DSGVO-Bußgeld-Datenbank: alle Fälle mit Quelle
101 belegte Fälle von 2018 bis 2026, 62 davon aus Deutschland. Jeder Eintrag mit Quelle — und mit dem Betrag, der nach Gerichtsentscheidung tatsächlich gilt.
- Fälle, 62 aus Deutschland
- 101 Fälle, 62 aus Deutschland
- Median der deutschen Bußgelder
- 62.500 € Median der deutschen Bußgelder
- höchstes deutsches Bußgeld (Vodafone GmbH)
- 45.000.000 € höchstes deutsches Bußgeld (Vodafone GmbH)
- Fälle von Gerichten korrigiert
- 3 Fälle von Gerichten korrigiert
In 30 Sekunden
- Das typische deutsche DSGVO-Bußgeld liegt bei 62.500 € (Median aus 62 Fällen) — nicht bei Millionen.
- Am häufigsten geahndet: Datensicherheit, Beschäftigtenüberwachung, Rechtsgrundlage fehlt.
- Jeder Fall mit Primärquelle; 32 neu in den letzten 90 Tagen. Zur Auswertung
101 Fälle
Summe: 6.935.620.276 €
Median: 525.000 €
| Datum | Fall | Behörde | Verstoß | Betrag |
|---|---|---|---|---|
| Xandr Inc. (Microsoft) Die Werbeplattform Xandr verarbeitete beim Echtzeit-Bieten Daten von Grindr-Nutzern, die auf die sexuelle Orientierung schließen lassen, ohne gültige ausdrückliche Einwilligung. Als gemeinsam Verantwortliche hätte Xandr die Einwilligung selbst prüfen müssen. Was danach geschahUrsprünglich angesetzt bzw. Originalwährung: 92 Mio. NOK. | Datatilsynet Norwegen · Digitale Dienste | Rechtsgrundlage fehlt Art. 6 DSGVO, Art. 9 DSGVO | 8.600.000 € Rechtsmittel offen | |
| IQVIA Solutions Italy S.r.l. IQVIA betrieb eine Datenbank mit Gesundheitsdaten von rund einer Million Patienten aus 800 Hausarztpraxen, die nicht wie behauptet anonym war, und nutzte sie u. a. für Studien im Auftrag der Pharmaindustrie. Es fehlten Rechtsgrundlage, Information der Patienten, Speicherfristen, Folgenabschätzung und angemessene Sicherheit. | Garante per la protezione dei dati personali Italien · Gesundheitswesen | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 9 DSGVO, Art. 13 DSGVO, Art. 25 DSGVO, Art. 28 DSGVO, Art. 35 DSGVO | 7.000.000 € Rechtsmittel offen | |
| Google Ireland Limited Google verarbeitete Standortdaten in den Funktionen „Web- & App-Aktivitäten“, „Standortverlauf“ und „Standortgenauigkeit“ zwischen 2018 und 2020 ohne rechtmäßige Grundlage, intransparent und speicherte sie zu lange. Das Verfahren ging auf Beschwerden europäischer Verbraucherverbände (u. a. BEUC) zurück. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO | 403.000.000 € Rechtsmittel offen | |
| Uber B.V. Uber sperrte Fahrerkonten bei Betrugsverdacht oder schlechten Kundenbewertungen vollautomatisch, teils dauerhaft, ohne menschliche Prüfung, und informierte die Fahrer nicht ausreichend darüber. Auslöser waren Beschwerden von 171 französischen Fahrern über die CNIL. Was danach geschahUber hat Rechtsmittel eingelegt. Quelle: Autoriteit Persoonsgegevens, Pressemitteilung vom 21.08.2026 | Autoriteit Persoonsgegevens (AP) Niederlande · Verkehr & Logistik | Automatisierte Entscheidungen Art. 22 DSGVO, Art. 13 DSGVO | 824.990.000 € Rechtsmittel offen | |
| Banco Bilbao Vizcaya Argentaria, S.A., Niederlassung Italien (BBVA) Ein Kunde widersprach in der App und beim Kundenservice der Direktwerbung, erhielt wegen eines Synchronisationsfehlers aber sieben Monate lang weiter Werbemitteilungen in der App. Die Bank durfte den Widerspruch nicht auf einen bevorzugten Kanal verweisen. Was danach geschahGenauer Betrag laut EDSA-Meldung 5.508.000 €. | Garante per la protezione dei dati personali Italien · Finanzen & Versicherung | Betroffenenrechte Art. 5 DSGVO, Art. 12 DSGVO, Art. 21 DSGVO, Art. 24 DSGVO | 5.508.000 € Rechtsmittel offen | |
| IQVIA Operations France IQVIA hielt sich bei zwei Gesundheitsdatenlagern, gespeist aus rund 14.000 Apotheken und tausenden Arztpraxen, nicht an die Auflagen der CNIL-Genehmigungen, insbesondere bei der Information der Patienten und der Ausübung ihrer Rechte. Was danach geschahArtikelangaben aus der Pressemitteilung abgeleitet; die Beschlussfassung nennt die Einzelnormen. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Gesundheitswesen | Informationspflichten Art. 9 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO | 5.000.000 € Rechtsmittel offen | |
| Ridetech International B.V. (Yango) Der Fahrdienst übermittelte Daten seiner Fahrgäste ohne ausreichende Garantien in ein Drittland und legte die Übermittlung nicht offen. | Autoriteit Persoonsgegevens (AP) Niederlande · Verkehr & Logistik | Internationale Datenübermittlung Art. 5 DSGVO, Art. 44 DSGVO, Art. 46 DSGVO | 100.000.000 € Rechtsmittel offen | |
| Intesa Sanpaolo S.p.A. Unbefugte Zugriffe von Beschäftigten auf Kundenkonten blieben lange unentdeckt. Die Aufsicht bemängelte fehlende Zugriffskontrollen und die Aufarbeitung des Vorfalls. Was danach geschahEin Gericht in Turin hat die Vollstreckung am 13.07.2026 ausgesetzt; der Garante hat die Entscheidung von seiner Website genommen. Das Rechtsmittel läuft. | Garante per la protezione dei dati personali Italien · Finanzen & Versicherung | Datensicherheit Art. 5 DSGVO, Art. 24 DSGVO, Art. 32 DSGVO, Art. 33 DSGVO | 31.800.000 € Rechtsmittel offen | |
| Überregional tätiger Automobilhändler (Name nicht veröffentlicht) anonymisiert Kopien von Personalausweisen und Führerscheinen sowie Probefahrtverträge landeten im normalen Papiermüll und fielen bei der Abfuhr auf die Straße. Die Zwischenlagerung von Datenmüll in offenen Behältern an den Arbeitsplätzen war keine ausreichende organisatorische Maßnahme. Was danach geschahBußgeld wegen Kooperation reduziert. Datum = Veröffentlichung des Tätigkeitsberichts (Bescheiddatum nicht genannt). Quelle: LfDI Baden-Württemberg, 41. Tätigkeitsbericht Datenschutz 2025, Kap. 6.5, S. 154 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Handel & E-Commerce | Datensicherheit Art. 5 Abs. 1 lit. f DSGVO, Art. 32 DSGVO | 120.000 € Rechtsmittel offen | |
| France Travail Angreifer kaperten per Social Engineering Konten von Cap-Emploi-Beratern und griffen auf Daten aller in den letzten 20 Jahren registrierten Arbeitsuchenden zu, u. a. Sozialversicherungsnummern. Authentifizierung, Protokollierung und Berechtigungskonzept waren unzureichend. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Öffentlicher Sektor | Datensicherheit Art. 32 DSGVO | 5.000.000 € Rechtsmittel offen | |
| Free Mobile S.A.S. Kundendaten wurden weit über die erforderliche Dauer aufbewahrt, und die Sicherheitsmaßnahmen entsprachen nicht dem Stand der Technik. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Telekommunikation | Löschung & Speicherdauer Art. 5 DSGVO, Art. 32 DSGVO | 27.000.000 € Rechtsmittel offen | |
| Free S.A.S. Bei einem Angriff im Oktober 2024 griff ein Täter auf Daten zu 24 Millionen Abonnementverträgen zu, teils mit IBAN. Free hatte u. a. keinen ausreichend robusten VPN-Zugang und keine wirksame Erkennung auffälliger Aktivitäten; die Benachrichtigung der Betroffenen war unvollständig. Was danach geschahSchwesterverfahren zu Free Mobile (27 Mio. €) ist bereits im Bestand. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Telekommunikation | Datensicherheit Art. 32 DSGVO, Art. 34 DSGVO | 15.000.000 € Rechtsmittel offen | |
| Telekommunikationsunternehmen aus NRW (Name nicht veröffentlicht) anonymisiert Das Unternehmen verschickte fast zwei Jahre lang personalisierte Werbeschreiben an Personen ohne Kundenbeziehung, ohne Informationspflichten zu erfüllen, und beantwortete hunderte Auskunfts-, Löschungs- und Widerspruchsanträge nicht. Im November 2025 setzte die LDI NRW zwei Geldbußen über 100.000 und 200.000 Euro fest. Was danach geschahDas Unternehmen hat Einspruch gegen den Bußgeldbescheid eingelegt. Quelle: LDI NRW, 31. Bericht 2026 (Berichtsjahr 2025), Kap. 9.1, S. 67 f. | Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) Nordrhein-Westfalen, Deutschland · Telekommunikation | Betroffenenrechte Art. 5 Abs. 2 DSGVO, Art. 15 DSGVO, Art. 17 DSGVO, Art. 21 DSGVO, Art. 30 DSGVO | 300.000 € Rechtsmittel offen | |
| Finanzdienstleister (Name nicht veröffentlicht) anonymisiert Kreditkartenanträge mehrerer Kundinnen und Kunden wurden automatisiert abgelehnt. Auf Nachfrage erklärte das Unternehmen die dahinterliegende Logik nicht ausreichend. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Finanzen & Versicherung | Automatisierte Entscheidungen Art. 15 DSGVO, Art. 22 DSGVO | 492.000 € bestandskräftig | |
