DSGVO-Bußgeld und Schadensersatz

Start › IT-Recht › Datenschutz › Bußgeld und Schadensersatz

Wenn eine Aufsichtsbehörde ein Bußgeld androht oder Betroffene Schadensersatz nach Art. 82 DSGVO verlangen, entscheidet die erste Reaktion oft über den Ausgang. Wir verteidigen Unternehmen in Bußgeldverfahren und gegen Einzel- und Massenklagen und vertreten Betroffene, deren Ansprüche begründet sind.

DSGVO-Bußgeldverfahren: Ablauf in Deutschland

Bußgelder gegen Unternehmen verhängt die Datenschutzaufsicht unmittelbar nach Art. 83 DSGVO. Für das Verfahren gilt über § 41 BDSG das Ordnungswidrigkeitengesetz mit einigen Abweichungen. Typisch ist dieser Ablauf:

1. Aufsichtsverfahren: Auskunftsersuchen nach Art. 58 Abs. 1, oft ausgelöst durch Beschwerde oder Datenpannenmeldung.
2. Anhörung im Bußgeldverfahren: Das Unternehmen erhält Gelegenheit zur Stellungnahme. Ab hier besteht kein Zwang zur Selbstbelastung.
3. Bußgeldbescheid mit Begründung und Bemessung.
4. Einspruch binnen zwei Wochen ab Zustellung (§ 67 OWiG). Danach prüft die Behörde erneut und gibt die Sache über die Staatsanwaltschaft an das Gericht ab.
5. Gerichtliches Verfahren: Bei Geldbußen über 100.000 Euro entscheidet das Landgericht (§ 41 Abs. 1 BDSG), sonst das Amtsgericht.

Die Grenze zwischen Aufsichts- und Bußgeldverfahren ist in der Praxis fließend. Antworten auf Auskunftsersuchen sollten deshalb von Anfang an so formuliert sein, dass sie auch in einem späteren Bußgeldverfahren tragen.

Bußgeldbemessung nach Art. 83 DSGVO

Der Rahmen beträgt bis zu 10 Mio. Euro oder 2 % beziehungsweise bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes. Der EuGH hat 2023 entschieden, dass gegen eine juristische Person ein Bußgeld verhängt werden kann, ohne dass zuvor ein Verstoß einer bestimmten Leitungsperson festgestellt wird; erforderlich ist aber ein schuldhafter Verstoß (C-807/21, Deutsche Wohnen). Im Februar 2025 hat er klargestellt, dass für die Obergrenze und die Bemessung der Umsatz des gesamten Konzerns im kartellrechtlichen Sinn herangezogen werden kann (C-383/23, ILVA).

Die Behörden orientieren sich an den Leitlinien 04/2022 des Europäischen Datenschutzausschusses. Ansatzpunkte für die Verteidigung sind Schwere und Dauer des Verstoßes, Zahl der Betroffenen, Verschuldensgrad, Mitwirkung, bereits ergriffene Abhilfemaßnahmen und die Prüfung, ob überhaupt ein Verstoß vorliegt.

Neue Verfahrensregeln für grenzüberschreitende Fälle

Die Verordnung (EU) 2025/2518 vom 26. November 2025 vereinheitlicht das Verfahren zwischen den Aufsichtsbehörden bei grenzüberschreitenden Fällen. Sie bringt Fristen, ein Recht auf Anhörung zu den vorläufigen Feststellungen und Regeln zur Akteneinsicht. Ihre wesentlichen Verfahrensregeln gelten für Verfahren, die ab April 2027 eingeleitet werden. Für Unternehmen mit Niederlassungen in mehreren Mitgliedstaaten lohnt es sich, die eigene Verfahrensstrategie schon jetzt darauf auszurichten.

Schadensersatz nach Art. 82 DSGVO

Ein Anspruch setzt einen Verstoß gegen die DSGVO, einen materiellen oder immateriellen Schaden und die Kausalität voraus. Der bloße Verstoß genügt nicht, eine Erheblichkeitsschwelle gibt es aber auch nicht (EuGH C-300/21, Österreichische Post). Der Verantwortliche muss nachweisen, dass er für den Schaden nicht verantwortlich ist (Art. 82 Abs. 3).

