DSGVO-Bussgelder: Welche Unternehmen am meisten zahlen

Die Datenschutz-Grundverordnung (DSGVO) hat sich seit ihrer Einführung im Mai 2018 zu einem der schärfsten Werkzeuge zur Regulierung von Technologiekonzernen entwickelt. Während Verbraucherschützer das Regelwerk feiern, zahlen vor allem große Internetunternehmen mittlerweile Milliardenstrafen für Datenverletzungen und mangelnde Compliance. Meta, Amazon und Google führen die unrühmliche Liste der höchsten DSGVO-Bußgelder an – ein Trend, der zeigt, wie ernst europäische Behörden ihre Regulierungskompetenz wahrnehmen.

Derzeit belaufen sich die gegen Big-Tech verhängten Strafgelder auf ein Volumen, das die jährlichen IT-Budgets mittelständischer Unternehmen bei Weitem übersteigt. Doch die bloßen Zahlen erzählen nur einen Teil der Geschichte. Die DSGVO-Bußgelder haben weitreichende Konsequenzen für die digitale Infrastruktur Europas, für den Wettbewerb und für den Alltag von Millionen Nutzern.

Die höchsten DSGVO-Bußgelder im Überblick

Meta Platforms steht an der Spitze der DSGVO-Strafstatistik. Das Unternehmen wurde mit mehreren Bußgeldern belegt, die sich in der Summe im hohen dreistelligen Millionenbereich bewegen. Besonders gravierend war die Strafzahlung von 1,2 Milliarden Euro, die die irische Datenschutzbehörde DPC im Mai 2023 gegen Meta verhängte – bis heute ein absoluter Rekord innerhalb der DSGVO-Geschichte. Hintergrund war die unzulässige Übermittlung von Nutzerdaten europäischer Facebook-Nutzer in die USA, ohne dass ein angemessenes Datenschutzniveau gewährleistet war. Weitere Verfahren folgten, und die Gesamtsumme aller gegen Meta gerichteten DSGVO-Strafen ist seitdem kontinuierlich gestiegen.

Amazon, der Versandriese aus Seattle, musste sich ebenfalls auf erhebliche Zahlungen einstellen. Die luxemburgische Datenschutzbehörde CNPD verhängte gegen den Konzern im Juli 2021 ein Bußgeld von 746 Millionen Euro wegen unrechtmäßiger Datenverarbeitung und fehlender Transparenz bei der Nutzung von Nutzerdaten für Werbezwecke. Google wiederum wurde von verschiedenen europäischen Behörden – allen voran der französischen CNIL – zu Bußgeldern in dreistelliger Millionenhöhe verurteilt: unter anderem wegen unzureichender Cookie-Verwaltung und mangelhafter Einwilligungsmechanismen.

Warum zahlen die Tech-Giganten so viel?

Systematische Missachtung von Datenschutzstandards

Die Bußgelder gegen Meta, Amazon und Google sind kein Zufall. Sie reflektieren vielmehr ein systematisches Muster: Diese Unternehmen haben über Jahre hinweg die Grenzen der DSGVO-Compliance ausgetestet und dabei zentrale Grundsätze des europäischen Datenschutzrechts missachtet. Meta etwa sammelte und verarbeitete Nutzerdaten über seine verschiedenen Plattformen – Facebook, Instagram und WhatsApp – hinweg, ohne dafür stets eine tragfähige Rechtsgrundlage im Sinne von Artikel 6 DSGVO vorweisen zu können. Besonders brisant: Das Unternehmen berief sich lange auf das sogenannte berechtigte Interesse, um personalisierte Werbung zu rechtfertigen – eine Argumentation, die europäische Behörden zunehmend zurückwiesen.

Amazon wurde vorgeworfen, nicht ausreichend transparent zu machen, welche Daten für welche Zwecke erhoben werden. Nutzer, die auf Amazon-Plattformen einkaufen oder den Sprachassistenten Alexa nutzen, geben häufig unbewusst preis, dass ihre Informationen auch für Amazons Werbenetzwerk und für Empfehlungsalgorithmen verwendet werden. Die luxemburgische Behörde sah darin einen klaren Verstoß gegen das Transparenzprinzip der DSGVO, das in den Artikeln 13 und 14 verankert ist.

