Was die Texte erlauben
Verordnung Höchstbetrag Wer entscheidet DSGVO 4 % des weltweiten Umsatzes oder 20 Mio. €, je nachdem, was höher ist Art. 83(5) Nationale Datenschutzbehörde (CNPD in Luxemburg) Datenverordnung Von jedem Mitgliedstaat festgelegt; Bußgelder auf DSGVO-Niveau für personenbezogene Daten, Kapitel II, III und V Art. 40 Zuständige nationale Behörden Digital Markets Act 10 %, 20 % bei Wiederholung Art. 30 Europäische Kommission Digital Services Act 6 % Art. 74 Europäische Kommission, für sehr große Plattformen KI-Verordnung 7 % oder 35 Mio. € für verbotene Praktiken Art. 99 Nationale Marktüberwachung; Kommission für Modelle mit allgemeinem Verwendungszweck Wettbewerbsrecht 10 % VO 1/2003 Art. 23 Europäische Kommission
Die Obergrenze wird auf Konzern ebene berechnet, am weltweiten Umsatz.
Sechs Regelwerke, denen eine Datenplattform begegnet, mit dem jeweiligen Höchstbußgeld. Die DSGVO begrenzt Bußgelder für die schwersten Verstöße auf 4 % des gesamten weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist (Artikel 83(5)). Die Datenverordnung überlässt die Sanktionen den Mitgliedstaaten (Artikel 40), erlaubt den Datenschutzbehörden aber Bußgelder auf DSGVO-Niveau für Verstöße gegen die Kapitel II, III und V, wenn personenbezogene Daten betroffen sind. Der DMA reicht bis 10 % des weltweiten Umsatzes und 20 % im Wiederholungsfall (Artikel 30); der DSA bis 6 % (Artikel 74); die KI-Verordnung bis 7 % oder 35 Millionen Euro für verbotene Praktiken (Artikel 99); das Wettbewerbsrecht bis 10 % (Verordnung 1/2003, Artikel 23).
Der technische Punkt: Die Obergrenze bemisst sich am Umsatz des Unternehmens im Sinne des EU-Rechts, bei einem Konzern also am ganzen Konzern. Eine luxemburgische Tochter eines großen Konzerns ist in Konzerngröße exponiert.
Wie groß ist ein großes Bußgeld?
Didi · CAC 2022 Meta · DPC 2023 Google · Kommission 2025
Uber · niederl. AP 2024 Amazon · CNPD 2021 Apple · Kommission 2025
≈ 4,6 % ≈ 1,1 % ≈ 1,0 %
≈ 0,9 % ≈ 0,2 % ≈ 0,1 %
4 %: DSGVO-Obergrenze · Didi fiel unter das PIPL (5 %)
Nur eines kam seiner gesetzlichen Obergrenze nahe, und zwar nicht in Europa.
Bußgeld ÷ Jahresumsatz: Amazon 10-K 2021 Meta 10-K 2022 Alphabet 10-K 2024 Uber 10-K 2023 Apple 10-K FY2024 Didi, Umsatz 2021
Jeder Balken ist ein Bußgeld geteilt durch den Jahresumsatz des Unternehmens, mit einem Wechselkurs zum Entscheidungsdatum; die Werte sind Größenordnungen. Amazon: 746 Millionen Euro, rund 880 Millionen Dollar, gegenüber 469,8 Milliarden Dollar Nettoumsatz 2021, also etwa 0,19 %, oder etwa 1,9 % des operativen Cashflows von 46,3 Milliarden Dollar. Meta: 1,2 Milliarden Euro gegenüber 116,6 Milliarden Dollar Umsatz 2022, etwa 1,1 %. Google: 2,95 Milliarden Euro gegenüber 350 Milliarden Dollar 2024, etwa 1 %. Uber: 290 Millionen Euro gegenüber 37,3 Milliarden Dollar 2023, etwa 0,9 %. Apple: 500 Millionen Euro gegenüber 391 Milliarden Dollar im Geschäftsjahr 2024, etwa 0,14 %. Didi: 8,026 Milliarden Yuan gegenüber 173,8 Milliarden Yuan Umsatz 2021, etwa 4,6 %.
