DSGVO-Bußgelder: 6,11 Milliarden Euro bis März 2026

BGH-Urteil zu Schadensersatz und Bitkom-Studie zeigen wachsende Spannungen zwischen Datenschutz und KI-Entwicklung auf.

Die europäische Datenschutzgrundverordnung (DSGVO) prägt seit einem Jahrzehnt die digitale Landschaft – doch die juristische und wirtschaftliche Realität wird zunehmend komplexer. Während höchstrichterliche Urteile klare Grenzen für Datenweitergaben an Auskunfteien ziehen, kämpfen Unternehmen mit wachsenden bürokratischen Hürden und der Frage, wie KI-Entwicklung unter den aktuellen Regeln überhaupt noch möglich ist.

Anzeige

Lücken in der Datenschutz-Dokumentation können Unternehmen heute teurer zu stehen kommen als je zuvor. Dieser kostenlose Leitfaden zeigt Ihnen in 5 konkreten Schritten, wie Sie die rechtssichere DSGVO-Umsetzung in Ihrem Betrieb effizient meistern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Neue Maßstäbe für Schadensersatz bei Datenschutzverstößen

Der Bundesgerichtshof (BGH) sorgte Ende Januar 2025 für Aufsehen: Er sprach einem Verbraucher 500 Euro Schadensersatz wegen eines ungerechtfertigten Eintrags bei einer Wirtschaftsauskunftei zu. Ein Telekommunikationsunternehmen hatte Daten weitergegeben, woraufhin eine Bank dem Betroffenen den Kredit sperrte. Der Eintrag blieb rund 22 Monate bestehen. Das Gericht betonte, dass die Entschädigung hier eine ausgleichende Funktion habe – nicht abschreckend wirken solle.

Das Amtsgericht Nürnberg präzisierte im Juli 2025 die Grenzen solcher Ansprüche. Die Richter entschieden: Die Kopplung von Verträgen an die Zustimmung zur Datenweitergabe an Auskunfteien kann freiwillig sein – solange Verbraucher Alternativen haben. Zudem sei die Datenweitergabe auch über das berechtigte Interesse zur Betrugsbekämpfung rechtfertigbar. Entscheidend: Bloßes Unbehagen oder ein allgemeines Unwohlsein reichen für Schadensersatz nach Artikel 82 nicht aus. Es muss ein konkreter, nachweisbarer Nachteil vorliegen.

Diese Urteile fallen in eine Zeit, in der die Gesamtsumme der DSGVO-Bußgelder auf rund 6,11 Milliarden Euro angewachsen ist (Stand März 2026). Der Trend zeigt: Für klare Fehler mit finanziellen Folgen gibt es Entschädigung – bloße Transparenzverstöße ohne spürbaren Schaden bleiben dagegen meist folgenlos.

Bitkom-Studie: Datenschutz als Innovationsbremse

Eine am 22. Mai 2026 veröffentlichte Langzeitstudie des Digitalverbands Bitkom unter 603 Unternehmen offenbart ein wachsendes Spannungsfeld. Zwar haben 71 Prozent der Firmen die DSGVO-Anforderungen bis 2024 vollständig umgesetzt – ein deutlicher Anstieg gegenüber 7 Prozent im Jahr 2018. Doch der Preis ist hoch:

• 81 Prozent der Unternehmen berichten, dass die Verordnung interne Prozesse verkompliziert
• 97 Prozent bewerten den bürokratischen Aufwand als hoch
• 69 Prozent sehen Datenschutzregeln als Hindernis für KI-Training – 2023 waren es noch 42 Prozent
• 63 Prozent befürchten, dass Datenschutzauflagen KI-Entwicklung aus der EU vertreiben
• 59 Prozent der Projekte zum Aufbau von Datenpools scheitern an DSGVO-Vorgaben

Trotz aller Bedenken fließen weiterhin Daten in die USA: 61 Prozent der Unternehmen übermitteln Daten dorthin. Die Industrie fordert nun eine Reform der DSGVO mit einem risikoorientierteren Ansatz und klaren Regeln für KI-Training. Ein akutes Problem: 38 Prozent der Firmen finden keine Fachkräfte für Datenschutzbeauftragte.

