DSGVO-Compliance 2026: Die häufigsten Bußgeldfallen — und wie Sie sie vermeiden

Bußgelder nach der DSGVO entstehen selten aus bösem Willen. Sie entstehen aus Lücken zwischen dem, was Unternehmen dokumentieren, und dem, was ihre Systeme tatsächlich tun. Dieser Beitrag ordnet die häufigsten Fallen ein, die wir in der Beratung in Stuttgart und bundesweit sehen — und zeigt, wie Sie sie mit überschaubarem Aufwand schließen, bevor eine Aufsichtsbehörde oder ein Betroffener Fragen stellt.

Ein typischer Verlauf sieht so aus: Ein Unternehmen hat vor Jahren eine Datenschutzerklärung eingeführt, seitdem aber neue Tools ergänzt, einen Newsletter aufgesetzt und ein Bewerberportal integriert. Die Dokumentation ist auf dem Stand von damals, die Praxis ist eine andere. Genau diese Diskrepanz ist der Nährboden für Bußgelder — nicht die einzelne, bewusst getroffene Fehlentscheidung.

Fünf Bußgeldfallen, die sich wiederholen

Erstens: fehlende oder veraltete Auftragsverarbeitungsverträge. Wer einen Dienstleister ohne AV-Vertrag einsetzt, verstößt gegen Art. 28 DSGVO — unabhängig davon, ob je etwas passiert. Zweitens: Tracking ohne wirksame Einwilligung, bei dem Skripte bereits vor dem Klick laden. Drittens: unerfüllbare Betroffenenrechte, weil niemand für Auskunft und Löschung zuständig ist. Viertens: Datenpannen, die nicht binnen 72 Stunden gemeldet werden. Fünftens: ein unvollständiges Verzeichnis von Verarbeitungstätigkeiten, das im Prüfungsfall die fehlende Rechenschaft offenlegt.

Das Gegenmittel ist unspektakulär und wirksam: Zuerst ein vollständiges Inventar aller Dienstleister und Datenflüsse. Dann die Prüfung, wo Rechtsgrundlagen und Verträge fehlen. Dann ein schlankes Verarbeitungsverzeichnis, das gepflegt wird, statt ein hundertseitiges, das veraltet. Genau so schneiden wir Vorhaben in unserer DSGVO-Compliance-Beratung.

Was „prüfungsfest“ konkret heißt

Prüfungsfest heißt nicht maximal dokumentiert. Es heißt widerspruchsfrei und aktuell. Wenn Ihre Datenschutzerklärung ein Analyse-Tool nennt, das Sie nicht mehr nutzen, ist das ein Widerspruch. Wenn Ihr Verzeichnis eine Verarbeitung ausweist, für die keine Rechtsgrundlage benannt ist, ist das eine Lücke. Aufsichtsbehörden erkennen solche Muster schnell. Ein konsistentes, gepflegtes Set aus wenigen Dokumenten schützt besser als ein umfangreiches, das niemand aktualisiert.

Besonders relevant ist die Verzahnung von Recht und Technik. Eine Einwilligung ist nur wirksam, wenn das System sie technisch respektiert — der Tracker also erst nach dem Klick lädt. Ob das der Fall ist, lässt sich nur durch einen Blick auf die tatsächliche Umsetzung feststellen. Diese Prüfung gehört zu jedem ernsthaften Datenschutzkonzept dazu.

Für Unternehmen in Baden-Württemberg lohnt der Blick auf die Praxis des Landesbeauftragten für den Datenschutz. Die Behörde kommuniziert Schwerpunkte, an denen sich die eigene Priorisierung ausrichten lässt. Wer die typischen Prüffelder kennt, investiert seine Ressourcen dort, wo das Risiko am größten ist.

Wenn Sie unsicher sind, wie aktuell Ihre Dokumentation ist, empfiehlt sich ein kompakter DSGVO-Check. Er deckt die kritischen Lücken in wenigen Wochen auf und liefert einen priorisierten Maßnahmenplan. Wie ein solcher Check abläuft und wie er mit einem technischen Software-Audit zusammenspielt, lesen Sie in unseren Leistungen. RA Dr. Henrik Vance rät, Compliance an Nachweisbarkeit zu koppeln — nicht an die Zahl der Dokumente.