DSGVO: Der komplette Leitfaden für Unternehmen

Das Wichtigste in Kürze

• Die DSGVO ist die Verordnung (EU) 2016/679. Sie trat am 24. Mai 2016 in Kraft und gilt seit dem 25. Mai 2018. Beide Daten werden regelmäßig verwechselt.
• Der Bußgeldrahmen aus Art. 83 DSGVO hat zwei Stufen: bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für Dokumentationspflichten, bis 20 Mio. Euro oder 4 Prozent für Grundsätze, Betroffenenrechte und Drittlandtransfers. Das höchste in Deutschland verhängte Bußgeld sind 45 Mio. Euro gegen die Vodafone GmbH (BfDI, Juni 2025), akzeptiert und vollständig gezahlt.
• Für Ihr Unternehmen ist nicht der BfDI zuständig, sondern die Aufsichtsbehörde Ihres Bundeslandes. In Deutschland gibt es 18 staatliche Datenschutzaufsichtsbehörden, weil Bayern eine eigene Behörde für den nichtöffentlichen Bereich hat.
• § 38 BDSG verpflichtet Unternehmen ab 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten, zur Benennung eines Datenschutzbeauftragten. Die Schwelle ist unverändert in Kraft, auch wenn der Bund eine Aufhebung bis zum 31.12.2026 angekündigt hat.
• Die Einwilligung ist nicht die sicherste Rechtsgrundlage, sondern die instabilste: sie ist jederzeit widerrufbar, und im Beschäftigungsverhältnis ist ihre Freiwilligkeit nach gefestigter Rechtsprechung zweifelhaft.

Was ist die DSGVO, und für wen gilt sie?

Die DSGVO ist die Datenschutz-Grundverordnung der Europäischen Union, förmlich die Verordnung (EU) 2016/679. Sie regelt, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen, welche Rechte betroffene Personen haben und welche Nachweise Sie führen müssen. Verabschiedet wurde sie am 27. April 2016 vom Europäischen Parlament und vom Rat der EU, nicht von der Kommission.

Ein Detail, das in Audits auffällt: die DSGVO trat am 24. Mai 2016 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt L 119/1. Anwendbar wurde sie erst zwei Jahre später, am 25. Mai 2018. Die Übergangsfrist stand in Art. 99 und war genau dafür gedacht, dass Unternehmen ihre Verarbeitung anpassen. Wer schreibt, die Verordnung sei 2018 in Kraft getreten, verwechselt Inkrafttreten mit Anwendbarkeit.

Anwendbar ist die DSGVO nicht nur auf Unternehmen mit Sitz in der EU. Art. 3 stellt zusätzlich auf den Marktort ab: wer Personen in der Union Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet, fällt unter die Verordnung, auch ohne Niederlassung in Europa.

Der Anknüpfungspunkt ist immer das personenbezogene Datum nach Art. 4 Nr. 1, und der Begriff ist weiter, als die meisten Teams annehmen. Eine IP-Adresse, eine Cookie-ID und die Kombination aus Postleitzahl, Geburtsjahr und Berufsbezeichnung sind personenbezogene Daten, sobald sich damit eine Person herausfiltern lässt. Reine Unternehmensdaten fallen nicht darunter, geschäftliche Kontaktdaten einzelner Mitarbeiter aber schon.

Die sieben Grundsätze und die sechs Rechtsgrundlagen

Art. 5 nennt sieben Grundsätze, an denen sich jede einzelne Verarbeitung messen lassen muss: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Der letzte Grundsatz ist der operativ teuerste. Rechenschaftspflicht bedeutet, dass Sie die Einhaltung der übrigen sechs nachweisen müssen, und zwar bevor jemand fragt. Ein Zustand, den Sie nicht dokumentieren können, gilt im Zweifel als nicht vorhanden.

Rechtmäßig ist eine Verarbeitung nur, wenn eine der sechs Rechtsgrundlagen aus Art. 6 Abs. 1 greift. Es sind genau sechs, sie stehen gleichrangig nebeneinander und Sie müssen sich pro Verarbeitungstätigkeit auf eine festlegen.