Der BGH hat im Facebook-Scraping-Leitentscheidungsverfahren am 18. November 2024 entschieden, dass schon der kurzzeitige Verlust der Kontrolle über eigene Daten ein immaterieller Schaden sein kann, ohne dass Missbrauch oder spürbare Nachteile nachgewiesen werden müssen (VI ZR 10/24). Eine Entschädigung in der Größenordnung von 100 Euro hielt er für den bloßen Kontrollverlust für vertretbar. Der EuGH hat am 4. September 2025 bestätigt, dass auch negative Gefühle wie Ärger oder Befürchtungen einen Schaden darstellen können, wenn sie konkret dargelegt werden; das Verschulden spielt für die Höhe keine Rolle (C-655/23, Quirin Privatbank). Am 19. März 2026 hat er zugleich Grenzen gezogen: Wer eine Auskunft vor allem anfordert, um einen Ersatzanspruch zu konstruieren, kann abgewiesen werden, und das eigene Verhalten des Klägers kann die Kausalität entfallen lassen (C-526/24, Brillen Rottler).

Für die Verteidigung heißt das: Zur Darlegung des konkreten Schadens und zur Kausalität muss die Klägerseite vortragen. Pauschale Textbausteine reichen vielen Gerichten nicht. Daneben sind die eigene Exkulpation nach Art. 82 Abs. 3, die Anspruchshöhe und Rechtsmissbrauch zu prüfen.

Massenverfahren und Verbandsklage

Nach Datenpannen und Scraping-Vorfällen werden häufig hunderte gleichförmige Klagen eingereicht, oft finanziert über Prozessfinanzierer oder Rechtsschutzversicherer. Hier braucht es eine einheitliche Verteidigungslinie, belastbare technische Darstellung und ein Monitoring der Rechtsprechung an den verschiedenen Gerichtsständen. Der BGH kann nach § 552b ZPO Leitentscheidungsverfahren bestimmen.

Verbraucherverbände können Datenschutzverstöße mit der Unterlassungsklage nach dem UKlaG verfolgen; der EuGH hat diese Befugnis bestätigt. Seit Oktober 2023 kommt die Abhilfeklage nach dem Verbraucherrechtedurchsetzungsgesetz (VDuG) hinzu, mit der ein Verband Leistungen für eine Vielzahl von Verbrauchern einklagen kann. Mitbewerber können DSGVO-Verstöße zudem nach dem UWG abmahnen, soweit die verletzte Norm Marktverhalten regelt.

So gehen wir vor

• Akteneinsicht und Bewertung des Vorwurfs, Abgrenzung von Aufsichts- und Bußgeldverfahren.
• Stellungnahme mit Sachverhalt, Abhilfemaßnahmen und Bemessungsargumenten; Einspruch und gerichtliche Verteidigung.
• Abwehr von Schadensersatzforderungen außergerichtlich und vor Gericht, auch in Serie.
• Durchsetzung von Ansprüchen für Betroffene, wenn ein konkreter Schaden belegbar ist.

Häufige Fragen

Muss ich der Aufsichtsbehörde antworten?

Im Aufsichtsverfahren besteht eine Auskunftspflicht. Sobald ein Bußgeldverfahren gegen Sie läuft, dürfen Angaben, die Sie selbst belasten, verweigert werden. Klären Sie früh, in welcher Rolle die Behörde anfragt.

Wie hoch ist Schadensersatz typischerweise?

Für bloßen Kontrollverlust sprechen Gerichte meist niedrige dreistellige Beträge zu. Höhere Summen gibt es bei sensiblen Daten, nachgewiesenem Missbrauch oder materiellen Schäden.

Haftet die Geschäftsführung persönlich?

Das Bußgeld trifft das Unternehmen. Im Innenverhältnis kommt eine Haftung der Leitung nach § 43 GmbHG oder § 93 AktG in Betracht, wenn Organisationspflichten verletzt wurden.

Verwandte Themen

• Datenpanne melden
• Datenschutz
• Compliance
• Abmahnung
• Klage- und Schiedsverfahren