Seit 2018 haben die Datenschutzbehörden DSGVO-Bussgelder von über 4,5 Milliarden EUR verhängt , und die Durchsetzung nimmt Fahrt auf. Wenn Ihre Organisation über mehrere Tochtergesellschaften, Rechtsräume oder Verarbeitungstätigkeiten hinweg tätig ist, ist es nicht bloss akademisch zu verstehen, wie diese Sanktionen funktionieren. Es ist existenziell.
Quelle: GDPR Enforcement Tracker von CMS Law, kumulierte Bussgelder 2018–2026 (laufendes Jahr)
«Wir haben es geschafft, von 60 % der Compliance-Verwaltungszeit für manuelle Aktualisierungen des Verarbeitungsverzeichnisses zu einer vollständig automatisierten Rezertifizierung innerhalb der ersten 6 Monate überzugehen.»
Datenschutzbeauftragter
Flugzeughersteller , Luftfahrt, Mehrgesellschaften
«Priverion hat uns über 200 Stunden bei der Vorbereitung auf ISO 27001 erspart , Dokumentation, die früher Wochen dauerte, war in Minuten bereit.»
Compliance-Verantwortlicher
Medizintechnikunternehmen , HealthTech, mit Sitz in der Schweiz
Datenschutzbehörden verhängen keine Bussgelder gegen Organisationen, weil deren Programme unvollkommen sind. Sie verhängen Bussgelder gegen Organisationen, die nicht nachweisen können, dass sie es versucht haben. Dies sind die Lücken, die in Durchsetzungsverfahren immer wieder auftauchen , und genau jene, mit denen Organisationen mit mehreren Gesellschaften am meisten zu kämpfen haben.
Artikel 30 verlangt von jeder Gesellschaft, ein korrektes, aktuelles Verarbeitungsverzeichnis zu führen. Wenn eine Datenschutzbehörde anklopft, ist «wir glauben, diese Tabelle ist aktuell» keine verteidigbare Antwort. Bei Organisationen mit mehreren Tochtergesellschaften muss das Verarbeitungsverzeichnis jeder Gesellschaft die Realität abbilden , nicht die beste Schätzung vom letzten Quartal.
DSFA sind bei Verarbeitungen mit hohem Risiko nicht optional. Artikel 35 verlangt sie, bevor Sie beginnen , nicht erst, nachdem eine Behörde fragt, warum Sie keine durchgeführt haben. Organisationen, die grenzüberschreitende Datenflüsse über mehrere Gesellschaften steuern, sehen sich kumulierenden DSFA-Pflichten gegenüber, und Lücken vervielfachen das Risiko über die gesamte Gruppe hinweg.
Bei Metas Rekordbussgeld von 1,2 Milliarden EUR ging es um internationale Datenübermittlungen. Aber Sie müssen nicht so gross wie Meta sein, um erwischt zu werden. Jede Organisation, die Daten ohne geeignete SCC, TIA oder ergänzende Massnahmen ausserhalb des EWR übermittelt, ist exponiert , und Datenschutzbehörden prüfen Übermittlungsmechanismen mit zunehmender Häufigkeit.
Artikel 83 Abs. 2 belohnt Organisationen ausdrücklich, die proaktive, dokumentierte Compliance-Programme nachweisen können. Systematische Verzeichnisse, abgeschlossene DSFA und dokumentierte Rezertifizierungsprozesse gelten als mildernde Faktoren, wenn Datenschutzbehörden Bussgelder berechnen.
Wie der Flugzeughersteller das Compliance-Risiko senkte30-minütige Führung , keine Verpflichtung erforderlich
Organisationen im Mittelstand mit 5–50 Tochtergesellschaften benötigen ein gruppenweites Datenschutzmanagement , nicht eine überladene Plattform, die für Compliance-Teams der Fortune 100 konzipiert ist. Hier erfahren Sie, warum sich Unternehmen wie der Flugzeughersteller und ein Gesundheitsdienstleister für Priverion entschieden haben.
Priverion
Schweizer Datensouveränität . Garantiert
Alle Daten werden innerhalb der Schweizer Infrastruktur verarbeitet und gespeichert. In einer Welt nach Schrems II ist dies kein Marketing-Häkchen . es ist eine rechtliche Anforderung für grenzüberschreitende Datenübermittlungen. Europäische Datenhaltung standardmässig, nicht als Zusatzoption.
Vorhersehbare Preise ohne Erweiterungsfallen
Preisgestaltung nach Anzahl Gesellschaften und Organisationsgrösse , nicht pro Nutzerplatz oder pro Modul-Upsell. Ihr CFO wird es Ihnen danken, wenn die Verlängerung ohne eine überraschende Erhöhung um 40 % ansteht.