Damit zum verbreitetsten Irrtum im deutschen Datenschutz. Acht Jahre nach Anwendbarkeit halten viele Unternehmen die Einwilligung für die sicherste Rechtsgrundlage, oft mit dem Gedanken, damit auf der vorsichtigen Seite zu sein. Das Gegenteil ist der Fall. Die Einwilligung ist die einzige der sechs Grundlagen, die jederzeit widerrufbar ist, und mit dem Widerruf entfällt die Rechtmäßigkeit für die Zukunft. Sie haben dann keine tragfähige Grundlage mehr und müssen dem Widerruf auch tatsächlich nachkommen, also löschen.

Im Beschäftigungsverhältnis kommt ein zweites Problem hinzu, und das ist gravierender. Zwischen Arbeitgeber und Arbeitnehmer besteht ein Über- und Unterordnungsverhältnis, weshalb die Freiwilligkeit einer Einwilligung nach gefestigter Rechtsprechung und einhelliger Literaturmeinung kritisch gesehen wird. Der Beschäftigte sitzt jemandem gegenüber, der etwas von ihm möchte, und stellt sich die Frage, was passiert, wenn er nicht einwilligt. Fehlt die Freiwilligkeit, fehlt ein Gültigkeitskriterium, und dann fehlt die Rechtsgrundlage insgesamt. Sie riskieren also nicht nur einen späteren Widerruf, sondern dass Sie nie eine wirksame Grundlage hatten.

Der Klassiker dafür sind Mitarbeiterfotos, deren Einwilligung am ersten Arbeitstag mit dem übrigen Onboarding-Papier unterschrieben wird. Genau in dieser Phase, in der man alles richtig machen möchte, ist Freiwilligkeit am schwersten zu behaupten. Prüfen Sie deshalb immer zuerst alle sechs Grundlagen. Meistens tragen die Vertragserfüllung nach lit. b oder die berechtigten Interessen nach lit. f, und beide sind belastbarer.

Welche Pflichten die DSGVO Unternehmen auferlegt

Die operative Last der DSGVO liegt nicht in Verboten, sondern in Nachweispflichten. Sechs davon treffen praktisch jedes Unternehmen mit mehr als einer Handvoll Beschäftigten.

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 ist der Dokumentationskern. Aufsichtsbehörden fragen es zuerst an, weil sich daran ablesen lässt, ob ein Unternehmen seine eigene Datenverarbeitung überhaupt kennt. Wie Sie ein Verzeichnis von Verarbeitungstätigkeiten, TOM und DSFA erstellen und pflegen, ohne drei Excel-Dateien parallel zu führen, zeigen wir auf der Produktseite zu VVT, TOM und DSFA.

Bei den technischen und organisatorischen Maßnahmen nach Art. 32 überziehen Unternehmen die Anforderung regelmäßig, weil sie die Detailtiefe der ISO 27001 kennen und auf den Datenschutz übertragen. Art. 32 verlangt das nicht. Die Norm ist bewusst allgemein gehalten und fordert Maßnahmen, die dem Risiko angemessen sind, kein Control-Register mit Umsetzungsnachweis pro Maßnahme. Für ein Unternehmen, das ausschließlich die DSGVO erfüllen muss, ist ein gepflegter Maßnahmenkatalog ausreichend, der exportierbar bleibt. Der Export ist der eigentliche Zweck, weil Sie die Maßnahmen als Anlage zu jedem Auftragsverarbeitungsvertrag vorlegen müssen.

Beim Auftragsverarbeitungsvertrag nach Art. 28 scheitert der erste Prüfschritt am häufigsten: sind die vorgeschriebenen Mindestinhalte überhaupt vollständig enthalten? Acht Jahre nach Anwendbarkeit ist das oft nicht der Fall. Eine Konsequenz daraus gehört auf die Führungsebene und nicht in die Datenschutzabteilung. Sie werden nicht in jedem Fall einen zu hundert Prozent DSGVO-konformen Vertrag abschließen können: ein Start-up mit dreißig Leuten, das einem großen US-Anbieter Änderungswünsche schickt, bekommt keine individuelle Anpassung. Die Frage lautet dann nicht, wie man den Vertrag schönrechnet, sondern ob das Ergebnis akzeptabel ist. Diese Entscheidung trägt die Geschäftsführung, nicht der Datenschutzbeauftragte. Dessen Aufgabe ist Bewertung und Beratung, dokumentiert; die Risikoentscheidung liegt bei der Leitung. Worauf eine Vertragsprüfung im Einzelnen zu achten hat, von Subdienstleisterketten über Vertragsstrafen bis zu KI-Klauseln, behandeln wir gesondert.