Das einzige Bußgeld nahe an seiner Obergrenze wurde in China verhängt, von der Cyberspace-Verwaltung, nach chinesischem Recht. Europäische Bußgelder gegen die größten Konzerne liegen bei etwa 1 % oder darunter. Schmerzlos sind sie trotzdem nicht: Die begleitenden Anordnungen (eine Übermittlung stoppen, ein Produkt ändern) kosten meist mehr als das Bußgeld.
US-Unternehmen
Amazon in Luxemburg, Meta und Uber bei Übermittlungen, die Kommission gegen Torwächter.
Vier Fälle mit US-Konzernen. Zwei betreffen Übermittlungen personenbezogener Daten in die USA, das DSGVO-Gegenstück zu Artikel 32 der Datenverordnung. Einer spielt in Luxemburg. Einer zeigt die eigenen Instrumente der Kommission.
Amazon, Luxemburg: 746 Mio. €, dann aufgehoben
Die Entscheidung CNPD, 2021
Gegen die in Luxemburg ansässige Amazon Europe Core wird ein Bußgeld von 746 Millionen Euro verhängt, weil sie Daten für zielgerichtete Werbung ohne gültige Rechtsgrundlage verarbeitet hat.
Im März 2025 bestätigt das Verwaltungsgericht das Bußgeld. Im März 2026 hebt der Verwaltungsgerichtshof es aus Verfahrensgründen auf und verweist die Sache an die CNPD zurück.
Was es einem Team sagt 3 Punkte
Das Gericht hielt die Feststellungen in der Sache aufrecht Es hob auf, weil Vorsatz oder Fahrlässigkeit nicht geprüft wurden Fünf Jahre später ist nichts bezahlt und die Akte wieder offen
Ein Bußgeld ist eine Entscheidung, kein Zahlungsfluss .
CNPD, 2021-07-16 · Chronicle.lu und Reuters, 2026-03-13 · CMS Enforcement Tracker, Luxemburg
Das damals höchste DSGVO-Bußgeld, und ein luxemburgischer Fall. Am 16. Juli 2021 verhängte die CNPD gegen Amazon Europe Core 746 Millionen Euro wegen verhaltensbasierter Online-Werbung. Amazon legte Rechtsmittel ein. Im März 2025 bestätigte das Verwaltungsgericht die Entscheidung. Am 12. März 2026 (manche Berichte nennen den 13.) hob der Verwaltungsgerichtshof in der Berufung das Bußgeld auf und verwies die ganze Sache an die CNPD zurück. Das Gericht sprach Amazon nicht frei: Es bestätigte die Verstöße in der Sache, stellte aber zwei Verfahrensmängel fest, insbesondere dass die CNPD nicht bestimmt hatte, ob die Verstöße vorsätzlich oder fahrlässig waren, was die DSGVO für die Bemessung verlangt.
Zur Einordnung: Das Bußgeld entsprach etwa 0,19 % des Nettoumsatzes 2021 von Amazon und etwa 1,9 % seines operativen Cashflows. Die Lehre für ein Compliance-Team ist ebenso verfahrensrechtlich wie materiell: Die Akte, die man führt, und die die Behörde führt, entscheidet Jahre später über den Ausgang.
Meta und Uber: Die Übermittlung ist der Verstoß
Unternehmen Bußgeld Was falsch war Stand Meta 1,2 Mrd. € Facebook-Daten in die USA übermittelt, mit Standardvertragsklauseln, die das US-Überwachungsrecht nicht auffingen Rechtsmittel; vom irischen High Court ausgesetzt Uber 290 Mio. € Fahrerdaten, darunter Ausweise und Gesundheitsdaten, über zwei Jahre ohne Übermittlungsinstrument in die USA gesendet Rechtsmittel
Dieselbe Frage wie Datenverordnung Art. 32 : Wessen Recht kann die Daten erreichen ?