| Handelsunternehmen (Name nicht veröffentlicht) anonymisiert Das Unternehmen ließ Postwerbung von einem externen Dienstleister ausspielen und reagierte auf Betroffenenanfragen dazu nicht innerhalb der Fristen. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Handel & E-Commerce | Betroffenenrechte Art. 12 DSGVO, Art. 21 DSGVO | 195.000 € bestandskräftig | |
| ING Bank Śląski S.A. Die Bank scannte von 2019 bis 2020 pauschal Personalausweise von Kunden und Interessenten, auch wo das Geldwäschegesetz dies nicht verlangte (etwa bei Reklamationen), ohne Einzelfallprüfung. Was danach geschahUrsprünglich angesetzt bzw. Originalwährung: 18.416.400 PLN. Quelle: EDSA, National News vom 25.09.2025 (UODO-Entscheidung vom 23.07.2025) | Prezes Urzędu Ochrony Danych Osobowych (UODO) Polen · Finanzen & Versicherung | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO | 4.375.273 € Rechtsmittel offen | |
| McDonald’s Polska sp. z o.o. Ein Dienstleister verwaltete für McDonald’s die Dienstpläne; durch fehlende Risikoanalyse und Kontrolle des Auftragsverarbeiters lagen Mitarbeiterdaten samt PESEL- und Passnummern in einem öffentlich zugänglichen Verzeichnis. Der Auftragsverarbeiter erhielt zusätzlich 43.680 €. Was danach geschahUrsprünglich angesetzt bzw. Originalwährung: 16.932.657 PLN. Quelle: EDSA, National News vom 25.09.2025 (UODO-Entscheidung vom 23.06.2025) | Prezes Urzędu Ochrony Danych Osobowych (UODO) Polen · Gastgewerbe & Tourismus | Auftragsverarbeitung Art. 5 DSGVO, Art. 24 DSGVO, Art. 25 DSGVO, Art. 28 DSGVO, Art. 32 DSGVO, Art. 34 DSGVO, Art. 38 DSGVO | 4.022.773 € Rechtsmittel offen | |
| Vodafone GmbH Zwei Geldbußen: 15 Mio. € dafür, dass Partneragenturen nicht ausreichend geprüft und überwacht wurden — Mitarbeitende dort hatten Verträge zulasten von Kunden fingiert. Weitere 30 Mio. € für Schwachstellen bei der Authentifizierung zwischen dem Portal „MeinVodafone" und der Hotline, über die Dritte eSIM-Profile abrufen konnten. Was danach geschahHöchste je von der Bundesbehörde verhängte Geldbuße. Vodafone hat sie akzeptiert und vollständig gezahlt; die BfDI kündigte eine Folgekontrolle an. Die durchgehende Kooperation des Unternehmens wurde ausdrücklich mildernd gewertet. | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Bund, Deutschland · Telekommunikation | Auftragsverarbeitung Art. 28 DSGVO, Art. 32 DSGVO | 45.000.000 € bestandskräftig | |
| TikTok Technology Limited Daten europäischer Nutzer waren aus China zugänglich, ohne dass ein gleichwertiges Schutzniveau nachgewiesen wurde. Zusätzlich waren die Angaben zu diesen Übermittlungen unvollständig. | Data Protection Commission (DPC) Irland · Digitale Dienste | Internationale Datenübermittlung Art. 13 DSGVO, Art. 46 DSGVO | 530.000.000 € Rechtsmittel offen | |
| Luka Inc. (Replika) Der KI-Chatbot „Replika“ verarbeitete Nutzerdaten ohne festgelegte Rechtsgrundlage, mit mangelhafter Datenschutzerklärung und ohne Altersprüfung, obwohl Minderjährige ausgeschlossen sein sollten. Was danach geschahGegen den Bescheid läuft ein Einspruchsverfahren. | Garante per la protezione dei dati personali Italien · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 24 DSGVO, Art. 25 DSGVO | 5.000.000 € Rechtsmittel offen | |
| Polizeibeamter (Name nicht veröffentlicht) anonymisiert Ein Beamter rief für private Zwecke Daten aus polizeilichen Systemen ab. Solche Fälle machen einen erheblichen Teil aller deutschen Bußgeldverfahren aus. | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Öffentlicher Sektor | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO | 3.500 € bestandskräftig | |
| Amadeus IT Group, S.A. Amadeus nutzte in einem Pilotprojekt Buchungsdaten (PNR) von Reisenden aus seinem Reservierungssystem, um sie mit Daten von Hotelketten abzugleichen und Reisende zu profilieren, ohne Rechtsgrundlage und ohne die Betroffenen zu informieren. Die AEPD setzte je 9 Mio. € für beide Verstöße an; Amadeus zahlte freiwillig mit 20 % Abschlag. Was danach geschahZahlung am 29.05.2025 ohne Anerkennung der Verantwortung; Amadeus kündigte eine Klage an. Ursprünglich angesetzt bzw. Originalwährung: 18.000.000 € (vor 20 % Abschlag für freiwillige Zahlung). | Agencia Española de Protección de Datos (AEPD) Spanien · Verkehr & Logistik | Rechtsgrundlage fehlt Art. 6 DSGVO, Art. 14 DSGVO | 14.400.000 € Rechtsmittel offen | |
| Kreditinstitut (Name nicht veröffentlicht) anonymisiert Das Kreditinstitut bildete aus Zahlungs-, Stamm- und Wohnumfelddaten aktiver Kundinnen und Kunden Profile für gezielte Werbung (Smart-Data-Verfahren). Ein berechtigtes Interesse lag nicht vor, weil Kunden mit solchen Auswertungen nicht rechnen mussten. Was danach geschahNicht rechtskräftig; eine Verständigung mit dem Institut war gescheitert. Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 81 | Landesbeauftragter für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Finanzen & Versicherung | Rechtsgrundlage fehlt Art. 6 Abs. 1 lit. f DSGVO | 485.000 € Rechtsmittel offen | |
| Telekommunikationsdiensteanbieter (Name nicht veröffentlicht) anonymisiert Der Anbieter beantwortete in vielen Fällen Auskunftsersuchen nicht oder unvollständig, insbesondere ohne Angabe der Datenherkunft. Die BfDI ahndete zunächst 22 Verstöße mit Einzelbußen zwischen 7.500 und 20.000 Euro. Was danach geschahDas Unternehmen hat Einspruch eingelegt; die BfDI hat den Fall zur Durchführung eines gerichtlichen Bußgeldverfahrens abgegeben. Quelle: BfDI, 34. Tätigkeitsbericht 2025 (BT-Drs. 21/5950), Nr. 7.2, S. 37 | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Bund, Deutschland · Telekommunikation | Betroffenenrechte Art. 15 DSGVO | 177.500 € Rechtsmittel offen | |
| Unternehmen der Kreuzfahrt- und Tourismusbranche (Name nicht veröffentlicht) anonymisiert Wegen eines Fehlers in der Kundendatenpflege erhielten über 5.000 Personen Werbung, obwohl sie widersprochen hatten. Einem Beschwerdeführer antwortete das Unternehmen zudem nicht fristgerecht auf seinen Widerspruch. Was danach geschahIm selben Verfahren zusätzlich 5.000 € wegen der fehlenden Rückmeldung auf den Widerspruch (Art. 12 Abs. 3 DSGVO). Bescheid rechtskräftig. Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 35 f. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Gastgewerbe & Tourismus | Betroffenenrechte Art. 12 Abs. 3 DSGVO, Art. 21 Abs. 2 DSGVO, Art. 21 Abs. 3 DSGVO | 70.000 € bestandskräftig | |
| Kreisverband einer Partei (Name nicht veröffentlicht) anonymisiert Der Kreisverband nutzte im Bundestagswahlkampf 2021 Meldedaten für Testimonial-Briefe, die den tatsächlichen Absender verschleierten und keine Datenschutzinformationen enthielten. Die Daten gingen zudem ohne Auftragsverarbeitungsvertrag an einen Druck- und Versanddienstleister. Was danach geschahSechs Geldbußen in einem Verfahren; der Kreisverband hatte Einspruch eingelegt. Rechtskraft nennt der Bericht nicht. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Öffentlicher Sektor | Informationspflichten Art. 5 Abs. 1 lit. a DSGVO, Art. 14 DSGVO, Art. 28 Abs. 3 DSGVO | 65.000 € Rechtsmittel offen | |
| Unternehmen im Umfeld eines Fahrzeugverkaufs (Name nicht veröffentlicht) anonymisiert Das Unternehmen beantwortete das Auskunftsersuchen einer Kundin nicht und befolgte auch bestandskräftige Anweisungen des BayLDA trotz wiederholter Zwangsgelder nicht. Was danach geschahZwei Geldbußen in einem Verfahren; zuvor waren mehrfach Zwangsgelder angedroht und teils gezahlt worden. | Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Bayern, Deutschland · Beratung & Dienstleistung | Betroffenenrechte Art. 15 DSGVO, Art. 58 Abs. 2 DSGVO | 50.000 € Rechtsmittel offen | |
| Logistikunternehmen (Name nicht veröffentlicht) anonymisiert Das Unternehmen überwachte einzelne Arbeitsbereiche seiner Beschäftigten per Video ohne Rechtsgrundlage. Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82 | Landesbeauftragter für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Verkehr & Logistik | Beschäftigtenüberwachung Art. 6 DSGVO | 46.500 € Rechtsmittel offen | |
