Datenschutz: Gnadenfrist vorbei, Bußgelder steigen

Europäische Aufsichtsbehörden verhängen Millionenstrafen für Datenschutzverstöße, während ein EuGH-Urteil Unternehmen neue Verteidigungsmöglichkeiten eröffnet.

Die Schonzeit für Datenschutzverstöße ist endgültig vorbei. Europäische Aufsichtsbehörden verschärfen ihre Durchsetzungspraxis und verhängen Rekordstrafen. Zwei jüngste Entwicklungen unterstreichen diesen harten Kurs: Eine Millionenstrafe gegen Reddit und ein bahnbrechendes Urteil des Europäischen Gerichtshofs.

Reddit muss 16,6 Millionen Euro wegen Kinderschutz-Mängeln zahlen

Die britische Datenschutzbehörde ICO hat das Social-Media-Netzwerk Reddit mit einer Geldbuße von umgerechnet 16,6 Millionen Euro belegt. Grund sind schwere Verstöße gegen den Schutz von Kinderdaten. Untersuchungen ergaben, dass die Plattform keine wirksamen Alterskontrollen besaß. So konnten Nutzer unter 13 Jahren problemlos Konten anlegen.

Anzeige

Das aktuelle Urteil gegen Reddit zeigt deutlich, dass eine fehlende Datenschutz-Folgenabschätzung (DSFA) für Unternehmen existenzbedrohende Bußgelder nach sich ziehen kann. Sichern Sie sich jetzt unsere kostenlosen Muster-Vorlagen und Checklisten, um Ihre DSFA rechtssicher und effizient zu erstellen. Rechtssichere DSFA in wenigen Schritten erstellen

Die ICO stellte fest, dass Reddit die Daten Minderjähriger ohne rechtliche Grundlage verarbeitete. Zudem habe das Unternehmen versäumt, vor Beginn des Jahres 2025 eine verpflichtende Datenschutz-Folgenabschätzung durchzuführen. „Das Unternehmen hat seine gesetzliche Pflicht vernachlässigt“, kritisierte der britische Datenschutzbeauftragte John Edwards. Die Höhe der Strafe orientiert sich an der Dauer der Verstöße, dem globalen Umsatz und der hohen Zahl betroffener Kinder.

EuGH-Urteil: Unternehmen können EU-Behörde direkt verklagen

Während die Strafen steigen, hat der Europäische Gerichtshof (EuGH) Unternehmen ein neues Verteidigungsinstrument an die Hand gegeben. In einem Grundsatzurteil bestätigten die Luxemburger Richter, dass Firmen bindende Entscheidungen des Europäischen Datenschutzausschusses (EDPB) direkt vor EU-Gerichten anfechten können.

Der Fall geht auf eine Untersuchung gegen WhatsApp in Irland zurück. Die irische Aufsichtsbehörde DPC hatte ursprünglich eine Strafe von 30 bis 50 Millionen Euro vorgeschlagen. Der EDPB nutzte jedoch seine Befugnisse und wies die DPC an, die Strafe auf 225 Millionen Euro zu erhöhen. Der EuGH urteilte nun, dass solche EDPB-Entscheidung die Rechtsstellung eines Unternehmens unmittelbar verändern. Sie sind daher direkt angreifbar.

Rechtsexperten sehen darin einen Paradigmenwechsel. Große Konzerne können nun in einem zweigleisigen Rechtsstreit gegen Bußgelder vorgehen – sowohl auf EU-Ebene als auch vor nationalen Gerichten. Das dürfte künftige Verfahren deutlich verlängern.

Frankreich: 42 Millionen Euro Strafe nach gigantischem Datenleck

Der harte Durchgriff der Behörden beschränkt sich nicht auf soziale Medien. Die französische Datenschutzbehörde CNIL verhängte im Januar 2026 eine kombinierte Geldbuße von 42 Millionen Euro gegen die Telekom-Anbieter Free und Free Mobile. Auslöser war ein massiver Datendiebstahl.

Hacker erbeuteten sensible Daten und Bankkennungen von rund 24 Millionen Nutzern. Die CNIL führte den Vorfall auf grundlegende Sicherheitsversäumnisse zurück. Das Unternehmen setzte schwache VPN-Authentifizierung ein und überwachte seine Systeme nicht auf verdächtige Aktivitäten. Zudem wurden Daten ehemaliger Kunden zu lange gespeichert und die Betroffenen nach dem Leck unzureichend informiert.

Die Strafe ist eine klare Warnung: Behörden haben keine Geduld mehr mit Unternehmen, die elementare technische und organisatorische Maßnahmen vernachlässigen. Die Höhe der Buße orientiert sich zunehmend am Ausmaß der Fahrlässigkeit, nicht nur am Schaden.

Analyse: Von Warnungen zu Maximalstrafen

Die parallelen Entwicklungen zeigen eine neue Phase der Datenschutz-Durchsetzung. Aufsichtsbehörden stellen von Ermahnungen auf finanzielle Maximalstrafen um – besonders, wenn sensible Daten oder schutzbedürftige Gruppen wie Kinder betroffen sind. Plattformen können sich nicht länger auf Allgemeine Geschäftsbedingungen verlassen. Sie müssen aktive, wirksame Altersverifikations-Systeme implementieren.

Anzeige

Angesichts immer komplexerer Bedrohungen und strengerer Gesetze müssen Geschäftsführer ihre IT-Sicherheit jetzt proaktiv verstärken. Dieser Experten-Report enthüllt effektive Strategien gegen Cyberkriminelle und zeigt, wie Sie Ihr Unternehmen ohne Budget-Explosion schützen. Kostenlosen Cyber-Security Leitfaden herunterladen

Gleichzeitig schafft das EuGH-Urteil eine neue Kontrolle für den mächtigen EDPB. Die Behörde muss nun damit rechnen, dass ihre Anweisungen zur Strafenbemessung direkt vor Gericht angefochten werden. Das gibt Unternehmen ein wichtiges Verteidigungsmittel, führt aber auch zu komplexeren und längeren Rechtsstreiten.

Ausblick: Proaktivität wird überlebenswichtig

Für Unternehmen bedeutet dies: Sie müssen beim Datenschutz in die Offensive gehen. Online-Dienste müssen ihre Alterskontrollen sofort überprüfen und für alle Angebote, die für Minderjährige zugänglich sind, umfassende Folgenabschätzungen vorlegen. Nachlässigkeit im Kinderschutz tolerieren die Behörden nicht.

Auf rechtlicher Seite wird das EuGH-Urteil wahrscheinlich eine Welle von Klagen gegen frühere EDPB-Entscheidungen auslösen. Die endgültige Festsetzung von Rekordbußgeldern könnte sich dadurch erheblich verzögern. Klar ist: Datenschutz muss vom lästigen Anhängsel zum Kernbestand der Unternehmensinfrastruktur werden. Die Kosten von Verstößen – finanziell und für den Ruf – steigen 2026 dramatisch.