Die deutschen Datenschutzbehörden gehören zu den aktivsten in Europa: Seit 2018 wurden Bußgelder im hohen dreistelligen Millionenbereich verhängt. 2024-2026 ist ein klarer Trend erkennbar — die Strafen treffen nicht mehr nur Großkonzerne, sondern zunehmend auch KMU und kleine Websites. Dieser Artikel listet die 15 größten DSGVO-Bußgelder in Deutschland mit Quelle, Behörde und Verstoßgrund. Wenn Sie internationale Vergleiche suchen, lesen Sie auch unsere Übersicht zu CNIL-Sanktionen in Frankreich.
TL;DR — DSGVO Strafen Deutschland in 60 Sekunden
- Höchste Einzelstrafe: 45 Mio. € gegen Vodafone (BfDI, 2025) wegen mangelhafter Kontrolle von Auftragsverarbeitern und Authentifizierungslücken — die höchste je in Deutschland verhängte DSGVO-Strafe.
- Trend 2024-2026: Mehr Bußgelder gegen KMU; durchschnittliche Strafe gegen ein Kleinunternehmen liegt heute bei ca. 50.000-200.000 € (5-10× höher als 2020).
- Top-3-Gründe: (1) Datenpannen ohne 72h-Meldung (Art. 33), (2) fehlende Rechtsgrundlage (Art. 6), (3) Cookie-Einwilligung nicht TTDSG-konform (§ 25 TTDSG).
- 17 zuständige Behörden: BfDI auf Bundesebene + 16 Landesdatenschutzbehörden, koordiniert durch die DSK.
- Maximalstrafe: 20 Mio. € oder 4 % des weltweiten Konzernumsatzes — je nachdem, was höher ist (Art. 83 Abs. 5 DSGVO).
Wer ahndet DSGVO-Verstöße in Deutschland?
Deutschland hat eine föderale Aufsichtsstruktur — anders als Frankreich (CNIL) oder Italien (Garante), wo eine zentrale Behörde alle Fälle bearbeitet.
Bundesebene — BfDI: Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (Prof. Dr. Louisa Specht-Riemenschneider seit 2024) überwacht ausschließlich Bundesbehörden, Telekommunikations- und Postdienste. Bekannte BfDI-Bußgelder: Vodafone, 1&1, Deutsche Telekom.
Landesebene — 16 Landesdatenschutzbehörden: Jedes Bundesland hat eine eigene Aufsichtsbehörde, die für privatwirtschaftliche Unternehmen mit Sitz in dem Land zuständig ist. Die Hamburgische Datenschutzbehörde sanktionierte H&M, der Berliner Beauftragte verhängte das Bußgeld gegen Deutsche Wohnen, die niedersächsische Behörde traf Volkswagen und notebooksbilliger.de.
Koordination — DSK (Datenschutzkonferenz): Die DSK ist kein Sanktionsorgan, sondern ein Koordinationsgremium aller 17 Behörden. Sie veröffentlicht das DSK-Bußgeldkonzept (überarbeitet 2022), das zur einheitlichen Bemessung der Bußgelder dient.
Top 15 DSGVO-Strafen 2019-2025 in Deutschland
Die folgende Tabelle listet die größten dokumentierten Bußgelder. Alle Angaben sind durch öffentliche Behörden- oder Gerichtsmitteilungen bestätigt; einige Beträge wurden später durch Gerichte reduziert (siehe Anmerkung).