| Fleischverarbeitendes Unternehmen (Name nicht veröffentlicht) anonymisiert Ein fleischverarbeitender Betrieb überwachte seine Beschäftigten per Video ohne Rechtsgrundlage. Was danach geschahNicht rechtskräftig. Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82 | Landesbeauftragter für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Industrie & Produktion | Beschäftigtenüberwachung Art. 6 DSGVO | 29.000 € Rechtsmittel offen | |
| Anbieter von Apps und Online-Diensten für die Gastronomie (Name nicht veröffentlicht) anonymisiert Über eine einfach veränderbare Kennung in der URL ließen sich Bestellhistorien fremder Kundinnen und Kunden abrufen; der Auftragsverarbeiter kam zudem seiner Meldepflicht nicht vollständig nach. Es war die erste hessische Geldbuße gegen einen Auftragsverarbeiter. Was danach geschahZwei Geldbußen zu je 10.000 € in einem Bescheid; rechtskräftig. Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 40 | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Digitale Dienste | Datensicherheit Art. 32 Abs. 1 DSGVO, Art. 33 Abs. 2 DSGVO | 20.000 € bestandskräftig | |
| Inhaber einer Gastwirtschaft (Name nicht veröffentlicht) anonymisiert Der Inhaber einer Gastwirtschaft überwachte Beschäftigte sowie Gäste per Video und arbeitete nicht mit der Aufsichtsbehörde zusammen. Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82 | Landesbeauftragter für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Gastgewerbe & Tourismus | Beschäftigtenüberwachung Art. 6 DSGVO, Art. 31 DSGVO | 14.200 € Rechtsmittel offen | |
| Tankstellenbetreiber (Name nicht veröffentlicht) anonymisiert Ein Tankstellenbetreiber überwachte per Video neben öffentlichen Verkehrsflächen auch die Arbeitsbereiche seiner Beschäftigten. Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82 | Landesbeauftragter für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Handel & E-Commerce | Beschäftigtenüberwachung Art. 6 DSGVO | 11.200 € Rechtsmittel offen | |
| Unternehmen der Modebranche (Name nicht veröffentlicht) anonymisiert Das Unternehmen reagierte über fünf Monate weder auf Anfragen noch auf Anweisungen der Aufsicht zu Werbewiderspruch und Auskunft, bis Zwangsgelder festgesetzt wurden. Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 37 | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Handel & E-Commerce | Mitwirkung gegenüber der Aufsicht Art. 31 DSGVO | 10.000 € Rechtsmittel offen | |
| Unternehmen der digitalen Parkraumüberwachung (Name nicht veröffentlicht) anonymisiert Das Unternehmen erläuterte seine Datenverarbeitung rund 1,5 Jahre lang nicht ausreichend, legte Unterlagen nicht vor und beantwortete Anfragen der Aufsicht nur unvollständig. Was danach geschahGegen dasselbe und ein weiteres Unternehmen der Branche ergingen zusätzlich Geldbußen von 7.000 € und 5.000 € wegen vorzeitiger Datenlöschung (Art. 5 Abs. 2 DSGVO); die Zuordnung nennt der Bericht nicht. Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 38 f. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Verkehr & Logistik | Mitwirkung gegenüber der Aufsicht Art. 31 DSGVO | 10.000 € Rechtsmittel offen | |
| Gastronomiebetrieb (Name nicht veröffentlicht) anonymisiert Ein Gastronomiebetrieb überwachte Gastraum, Küche, Außensitze und eine angrenzende Fußgängerpassage mit zahlreichen Kameras und speicherte die Aufnahmen mindestens 48 Stunden. Quelle: SDTB, Tätigkeitsbericht Datenschutz 2025, Kap. 6, S. 206 | Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) Sachsen, Deutschland · Gastgewerbe & Tourismus | Beschäftigtenüberwachung Art. 6 DSGVO | 7.500 € Rechtsmittel offen | |
| Inhaber einer Gastwirtschaft (Name nicht veröffentlicht) anonymisiert Der Inhaber einer Gastwirtschaft verweigerte die Zusammenarbeit mit der Aufsichtsbehörde, obwohl bereits mehrere Zwangsgelder bestandskräftig festgesetzt worden waren. Quelle: LfD Niedersachsen, Tätigkeitsbericht 2025, Kap. F, S. 82 | Landesbeauftragter für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Gastgewerbe & Tourismus | Mitwirkung gegenüber der Aufsicht Art. 31 DSGVO | 7.400 € Rechtsmittel offen | |
| Betreiber einer Vergleichsplattform für ärztliche Leistungen (Name nicht veröffentlicht) anonymisiert Das Unternehmen beantwortete Anfragen der Aufsicht zu einer Auskunftsbeschwerde verspätet, unklar und unvollständig und ließ eine verlängerte Frist ungenutzt. Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 38 | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Gesundheitswesen | Mitwirkung gegenüber der Aufsicht Art. 31 DSGVO | 5.000 € Rechtsmittel offen | |
| Rechtsanwalt (Strafverteidiger, Name nicht veröffentlicht) anonymisiert Ein Strafverteidiger zeigte in einem Instagram-Werbevideo ungeschwärzte Strafakten, aus denen Daten von mindestens 20 Personen lesbar waren. Es war die erste Geldbuße des HBDI gegen einen Rechtsanwalt. Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 41 | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Beratung & Dienstleistung | Rechtsgrundlage fehlt Art. 5 Abs. 1 lit. a DSGVO, Art. 6 Abs. 1 DSGVO, Art. 10 DSGVO | 4.000 € Rechtsmittel offen | |
| IT-Kleinstunternehmen als Unterauftragsverarbeiter eines Laborbetreibers (Name nicht veröffentlicht) anonymisiert Wegen einer Sicherheitslücke in einer Online-Lösung zum Abruf von Corona-Testergebnissen waren einzelne Ergebnisse teilweise ohne Passwort abrufbar; unautorisierte Zugriffe wurden festgestellt. Quelle: HBDI, 54. Tätigkeitsbericht Datenschutz 2025, Kap. 3, S. 40 | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Digitale Dienste | Datensicherheit Art. 5 Abs. 1 lit. f DSGVO, Art. 32 Abs. 1 lit. b DSGVO | 3.000 € Rechtsmittel offen | |
| Meta Platforms Ireland Limited Bei der Datenpanne von 2018 („View As") konnten Angreifer Zugriffstoken von rund 29 Mio. Konten erbeuten. Die Meldung an die Aufsicht war unvollständig, und der Datenschutz durch Technikgestaltung griff nicht. | Data Protection Commission (DPC) Irland · Digitale Dienste | Meldepflicht bei Datenpannen Art. 25 DSGVO, Art. 33 DSGVO | 251.000.000 € Rechtsmittel offen | |
| Inkassodienstleister (Name nicht veröffentlicht) anonymisiert Ergebnis einer branchenweiten Schwerpunktprüfung im Forderungsmanagement: Der Dienstleister verarbeitete Schuldnerdaten ohne tragfähige Rechtsgrundlage. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Finanzen & Versicherung | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO | 900.000 € bestandskräftig | |
| LinkedIn Ireland Unlimited Company Für verhaltensbasierte Werbung und Analysen fehlte eine tragfähige Rechtsgrundlage; weder Einwilligung noch berechtigtes Interesse trugen die Verarbeitung. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO | 310.000.000 € Rechtsmittel offen | |
| Meta Platforms Ireland Limited Passwörter von Nutzern wurden über Jahre im Klartext in internen Systemen gespeichert. Derselbe Fehler, der 2018 Knuddels.de 20.000 € gekostet hatte — nur in anderer Größenordnung. | Data Protection Commission (DPC) Irland · Digitale Dienste | Datensicherheit Art. 5 DSGVO, Art. 32 DSGVO, Art. 33 DSGVO | 91.000.000 € Rechtsmittel offen | |
| Uber Technologies Inc. / Uber B.V. Daten europäischer Fahrerinnen und Fahrer — darunter Ausweisdokumente, Standortdaten und in Einzelfällen Gesundheitsdaten — wurden über zwei Jahre ohne geeignete Garantien auf US-Server übertragen. Quelle: Autoriteit Persoonsgegevens, Pressemitteilung vom 26.08.2024 | Autoriteit Persoonsgegevens (AP) Niederlande · Verkehr & Logistik | Internationale Datenübermittlung Art. 44 DSGVO | 290.000.000 € Rechtsmittel offen | |
| Clearview AI Inc. Aus dem Internet gesammelte Gesichtsbilder wurden zu biometrischen Profilen verarbeitet und als Suchdienst verkauft — ohne Rechtsgrundlage und ohne Wissen der Betroffenen. Was danach geschahVier europäische Behörden haben Clearview AI unabhängig voneinander mit zusammen über 90 Mio. € belegt (Italien und Griechenland je 20 Mio. €, Frankreich 20 Mio. €). Gezahlt wurde bislang nichts. | Autoriteit Persoonsgegevens (AP) Niederlande · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO | 30.500.000 € Rechtsmittel offen | |
| Enel Energia S.p.A. Unerlaubtes Telemarketing über ein Netz von Vertriebspartnern, deren Datenquellen der Konzern nicht kontrollierte. Die Aufsicht bemängelte fehlende Steuerung der Auftragsverarbeiter. | Garante per la protezione dei dati personali Italien · Energie & Versorgung | Werbung ohne Einwilligung Art. 5 DSGVO, Art. 24 DSGVO, Art. 32 DSGVO | 79.107.101 € Rechtsmittel offen | |
