DSGVO-Durchsetzung und Bußgelder 2026: Branchen, Top-Fälle und Länder

Die Durchsetzung der DSGVO ist längst kein theoretisches Risiko mehr, das nur in einer Compliance-Präsentation existiert. Auf Basis öffentlich zugänglicher Durchsetzungsdaten haben Aufsichtsbehörden in der EU und im Vereinigten Königreich seit 2018 mehr als 2.500 Bußgelder mit einem Gesamtvolumen von über 7 Milliarden Euro verhängt – davon allein rund 1,2 Milliarden Euro im Jahr 2025 – und die Kurve steigt weiter. Das durchschnittliche Bußgeld liegt bei etwa 2,4 Millionen Euro, ein Wert, der durch die lange Reihe kleiner Verwaltungsstrafen eher nach unten als nach oben verzerrt wird.

Wenn Sie in irgendeiner Form im digitalen Werbegeschäft tätig sind, ist die wichtigere Zahl diese: Der am härtesten getroffene Sektor – sowohl nach Anzahl als auch nach Höhe der Bußgelder – ist mit hoher Wahrscheinlichkeit genau der, in dem sich Ihr Unternehmen bewegt.

Dieser Beitrag stellt zwei nützliche Wege vor, DSGVO-Bußgelder zu kategorisieren, betrachtet, wie Ad Tech dabei abschneidet, geht die wichtigsten Ad-Tech-Fälle durch und schließt mit den Mustern, auf die sich jeder Marketer, Publisher und Ad-Operations-Verantwortliche einstellen sollte. Es ist ein langer Beitrag, aber das Gesamtbild ergibt erst Sinn, wenn man alles zusammen betrachtet.

---

Wichtige Statistiken zu DSGVO-Bußgeldern (2026)

• Gesamtsumme der seit 2018 verhängten DSGVO-Bußgelder: 7,1 Milliarden Euro bei mehr als 2.500 Bußgeldern.
• 2025 verhängte DSGVO-Bußgelder: rund 1,2 Milliarden Euro.
• Höchstes je verhängtes DSGVO-Bußgeld: 1,2 Milliarden Euro gegen Meta Platforms Ireland (irische DPC, Mai 2023) wegen unrechtmäßiger Datenübermittlungen zwischen der EU und den USA.
• Zweithöchstes je verhängtes DSGVO-Bußgeld: 746 Millionen Euro gegen Amazon Europe Core (luxemburgische CNPD, Juli 2021) wegen Ad-Targeting ohne gültige Einwilligung. Hinweis: Dieses Bußgeld wurde im März 2026 vom luxemburgischen Verwaltungsgericht aus verfahrenstechnischen Gründen aufgehoben, wobei die zugrunde liegenden Verstöße jedoch bestätigt wurden.
• Höchstes DSGVO-Bußgeld des Jahres 2025: 530 Millionen Euro gegen TikTok (irische DPC, Mai 2025) wegen unrechtmäßiger Datenübermittlungen zwischen der EU und China.
• Durchschnittliches DSGVO-Bußgeld: rund 2,4 Millionen Euro.
• Maximales DSGVO-Bußgeld: 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Land mit den meisten DSGVO-Bußgeldern nach Anzahl: Spanien, mit fast 1.000 Bußgeldern seit 2018.
• Land mit den meisten DSGVO-Bußgeldern nach Gesamtwert: Irland, mit kumulierten Bußgeldern von 4,04 Milliarden Euro (rund 57 % des gesamten DSGVO-Bußgeldvolumens).
• Am häufigsten mit Bußgeldern belegte Branche: Medien, Telekommunikation und Rundfunk, verantwortlich für rund 70 % des gesamten Bußgeldvolumens gegen Unternehmen.
• Häufigster DSGVO-Verstoß: unzureichende Rechtsgrundlage für die Datenverarbeitung – typischerweise das Versäumnis, eine gültige Einwilligung für Behavioral Advertising einzuholen.
• Tägliche Meldungen von Datenschutzverletzungen in Europa: 443 (ein Anstieg von 22 % gegenüber dem Vorjahr).

---

Wie man DSGVO-Bußgelder kategorisiert: Branchen und Verstoßarten

Es gibt zwei nützliche Möglichkeiten, DSGVO-Bußgelder zu sortieren, und beide sollten Sie im Blick behalten, wenn Sie versuchen, die Durchsetzungslandschaft zu verstehen:

1. Die Branche, in der die mit dem Bußgeld belegte Organisation tätig ist (10 Kategorien).
2. Die Art des DSGVO-Verstoßes, für den das Bußgeld verhängt wird (9 Kategorien).

Die meisten Analysen betrachten jeweils nur eine Achse. Die eigentlich interessante Geschichte liegt in der Schnittmenge – und Ad Tech befindet sich genau an einer der heißesten Schnittstellen dieser Landkarte.