Die Pflicht zur Benennung eines Datenschutzbeauftragten entsteht in Deutschland auf zwei Wegen. Art. 37 Abs. 1 DSGVO knüpft an die Art der Verarbeitung an, etwa an umfangreiche systematische Überwachung oder an besondere Datenkategorien als Kerntätigkeit. Zusätzlich gilt § 38 Abs. 1 BDSG: wer in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, muss einen Datenschutzbeauftragten benennen, unabhängig davon, wie harmlos die Verarbeitung ist. Welche Rolle die interne gegenüber der externen Benennung spielt, behandeln wir gesondert im Beitrag zum externen Datenschutzbeauftragten.

Ein Missverständnis, das gerade in Geschäftsführungen kursiert: die 20-Personen-Schwelle sei abgeschafft. Sie ist es nicht. Die Föderale Modernisierungsagenda vom 4. Dezember 2025 enthält die Ankündigung, bis zum 31.12.2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen. Eingebracht ist bisher nichts, beschlossen erst recht nicht.

Nicht dokumentiert ist typischerweise, was ohne Beteiligung der Compliance-Funktion eingeführt wurde: ein Marketing-Tool mit Testzugang, ein KI-Assistent, den ein Team selbst abonniert hat. Wie sich diese Schatten-IT systematisch auffinden lässt, beschreiben wir unter Shadow IT und Data Discovery.

Betroffenenrechte: was Sie tatsächlich herausgeben müssen

Die Art. 15 bis 22 geben betroffenen Personen sieben durchsetzbare Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22). Art. 12 regelt die Modalitäten und die Frist: unverzüglich, in jedem Fall innerhalb eines Monats nach Eingang. Eine Verlängerung um zwei Monate ist möglich, muss aber innerhalb des ersten Monats begründet mitgeteilt werden.

Der erste Schritt ist nicht die Antwort, sondern die Berechtigung. Ist die anfragende Person überhaupt die, um deren Daten es geht? Bei begründeten Zweifeln müssen Sie sie identifizieren, denn Daten an die falsche Person herauszugeben ist selbst ein Datenschutzverstoß, und zwar ein schwerer.

Am häufigsten übersehen wird der Umfang. Eine Auskunft nach Art. 15 ist nicht die Mitteilung, dass Daten verarbeitet werden, sondern umfasst eine Kopie der verarbeiteten personenbezogenen Daten. Das Datum selbst muss in der Antwort stehen, weil der Zweck des Rechts darin liegt, dass die Person die Rechtmäßigkeit der Verarbeitung selbst überprüfen kann. Wer nur eine Auflistung von Kategorien schickt, hat die Anfrage nicht erfüllt.

Was daraus folgt, wird schnell aufwendig. Verlangt eine ehemalige Mitarbeiterin nach zehn Jahren sämtliche zu ihrer Person verarbeiteten Daten, stehen in ihren Mails zwangsläufig Daten Dritter, von Personen in CC bis zu Kollegen, über die dort gesprochen wird. Ihnen gegenüber bestehen eigene Geheimhaltungspflichten, weshalb diese Passagen zu schwärzen sind. Das ist Handarbeit, und sie lässt sich nicht durch eine mit KI geschriebene Prozessrichtlinie ersetzen.

Ein Punkt, der die Priorität dieses Themas verschiebt: Auskunftsanfragen werden regelmäßig als Vorbereitung einer Schadenersatzklage gestellt. Es ist unter Anwälten inzwischen üblich, die Auskunft als erste Karte zu spielen, weil sie zwei Dinge zugleich bringt. Sie liefert Informationen, und sie provoziert einen zweiten Verstoß, weil viele Unternehmen nicht fristgerecht und vollständig antworten können. Die verpatzte Antwort wird dann selbst zum Anspruchsgrund. Der wirksamste Gegenzug ist unspektakulär: transparent und höflich antworten, nichts kleinreden und bei unklaren Anfragen nachfragen, worum es genau geht. Ein erheblicher Teil der Anfragen, die auf Eskalation zulaufen, lässt sich so deeskalieren. Wie Sie Auskunftsanfragen strukturiert bearbeiten, inklusive Identitätsprüfung und Fristenkontrolle, steht in unserem Beitrag zur Auskunftsanfrage nach DSGVO.

