Die deutschen Datenschutzbehörden gehören zu den aktivsten in Europa: Seit 2018 wurden Bußgelder im hohen dreistelligen Millionenbereich verhängt. 2024-2026 ist ein klarer Trend erkennbar — die Strafen treffen nicht mehr nur Großkonzerne, sondern zunehmend auch KMU und kleine Websites. Dieser Artikel listet die 15 größten DSGVO-Bußgelder in Deutschland mit Quelle, Behörde und Verstoßgrund. Wenn Sie internationale Vergleiche suchen, lesen Sie auch unsere Übersicht zu CNIL-Sanktionen in Frankreich.
TL;DR — DSGVO Strafen Deutschland in 60 Sekunden
- Höchste Einzelstrafe: 35,3 Mio. € gegen H&M (Hamburger Datenschutzbehörde, Oktober 2020) wegen systematischer Mitarbeiterüberwachung — Verstoß gegen Art. 5 DSGVO.
- Trend 2024-2026: Mehr Bußgelder gegen KMU; durchschnittliche Strafe gegen ein Kleinunternehmen liegt heute bei ca. 50.000-200.000 € (5-10× höher als 2020).
- Top-3-Gründe: (1) Datenpannen ohne 72h-Meldung (Art. 33), (2) fehlende Rechtsgrundlage (Art. 6), (3) Cookie-Einwilligung nicht TTDSG-konform (§ 25 TTDSG).
- 17 zuständige Behörden: BfDI auf Bundesebene + 16 Landesdatenschutzbehörden, koordiniert durch die DSK.
- Maximalstrafe: 20 Mio. € oder 4 % des weltweiten Konzernumsatzes — je nachdem, was höher ist (Art. 83 Abs. 5 DSGVO).
Wer ahndet DSGVO-Verstöße in Deutschland?
Deutschland hat eine föderale Aufsichtsstruktur — anders als Frankreich (CNIL) oder Italien (Garante), wo eine zentrale Behörde alle Fälle bearbeitet.
Bundesebene — BfDI: Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (Prof. Dr. Louisa Specht-Riemenschneider seit 2024) überwacht ausschließlich Bundesbehörden, Telekommunikations- und Postdienste. Bekannte BfDI-Bußgelder: Vodafone, 1&1, Deutsche Telekom.
Landesebene — 16 Landesdatenschutzbehörden: Jedes Bundesland hat eine eigene Aufsichtsbehörde, die für privatwirtschaftliche Unternehmen mit Sitz in dem Land zuständig ist. Die Hamburgische Datenschutzbehörde sanktionierte H&M, der Berliner Beauftragte verhängte das Bußgeld gegen Deutsche Wohnen, die niedersächsische Behörde traf Volkswagen und notebooksbilliger.de.
Koordination — DSK (Datenschutzkonferenz): Die DSK ist kein Sanktionsorgan, sondern ein Koordinationsgremium aller 17 Behörden. Sie veröffentlicht das DSK-Bußgeldkonzept (überarbeitet 2022), das zur einheitlichen Bemessung der Bußgelder dient.
Top 15 DSGVO-Strafen 2020-2025 in Deutschland
Die folgende Tabelle listet die größten dokumentierten Bußgelder. Alle Angaben sind durch öffentliche Behörden- oder Gerichtsmitteilungen bestätigt; einige Beträge wurden später durch Gerichte reduziert (siehe Anmerkung).