Die 10 DSGVO-Bußgeldkategorien nach Branche

• Medien, Telekommunikation und Rundfunk
• Industrie und Handel
• Finanzen, Versicherungen und Beratung
• Gesundheitswesen
• Öffentlicher Sektor und Bildung
• Beschäftigung
• Transport und Energie
• Beherbergung und Gastgewerbe
• Immobilien
• Einzelpersonen und private Vereinigungen

Die 9 DSGVO-Verstoßkategorien

• Unzureichende Rechtsgrundlage für die Datenverarbeitung
• Nichteinhaltung der allgemeinen Grundsätze der Datenverarbeitung
• Unzureichende technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit
• Unzureichende Erfüllung der Informationspflichten
• Unzureichende Erfüllung der Rechte betroffener Personen
• Unzureichende Zusammenarbeit mit der Aufsichtsbehörde
• Unzureichender Auftragsverarbeitungsvertrag
• Unzureichende Erfüllung der Meldepflichten bei Datenschutzverletzungen
• Unzureichende Einbindung des Datenschutzbeauftragten

Zwei einfache Beobachtungen aus den aktuellsten Durchsetzungsdaten:

• Medien, Telekommunikation und Rundfunk ist seit Jahren die am häufigsten mit Bußgeldern belegte Branche und ist inzwischen für rund 70 % des gesamten Bußgeldvolumens gegen Unternehmen verantwortlich.
• Unzureichende Rechtsgrundlage für die Datenverarbeitung ist über alle Branchen hinweg die mit Abstand häufigste Verstoßart.

Ad Tech liegt genau im Zentrum der ersten Kategorie und ist das Lehrbuchbeispiel für die zweite. Das ist kein Zufall.

---

Die höchsten DSGVO-Bußgelder nach Ländern: Wer verhängt die größten Strafen

DSGVO-Bußgelder nach Ländern

Die Geografie der DSGVO-Durchsetzung ist ungleichmäßig verteilt – und das anders, als die meisten Menschen erwarten. Das Land mit den meisten Bußgeldern ist selten auch das Land mit den höchsten.

Irland – kumuliert 4,04 Milliarden Euro. Mit Abstand der größte Vollstrecker nach Gesamtvolumen der Bußgelder, verantwortlich für über die Hälfte aller je in Europa verhängten DSGVO-Bußgelder. Acht der zehn größten DSGVO-Bußgelder der Geschichte wurden von der irischen Datenschutzbehörde (DPC) verhängt. Irlands überproportionale Rolle ist struktureller Natur: Meta, Google, TikTok, LinkedIn, Apple und Microsoft haben ihre europäischen Hauptsitze allesamt in Dublin, wodurch die DPC über den One-Stop-Shop-Mechanismus der DSGVO deren federführende Aufsichtsbehörde ist.

Frankreich – kumuliert über 1 Milliarde Euro. Frankreich überholte Luxemburg 2025 und wurde damit zum zweitgrößten Vollstrecker – das einzige Land neben Irland, das mehr als 1 Milliarde Euro an DSGVO-Bußgeldern verhängt hat. Die CNIL war bei Cookie-Einwilligung und ad-tech-spezifischen Themen die aggressivste Aufsichtsbehörde, mit der 325-Millionen-Euro-Entscheidung gegen Google und der 150-Millionen-Euro-Entscheidung gegen Shein, die beide im September 2025 ergingen.

Luxemburg – historisch auf Platz drei, geprägt von einem einzigen Bußgeld. Luxemburgs CNPD belegte Platz drei größtenteils wegen einer einzigen Entscheidung: dem 746-Millionen-Euro-Bußgeld gegen Amazon Europe Core im Jahr 2021 wegen der Verarbeitung personenbezogener Daten für Werbezwecke ohne ordnungsgemäße Einwilligung. Dieses Bußgeld wurde im März 2026 vom luxemburgischen Verwaltungsgericht aus verfahrenstechnischen Gründen aufgehoben, wobei die zugrunde liegenden Verstöße bestätigt und der Fall zur erneuten Prüfung an die CNPD zurückverwiesen wurden. Abgesehen von diesem Bußgeld ist Luxemburgs Durchsetzungsaktivität eher gering.

Italien – hohes Volumen und hoher Wert. Italiens Garante gehört zu den aktivsten Aufsichtsbehörden Europas, mit Hunderten Entscheidungen und einem besonderen Fokus auf Telekommunikation, KI-Dienste und Datenverarbeitung im Beschäftigungskontext. Zu den jüngsten Aktivitäten zählen die ersten europäischen DSGVO-Bußgelder im Zusammenhang mit KI.

Niederlande – geprägt von der Uber-Entscheidung. Die niederländische Datenschutzbehörde belegte Uber im August 2024 mit einem Bußgeld von 290 Millionen Euro wegen der Übermittlung von Fahrerdaten in die USA ohne angemessene Schutzmaßnahmen. Abgesehen von diesem Bußgeld ist die Durchsetzungstätigkeit in den Niederlanden stetig, aber eher mittelgroß.

Spanien – die meisten Bußgelder nach Anzahl, aber geringere Einzelbeträge. Die spanische AEPD hat seit 2018 fast 1.000 DSGVO-Bußgelder verhängt – mit Abstand das höchste Volumen aller europäischen Aufsichtsbehörden – doch die durchschnittliche Strafe fällt gering aus. Spaniens Muster ist geprägt von hoher Frequenz und breit gestreuter Durchsetzung gegen Organisationen jeder Größe, häufig wegen Verstößen bei der Verarbeitung verbraucherbezogener Daten.

