Bußgeld-Rechner nach Art. 83 DSGVO
Die DSGVO kennt zwei Bußgeldstufen: bis 10 Mio. Euro oder 2 % des weltweiten Konzernumsatzes, und bis 20 Mio. Euro oder 4 %. Welche Stufe greift, hängt allein davon ab, gegen welche Norm verstoßen wurde. Wählen Sie die Art des Verstoßes und tragen Sie den Jahresumsatz ein — Sie sehen die gesetzliche Obergrenze und die Kriterien, nach denen die Aufsichtsbehörde innerhalb dieses Rahmens zumisst.
Ohne Anmeldung · läuft in Ihrem Browser · keine Eingabe wird übertragen
Die Bußgeldstufe hängt allein davon ab, gegen welche Norm verstoßen wurde — nicht vom Umsatz und nicht von der Schwere.
Konzernumsatz der gesamten wirtschaftlichen Einheit, nicht der der handelnden Gesellschaft (Art. 101, 102 AEUV; EuGH C-807/21). Optional — ohne Angabe gilt nur der feste Höchstbetrag.
Stufe 2 — Art. 83 Abs. 5 DSGVO: bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Ohne Umsatzangabe wird nur der feste Höchstbetrag ausgewiesen. Die prozentuale Alternative greift ohnehin nur „im Fall eines Unternehmens“.
Das ist die gesetzliche Obergrenze — der Betrag, der nicht überschritten werden darf. Es ist keine Prognose des tatsächlichen Bußgelds. Verhängte Bußgelder liegen ganz überwiegend um Größenordnungen darunter.
Zumessung innerhalb des Rahmens (Art. 83 Abs. 2 DSGVO)
- Art, Schwere und Dauer des Verstoßes — unter Berücksichtigung von Art, Umfang und Zweck der Verarbeitung sowie der Zahl der betroffenen Personen und des Ausmaßes des Schadens
- Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes
- Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens
- Grad der Verantwortung unter Berücksichtigung der nach Art. 25 und 32 DSGVO getroffenen technischen und organisatorischen Maßnahmen
- Etwaige einschlägige frühere Verstöße
- Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine nachteiligen Auswirkungen zu mindern
- Kategorien der betroffenen personenbezogenen Daten
- Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde — insbesondere, ob und in welchem Umfang selbst gemeldet wurde
- Einhaltung früher gegen denselben Verantwortlichen oder Auftragsverarbeiter in gleicher Sache angeordneter Maßnahmen
- Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO oder genehmigter Zertifizierungsverfahren nach Art. 42 DSGVO
- Sonstige erschwerende oder mildernde Umstände, etwa unmittelbar oder mittelbar erlangte finanzielle Vorteile oder vermiedene Verluste
Wie daraus ein Betrag wird
Der Europäische Datenschutzausschuss gibt in den Leitlinien 04/2022 ein fünfstufiges Verfahren vor: Einordnung des Verstoßes, Bestimmung eines Ausgangsbetrags nach Schwere und Umsatz, Berücksichtigung erschwerender und mildernder Umstände nach Art. 83 Abs. 2 DSGVO, Prüfung der gesetzlichen Obergrenze und abschließend die Kontrolle, ob die Geldbuße wirksam, verhältnismäßig und abschreckend ist. In Deutschland war zuvor das Bußgeldkonzept der Datenschutzkonferenz (DSK) von 2019 mit seinem umsatzbezogenen Tagessatzmodell maßgeblich; es ist seither nur noch ergänzend relevant und war für die Gerichte nie bindend. Treffen mehrere Verstöße bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen zusammen, darf der Gesamtbetrag nach Art. 83 Abs. 3 DSGVO den Rahmen des schwerwiegendsten Verstoßes nicht übersteigen.
Art. 83 DSGVO gibt den Aufsichtsbehörden zwei Bußgeldrahmen vor. Nach Art. 83 Abs. 4 DSGVO sind Verstöße gegen Pflichten von Verantwortlichen und Auftragsverarbeitern aus Art. 8, 11, 25 bis 39, 42 und 43 DSGVO mit Geldbußen von bis zu 10 Mio. Euro oder — im Fall eines Unternehmens — bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs bewehrt, je nachdem, welcher Betrag höher ist. Nach Art. 83 Abs. 5 DSGVO verdoppelt sich der Rahmen auf 20 Mio. Euro oder 4 % für Verstöße gegen die Grundsätze der Verarbeitung einschließlich der Einwilligungsbedingungen (Art. 5, 6, 7, 9), gegen Betroffenenrechte (Art. 12 bis 22), gegen die Vorgaben für Drittlandtransfers (Art. 44 bis 49) sowie für die Nichtbefolgung einer Anordnung der Aufsichtsbehörde; für Letztere wiederholt Art. 83 Abs. 6 DSGVO denselben Rahmen. Der Betrag im Einzelfall wird nach den Zumessungskriterien des Art. 83 Abs. 2 DSGVO bestimmt und muss wirksam, verhältnismäßig und abschreckend sein.