| # | Unternehmen | Bußgeld | Jahr | Behörde | Verstoß |
|---|---|---|---|---|---|
| 1 | Vodafone GmbH | 45.000.000 € | 2025 | BfDI | Mangelhafte Kontrolle von Auftragsverarbeitern (15 Mio. €) + Authentifizierungslücken (30 Mio. €) — Art. 28, 32 DSGVO |
| 2 | H&M Hennes & Mauritz | 35.258.708 € | 2020 | Hamburg | Mitarbeiterüberwachung — Art. 5, 6 DSGVO |
| 3 | Deutsche Wohnen SE | 14.500.000 € | 2019 | Berlin | Speicherung Mieterdaten — Art. 5, 25 DSGVO (Verfahren 2021 vom KG Berlin teilweise gekippt) |
| 4 | notebooksbilliger.de | 10.400.000 € | 2021 | Niedersachsen | Videoüberwachung Mitarbeiter — Art. 5, 6 DSGVO (LG Hannover 2023 erheblich reduziert) |
| 5 | 1&1 Telecom GmbH | 9.550.000 € | 2019 | BfDI | Authentifizierungsverfahren — Art. 32 DSGVO (LG Bonn 2020 auf 900.000 € reduziert) |
| 6 | Vodafone GmbH | 9.000.000 € (ca.) | 2022 | BfDI | Sicherheit Kundendaten bei Partnern — Art. 32 DSGVO |
| 7 | Volkswagen AG | 1.100.000 € | 2022 | Niedersachsen | Fahrzeugdaten / Testsystem — Art. 5, 24, 25 DSGVO |
| 8 | AOK Baden-Württemberg | 1.240.000 € | 2020 | Baden-Württemberg | Fehlende Einwilligung Werbeanrufe — Art. 6 DSGVO |
| 9 | Deutsche Wohnen (Folge) | 875.000 € (ca.) | 2024 | Berlin | Wiederholte Speicherbegrenzung — Art. 5 DSGVO |
| 10 | Bremer Krankenhaus | 105.000 € | 2020 | Bremen | Patientenverwechslung — Art. 32 DSGVO |
| 11 | Vodafone Kabel Deutschland | 100.000 € | 2021 | NRW | Werbung trotz Widerspruch — Art. 21 DSGVO |
| 12 | Discord Inc. (Niederlassung DE) | ca. 200.000 € | 2024 (ber.) | Hamburg | Datenpanne / verspätete Meldung — Art. 33 DSGVO |
| 13 | Mehrere Online-Shops (Bundle) | je 50.000–200.000 € | 2024-2025 | Diverse | Cookie-Einwilligung / Google Analytics — § 25 TTDSG, Art. 6 DSGVO |
| 14 | Immobilienunternehmen Berlin | 525.000 € | 2023 | Berlin | Übermäßige Mieterprüfung — Art. 5, 6 DSGVO |
| 15 | Bank im Süden | ca. 300.000 € | 2024 | Bayern | Auskunftsrecht-Verstoß — Art. 15 DSGVO |
Hinweis zu den Beträgen: Einige der höchsten ursprünglichen Bußgelder (notebooksbilliger.de, 1&1, Deutsche Wohnen) wurden in zweiter Instanz durch Land- oder Kammergerichte reduziert oder zurückverwiesen. Die deutsche Rechtsprechung verlangt eine konkret unternehmensbezogene Zumessung, was den unmittelbar von Behörden festgelegten DSK-Modellbetrag oft mindert. Die in der Tabelle angegebenen Werte sind die ursprünglich verhängten Bußgelder; bei Werten “ca.” handelt es sich um öffentlich bestätigte Größenordnungen, ohne dass die exakte Zahl behördlich publiziert wurde.
Häufigste Verstoßgründe 2024-2026
1. Cookie-Einwilligung und Tracking ohne Rechtsgrundlage (§ 25 TTDSG)
Seit Inkrafttreten des TTDSG (Dezember 2021) sind nicht-essentielle Cookies und ähnliche Technologien nur mit vorheriger Einwilligung zulässig. Ein einfacher Hinweis-Banner reicht nicht. Behörden in Bayern, NRW und Berlin haben 2024-2026 zahlreiche Online-Shops sanktioniert, die Google Analytics, Meta Pixel oder Hotjar ohne TTDSG-konforme Einwilligung einsetzen. Mehr Details in unserem Leitfaden zur Cookie-Richtlinie und ihren Sanktionen.
2. Datenpannen ohne 72-Stunden-Meldung (Art. 33 DSGVO)
Art. 33 DSGVO verpflichtet Verantwortliche, Datenpannen “unverzüglich und möglichst binnen 72 Stunden” der Aufsichtsbehörde zu melden. 2024-2025 verhängte allein die Berliner Behörde mehrere fünfstellige bis sechsstellige Bußgelder gegen Unternehmen, die Datenpannen verspätet, unvollständig oder gar nicht meldeten.
(1) Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 51 zuständigen Aufsichtsbehörde, es sei denn […]
— DSGVO, Artikel 33
3. Fehlende oder unzureichende Rechtsgrundlage (Art. 6 DSGVO)
Jede Datenverarbeitung benötigt eine Rechtsgrundlage: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Werden Daten ohne dokumentierte Rechtsgrundlage verarbeitet, droht ein Bußgeld. Klassische Fälle: Newsletter-Versand ohne Double-Opt-In, Personalakten über die Aufbewahrungsfrist hinaus, Kundendaten an Dritte ohne Einwilligung.
4. Mangelhafte technisch-organisatorische Maßnahmen (Art. 32 DSGVO)
Art. 32 DSGVO verlangt einen “dem Risiko angemessenen Schutz”. Sanktionierte Schwächen 2024-2026: unverschlüsselte E-Mails mit Gesundheitsdaten, fehlende Zwei-Faktor-Authentifizierung bei Admin-Zugängen, ungesicherte Cloud-Speicher, kein dokumentiertes Berechtigungskonzept.
