Bußgelder und Strafen nach der Datenschutz-Grundverordnung, dem Bundesdatenschutzgesetz, dem EU Data Act und der NIS2-Umsetzung

Zusammenfassung

Überblick

In der Datenschutz-Grundverordnung (DSGVO) wurden Sanktionsnormen eingefügt, die deutlich strenger sind als die zuvor durch die alte Fassung des Bundesdatenschutzgesetzes festgelegten. Das BDSG-Neu ergänzt die Strafnormen. Zusätzlich sind seit 2023 die Sanktionsregelungen des EU Data Act und seit November 2025 die Bußgeldvorschriften der NIS2-Umsetzung (BSIG) zu beachten, die insbesondere für Unternehmen mit Datenverarbeitungen, Datenzugriffspflichten und IT-Sicherheitsanforderungen relevant sind.

Gesetze, Vorschriften und Rechtsprechung

Art. 83 DSGVO, § 42 BDSG^[1]

[1] Wann gilt die DSGVO, wann das BDSG?

Die Strafvorschriften des BDSG gelten, soweit die DSGVO nicht unmittelbar gilt. Das kann vorkommen, da die DSGVO den Rahmen schafft, aber jedes EU-Land auch eigene Ergänzungen erlassen darf. Die Strafvorschriften des BDSG gelten daher, wenn ein Datenschutzverstoß vorliegt, der in der DSGVO nicht berücksichtigt ist.

1 Höhe der möglichen Strafen

Für bestimmte Verstöße sind Geldbußen bis zu 20 Mio. EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres festgelegt, je nachdem, welcher der Beträge höher ist (Art. 83 Abs. 5 DSGVO).

Hier muss unterschieden werden. Die genannte Geldstrafe wird im Fall schwerer Verstöße verhängt. Hierzu zählen u. a. Verstöße gegen die Grundsätze der Verarbeitung, einschließlich der Bedingungen der Einwilligung nach Art. 5, 6, 7 und 9. Diese Artikel legen die Grundprinzipien der Datenverarbeitung, die Voraussetzungen für die Rechtmäßigkeit und die besonderen Anforderungen bei sensiblen Daten fest, um die Rechte und Freiheiten der betroffenen Personen zu schützen.

Einfluss haben auch die Bemessungsregeln (s. unten). Auch wird zwischen Ordnungswidrigkeiten und Straftaten unterschieden. Die un...