| Großes Unternehmen der Finanzbranche (Name nicht veröffentlicht) anonymisiert Auskünfte an Betroffene kamen wiederholt zu spät, sensible Kundenunterlagen gingen an falsche Empfänger, und Kunden wurden ohne Einwilligung telefonisch beworben. Was danach geschahErstes prominentes deutsches Settlement-Verfahren: Das Unternehmen räumte die Verstöße ein und erhielt dafür einen bußgeldmindernden Abschlag. Der Bescheid wurde rechtskräftig. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Finanzen & Versicherung | Betroffenenrechte Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 15 DSGVO | 496.000 € bestandskräftig | |
| Unternehmen (Name nicht veröffentlicht) anonymisiert Das Unternehmen wirkte trotz mehrfacher Aufforderung nicht an der Aufklärung mit. Fehlende Mitwirkung ist nach Art. 31 DSGVO ein eigenständiger, bußgeldbewehrter Verstoß. Quelle: Sächsischer Datenschutzbeauftragter, Tätigkeitsbericht 2024 | Sächsischer Datenschutzbeauftragter Sachsen, Deutschland · Beratung & Dienstleistung | Mitwirkung gegenüber der Aufsicht Art. 31 DSGVO | 120.000 € bestandskräftig | |
| Unternehmen im Gesundheitsbereich (Name nicht veröffentlicht) anonymisiert Unzureichende technische und organisatorische Maßnahmen im Umgang mit Gesundheitsdaten. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Gesundheitswesen | Datensicherheit Art. 32 DSGVO | 60.000 € bestandskräftig | |
| Logistikunternehmen (Name nicht veröffentlicht) anonymisiert Listen mit Daten von Zustellern wurden nicht ordnungsgemäß entsorgt. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Verkehr & Logistik | Datensicherheit Art. 32 DSGVO | 32.000 € bestandskräftig | |
| Unternehmen (Name nicht veröffentlicht) anonymisiert Auch hier: keine Mitwirkung an der Aufklärung trotz förmlicher Aufforderung. Quelle: Sächsischer Datenschutzbeauftragter, Tätigkeitsbericht 2024 | Sächsischer Datenschutzbeauftragter Sachsen, Deutschland · Beratung & Dienstleistung | Mitwirkung gegenüber der Aufsicht Art. 31 DSGVO | 22.080 € bestandskräftig | |
| IT-Unternehmen (Name nicht veröffentlicht) anonymisiert Für eine einmalige Kaltakquise-Kampagne wurden über 2.700 Personen angeschrieben, deren Adressen aus öffentlich zugänglichen Quellen zusammengeführt worden waren. Eine Einwilligung lag nicht vor, und die Voraussetzungen des § 7 Abs. 2 UWG waren nicht erfüllt. Was danach geschahLehrreich an zwei Stellen: Die Behörde rechnete ausdrücklich nach den EDSA-Leitlinien 04/2022 und rechnete dem Verantwortlichen das Handeln seines Auftragsverarbeiters zu — unter Verweis auf EuGH C-683/21. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Digitale Dienste | Werbung ohne Einwilligung Art. 6 DSGVO, Art. 7 DSGVO | 10.000 € bestandskräftig | |
| Freiberuflicher Websitebetreiber (Name nicht veröffentlicht) anonymisiert Auf der Website fehlten die Pflichtinformationen nach Art. 13 DSGVO. Der Betreiber ignorierte anschließend eine förmliche Anweisung der Aufsichtsbehörde. Was danach geschahZusätzlich zur Geldbuße wurden Zwangsgelder von insgesamt 6.000 € festgesetzt. Der Bescheid ist rechtskräftig. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Beratung & Dienstleistung | Mitwirkung gegenüber der Aufsicht Art. 13 DSGVO, Art. 31 DSGVO, Art. 58 DSGVO | 10.000 € bestandskräftig | |
| Onlinehändler (Name nicht veröffentlicht) anonymisiert Eine Verletzung des Schutzes personenbezogener Daten wurde nicht fristgerecht gemeldet. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Handel & E-Commerce | Meldepflicht bei Datenpannen Art. 33 DSGVO | 6.000 € bestandskräftig | |
| Arztpraxis (Name nicht veröffentlicht) anonymisiert Die Praxis antwortete öffentlich auf negative Google-Bewertungen und gab dabei Patientendaten preis. Was danach geschahEin Fall für die Größenordnung am unteren Ende: Auch eine kleine Praxis zahlt — nur eben vierstellig, weil das Modell am Umsatz ansetzt. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Gesundheitswesen | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO | 3.300 € bestandskräftig | |
| Arztpraxis (Name nicht veröffentlicht) anonymisiert Patientendaten waren in der Praxis unzureichend gegen unbefugten Zugriff gesichert. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Gesundheitswesen | Datensicherheit Art. 5 DSGVO, Art. 6 DSGVO, Art. 32 DSGVO | 2.500 € bestandskräftig | |
| TikTok Technology Limited Konten von Kindern waren voreingestellt öffentlich, und die Funktion „Family Pairing" erlaubte Erwachsenen Einstellungen, die für Minderjährige riskant waren. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 12 DSGVO, Art. 25 DSGVO | 345.000.000 € Rechtsmittel offen | |
| Criteo S.A. Das Werbenetzwerk konnte für seine Retargeting-Profile keinen Nachweis wirksamer Einwilligungen vorlegen und informierte die Betroffenen unzureichend. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Digitale Dienste | Rechtsgrundlage fehlt Art. 7 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 15 DSGVO | 40.000.000 € bestandskräftig | |
| Deutsche Kreditbank AG Ein Kreditkartenantrag wurde automatisiert abgelehnt. Auf die Frage nach den Gründen bekam der Antragsteller nur allgemeine Textbausteine — nicht die Logik der Entscheidung. Was danach geschahDie Pressemitteilung der Behörde trägt den Titel „Computer sagt nein". Der Fall ist der deutsche Referenzfall zu Art. 22 DSGVO. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Finanzen & Versicherung | Automatisierte Entscheidungen Art. 5 DSGVO, Art. 15 DSGVO, Art. 22 DSGVO | 300.000 € bestandskräftig | |
| Meta Platforms Ireland Limited Facebook-Nutzerdaten wurden auf Grundlage von Standardvertragsklauseln in die USA übermittelt, obwohl der EuGH in „Schrems II" entschieden hatte, dass diese den Zugriff US-amerikanischer Nachrichtendienste nicht ausgleichen. Was danach geschahDie höchste je nach der DSGVO verhängte Geldbuße. Meta hat Rechtsmittel eingelegt. | Data Protection Commission (DPC) Irland · Digitale Dienste | Internationale Datenübermittlung Art. 46 DSGVO | 1.200.000.000 € Rechtsmittel offen | |
| Meta Platforms Ireland Limited Personalisierte Werbung auf Facebook und Instagram wurde auf „Erfüllung des Vertrags" gestützt statt auf eine Einwilligung. Der EDSA hielt das für unzulässig. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO | 390.000.000 € Rechtsmittel offen | |
| Humboldt Forum Service GmbH Die Servicegesellschaft des Humboldt Forums verarbeitete Beschäftigtendaten ohne ausreichende Rechtsgrundlage. Die Berliner Aufsicht verhängte dafür mehrere Geldbußen von zusammen 215.000 €. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Kultur & Bildung | Beschäftigtenüberwachung Art. 5 DSGVO, Art. 6 DSGVO | 215.000 € bestandskräftig | |
| Arbeitgeber (Name nicht veröffentlicht) anonymisiert Gesundheitsdaten von Beschäftigten wurden ohne die für besondere Datenkategorien nötigen Schutzmaßnahmen verarbeitet. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Beratung & Dienstleistung | Beschäftigtenüberwachung Art. 9 DSGVO, Art. 32 DSGVO | 75.000 € bestandskräftig | |
| Meta Platforms Ireland Limited (Facebook) Über die Facebook-Suche und die Kontakt-Importfunktionen von Messenger und Instagram konnten Dritte massenhaft Nutzerdaten abgreifen, die später gesammelt im Internet auftauchten. Meta hatte keinen ausreichenden Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen umgesetzt. | Data Protection Commission (DPC) Irland · Digitale Dienste | Datensicherheit Art. 25 DSGVO | 265.000.000 € Rechtsmittel offen | |
| Bauträgerunternehmen (Name nicht veröffentlicht) anonymisiert Grundbuchdaten wurden zweckwidrig genutzt, um Eigentümer für Ankaufsangebote anzuschreiben. Die Betroffenen erfuhren nicht, woher ihre Daten stammten. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 21.09.2022 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Immobilienwirtschaft | Rechtsgrundlage fehlt Art. 6 DSGVO, Art. 14 DSGVO | 50.000 € bestandskräftig | |
