Wenn ein Unternehmen personenbezogene Daten missbräuchlich behandelt, ist die Schlagzeile meist die maximale Geldbuße. Nach der DSGVO können Bußgelder im Vereinigten Königreich bis zu 17,5 Millionen £ oder 4 % des weltweiten Jahresumsatzes und in der EU bis zu 20 Millionen EUR oder 4 % des weltweiten Umsatzes erreichen. Diese Zahlen klingen abstrakt, doch sie dienen deinem Schutz. Dieser Leitfaden erklärt in einfacher Sprache, was sie bedeuten.

Die maximalen DSGVO-Bußgelder im Vereinigten Königreich und in der EU

Die beiden Regelungen folgen demselben Grundaufbau. Jede legt eine feste Obergrenze in ihrer eigenen Währung und einen Prozentsatz des weltweiten Umsatzes der Organisation fest.

  • UK: bis zu 17,5 Millionen £ oder 4 % des weltweiten Jahresumsatzes
  • EU: bis zu 20 Millionen EUR oder 4 % des weltweiten Jahresumsatzes

Der Prozentsatz ist wichtig, weil er mit der Größe der Organisation skaliert. Ein fester Betrag wäre für ein sehr großes Unternehmen unbedeutend, daher ermöglicht die umsatzbasierte Option den Aufsichtsbehörden, eine Strafe zu verhängen, die tatsächlich spürbar ist. Führende Leitfäden zu diesem Thema beschreiben die Regel als „je nachdem, welcher Wert höher ist“ für die untere Stufe, und dieselbe Logik macht die genannte Obergrenze für große Unternehmen bedeutsam.

Dabei handelt es sich um Höchstgrenzen, nicht um Standardstrafen. Die meisten Bußgelder liegen deutlich unter dem Maximum, und eine Aufsichtsbehörde muss begründen, wo ein Fall einzuordnen ist.

Welche Verstöße in welche Stufe fallen

Die DSGVO verwendet eine zweistufige Struktur. Die höhere Stufe, die die Obergrenze von 17,5 Millionen £ bzw. 20 Millionen EUR trägt, ist den schwerwiegenderen Verstößen vorbehalten. Die untere Stufe umfasst weniger gravierende Verfehlungen und trägt eine niedrigere Obergrenze. Öffentlich verfügbare Zusammenfassungen beziffern die untere EU-Stufe auf 10 Millionen EUR oder 2 % des weltweiten Jahresumsatzes.

Grob gesagt richtet sich die höhere Stufe gegen Verstöße, die den Kern deiner Rechte treffen, etwa die Verletzung der Grundprinzipien der Datenverarbeitung oder die Verweigerung der gesetzlich garantierten Rechte. Die untere Stufe wird im Allgemeinen mit eher verfahrensbezogenen oder organisatorischen Pflichten in Verbindung gebracht. Eine ausführlichere Erläuterung, wie diese Aufteilung funktioniert, findest du in unserem Beitrag dazu, wie das zweistufige DSGVO-Sanktionssystem funktioniert.

Wie Aufsichtsbehörden die tatsächliche Geldbuße festsetzen

Das Maximum ist nur der Ausgangsrahmen. Die Aufsichtsbehörden wägen die Umstände jedes Einzelfalls ab, und der Prozess ist keine einfache Nachschlagetabelle.

Eine Regel, die man kennen sollte: Wenn mehrere Verstöße zusammenkommen, sollte die Gesamtgeldbuße den für den schwersten Verstoß festgelegten Betrag nicht überschreiten. In der Praxis bedeutet das, dass die anwendbare Obergrenze an den schwerwiegendsten Verstoß im Fall gebunden ist, nicht an die Summe aller Obergrenzen.

Schweregrad, Größe der Organisation und Art des Versäumnisses fließen alle in die endgültige Zahl ein. Deshalb können zwei Unternehmen mit ähnlichen Verstößen sehr unterschiedliche Strafen erhalten, und deshalb sollten die genannten Höchstwerte als obere Grenze und nicht als Prognose gelesen werden.

Was das für dich bedeutet

Bußgelder gehen an die Aufsichtsbehörden, nicht an betroffene Personen, daher bringt dir die Strafe selbst kein Geld ein. Ihr Wert für dich ist indirekt, aber real.

  • Sie wirken abschreckend. Eine an den weltweiten Umsatz gekoppelte Obergrenze gibt selbst großen Organisationen einen Grund, den Datenschutz ernst zu nehmen.
  • Sie stützen deine Rechte. Die Strafen der höheren Stufe sind mit den Verstößen verknüpft, die für dich am wichtigsten sind, einschließlich der Frage, wie deine Daten verwendet werden und ob deine Rechte respektiert werden.
  • Sie geben dir einen Weg zu handeln. Wenn du glaubst, dass eine Organisation deine Daten missbraucht hat, kannst du das Problem zuerst bei der Organisation ansprechen und dich dann an die Datenschutzaufsichtsbehörde in deinem Land wenden. Im Vereinigten Königreich ist diese Behörde das ICO.

Es hilft auch, die Erwartungen realistisch zu halten. Ein sehr hohes Maximum bedeutet nicht, dass jeder Verstoß zu einem sehr hohen Bußgeld führt. Unsere Berichterstattung über DSGVO-Bußgelder und das zweistufige System untersucht, warum die auffälligen Zahlen irreführend sein können.

Praktische Erkenntnisse

Die DSGVO-Bußgelder zu verstehen ist vor allem deshalb nützlich, weil es dir zeigt, wo deine Hebel liegen. Ein paar Schritte setzen dieses Wissen in die Praxis um:

  1. Kenne den Unterschied zwischen UK- und EU-Regeln. Die UK-Obergrenze liegt bei 17,5 Millionen £ oder 4 %, die EU-Obergrenze bei 20 Millionen EUR oder 4 %. Welche gilt, hängt davon ab, wo die Organisation tätig ist und wo du dich befindest.
  2. Führe Aufzeichnungen. Wenn du ein Unternehmen wegen deiner Daten kontaktierst, bewahre die E-Mails, Daten und Antworten auf. Sie sind wichtig, falls du dich später bei einer Aufsichtsbehörde beschwerst.
  3. Nutze deine Rechte. Du kannst Organisationen fragen, welche Daten sie über dich gespeichert haben, und Bedenken äußern, wenn etwas falsch erscheint.
  4. Eskaliere bei Bedarf. Wenn ein Unternehmen dein Anliegen nicht löst, ist die nationale Datenschutzaufsichtsbehörde der nächste Schritt.
  5. Verringere deine Angriffsfläche. Teile nur die Daten, die ein Dienst wirklich benötigt, und verwende starke, einzigartige Passwörter und Zwei-Faktor-Authentifizierung.

DSGVO-Bußgelder, ob 17,5 Millionen £ im Vereinigten Königreich oder 20 Millionen EUR in der EU, sind der sichtbare Rand eines umfassenderen Systems, das deine personenbezogenen Daten unter deiner Kontrolle halten soll. Zu wissen, wie dieses System funktioniert, macht es dir leichter, es zu nutzen.