Stand der DSGVO-Durchsetzung 2026: Ein Praxisbericht

Acht Jahre später hat die DSGVO-Durchsetzung das Erwachsenenalter erreicht

Die DSGVO trat im Mai 2018 in Kraft. Acht Jahre später sieht das Durchsetzungsbild anders aus, als Befürworter oder Skeptiker es 2018 vorhergesagt haben.

Befürworter erwarteten, dass aggressive Durchsetzung das Verhalten von Big Tech innerhalb von Jahren neu prägen würde. Das ist geschehen, aber langsamer als erwartet und mit erheblichen nationalen Unterschieden.

Skeptiker erwarteten, dass die DSGVO zur „Leitlinie mit Theatercharakter” werden würde — eine Regulierung, die Organisationen gefahrlos ignorieren könnten. Das ist nicht eingetreten. Die Bilanz der Durchsetzung ist real und materiell.

Dies ist der Bericht für 2026 zur tatsächlichen DSGVO-Durchsetzung: die Zahlen, die Muster, die Engpässe und was europäische Unternehmen bis 2027 erwarten sollten.

Die Zahlen (Stand Mai 2026)

Bußgelder insgesamt

Kumulierte DSGVO-Bußgelder von Mai 2018 bis Mai 2026: rund 5,6 Milliarden Euro.

Aufschlüsselung nach Jahr (näherungsweise, aus öffentlicher DPA-Berichterstattung):

2018-2019: 435 Mio. € (langsamer Start, während die DPAs Kapazität aufbauten)
2020: 158 Mio. €
2021: 1,1 Mrd. € (Amazons 746 Mio. € als Ausreißer)
2022: 831 Mio. €
2023: 2,1 Mrd. € (Metas 1,2-Mrd.-€-Bußgeld der irischen DPC)
2024: 1,05 Mrd. €
2025: ~880 Mio. € (vorläufig)
2026 YTD: vergleichbar mit 2025

Die jährliche Basis hat sich bei 800 Mio.-1 Mrd. € an Bußgeldern stabilisiert, mit gelegentlichen Ausreißern aus großen Durchsetzungsmaßnahmen.

Größte Bußgelder bis 2026

Die größten DSGVO-Bußgelder (kumulativ bis Mai 2026):

Meta — 1,2 Mrd. € (Irland, 2023) für transatlantische Datentransfers
Amazon — 746 Mio. € (Luxemburg, 2021) für Werbe-Einwilligung
Meta (Instagram) — 405 Mio. € (Irland, 2022) für Verarbeitung von Kinderdaten
Meta (WhatsApp) — 225 Mio. € (Irland, 2021) für Transparenzverstöße
TikTok — 345 Mio. € (Irland, 2023) für Verarbeitung von Kinderdaten
Meta — 390 Mio. € (Irland, 2023) für Rechtsgrundlage von Werbung
Google — 170 Mio. € insgesamt (mehrere Jurisdiktionen) für Cookie-Einwilligung
TikTok — 530 Mio. € (Irland, 2024) für Datentransfers nach China
Apple — 150 Mio. € (Frankreich/CNIL, 2025) für App-Tracking-Transparency-Verstöße
Meta — 265 Mio. € (Irland, 2022) für Data Scraping

Das Muster: Die meisten großen Bußgelder treffen die EU-Operationen US-amerikanischer Tech-Konzerne und werden häufig von der irischen Data Protection Commission ausgesprochen (wo die meisten US-Tech-Konzerne ihren EU-Hauptsitz haben).

Die Muster: Was tatsächlich durchgesetzt wird

Verstöße gegen die Cookie-Einwilligung sind nach Volumen die häufigste Durchsetzungskategorie. Hunderte von Bußgeldern wurden von europäischen DPAs ausgesprochen für:

Cookie-Banner, die keine einfache Ablehnung erlauben
Cookies, die vor der Einwilligung gesetzt werden
Vorausgewählte Einwilligungs-Boxen
„Alle ablehnen”-Buttons, die hinter mehreren Klicks versteckt sind

Bemerkenswerte Cookie-Durchsetzung:

Frankreichs CNIL war am aggressivsten — 60+ Mio. € an Cookie-spezifischen Bußgeldern, einschließlich großer Maßnahmen gegen Google, Microsoft, Meta
Italiens Garante war aktiv bei Cookie-Durchsetzung
Deutschlands Bundes- und Landes-DPAs haben Cookie-Verfahren gegen Verlage und Werbenetzwerke geführt

Praktische Implikation für europäische Unternehmen: Cookie-Banner müssen eine einfache Ablehnung ermöglichen. „Alle ablehnen” muss genauso leicht zu klicken sein wie „Alle akzeptieren”. Der wirtschaftliche Druck hat die Adoption cookieloser Analytics (Plausible, Matomo etc.) vorangetrieben, die das Problem ganz vermeiden.

