Wie wird ein DSGVO-Bußgeld berechnet?

Der EDSA beschreibt fünf Schritte: Verstöße abgrenzen, einen Ausgangsbetrag aus Verstoßkategorie, Schwere und Umsatz bestimmen, erschwerende und mildernde Umstände prüfen, die gesetzliche Obergrenze beachten und Wirksamkeit sowie Verhältnismäßigkeit kontrollieren.[1] Eine Behörde bewertet dabei den konkreten Fall. Die Methode ist kein Rechner, der für jedes Unternehmen aus dem Umsatz automatisch dieselbe Geldbuße erzeugt.

Gilt das frühere Bußgeldkonzept der DSK noch?

Nein, das DSK-Konzept von 2019 enthielt selbst eine Befristung: Seine Gültigkeit sollte mit abschließenden EDSA-Leitlinien zur Bußgeldmethodik enden.[2] Der EDSA hat seine Leitlinien 04/2022 in Version 2.1 veröffentlicht.[1] Für eine heutige Risikoanalyse ist daher die EDSA-Methode zusammen mit Artikel 83 DSGVO maßgeblich, nicht eine mechanische Fortschreibung der alten DSK-Tabelle.

Bedeutet vier Prozent Umsatz automatisch die Geldbuße?

Nein. Vier Prozent des weltweiten Vorjahresumsatzes sind bei bestimmten Verstößen Teil einer gesetzlichen Höchstgrenze, keine Standardstrafe.[4] Andere Pflichtverstöße fallen unter die Grenze von zehn Millionen Euro oder zwei Prozent Umsatz, je nachdem, welcher Betrag höher ist.[4] Der EDSA erklärt, dass umsatzbezogene Obergrenzen erst oberhalb von 500 Millionen Euro Vorjahresumsatz die festen Obergrenzen übersteigen.[1]

Kann eine schnelle Schadensminderung den Betrag senken?

Ja, geeignete Maßnahmen zur Minderung des Schadens betroffener Personen können ein mildernder Umstand sein.[1] Artikel 83 Absatz 2 verlangt eine Einzelfallbetrachtung, zu der auch Art, Schwere und Dauer des Verstoßes, Fahrlässigkeit, frühere Verstöße und die Zusammenarbeit mit der Behörde gehören.[4] Die Maßnahme sollte deshalb konkret belegt werden; ein bloßes Versprechen nach dem Vorfall zeigt noch keine tatsächliche Wirkung.

Was zeigt der Fall des Krankenhauses in Rheinland-Pfalz?

Der LfDI Rheinland-Pfalz verhängte gegen ein Krankenhaus ein bestandskräftiges Bußgeld von 105.000 Euro nach mehreren DSGVO-Verstößen im Zusammenhang mit einer Patientenverwechslung bei der Aufnahme.[3] Der Betrag ist ein dokumentierter Einzelfall. Er ist keine Preisliste für Krankenhäuser und erlaubt keine Hochrechnung auf einen Betrieb mit anderem Umsatz, anderen Daten oder anderen Maßnahmen zur Schadensminderung.

DSGVO-Bußgeld: Wie Behörden in Deutschland rechnen

Kurzantwort: Ein DSGVO-Bußgeld entsteht durch Einzelfallbewertung: Die Aufsicht ordnet den Verstoß ein, bewertet Schwere und Umsatz, berücksichtigt erschwerende oder mildernde Umstände und prüft die Obergrenze.¹^,4 Ein Krankenhausfall endete bei 105.000 Euro; daraus folgt kein Richtpreis für andere Unternehmen.³ Das frühere DSK-Konzept wurde durch die EDSA-Leitlinien abgelöst.¹^,2

Zusammenfassung als Mindmap

DSGVO-Bußgeld: Wie Behörden in Deutschland rechnen
│
├─ Fall abgrenzen
│   ├─ Verarbeitung und Pflichtverletzung bestimmen
│   ├─ Betroffene Daten und Dauer erfassen
│   └─ Bereits erfolgte Abhilfe belegen
│
├─ Ausgangsbetrag
│   ├─ Verstoßkategorie prüfen
│   ├─ Schwere im Einzelfall bewerten
│   └─ Unternehmensumsatz einordnen
│
├─ Betrag anpassen
│   ├─ Erschwerende Umstände berücksichtigen
│   ├─ Schadensminderung berücksichtigen
│   └─ Gesetzliche Höchstgrenze prüfen
│
└─ Grenze der Prognose
    ├─ Kein pauschaler Mittelstands-Betrag
    ├─ Krankenhausfall ist kein Tarif
    └─ Behörde entscheidet nach Sachverhalt

Was der Mittelstand zuerst klärt

Für eine Firma mit 50 bis 500 Beschäftigten ist zuerst der betroffene Verarbeitungsvorgang zu klären. Die erwartete Strafe ist noch unbekannt. Der EDSA beginnt seine Methode mit der Abgrenzung der Verarbeitung und möglicher gleichzeitiger Verstöße.¹ Ohne diesen Schritt lassen sich Verstoßkategorie und Schwere nicht sauber bestimmen. Eine pauschale Zahl aus einer Online-Tabelle wäre deshalb eine Scheingenauigkeit.