Der zweite Kostentreiber ist die Löschung, die häufig direkt nach der Auskunft folgt. Art. 17 verlangt sie unter bestimmten Voraussetzungen, gesetzliche Aufbewahrungsfristen verlangen das Gegenteil. Die Auflösung liegt in einem Löschkonzept, das pro Datenkategorie eine Frist und einen Verantwortlichen benennt, und darin, die Fundstellen zu kennen; wie sich personenbezogene Daten über die tatsächlich genutzten Tools hinweg auffinden lassen, beschreiben wir unter Data Discovery in der DSGVO-Compliance.

Die Datenschutz-Folgenabschätzung: vier Schritte in fester Reihenfolge

Art. 35 verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Was in der Praxis fast immer falsch gemacht wird, ist die Reihenfolge. Die DSFA hat vier Schritte, und sie sind chronologisch zu durchlaufen:

Der verbreitetste Fehler ist, mit Schritt 3 anzufangen. Die Risikobewertung vor die Prüfung von Notwendigkeit und Verhältnismäßigkeit zu stellen, verdreht die Logik der Norm: Sie bewerten dann die Risiken einer Verarbeitung, von der noch nicht geklärt ist, ob sie in dieser Form überhaupt erforderlich ist.

Schritt 2 verkümmert am häufigsten zu einem leeren Textfeld, obwohl dort die eigentliche Arbeit liegt. Zwei Fragen führen hin. Brauchen wir diese Datenmenge, um den Zweck zu erreichen, oder geht es mit weniger? Und ist das gewählte Mittel verhältnismäßig? Ein Beispiel: in einem Kindergarten verschwindet wöchentlich Spielzeug aus dem Sandkasten. Würde eine Videoüberwachung das verhindern? Ja, wahrscheinlich. Ist sie verhältnismäßig, gegenüber Kindern, für den Verlust von Sandspielzeug? Nein, und es gibt mildere Mittel. Genau diese Abwägung, ausgeschrieben, ist Schritt 2.

Der zweite Fehler ist ein gedanklicher Import aus der Informationssicherheit. Die DSGVO kennt keine Risikoakzeptanz. In einem ISMS nach ISO 27001 dürfen Sie ein Risiko bewerten, dokumentieren und anschließend bewusst tragen, weil es ein Risiko des Unternehmens ist. In der DSFA bewerten Sie Risiken für die Rechte und Freiheiten anderer Menschen. Über die können Sie nicht verfügen. Bleibt ein Risiko bestehen, muss es gemindert werden, oder die Verarbeitung findet nicht statt. Ein Freigabeschritt „Risiko akzeptiert" hat in einer DSFA nichts zu suchen.

Bleibt die Verarbeitung auch nach allen Maßnahmen hochriskant, greift Art. 36: Sie müssen die Aufsichtsbehörde konsultieren, bevor Sie beginnen, oder es bleiben lassen. Praktisch kommt dieser Fall so gut wie nie vor, und unter erfahrenen Datenschützern findet man kaum jemanden, der je an einer solchen Konsultation beteiligt war. Wichtig ist die Vorschrift trotzdem, weil sie erklärt, warum es keine Akzeptanz gibt: die Alternative zur Minderung ist nicht das Weitermachen, sondern die Behörde.

Zwei Hilfsmittel sind mehr wert als jede Vorlage aus einem Blogartikel. Der Europäische Datenschutzausschuss hat 2026 eine DSFA-Vorlage veröffentlicht, die die Unterpunkte je Schritt sauber ausweist. Und die französische Aufsichtsbehörde CNIL stellt mit ihrem PIA-Tool eine kostenlose Software bereit, die durch die Struktur führt und einen Katalog vordefinierter Risiken mitbringt; sie ist öffentlich verfügbar. Dass sie von einer Behörde kommt, macht sie zur belastbarsten frei zugänglichen Referenz.

Und die DSFA ist vor Beginn der Verarbeitung durchzuführen, nicht danach. Wo sie nachträglich dokumentiert wird, erkennt man es daran, dass die Maßnahmen als bereits umgesetzt eingetragen sind, statt als Ergebnis der Risikobewertung.