Unzureichende Consent-Mechanismen und Cookie-Management

Ein besonders heißes Eisen ist das Thema Cookie-Consent. Google wurde mehrfach dafür gerügt, dass die Ablehnung von Cookies technisch aufwendiger gestaltet wurde als deren Akzeptanz – ein klarer Verstoß gegen die Anforderung einer freiwilligen, spezifischen und informierten Zustimmung, wie sie Artikel 7 DSGVO und die ePrivacy-Richtlinie verlangen. Die französische CNIL verhängte deshalb im Januar 2022 ein Bußgeld von 90 Millionen Euro gegen Google Ireland Limited sowie weitere 60 Millionen Euro gegen Google LLC. Ähnliche Vorwürfe wurden gegen Meta und andere Tech-Unternehmen erhoben.

Dabei ist der zugrundeliegende Sachverhalt rechtlich klar geregelt: Die DSGVO verlangt, dass Nutzer Cookies und ähnliche Tracking-Technologien bewusst und aktiv akzeptieren müssen. Ein vorangekreuztes Kästchen oder ein prominent platzierter „Alle akzeptieren"-Button, der schwerer zu vermeiden ist als ein Ablehnungsweg, genügt nicht. Stattdessen müssen Unternehmen echte Granularität herstellen und genuine Wahlfreiheit gewährleisten. Viele Tech-Giganten haben diese Anforderungen über Jahre ignoriert oder nur halbherzig umgesetzt – mit entsprechenden Konsequenzen.

Der Datentransfer in die USA als Dauerproblem

Neben den Cookie-Themen ist der transatlantische Datentransfer zum zweiten großen Konfliktfeld zwischen europäischen Behörden und US-Technologiekonzernen geworden. Nachdem der Europäische Gerichtshof (EuGH) im Juli 2020 mit dem sogenannten Schrems-II-Urteil das Privacy-Shield-Abkommen für ungültig erklärte, fehlte für die Übermittlung personenbezogener Daten in die USA zunächst jede belastbare Grundlage. Meta nutzte dennoch weiterhin sogenannte Standardvertragsklauseln – ein Vorgehen, das die irische DPC für unzulässig erklärte und mit dem Rekordбußgeld von 1,2 Milliarden Euro ahndete. Erst der 2023 in Kraft getretene EU-US Data Privacy Framework schuf eine neue, wenn auch weiterhin umstrittene Rechtsgrundlage.

Die wirtschaftlichen Konsequenzen für die Konzerne

Aus rein finanzieller Perspektive sind Bußgelder im dreistelligen Millionenbereich für Konzerne wie Meta oder Amazon zunächst verkraftbar. Meta erzielte im Geschäftsjahr 2023 einen Nettoprofit von rund 39 Milliarden US-Dollar – das Rekordбußgeld von 1,2 Milliarden Euro entspricht damit weniger als vier Prozent des Jahresgewinns. Amazon erzielte im selben Zeitraum einen operativen Gewinn von über 36 Milliarden US-Dollar. Die Strafen schmerzen also, ruinieren aber niemanden.

Dennoch wäre es falsch, die Bußgelder als rein symbolisch abzutun. Erstens erzeugen laufende Datenschutzverfahren erhebliche Compliance-Kosten: Anwaltshonorare, interne Umstrukturierungen, technische Anpassungen und der Aufbau ganzer Datenschutzabteilungen verschlingen Hunderte von Millionen Euro zusätzlich. Zweitens wirken die Bußgelder als Reputationsrisiko – insbesondere in einem europäischen Markt, in dem Datensouveränität zunehmend als Verbraucherrecht wahrgenommen wird. Und drittens signalisieren die Strafen, dass die europäischen Behörden den Willen und die Kapazität haben, auch die größten Plattformkonzerne der Welt zur Rechenschaft zu ziehen.