Ein internes Blatt kann Vorfall, Daten, Zeitraum und bereits getroffene Abhilfe nebeneinanderstellen. Das bereitet die Sachaufklärung vor. Es sagt die Behördenentscheidung nicht voraus. So lassen sich belegbare Tatsachen von Vermutungen trennen. Sind Auftragsverarbeiter beteiligt, ist deren Rolle ebenfalls zu klären. Die Abgrenzung von Verantwortlichen und Auftragsverarbeitern bietet dafür den begrifflichen Ausgangspunkt.

Zuerst erfassen	Warum es den Betrag beeinflussen kann
Betroffene Verarbeitung	Bestimmt, welcher Verstoß geprüft wird.¹
Art und Dauer	Gehören zur Schwere nach Artikel 83 Absatz 2.⁴
Betroffene Personen und Daten	Prägen die Folgen im Einzelfall.⁴
Belegte Abhilfe	Kann als mildernder Umstand berücksichtigt werden.¹

Diese Liste setzt keine Geldbuße fest. Sie dient der belastbaren Darstellung des Falls. Artikel 83 Absatz 2 nennt zudem Vorsatz oder Fahrlässigkeit, frühere Verstöße und die Zusammenarbeit mit der Aufsicht.⁴ Dokumentieren Sie deshalb Wissen und Handlungen mit Datum. Die Diskussion über eine mögliche Summe kommt später.

EDSA-Methode in fünf Schritten

Die Leitlinien 04/2022 des Europäischen Datenschutzausschusses beschreiben eine gemeinsame Methode für Aufsichtsbehörden. Zuerst werden Verarbeitungsvorgänge und mögliche zusammenhängende Verstöße geprüft. Der zweite Schritt bildet den Ausgangspunkt. Dafür zählen Verstoßkategorie, Schwere im Einzelfall und Unternehmensumsatz. Danach verändern erschwerende oder mildernde Umstände den Betrag. Anschließend werden die gesetzlichen Höchstgrenzen geprüft. Zuletzt folgen Wirksamkeit, Verhältnismäßigkeit und Abschreckung.¹

Schritt	Frage der Behörde	Was das Unternehmen belegen kann
1	Welche Verarbeitung und Verstöße liegen vor?	Ablauf, Rollen und Zeitraum
2	Wie schwer ist der Verstoß, wie hoch der Umsatz?	Betroffene Daten und Umsatzunterlagen
3	Welche Umstände erhöhen oder senken den Betrag?	Frühere Maßnahmen und konkrete Abhilfe
4	Welche Obergrenze gilt?	Rechtsgrundlage des Vorwurfs
5	Ist der Betrag im Einzelfall angemessen?	Belastbare Gesamtumstände

Jeder Schritt benötigt die Tatsachen des konkreten Vorgangs.

In Worten: Zuerst grenzt die Aufsicht den Fall ab. Dann folgen Schwere, Umsatz und Umstände. Obergrenze und Einzelfallentscheidung stehen am Ende.¹

Warum die alte DSK-Tabelle endet

Das DSK-Bußgeldkonzept stammt von 2019. Es erklärte selbst, dass es mit abschließenden EDSA-Leitlinien zur Bußgeldmethodik seine Gültigkeit verliert.² Der EDSA veröffentlichte seine Leitlinien 04/2022 in Version 2.1.¹ Wer heute nur das alte Konzept zitiert, übersieht dessen eigene Grenze. Die aktuelle Beurteilung beginnt bei Artikel 83 DSGVO und der EDSA-Methode.

Der Wechsel macht Umsatz nicht bedeutungslos. Er ist ein Faktor für den Ausgangsbetrag.¹ Er ist aber nur einer von mehreren Prüfpunkten. Für den Mittelstand gehören Verstoß und Abhilfe neben die Umsatzzahl. Eine Übersicht zur KI- und Daten-Governance kann bei internen Zuständigkeiten helfen. Sie ersetzt keine Fallprüfung.

Schwere, Umsatz und Höchstbetrag

Artikel 83 unterscheidet zwei wichtige Obergrenzen. Bei bestimmten Pflichten von Verantwortlichen und Auftragsverarbeitern nach Absatz 4 sind es bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist. Bei bestimmten Grundsätzen und Betroffenenrechten nach Absatz 5 sind es bis zu zwanzig Millionen Euro oder vier Prozent, wiederum nach dem höheren Betrag.⁴ Diese Zahlen sind Höchstgrenzen. Sie sind keine Aussage darüber, was in einem konkreten Fall verhängt wird.