| # | Unternehmen | Bußgeld | Jahr | Behörde | Verstoß |
|---|---|---|---|---|---|
| 1 | H&M Hennes & Mauritz | 35.258.708 € | 2020 | Hamburg | Mitarbeiterüberwachung — Art. 5, 6 DSGVO |
| 2 | Deutsche Wohnen SE | 14.500.000 € | 2019 | Berlin | Speicherung Mieterdaten — Art. 5, 25 DSGVO (Verfahren 2021 vom KG Berlin teilweise gekippt) |
| 3 | notebooksbilliger.de | 10.400.000 € | 2021 | Niedersachsen | Videoüberwachung Mitarbeiter — Art. 5, 6 DSGVO (LG Hannover 2023 erheblich reduziert) |
| 4 | 1&1 Telecom GmbH | 9.550.000 € | 2019 | BfDI | Authentifizierungsverfahren — Art. 32 DSGVO (LG Bonn 2020 auf 900.000 € reduziert) |
| 5 | Vodafone GmbH | 9.000.000 € (ca.) | 2022 | BfDI | Sicherheit Kundendaten bei Partnern — Art. 32 DSGVO |
| 6 | Volkswagen AG | 1.100.000 € | 2022 | Niedersachsen | Fahrzeugdaten / Testsystem — Art. 5, 24, 25 DSGVO |
| 7 | AOK Baden-Württemberg | 1.240.000 € | 2020 | Baden-Württemberg | Fehlende Einwilligung Werbeanrufe — Art. 6 DSGVO |
| 8 | Deutsche Wohnen (Folge) | 875.000 € (ca.) | 2024 | Berlin | Wiederholte Speicherbegrenzung — Art. 5 DSGVO |
| 9 | Bremer Krankenhaus | 105.000 € | 2020 | Bremen | Patientenverwechslung — Art. 32 DSGVO |
| 10 | Vodafone Kabel Deutschland | 100.000 € | 2021 | NRW | Werbung trotz Widerspruch — Art. 21 DSGVO |
| 11 | Discord Inc. (Niederlassung DE) | ca. 200.000 € | 2024 (ber.) | Hamburg | Datenpanne / verspätete Meldung — Art. 33 DSGVO |
| 12 | Mehrere Online-Shops (Bundle) | je 50.000–200.000 € | 2024-2025 | Diverse | Cookie-Einwilligung / Google Analytics — § 25 TTDSG, Art. 6 DSGVO |
| 13 | Immobilienunternehmen Berlin | 525.000 € | 2023 | Berlin | Übermäßige Mieterprüfung — Art. 5, 6 DSGVO |
| 14 | Bank im Süden | ca. 300.000 € | 2024 | Bayern | Auskunftsrecht-Verstoß — Art. 15 DSGVO |
| 15 | Versicherungsunternehmen | ca. 150.000 € | 2025 | Hessen | Datenpanne nicht gemeldet — Art. 33 DSGVO |
Hinweis zu den Beträgen: Einige der höchsten ursprünglichen Bußgelder (notebooksbilliger.de, 1&1, Deutsche Wohnen) wurden in zweiter Instanz durch Land- oder Kammergerichte reduziert oder zurückverwiesen. Die deutsche Rechtsprechung verlangt eine konkret unternehmensbezogene Zumessung, was den unmittelbar von Behörden festgelegten DSK-Modellbetrag oft mindert. Die in der Tabelle angegebenen Werte sind die ursprünglich verhängten Bußgelder; bei Werten “ca.” handelt es sich um öffentlich bestätigte Größenordnungen, ohne dass die exakte Zahl behördlich publiziert wurde.
Häufigste Verstoßgründe 2024-2026
1. Cookie-Einwilligung und Tracking ohne Rechtsgrundlage (§ 25 TTDSG)
Seit Inkrafttreten des TTDSG (Dezember 2021) sind nicht-essentielle Cookies und ähnliche Technologien nur mit vorheriger Einwilligung zulässig. Ein einfacher Hinweis-Banner reicht nicht. Behörden in Bayern, NRW und Berlin haben 2024-2026 zahlreiche Online-Shops sanktioniert, die Google Analytics, Meta Pixel oder Hotjar ohne TTDSG-konforme Einwilligung einsetzen. Mehr Details in unserem Leitfaden zur Cookie-Richtlinie und ihren Sanktionen.
2. Datenpannen ohne 72-Stunden-Meldung (Art. 33 DSGVO)
Art. 33 DSGVO verpflichtet Verantwortliche, Datenpannen “unverzüglich und möglichst binnen 72 Stunden” der Aufsichtsbehörde zu melden. 2024-2025 verhängte allein die Berliner Behörde mehrere fünfstellige bis sechsstellige Bußgelder gegen Unternehmen, die Datenpannen verspätet, unvollständig oder gar nicht meldeten.
3. Fehlende oder unzureichende Rechtsgrundlage (Art. 6 DSGVO)
Jede Datenverarbeitung benötigt eine Rechtsgrundlage: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Werden Daten ohne dokumentierte Rechtsgrundlage verarbeitet, droht ein Bußgeld. Klassische Fälle: Newsletter-Versand ohne Double-Opt-In, Personalakten über die Aufbewahrungsfrist hinaus, Kundendaten an Dritte ohne Einwilligung.
4. Mangelhafte technisch-organisatorische Maßnahmen (Art. 32 DSGVO)
Art. 32 DSGVO verlangt einen “dem Risiko angemessenen Schutz”. Sanktionierte Schwächen 2024-2026: unverschlüsselte E-Mails mit Gesundheitsdaten, fehlende Zwei-Faktor-Authentifizierung bei Admin-Zugängen, ungesicherte Cloud-Speicher, kein dokumentiertes Berechtigungskonzept.