Datenschutzvorfälle: die erste Stunde, und wann gemeldet wird

Art. 33 Abs. 1 verpflichtet Sie, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Die Frist läuft ab Kenntnis, nicht ab dem Vorfall, und sie läuft auch über das Wochenende.

Die erste Stunde entscheidet weniger über die Meldung als über die Sachverhaltsfeststellung. Die Fragen sind immer dieselben: wer, wann, wie, wo, welche Daten sind betroffen, und vor allem, was lässt sich zum jetzigen Zeitpunkt technisch nachweislich feststellen, im Unterschied zu dem, was vermutet wird. Erst auf dieser Grundlage folgt die rechtliche Bewertung.

Die Grenze zwischen meldepflichtig und nicht meldepflichtig ist selten scharf. Deshalb lautet der Beratungsansatz, den wir fahren: in dubio pro Meldung. Im Zweifel wird gemeldet, weil Sie damit den eigenen Verstoß ausschließen. Stellt sich im Nachhinein heraus, dass Sie hätten melden müssen und es nicht getan haben, haben Sie neben dem Vorfall selbst eine zweite Pflichtverletzung.

Der Grund, aus dem Unternehmen zögern, ist fast immer derselbe: die Sorge, mit einer Meldung erst die Aufmerksamkeit der Behörde zu wecken und weitere Nachforschungen auszulösen. Diese Sorge geht in die falsche Richtung. Aufsichtsbehörden sind nicht dazu da, Unternehmen zu ärgern, sondern in dieser Situation eher Sparringpartner. Die Meldung erfüllt nicht nur eine Pflicht, sie eröffnet auch Unterstützung bei der Planung der nächsten Schritte, was gerade bei größeren Vorfällen den Unterschied macht.

Häufig falsch zitiert wird Art. 34, und hier gilt das Gegenteil der Meldung an die Behörde. Er regelt die Benachrichtigung der betroffenen Personen, enthält keine 72-Stunden-Frist und greift nur, wenn die Verletzung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten mit sich bringt. Im Zweifel an die Behörde melden, ja; im Zweifel alle Betroffenen anschreiben, nein. Das sind zwei Entscheidungen mit zwei verschiedenen Schwellen.

Den Unterschied macht die Vorarbeit: eine benannte Meldekette und das vorbereitete Meldeformular der zuständigen Landesbehörde. Beides lässt sich vorher herstellen. Die 72 Stunden nicht.

Datenübermittlung in Drittländer

Kapitel V der DSGVO, die Art. 44 bis 50, regelt Übermittlungen an Empfänger außerhalb der EU und des EWR. Der erste Prüfschritt bei einem US-Dienstleister ist immer derselbe: liegt eine aktuelle Zertifizierung nach dem EU-US Data Privacy Framework vor? Rechtlich ist das ein Angemessenheitsbeschluss nach Art. 45, und er gilt nicht für US-Unternehmen allgemein, sondern ausschließlich für die, die sich tatsächlich zertifizieren ließen. Die Zertifizierung des konkreten Empfängers zu prüfen und die Prüfung zu dokumentieren ist deshalb Pflicht, nicht Sorgfalt.

Ohne DPF greift als zweiter Mechanismus Art. 46, in der Praxis fast immer die Standarddatenschutzklauseln nach Abs. 2 lit. c oder lit. d. Und hier liegt der Punkt, den viele Teams überspringen: Als der Europäische Gerichtshof den vorherigen Angemessenheitsbeschluss für ungültig erklärte, hat er ausdrücklich verlangt, dass zu den Klauseln zusätzliche Maßnahmen treten. Der Vertrag allein genügt nicht. Daraus ist die Transferfolgenabschätzung entstanden, in der Praxis Transfer Impact Assessment oder TIA.

Eine TIA beantwortet vier Fragen: wie die Rechtslage im Zielland aussieht, ob Nachrichtendienste wie NSA oder CIA auf die Daten zugreifen können, ob betroffenen Personen dort Rechtsbehelfe offenstehen, und welche technischen Maßnahmen die Verarbeitung absichern. Eine davon können Sie nicht selbst beantworten: ob es bereits behördliche Zugriffe auf Daten dieses Anbieters gegeben hat, weiß nur der Anbieter. Große Anbieter stellen dafür im besten Fall ein öffentliches Template bereit; Durchführung und Bewertung bleiben trotzdem Ihre Verantwortung.

