Zwischen EuGH-Sanktionslogik und praktischen Entlastungen
Die Rechtsprechungen zu DS-GVO-Bußgeldern im Überblick
Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DS-GVO). Besonders im Fokus steht seither Art. 83 DS-GVO mit seinem Sanktionsrahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Schon früh war klar, dass dieser Artikel die Durchsetzungskraft der Verordnung prägen würde. Nach einer Phase des Ausprobierens hat sich die Bußgeldpraxis seither professionalisiert. 2023 erreichte die Bußgeldpraxis in Europa ihren bisherigen Höhepunkt. Die Zahl der Fälle ist zuletzt leicht rückläufig, bleibt aber auf hohem Niveau.
Nach einer kurzen Orientierungsphase im Jahr 2018, in der ab Juli die ersten Fälle registriert wurden, setzte ab 2019 eine deutlich erkennbare Dynamik ein. Rund 200 Bußgelder führten zu einer Gesamtsumme im EU-Raum von über 92 Millionen Euro. Es war die Phase der ersten spektakulären Großverfahren, die das Drohpotenzial des Art. 83 DS-GVO erstmals sichtbar machten.
2020 verstetigte sich die Durchsetzungspraxis. Die Zahl der Bußgelder stieg auf 376, die Gesamtsumme lag bei etwa 177 Millionen Euro. In diesem Jahr sorgte insbesondere das vielbeachtete H&M-Bußgeld mit über 35,3 Millionen Euro für Aufmerksamkeit – eines der ersten sehr hohen DS-GVO-Bußgelder in Deutschland. Parallel begannen die ersten gerichtlichen Kontrollen der Bußgeldbemessung.
Der eigentliche Strukturbruch erfolgte 2021. Durch das Rekordbußgeld gegen Amazon (746 Millionen Euro) stieg die Gesamtsumme auf 1,26 Milliarden Euro bei 346 Bußgeldverfahren. 2022 setzte sich diese Entwicklung fort, getrieben von grenzüberschreitenden Großverfahren mit insgesamt 841 Millionen Euro aus über 470 Fällen. Das Jahr 2023 markierte schließlich den bisherigen Kulminationspunkt: 2,08 Milliarden Euro aus 483 Fällen, vor allem infolge von Großverfahren. Diese Summen markieren den Übergang zu einer europäischen Konsolidierung der Aufsichtsarbeit.
2024 brachte eine – im Vergleich zu 2023 – moderate Bußgeldpraxis. 226 dokumentierte Bußgelder gab es im vergangenen Jahr mit einem Gesamtvolumen von 1,17 Milliarden Euro, bevor bis September 2025 bereits wieder 1,06 Milliarden Euro bei 257 Fällen verzeichnet wurden.
Ein klarer linearer Trend lässt sich daraus nicht ableiten. Vielmehr zeigen die Zahlen ein wiederkehrendes Muster: sprunghafte Anstiege durch wenige Großverfahren, flankiert von einer stabilen Zahl kleiner und mittlerer Sanktionen. Die DS-GVO hat sich damit endgültig von der anfänglichen Symbolnorm zu einem etablierten Governance-Instrument der europäischen Aufsichtsbehörden entwickelt.
Der Zustand lässt sich als „business as usual“ einer gereiften Sanktionslandschaft beschreiben – mit deutlichen nationalen Unterschieden: Spanien führt bei der Fallzahl, Irland und Luxemburg bei der Gesamtsumme.
Und Deutschland? Auch wenn die Zahl der Bußgelder im europäischen Vergleich moderat bleibt, haben gerade die in Deutschland geführten Verfahren wichtige Weichen für die unionsweite Bußgeldpraxis gestellt. Mit den nachfolgenden nationalen Entscheidungen – und der anschließenden Befassung des EuGH im Verfahren Deutsche Wohnen (C-807/21) – wurden zentrale Fragen der Unternehmenszurechnung, der Bußgeldbemessung und der Organisationsverantwortung grundlegend geklärt.
Die deutsche Rechtsprechung hat damit weniger durch Quantität, sondern durch Qualität und europäische Ausstrahlungskraft Maßstäbe gesetzt.