| Konzerngesellschaft (Name nicht veröffentlicht) anonymisiert Der bestellte Datenschutzbeauftragte war zugleich Geschäftsführer zweier Dienstleistungsgesellschaften, die im Auftrag des Unternehmens personenbezogene Daten verarbeiteten. Er hätte also sich selbst kontrollieren müssen. Was danach geschahDer teuerste dokumentierte Interessenkonflikt eines Datenschutzbeauftragten in Deutschland — und ein Argument für die externe Bestellung. Quelle: BlnBDI, Jahresbericht 2022 (Bußgeld wegen Interessenkonflikts eines Datenschutzbeauftragten) | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Beratung & Dienstleistung | Datenschutzbeauftragter Art. 38 DSGVO | 525.000 € bestandskräftig | |
| Meta Platforms, Inc. (Instagram) Konten minderjähriger Nutzer waren standardmäßig öffentlich, und bei Umstellung auf ein Unternehmenskonto wurden Telefonnummer und E-Mail-Adresse sichtbar. | Data Protection Commission (DPC) Irland · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 25 DSGVO | 405.000.000 € Rechtsmittel offen | |
| Hannoversche Volksbank eG Das Kreditinstitut analysierte Kundendaten für Werbezwecke, ohne dass eine wirksame Einwilligung vorlag. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Finanzen & Versicherung | Werbung ohne Einwilligung Art. 6 DSGVO | 900.000 € bestandskräftig | |
| Volkswagen AG Ein Forschungsfahrzeug für Fahrassistenzsysteme filmte den Straßenverkehr, ohne dass Passanten darauf hingewiesen wurden. Es fehlten außerdem der Auftragsverarbeitungsvertrag, ein vollständiger Eintrag im Verarbeitungsverzeichnis und die Datenschutz-Folgenabschätzung. Was danach geschahVolkswagen akzeptierte den Bescheid. Der Fall zeigt, dass auch reine Dokumentationsversäumnisse siebenstellig werden können, wenn sie sich häufen. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Industrie & Produktion | Informationspflichten Art. 13 DSGVO, Art. 28 DSGVO, Art. 30 DSGVO, Art. 35 DSGVO | 1.100.000 € bestandskräftig | |
| Google LLC Löschanträge liefen über ein Formular eines US-Projekts, das die Daten an Dritte weitergab, statt über einen Weg, der dem Löschanspruch der DSGVO genügt. | Agencia Española de Protección de Datos (AEPD) Spanien · Digitale Dienste | Betroffenenrechte Art. 6 DSGVO, Art. 17 DSGVO | 10.000.000 € bestandskräftig | |
| Clearview AI Inc. Bilder britischer Bürger landeten ohne deren Wissen in einer Datenbank mit über 20 Mrd. Gesichtern, die an Sicherheitsbehörden vermarktet wurde. | Information Commissioner’s Office (ICO) Vereinigtes Königreich · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO | 9.000.000 € Rechtsmittel offen | |
| BREBAU GmbH Das Wohnungsunternehmen verarbeitete Daten von mehr als 9.500 Mietinteressenten ohne Rechtsgrundlage — darunter Angaben zu Haartracht, Körpergeruch, Hautfarbe, Religionszugehörigkeit und Gesundheit. Was danach geschahDas Unternehmen kooperierte, legte den Sachverhalt offen und verzichtete auf Rechtsmittel; das reduzierte die Buße erheblich. | Landesbeauftragte für Datenschutz und Informationsfreiheit Bremen (LfDI) Bremen, Deutschland · Immobilienwirtschaft | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO | 1.900.000 € bestandskräftig | |
| Clearview AI Inc. Biometrische Verarbeitung von Gesichtsbildern italienischer Bürger ohne Rechtsgrundlage; zusätzlich wurden Auskunfts- und Löschansprüche nicht bearbeitet. | Garante per la protezione dei dati personali Italien · Digitale Dienste | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 9 DSGVO, Art. 12 DSGVO | 20.000.000 € Rechtsmittel offen | |
| Corona-Testzentrum (Name nicht veröffentlicht) anonymisiert Testergebnisse waren über eine unsichere Weboberfläche abrufbar; der Vorfall wurde zudem nicht ordnungsgemäß gemeldet. | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) Hessen, Deutschland · Gesundheitswesen | Datensicherheit Art. 6 DSGVO, Art. 33 DSGVO | 16.400 € bestandskräftig | |
| Apotheke (Name nicht veröffentlicht) anonymisiert Kundendaten wurden nicht ausreichend vertraulich behandelt. | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Gesundheitswesen | Datensicherheit Art. 5 DSGVO | 6.500 € bestandskräftig | |
| Grindr LLC Die Dating-App gab Standortdaten, Gerätekennungen und die Tatsache der Nutzung — und damit einen Hinweis auf die sexuelle Orientierung — ohne wirksame Einwilligung an Werbepartner weiter. | Datatilsynet Norwegen · Digitale Dienste | Rechtsgrundlage fehlt Art. 6 DSGVO, Art. 9 DSGVO | 6.300.000 € bestandskräftig | |
| Vattenfall Europe Sales GmbH Rund 500.000 Neukundenanfragen wurden daraufhin geprüft, ob der Anfragende regelmäßig Bonusangebote abgreift („Bonushopper"). Über diesen Abgleich wurden die Betroffenen nicht informiert. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Energie & Versorgung | Informationspflichten Art. 12 DSGVO, Art. 13 DSGVO | 901.388 € bestandskräftig | |
| WhatsApp Ireland Ltd. Nutzer und Nichtnutzer wurden nicht ausreichend darüber informiert, welche Daten WhatsApp verarbeitet und an andere Konzerngesellschaften weitergibt. | Data Protection Commission (DPC) Irland · Digitale Dienste | Informationspflichten Art. 5 DSGVO, Art. 12 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO | 225.000.000 € Rechtsmittel offen | |
| Amazon Europe Core S.à r.l. Personalisierte Werbung wurde ohne wirksame Einwilligung ausgespielt. Ausgangspunkt war eine Sammelbeschwerde der französischen Organisation La Quadrature du Net für rund 10.000 Personen. Was danach geschahDas Verwaltungsgericht Luxemburg wies Amazons Klage am 18.03.2025 in vollem Umfang ab und bestätigte die Buße. Zweithöchste DSGVO-Geldbuße überhaupt. | Commission nationale pour la protection des données (CNPD) Luxemburg · Handel & E-Commerce | Rechtsgrundlage fehlt Art. 6 DSGVO | 746.000.000 € Rechtsmittel offen | |
| VfB Stuttgart 1893 AG Bei der Aufarbeitung einer Datenaffäre konnte der Verein nicht belegen, auf welcher Grundlage Mitgliederdaten verarbeitet und weitergegeben worden waren. Die Aufsicht wertete das als Verstoß gegen die Rechenschaftspflicht. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 10.03.2021 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Sport & Freizeit | Rechtsgrundlage fehlt Art. 5 DSGVO | 300.000 € bestandskräftig | |
| notebooksbilliger.de AG Über mindestens zwei Jahre liefen Kameras auf Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche — ohne Rechtsgrundlage. Eine Videoüberwachung zur Aufdeckung von Straftaten setzt einen konkreten Verdacht gegen bestimmte Personen voraus; eine Dauerüberwachung auf Verdacht genügt dafür nicht. Was danach geschahDas LG Hannover senkte die Buße am 06.05.2024 auf 700.000 €, das OLG Celle setzte sie schließlich auf 900.000 € fest. Mildernd wirkte unter anderem, dass ein Großteil der Aufnahmen ungesehen gelöscht wurde. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Handel & E-Commerce | Beschäftigtenüberwachung Art. 5 DSGVO, Art. 6 DSGVO | 900.000 € Bescheid: 10.400.000 € gerichtlich geändert | |
| Elektronikfachmarkt (Name nicht veröffentlicht) anonymisiert Kundendaten wurden über die Erforderlichkeit hinaus gespeichert und Löschansprüche nicht umgesetzt. Was danach geschahDas Unternehmen hat Einspruch eingelegt; der Ausgang ist im Tätigkeitsbericht nicht dokumentiert. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Handel & E-Commerce | Löschung & Speicherdauer Art. 5 DSGVO, Art. 17 DSGVO | 16.000 € Rechtsmittel offen | |
| Marriott International, Inc. In der übernommenen Starwood-Reservierungsdatenbank saßen Angreifer seit 2014 unbemerkt; betroffen waren weltweit rund 339 Mio. Gästedatensätze. Die Sicherheitslücke wurde bei der Übernahme nicht erkannt. Was danach geschahAngekündigt waren 99,2 Mio. £, festgesetzt wurden 18,4 Mio. £. Der Fall ist das Standardargument für Datenschutz-Due-Diligence bei Unternehmenskäufen: Marriott haftete für ein Leck, das vor der Übernahme entstand. | Information Commissioner’s Office (ICO) Vereinigtes Königreich · Gastgewerbe & Tourismus | Datensicherheit Art. 32 DSGVO | 20.450.000 € bestandskräftig | |
| British Airways plc Angreifer leiteten Zahlungsdaten von rund 400.000 Kunden über eine manipulierte Skriptdatei um. Es fehlten Mehrfaktor-Authentifizierung, Netzsegmentierung und Angriffserkennung. Was danach geschahDie angekündigte Buße lag zunächst bei 183,4 Mio. £. Nach Anhörung und mit Blick auf die wirtschaftliche Lage in der Pandemie blieben 20 Mio. £ übrig — ein Lehrstück dazu, dass die angekündigte Zahl nicht die endgültige ist. | Information Commissioner’s Office (ICO) Vereinigtes Königreich · Verkehr & Logistik | Datensicherheit Art. 5 DSGVO, Art. 32 DSGVO | 22.046.000 € bestandskräftig | |
