eine Geldbuße Verschulden voraussetzt. Am 09.06.2026 setzte das LG Berlin I (526 OWi LG 1/20) die Buße auf 900.000 € fest: Verschulden ja, aber Einführungsphase der DSGVO, externe Berater eingebunden, Nachweisprobleme aufseiten der Behörde. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Immobilienwirtschaft | Löschung & Speicherdauer Art. 5 DSGVO, Art. 6 DSGVO, Art. 25 DSGVO | 900.000 € Bescheid: 14.500.000 € gerichtlich geändert | |
| Lebensmittelunternehmen (Name nicht veröffentlicht) anonymisiert Personenbezogene Daten waren unzureichend gegen unbefugten Zugriff gesichert; die getroffenen Maßnahmen entsprachen nicht dem Stand der Technik. | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Gastgewerbe & Tourismus | Datensicherheit Art. 5 DSGVO, Art. 32 DSGVO | 100.000 € bestandskräftig | |
| Delivery Hero SE Konten ehemaliger Kunden wurden nicht gelöscht, Werbe-E-Mails trotz Widerspruch weiter verschickt, Auskunftsersuchen blieben unbeantwortet. Zehn Einzelverstöße in einem Bescheid. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Digitale Dienste | Betroffenenrechte Art. 15 DSGVO, Art. 17 DSGVO, Art. 21 DSGVO | 195.407 € bestandskräftig | |
| Unternehmen der Finanzbranche (Name nicht veröffentlicht) anonymisiert Durch einen internen Fehler wurden personenbezogene Daten im Internet zugänglich. Die Aufsicht bemängelte fehlende Schutzmaßnahmen und Kontrollen. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 12.04.2019 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Finanzen & Versicherung | Datensicherheit Art. 5 DSGVO, Art. 32 DSGVO | 80.000 € bestandskräftig | |
| N26 Bank GmbH Die Bank führte eine interne Liste ehemaliger Kunden weiter, um deren erneute Anmeldung zu verhindern — auch in Fällen, in denen dafür keine Rechtsgrundlage bestand. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Finanzen & Versicherung | Löschung & Speicherdauer Art. 6 DSGVO | 50.000 € bestandskräftig | |
| Google LLC Bei der Einrichtung eines Android-Geräts waren die Informationen zur personalisierten Werbung über mehrere Ebenen verstreut, und die Einwilligung war vorangekreuzt statt aktiv erteilt. Was danach geschahDie erste große DSGVO-Geldbuße in Europa. Der französische Staatsrat bestätigte sie 2020 in vollem Umfang. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Digitale Dienste | Informationspflichten Art. 5 DSGVO, Art. 6 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO | 50.000.000 € bestandskräftig | |
| Facebook Germany GmbH Die deutsche Gesellschaft verstieß gegen die Pflichten rund um die Benennung und Meldung des Datenschutzbeauftragten. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Digitale Dienste | Datenschutzbeauftragter Art. 37 DSGVO | 51.000 € bestandskräftig | |
| Hamburger Verkehrsverbund GmbH Eine Datenpanne wurde der Aufsichtsbehörde nicht fristgerecht gemeldet und die betroffenen Personen nicht ausreichend informiert. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Verkehr & Logistik | Meldepflicht bei Datenpannen Art. 33 DSGVO, Art. 34 DSGVO | 20.000 € bestandskräftig | |
| Kolibri Image (Regina und Dirk Maass GbR) Für den Versand von Newslettern wurde ein Dienstleister eingesetzt, ohne dass ein Auftragsverarbeitungsvertrag geschlossen war. Was danach geschahDer Klassiker für kleine Unternehmen: kein Datenleck, kein Schaden, nur ein fehlendes Dokument — und trotzdem ein Bußgeldbescheid. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Beratung & Dienstleistung | Auftragsverarbeitung Art. 28 DSGVO | 5.000 € bestandskräftig | |
| Knuddels.de Nach einem Hackerangriff stellte sich heraus, dass die Passwörter der Nutzer im Klartext gespeichert waren. Rund 330.000 Zugangsdaten wurden veröffentlicht. Was danach geschahDas erste DSGVO-Bußgeld in Deutschland. Der Betreiber meldete den Vorfall selbst und arbeitete umfassend mit — die Aufsicht sprach ausdrücklich von einer „vorbildlichen" Reaktion, die die Buße niedrig hielt. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 21.11.2018 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Digitale Dienste | Datensicherheit Art. 32 DSGVO | 20.000 € bestandskräftig |
Kein Fall passt zu dieser Kombination. Setzen Sie einen Filter zurück.
„Bescheid" nennt den ursprünglich von der Behörde festgesetzten Betrag, falls ein Gericht ihn später geändert hat. Der große Betrag ist immer der heute geltende.
Was die Fälle zusammen zeigen
Die Auswertungen beziehen sich immer auf den gesamten Datensatz, nicht auf Ihre Filterauswahl — sonst würde jeder Screenshot etwas anderes behaupten.