dataprotection.ie, 2023-05-22 · Meta 10-Q, Q1 2026 · autoriteitpersoonsgegevens.nl, 2024-08-26
Meta: Am 22. Mai 2023 verhängte die irische Data Protection Commission gegen Meta Platforms Ireland 1,2 Milliarden Euro und ordnete an, die Übermittlung von Daten der Facebook-Nutzer in die USA auszusetzen, weil die Standardvertragsklauseln die vom Gerichtshof in Schrems II festgestellten Risiken nicht behoben. Meta legte Rechtsmittel ein; laut Quartalsbericht für das erste Quartal 2026 ist die Entscheidung weiterhin angefochten und vom irischen High Court ausgesetzt.
Uber: Am 26. August 2024 verhängte die niederländische Autoriteit Persoonsgegevens gegen Uber 290 Millionen Euro, weil Daten europäischer Fahrer, darunter Taxilizenzen, Standort, Zahlungsdaten, Ausweisdokumente und in einigen Fällen medizinische und strafrechtliche Daten, mehr als zwei Jahre ohne gültigen Übermittlungsmechanismus an die US-Zentrale gingen, zwischen dem Ende des Privacy Shield und Ubers Zertifizierung unter dem Data Privacy Framework. Uber legte Rechtsmittel ein. Der Fall begann mit Beschwerden von mehr als 170 französischen Fahrern.
Bezug zur Vorlesung: Artikel 32 der Datenverordnung stellt dieselbe Frage für nicht personenbezogene Daten bei Cloud-Anbietern. Unter der DSGVO hat sie bereits die beiden größten Bußgelder dieser Folie hervorgebracht.
Die Kommission gegen US-Plattformen
Datum Unternehmen Bußgeld Grundlage und Grund 2025-04-23 Apple 500 Mio. € DMA: Anti-Steering-Regeln im App Store 2025-04-23 Meta 200 Mio. € DMA: Werbemodell „Zustimmen oder bezahlen“ 2025-09-05 Google 2,95 Mrd. € Art. 102 AEUV: Selbstbevorzugung in der Werbetechnologie 2025-12-05 X 120 Mio. € DSA, erstes Bußgeld: blauer Haken, Werbearchiv, Datenzugang für Forschende
Die ersten DMA- und DSA-Bußgelder kamen mit Anordnungen und Fristen.
Pressemitteilungen ec.europa.eu · Law Society Gazette, 2025-12 · EuG, X gegen Kommission, Klage vom 2026-02-16
Am 23. April 2025 erließ die Kommission die ersten beiden Nichteinhaltungsbeschlüsse nach dem Digital Markets Act: 500 Millionen Euro gegen Apple, dessen App-Store-Regeln Entwickler daran hinderten, Nutzer auf günstigere Angebote außerhalb des Stores hinzuweisen, und 200 Millionen Euro gegen Meta, das Nutzern nur die binäre Wahl zwischen Zustimmung zu personalisierter Werbung und Bezahlung ließ. Beide hatten 60 Tage zur Umsetzung, sonst drohten Zwangsgelder.
Im September 2025 verhängte die Kommission gegen Google 2,95 Milliarden Euro nach Artikel 102 AEUV, weil es seit mindestens 2014 die eigene Werbebörse AdX bevorzugt hatte, und forderte Vorschläge zur Beseitigung der Interessenkonflikte. Am 5. Dezember 2025 erließ sie ihren ersten DSA-Nichteinhaltungsbeschluss, 120 Millionen Euro gegen X, wegen des irreführenden bezahlten blauen Hakens, des Werbearchivs und fehlenden Datenzugangs für Forschende; X klagte am 16. Februar 2026 vor dem Gericht der EU.
Für Ingenieure sind diese Beschlüsse Spezifikationen: Steering-Links, Einwilligungsdialoge, ein Werbearchiv und eine Forschungs-API sind Produktfunktionen, die eine Behörde mit einer Frist versehen hat.