Muster 2: Transatlantische Datentransfers

Schrems II (2020) und die Lücke nach dem Privacy Shield haben für anhaltenden Durchsetzungsfokus auf die Compliance bei transatlantischen Datentransfers gesorgt. Wichtige Maßnahmen:

Meta — 1,2 Mrd. € Bußgeld der irischen DPC für fortgesetzte Transfers ohne adäquate Schutzmaßnahmen
Mehrere kleinere Bußgelder für unzureichende Umsetzung von Standardvertragsklauseln
Untersuchungen zur Nutzung von Microsoft 365 und Google Workspace im europäischen öffentlichen Sektor

Das EU-US-Datenschutzrahmenwerk (DPF) von 2023 hat die transferbezogene Durchsetzung reduziert, aber die rechtliche Anfälligkeit besteht weiter. Ein „Schrems III”-Urteil des EuGH könnte die Durchsetzung bei Transfers wieder aggressiv aufleben lassen.

Muster 3: Daten von Kindern

Die Verarbeitung von Kinderdaten hat sich als Kategorie mit hohen Bußgeldern herauskristallisiert:

Meta (Instagram) — 405 Mio. € für die Verarbeitung von Daten in Teen-Konten
TikTok — 345 Mio. € für Standardeinstellungen bei der Verarbeitung von Kinderdaten
YouTube — mehrere kleinere Bußgelder für an Kinder gerichtete Werbung

Das Muster: Regulierer sind bereit, substanzielle Bußgelder für Verstöße im Kontext Kinderdaten auszusprechen. Plattformen mit erheblicher Minderjährigen-Nutzerbasis haben ein strukturelles Durchsetzungsrisiko.

Muster 4: Transparenz und Rechtsgrundlage

Artikel 6 (Rechtsgrundlage der Verarbeitung) und Artikel 13/14 (Transparenzpflichten) erzeugen anhaltende Durchsetzung:

Unzureichende Datenschutzhinweise
Falsche Rechtsgrundlage geltend gemacht (z. B. berechtigte Interessen für Aktivitäten, die Einwilligung erfordern)
Unzureichende Informationen über die Datenverarbeitung
Mangelnde Transparenz über Datenweitergabe

Das sind tendenziell einzeln kleinere Bußgelder, repräsentieren aber eine anhaltende Grundlinie der Durchsetzung gegen viele Organisationen.

Muster 5: Erfüllung von Betroffenenrechten

Die Rechte aus Art. 15-22 (Auskunft, Löschung, Übertragbarkeit etc.) haben stetige Durchsetzung erzeugt:

Versäumnis, auf Auskunftsanfragen zu reagieren
Unzureichende Löschung auf Antrag
Versäumnis, Daten in portierbaren Formaten bereitzustellen
Verweigerung legitimer Löschanfragen

Viele kleinere Bußgelder (10.000-500.000 €) für konkrete Versäumnisse bei der Erfüllung von Betroffenenrechten.

Der Engpass der irischen DPC

Die irische Data Protection Commission ist zum am meisten diskutierten strukturellen Problem der DSGVO-Durchsetzung geworden.

Warum der Engpass besteht

Der „One-Stop-Shop”-Mechanismus der DSGVO (Art. 56) macht die DPA des Landes der EU-Hauptniederlassung eines Unternehmens zur federführenden Aufsichtsbehörde für grenzüberschreitende Fälle. Die meisten großen US-Tech-Konzerne (Meta, Google, Apple, Microsoft, TikTok) haben ihren EU-Hauptsitz in Irland. Das konzentriert einen enormen Anteil der DSGVO-Durchsetzungsarbeit bei der irischen DPC.