In Wochen einsatzbereit, nicht in Monaten
Der Flugzeughersteller erreichte innerhalb der ersten 6 Monate eine Reduktion der Compliance-Verwaltungszeit um 60 %. Die meisten Kunden sind in Wochen voll einsatzbereit , nicht in den 6- bis 12-monatigen Einführungszyklen, die Ihnen anderswo angeboten wurden.
Fallstudie Flugzeughersteller, erste 6 Monate nach der Einführung
KI-gestützt, vom Menschen entschieden
Die KI erstellt DSFA-Entwürfe, bewertet Risiken und ordnet Vorschriften zu , aber jedes Ergebnis wird von Ihrem Team überprüft, bevor es zu einem Compliance-Nachweis wird. Es werden keine Kundendaten für das Modelltraining verwendet. Volle Transparenz, volle Massnahme.
All-in-One-Plattform , keine Modulsperren
Verarbeitungsverzeichnis, DSFA/TIA, Lieferantenrisiko, Incident-Management, Bearbeitung von Betroffenenanfragen, Datenmapping, KI-Register und vorstandsreife Dashboards , inbegriffen. Nicht als 8 separate Posten verkauft.
Tiefe Integrationen, wo es darauf ankommt
Wir integrieren tief mit HR-, Beschaffungs- und IT-Asset-Management-Systemen , den Workflows, die den Datenschutz tatsächlich vorantreiben. Nicht 200 oberflächliche Konnektoren, die Wartungsaufwand verursachen.
Typische Enterprise-Plattform
Hauptsitz in den USA, standardmässig in den USA gehostet
EU-Hosting als Option verfügbar , aber das Mutterunternehmen unterliegt weiterhin der US-Gerichtsbarkeit und möglichen Datenzugriffsanfragen. Nach Schrems II ist das ein Compliance-Risiko, das Ihr Rechtsteam markieren wird.
Preise pro Nutzer und pro Modul
Was als angemessenes Angebot beginnt, verdoppelt sich oft bei der Verlängerung , jedes Modul ist ein separater Kauf, und das Hinzufügen von Nutzern oder Gesellschaften löst Erweiterungsgebühren aus. Budgets werden unvorhersehbar.
Einführungszyklen von 6 bis 12 Monaten
Enterprise-Plattformen sind für Enterprise-Zeitpläne gebaut. Dedizierte Einführungsteams, Verträge über Professional Services und monatelange Konfiguration, bevor Ihr Datenschutzbeauftragter ein einziges Dashboard zu sehen bekommt.
KI mit weniger Transparenz
Grössere Plattformen betten KI oft als Blackbox ein. Fragen Sie: Wo werden die Daten verarbeitet? Werden Ihre Compliance-Daten zum Training von Modellen verwendet? Kann Ihr Team jedes KI-Ergebnis überprüfen, bevor es zu einem Nachweis wird?
Funktionsüberfrachtung, für die Sie bezahlen
ESG-Module, Ethik-Hotlines, Cookie-Einwilligungsmanager, Präferenzzentren für Marketing , Funktionen, die Datenschutzteams im Mittelstand nicht benötigen, aber unabhängig davon in den Preis eingerechnet werden.
200 Integrationen, geringe Tiefe
Eine lange Integrationsliste wirkt in einer Ausschreibung beeindruckend , aber wie viele davon werden tatsächlich gepflegt, aktiv unterstützt und sind für Ihre Datenschutz-Workflows relevant? Breite ohne Tiefe verursacht Wartungsaufwand.
Sehen Sie, wie der Flugzeughersteller die Compliance-Verwaltungszeit in 6 Monaten um 60 % senkte
Schluss mit der Datenschutzverwaltung in Tabellen
In 30 Minuten zeigen wir Ihnen, wie Organisationen wie der Flugzeughersteller die Compliance-Verwaltungszeit um 60 % gesenkt haben , und wie sich derselbe Ansatz auf Ihre Gesellschaftsstruktur und Ihr regulatorisches Umfeld übertragen lässt. Keine Folienpräsentationen. Nur die Live-Plattform.
60%
weniger Compliance-Verwaltungszeit
Flugzeughersteller, erste 6 Monate
200+
eingesparte Stunden bei der Audit-Vorbereitung
Medizintechnikunternehmen, ISO 27001
100%
Rezertifizierungsrate des Verarbeitungsverzeichnisses
Schweizer Versicherer, vollständig automatisiert
Keine Verpflichtung erforderlich. Wir zeigen Ihnen die Plattform anhand Ihres Anwendungsfalls , nicht anhand eines generischen Demo-Skripts.