Der EDSA stellt klar, dass die umsatzbezogene Höchstgrenze die feste Höchstgrenze erst bei mehr als 500 Millionen Euro Vorjahresumsatz übersteigt.¹ Für viele Mittelständler ist deshalb die oft zitierte Prozentzahl nicht einmal der höhere gesetzliche Deckel. Auch bei einer festen Obergrenze hängen Ausgangspunkt und Anpassungen von der Schwere und den konkreten Umständen ab.¹

Die sachgerechte Frage lautet daher: Welcher Pflichtbereich ist betroffen, welche Kategorie nennt Artikel 83, und welche Folgen hatte der tatsächliche Vorgang? Erst danach ist die Obergrenze ein sinnvoller Prüfpunkt. Die Regeln für einen AV-Vertrag betreffen beispielsweise andere Pflichten als die Verarbeitung ohne tragfähige Grundlage; die jeweils einschlägige Kategorie muss anhand des konkreten Vorwurfs bestimmt werden.⁴

Was den Betrag verändert

Artikel 83 Absatz 2 verlangt unter anderem die Prüfung von Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Minderung des Schadens, früheren einschlägigen Verstößen und Zusammenarbeit mit der Behörde.⁴ Der dritte Schritt der EDSA-Methode bewertet erschwerende und mildernde Umstände aus früherem oder aktuellem Verhalten und passt den Betrag entsprechend an.¹ Das ist die Stelle, an der eine gut dokumentierte Reaktion praktisch relevant wird.

Der EDSA nennt geeignete Maßnahmen, die den Schaden betroffener Personen mindern, ausdrücklich als möglichen mildernden Faktor.¹ Ein Betrieb sollte festhalten, welche Maßnahme tatsächlich umgesetzt wurde und wen sie erreichte. Eine bloße Absichtserklärung ist von einer wirksamen Korrektur zu unterscheiden. Ebenso können frühere Verstöße oder unzureichende Kooperation ins Gewicht fallen.⁴ Eine vorbereitete Akte erleichtert eine präzise Antwort auf Fragen der Aufsicht.

Warum es keinen Tarif gibt

Beschäftigtenzahl und Umsatz allein ergeben keinen pauschalen Bußgeldbetrag. Die EDSA-Methode bestimmt zunächst den Ausgangspunkt. Dafür zählen Verstoßkategorie, Schwere und Umsatz.¹ Anschließend verändern erschwerende oder mildernde Umstände das Ergebnis.¹ Gleiche Umsätze bedeuten nicht gleiche Verstöße. Auch die Folgen können verschieden sein. Die gesetzliche Obergrenze ist nur ein Deckel, kein erwartbarer Bescheid.⁴ Eine belastbare Einschätzung braucht den eigenen Sachverhalt. Belegte Maßnahmen gehören dazu.¹

Ein deutscher Fall und seine Grenze

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz verhängte gegen ein Krankenhaus eine bestandskräftige Geldbuße von 105.000 Euro. Anlass waren mehrere DSGVO-Verstöße. Sie standen im Zusammenhang mit einer Patientenverwechslung bei der Aufnahme. Die Verwechslung führte zu einer falschen Rechnungsstellung und offenbarte strukturelle technische und organisatorische Defizite im Patientenmanagement.³

Für die Aufarbeitung eines ähnlichen Vorfalls sind deshalb zwei Dinge getrennt zu erfassen: die konkrete Fehlzuordnung mit ihrer Folge für die betroffene Person und die Abläufe, durch die der Fehler möglich wurde.³ Das Beispiel zeigt, warum die Betrachtung beim einzelnen Beleg nicht enden sollte. Eine Sachverhaltsakte kann Aufnahme, Zuordnung und Rechnungsstellung als zusammenhängenden Ablauf dokumentieren. Die Einordnung grenzüberschreitender DSGVO-Fälle hilft zusätzlich, wenn der untersuchte Verarbeitungsvorgang tatsächlich Auslandsbezug hat.

Was als Nächstes zu tun ist

Ordnen Sie den betroffenen Vorgang, die mögliche Pflichtverletzung und die bereits erfolgte Abhilfe in einer kurzen Akte. Prüfen Sie dann, welche Faktoren aus Artikel 83 Absatz 2 belegbar sind, und halten Sie Umsatzdaten bereit.¹^,4 Ein konkreter Behördenfall kann Vergleichsfragen anregen, ersetzt aber keine Bewertung Ihres eigenen Sachverhalts.³