| H&M Hennes & Mauritz Online Shop A.B. & Co. KG Im Servicecenter Nürnberg wurden seit mindestens 2014 Notizen über Urlaube, Krankheiten, Familienverhältnisse und religiöse Überzeugungen mehrerer hundert Beschäftigter gesammelt und dauerhaft auf einem Netzlaufwerk gespeichert. Die Aufzeichnungen flossen in Personalentscheidungen ein. Was danach geschahAufgeflogen durch einen Konfigurationsfehler im Oktober 2019, durch den die Notizen für einige Stunden unternehmensweit lesbar waren. Bis zum Vodafone-Verfahren 2025 die höchste Geldbuße in Deutschland. Quelle: HmbBfDI, Pressemitteilung vom 01.10.2020 (Archivkopie) | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Handel & E-Commerce | Beschäftigtenüberwachung Art. 5 DSGVO, Art. 6 DSGVO | 35.258.708 € bestandskräftig | |
| Wind Tre S.p.A. Unerbetene Werbung per Anruf, SMS und App-Nachricht; Widersprüche wurden über Jahre nicht umgesetzt, und Vertriebspartner arbeiteten mit fragwürdigen Adresslisten. | Garante per la protezione dei dati personali Italien · Telekommunikation | Werbung ohne Einwilligung Art. 5 DSGVO, Art. 6 DSGVO, Art. 12 DSGVO, Art. 24 DSGVO | 16.729.600 € bestandskräftig | |
| AOK Baden-Württemberg Daten aus Gewinnspielen wurden für Werbung genutzt, obwohl die Einwilligung dafür nicht vorlag. Die technischen und organisatorischen Maßnahmen reichten nicht aus, um das zu verhindern. Was danach geschahDie AOK stellte das Verfahren nach Bekanntwerden sofort um und richtete ein internes Kontrollsystem ein — die Aufsicht wertete das ausdrücklich mildernd. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 30.06.2020 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Gesundheitswesen | Rechtsgrundlage fehlt Art. 5 DSGVO, Art. 6 DSGVO, Art. 32 DSGVO | 1.240.000 € bestandskräftig | |
| TIM S.p.A. Millionen Werbeanrufe gingen an Personen, die nie eingewilligt oder ausdrücklich widersprochen hatten. Widerspruchslisten wurden nicht gepflegt. | Garante per la protezione dei dati personali Italien · Telekommunikation | Werbung ohne Einwilligung Art. 5 DSGVO, Art. 6 DSGVO, Art. 17 DSGVO, Art. 21 DSGVO | 27.802.946 € bestandskräftig | |
| Unternehmen (Name nicht veröffentlicht) anonymisiert Die technischen und organisatorischen Maßnahmen genügten nicht dem Risiko der Verarbeitung. | Landesbeauftragte für den Datenschutz Niedersachsen (LfD) Niedersachsen, Deutschland · Industrie & Produktion | Datensicherheit Art. 32 DSGVO | 65.500 € bestandskräftig | |
| 1&1 Telecom GmbH In der telefonischen Kundenbetreuung genügten Name und Geburtsdatum, um Auskünfte zu einem Kundenkonto zu bekommen. Eine Anruferin erhielt so die neue Mobilfunknummer ihres Ex-Partners. Was danach geschahDas LG Bonn reduzierte die Buße am 11.11.2020 auf 900.000 € — die erste deutsche Gerichtsentscheidung, die ein DSGVO-Bußgeld deutlich zusammenstrich. | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Bund, Deutschland · Telekommunikation | Datensicherheit Art. 32 DSGVO | 900.000 € Bescheid: 9.550.000 € gerichtlich geändert | |
| Rapidata GmbH Das Unternehmen benannte trotz Aufforderung über längere Zeit keinen Datenschutzbeauftragten. | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) Bund, Deutschland · Telekommunikation | Datenschutzbeauftragter Art. 37 DSGVO | 10.000 € bestandskräftig | |
| Krankenhaus (Name nicht veröffentlicht) anonymisiert Eine Patientenverwechslung bei der Aufnahme führte zu einer falschen Rechnungsstellung. Dahinter standen strukturelle Mängel im Patientenmanagement. Quelle: LfDI Rheinland-Pfalz, Pressemitteilung (Abdruck auf datenschutz.de) | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI) Rheinland-Pfalz, Deutschland · Gesundheitswesen | Datensicherheit Art. 32 DSGVO | 105.000 € bestandskräftig | |
| Deutsche Wohnen SE Das Archivsystem für Mieterdaten sah schlicht keine Löschfunktion vor. Gehaltsbescheinigungen, Ausweiskopien und Kontoauszüge früherer Mieter blieben jahrelang gespeichert, ohne dass geprüft wurde, ob sie noch gebraucht werden. Was danach geschahDer bekannteste deutsche Bußgeldfall — und der Grund, warum das Bußgeldrecht heute anders aussieht. Das LG Berlin stellte 2021 zunächst ein, der EuGH entschied am 05.12.2023 (C-807/21), dass eine Geldbuße Verschulden voraussetzt. Am 09.06.2026 setzte das LG Berlin I (526 OWi LG 1/20) die Buße auf 900.000 € fest: Verschulden ja, aber Einführungsphase der DSGVO, externe Berater eingebunden, Nachweisprobleme aufseiten der Behörde. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Immobilienwirtschaft | Löschung & Speicherdauer Art. 5 DSGVO, Art. 6 DSGVO, Art. 25 DSGVO | 900.000 € Bescheid: 14.500.000 € gerichtlich geändert | |
| Lebensmittelunternehmen (Name nicht veröffentlicht) anonymisiert Personenbezogene Daten waren unzureichend gegen unbefugten Zugriff gesichert; die getroffenen Maßnahmen entsprachen nicht dem Stand der Technik. | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Gastgewerbe & Tourismus | Datensicherheit Art. 5 DSGVO, Art. 32 DSGVO | 100.000 € bestandskräftig | |
| Delivery Hero SE Konten ehemaliger Kunden wurden nicht gelöscht, Werbe-E-Mails trotz Widerspruch weiter verschickt, Auskunftsersuchen blieben unbeantwortet. Zehn Einzelverstöße in einem Bescheid. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Digitale Dienste | Betroffenenrechte Art. 15 DSGVO, Art. 17 DSGVO, Art. 21 DSGVO | 195.407 € bestandskräftig | |
| Unternehmen der Finanzbranche (Name nicht veröffentlicht) anonymisiert Durch einen internen Fehler wurden personenbezogene Daten im Internet zugänglich. Die Aufsicht bemängelte fehlende Schutzmaßnahmen und Kontrollen. | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Finanzen & Versicherung | Datensicherheit Art. 5 DSGVO, Art. 32 DSGVO | 80.000 € bestandskräftig | |
| N26 Bank GmbH Die Bank führte eine interne Liste ehemaliger Kunden weiter, um deren erneute Anmeldung zu verhindern — auch in Fällen, in denen dafür keine Rechtsgrundlage bestand. | Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) Berlin, Deutschland · Finanzen & Versicherung | Löschung & Speicherdauer Art. 6 DSGVO | 50.000 € bestandskräftig | |
| Google LLC Bei der Einrichtung eines Android-Geräts waren die Informationen zur personalisierten Werbung über mehrere Ebenen verstreut, und die Einwilligung war vorangekreuzt statt aktiv erteilt. Was danach geschahDie erste große DSGVO-Geldbuße in Europa. Der französische Staatsrat bestätigte sie 2020 in vollem Umfang. | Commission nationale de l’informatique et des libertés (CNIL) Frankreich · Digitale Dienste | Informationspflichten Art. 5 DSGVO, Art. 6 DSGVO, Art. 13 DSGVO, Art. 14 DSGVO | 50.000.000 € bestandskräftig | |
| Facebook Germany GmbH Die deutsche Gesellschaft verstieß gegen die Pflichten rund um die Benennung und Meldung des Datenschutzbeauftragten. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Digitale Dienste | Datenschutzbeauftragter Art. 37 DSGVO | 51.000 € bestandskräftig | |
| Hamburger Verkehrsverbund GmbH Eine Datenpanne wurde der Aufsichtsbehörde nicht fristgerecht gemeldet und die betroffenen Personen nicht ausreichend informiert. | Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Hamburg, Deutschland · Verkehr & Logistik | Meldepflicht bei Datenpannen Art. 33 DSGVO, Art. 34 DSGVO | 20.000 € bestandskräftig | |
| Knuddels.de Nach einem Hackerangriff stellte sich heraus, dass die Passwörter der Nutzer im Klartext gespeichert waren. Rund 330.000 Zugangsdaten wurden veröffentlicht. Was danach geschahDas erste DSGVO-Bußgeld in Deutschland. Der Betreiber meldete den Vorfall selbst und arbeitete umfassend mit — die Aufsicht sprach ausdrücklich von einer „vorbildlichen" Reaktion, die die Buße niedrig hielt. Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 21.11.2018 | Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Baden-Württemberg, Deutschland · Digitale Dienste | Datensicherheit Art. 32 DSGVO | 20.000 € bestandskräftig |
Kein Fall passt zu dieser Kombination. Setzen Sie einen Filter zurück.
