Thought Leadership
Die jährliche Studie „GDPR Fines and Data Breach Survey“ der Wirtschaftskanzlei DLA Piper liefert erneut Erkenntnisse zur Durchsetzung der Datenschutz-Grundverordnung (DSGVO). Im Jahr 2024 wurden europaweit Bußgelder in Höhe von insgesamt 1,2 Milliarden Euro verhängt.
Seit dem Inkrafttreten der DSGVO im Mai 2018 summieren sich die Strafen damit auf 5,88 Milliarden Euro.
Irland als Spitzenreiter bei der Durchsetzung
Irland bleibt mit großem Abstand der führende Akteur in der DSGVO-Durchsetzung. Seit 2018 wurden dort Geldbußen in Höhe von insgesamt 3,5 Milliarden Euro verhängt. Die höchste jemals ausgesprochene Strafe bleibt das Rekordbußgeld von 1,2 Milliarden Euro gegen Meta aus dem Jahr 2023.
Entwicklung der DSGVO-Durchsetzung: Erstmals ein Rückgang
Ein bemerkenswerter Trend zeichnet sich in der diesjährigen Studie ab: Die Gesamtsumme der verhängten Bußgelder sank um 33 % im Vergleich zum Vorjahr. Dies markiert das erste Mal, dass der zuvor kontinuierliche Anstieg gebrochen wurde. Der Rückgang ist jedoch hauptsächlich darauf zurückzuführen, dass es 2024 keine Strafe von vergleichbarer Größe wie das Meta-Bußgeld aus 2023 gab. Die langfristige Tendenz bleibt weiterhin steigend.
Große Technologieunternehmen und soziale Netzwerke sind nach wie vor die Hauptziele für Rekordbußgelder. Fast alle der zehn höchsten Strafen seit 2018 wurden gegen Unternehmen dieser Branche verhängt. Im Jahr 2024 fielen unter anderem hohe Strafen gegen LinkedIn (310 Millionen Euro) und Meta (251 Millionen Euro), die von der irischen Datenschutzbehörde ausgesprochen wurden.
Neue Branchen im Fokus
Neben der Technologiebranche geraten zunehmend auch andere Sektoren ins Visier der Datenschutzbehörden. So verhängte die spanische Datenschutzbehörde eine Strafe von 6,2 Millionen Euro gegen eine Bank wegen unzureichender Sicherheitsmaßnahmen. In Italien wurde ein Energieversorger mit 5 Millionen Euro belangt, weil er veraltete Kundendaten verwendete.
Deutschland bleibt ebenfalls ein bedeutender Akteur im Datenschutz. Seit Inkrafttreten der DSGVO wurden hierzulande Bußgelder in Höhe von insgesamt 89,1 Millionen Euro verhängt. Die deutschen Aufsichtsbehörden legen besonderen Wert auf die Integrität, Vertraulichkeit und Sicherheit der Datenverarbeitung.
Dr. Jan Geert Meents, Partner der deutschen Praxisgruppe Intellectual Property & Technology (IPT) bei DLA Piper, kommentiert: „Die diesjährigen Ergebnisse zeigen, dass die Datenschutzbehörden in Europa weiterhin eine klare Linie verfolgen. Der Rückgang des Gesamtvolumens der Bußgelder ist auf außergewöhnliche Ereignisse im Vorjahr zurückzuführen und bedeutet keine Abschwächung der regulatorischen Aktivitäten. Die DSGVO bleibt ein starkes Instrument, um den Datenschutz zu gewährleisten und die Einhaltung zu fördern. Dies gilt insbesondere auch für Deutschland.“
Wachsende Bedeutung der persönlichen Haftung
Ein weiteres wichtiges Thema in der DSGVO-Durchsetzung ist die persönliche Verantwortung von Unternehmensführungen. Die niederländische Datenschutzbehörde prüft derzeit, ob die Geschäftsführer von Clearview AI für DSGVO-Verstöße persönlich haftbar gemacht werden können. Dies geschieht nach der Verhängung einer Strafe von 30,5 Millionen Euro gegen das Unternehmen. Die Untersuchung könnte einen Wandel in der Datenschutzaufsicht signalisieren, hin zu mehr individueller Verantwortlichkeit.
Verena Grentzenberg, Partnerin der Praxisgruppe IPT von DLA Piper in Deutschland, betont: „Die zunehmende Fokussierung auf die persönliche Haftung von Führungskräften markiert eine neue Phase in der DSGVO-Durchsetzung. Dies setzt ein klares Signal an Unternehmen, dass Verstöße gegen den Datenschutz nicht ohne Konsequenzen bleiben – auch nicht auf der Ebene der handelnden Personen.“
Datenschutzverletzungen: Meldepflicht bleibt hoch
Die Anzahl der gemeldeten Datenschutzverletzungen stieg 2024 nur geringfügig auf 363 pro Tag, verglichen mit 335 im Vorjahr. Dieser moderate Anstieg deutet darauf hin, dass Unternehmen weiterhin sensibel auf Datenschutzvorfälle reagieren und diese konsequent melden, um behördlichen Ermittlungen, Geldbußen und Schadenersatzforderungen zuvorzukommen.
Die Rangliste der Länder mit den meisten gemeldeten Datenschutzverletzungen bleibt nahezu unverändert: Die Niederlande (33.471 Meldungen), Deutschland (27.829) und Polen (14.286) liegen weiterhin an der Spitze.
Jan Pohle, IPT-Partner mit Spezialisierung auf Datenschutz, zieht ein abschließendes Fazit: „Auch wenn die diesjährige Umfrage keine neuen Rekorde zeigt, bedeutet das keineswegs, dass das Interesse oder die Aktivität der europäischen Datenschutzbehörden nachgelassen haben. Im Gegenteil: Die Durchsetzung hat sich weiterentwickelt, mit wachsender Regulierung in Sektoren außerhalb von Big Tech und sozialen Medien. Die DSGVO dient zudem zunehmend als Leitplanke für neue Bereiche wie die KI-Regulierung und Grundlage für die Durchsetzung von Datenschutz im Zusammenhang mit KI.“