Die Praxis ist dabei nachlässiger, als die Rechtslage vermuten lässt: sobald ein Datenschutzbeauftragter bei einer Dienstleisterprüfung das Wort SCC liest, fragt er nach einer TIA, und häufig ist mit einem bestätigenden Ja die Prüfung beendet. Dass niemand nachfragt, liegt an fehlenden Ressourcen, nicht daran, dass die Frage erledigt wäre.

Ein verbreiteter Trugschluss betrifft das EU-Hosting. Die großen US-Anbieter haben europäische Tochtergesellschaften, und Sie schließen den Vertrag heute meist mit dieser Tochter statt mit der US-Mutter. Das ist ein echter Vorteil, beendet die Prüfung aber nicht: hinter der Tochter steht die Muttergesellschaft, und US-Recht kann Zugriffe auf Daten ermöglichen, die in der EU bei der Tochter verarbeitet werden. Ein europäischer Serverstandort und ein europäischer Vertragspartner sind zwei gute Argumente, kein Abschluss der Bewertung.

Zur Haltbarkeit des DPF: das Gericht der Europäischen Union hat die Klage auf Nichtigerklärung am 3. September 2025 abgewiesen (Latombe gegen Kommission, T-553/23), ein Rechtsmittel bleibt möglich. Der Beschluss gilt also. Zwei Vorgänger sind allerdings vor dem Europäischen Gerichtshof gescheitert. Wer heute ausschließlich auf das DPF baut und keine Standarddatenschutzklauseln in der Schublade hat, plant ohne Rückfallebene.

Wer die DSGVO in Deutschland durchsetzt, und was Verstöße kosten

Für Ihr Unternehmen ist mit hoher Wahrscheinlichkeit nicht der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit zuständig. § 40 Abs. 1 BDSG weist die Aufsicht über nichtöffentliche Stellen den nach Landesrecht zuständigen Behörden zu. Der BfDI beaufsichtigt öffentliche Stellen des Bundes und, als Ausnahme im privaten Sektor, Anbieter von Telekommunikations- und Postdienstleistungen. Insgesamt gibt es 18 staatliche Datenschutzaufsichtsbehörden: eine auf Bundesebene und 17 auf Länderebene, weil Bayern den öffentlichen und den nichtöffentlichen Bereich getrennt beaufsichtigt und für Unternehmen das Bayerische Landesamt für Datenschutzaufsicht zuständig ist. Koordiniert wird die Auslegung in der Datenschutzkonferenz.

Art. 83 kennt zwei Bußgeldstufen. Abs. 4 reicht bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes des Vorjahres und erfasst die organisatorischen Pflichten: Art. 25, Art. 28, Art. 30, Art. 32, Art. 33 und 34, Art. 35 sowie Art. 37 bis 39. Abs. 5 reicht bis 20 Mio. Euro oder 4 Prozent und erfasst die materiellen Pflichten: die Grundsätze des Art. 5, die Rechtsgrundlagen des Art. 6, die Einwilligung nach Art. 7, besondere Datenkategorien nach Art. 9, die Betroffenenrechte der Art. 12 bis 22 und die Drittlandtransfers der Art. 44 bis 49. Maßgeblich ist in beiden Stufen der höhere der beiden Werte, und bei Konzernzugehörigkeit bemisst sich der Umsatz nach der Gruppe.

Die vier bekanntesten deutschen Bußgelder werden fast immer mit ihrem Ausgangsbetrag zitiert. Drei davon existieren in dieser Höhe nicht mehr.

Der Vodafone-Fall umfasst zwei getrennte Bußgelder: 15 Mio. Euro für die unzureichende Kontrolle von Partneragenturen nach Art. 28 Abs. 1 und 30 Mio. Euro für Authentifizierungsschwächen im Kundenportal nach Art. 32 Abs. 1. Die Behörde hat den Vorgang selbst dokumentiert.

