Wer haftet bei Verstößen?
Bußgelder treffen im Ernstfall das Unternehmen – nicht Sie persönlich, weder als Geschäftsführung noch als Beschäftigte oder als Datenschutzbeauftragte.
Trotzdem lohnt sich ein genauer Blick: Wie hoch die Risiken wirklich ausfallen können und in welchen Ausnahmefällen es sogar strafrechtlich wird.
Bild: KI-generiert (OpenAI)
Autor: Peer Casper · Veröffentlicht am 1. September 2026 · Aktualisiert am 2. September 2026
Verstößt ein Unternehmen gegen den Datenschutz, verhängt die Aufsichtsbehörde das Bußgeld gegen das Unternehmen.
Es gibt im Wesentlichen zwei Arten von Konsequenzen: Schadensersatzforderungen der Betroffenen und das Bußgeld der Aufsichtsbehörde. Beide behandeln wir im Folgenden – dazu die möglichen strafrechtlichen Folgen für Verantwortliche.
Die Aufsichtsbehörde richtet dieses Bußgeld gegen das Unternehmen – nicht gegen Geschäftsführung, Mitarbeitende oder Datenschutzbeauftragte persönlich.
Verantwortlich für die Umsetzung des Datenschutzes ist und bleibt immer die Geschäftsführung. Das bedeutet: Sie muss dafür sorgen, dass die Vorgaben eingehalten werden – persönlich zahlen muss sie das Bußgeld trotzdem nicht. Nur in den unten beschriebenen strafrechtlichen Ausnahmefällen drohen einzelnen Personen eigene Konsequenzen.
Wie hoch kann ein Bußgeld ausfallen?
Bei Datenschutzverstößen sind Bußgelder bis zu 20 Millionen Euro möglich. Bei umsatzstarken Unternehmen können es bis zu vier Prozent des weltweiten Jahresumsatzes sein. Es gilt jeweils der höhere Betrag.
Können Betroffene zusätzlich Schadensersatz verlangen?
Ja. Unabhängig vom Bußgeld können Betroffene Schadensersatz verlangen – sowohl für materielle Schäden (etwa finanzielle Verluste) als auch für immaterielle Schäden wie Sorge oder Kontrollverlust über die eigenen Daten.
Nach der Rechtsprechung des Europäischen Gerichtshofs reicht dafür schon ein Verstoß, der einen konkreten, wenn auch geringen Schaden verursacht hat; eine besondere Erheblichkeitsschwelle gibt es nicht. Anspruchsgegner sind das Unternehmen als Verantwortlicher und gegebenenfalls beteiligte Auftragsverarbeiter gemeinsam.
Kann ein Datenschutzverstoß strafrechtliche Folgen haben?
Strafbar wird es nur, wenn jemand gegen Entgelt oder in der Absicht handelt, sich oder andere zu bereichern oder jemandem zu schaden. Dann kann eine Freiheitsstrafe von bis zu zwei Jahren oder eine Geldstrafe drohen – das ist keine Geldbuße mehr, sondern eine strafrechtliche Sanktion gegen die handelnde Person.
Wer gewerbsmäßig unbefugt personenbezogene Daten einer großen Zahl von Menschen an Dritte weitergibt oder sonst zugänglich macht, riskiert sogar eine Freiheitsstrafe von bis zu drei Jahren.
Weiterlesen: Kann ein Bußgeld nachträglich noch sinken?
Und dazu passend: Was tun, wenn jemand Auskunft über seine Daten fordert?