Europäische Unternehmen
Die Regeln sind kein Zoll auf ausländische Plattformen.
Eine verbreitete Fehlannahme lautet, das EU-Datenrecht ziele nur auf amerikanische Plattformen. Die nächste Folie zeigt vier europäische Unternehmen, die nach der DSGVO für gewöhnliche betriebliche Mängel sanktioniert wurden.
Auch EU-Unternehmen zahlen
Unternehmen Bußgeld Behörde, Jahr Was versagte Vodafone (DE)45 Mio. € BfDI, 2025 Aufsicht über Vertriebspartner; schwache Authentifizierung bei der eSIM Criteo (FR)40 Mio. € CNIL, 2023 Nachweis der Einwilligung ins Werbetracking, die Partner eingeholt hatten H&M (SE)35,3 Mio. € Hamburger Behörde, 2020 Ausführliche Aufzeichnungen über das Privatleben von Beschäftigten in Nürnberg Spotify (SE)58 Mio. SEK IMY, 2023 Unvollständige Antworten auf Auskunftsersuchen
Dienstleister, Einwilligung, Personalakten, Auskunft: die langweiligen Teile.
bfdi.bund.de, 2025-06 · cnil.fr, 2023-06 · HmbBfDI, 2020-10 · imy.se, 2023-06
Vier europäische Unternehmen. Im Juni 2025 verhängte der Bundesbeauftragte für den Datenschutz, der BfDI, zwei Bußgelder von insgesamt 45 Millionen Euro gegen die Vodafone GmbH: eines, weil Partneragenturen, die in ihrem Namen Verträge verkauften und bei denen Beschäftigte Betrug begingen, nicht ausreichend überwacht wurden, und eines wegen Authentifizierungsschwächen, durch die Dritte eSIM-Profile von Kunden erlangen konnten. Im Juni 2023 verhängte die CNIL gegen Criteo, das französische Adtech-Unternehmen, 40 Millionen Euro, vor allem weil es die Einwilligung der Betroffenen nicht nachweisen konnte. Im Oktober 2020 verhängte die Hamburger Behörde gegen H&M 35,3 Millionen Euro für umfangreiche Aufzeichnungen über das Privatleben von Beschäftigten im Servicecenter Nürnberg. Im Juni 2023 verhängte die schwedische Behörde IMY gegen Spotify 58 Millionen Kronen wegen unvollständiger Auskünfte.
Keiner dieser Fälle betrifft künstliche Intelligenz oder eine neue Technologie. Es geht um Dienstleistersteuerung, Einwilligungsnachweise, Personaldaten und das Auskunftsrecht: Systeme, die ein Plattformteam schon betreibt. Die Datenverordnung fügt ein neues Zugangsrecht für Produktdaten hinzu, und dort werden dieselben Fehlerbilder auftreten.
Chinesische Unternehmen
TikTok in Irland, Didi im eigenen Land.
Zwei Fälle. Im einen handelt eine europäische Behörde wegen Zugriffen aus China. Im anderen handelt Chinas eigene Behörde gegen ein chinesisches Unternehmen: ein anderes Modell der Daten-Governance, das Gruppe 4 auf ihrer Folie 40 verglichen hat.
TikTok: Fernzugriff aus China ist eine Übermittlung
Die Entscheidung 530 Mio. €
Daten von EWR-Nutzern wurden von Beschäftigten in China aus der Ferne abgerufen. TikTok wies kein gleichwertiges Schutzniveau nach und prüfte den Zugriff chinesischer Behörden nach chinesischem Recht nicht.
Anordnung: binnen sechs Monaten rechtskonform werden oder die Übermittlungen nach China aussetzen.