Gerichtliche Entwicklung und Konsolidierung der Bußgeldpraxis
Trotz der hohen Fallzahlen und Bußgeldsummen sind bislang relativ wenige Entscheidungen veröffentlicht worden. Wie viele Bußgelder gerichtlich überprüft werden ist unbekannt. Die Zahl dürfte jedoch gering sein – nicht zuletzt, weil es nur wenige veröffentlichte Urteile gibt. Woran das liegt, lässt sich zumindest ansatzweise aus der bisherigen Rechtsprechung ableiten. In den ersten Jahren nach Inkrafttreten der DS-GVO gab es durchaus Versuche, die Bußgeldpraxis der Aufsichtsbehörden gerichtlich zu begrenzen.
Erste gerichtliche Korrektur der Bußgeldpraxis
Einen der ersten gerichtlichen Prüfsteine der Bußgeldpraxis bildete der Fall 1&1 (LG Bonn, Urt. v. 11.11.2020 – 29 OWi 1/20). Der damalige Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Ulrich Kelber, hatte 2019 ein Bußgeld von 9,55 Millionen Euro gegen den Telekommunikationsanbieter verhängt. Hintergrund war, dass Anrufer über die Hotline mit wenigen personenbezogenen Angaben Auskünfte zu Kundendaten erhalten konnten. Das LG Bonn reduzierte das Bußgeld auf 900.000 Euro. Das Urteil wurde seinerzeit als Signal verstanden, dass die Gerichte die Bußgeldpraxis der Aufsichtsbehörden nicht unkontrolliert bestätigen würden.
Der Fall Deutsche Wohnen – von der Täterlogik zur Organisationsverantwortung
Mit dem Fall Deutsche Wohnen setzte die frühere Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Maja Smoltczyk, einen Meilenstein: Sie verhängte im November 2019 ein Bußgeld von 14,5 Millionen Euro, weil die Wohnungsgesellschaft personenbezogene Daten ehemaliger Mieter in einem Archivsystem ohne Löschmöglichkeit gespeichert hatte. Nach Auffassung der BlnBDI lag darin ein systematischer Verstoß gegen die Grundsätze der Datenminimierung und Speicherbegrenzung. Die Deutsche Wohnen SE wehrte sich mit dem Argument, ein Bußgeld könne nur verhängt werden, wenn eine natürliche Leitungsperson einen schuldhaften Verstoß begangen habe, wie es § 30 OWiG vorsieht. Das Landgericht Berlin folgte dieser Auffassung, das Kammergericht legte die Frage jedoch dem EuGH vor: Erlaubt Art. 83 DS-GVO eine unmittelbare Unternehmenssanktion ohne individuelle Schuldzuschreibung? Mit Urteil vom 5. Dezember 2023 (C-807/21) beantwortete der EuGH die Frage eindeutig: Art. 83 DS-GVO erlaubt die unmittelbare Sanktionierung juristischer Personen, sofern der festgestellte Verstoß einer natürlichen Person im Rahmen der unternehmerischen Tätigkeit begangen wurde.
Der Gerichtshof stellte klar, dass die DS-GVO ein autonomes Sanktionssystem enthält, das nicht von nationalen Zurechnungsregeln wie § 30 OWiG abhängt. Das Ziel der Verordnung – eine wirksame und abschreckende Sanktionierung – würde unterlaufen werden, wenn jede Bußgeldverhängung vom Nachweis einer individuellen Leitungsperson abhinge. Damit verschob der EuGH die Perspektive: Die DS-GVO kennt nicht nur individuelle Täterhaftung, sondern Organisationsverantwortung. Unternehmen haften auch für strukturelle Defizite, etwa fehlende Kontrollmechanismen, mangelhafte Löschkonzepte oder unzureichende Dokumentation.
Das Urteil gilt als Paradigmenwechsel für die deutsche Bußgeldpraxis, weil es die dogmatische Bindung an das OWiG weitgehend auflöste und die unmittelbare Unternehmensverantwortung nach der DS-GVO festigte.
Seit diesem EuGH-Urteil ist die rechtliche Ausgangslage für Bußgelder der Aufsichtsbehörden zweifellos gestärkt. Die Verteidigung in Bußgeldverfahren verlagert sich seither von der Schuldfrage auf die Organisations- und Nachweisstruktur. Ob das Urteil zugleich mitverantwortlich dafür ist, dass bislang nur wenige gerichtliche Entscheidungen veröffentlicht wurden, lässt sich derzeit noch nicht sicher beurteilen.
