Bußgelder — und der Absatz, der fast nie zitiert wird

Die Pflichten dieses Kurses fallen in die erste Bußgeldstufe. Viel wichtiger für Führungskräfte ist aber Art. 83 Abs. 2: Dort steht, was bei der Bemessung berücksichtigt wird — und das sind Dinge, über die Sie vorher entscheiden.

Warum das wichtig ist

In die erste Stufe nach Art. 83 Abs. 4 lit. a fallen genau die Pflichten, um die es hier geht: die Art. 25 bis 39, also Verzeichnis, Verträge, Sicherheit, Folgenabschätzung, Meldung und Datenschutzbeauftragter. Für Verstöße gegen die Grundsätze und die Betroffenenrechte gibt es eine höhere Stufe; die ist Stoff der Pflichtschulung.

Der wichtigere Absatz ist Abs. 2. Lit. b nennt Vorsätzlichkeit oder Fahrlässigkeit — also die Frage, ob es Regeln gab und ob sie bekannt waren. Lit. c nennt die Maßnahmen zur Minderung des Schadens — also ob der Betrieb reagiert hat. Lit. d nennt den Grad der Verantwortung unter Berücksichtigung der getroffenen Maßnahmen — also ob überhaupt etwas eingerichtet war.

Alle drei Buchstaben beschreiben Dinge, über die eine Führungskraft vorher entscheidet. Gute Organisation wirkt also nicht erst als Vermeidung, sondern noch in der Bemessung.

Wie viel das ausmacht, sagen wir nicht. Eine Zahl dafür gibt es nicht, und jede, die irgendwo steht, ist geschätzt. Dass es eingeht, steht im Text. Wie viel, nicht. Im Alltag wiegt ohnehin etwas anderes schwerer: Ein Vorfall kostet vor allem Arbeitszeit — aufklären, melden, informieren, nachbessern, erklären.

Was das Gesetz sagt

Art. 83 Abs. 4 lit. a DSGVO

„Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist: die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43"

Art. 83 Abs. 2 S. 2 lit. b DSGVO

„Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes"

Art. 83 Abs. 2 S. 2 lit. c DSGVO

„jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens"

Art. 83 Abs. 2 S. 2 lit. d DSGVO

„Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und organisatorischen Maßnahmen"

So macht man es richtig

1. Die drei Buchstaben als Prüfliste lesen: Gab es Regeln? Haben wir reagiert? War etwas eingerichtet?
2. Keine Rechnung aufstellen — eine Quantifizierung des Rabatts für gute Organisation gibt es nicht.
3. Den Zeitaufwand eines Vorfalls mit einplanen: aufklären, melden, informieren, nachbessern, erklären.

Stand: 26.10.2026