Was es einem Team sagt 3 Punkte
Speicherung in Europa genügte nicht: Der Fernzugriff zählte Die Prüfung des ausländischen Rechts ist ein Liefergegenstand Die Aussetzungsanordnung greift vor dem Ende jedes Rechtsmittels
Ort ist nicht Kontrolle: Beurteilt wird der Zugriffspfad .
dataprotection.ie, 2025-05-02 · Law Society Gazette, 2025-05
Am 2. Mai 2025 verhängte die irische Data Protection Commission gegen TikTok 530 Millionen Euro: etwa 485 Millionen für rechtswidrige Übermittlungen und 45 Millionen für mangelnde Transparenz. Beschäftigte in China hatten Fernzugriff auf personenbezogene Daten von Nutzern im Europäischen Wirtschaftsraum. TikTok hatte nicht geprüft, ob diese Daten ein dem EU-Recht im Wesentlichen gleichwertiges Schutzniveau genossen, und den möglichen Zugriff chinesischer Behörden nach chinesischem Antiterror-, Spionageabwehr- und weiterem Recht nicht behandelt. Die DPC ordnete an, binnen sechs Monaten rechtskonform zu werden, andernfalls würden die Übermittlungen ausgesetzt. Es war die erste Übermittlungsentscheidung zu China und die erste zum Fernzugriff statt zur Speicherung. TikTok legte Rechtsmittel ein.
Das ist die Logik von Fall 02 der Vorlesung, von der anderen Seite: Wo die Daten liegen, zählt weniger als die Frage, wer sie erreichen kann, und der Betreiber muss dokumentieren, warum das ausländische Recht kein Problem ist. Im April 2025 teilte TikTok der DPC zudem mit, dass einige EWR-Daten doch in China gespeichert worden waren, entgegen den Angaben im Verfahren; dieser Punkt wird gesondert behandelt.
Didi: Chinas eigene Behörde, bei 4,6 % des Umsatzes
Die Entscheidung 8,026 Mrd. ¥
Nach einer Cybersicherheitsprüfung, die wenige Tage nach Didis Börsengang in New York 2021 begann, verhängte die CAC 8,026 Milliarden Yuan nach dem Cybersicherheitsgesetz, dem Datensicherheitsgesetz und dem Gesetz zum Schutz personenbezogener Informationen.
Das andere Modell staatlich gelenkt
Etwa 4,6 % des Umsatzes 2021, nahe der gesetzlichen Obergrenze Apps während der Prüfung aus den Stores entfernt Datensicherheit als nationale Sicherheit behandelt
Dasselbe Vokabular wie in Brüssel, ein anderer Zweck .
CAC, 2022-07-21 · The Standard (HK), 2022-07 · Bamboo Works, 2022-07
Am 21. Juli 2022 verhängte die Cyberspace-Verwaltung Chinas gegen Didi Global 8,026 Milliarden Yuan, rund 1,2 Milliarden Dollar, und sanktionierte zwei Führungskräfte persönlich. Die Prüfung hatte im Juli 2021 begonnen, wenige Tage nach Didis Börsengang in New York, und die Apps wurden während der Prüfung aus chinesischen App-Stores entfernt. Das Bußgeld entsprach etwa 4,6 % des Umsatzes 2021 von 173,8 Milliarden Yuan. Das PIPL erlaubt in schweren Fällen Bußgelder bis zu 5 % des Vorjahresumsatzes.
Der Vergleich lohnt, weil die Wörter vertraut wirken: personenbezogene Informationen, Datensicherheit, grenzüberschreitende Übermittlung. Der Zweck unterscheidet sich. In der EU ist der Rahmen Grundrechte und faire Märkte; in China behandelt der Staat Daten als Produktionsfaktor und Datensicherheit als nationale Sicherheit. Gruppe 4 hat dieselbe Unterscheidung auf ihrer Folie 40 getroffen.
Und die Datenverordnung?
Seit dem 12. September 2025 anwendbar. Noch kein veröffentlichtes Bußgeld.
Die naheliegende Frage nach diesen Beispielen: Wo sind die Bußgelder nach der Datenverordnung? Die nächste Folie antwortet ehrlich: Wir haben keines gefunden, und der Grund ist strukturell.