Dokumentation als Verteidigungsstrategie
Einzelfälle zeigen, dass die Bußgeldpraxis nicht unangreifbar ist. So hat das Landgericht Hannover mit Beschluss vom 26. Februar 2025 (128 OWiLG 1/24) ein von der damaligen Landesbeauftragten für den Datenschutz Niedersachsen, Barbara Thiel, 2023 verhängtes Bußgeld in Höhe von 4,3 Millionen Euro gegen die Volkswagen AG vollständig aufgehoben.
Dem Unternehmen war vorgeworfen worden, Beschäftigte im Rahmen des sogenannten Monitorships nach dem Diesel-Skandal nicht ausreichend über die Weitergabe personenbezogener Daten informiert zu haben. Das Gericht kam jedoch zu dem Schluss, dass die Informationspflichten nach Art. 13 DS-GVO erfüllt waren. Die allgemeine Information über das Monitorship, ergänzt durch interne Datenschutzrichtlinien und FAQ-Dokumente, genügten den Transparenzanforderungen. Zudem verneinte das Gericht einen Verstoß, soweit pseudonymisierte Daten offengelegt wurden, da diese für den Empfänger faktisch anonymisiert waren. Das Gericht stellte zudem fest, dass ein wirksames internes Datenschutz- und Kontrollsystem vorlag. Insbesondere die dokumentierten Prüf- und Redaktionsprozesse vor jeder Datenweitergabe belegten, dass das Unternehmen seiner Verantwortung ernsthaft nachgekommen sei.
Damit macht das Urteil deutlich: Auch nach dem EuGH-Urteil sind Bußgeldbescheide nicht unangreifbar. Eine konsequent dokumentierte Datenschutzorganisation kann nicht nur entlasten, sondern im Einzelfall zur vollständigen Aufhebung eines Bußgeldes führen. Dieser Fall zeigt, wie eine gelebte Datenschutzorganisation zur besten Verteidigung werden kann: Transparente Informationsprozesse, klar dokumentierte Zuständigkeiten und überprüfbare technische Schutzmaßnahmen bilden die Grundlage, um mutmaßliche Verstöße überzeugend zu widerlegen.
Für Datenschutzbeauftragte bedeutet das: Dokumentation ersetzt keine Kontrolle, aber sie schafft Verteidigungsfähigkeit. Wer Prozesse, Verantwortlichkeiten und Maßnahmen nachvollziehbar abbildet, baut Resilienz auf – und das lange, bevor ein Bußgeld verhängt wird.
Mitarbeiterexzess und Grenzen der Verantwortlichkeit
Ein weiteres Beispiel, wie sich Verantwortliche durch eine funktionierende Datenschutzorganisation entlasten können, bietet der sogenannte Mitarbeiterexzess-Fall (OLG Stuttgart, Beschl. v. 25.02.2025 – 2 ORbs 16 Ss 336/24). Ausgangspunkt war ein Vorfall, bei dem ein Polizeibeamter ohne dienstlichen Anlass personenbezogene Daten eines Kollegen in der internen Datenbank abgerufen hatte. Der Zugriff erfolgte aus rein privater Neugier ohne dienstliche Rechtfertigung.
Bemerkenswert an der Entscheidung ist weniger die Sanktion als die klare dogmatische Abgrenzung. Das OLG stellte fest, dass der Beamte in diesem Moment nicht mehr im Rahmen seiner dienstlichen Aufgaben handelte, sondern eigenständig über Zweck und Mittel der Verarbeitung entschied. Er wurde damit selbst zum Verantwortlichen im Sinne des Art. 4 Nr. 7 DS-GVO. Eine Zurechnung seines Fehlverhaltens zur Polizeibehörde lehnte das Gericht ausdrücklich ab, da weder ein strukturelles noch ein organisatorisches Versagen vorlag.
Gerade die lückenlose Dokumentation der Zugriffsprotokolle, Schulungsmaßnahmen und internen Kontrollmechanismen war ausschlaggebend dafür, dass das Verhalten des Beamten isoliert betrachtet werden konnte. Die datenschutzrechtlich verantwortliche Polizeibehörde konnte nachvollziehbar darlegen, dass sie technische Schutzmaßnahmen implementiert, Kontrollsysteme betrieben und ihre Beschäftigten regelmäßig sensibilisiert hatte. Damit ließ sich ein Organisationsverschulden ausschließen. Die Dokumentationen waren hier nicht nur lästige Begleitmaßnahmen, sondern vielmehr der entscheidende Beweis, der den Verantwortlichen vor einer eigenen Sanktion bewahrte.
