DSGVO-Bußgeldrechner: Was ein Verstoß Ihr Unternehmen kosten kann

Sie zeigt eine Größenordnung, kein Ergebnis. Der Rechner bildet den Rechenweg nach, den die deutschen Aufsichtsbehörden 2019 veröffentlicht haben — aber die Behörde entscheidet über Schweregrad und Umstände im Einzelfall, und ein Gericht kann alles neu bewerten. Wie weit das auseinanderliegen kann, zeigt der Fall Deutsche Wohnen: Aus einem Bußgeldbescheid über 14,5 Mio. € vom Oktober 2019 wurde im Juni 2026 eine Geldbuße von 900.000 €.

Formal nicht mehr. Das Konzept sagt selbst, dass es seine Gültigkeit verliert, sobald der Europäische Datenschutzausschuss abschließende Leitlinien erlässt — das ist am 24. Mai 2023 mit den Leitlinien 04/2022 geschehen. Die Rechenlogik lebt aber weiter: Umsatzbezug, Schweregrad-Faktor und Anpassung an den Einzelfall stehen auch dort. Deutsche Behörden begründen ihre Zumessung heute mit den EDSA-Leitlinien; der Rechner zeigt deshalb beide Wege nebeneinander.

Weil das Modell selbst mit Spannen arbeitet. Für einen mittelschweren materiellen Verstoß sieht es einen Faktor zwischen 4 und 8 vor — das ist der Ermessensspielraum der Behörde. Wer daraus eine einzelne Zahl macht, tut so, als gäbe es diesen Spielraum nicht.

Formelle Verstöße betreffen die Organisation des Datenschutzes: fehlendes Verarbeitungsverzeichnis, kein Auftragsverarbeitungsvertrag, unzureichende technische Maßnahmen, keine Meldung einer Datenpanne. Dafür sieht Art. 83 Abs. 4 DSGVO bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor. Materielle Verstöße betreffen die Verarbeitung selbst — fehlende Rechtsgrundlage, verletzte Betroffenenrechte, unzulässige Übermittlung ins Ausland. Hier verdoppelt sich der Rahmen auf 20 Mio. € oder 4 %.

Der des Konzerns. Die DSGVO verwendet den Unternehmensbegriff der Artikel 101 und 102 AEUV — den sogenannten funktionalen Unternehmensbegriff aus dem Kartellrecht. Maßgeblich ist die wirtschaftliche Einheit, nicht die einzelne juristische Person. Für Tochtergesellschaften großer Konzerne macht das den entscheidenden Unterschied.

Nein. Der Europäische Gerichtshof hat am 5. Dezember 2023 in der Sache Deutsche Wohnen SE (C-807/21) entschieden, dass eine Geldbuße Vorsatz oder Fahrlässigkeit voraussetzt. Zugleich muss die Behörde den Verstoß aber keiner bestimmten Leitungsperson zurechnen — es genügt, dass das Unternehmen schuldhaft gehandelt hat. Auch das Verhalten eines Auftragsverarbeiters wird dem Verantwortlichen zugerechnet (C-683/21).

Indirekt, ja. Art. 83 Abs. 2 lit. d DSGVO verlangt, den Grad der Verantwortung unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen zu bewerten — ein bestellter und tatsächlich eingebundener Datenschutzbeauftragter gehört dazu. Umgekehrt gilt es auch: Die Berliner Aufsicht verhängte 2022 eine Geldbuße von 525.000 €, weil der bestellte Datenschutzbeauftragte zugleich Geschäftsführer der Dienstleister war, die er hätte kontrollieren müssen.

Nein. Die Rechnung läuft vollständig in Ihrem Browser. Es wird nichts übertragen, nichts gespeichert und nichts protokolliert — auch nicht der Umsatz. Sie können die Seite offline nutzen, sobald sie geladen ist.