DSGVO Bußgeldrechner - mögliche Datenschutz-Strafen berechnen

Unsere Themen rund um DSGVO-Bußgelder

Was ist die Grundlage für die Berechnung des DSVGO Bußgeldes?

Die Berechnungen des DSGVO-Bußgelrechners erfolgen anhand des Bußgeldkonzepts der unabhängigen Daten­auf­sichts­behörden des Bundes und der Länder (DSK) vom 14.10.2019. Dieses Konzept betrifft die Bußgeldzumessung in Verfahren gegen Unternehmen im Anwendungsbereich der Datenschutz-Grundverordnung, also der DSGVO. Es findet insbesondere keine Anwendung auf Geldbußen gegen Vereine oder natürliche Personen außerhalb ihrer wirtschaftlichen Tätigkeit. Das Bußgeldkonzept ist ebenso weder für grenzüberschreitende Fälle noch für andere Datenschutzaufsichtsbehörden der EU bindend. Zudem entfaltet es keine Bindung hinsichtlich der Festlegung von Geldbußen durch Gerichte. Die unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder können jederzeit eine Aufhebung, Änderung oder Erweiterung ihres Konzepts mit Wirkung für die Zukunft beschließen. Das Bußgeldkonzept verliert zudem seine Gültigkeit, sobald der EDSA seine abschließenden Leitlinien zur Methodik der Festsetzung von Geldbußen erlassen hat.

Eingabehilfen zum DSGVO-Bußgeld-Rechner

Wie oben beschrieben, basiert der DSGVO Bußgeldrechner auf dem Bußgeldkonzept der DSK. Im folgenden erhalten Sie Hilfestellungen zur korrekten Auswahl der einzelnen Eingabefelder des Rechners.

Wie hoch war der Vorjahresumsatz?

Wählen Sie bitte den Vorjahresumsatz des betroffenen Unternehmens in Euro aus. Anhand des Umsatzes wird das Unternehmen einer bestimmten Größenklasse zugeordnet. Der mittlere Jahresumsatz dieser Größenklasse wird durch 360 geteilt und auf ganze Euro gerundet. Dieser Tagessatz bildet den wirtschaftlichen Grundwert des betroffenen Unternehmens. Dieser wirtschaftliche Grundwert wird für die Bußgeldberechnung schließlich mit einem von der Art des Verstoßes und dessen Schweregrad abhängigen Faktor multipliziert.

War der Umsatz größer als 500 Millionen?

Fall der er ausgewählte Vorjahresumsatz über 500 Millionen Euro liegt, geben Sie bitte in dem sich dann öffnenden Eingabefeld den konkreten Vorjahresumsatz des betroffenen Unternehmens in Millionen Euro an. Ab einem jährlichen Umsatz von über 500 Millionen Euro ist der prozentuale Bußgeldrahmen von 2 Prozent bzw. 4 Prozent des jährlichen Umsatzes als Höchstgrenze zugrunde zu legen, sodass eine Berechnung anhand des konkreten Umsatzes erfolgt. Die Höhe des Bußgeldes ist dann unabhängig von der Art und Schwere des Verstoßes.

Welche Art hat der Verstoß gegen die DSGVO?

Geben Sie bitte die Art des potenziellen Verstoßes an. Die DSGVO unterscheidet zwischen formellen und materiellen Verstößen.

• Zu den formellen Verstößen gehören alle in Art. 83 Abs. 4 DSGVO genannten Verstöße, also z.B. Verstöße bei der Auftragsverarbeitung sowie Verstöße gegen gewisse Zertifizierungspflichten.
• Zu den materiellen Verstößen gehören alle in Art. 83 Abs. 5 und 6 DSGVO genannten Verstöße, also z.B. eine unrechtmäßige Datenverarbeitung oder Verstöße gegen die Bedingungen der Einwilligung.

Beide Arten beeinflussen im Zusammmenhang mit dem Schweregrad die Höhe des Multiplikationsfaktors zur Berechnung des Bußgeldes. Bei materiellen Verstößen wird dabei gegenüber formellen Verstößen ein höherer Faktor angesetzt.

Je nach Schweregrad werden hier Geldbußen von bis zu 10 Millionen Euro oder im Fall eines Unternehmens von bis zu 2 Prozent seines gesamten weltweit erzielten Vorjahresumsatzes verhängt, je nachdem, welcher der Beträge höher ist.

Je nach Schweregrad werden hier Geldbußen von bis zu 20 Millionen Euro oder im Fall eines Unternehmens von bis zu 4 Prozent seines gesamten weltweit erzielten Vorjahresumsatzes verhängt, je nachdem, welcher der Beträge höher ist.

Welchen Schweregrad hat der Datenschutz Verstoß?

Geben Sie bitte die Schwere des Verstoßes an. Der Schweregrad der Tat wird in Leicht, Mittel, Schwer und Sehr schwer unterteilt. Die Einteilung des Schweregrades in die vier Kategorien ist dabei anhand des Kriterienkatalogs aus Art. 83 Abs. 2 DSGVO vorzunehmen. Dort wird etwa die Art, Schwere und Dauer des Verstoßes sowie der Verschuldensgrad (fahrlässig oder vorsätzlich) berücksichtigt. Zusammen mit der Art des Verstoßes (formell oder materiell) beeinflusst der Schweregrad dann die Höhe des Multiplikationsfaktors zur Berechnung des Bußgeldes.

