Blog

Welche Konsequenzen drohen bei fehlender DSGVO-Konformität – Bußgelder, Abmahnungen und mehr?

Herausgegeben von Decareto

4 Minuten lesen

November 9, 2026

Bei fehlender DSGVO-Konformität drohen Unternehmen erhebliche Konsequenzen: Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, zivilrechtliche Abmahnungen von Mitbewerbern, Schadensersatzansprüche betroffener Personen sowie erhebliche Reputationsschäden. Wie hoch das tatsächliche Risiko ausfällt, hängt von der Art des Verstoßes, der Unternehmensgröße und dem Verhalten gegenüber der Aufsichtsbehörde ab. Die folgenden Abschnitte beleuchten die wichtigsten Fragen rund um DSGVO-Sanktionen und zeigen, wie Sie Risiken auf Ihrer Website frühzeitig erkennen können.

Wie hoch können DSGVO-Bußgelder tatsächlich ausfallen?

DSGVO-Bußgelder können je nach Verstoßkategorie bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes beziehungsweise bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes betragen, wobei jeweils der höhere Betrag gilt. Die Bußgeldhöhe orientiert sich an Schwere, Dauer und Vorsätzlichkeit des Verstoßes sowie an der Kooperationsbereitschaft des Unternehmens.

Artikel 83 DSGVO unterscheidet dabei zwei Bußgeldrahmen:

Unterer Rahmen (bis 10 Mio. Euro / 2 % Umsatz): Verstöße gegen technisch-organisatorische Pflichten, etwa fehlende Verarbeitungsverzeichnisse oder unzureichende Datenschutz-Folgenabschätzungen.
Oberer Rahmen (bis 20 Mio. Euro / 4 % Umsatz): Verstöße gegen Grundsätze der Datenverarbeitung, fehlende Rechtsgrundlagen oder Verletzungen von Betroffenenrechten.

Für kleine und mittlere Unternehmen können selbst Bußgelder im unteren Bereich existenzbedrohend sein. Europäische Aufsichtsbehörden haben in den vergangenen Jahren nachweislich Bußgelder in Millionenhöhe verhängt, auch gegen mittelständische Unternehmen. Wichtig zu verstehen: Aufsichtsbehörden berücksichtigen bei der Bemessung, ob ein Unternehmen proaktiv Maßnahmen ergriffen hat, um Verstöße zu erkennen und zu beheben.

Was ist der Unterschied zwischen einer DSGVO-Abmahnung und einem Bußgeld?

Ein DSGVO-Bußgeld wird von staatlichen Datenschutzaufsichtsbehörden verhängt, während eine Abmahnung von privatrechtlichen Akteuren wie Mitbewerbern oder Verbraucherschutzverbänden ausgesprochen wird. Beide Instrumente können parallel eingesetzt werden, haben jedoch unterschiedliche rechtliche Grundlagen und Konsequenzen.

Bußgelder durch Aufsichtsbehörden

Datenschutzbehörden wie die deutschen Landesdatenschutzbehörden oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit können Bußgeldverfahren nach Artikel 83 DSGVO von Amts wegen oder auf Beschwerde hin einleiten. Das Verfahren ist behördlich, und das Unternehmen hat Anhörungs- und Widerspruchsrechte. Bußgelder fließen in den Staatshaushalt.

Abmahnungen durch private Dritte

Mitbewerber und qualifizierte Einrichtungen wie Verbraucherzentralen können Datenschutzverstöße auf Websites als wettbewerbswidrig einstufen und Abmahnungen aussprechen. Diese enthalten in der Regel eine Unterlassungsforderung, eine Kostennote für Anwaltsgebühren und die Aufforderung, eine strafbewehrte Unterlassungserklärung zu unterzeichnen. Wird die Erklärung unterzeichnet und der Verstoß wiederholt, drohen Vertragsstrafen. Abmahnungen können schnell mehrere tausend Euro kosten, noch bevor ein Gericht einbezogen wird.

Welche DSGVO-Verstöße auf Websites werden am häufigsten geahndet?

Zu den am häufigsten sanktionierten DSGVO-Verstößen auf Websites zählen das Setzen nicht notwendiger Cookies ohne vorherige Einwilligung, der Einsatz von Tracking-Diensten ohne gültige Rechtsgrundlage, fehlerhafte oder irreführende Consent-Banner sowie eine unvollständige oder veraltete Datenschutzerklärung.