Seit die DSGVO im Mai 2018 in Kraft trat, haben die europäischen Datenschutzbehörden Bussgelder von mehr als 4,5 Milliarden EUR verhängt, wobei die Durchsetzung von Jahr zu Jahr zunimmt. Bussgelder sind in zwei Stufen gegliedert: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei verfahrensrechtlichen Verstössen (Artikel 83 Abs. 4) und bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes bei materiellen Verstössen (Artikel 83 Abs. 5). Organisationen, die dokumentierte Compliance-Programme unterhalten — einschliesslich aktueller Verarbeitungsverzeichnisse, abgeschlossener DSFA und gesteuertem Lieferantenrisiko —, profitieren von mildernden Faktoren nach Artikel 83 Abs. 2 DSGVO. In der Schweiz gehostete Plattformen wie Priverion helfen Organisationen mit mehreren Gesellschaften, diese Pflichten zu zentralisieren und gegenüber den Aufsichtsbehörden Rechenschaft nachzuweisen.
Ein DSGVO-Bussgeld ist eine verwaltungsrechtliche Sanktion, die eine Aufsichtsbehörde nach den Artikeln 83 und 84 der Datenschutz-Grundverordnung wegen Nichteinhaltung von Datenschutzpflichten verhängt. Bussgelder werden anhand von Kriterien berechnet, darunter Art, Schwere und Dauer des Verstosses, die Zahl der betroffenen Personen sowie der Grad der Zusammenarbeit mit der Behörde. Quelle: DSGVO Artikel 83
Ein Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis) ist ein verpflichtendes Register nach Artikel 30 DSGVO, das alle Verarbeitungsvorgänge personenbezogener Daten dokumentiert, die ein Verantwortlicher oder Auftragsverarbeiter durchführt. Jede Rechtseinheit innerhalb eines Konzerns muss ihr eigenes Verarbeitungsverzeichnis führen.
Eine Datenschutz-Folgenabschätzung (DSFA) ist eine Risikobewertung, die nach Artikel 35 DSGVO vor einer Verarbeitung erforderlich ist, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die EDSA-Leitlinien zum Datenschutz durch Technikgestaltung liefern weiteren Kontext dazu, wann DSFA erforderlich sind.
Standardvertragsklauseln (SCC) sind vorab genehmigte Vertragsbestimmungen, die von der Europäischen Kommission nach dem Durchführungsbeschluss (EU) 2021/914 der Kommission erlassen wurden und geeignete Garantien für internationale Datenübermittlungen nach Artikel 46 Abs. 2 lit. c DSGVO bieten.
DSGVO-Bussgelder werden von den Aufsichtsbehörden anhand der in Artikel 83 Abs. 2 DSGVO festgelegten Kriterien berechnet, die 11 Faktoren auflisten, darunter: Art, Schwere und Dauer des Verstosses; ob der Verstoss vorsätzlich oder fahrlässig erfolgte; die zur Schadensminderung ergriffenen Massnahmen; den Grad der Zusammenarbeit mit der Behörde; sowie etwaige frühere Verstösse. Im Juni 2023 verabschiedete der EDSA die Leitlinien 04/2022, die eine fünfstufige Methodik für eine harmonisierte Bussgeldberechnung in den EU-Mitgliedstaaten festlegen.
Das maximale DSGVO-Bussgeld hängt von der Verstossstufe ab. Verstösse der Stufe 1 (z. B. Versäumnis, Verarbeitungsverzeichnisse zu führen, unzureichende DSFA) ziehen Bussgelder von bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes nach sich, je nachdem, welcher Betrag höher ist. Verstösse der Stufe 2 (z. B. unrechtmässige Verarbeitung, Verletzung von Rechten betroffener Personen, illegale internationale Übermittlungen) ziehen Bussgelder von bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes nach sich, je nachdem, welcher Betrag höher ist. Diese Schwellenwerte sind in Artikel 83 Abs. 4 und 83 Abs. 5 DSGVO definiert.
Das bislang höchste DSGVO-Bussgeld war die Sanktion von 1,2 Milliarden EUR, die im Mai 2023 von der irischen Datenschutzkommission gegen Meta Platforms Ireland Ltd wegen unrechtmässiger Übermittlungen personenbezogener Daten aus der EU in die Vereinigten Staaten unter Verstoss gegen Artikel 46 DSGVO verhängt wurde. Die Entscheidung erging im Anschluss an einen verbindlichen Beschluss des Europäischen Datenschutzausschusses.