Grob kann die Einordnung folgendermaßen angenommen werden:

Was ist ein leichter DSGVO Verstoß?

• Den betroffenen Personen drohen nur geringfügige Nachteile
• Die Zahl der Betroffenen ist gering
• Maßnahmen zur Schadensminderung bei den Betroffenen wurden eingeleitet
• Es gab noch keinen Datenschutzvorfall

Was ist ein mittlerer DSGVO Verstoß?

• Den Betroffenen drohen spürbare Nachteile
• Wichtige Informations- oder Dokumentationspflichten werden nicht eingehalten
• Die Anzahl der Verstöße hält sich in Grenzen

Was ist ein schwerer DSGVO Verstoß?

• Den Betroffenen drohen schwere Folgen
• Es wird gegen zentrale Datenschutzvorschriften verstoßen
• Die Zahl der betroffenen Personen ist hoch
• Das Ausmaß der Schäden ist hoch
• Es gab bereits viele vorherige Verstöße
• Verstöße wurden vorsätzlich begangen

Was ist ein sehr schwerer DSGVO Verstoß?

• Den Betroffenen drohen schwerwiegende, existenz­bedrohende nachteilige Auswirkungen
• Die Zahl der betroffenen Personen ist sehr hoch
• Das Ausmaß der Schäden ist sehr hoch
• Die Tathandlung verstößt gegen zentrale Datenschutzvorschriften und ist moralisch besonders verwerflich
• Es gab bereits sehr viele vorherige Verstöße
• Verstoß wird vorsätzlich begangen
• Verstoß dauert schon lange an

Kriterienkatalog gem. Art. 83 Abs. 2 DSGVO

Anhand dieser Kriterien ist der Schweregrad des Verstoßes im einzelnen zu bewerten:

• Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der Verarbeitung sowie der Zahl betroffener Personen und des Schadensausmaßes
• Vorsätzlichkeit oder Fahrlässigkeit
• Jegliche getroffene Maßnahmen zur Minderung des entstandenen Schadens
• Grad der Verantwortung unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen
• Einschlägige frühere Verstöße
• Umfang der Zusammenarbeit mit der Aufsichtsbehörde
• Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind
• Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde
• Einhaltung der früher gegen das Unternhmen in Bezug auf denselben Gegenstand angeordneten Maßnahmen
• Einhaltung von genehmigten Verhaltensregeln oder genehmigten Zertifizierungsverfahren
• Jegliche anderen erschwerenden oder mildernden Umstände, wie durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

Beispiel zur Berechnung des DSGVO Bußgeldes

1. Kategorisierung der Unternehmensgröße

Anhand des angegebenen Umsatzes in Höhe von bis zu 0,7 Millionen Euro ist das Unternehmen FooOpenData eingestuft in die sogenannte Größenklasse A.I, welche für Umsätze oberhalb von 0,0 Millionen bis 0,7 Millionen Euro definiert ist.

2. Berechnung mittlerer Jahresumsatz

Der mittlere Jahresumsatz für die Größenklasse A.I beträgt (0,0 + 0,7) / 2, also 0,35 Millionen Euro.

3. Berechnung Wirtschaftlicher Grundwert

Für die Festsetzung des wirtschaftlichen Grundwertes wird der mittlere Jahresumsatz der Größenklasse A.I, also 0,35 Millionen Euro, durch 360 (Tage) geteilt und so ein durchschnittlicher, auf die Vorkommastelle aufgerundeter Tagessatz errechnet. Demnach beträgt der Wirtschaftliche Grundwert 972 Euro.

4. Multiplikation des Grundwerts nach Art und Schweregrad der Tat

Der gerade berechnete Tagessatz bzw. wirtschaftliche Grundwert wird abschließend mit einem Faktor multipliziert, um das Bußgeld zu bestimmen. Dieser Faktor ergibt sich aus der Art des Verstoßes und dem Schweregrad dieses Verstoßes. Folgende Tabelle gibt hierzu an, welcher Faktor bei welcher Konstellation von Art und Schwere des Verstoßes gilt.

Schweregrad der Tat	Faktor für formelle Verstöße	Faktor für materielle Verstöße
Leicht	1 bis 2	1 bis 4
Mittel	2 bis 4	4 bis 8
Schwer	4 bis 6	8 bis 12
Sehr schwer	6 und mehr	12 und mehr

Mit der fehlenden Datenschutzerklärung, hat FooOpenData einen materiellen Verstoß mit mittlerem Schweregrad begangen. Demnach beträgt der Multiplikationsfaktor für FooOpenData 4 bis 8.

In der Praxis wird in einem 5. Schritt der unter 4. errechnete Betrag anhand aller für und gegen den Betroffenen sprechenden Umstände angepasst, soweit diese noch nicht unter 4. berücksichtigt wurden. Hierzu zählen insbesondere sämtliche täterbezogenen Umstände (vgl. Kriterienkatalog des Art. 83 Abs. 2 DSGVO) sowie sonstige Umstände, wie z.B. eine lange Verfahrensdauer oder eine drohende Zahlungsunfähigkeit des Unternehmens. Dies ist für den Einzelfall zu prüfen und kann naturgemäß vom DSGVO Bußgeldrechner nicht bewertet werden.