„Bescheid" nennt den ursprünglich von der Behörde festgesetzten Betrag, falls ein Gericht ihn später geändert hat. Der große Betrag ist immer der heute geltende.
Lage in Zahlen
Was 101 belegte Fälle über DSGVO-Bußgelder verraten
Jede Zahl auf dieser Seite wird bei jeder Aktualisierung neu aus dem Datensatz berechnet — Stand . Die Auswertung gilt für den ganzen Datensatz, nicht für Ihre Filterauswahl oben.
- Median in Deutschland
- 62.500 €
- die Hälfte der 62 deutschen Fälle liegt darunter
- Durchschnitt in Deutschland
- 1,5 Mio. €
- 25-mal so hoch wie der Median — wegen weniger Großfälle
- Median im übrigen Europa
- 30,5 Mio. €
- 39 Fälle, überwiegend Großverfahren gegen Plattformen
- Neu aufgenommen
- 32
- Fälle in den letzten 90 Tagen
Fälle je Jahr
Anzahl der erfassten Bußgelder nach Jahr des Bescheids.
Jahreswerte als Tabelle: Anzahl, Summe und Median, Deutschland und übriges Europa
| Jahr | Deutschland | Übriges Europa | ||||
|---|---|---|---|---|---|---|
| Fälle | Summe | Median | Fälle | Summe | Median | |
| 2018 | 1 | 20.000 € | 20.000 € | 0 | — | — |
| 2019 | 10 | 2.411.407 € | 90.000 € | 1 | 50.000.000 € | 50.000.000 € |
| 2020 | 3 | 36.564.208 € | 1.240.000 € | 4 | 87.028.546 € | 21.248.000 € |
| 2021 | 4 | 2.117.388 € | 600.000 € | 3 | 977.300.000 € | 225.000.000 € |
| 2022 | 7 | 4.497.900 € | 525.000 € | 5 | 709.000.000 € | 20.000.000 € |
| 2023 | 3 | 590.000 € | 215.000 € | 4 | 1.975.000.000 € | 367.500.000 € |
| 2024 | 11 | 1.661.880 € | 22.080 € | 6 | 1.051.607.101 € | 171.000.000 € |
| 2025 | 22 | 47.005.800 € | 24.500 € | 5 | 557.798.046 € | 5.000.000 € |
| 2026 | 1 | 120.000 € | 120.000 € | 11 | 1.432.898.000 € | 15.000.000 € |
| Gesamt | 62 | 94.988.583 € | 62.500 € | 39 | 6.840.631.693 € | 30.500.000 € |
Warum wir den Median zeigen
Bußgelder streuen über sechs Größenordnungen. Eine Summe oder ein Durchschnitt wird deshalb von wenigen Ausreißern bestimmt: In Deutschland macht der größte Einzelfall (Vodafone GmbH, 45.000.000 €) allein 47 % der erfassten Summe aus, die drei größten zusammen 86 %. Im übrigen Europa tragen die drei größten Verfahren 41 % der Summe.
Der Median ist robuster: Er ist der Betrag in der Mitte, wenn man alle Fälle der Größe nach ordnet. Für ein mittelständisches Unternehmen ist er die ehrlichere Orientierung als jede Rekordmeldung.
Deutsche Fälle nach Größe
- unter 10.000 € 10
- 10.000 bis 100.000 € 26
- 100.000 bis 1 Mio. € 21
- 1 bis 10 Mio. € 3
- über 10 Mio. € 2
Wofür Bußgelder verhängt werden
Alle Fälle nach Verstoßkategorie, sortiert nach Anzahl.
- Rechtsgrundlage fehlt 25 Fälle
- Datensicherheit 21 Fälle
- Beschäftigtenüberwachung 9 Fälle
- Betroffenenrechte 9 Fälle
- Mitwirkung gegenüber der Aufsicht 7 Fälle
- Informationspflichten 6 Fälle
- Werbung ohne Einwilligung 5 Fälle
- Internationale Datenübermittlung 4 Fälle
- Löschung & Speicherdauer 4 Fälle
- Automatisierte Entscheidungen 3 Fälle
- Meldepflicht bei Datenpannen 3 Fälle
- Datenschutzbeauftragter 3 Fälle
- Auftragsverarbeitung 2 Fälle
Verstoßkategorien als Tabelle
| Kategorie | Fälle | Summe |
|---|---|---|
| Rechtsgrundlage fehlt | 25 | 2.749.061.073 € |
| Datensicherheit | 21 | 451.826.900 € |
| Beschäftigtenüberwachung | 9 | 36.557.108 € |
| Betroffenenrechte | 9 | 16.991.907 € |
| Mitwirkung gegenüber der Aufsicht | 7 | 184.480 € |
| Informationspflichten | 6 | 282.066.388 € |
| Werbung ohne Einwilligung | 5 | 124.549.647 € |
| Internationale Datenübermittlung | 4 | 2.120.000.000 € |
| Löschung & Speicherdauer | 4 | 27.966.000 € |
| Automatisierte Entscheidungen | 3 | 825.782.000 € |
| Meldepflicht bei Datenpannen | 3 | 251.026.000 € |
| Datenschutzbeauftragter | 3 | 586.000 € |
| Auftragsverarbeitung | 2 | 49.022.773 € |
Welche Branchen es trifft
Alle Fälle nach Branche des Verantwortlichen.
- Digitale Dienste 26 · 4,59 Mrd. €
- Finanzen & Versicherung 11 · 45,4 Mio. €
- Gesundheitswesen 10 · 13,4 Mio. €
- Verkehr & Logistik 9 · 1,25 Mrd. €
- Handel & E-Commerce 9 · 782,5 Mio. €
- Telekommunikation 9 · 132,9 Mio. €
- Gastgewerbe & Tourismus 7 · 24,7 Mio. €
- Beratung & Dienstleistung 7 · 806 Tsd. €
- Öffentlicher Sektor 3 · 5,1 Mio. €
- Immobilienwirtschaft 3 · 2,9 Mio. €
- Industrie & Produktion 3 · 1,2 Mio. €
- Energie & Versorgung 2 · 80 Mio. €
- Sport & Freizeit 1 · 300 Tsd. €
- Kultur & Bildung 1 · 215 Tsd. €
Branchen als Tabelle
| Branche | Fälle | Summe |
|---|---|---|
| Digitale Dienste | 26 | 4.594.699.407 € |
| Finanzen & Versicherung | 11 | 45.386.273 € |
| Gesundheitswesen | 10 | 13.438.700 € |
| Verkehr & Logistik | 9 | 1.251.544.500 € |
| Handel & E-Commerce | 9 | 782.516.908 € |
| Telekommunikation | 9 | 132.920.046 € |
| Gastgewerbe & Tourismus | 7 | 24.671.873 € |
| Beratung & Dienstleistung | 7 | 806.080 € |
| Öffentlicher Sektor | 3 | 5.068.500 € |
| Immobilienwirtschaft | 3 | 2.850.000 € |
| Industrie & Produktion | 3 | 1.194.500 € |
| Energie & Versorgung | 2 | 80.008.489 € |
| Sport & Freizeit | 1 | 300.000 € |
| Kultur & Bildung | 1 | 215.000 € |
Neu aufgenommen
Fälle, die in den letzten 90 Tagen in die Datenbank kamen — neueste zuerst.
- 02.10.2026 · Norwegen 8.600.000 € Xandr Inc. (Microsoft) Rechtsgrundlage fehlt Zum Fall
- 23.09.2026 · Italien 7.000.000 € IQVIA Solutions Italy S.r.l. Rechtsgrundlage fehlt Zum Fall
- 21.09.2026 · Irland 403.000.000 € Google Ireland Limited Rechtsgrundlage fehlt Zum Fall
- 21.08.2026 · Niederlande 824.990.000 € Uber B.V. Automatisierte Entscheidungen Zum Fall
- 03.07.2026 · Italien 5.508.000 € Banco Bilbao Vizcaya Argentaria, S.A., Niederlassung Italien (BBVA) Betroffenenrechte Zum Fall
- 26.05.2026 · Frankreich 5.000.000 € IQVIA Operations France Informationspflichten Zum Fall
- 03/2026 · Baden-Württemberg 120.000 € Überregional tätiger Automobilhändler (Name nicht veröffentlicht) Datensicherheit Zum Fall
- 22.01.2026 · Frankreich 5.000.000 € France Travail Datensicherheit Zum Fall
- 01/2026 · Frankreich 15.000.000 € Free S.A.S. Datensicherheit Zum Fall
Für den Mittelstand
Was KMU daraus lernen: die drei häufigsten Verstöße in Deutschland
Gezählt über die 62 deutschen Fälle der Datenbank. Die Tipps sind unsere Einschätzung aus der Beratungspraxis, keine Rechtsberatung im Einzelfall.
-
Datensicherheit
14 Fälle · Median 46.000 €
Technische und organisatorische Maßnahmen fehlten oder waren veraltet — offene Systeme, schwache Zugänge, fehlende Verschlüsselung.
Praxis-Tipp Schreiben Sie Ihre Schutzmaßnahmen (TOM) einmal sauber auf und prüfen Sie sie jährlich: Zwei-Faktor-Anmeldung, Updates, Backups, Rechte.
TOM: Beispiele für KMU -
Beschäftigtenüberwachung
9 Fälle · Median 46.500 €
Kameras, Leistungs- oder Verhaltenskontrolle von Beschäftigten ohne klaren Zweck, Frist und Abwägung.