Ja. Während aufsehenerregende Bussgelder oft grosse Technologieunternehmen betreffen, verhängen die Aufsichtsbehörden regelmässig Bussgelder gegen kleine und mittlere Unternehmen. Laut IAPP werden jährlich Hunderte Bussgelder unter 100'000 EUR in den EU-Mitgliedstaaten verhängt, etwa wegen unvollständiger Verarbeitungsverzeichnisse, fehlender Cookie-Einwilligungsmechanismen und des Versäumnisses, auf Anfragen betroffener Personen innerhalb der in Artikel 12 Abs. 3 DSGVO festgelegten 30-Tage-Frist zu reagieren.
Artikel 83 Abs. 2 DSGVO listet ausdrücklich mildernde Faktoren auf, die die Aufsichtsbehörden berücksichtigen müssen, darunter: den Grad der Verantwortung unter Berücksichtigung der nach den Artikeln 25 und 32 umgesetzten technischen und organisatorischen Massnahmen; jede zur Minderung des den betroffenen Personen entstandenen Schadens ergriffene Massnahme; den Grad der Zusammenarbeit mit der Aufsichtsbehörde; sowie die Einhaltung genehmigter Verhaltensregeln oder Zertifizierungsmechanismen. Das Unterhalten eines dokumentierten, proaktiven Compliance-Programms — mit aktuellen Verarbeitungsverzeichnissen, abgeschlossenen DSFA und systematischen Lieferantenrisikobewertungen — wird in Durchsetzungsentscheidungen durchgängig als mildernder Faktor genannt.
Die Schweiz verfügt über einen EU-Angemessenheitsbeschluss nach Artikel 45 DSGVO, was bedeutet, dass personenbezogene Daten ohne zusätzliche Garantien wie SCC aus der EU/dem EWR in die Schweiz fliessen dürfen. Das Hosting von Daten in Schweizer Infrastruktur vermeidet die Gerichtsbarkeitsrisiken, die mit Cloud-Anbietern mit Hauptsitz in den USA verbunden sind, die weiterhin Datenzugriffsanfragen der US-Regierung unterliegen — ein Anliegen, das der Gerichtshof der EU im Schrems-II-Urteil (Rechtssache C-311/18) hervorhob.
Der Europäische Datenschutzausschuss (EDSA) ist eine nach Artikel 68 DSGVO eingerichtete unabhängige EU-Einrichtung, die die einheitliche Anwendung der Verordnung in den Mitgliedstaaten sicherstellt. Der EDSA erlässt verbindliche Beschlüsse in grenzüberschreitenden Fällen, veröffentlicht Leitlinien zur Bussgeldberechnung und zu Durchsetzungsprioritäten und koordiniert zwischen den nationalen Aufsichtsbehörden. Seine Leitlinien 04/2022 zur Bussgeldberechnung sind die massgebliche Referenz dafür, wie Sanktionen bemessen werden.
Laut den vom GDPR Enforcement Tracker von CMS Law zusammengestellten Daten wurden seit Mai 2018 kumulierte Bussgelder von mehr als 4,5 Milliarden EUR verhängt. Die Jahresberichte des EDSA bestätigen, dass grenzüberschreitende Durchsetzungsfälle erheblich zugenommen haben, wobei der One-Stop-Shop-Mechanismus jedes Jahr mehr verbindliche Beschlüsse hervorbringt. Der IAPP-EY Privacy Governance Report (2023) stellte fest, dass eine durchschnittliche Organisation jährlich rund 2,7 Mio. USD für den Betrieb des Datenschutzprogramms aufwendet, was die wachsenden Compliance-Kosten widerspiegelt — aber auch die Wirtschaftlichkeit im Vergleich zu möglichen Bussgeldern. Laut ENISA verzeichnen Organisationen mit ausgereiften Datenschutzprogrammen 40 % weniger Datenschutzverletzungen, was die Durchsetzungsexposition weiter verringert.
| Kriterium | Stufe 1 (Artikel 83 Abs. 4) | Stufe 2 (Artikel 83 Abs. 5) |
|---|---|---|
| Maximales Bussgeld | 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes | 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes |
| Gilt für | Verfahrensrechtliche/organisatorische Pflichten | Kerngrundsätze der Datenverarbeitung & Rechte betroffener Personen |
| Beispielverstösse | Unvollständiges Verarbeitungsverzeichnis, fehlende DSFA, unzureichende Sicherheitsmassnahmen | Unrechtmässige Verarbeitung, Verletzung der Einwilligungsregeln, illegale internationale Übermittlungen |
| Wichtige DSGVO-Artikel | Artikel 8, 11, 25–39, 42, 43 | Artikel 5–7, 9, 12–22, 44–49 |
| Beispiel für einen wegweisenden Fall | Verschiedene KMU-Bussgelder (Bereich 5'000–500'000 EUR) | Meta — 1,2 Milliarden EUR (2023, internationale Übermittlungen) |
