50 Millionen Euro Bußgelder – allein in Deutschland
Die DSGVO ist seit 2018 in Kraft. Man sollte meinen, dass die meisten Unternehmen inzwischen wissen, was zu tun ist. Die Bußgeldstatistiken erzählen eine andere Geschichte.
2025 und 2026 haben deutsche Datenschutzbehörden über 50 Millionen Euro an Strafen verhängt. Und es trifft nicht nur Großkonzerne. Kleine Arztpraxen, mittelständische Händler, lokale Handwerksbetriebe – die Behörden schauen überall hin. Oft reicht eine Beschwerde eines unzufriedenen Kunden, um eine Prüfung auszulösen.
Das Frustrierende: Die meisten Bußgelder wären vermeidbar gewesen. Es sind keine exotischen Verstöße, sondern Grundlagenfehler, die sich durch ein paar Stunden Aufmerksamkeit hätten verhindern lassen.
Die Fehler, die am teuersten werden
Der Cookie-Banner, der keine echte Wahl bietet. Sie kennen diese Banner: Ein großer grüner „Alles akzeptieren"-Button und irgendwo in Schriftgröße 8 ein „Einstellungen verwalten"-Link, der zu einem Labyrinth aus Unterseiten führt. Das ist kein Consent – das ist Manipulation. Die Behörden sehen das genauso und verhängen regelmäßig Bußgelder dafür. Die Lösung ist einfach: „Akzeptieren" und „Ablehnen" müssen gleichwertig und gleich zugänglich sein.
Cloud-Dienste ohne Auftragsverarbeitungsvertrag. Sie nutzen Microsoft 365, Google Workspace, ein CRM-System, einen Newsletter-Dienst? Für jeden dieser Dienste brauchen Sie einen AVV. Die meisten Anbieter stellen die standardmäßig bereit – man muss sie nur abschließen. Aber erstaunlich viele Unternehmen haben das schlicht vergessen.
Datenpannen, die nicht gemeldet werden. Ein Laptop wird gestohlen, eine E-Mail mit Kundendaten geht an den falschen Empfänger, ein Server wird gehackt. Innerhalb von 72 Stunden muss die Datenschutzbehörde informiert werden – wenn ein Risiko für die Betroffenen besteht. Viele Unternehmen haben keinen Prozess dafür. Im Ernstfall verstreichen die 72 Stunden, und zum eigentlichen Problem kommt ein Bußgeld wegen verspäteter Meldung.
Veraltete Datenschutzerklärung. Ihre Website nutzt Google Analytics, aber Ihre Datenschutzerklärung erwähnt es nicht? Sie haben einen neuen Newsletter-Dienst eingeführt, aber die Datenschutzerklärung verweist noch auf den alten? Das sind Transparenzverstöße, und sie sind leicht zu erkennen – sowohl für Behörden als auch für Abmahnanwälte.
Keine Löschkonzepte. Die DSGVO verlangt, dass personenbezogene Daten gelöscht werden, wenn sie nicht mehr gebraucht werden. Aber wann ist das? Für Rechnungsdaten gelten gesetzliche Aufbewahrungsfristen von 10 Jahren. Für Bewerbungsunterlagen sind 6 Monate Standard. Für Kundendaten nach Vertragsende? Kommt drauf an. Wer keine definierten Löschfristen hat, sammelt Daten auf Vorrat – und das ist nicht erlaubt.
Was Sie wirklich brauchen – ohne Juristendeutsch
Erstens: Ein aktuelles Verarbeitungsverzeichnis. Klingt bürokratisch, ist aber im Kern eine einfache Tabelle: Welche Daten verarbeiten wir? Warum? Von wem? Wo werden sie gespeichert? Wann löschen wir sie? Das können Sie an einem Nachmittag erstellen.
Zweitens: Verträge mit allen Dienstleistern, die Zugang zu personenbezogenen Daten haben. AVVs für Cloud-Dienste, Hosting, Newsletter-Tools, CRM-Systeme. Die meisten sind vorgefertigt – Haken setzen, fertig.
Drittens: Ein Prozess für Datenpannen. Ein einseitiges Dokument, das beantwortet: Wer entscheidet? Wer meldet? Wie schnell? An wen? Das muss kein 30-seitiges Handbuch sein – aber es muss existieren, bevor der Ernstfall eintritt.
Viertens: Geschulte Mitarbeiter. Nicht einmal im Jahr eine PowerPoint, sondern regelmäßige Awareness. Die meisten Datenschutzverletzungen passieren nicht durch Hacker, sondern durch Mitarbeiter, die es nicht besser wissen.
DSGVO-Compliance ist kein Projekt – es ist Hygiene
Wie Zähneputzen: Man macht es nicht einmal und ist dann fertig. Man macht es regelmäßig, als Routine, ohne groß nachzudenken. Quartalsweise die Datenschutzerklärung prüfen, jährlich das Verarbeitungsverzeichnis aktualisieren, bei jedem neuen Tool den AVV abschließen.
Der Aufwand ist überschaubar. Die Konsequenzen bei Nachlässigkeit sind es nicht. Ein Bußgeld von 50.000 Euro tut jedem KMU weh – und der Reputationsschaden, wenn Kundendaten öffentlich werden, kann das Unternehmen existenziell treffen.
*Wir machen einen DSGVO-Quick-Check für Ihr Unternehmen. Jetzt Termin vereinbaren*