KI-Diskriminierung und neue Kontrollmechanismen

In Bremen schlagen Experten im Mai 2026 Alarm: KI-Systeme in Bewerbungsprozessen können Diskriminierung verstärken. Software bewertet Kandidaten schlechter aufgrund von Postleitzahlen, Lücken im Lebenslauf oder Geschlecht. Die Stadt reagierte mit einer Dienstvereinbarung zur KI-Nutzung, die vorschreibt:

• Menschliche Aufsicht bei jedem KI-Einsatz
• Letzte Entscheidungsgewalt bleibt beim Menschen
• Betroffene haben Recht auf Information über Entscheidungswege

Gleichzeitig wird die Rechtsgrundlage für staatliche Überwachung angefochten. Am 20. Mai 2026 reichten FDP-Mitglieder aus Nordrhein-Westfalen und dem Europaparlament Verfassungsbeschwerde gegen das neue Verfassungsschutzgesetz ein. Kritikpunkte: KI-gestützte Datenauswertung ohne konkrete Gefahr oder richterlichen Beschluss sowie Echtzeit-Zugriff auf private Videokameras. Eine Entscheidung des Bundesverfassungsgerichts wird vor der Landtagswahl im April 2027 nicht erwartet.

Digitale Souveränität und neue Regulierungen

Die Regulierungswelle in Europa geht weit über die DSGVO hinaus. Die Digital Operational Resilience Act (DORA) für den Finanzsektor ist seit Januar 2025 in Kraft. Banken und Versicherungen müssen IT-Sicherheit als Kernaufgabe behandeln. Die NIS2-Richtlinie für Cybersicherheit setzt strenge Meldefristen: Bis März 2026 hatten sich nur etwa 11.000 von 29.500 betroffenen Unternehmen in Deutschland registriert – bei möglichen Bußgeldern von bis zu 10 Millionen Euro oder zwei Prozent des globalen Umsatzes.

Die EU investiert massiv in digitale Souveränität: 180 Millionen Euro fließen in souveräne Cloud-Infrastruktur, bis 2028 sollen 91 Prozent der Cloud-Migrationen abgeschlossen sein. Branchenexperten betonen: Digitale Souveränität hängt weniger vom Server-Standort ab als vom Firmensitz des Anbieters.

Ausblick: EU AI Act als nächster Meilenstein

Der EU AI Act wird zur nächsten großen Compliance-Herausforderung. Am 22. Mai 2026 wurden Leitlinien für Hochrisiko-KI-Systeme veröffentlicht. Ab dem 2. August 2026 gilt eine Kennzeichnungspflicht für KI-generierte Inhalte. Unternehmen müssen künftig noch sorgfältiger dokumentieren, wie sie automatisierte Systeme einsetzen.

Anzeige

Mit dem EU AI Act kommen neue, komplexe Dokumentationspflichten auf alle Unternehmen zu, die KI-Systeme nutzen. Dieser kostenlose Umsetzungsleitfaden bietet Ihrer IT- und Rechtsabteilung den notwendigen Überblick über Fristen, Risikoklassen und Haftungsfragen. Kostenlosen Leitfaden zum EU AI Act herunterladen

Parallel dazu testet Frankreich ab Mai 2026 Gesichtserkennung an Schulen in zwei Departements – ein Pilotprojekt, das bereits von der französischen Datenschutzbehörde CNIL und dem Europäischen Datenschutzausschuss geprüft wird. Nach früheren gerichtlichen Stopps ähnlicher Projekte in Marseille und Schweden wird dies zum wichtigen Präzedenzfall für den Einsatz von Biometrie bei Minderjährigen.

Für Unternehmen bedeutet das: Sie müssen KI-Effizienz und Rechtskonformität in Einklang bringen – bei steigenden Kosten für Verstöße, sowohl in Bußgeldern als auch im Reputationsschaden durch Diskriminierung.