In der Praxis treten folgende Probleme besonders häufig auf:

Cookies ohne Einwilligung: Nicht notwendige Cookies wie Analyse- oder Marketing-Cookies werden gesetzt, bevor der Nutzer aktiv zugestimmt hat.
Vorausgefüllte Consent-Banner: Einwilligungen sind standardmäßig aktiviert oder das Ablehnen ist bewusst erschwert.
Drittlandübertragungen ohne Absicherung: Dienste wie bestimmte US-amerikanische Analyse- oder Werbeplattformen übertragen Daten in unsichere Drittstaaten, ohne dass eine ausreichende Garantie besteht.
Fehlende oder unvollständige Datenschutzerklärung: Eingesetzte externe Dienste werden nicht oder unvollständig in der Datenschutzerklärung aufgeführt.
Google-Dienste ohne Einwilligung: Dienste wie Google Analytics oder Google Fonts wurden in der Vergangenheit wiederholt als problematisch eingestuft, wenn sie ohne wirksame Einwilligung eingebunden wurden.

Besonders tückisch: Viele dieser Verstöße entstehen nicht durch Absicht, sondern durch technische Änderungen an der Website, durch Plugin-Updates oder durch die Einbindung neuer Drittanbieter-Dienste, die im Nachgang nicht datenschutzrechtlich bewertet wurden. Eine regelmäßige DSGVO-Prüfung der Website hilft dabei, solche Lücken frühzeitig zu erkennen.

Wer darf Unternehmen wegen DSGVO-Verstößen abmahnen oder sanktionieren?

DSGVO-Verstöße können von mehreren Akteuren verfolgt werden: von staatlichen Datenschutzaufsichtsbehörden, von betroffenen Personen, von Mitbewerbern sowie von qualifizierten Einrichtungen wie Verbraucherschutzverbänden. Das macht die Durchsetzung der DSGVO zu einem mehrdimensionalen Risiko.

Datenschutzaufsichtsbehörden: Sie können Bußgelder verhängen, Verarbeitungstätigkeiten untersagen und Verwarnungen aussprechen. In Deutschland ist jedes Bundesland für Unternehmen mit Sitz in seinem Hoheitsgebiet zuständig.
Betroffene Personen: Jede natürliche Person, deren Daten verarbeitet werden, kann Beschwerde bei einer Aufsichtsbehörde einlegen und Schadensersatz nach Artikel 82 DSGVO geltend machen, auch ohne nachweisbaren materiellen Schaden.
Mitbewerber: Sie können Datenschutzverstöße als Wettbewerbsverstöße werten und zivilrechtlich abmahnen, sofern der Verstoß geeignet ist, den Wettbewerb zu verzerren.
Qualifizierte Einrichtungen: Verbraucherzentralen und ähnliche Organisationen sind seit der Umsetzung der EU-Verbandsklagenrichtlinie in Deutschland berechtigt, Verstöße gerichtlich zu verfolgen.

Welche weiteren Konsequenzen drohen neben Bußgeldern und Abmahnungen?

Neben Bußgeldern und Abmahnungen können DSGVO-Verstöße zu Schadensersatzansprüchen betroffener Personen, zur Untersagung bestimmter Datenverarbeitungstätigkeiten durch Behörden, zu Reputationsschäden sowie zu erhöhtem internen Aufwand durch Behördenanfragen und Audits führen.

Im Einzelnen bedeutet das:

Schadensersatz nach Artikel 82 DSGVO: Betroffene Personen können immateriellen Schadensersatz fordern. Gerichte haben in mehreren europäischen Ländern solche Ansprüche auch ohne konkret nachgewiesenen finanziellen Schaden zugesprochen.
Verarbeitungsverbote: Aufsichtsbehörden können bestimmte Datenverarbeitungen vorübergehend oder dauerhaft untersagen, was den Betrieb von Websites oder Geschäftsprozessen erheblich einschränken kann.
Reputationsverlust: Behördliche Entscheidungen und Bußgelder werden in vielen EU-Ländern öffentlich bekannt gemacht. Kunden, Partner und Investoren nehmen solche Meldungen wahr, was das Vertrauen nachhaltig beschädigen kann.
Operativer Aufwand: Behördenanfragen, interne Untersuchungen und notwendige technische Nachbesserungen binden erhebliche Ressourcen, die in vielen Unternehmen ohnehin knapp sind.