Nur zur Orientierung — keine Rechtsberatung. Der Rechner zeigt ausschließlich die gesetzliche Obergrenze des Bußgeldrahmens, keine Prognose des tatsächlich zu erwartenden Bußgelds. Verhängte Bußgelder liegen ganz überwiegend um Größenordnungen unter dem Rahmen. Welche Stufe einschlägig ist und wie zugemessen wird, entscheidet die zuständige Aufsichtsbehörde im Einzelfall.
Häufige Fragen
- Berechnet das Tool mein tatsächliches Bußgeld?
- Nein. Es berechnet die gesetzliche Obergrenze des Bußgeldrahmens nach Art. 83 Abs. 4 bzw. Abs. 5 DSGVO — also den Betrag, der nicht überschritten werden darf. Der konkrete Betrag wird von der Aufsichtsbehörde nach den Kriterien des Art. 83 Abs. 2 DSGVO zugemessen und muss nach Art. 83 Abs. 1 DSGVO wirksam, verhältnismäßig und abschreckend sein. In der Praxis liegen verhängte Bußgelder regelmäßig deutlich unterhalb des Rahmens; eine Prognose ist ohne Kenntnis des Einzelfalls nicht seriös möglich.
- Welcher Umsatz zählt — der meiner Gesellschaft oder der des Konzerns?
- Der des Konzerns. Der Unternehmensbegriff des Art. 83 DSGVO ist nach den Erwägungsgründen 150 und 37 im Sinne der Art. 101 und 102 AEUV zu verstehen, also als wirtschaftliche Einheit. Der Europäische Gerichtshof hat das im Urteil Deutsche Wohnen (C-807/21) bestätigt: Maßgeblich für die Berechnung des 2- bzw. 4-%-Anteils ist der weltweite Gesamtumsatz der gesamten Unternehmensgruppe, nicht der der handelnden Tochtergesellschaft. Für ein Konzernunternehmen kann die umsatzbezogene Obergrenze deshalb um ein Vielfaches über den 10 bzw. 20 Mio. Euro liegen.
- Wann gilt 2 %, wann 4 %?
- Die niedrigere Stufe (10 Mio. Euro / 2 %, Art. 83 Abs. 4 DSGVO) betrifft die eher organisatorischen Pflichten: Verzeichnis der Verarbeitungstätigkeiten, Sicherheit der Verarbeitung, Datenschutz durch Technikgestaltung, Auftragsverarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, Datenschutzbeauftragter, Einwilligung von Kindern. Die höhere Stufe (20 Mio. Euro / 4 %, Art. 83 Abs. 5 DSGVO) betrifft die materiellen Kernpflichten: Grundsätze und Rechtmäßigkeit der Verarbeitung einschließlich Einwilligung und besonderer Datenkategorien, Betroffenenrechte, Drittlandtransfers — sowie die Nichtbefolgung einer behördlichen Anordnung.
- Wie bemessen die Aufsichtsbehörden das Bußgeld innerhalb des Rahmens?
- Nach den elf Kriterien des Art. 83 Abs. 2 DSGVO, darunter Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, ergriffene Minderungsmaßnahmen, frühere Verstöße, die Zusammenarbeit mit der Aufsichtsbehörde und die Kategorien betroffener Daten. Für die methodische Umsetzung hat der Europäische Datenschutzausschuss die Leitlinien 04/2022 zur Berechnung von Geldbußen veröffentlicht, die europaweit ein fünfstufiges Vorgehen vorgeben — von der Einordnung des Verstoßes über einen umsatzabhängigen Ausgangsbetrag bis zur Prüfung der gesetzlichen Obergrenze. In Deutschland hatte die Datenschutzkonferenz (DSK) 2019 zuvor ein eigenes Bußgeldkonzept mit einem umsatzbezogenen Tagessatzmodell veröffentlicht; seit den EDSA-Leitlinien ist dieses nur noch ergänzend relevant, und die Gerichte haben es ohnehin nie als bindend behandelt.
- Was gilt, wenn mehrere Verstöße zusammentreffen?
- Bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen darf der Gesamtbetrag der Geldbuße nach Art. 83 Abs. 3 DSGVO den Betrag für den schwerwiegendsten Verstoß nicht übersteigen. Die Rahmen werden also nicht addiert: Trifft ein Verstoß der Stufe 1 mit einem der Stufe 2 zusammen, bleibt es bei der Obergrenze der Stufe 2. Verstöße aus voneinander unabhängigen Verarbeitungsvorgängen können dagegen gesondert geahndet werden.
- Können auch Behörden und Vereine ein Bußgeld erhalten?
- Die umsatzbezogene Alternative greift nur „im Fall eines Unternehmens“. Wer kein Unternehmen im wettbewerbsrechtlichen Sinne ist, kann daher allenfalls bis zum festen Höchstbetrag von 10 bzw. 20 Mio. Euro belangt werden. Art. 83 Abs. 7 DSGVO überlässt es zudem den Mitgliedstaaten, ob und in welchem Umfang gegen Behörden und öffentliche Stellen Geldbußen verhängt werden können; Deutschland hat davon in § 43 Abs. 3 BDSG Gebrauch gemacht und Geldbußen gegen Behörden und sonstige öffentliche Stellen ausgeschlossen. Landesrecht kann für Landesbehörden abweichen.