DSGVO-Bußgelder 2024/25: Die 10 höchsten Strafen und wie Anonymisierung sie verhindert hätte
Das Wichtigste in Kürze
Die zehn höchsten DSGVO-Bußgelder aus 2024 und 2025 summieren sich auf rund 1,77 Milliarden Euro.
In neun dieser zehn Fälle waren die Daten bei Übermittlung, Speicherung oder Verarbeitung identifizierbar. Anonymisierung hätte das Risiko deutlich verringert oder beseitigt.
Drei der fünf höchsten Strafen betrafen Datenübermittlungen außerhalb der EU.
Bis März 2026 summieren sich die im CMS Enforcement Tracker erfassten DSGVO-Bußgelder auf rund 6,11 Milliarden Euro, und die Aufsichtsbehörden werden schneller und entschlossener.
In den zwölf Monaten ab Ende Januar 2024 haben die europäischen Datenschutzbehörden laut DLA Piper DSGVO-Bußgelder von rund 1,2 Milliarden Euro verhängt. 2025 kamen weitere hohe Strafen hinzu, allen voran 530 Millionen Euro gegen TikTok. Das Muster ist über alle Fälle hinweg bemerkenswert einheitlich: Identifizierbare personenbezogene Daten wurden übermittelt, gestohlen oder missbraucht. In neun der zehn höchsten Bußgelder dieses Zeitraums hätte eine konsequente Anonymisierung das regulatorische Risiko deutlich verringert oder ganz beseitigt.
Hier sind die Zahlen.
Welches sind die zehn höchsten DSGVO-Bußgelder 2024 und 2025?
# | Unternehmen | Bußgeld | Verstoß | Hätte Anonymisierung geholfen? |
1 | TikTok | 530 Mio. € (irische DPC, Mai 2025) | Unzulässige Übermittlung von Daten europäischer Nutzer nach China | Ja. Anonymisierte Daten unterliegen nicht den Übermittlungsbeschränkungen der DSGVO. |
2 | 310 Mio. € (irische DPC, Okt. 2024) | Unrechtmäßige Profilbildung für zielgerichtete Werbung | Ja. Anonymisierte, aggregierte Verhaltensdaten hätten den Verstoß vermieden. | |
3 | Uber | 290 Mio. € (niederländische AP, Aug. 2024) | Übermittlung sensibler Fahrerdaten in die USA ohne geeignete Garantien | Ja. Anonymisierung vor der Übermittlung hebt die Anwendbarkeit der DSGVO auf. |
4 | Meta (Datenpanne) | 251 Mio. € (irische DPC, Dez. 2024) | Facebook-Datenpanne 2018 mit 29 Mio. betroffenen Konten | Ja. Pseudonymisierung der gespeicherten Daten hätte die erbeuteten Daten unbrauchbar gemacht. |
5 | Shein/ZOETOP | 150 Mio. € (CNIL Frankreich, 2025) | Verstöße bei Cookie-Einwilligung und Tracking | Ja. Datenschutzfreundliche Analysen mit anonymisierten Daten lösen das Problem. |
6 | Meta (Passwörter) | 91 Mio. € (irische DPC, Sept. 2024) | Speicherung von Hunderten Millionen Passwörtern im Klartext seit 2012 | Ja. Einweg-Hashing hätte das vollständig verhindert. |
7 | Enel Energia | 79,1 Mio. € (Garante Italien, Feb. 2024) | Missbrauch von Daten im Telefonmarketing, unberechtigte Weitergabe von CRM-Zugängen | Teilweise. Anonymisierung hilft bei Analysen, Telefonmarketing braucht aber naturgemäß Kontaktdaten. |
8 | Amazon France | 32 Mio. € (CNIL Frankreich, 2024) | Übermäßig eingreifende Überwachung von Beschäftigten | Ja. Anonymisierte, aggregierte Team-Kennzahlen statt Einzelüberwachung hätten den Verstoß vermieden. |
9 | Clearview AI | 30,5 Mio. € (niederländische AP, Sept. 2024) | Unzulässige biometrische Datenbank aus über 30 Mrd. abgegriffenen Bildern | Ja. Anonymisierung von Anfang an hätte eine datenschutzfreundliche Architektur erzwungen. |
10 | Apotheka | 3 Mio. € (estnische Datenschutzbehörde, 2025) | Datenpanne mit Gesundheitsdaten von über 750.000 Menschen | Ja. Mit Pseudonymisierung der gespeicherten Daten lassen sich erbeutete Daten keinen Personen zuordnen. |
Summe: rund 1,77 Milliarden Euro
Was zeigen die Zahlen?