Noch kein Bußgeld nach der Datenverordnung, und warum
Behörden noch in Benennung Deutschland: Die Bundesnetzagentur führt, der BfDI für personenbezogene Daten; Gesetz am 26. März 2026 vom Bundestag beschlossen. Luxemburg: Gesetzentwurf 8809, ILR federführend, anhängig.
Erste Beschwerden grenzüberschreitend Das finnische Traficom erhielt eine Beschwerde gegen einen schwedischen Dateninhaber, der kostenlosen Zugang verweigerte, und gab sie an die schwedische Behörde ab.
Was zu erwarten ist eine Folgerung Anordnungen vor Bußgeldern: Zugang gewährt, Bedingungen neu geschrieben, Wechselentgelte erstattet. Bußgelder folgen den Beweisen.
Die ersten Fälle werden über die Protokolle gewonnen oder verloren.
DLA Piper, 2026-03-31 · Hannes Snellman, 2026 · chd.lu, Gesetzentwurf 8809
Wir haben bis zum 20. Oktober 2026 kein veröffentlichtes Bußgeld nach der Datenverordnung gefunden. Die Durchsetzung ist national, und viele Behörden werden erst jetzt eingerichtet. In Deutschland hat der Bundestag das Durchführungsgesetz am 26. März 2026 beschlossen: Die Bundesnetzagentur führt, der BfDI übernimmt Sanktionen, wenn personenbezogene Daten betroffen sind, und Zwangsgelder bis 500 000 Euro können Anordnungen durchsetzen. In Finnland meldete Traficom eine erste Beschwerde über einen schwedischen Dateninhaber, der einem finnischen Unternehmen Daten nicht kostenlos bereitstellen wollte, und gab sie an die schwedische Behörde ab. In Luxemburg benennt der Gesetzentwurf 8809 das ILR, mit der CNPD für personenbezogene Daten; er ist noch anhängig.
Die rechte Spalte ist unsere Folgerung, keine Tatsache: Wenn die DSGVO ein Maßstab ist, werden die ersten Fälle eher mit Anordnungen als mit Bußgeldern enden, und der Ausgang hängt davon ab, was das Unternehmen Anfrage für Anfrage vorweisen kann.
Was diese Fälle einem Plattformteam beibringen
Übermittlungen tragen die höchsten Bußgelder Meta, Uber, TikTok: zusammen 2 Mrd. €, immer die Frage, wer die Daten erreicht Fernzugriff zählt als Übermittlung TikTok: in Europa gespeichert, aus China gelesen Anordnungen greifen vor Bußgeldern Sechs Monate, um konform zu werden oder zu stoppen; Bußgelder warten auf Rechtsmittel
Das Verfahren entscheidet den Ausgang Amazon: Feststellungen bestätigt, Bußgeld aus Verfahrensgründen aufgehoben Bestraft werden die langweiligen Systeme Dienstleister, Einwilligungsnachweise, Auskunftsersuchen
Jede entspricht einer Zeile der Produktions-Checkliste .
Fünf Lehren. Übermittlungen und ausländischer Zugriff brachten die höchsten Bußgelder: 1,2 Milliarden für Meta, 530 Millionen für TikTok und 290 Millionen für Uber, zusammen über zwei Milliarden Euro. Fernzugriff wird als Übermittlung behandelt, ein Architekturdiagramm, das nur den Speicherort zeigt, verfehlt also die Frage. Abhilfeanordnungen wie die Aussetzung von Übermittlungen binnen sechs Monaten wirken viel früher als Bußgelder, die auf Rechtsmittel warten. Das Verfahren zählt: Im Fall Amazon wurden die Verstöße bestätigt und das Bußgeld aus Verfahrensgründen aufgehoben. Und die meisten Bußgelder betreffen gewöhnliche Systeme: Dienstleisteraufsicht, Einwilligungsnachweise, Auskunftsersuchen.
Zurück zum Hauptdeck: Jede Lehre entspricht einer Zeile der Produktions-Checkliste (Folie 37): Inventar, Zugangspfad, Delegation, Ausstieg, Schlüssel, Nachweis.