Bußgeldsumme je Jahr
Einzelne Großverfahren prägen ganze Jahrgänge. 2023 besteht fast vollständig aus der Meta-Entscheidung über 1,2 Mrd. €.
- 2018 25.000 € · 2 Fälle
- 2019 52.411.407 € · 11 Fälle
- 2020 123.569.708 € · 8 Fälle
- 2021 979.416.000 € · 7 Fälle
- 2022 448.497.900 € · 11 Fälle
- 2023 1.975.590.000 € · 7 Fälle
- 2024 1.053.261.880 € · 17 Fälle
- 2025 575.690.500 € · 5 Fälle
- 2026 158.800.000 € · 3 Fälle
Dieselben Zahlen als Tabelle
| Jahr | Fälle | Summe |
|---|---|---|
| 2018 | 2 | 25.000 € |
| 2019 | 11 | 52.411.407 € |
| 2020 | 8 | 123.569.708 € |
| 2021 | 7 | 979.416.000 € |
| 2022 | 11 | 448.497.900 € |
| 2023 | 7 | 1.975.590.000 € |
| 2024 | 17 | 1.053.261.880 € |
| 2025 | 5 | 575.690.500 € |
| 2026 | 3 | 158.800.000 € |
Häufigste Verstoßarten
Nach Fallzahl, nicht nach Summe. Die beiden Spitzenreiter sind genau die Punkte, die ein Datenschutzmanagement als Erstes klärt: Habe ich eine Rechtsgrundlage — und sind die Daten sicher?
- Rechtsgrundlage fehlt 17 Fälle
- Datensicherheit 15 Fälle
- Werbung ohne Einwilligung 5 Fälle
- Internationale Datenübermittlung 4 Fälle
- Informationspflichten 4 Fälle
- Beschäftigtenüberwachung 4 Fälle
- Löschung & Speicherdauer 4 Fälle
- Betroffenenrechte 4 Fälle
- Mitwirkung gegenüber der Aufsicht 4 Fälle
- Meldepflicht bei Datenpannen 3 Fälle
- Datenschutzbeauftragter 3 Fälle
- Auftragsverarbeitung 2 Fälle
- Automatisierte Entscheidungen 2 Fälle
Dieselben Zahlen als Tabelle
| Verstoßart | Fälle | Summe |
|---|---|---|
| Rechtsgrundlage fehlt | 17 | 2.306.196.800 € |
| Datensicherheit | 15 | 166.683.400 € |
| Werbung ohne Einwilligung | 5 | 124.510.000 € |
| Internationale Datenübermittlung | 4 | 2.120.000.000 € |
| Informationspflichten | 4 | 277.000.000 € |
| Beschäftigtenüberwachung | 4 | 36.448.708 € |
| Löschung & Speicherdauer | 4 | 27.966.000 € |
| Betroffenenrechte | 4 | 10.886.407 € |
| Mitwirkung gegenüber der Aufsicht | 4 | 162.080 € |
| Meldepflicht bei Datenpannen | 3 | 251.026.000 € |
| Datenschutzbeauftragter | 3 | 586.000 € |
| Auftragsverarbeitung | 2 | 45.005.000 € |
| Automatisierte Entscheidungen | 2 | 792.000 € |
Was man aus 71 Fällen wirklich lernen kann
Die erste Erkenntnis ist eine Ernüchterung: Das typische deutsche DSGVO-Bußgeld ist kein Millionenbetrag. Der Median der hier erfassten deutschen Fälle liegt bei 80.000 € — die eine Hälfte darunter, die andere darüber. Was die Statistik verzerrt, sind wenige Großverfahren: Allein das Vodafone-Verfahren des Bundesbeauftragten aus dem Juni 2025 macht mit 45.000.000 € rund die Hälfte der gesamten hier erfassten deutschen Bußgeldsumme aus.
Die zweite Erkenntnis betrifft die Gerichte. In 3 der erfassten Fälle hat ein Gericht die Höhe korrigiert — jedes Mal nach unten, und jedes Mal drastisch. Wer mit Bußgeldzahlen argumentiert, sollte deshalb wissen, ob er über einen Bescheid oder über eine rechtskräftige Entscheidung spricht. In dieser Datenbank steht beides nebeneinander. Wie sich die Beträge überhaupt zusammensetzen, zeigt der DSGVO-Bußgeldrechner, der den Rechenweg der Aufsichtsbehörden Schritt für Schritt offenlegt.
Die dritte Erkenntnis ist die praktisch wichtigste. Zählt man die Fälle nach Verstoßart, stehen nicht spektakuläre Hackerangriffe oben, sondern zwei Alltagsprobleme: eine fehlende Rechtsgrundlage und unzureichende Datensicherheit. Beide entstehen nicht durch böse Absicht, sondern durch fehlende Zuständigkeit — niemand hat geprüft, worauf sich eine Verarbeitung stützt, und niemand hat nachgehalten, ob die Schutzmaßnahmen noch passen. Genau das ist die Aufgabe eines externen Datenschutzbeauftragten; in Hamburg übernehmen wir sie vor Ort, bundesweit aus der Ferne. Einzelne Fälle greifen wir regelmäßig im Blog auf, die Entwicklung über die Jahre steht im Bußgeld-Spiegel 2026.