Die irische DPC ist relativ zu ihrem Arbeitsanfall chronisch unterausgestattet und wurde kritisiert für:

Langsame Untersuchungen — große Fälle, die 2-5+ Jahre dauern
Geringere Bußgelder als andere DPAs aussprechen würden (häufig im EDSA-Beschwerdeverfahren erhöht)
Prozedurale Komplexität — starke Abhängigkeit von langwierigen prozeduralen Prozessen

Die Rolle des Europäischen Datenschutzausschusses

Der EDSA (das EU-Koordinationsgremium aller nationalen DPAs) hat eine zunehmend wichtige Rolle gespielt. Die Streitbeilegung nach Art. 65 erlaubt dem EDSA, Entscheidungen der irischen DPC zu überschreiben, wenn andere DPAs widersprechen.

Mehrere große Bußgelder (Meta 1,2 Mrd. €, TikTok 345 Mio. €) gingen mit EDSA-Eingriffen einher, die die ursprünglichen Bußgeldvorschläge der irischen DPC erhöhten. Das Muster: Die irische DPC schlägt ein niedrigeres Bußgeld vor; der EDSA erhöht es nach Einwänden anderer DPAs.

Was sich ändert

Reformbemühungen sind weitergegangen:

Verstärkte Ressourcen der irischen DPC — der Personalbestand ist 2023-2026 substanziell gewachsen
EDSA-Prozessverbesserungen — schnellere Streitbeilegung nach Art. 65
Verfahrensverordnung — vorgeschlagene Verordnung zur Harmonisierung der DSGVO-Verfahrensregeln zwischen Mitgliedstaaten

Diese Reformen helfen, aber das strukturelle Problem (Konzentration der Durchsetzung bei einer DPA) ist nicht vollständig gelöst.

Variationen zwischen Mitgliedstaaten

Die DSGVO ist in den Mitgliedstaaten ungleichmäßig umgesetzt worden. Acht Jahre später zeichnen sich klare Muster ab:

Aggressivste Durchsetzungs-DPAs

Frankreich (CNIL) — produktivster Aussprecher von Bußgeldern, insbesondere für Cookie-Einwilligung
Italien (Garante) — aktiv über mehrere Kategorien hinweg
Spanien (AEPD) — hohes Volumen kleinerer Bußgelder
Deutschland (Bundes- + Landes-DPAs zusammen) — substanzielle Durchsetzung insbesondere bei B2B-Verstößen
Niederlande (Autoriteit Persoonsgegevens) — fokussierte Durchsetzung auf bestimmte Muster
Norwegen (Datatilsynet) — überproportional einflussreich trotz kleiner Bevölkerung

Konservativere Durchsetzungs-DPAs

Irland (DPC) — siehe oben
Luxemburg (CNPD) — weniger Durchsetzungsmaßnahmen, aber Amazons 746-Mio.-€-Bußgeld zeigt Handlungsfähigkeit
Mehrere kleinere Mitgliedstaaten — begrenzte Durchsetzungskapazität

Praktische Implikation für europäische Unternehmen, die grenzüberschreitend operieren: Welche DPA Ihren Fall behandelt, beeinflusst die Ergebnisse substanziell. Das ist relevant für Incident-Response-Planung und Rechtsstrategie.

Was sich im Geschäftsverhalten tatsächlich geändert hat

Über Bußgelder hinaus hat die DSGVO messbar verändert, wie europäische Unternehmen mit Daten umgehen:

1. Adoption von Privacy by Design

Unternehmen integrieren Datenschutzüberlegungen zunehmend von Anfang an in die Produktentwicklung, statt Compliance nachzurüsten. Das ist die größte einzelne Verhaltensänderung — und sie hält in Unternehmen aller Größen an.

2. DSB-Bestellung und Verantwortlichkeit

Datenschutzbeauftragten-Rollen sind in mittelgroßen und größeren Organisationen heute Standard. Der Pflicht-DSB-Auslöser nach Art. 37 betrifft viele Unternehmen; die freiwillige DSB-Bestellung ist auch bei kleineren verbreitet.

3. Verzeichnis von Verarbeitungstätigkeiten

Die VVT-Dokumentation nach Art. 30 ist zur Standardpraxis geworden. Auch wenn die Qualität variiert, ist die Praxis, Verarbeitungsverzeichnisse zu führen, weit verbreitet.