Zwei Dinge daran gehen in der Bußgeld-Berichterstattung unter. Erstens ist die gerichtliche Korrektur nach unten der Normalfall, und die drei reduzierten Fälle landeten unabhängig voneinander bei 900.000 Euro. Zweitens, und das halten wir für relevanter: das OLG Celle hat den Betrag gegenüber der ersten Instanz wieder erhöht und ausdrücklich verworfen, dass die Neuheit der DSGVO 2019 und 2020 mildernd wirke. Acht Jahre nach Anwendbarkeit trägt dieses Argument nicht mehr.

Vorsicht bei Gesamtzahlen: für Deutschland existiert keine offizielle Bußgeldstatistik, die Behörden veröffentlichen nur einen Teil ihrer Verfahren. EU-weit weist der GDPR Enforcement Tracker Report der Kanzlei CMS zum Stichtag 1. März 2026 rund 2.685 Bußgelder mit etwa 6,11 Mrd. Euro aus, eine Kanzleierhebung und keine Behördenzahl.

Zur Größenordnung im Mittelstand: ein B2B-SaaS-Anbieter in München mit 60 Beschäftigten führt personenbezogene Daten in vierzehn Systemen, vom CRM bis zum Recruiting-Tool. Das Verzeichnis nach Art. 30 umfasst nach der ersten vollständigen Aufnahme 38 Verarbeitungstätigkeiten, drei davon mit Übermittlung in die USA. Wegen § 38 BDSG ist ein Datenschutzbeauftragter zu benennen, je nach Größe mit Retainern zwischen 30 und 800 Euro monatlich; die Spannen stehen in unserer Übersicht zu den Kosten eines externen Datenschutzbeauftragten. Der laufende Aufwand liegt in der Pflege: jedes neue Tool und jeder Personalwechsel erzeugt eine Änderung im Verzeichnis, in den TOM oder in einem Vertrag.

Was sich 2026 ändert, und was nur geplant ist

Die Unterscheidung zwischen geltendem Recht und Gesetzgebungsvorhaben ist gerade bei der DSGVO wichtig, weil im November 2025 mehrere Vorschläge gleichzeitig vorgestellt wurden.

Rechnen Sie für die Planung mit dem geltenden Stand. Die Ausweitung der Ausnahme nach Art. 30 Abs. 5 wäre für Unternehmen zwischen 250 und 750 Beschäftigten eine Entlastung, greift aber ohnehin nicht bei riskanter Verarbeitung oder besonderen Datenkategorien. Ein Verzeichnis brauchen Sie in beiden Szenarien; im Vorfallsfall ist es die Grundlage der Meldung nach Art. 33.

Die praktisch wichtigste offene Frage steht in keiner dieser Zeilen, weil sie kein Gesetzgebungsvorhaben ist: ob Kundendaten in ein bestimmtes KI-Modell dürfen. Die Antwort ist kein Bauchgefühl, sondern ein Prüfpfad aus vier Punkten, von der Rolle des Anbieters als Auftragsverarbeiter über die verifizierte Zusage, dass Eingaben nicht ins Training fließen, bis zu Zero Data Retention und EU-Hosting. Diesen Weg behandeln wir gesondert.

Die DSGVO steht außerdem selten allein. Wer ISO 27001 anstrebt, deckt mit den Maßnahmen aus Anhang A einen erheblichen Teil der Anforderungen des Art. 32 gleich mit ab, weil Zugriffskontrolle, Verschlüsselung und Protokollierung in beiden Rahmenwerken dieselben Nachweise erzeugen. Was sich nicht übertragen lässt, ist die Risikologik: ein ISMS bewertet Risiken für das Unternehmen, und die darf das Unternehmen tragen; die DSGVO bewertet Risiken für andere Menschen, und die dürfen Sie nicht tragen. Wie sich beide Rahmenwerke auf einer Datenbasis führen lassen, ohne diese Grenze zu verwischen, beschreiben wir im Beitrag zu DSGVO und ISO 27001 auf einer Plattform.

Der vollständige Weg zum Zertifikat steht in unserem Leitfaden zur ISO 27001 Zertifizierung.

Für Unternehmen in regulierten Sektoren gilt seit dem 6. Dezember 2025 zusätzlich die NIS2-Richtlinie, in Deutschland über das BSIG. Ihre Meldepflichten laufen parallel zu Art. 33 DSGVO und werden nicht durch ihn erfüllt.