Diese Fälle auf Ihrer eigenen Website
Für Fachportale, Verbände, Kanzleien und Intranets gibt es ein kostenloses Widget: zwei Zeilen HTML, keine Anmeldung, keine Cookies, keine Tracking-Skripte. Es zeigt die aktuellen Fälle, lässt sich auf Bundesland und Branche eingrenzen und passt seine Höhe selbst an.
Widget einbettenZitieren: frag.hugo Bußgeld-Datenbank, Stand 2026-09-04, www.fraghugo.de/tools/bussgeld-datenbank/. Zahlen und Auswertungen dürfen mit Quellenangabe übernommen werden.
Häufige Fragen zur Bußgeld-Datenbank
Aus Pressemitteilungen und Tätigkeitsberichten der Aufsichtsbehörden, aus veröffentlichten Entscheidungen und aus Fachmedien, die einen Fall belegen. Jeder Eintrag verlinkt seine Quelle. Ohne belegbare Quelle nehmen wir einen Fall nicht auf — auch dann nicht, wenn er in anderen Übersichten steht.
Weil ein Gericht ihn gesenkt hat und wir den heute geltenden Betrag zeigen. Bei Deutsche Wohnen wurden aus 14,5 Mio. € am Ende 900.000 €, bei notebooksbilliger.de aus 10,4 Mio. € ebenfalls 900.000 €, bei 1&1 aus 9,55 Mio. € ebenfalls 900.000 €. Der Bescheid der Behörde steht jeweils daneben. Ranglisten, die nur den Erstbescheid zeigen, zeichnen ein deutlich zu hohes Bild vom deutschen Bußgeldniveau.
Weil die Behörde den Namen nicht veröffentlicht hat. In diesen Fällen steht die Art des Verantwortlichen — „Inkassodienstleister", „Arztpraxis", „Krankenhaus". Wir recherchieren Namen nicht nach: Ein Bußgeld ist eine Sanktion, keine Vorverurteilung, und die Aufsichtsbehörden haben für ihre Anonymisierung gute Gründe.
Deutlich niedriger, als die Schlagzeilen vermuten lassen. Der Median der 45 hier erfassten deutschen Fälle liegt bei 80.000 € — die Hälfte aller Bußgelder liegt also darunter. Die Millionenbeträge sind Ausreißer, keine Regel: Ein einzelner Fall (Vodafone, 45.000.000 €) macht rund die Hälfte der gesamten hier erfassten deutschen Bußgeldsumme aus.
Nach Fallzahl führen fehlende Rechtsgrundlage und unzureichende Datensicherheit. Nach Summe dominieren zwei Themen, die kleine Unternehmen kaum betreffen: internationale Datenübermittlung und Werbung ohne Einwilligung bei Plattformbetreibern. Für den Mittelstand sind die praktisch relevanten Kategorien Beschäftigtenüberwachung, Auskunfts- und Löschansprüche sowie fehlende Auftragsverarbeitungsverträge.
Ja. Zahlen und Auswertungen dürfen unter Nennung der Quelle „frag.hugo Bußgeld-Datenbank" mit Link auf diese Seite verwendet werden — für Presse, Vorträge, Schulungen und wissenschaftliche Arbeiten. Wer die Fälle laufend eingebettet zeigen möchte, nimmt das kostenlose Widget.
Anlassbezogen, sobald eine Aufsichtsbehörde einen nennenswerten Fall veröffentlicht oder ein Gericht eine Buße ändert. Der aktuelle Stand steht oben auf der Seite (2026-09-04). Neue Tätigkeitsberichte der Landesbehörden erscheinen üblicherweise zwischen März und Juni.
Die Datenbank zeigt, was verhängt wurde. Der Bußgeldrechner zeigt, wie gerechnet wird — nach dem Modell der Datenschutzkonferenz und den EDSA-Leitlinien 04/2022. Beides zusammen ergibt eine belastbare Einschätzung: das Modell für die Größenordnung, die Fälle für den Realitätsabgleich.
Weitere kostenlose Werkzeuge
Alle ohne Anmeldung, alle ohne Kosten.
- Subprozessor-Monitor Wir prüfen die Unterauftragsverarbeiter-Listen der großen Anbieter täglich und zeigen jede Änderung mit Datum. Öffnen
- DSGVO-Bußgeldrechner Schätzt den Bußgeldkorridor für Ihr Unternehmen — nach demselben Modell, mit dem deutsche Aufsichtsbehörden rechnen. Öffnen
- E-Mail-Sicherheitscheck Prüft in wenigen Sekunden, ob Fremde in Ihrem Namen E-Mails verschicken können. Öffnen
- KI-Risikoklassen-Check Ordnet Ihren KI-Einsatz in die vier Risikoklassen der EU-KI-Verordnung ein und nennt die Pflichten mit Frist. Öffnen
Werkzeuge zeigen Lücken. Schließen muss sie jemand.
Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.