Wie lassen sich DSGVO-Risiken auf Websites frühzeitig erkennen und minimieren?

DSGVO-Risiken auf Websites lassen sich frühzeitig erkennen, indem Sie regelmäßige technische Prüfungen durchführen, die Cookies, externe Dienste, Consent-Banner und die Datenschutzerklärung systematisch analysieren. Entscheidend ist dabei nicht nur die einmalige Prüfung, sondern eine kontinuierliche Überwachung, da sich Websites durch Updates und neue Dienste laufend verändern.

Folgende Maßnahmen helfen, das Risikopotenzial zu reduzieren:

Technische Website-Audits: Prüfen Sie regelmäßig, welche Cookies und externe Dienste auf Ihrer Website aktiv sind und ob diese eine Einwilligung erfordern. Besonders nach Website-Updates oder der Einbindung neuer Plugins ist eine erneute Prüfung sinnvoll.
Consent-Management überprüfen: Stellen Sie sicher, dass Ihr Consent-Banner technisch korrekt implementiert ist, nicht notwendige Cookies erst nach aktiver Zustimmung lädt und das Ablehnen genauso einfach ist wie das Akzeptieren.
Datenschutzerklärung aktuell halten: Alle eingesetzten externen Dienste sollten in der Datenschutzerklärung korrekt benannt sein. Ein Datenschutzgenerator kann dabei helfen, die Erklärung auf Basis tatsächlich erkannter Dienste zu erstellen.
Drittlandtransfers prüfen: Identifizieren Sie Dienste, die Daten in unsichere Drittstaaten übertragen, und klären Sie, ob eine ausreichende Rechtsgrundlage besteht, etwa durch eine Zertifizierung im Data Privacy Framework.
Kontinuierliche Überwachung einrichten: Einmalige Audits reichen nicht aus. Richten Sie Monitoring-Prozesse ein, die Sie automatisch informieren, wenn sich relevante Aspekte Ihrer Website ändern.

Wichtig: Technische Prüfungen können Hinweise auf mögliche Risiken liefern und den Prüfaufwand erheblich reduzieren, ersetzen jedoch nicht die rechtliche Beurteilung durch einen qualifizierten Datenschutzbeauftragten oder eine Anwaltskanzlei.

So unterstützt decareto bei der DSGVO-Risikoerkennung auf Websites

Wir bei decareto haben eine SaaS-Plattform entwickelt, die Datenschutzbeauftragte, Agenturen, Kanzleien und Compliance-Teams dabei unterstützt, DSGVO-Risiken auf Websites systematisch zu identifizieren und zu dokumentieren. Unsere Software ersetzt keine rechtliche Beratung, liefert aber die technische Grundlage, auf der fundierte Entscheidungen getroffen werden können.

Was decareto konkret leistet:

Automatisierte DSGVO-Website-Scans in Minuten statt Stunden, inklusive Unterseiten und passwortgeschützter Bereiche
Erkennung von Cookies, Trackern und externen Diensten sowie Bewertung, ob eine Einwilligung erforderlich ist und ob diese tatsächlich eingeholt wird
Prüfung des Consent-Banners auf technische Korrektheit und Verhalten vor und nach Benutzerinteraktion
Abgleich mit der Datenschutzerklärung, um fehlende Nennungen erkannter Dienste zu identifizieren
Kontinuierliche Überwachung mit automatischen Benachrichtigungen bei relevanten Änderungen
Detaillierte Reports mit konkreten Handlungsempfehlungen, die direkt mit Kunden geteilt oder unter eigenem Logo als Whitelabel-Report ausgeliefert werden können

Mit decareto können Sie den Aufwand für Website-Datenschutzprüfungen um bis zu 90 % reduzieren und gleichzeitig eine konsistente, nachvollziehbare Prüfbasis schaffen. Möchten Sie sehen, welche DSGVO-Risiken Ihre Website heute aufweist? Jetzt kostenlos testen und erste Ergebnisse in Minuten erhalten.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.