4. Anbieter-Due-Diligence

Art. 28 DSGVO (Auftragsverarbeiterpflichten) hat die Anbieterauswahl neu geprägt. Unternehmen bewerten aktiv die Datenschutzposition von Anbietern, fordern AVVs an und prüfen Subprozessor-Ketten.

5. Bewusstsein für internationale Transfers

Schrems II hat das Bewusstsein für transatlantische Datentransferrisiken geschärft. Selbst kleinere europäische Unternehmen berücksichtigen heute die Datenresidenz bei Anbieterentscheidungen.

Grenzüberschreitende Durchsetzung und Kooperation

Die internationale Dimension der DSGVO ist gereift:

EU-US-Kooperation

Nach mehreren Rahmenwerk-Zyklen (Safe Harbor, Privacy Shield, aktuelles Data Privacy Framework) hat sich die EU-US-Kooperation bei der Datenschutzdurchsetzung stabilisiert. Gemeinsame Fälle sind weiterhin selten, aber die Konsultation zwischen Regulierern hat zugenommen.

EU-UK-Kooperation nach dem Brexit

Die UK-DSGVO spiegelt die EU-DSGVO eng. Das UK hat eine eigene Durchsetzungslinie (ICO), aber die Kooperation mit EU-DPAs ist fortgesetzt worden. Die Angemessenheit der UK-Schutzmaßnahmen wird periodisch überprüft.

Globaler Einfluss der DSGVO

Die extraterritoriale Reichweite der DSGVO (Art. 3) plus ihr Modellwirkung auf das globale Datenschutzrecht (LGPD in Brasilien, PIPL in China, diverse US-Bundesstaatsgesetze) bedeutet, dass die DSGVO-artige Durchsetzung zunehmend zur globalen Standardwahl beim Umgang mit Daten von EU-Bürgern wird.

Was 2026-2027 bringt

Vorgeschlagene DSGVO-Verfahrensverordnung

Die Kommission hat eine Verordnung vorgeschlagen, die die DSGVO-Verfahrensregeln zwischen Mitgliedstaaten harmonisiert. Bei Annahme würde diese:

Fristen für die Beschwerdebearbeitung standardisieren
Variationen in der Fallbearbeitung reduzieren
Grenzüberschreitende Fälle straffen

Annahmezeitrahmen: möglich 2026-2027.

Strategische Durchsetzungsprioritäten des EDSA

Der Europäische Datenschutzausschuss hat strategische Prioritäten für 2026-2027 signalisiert:

Schnittstelle des AI Act mit der DSGVO (insbesondere Art. 22)
Internationale Transfers (DPF-Stabilität und Alternativen)
Schutz von Kinderdaten
Dark Patterns in Einwilligung und Cookie-Bannern
Biometrische Daten (insbesondere am Arbeitsplatz und im Bildungskontext)

Es ist zu erwarten, dass sich die Durchsetzungsaktivität in diesen Bereichen konzentriert.

Mögliche „DSGVO 2.0”

Diverse Vorschläge zur DSGVO-Überprüfung sind im Umlauf. Während noch kein formeller Gesetzgebungsvorschlag existiert, umfassen die Themen:

Vereinfachte KMU-Compliance — reduzierte Pflichten für kleinere Unternehmen mit risikoarmer Verarbeitung
Harmonisierte Durchsetzung — Adressierung des Engpasses der irischen DPC und der Variationen zwischen Mitgliedstaaten
Aktualisierte Bestimmungen für KI und moderne Technologie
Cookie-Regelungsreform — möglicherweise über die ePrivacy-Verordnung statt über DSGVO-Änderungen

Ein formeller „DSGVO 2.0”-Gesetzgebungsvorschlag 2026-2027 ist möglich, aber unsicher.

Schrems-III-Urteil

Das anhängige EuGH-Verfahren, das das EU-US-Datenschutzrahmenwerk anficht, könnte zur Ungültigkeitserklärung des aktuellen transatlantischen Transfermechanismus führen. Zeitrahmen: Urteil möglich 2026-2027.

Bei Ungültigkeit kehren transatlantische Transfers zu SCCs + TIAs zurück, mit neuer Unsicherheit über langfristige Regelungen.

