1. Kurz gesagt
Die DSGVO legt Höchstbeträge fest, die auch für kleinere Unternehmen gelten. Ob verwarnt oder eine Geldbuße verhängt wird und wie hoch sie ausfällt, ist anhand der Umstände des Einzelfalls zu beurteilen. Hinzukommen können Aufwand, Ansprüche Betroffener und Vertrauensverlust.
2. Der Strafrahmen
Die DSGVO kennt zwei Bußgeld-Stufen. Bei Unternehmen ist jeweils der höhere Wert aus Fixbetrag und Umsatzprozentsatz maßgeblich; der Umsatz bezieht sich auf den weltweit erzielten Jahresumsatz des vorangegangenen Geschäftsjahrs.
| Stufe | Rahmen | Typische Fälle |
|---|---|---|
| Stufe 1 | bis 10 Mio. € oder 2 % | Verstöße etwa gegen Art. 25 bis 39 DSGVO, darunter Pflichten zu AVVs oder zum Verarbeitungsverzeichnis |
| Stufe 2 | bis 20 Mio. € oder 4 % | Verstöße etwa gegen Art. 5, 6, 9 und 12 bis 22 DSGVO, darunter fehlende Rechtsgrundlagen oder missachtete Betroffenenrechte |
3. Die Realität bei kleinen Unternehmen
Für die Bemessung zählen unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensminderung, Kooperation und einschlägige frühere Verstöße. Die Unternehmensgröße allein entscheidet nicht.
§ 11 Datenschutzgesetz nennt Verwarnungen insbesondere bei erstmaligen Verstößen. Die Rechtsprechung des Bundesverwaltungsgerichts leitet daraus wegen des Vorrangs der DSGVO jedoch keinen generellen Vorrang der Verwarnung ab.
Kooperation mit der Datenschutzbehörde und Maßnahmen zur Begrenzung eines Schadens gehören zu den gesetzlichen Bemessungskriterien. Fehlende Dokumentation und ignorierte Betroffenenanfragen können den eigenen Standpunkt zusätzlich schwächen.
4. Die unterschätzten Nebenkosten
- Beschwerdeverfahren: Jede unzufriedene Person kann sich kostenlos beschweren – der Aufwand trifft dich auch ohne Strafe
- Schadenersatzansprüche bei Verstoß, nachgewiesenem Schaden und ursächlichem Zusammenhang (Art. 82 DSGVO); je nach Fall kommen weitere zivilrechtliche Ansprüche hinzu
- Abmahnungen durch Mitbewerber über das Wettbewerbsrecht
- Vertrauensverlust – gerade für Dienstleister:innen oft teurer als jede Strafe
5. Das Fazit
Der Datenschutzaufwand hängt von den tatsächlichen Verarbeitungen ab. Eine aktuelle Datenschutzerklärung, gültige Einwilligungen, erforderliche AVVs und ein gepflegtes Verzeichnis der Verarbeitungstätigkeiten decken wichtige Grundpflichten ab, ersetzen aber keine Prüfung des konkreten Unternehmens. Starte mit den sichtbarsten Pflichten: Datenschutzerklärung und Impressum – beides kannst du kostenlos erstellen.
Datenschutzerklärung in 5 Minuten erstellen
Beantworte verständliche Fragen – wir erstellen deine Datenschutzerklärung für Österreich aus sorgfältig gepflegten Textbausteinen, inklusive Hinweisen zu deinen Diensten.
Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Die Inhalte wurden sorgfältig recherchiert und mit Unterstützung von künstlicher Intelligenz erstellt – dennoch können Fehler enthalten sein. Für Richtigkeit, Vollständigkeit und Aktualität übernehmen wir keine Haftung. Verbindliche Auskünfte gibt dir eine Rechtsanwältin oder ein Rechtsanwalt.