Für die Praxis ergibt sich daraus eine klare Lehre. Schulungen und Richtlinien allein genügen nicht. Nur wer belegen kann, dass technische und organisatorische Maßnahmen tatsächlich greifen, kann sich im Falle individueller Pflichtverletzungen glaubhaft entlasten.
Das Urteil unterstreicht denselben Grundgedanken, den auch das LG Hannover zum Ausdruck brachte: Datenschutz-Compliance ist kein theoretisches Konzept, sondern ein belastbarer Schutzmechanismus – vorausgesetzt, sie ist dokumentiert, überprüft und im Unternehmen verankert.
Konzernverantwortung und wirtschaftliche Einheit
Erwähnenswert ist schließlich die Entscheidung des EuGH zur Bußgeldbemessung bei Konzernunternehmen (Urt. v. 5.12.2023 – C-807/21 und C-683/21). Der EuGH stellt klar, dass sich die Höhe eines Bußgeldes am Umsatz der gesamten wirtschaftlichen Einheit bemisst und nicht nur am Einzelunternehmen, das formal als Verantwortlicher auftritt.
Damit übertrug der EuGH den aus dem Wettbewerbsrecht bekannten Unternehmensbegriff ausdrücklich auf das Datenschutzrecht. Maßgeblich ist, ob zwischen den beteiligten Gesellschaften eine einheitliche wirtschaftliche Leitung besteht. Ist dies der Fall, dürfen die Aufsichtsbehörden den Konzernumsatz insgesamt heranziehen. Für die Praxis bedeutet das eine deutliche Verschärfung der finanziellen Dimension datenschutzrechtlicher Sanktionen. Gerade bei international agierenden Konzernen kann die Heranziehung des Gesamtumsatzes die Bußgeldhöhe um ein Vielfaches erhöhen.
Zugleich zwingt die Entscheidung zu einer anderen Compliance-Perspektive: Datenschutz darf nicht nur auf Ebene einzelner Gesellschaften organisiert werden, sondern muss konzernweit gesteuert, überwacht und dokumentiert sein.
Damit hat der EuGH die Linie aus der Entscheidung zur Deutsche Wohnen konsequent fortgeführt. Während dort die Zurechnung von Handlungen an die juristische Person im Vordergrund stand, wird nun der wirtschaftliche Verbund als Bezugsrahmen der Verantwortlichkeit gefestigt.
Von der Bußgeldangst zur Governance-Kompetenz
Die Entwicklung der Bußgeldpraxis hat sich von einer anfänglichen Zurückhaltung zu einem strukturell gefestigten Sanktionssystem entwickelt. Mit steigender Professionalität der Aufsichtsbehörden und einer wachsenden Zahl grenzüberschreitender Verfahren hat sich die Durchsetzung auf hohem Niveau stabilisiert. Die Rechtsprechung – insbesondere in Deutschland – hat dabei zentrale Leitplanken gesetzt. Das LG Bonn mahnte eine einzelfallgerechte Bußgeldbemessung an, der EuGH im Fall Deutsche Wohnen verschob die Perspektive von individueller Schuld hin zu organisatorischer Verantwortung. Das LG Hannover und das OLG Stuttgart verdeutlichten, dass funktionierende Datenschutzstrukturen Bußgelder abwenden können. Und mit der EuGH-Entscheidung zum Konzernunternehmensbegriff wurde der finanzielle Rahmen deutlich erweitert.
Für Unternehmen bedeutet das einen Paradigmenwechsel. Datenschutz-Compliance ist keine rein rechtliche Pflicht mehr, sondern ein integraler Bestandteil guter Unternehmensführung. Bußgelder entstehen heute weniger durch einzelne Fehler als durch mangelnde Strukturen, fehlende Dokumentation oder unzureichende Governance.
Wer Zuständigkeiten, Prozesse und technische Maßnahmen nachvollziehbar dokumentiert, schafft die Grundlage, um sich gegen Vorwürfe effektiv zu verteidigen. Dokumentation ersetzt keine Kontrolle – aber sie schafft Resilienz.