Kleinere Unternehmen im Visier – DSGVO trifft alle

Es wäre ein Irrtum zu glauben, dass sich die DSGVO-Durchsetzung ausschließlich gegen Big Tech richtet. Tatsächlich trifft das Regelwerk Unternehmen jeder Größe. Krankenhäuser, Versicherungen, Onlinehändler und sogar gemeinnützige Organisationen wurden in den vergangenen Jahren mit teils empfindlichen Bußgeldern belegt. In Deutschland verhängte die Datenschutzbehörde Baden-Württemberg ein Bußgeld gegen einen mittelständischen Kreditdienstleister wegen unzureichender technischer Sicherheitsmaßnahmen. In Spanien und Italien wurden Telekommunikationsanbieter wegen unerlaubter Telefonakquise bestraft.

Der Unterschied liegt in der Verhältnismäßigkeit: Die DSGVO sieht Bußgelder von bis zu vier Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro vor – je nachdem, welcher Betrag höher ist. Für einen kleinen Onlinehändler mit einem Jahresumsatz von zwei Millionen Euro kann ein Bußgeld von 80.000 Euro existenzgefährdend sein. Die Bußgeldrahmen sind also bewusst so konzipiert, dass sie relativ zur Unternehmensgröße schmerzen sollen.

Was Unternehmen jetzt tun müssen

Die Entwicklung der DSGVO-Rechtsprechung und die zunehmende Durchsetzungsintensität der Behörden sollten für Unternehmen ein deutliches Warnsignal sein. Wer glaubt, Datenschutz sei ein rein formales Compliance-Thema, das sich mit einem Datenschutzbeauftragten auf dem Papier erledigt, liegt falsch. Die Behörden prüfen zunehmend, ob Datenschutz tatsächlich gelebt wird – von der technischen Umsetzung des Cookie-Banners bis zur Nachvollziehbarkeit von Datenverarbeitungsverzeichnissen.

Besondere Aufmerksamkeit verdient dabei der Einsatz von US-amerikanischen Cloud-Diensten und Analysetools. Wer Google Analytics, Salesforce oder Microsoft Azure einsetzt, muss sicherstellen, dass der Datentransfer in die USA auf Basis des aktuellen EU-US Data Privacy Framework ordnungsgemäß abgesichert ist – und sich bewusst sein, dass dieses Abkommen rechtlich weiterhin unter Beobachtung steht. Eine erneute Klage vor dem EuGH ist nicht ausgeschlossen.

Darüber hinaus sollten Unternehmen ihre Einwilligungsprozesse regelmäßig überprüfen. Dark Patterns – also Gestaltungsmuster, die Nutzer unbewusst zur Zustimmung drängen – werden von den Behörden aktiv sanktioniert. Eine klare, verständliche und technisch gleichwertig umgesetzte Ablehnoption ist keine Kür, sondern Pflicht.

Ausblick: Verschärfung des Drucks absehbar

Europäische Datenschutzbehörden werden ihren Kurs aller Voraussicht nach weiter verschärfen. Der EDPB hat in den vergangenen Jahren wiederholt koordinierte Durchsetzungsaktionen gestartet und nationale Behörden zur Zusammenarbeit verpflichtet. Mit dem Digital Markets Act (DMA) und dem Digital Services Act (DSA) stehen zudem zwei weitere Regulierungsrahmen bereit, die sich mit der DSGVO überschneiden und den Druck auf große Plattformen weiter erhöhen werden.

Für Investoren und Analysten bedeutet das: Datenschutzrisiken müssen in die Bewertung von Technologieunternehmen einfließen. Anhängige Verfahren, ungelöste Compliance-Fragen und politische Entwicklungen rund um den transatlantischen Datentransfer sind materielle Risikofaktoren – und die Bußgeldstatistik der vergangenen Jahre zeigt, dass diese Risiken real und quantifizierbar sind.