Wie Kertos DSGVO-Compliance umsetzt

Kertos verbindet eine Plattform für das Datenschutzmanagement mit zertifizierten Experten, die die Umsetzung mit übernehmen. Das Datenschutzmanagementsystem führt das Verzeichnis von Verarbeitungstätigkeiten, die technischen und organisatorischen Maßnahmen sowie die Auftragsverarbeitungsverträge an einer Stelle und leitet Änderungen aus den angebundenen Systemen ab, statt sie einmal jährlich abzufragen.

Der Bereich, in dem sich Automatisierung am deutlichsten rechnet, sind die Betroffenenanfragen. Sie laufen über einen definierten Prozess mit Identitätsprüfung, systemübergreifender Datensammlung und Fristenkontrolle nach Art. 12; über eine halbe Million Anfragen sind darüber bereits abgewickelt worden. Wie das funktioniert, zeigt die Seite zu Betroffenenanfragen.

Wo intern niemand die Rolle übernehmen kann, stellt Kertos einen externen Datenschutzbeauftragten. Rechtlich ist die externe Benennung der internen gleichwertig, ein Unterschied bleibt aber: ein Externer hat keinen Zugriff auf Ihre Systeme und erfährt von einem neuen Tool oder Feature nur, wenn es ihm gesagt wird. Wird er erst eingebunden, wenn das Produkt technisch fertig ist, bleibt ihm die Anmerkung statt der Gestaltung, und nachträgliche Änderungen sind teurer als eine halbe Stunde in der Ideenphase.

Welche Funktionen eine Lösung abdecken sollte und wo Software an ihre Grenzen kommt, steht in der Übersicht zu Datenschutz-Software.

Die Abdeckung der einzelnen DSGVO-Pflichten finden Sie unter DSGVO mit Kertos.

Wenn Sie wissen möchten, wie viel Ihrer Dokumentationslast sich in Ihrem Setup automatisieren lässt, buchen Sie ein Gespräch.

Häufig gestellte Fragen

Wo gilt die DSGVO?

Die DSGVO gilt in allen 27 EU-Mitgliedstaaten und über das EWR-Abkommen zusätzlich in Norwegen, Island und Liechtenstein. Nach dem Marktortprinzip in Art. 3 erfasst sie darüber hinaus Unternehmen ohne Niederlassung in der EU, wenn diese Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten.

Was sind personenbezogene Daten nach der DSGVO?

Nach Art. 4 Nr. 1 sind das alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Name, Adresse und Geburtsdatum, aber auch IP-Adressen, Cookie-IDs, Standortdaten und Personalnummern. Entscheidend ist, ob sich eine Person daraus mit verfügbaren Mitteln herausfiltern lässt, notfalls durch Kombination mehrerer Angaben.

Wann trat die DSGVO in Kraft?

Am 24. Mai 2016, zwanzig Tage nach der Veröffentlichung im Amtsblatt der EU. Anwendbar ist sie seit dem 25. Mai 2018, nach der zweijährigen Übergangsfrist des Art. 99. Das oft genannte Datum 25. Mai 2018 bezeichnet also den Beginn der Anwendbarkeit, nicht das Inkrafttreten.

Wie hoch ist das Bußgeld bei einem Verstoß gegen die DSGVO?

Art. 83 sieht zwei Stufen vor: bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für Organisations- und Dokumentationspflichten, bis 20 Mio. Euro oder 4 Prozent für Verstöße gegen die Grundsätze, die Betroffenenrechte oder die Regeln zum Drittlandtransfer. Maßgeblich ist der höhere Betrag. Das höchste in Deutschland verhängte Bußgeld sind 45 Mio. Euro gegen die Vodafone GmbH aus dem Juni 2025.

Was bedeutet DSGVO-konform?

DSGVO-konform bedeutet, dass jede Verarbeitung personenbezogener Daten auf einer Rechtsgrundlage nach Art. 6 beruht, die Grundsätze des Art. 5 einhält und dass Sie beides nachweisen können. Der Nachweis ist der eigentliche Prüfungsgegenstand: ohne Verzeichnis nach Art. 30, dokumentierte TOM nach Art. 32 und Auftragsverarbeitungsverträge nach Art. 28 lässt sich Konformität gegenüber einer Aufsichtsbehörde nicht belegen, selbst wenn die Verarbeitung materiell zulässig ist.

‍