Was sollten europäische Unternehmen tun?

Drei Erkenntnisse für DSGVO-Compliance 2026:

Wenn Ihre Organisation unter regulatorischem Druck weiterhin aggressive Cookie-Einwilligungs-Banner pflegt, wechseln Sie zu cookielosen Analytics (Plausible, Matomo). Die technische Lösung existiert, das rechtliche Risiko entfällt, und die Konversionsraten verbessern sich typischerweise.

2. Transatlantische Transfers als laufendes rechtliches Risiko behandeln

Das DPF funktioniert vorerst, weist aber bekannte rechtliche Anfälligkeit auf. Bauen Sie Architekturen, die in Szenarien mit und ohne DPF funktionieren. Nutzen Sie EU-residente Verarbeitung für sensible Daten; reservieren Sie US-Anbieter für weniger sensible Workloads.

3. DSB- und VVT-Dokumentation aktuell halten

Die alltägliche Compliance-Arbeit (DSB-Bestellung, VVT-Pflege, AVV-Abschluss mit Anbietern) schützt vor Eskalation der Durchsetzung. Die meiste Durchsetzung gegen mittelständische Unternehmen beginnt mit einfachen Dokumentationslücken.

Worauf 2027 zu achten ist

Erste Durchsetzung der DSGVO-Verfahrensverordnung, falls angenommen
Schrems-III-EuGH-Urteil zum EU-US-Datenschutzrahmenwerk
AI-Act-+-DSGVO-Schnittstellen-Fälle — erste große Fälle, die beide Regulierungen anwenden
Durchsetzung gegen Dark Patterns — substanzielle Bußgelder für manipulative Einwilligungsoberflächen wahrscheinlich
Ausweitung der Durchsetzung bei Kinderdaten — über TikTok und Instagram hinaus, breiteres Muster wahrscheinlich
Möglicher Gesetzgebungsvorschlag „DSGVO 2.0”

All das werden wir im Bericht des nächsten Jahres behandeln.

Das tatsächliche Bild nach acht Jahren

Die DSGVO-Durchsetzung ist 2026 real, materiell und fortlaufend. 5,6 Mrd. € an kumulierten Bußgeldern sind bedeutsam. Die Verhaltensänderung im Umgang europäischer Unternehmen mit Daten ist substanziell. Die strukturellen Probleme (Engpass der irischen DPC, Variationen zwischen Mitgliedstaaten) verbessern sich, sind aber nicht gelöst.

Für europäische Unternehmen haben sich die operativen Implikationen seit 2018 nicht geändert — Privacy by Design implementieren, Dokumentation pflegen, Anbieter sorgfältig auswählen, auf Betroffenenrechtsanfragen reagieren und die Durchsetzung als laufendes Risiko behandeln statt als einmalige Hürde.

Für europäische Tech-Käufer schafft die DSGVO-Durchsetzung messbare Vorteile für EU-native Tools gegenüber nachträglich angepassten US-Alternativen. Die Compliance-Last ist real; Tools, die sie architektonisch handhaben, sparen echtes Geld und reduzieren echtes Risiko.

Für europäische Politiker legt die Bilanz von acht Jahren nahe, dass die DSGVO funktioniert — unvollkommen, langsam, aber dauerhaft. Der Rahmen, der die europäische Datensouveränität schützt, hat unter anhaltendem Druck Bestand gehabt. Ob das so bleibt, hängt von fortgesetzten Investitionen in die Durchsetzung und einer möglichen Verfahrensreform ab.

Stöbern Sie in allen DSGVO-konformen europäischen Alternativen auf BetterInEurope.

Dieser Bericht wurde vom redaktionellen Team von BetterInEurope auf Grundlage öffentlicher DPA-Berichterstattung, Gerichtsentscheidungen und direkter Beobachtung der Compliance-Muster europäischer Unternehmen verfasst. Methodik: Auswertung wichtiger DPA-Durchsetzungsberichte, EDSA-Entscheidungen, EuGH-Urteile sowie Gespräche mit Kunden und Praktikern im späten 2025 und frühen 2026. Bußgeldzahlen sind näherungsweise; konsultieren Sie für maßgebliche Zahlen die primären DPA-Quellen. Fehler gehen auf unser Konto; Korrekturen willkommen unter hello@betterineurope.eu.