Wenn von DSGVO-Bußgeldern die Rede ist, denken die meisten zuerst an Meta, Amazon oder andere Großkonzerne mit Strafen im Millionenbereich. Tatsächlich richten sich hunderte Verfahren europäischer Aufsichtsbehörden auch gegen kleine und mittlere Unternehmen – mit Beträgen, die für einen Mittelständler durchaus schmerzhaft sind.
Was theoretisch möglich ist – und was in der Praxis passiert
Die DSGVO erlaubt Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Aufsichtsbehörden wenden bei der Bemessung jedoch den Grundsatz der Verhältnismäßigkeit an: Ein Kleinunternehmen mit überschaubarem Umsatz erhält kein Millionen-Bußgeld. In der Praxis bewegen sich Verfahren gegen KMU meist im Bereich von wenigen tausend bis zu niedrigen sechsstelligen Beträgen – abhängig von Schwere des Verstoßes, Zahl der betroffenen Personen und dem Verhalten des Unternehmens im Verfahren.
Die häufigsten Ursachen bei kleinen und mittleren Unternehmen
- Unzureichende technische und organisatorische Maßnahmen (TOMs) zum Schutz personenbezogener Daten
- Fehlende oder unwirksame Einwilligungen, etwa bei Tracking-Tools auf der eigenen Website
- Mangelhafte oder fehlende Auftragsverarbeitungsverträge mit externen Dienstleistern
- Verspätete oder unterlassene Meldung von Datenschutzverletzungen an die Aufsichtsbehörde
Warum IT-Sicherheit und Datenschutz zusammengehören
Artikel 32 DSGVO verlangt ausdrücklich angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Damit ist ein Datenschutzvorfall in der Praxis häufig zugleich ein IT-Sicherheitsvorfall: ein unzureichend geschützter Server, ein fehlendes Backup oder – wie im Artikel zu Ransomware-Risiken für kleine Betriebe beschrieben – ein erfolgreicher Angriff mit Datenabfluss. IT-Sicherheit als Kostenschutz ist damit unmittelbar auch ein Baustein der DSGVO-Compliance.
Konkrete Maßnahmen zur Risikominderung
Ein dokumentiertes Verzeichnis von Verarbeitungstätigkeiten, regelmäßige und getrennt gelagerte Backups, verschlüsselte Datenübertragung sowie ein klar definierter Prozess zur fristgerechten Meldung von Datenschutzverletzungen senken das Risiko spürbar. Im Ernstfall wirkt sich nachweisbar sorgfältiges Vorgehen zudem bußgeldmindernd aus, da Aufsichtsbehörden die Kooperationsbereitschaft und den Stand der getroffenen Maßnahmen in ihre Bewertung einbeziehen.
Häufige Fragen zu DSGVO-Bußgeldern und IT-Sicherheit
Wie hoch können DSGVO-Bußgelder theoretisch ausfallen?
Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher liegt.
Wie hoch fallen DSGVO-Bußgelder in der Praxis für kleine und mittlere Unternehmen aus?
Meist im Bereich von wenigen tausend bis niedrigen sechsstelligen Euro-Beträgen, abhängig von Schwere und Verhalten des Unternehmens.
Welche Verstöße führen bei KMU am häufigsten zu Bußgeldern?
Unzureichende technische Maßnahmen, fehlende Einwilligungen, mangelhafte Auftragsverarbeitungsverträge und verspätete Meldungen.
Wie hängen IT-Sicherheit und DSGVO-Compliance zusammen?
Artikel 32 DSGVO verlangt technische Schutzmaßnahmen – ein Sicherheitsvorfall ist damit oft zugleich ein Datenschutzverstoß.
Welche Maßnahmen senken das Bußgeldrisiko konkret?
Dokumentierte TOMs, regelmäßige Backups, Verschlüsselung und ein funktionierender Meldeprozess für Datenschutzverletzungen.