1. Das Problem sind identifizierbare Daten
Neun von zehn Fällen betreffen personenbezogene Daten, die bei Übermittlung, Speicherung oder Verarbeitung identifizierbar waren. Ausgelöst wurden die Bußgelder nicht durch fehlende Verschlüsselung oder schwache Perimeter-Sicherheit. Ausgelöst wurden sie, weil die Daten selbst noch personenbezogen waren. Nach der DSGVO sind korrekt anonymisierte Daten keine personenbezogenen Daten mehr (Erwägungsgrund 26) und fallen damit vollständig aus dem Anwendungsbereich der Verordnung.
2. Übermittlungen in Drittländer bleiben das größte Risiko
Drei der fünf höchsten Bußgelder (TikTok, LinkedIn, Uber) betrafen Datenübermittlungen außerhalb der EU. Werden Daten vor dem Grenzübertritt anonymisiert, entfallen Standardvertragsklauseln, Angemessenheitsbeschlüsse und Transfer Impact Assessments, weil die DSGVO für nicht personenbezogene Daten schlicht nicht gilt.
3. Datenpannen werden teuer, wenn die Daten verwertbar sind
Die Bußgelder gegen Meta (251 Mio. €) und Apotheka (3 Mio. €) gehen beide auf Datenpannen zurück. In beiden Fällen waren die offengelegten Daten vollständig identifizierbar. Mit Pseudonymisierung oder Anonymisierung der gespeicherten Daten hätte es die Panne trotzdem gegeben, der regulatorische und der Reputationsschaden wären aber nahezu null gewesen.
4. Die Durchsetzung wird schneller
Bis März 2026 summieren sich die im CMS Enforcement Tracker erfassten DSGVO-Bußgelder auf rund 6,11 Milliarden Euro. Allein die irische DPC verhängte in diesem Zeitraum vier der fünf höchsten Strafen. Der Trend ist eindeutig: Die Aufsichtsbehörden werden schneller, mutiger und technisch versierter.
Was folgt daraus für Unternehmen?
Viele Unternehmen behandeln Anonymisierung als Kür, als etwas für Analyse-Teams oder Forschungsabteilungen. Die Fälle aus 2024 und 2025 erzählen eine andere Geschichte. Anonymisierung ist die wirksamste Einzelmaßnahme, um das DSGVO-Risiko bei Übermittlungen, Datenpannen, Profilbildung und Mitarbeiterüberwachung zu senken.
Wer die Kosten einer Anonymisierung abwägt, sollte deshalb immer auch auf die Beträge in der Tabelle oben schauen.
Maya Data Privacy hilft Unternehmen, sensible Daten in SAP-Systemen, unstrukturierten Dokumenten und KI-Pipelines zu anonymisieren: automatisch, in großem Umfang und ohne die referenzielle Integrität zu zerstören. Wie das in SAP funktioniert, zeigt unser Leitfaden SAP-Testdaten anonymisieren. Wie Sie Datenabflüsse über KI-Chats verhindern, lesen Sie in ChatGPT im Unternehmen. Wenn Sie wissen möchten, wie Anonymisierung zu Ihrem DSGVO-Risikoprofil passt, sprechen Sie mit uns.
Häufige Fragen zu DSGVO-Bußgeldern
Welches war das höchste DSGVO-Bußgeld in den Jahren 2024 und 2025?
Das höchste Bußgeld im Zeitraum 2024 und 2025 erhielt TikTok: 530 Millionen Euro, verhängt im Mai 2025 von der irischen Datenschutzbehörde DPC wegen der unzulässigen Übermittlung von Daten europäischer Nutzer nach China. Es folgen LinkedIn mit 310 Millionen Euro und Uber mit 290 Millionen Euro.
Gilt die DSGVO für anonymisierte Daten?
Nein. Nach Erwägungsgrund 26 gilt die DSGVO nicht für Daten, die so anonymisiert sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Pseudonymisierte Daten bleiben dagegen personenbezogen, solange sie sich mit Zusatzinformationen einer Person zuordnen lassen.
Wie hoch sind die DSGVO-Bußgelder seit 2018 insgesamt?
Seit Inkrafttreten der DSGVO im Mai 2018 summieren sich die im CMS Enforcement Tracker erfassten Bußgelder bis März 2026 auf rund 6,11 Milliarden Euro. Die GDPR Fines and Data Breach Survey von DLA Piper kam im Januar 2025 auf 5,88 Milliarden Euro.
Wie hilft Anonymisierung bei Übermittlungen in Drittländer?
Anonymisierte Daten sind keine personenbezogenen Daten. Werden Daten vor der Übermittlung anonymisiert, sind weder Standardvertragsklauseln noch Angemessenheitsbeschlüsse oder Transfer Impact Assessments nötig.
Schützt Anonymisierung auch bei einer Datenpanne?
Eine Panne selbst lässt sich damit nicht verhindern. Sind die erbeuteten Daten aber anonymisiert oder pseudonymisiert, lassen sie sich keinen Personen zuordnen, und der regulatorische und der Reputationsschaden fallen deutlich geringer aus.
Comments