Praxis-Tipp Jede Kamera und jede Auswertung von Mitarbeiterdaten braucht einen dokumentierten Zweck, eine Löschfrist und — wo vorhanden — den Betriebsrat.
Videoüberwachung am Arbeitsplatz -
Rechtsgrundlage fehlt
9 Fälle · Median 300.000 €
Daten wurden verarbeitet, ohne dass eine Einwilligung, ein Vertrag oder ein tragfähiges berechtigtes Interesse vorlag.
Praxis-Tipp Legen Sie im Verarbeitungsverzeichnis zu jeder Tätigkeit die Rechtsgrundlage fest — und prüfen Sie Einwilligungen darauf, ob Sie sie nachweisen können.
Einwilligung richtig einholen
Alle drei Punkte sind Organisationsfragen — genau die Arbeit eines externen Datenschutzbeauftragten. Mit Hugo DSB haben Sie Verzeichnis, TOM, AVV und Fristen an einem Ort.
Hugo DSB ansehenWas man aus 101 Fällen wirklich lernen kann
Die erste Erkenntnis ist eine Ernüchterung: Das typische deutsche DSGVO-Bußgeld ist kein Millionenbetrag. Der Median der hier erfassten deutschen Fälle liegt bei 62.500 € — die eine Hälfte darunter, die andere darüber. Was die Statistik verzerrt, sind wenige Großverfahren: Allein der größte deutsche Fall (Vodafone GmbH) macht mit 45.000.000 € 47 % der gesamten hier erfassten deutschen Bußgeldsumme aus.
Die zweite Erkenntnis betrifft die Gerichte. In 3 der erfassten Fälle hat ein Gericht die Höhe korrigiert — jedes Mal nach unten, und jedes Mal drastisch. Wer mit Bußgeldzahlen argumentiert, sollte deshalb wissen, ob er über einen Bescheid oder über eine rechtskräftige Entscheidung spricht. In dieser Datenbank steht beides nebeneinander. Wie sich die Beträge überhaupt zusammensetzen, zeigt der DSGVO-Bußgeldrechner, der den Rechenweg der Aufsichtsbehörden Schritt für Schritt offenlegt.
Die dritte Erkenntnis ist die praktisch wichtigste. Zählt man die Fälle nach Verstoßart, stehen nicht spektakuläre Hackerangriffe oben, sondern zwei Alltagsprobleme: eine fehlende Rechtsgrundlage und unzureichende Datensicherheit. Beide entstehen nicht durch böse Absicht, sondern durch fehlende Zuständigkeit — niemand hat geprüft, worauf sich eine Verarbeitung stützt, und niemand hat nachgehalten, ob die Schutzmaßnahmen noch passen. Genau das ist die Aufgabe eines externen Datenschutzbeauftragten; in Hamburg übernehmen wir sie vor Ort, bundesweit aus der Ferne. Einzelne Fälle greifen wir regelmäßig im Blog auf, die Entwicklung über die Jahre steht im Bußgeld-Spiegel 2026.
Diese Fälle auf Ihrer eigenen Website
Für Fachportale, Verbände, Kanzleien und Intranets gibt es ein kostenloses Widget: zwei Zeilen HTML, keine Anmeldung, keine Cookies, keine Tracking-Skripte. Es zeigt die aktuellen Fälle, lässt sich auf Bundesland und Branche eingrenzen und passt seine Höhe selbst an.
Widget einbettenZitieren: frag.hugo Bußgeld-Datenbank, Stand 2026-10-19, www.fraghugo.de/tools/bussgeld-datenbank/. Zahlen und Auswertungen dürfen mit Quellenangabe übernommen werden.
Häufige Fragen zur Bußgeld-Datenbank
Aus Pressemitteilungen und Tätigkeitsberichten der Aufsichtsbehörden, aus veröffentlichten Entscheidungen und aus Fachmedien, die einen Fall belegen. Jeder Eintrag verlinkt seine Quelle. Ohne belegbare Quelle nehmen wir einen Fall nicht auf — auch dann nicht, wenn er in anderen Übersichten steht.
Weil ein Gericht ihn gesenkt hat und wir den heute geltenden Betrag zeigen. Bei Deutsche Wohnen wurden aus 14,5 Mio. € am Ende 900.000 €, bei notebooksbilliger.de aus 10,4 Mio. € ebenfalls 900.000 €, bei 1&1 aus 9,55 Mio. € ebenfalls 900.000 €. Der Bescheid der Behörde steht jeweils daneben. Ranglisten, die nur den Erstbescheid zeigen, zeichnen ein deutlich zu hohes Bild vom deutschen Bußgeldniveau.
Weil die Behörde den Namen nicht veröffentlicht hat. In diesen Fällen steht die Art des Verantwortlichen — „Inkassodienstleister", „Arztpraxis", „Krankenhaus". Wir recherchieren Namen nicht nach: Ein Bußgeld ist eine Sanktion, keine Vorverurteilung, und die Aufsichtsbehörden haben für ihre Anonymisierung gute Gründe.
Deutlich niedriger, als die Schlagzeilen vermuten lassen. Der Median der 62 hier erfassten deutschen Fälle liegt bei 62.500 € — die Hälfte aller Bußgelder liegt also darunter. Die Millionenbeträge sind Ausreißer, keine Regel: Ein einzelner Fall (Vodafone GmbH, 45.000.000 €) macht 47 % der gesamten hier erfassten deutschen Bußgeldsumme aus.
Nach Fallzahl führen Rechtsgrundlage fehlt (25 Fälle) und Datensicherheit (21 Fälle). Nach Summe dominieren Rechtsgrundlage fehlt und Internationale Datenübermittlung — getrieben von wenigen Großverfahren gegen Plattformbetreiber, die kleine Unternehmen kaum betreffen. Für den Mittelstand sind die praktisch relevanten Kategorien Beschäftigtenüberwachung, Auskunfts- und Löschansprüche sowie fehlende Auftragsverarbeitungsverträge.
Ja. Zahlen und Auswertungen dürfen unter Nennung der Quelle „frag.hugo Bußgeld-Datenbank" mit Link auf diese Seite verwendet werden — für Presse, Vorträge, Schulungen und wissenschaftliche Arbeiten. Wer die Fälle laufend eingebettet zeigen möchte, nimmt das kostenlose Widget.
Monatlich. Am 10. jedes Monats prüfen wir die Pressemitteilungen der 18 deutschen Aufsichtsbehörden und des Europäischen Datenschutzausschusses und nehmen neue Fälle auf — jeden nur mit Primärquelle und wörtlichem Beleg des Betrags. Der aktuelle Stand steht oben auf der Seite (2026-10-19). Neu aufgenommene Fälle gibt es auch als RSS-Feed. Neue Tätigkeitsberichte der Landesbehörden erscheinen üblicherweise zwischen März und Juni.
Die Datenbank zeigt, was verhängt wurde. Der Bußgeldrechner zeigt, wie gerechnet wird — nach dem Modell der Datenschutzkonferenz und den EDSA-Leitlinien 04/2022. Beides zusammen ergibt eine belastbare Einschätzung: das Modell für die Größenordnung, die Fälle für den Realitätsabgleich.
Weitere kostenlose Werkzeuge
Alle ohne Anmeldung, alle ohne Kosten.
- Subprozessor-Monitor Wir prüfen die Unterauftragsverarbeiter-Listen der großen Anbieter täglich und zeigen jede Änderung mit Datum. Öffnen
- DSGVO-Bußgeldrechner Schätzt den Bußgeldkorridor für Ihr Unternehmen — nach demselben Modell, mit dem deutsche Aufsichtsbehörden rechnen. Öffnen
- E-Mail-Sicherheitscheck Prüft in wenigen Sekunden, ob Fremde in Ihrem Namen E-Mails verschicken können. Öffnen
- KI-Risikoklassen-Check Ordnet Ihren KI-Einsatz in die vier Risikoklassen der EU-KI-Verordnung ein und nennt die Pflichten mit Frist. Öffnen
- Shop-Check Prüft einen Online-Shop auf Gewährleistungslabel, Umweltaussagen, GPSR-Angaben und die Kennzeichnung von KI-Chatbots. Öffnen
- Schatten-KI-Check Acht Fragen zeigen, wie gut Sie im Blick haben, welche KI-Dienste mit Ihren Firmenkonten verbunden sind. Öffnen
- CRA-Hersteller-Check Klärt in elf Fragen, ob der Cyber Resilience Act für Sie gilt, in welcher Rolle und in welche Produktklasse Ihr Produkt fällt. Öffnen
- DSGVO-Prüfstand für Software ChatGPT, Notion, DeepL & Co. an zehn Kriterien geprüft — jede Aussage mit Quelle, Zitat und Abrufdatum, alle 90 Tage nachgeprüft. Öffnen
- Aufsichtsbehörden im Vergleich Die Jahresberichte aller 18 deutschen Datenschutzbehörden nebeneinander: Beschwerden, Datenpannen, Bußgelder und Prüfschwerpunkte. Öffnen
- Fristenkalender Alle Fristen aus DSGVO, NIS2, KI-Verordnung, CRA, DORA, Data Act und Co. auf einem Zeitstrahl — monatlich geprüft, jede mit Primärquelle. Öffnen
- Cyber-Lagebild Deutschland Täglich aktualisierte Zahlen zu Erpressungsangriffen mit Bezug zu Deutschland — nach Woche, Branche und Tätergruppe. Öffnen
Werkzeuge zeigen Lücken. Schließen muss sie jemand.
Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.