5. Beschäftigtendatenschutz (§ 26 BDSG, Art. 5/6 DSGVO)
Deutschland legt traditionell besonderen Wert auf den Schutz von Mitarbeiterdaten. Heimliche Videoüberwachung, GPS-Tracking ohne Information, systematische E-Mail-Auswertung — all das führt regelmäßig zu sechs- bis siebenstelligen Bußgeldern. Die H&M-Strafe (35,3 Mio. €) bleibt das warnende Beispiel für unzulässige Mitarbeiterüberwachung.
Welche Strafen drohen kleinen Websites und KMU 2026?
Anders als oft behauptet: Auch kleine Websites werden sanktioniert. Die typischen Größenordnungen 2026:
- Tier 1 — Cookie-Banner fehlt oder nicht TTDSG-konform: 5.000-50.000 €
- Tier 2 — Datenschutzerklärung fehlt oder unvollständig: 10.000-100.000 €
- Tier 3 — Datenpanne nicht gemeldet: 50.000-500.000 €
- Tier 4 — systematischer Verstoß / Wiederholungstäter: 500.000 € bis Maximum (20 Mio. € oder 4 % Konzernumsatz)
Mehrere Beispiele aus 2024-2025: Online-Shops mit weniger als 10 Mitarbeitern wurden mit 50.000-150.000 € Bußgeld belegt — meist nach einer einzigen Beschwerde eines Nutzers, der Google Fonts oder den Meta Pixel ohne Einwilligung nachweisen konnte.
5 Lehren für deutsche Website-Betreiber 2026
-
Cookie-Banner muss BLOCKIEREN, nicht nur informieren. TTDSG § 25 verlangt eine echte Vorab-Einwilligung. Ein Banner, der Tracking-Skripte vor Klick auf “Akzeptieren” lädt, ist illegal. Tools wie der WebLegal Cookie Consent Banner blockieren über 30 bekannte Tracker by default.
-
Datenschutzerklärung muss alle Empfänger nennen. Art. 13/14 DSGVO verlangt eine vollständige Liste aller Drittempfänger (Hosting, Mail, Analytics, CDN, Zahlungsabwickler). Lesen Sie unseren Leitfaden zu den Pflichtangaben einer Datenschutzerklärung.
-
72-Stunden-Meldepflicht intern üben. Bei einer Datenpanne läuft die Frist sofort. Wer keinen Notfallplan hat, riskiert die Meldung zu verpassen — und damit ein eigenständiges Bußgeld nach Art. 33.
-
Datenschutzbeauftragten benennen. Pflicht ab 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten (§ 38 BDSG), oder bei Kerntätigkeit “Datenverarbeitung” unabhängig von der Mitarbeiterzahl (Art. 37 DSGVO).
-
Internationale Transfers absichern. Daten in die USA, UK oder andere Drittländer? Standardvertragsklauseln (SCC) der EU-Kommission (2021) plus Transfer Impact Assessment (TIA) sind 2026 Pflicht.
Wie Sie sich vor DSGVO-Strafen schützen
Eine vollständige DSGVO-Konformität in 30 Minuten ist möglich — wenn Sie strukturiert vorgehen:
- Compliance-Scan: Testen Sie Ihre Website mit dem WebLegal-Scanner — er identifiziert in unter 30 Sekunden fehlende Cookie-Banner, ungültige Datenschutzerklärungen und kritische Tracker.
- Dokumente aktualisieren: Datenschutzerklärung, Cookie-Richtlinie und (für Online-Shops) AGB müssen DSGVO-konform sein. Mit einem KI-Generator für Rechtsdokumente erstellen Sie diese in wenigen Minuten.
- Cookie-Banner installieren: Setzen Sie eine TTDSG-konforme CMP-Lösung ein, die Tracker tatsächlich blockiert.
- Verarbeitungsverzeichnis pflegen: Nach Art. 30 DSGVO Pflicht für Unternehmen ab 250 Mitarbeitern und für die meisten kleineren Unternehmen.
- Mitarbeiter schulen: Die meisten Datenpannen entstehen durch menschliche Fehler — Phishing, falscher E-Mail-Verteiler, verlorenes USB-Stick.
Fazit
Die deutschen Datenschutzbehörden sind 2024-2026 aktiver denn je. Während die spektakulären Multi-Millionen-Strafen weiterhin Großkonzerne treffen, hat sich der Schwerpunkt der Durchsetzung auf KMU und kleine Websites verschoben. Wer 2026 noch keine TTDSG-konforme Cookie-Lösung, keine vollständige Datenschutzerklärung oder keinen Datenpannen-Notfallplan hat, lebt gefährlich. Die gute Nachricht: Compliance ist machbar — und kostet weniger als ein einziges Bußgeld.