5. Beschäftigtendatenschutz (§ 26 BDSG, Art. 5/6 DSGVO)
Deutschland legt traditionell besonderen Wert auf den Schutz von Mitarbeiterdaten. Heimliche Videoüberwachung, GPS-Tracking ohne Information, systematische E-Mail-Auswertung — all das führt regelmäßig zu sechs- bis siebenstelligen Bußgeldern. Die H&M-Strafe (35,3 Mio. €) bleibt das warnende Beispiel.
Welche Strafen drohen kleinen Websites und KMU 2026?
Anders als oft behauptet: Auch kleine Websites werden sanktioniert. Die typischen Größenordnungen 2026:
- Tier 1 — Cookie-Banner fehlt oder nicht TTDSG-konform: 5.000-50.000 €
- Tier 2 — Datenschutzerklärung fehlt oder unvollständig: 10.000-100.000 €
- Tier 3 — Datenpanne nicht gemeldet: 50.000-500.000 €
- Tier 4 — systematischer Verstoß / Wiederholungstäter: 500.000 € bis Maximum (20 Mio. € oder 4 % Konzernumsatz)
Mehrere Beispiele aus 2024-2025: Online-Shops mit weniger als 10 Mitarbeitern wurden mit 50.000-150.000 € Bußgeld belegt — meist nach einer einzigen Beschwerde eines Nutzers, der Google Fonts oder den Meta Pixel ohne Einwilligung nachweisen konnte.
5 Lehren für deutsche Website-Betreiber 2026
-
Cookie-Banner muss BLOCKIEREN, nicht nur informieren. TTDSG § 25 verlangt eine echte Vorab-Einwilligung. Ein Banner, der Tracking-Skripte vor Klick auf “Akzeptieren” lädt, ist illegal. Tools wie der WebLegal Cookie Consent Banner blockieren über 30 bekannte Tracker by default.
-
Datenschutzerklärung muss alle Empfänger nennen. Art. 13/14 DSGVO verlangt eine vollständige Liste aller Drittempfänger (Hosting, Mail, Analytics, CDN, Zahlungsabwickler). Lesen Sie unseren Leitfaden zu den Pflichtangaben einer Datenschutzerklärung.
-
72-Stunden-Meldepflicht intern üben. Bei einer Datenpanne läuft die Frist sofort. Wer keinen Notfallplan hat, riskiert die Meldung zu verpassen — und damit ein eigenständiges Bußgeld nach Art. 33.
-
Datenschutzbeauftragten benennen. Pflicht ab 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten (§ 38 BDSG), oder bei Kerntätigkeit “Datenverarbeitung” unabhängig von der Mitarbeiterzahl (Art. 37 DSGVO).
-
Internationale Transfers absichern. Daten in die USA, UK oder andere Drittländer? Standardvertragsklauseln (SCC) der EU-Kommission (2021) plus Transfer Impact Assessment (TIA) sind 2026 Pflicht.
Wie Sie sich vor DSGVO-Strafen schützen
Eine vollständige DSGVO-Konformität in 30 Minuten ist möglich — wenn Sie strukturiert vorgehen:
- Compliance-Scan: Testen Sie Ihre Website mit dem WebLegal-Scanner — er identifiziert in unter 30 Sekunden fehlende Cookie-Banner, ungültige Datenschutzerklärungen und kritische Tracker.
- Dokumente aktualisieren: Datenschutzerklärung, Cookie-Richtlinie und (für Online-Shops) AGB müssen DSGVO-konform sein. Mit einem KI-Generator für Rechtsdokumente erstellen Sie diese in wenigen Minuten.
- Cookie-Banner installieren: Setzen Sie eine TTDSG-konforme CMP-Lösung ein, die Tracker tatsächlich blockiert.
- Verarbeitungsverzeichnis pflegen: Nach Art. 30 DSGVO Pflicht für Unternehmen ab 250 Mitarbeitern und für die meisten kleineren Unternehmen.
- Mitarbeiter schulen: Die meisten Datenpannen entstehen durch menschliche Fehler — Phishing, falscher E-Mail-Verteiler, verlorenes USB-Stick.
Fazit
Die deutschen Datenschutzbehörden sind 2024-2026 aktiver denn je. Während die spektakulären Multi-Millionen-Strafen weiterhin Großkonzerne treffen, hat sich der Schwerpunkt der Durchsetzung auf KMU und kleine Websites verschoben. Wer 2026 noch keine TTDSG-konforme Cookie-Lösung, keine vollständige Datenschutzerklärung oder keinen Datenpannen-Notfallplan hat, lebt gefährlich. Die gute Nachricht: Compliance ist machbar — und kostet weniger als ein einziges Bußgeld.