Deutschland – verteilt auf 16 Landesdatenschutzbehörden plus die föderale BfDI. Deutschlands föderale Struktur bringt Hunderte Bußgelder hervor, doch die prominentesten stammen von einzelnen Bundesländern (Hamburgs 35,3-Millionen-Euro-Bußgeld gegen H&M, Berlins Verfahren gegen die Deutsche Wohnen). Die Durchschnittswerte liegen im mittleren sechsstelligen Bereich.

Vereinigtes Königreich – DSGVO-Durchsetzung nach UK-DSGVO durch die ICO. Die kumulierten Bußgelder nach der UK-DSGVO bewegen sich im zweistelligen Millionenbereich, wobei das 20-Millionen-Pfund-Bußgeld gegen British Airways wegen einer Datenschutzverletzung das größte ist. Der Data (Use and Access) Act 2025 hat das maximale PECR-Bußgeld inzwischen von 500.000 Pfund auf 17,5 Millionen Pfund oder 4 % des weltweiten Umsatzes angehoben – wodurch die Durchsetzung der Cookie-Einwilligung im Vereinigten Königreich nun in derselben Größenordnung liegt wie im übrigen Europa.

Das zentrale Ergebnis: Zwei Länder – Irland und Frankreich – sind für rund 70 % des gesamten DSGVO-Bußgeldvolumens verantwortlich, während Spanien und Italien den Großteil der Bußgelder nach reiner Anzahl ausmachen. Wenn Sie in Europa tätig sind, hängt Ihr tatsächliches Risiko davon ab, wo Ihre Datenverarbeitung auf dieser Landkarte angesiedelt ist.

---

Die 10 größten DSGVO-Bußgelder aller Zeiten

Die 10 größten DSGVO-Bußgelder aller Zeiten

Die zehn größten DSGVO-Bußgelder, die seit Inkrafttreten der Verordnung im Mai 2018 verhängt wurden, in absteigender Reihenfolge:

Rang	Unternehmen	Betrag	Aufsichtsbehörde	Datum	Grund
1	Meta Platforms Ireland	1,2 Milliarden Euro	Irische DPC	Mai 2023	Unrechtmäßige Datenübermittlungen EU–USA
2	Amazon Europe Core	746 Millionen Euro	Luxemburgische CNPD	Juli 2021	Ad-Targeting ohne gültige Einwilligung
3	TikTok	530 Millionen Euro	Irische DPC	Mai 2025	Unrechtmäßige Datenübermittlungen EU–China
4	Meta (Instagram)	405 Millionen Euro	Irische DPC	September 2022	Fehlerhafter Umgang mit Kinderdaten
5	Meta (Facebook + Instagram)	390 Millionen Euro	Irische DPC	Januar 2023	Ungültige Rechtsgrundlage für Behavioral Advertising
6	TikTok	345 Millionen Euro	Irische DPC	September 2023	Mängel bei der Verarbeitung von Kinderdaten
7	Google (LLC + Ireland)	325 Millionen Euro	Französische CNIL	September 2025	Werbung im Gmail-Postfach + ungültige Einwilligung bei der Anmeldung
8	LinkedIn Ireland	310 Millionen Euro	Irische DPC	Oktober 2024	Ungültige Rechtsgrundlage für Behavioral Advertising
9	Uber	290 Millionen Euro	Niederländische AP	August 2024	Unrechtmäßige Datenübermittlungen EU–USA
10	Meta (Facebook)	265 Millionen Euro	Irische DPC	November 2022	Unzureichender Schutz vor Data Scraping

Acht der zehn größten DSGVO-Bußgelder wurden von Irlands Datenschutzbehörde (DPC) verhängt, was Dublins Rolle als europäischer Hauptsitz der meisten großen Technologieunternehmen widerspiegelt. Sechs der zehn größten Bußgelder betreffen entweder internationale Datenübermittlungen oder ungültige Rechtsgrundlagen für Werbung – die beiden Durchsetzungsthemen, die die DSGVO-Ära geprägt haben.

---

Warum Ad Tech den Sektor Medien, Telekommunikation und Rundfunk dominiert

„Medien, Telekommunikation und Rundfunk" ist eine breit gefasste Branchenkategorie, die viel abdeckt: Telekommunikationsanbieter, Internetprovider, traditionelle Medienkonzerne, Streaming-Plattformen, soziale Netzwerke, Ad-Netzwerke, DSPs, SSPs, DMPs, Attributionsanbieter und consent-nahe Infrastruktur.

Was den Sektor vereint – und ihn zu einem Magneten für Aufsichtsbehörden macht – ist das Ausmaß der Verarbeitung personenbezogener Daten in der verbraucherorientierten Schicht. B2C-Unternehmen werden mit höherer Wahrscheinlichkeit untersucht als B2B-Unternehmen, schlicht weil betroffene Personen die Nähe, das Bewusstsein und die Motivation haben, Beschwerden einzureichen. Hinzu kommt der ständige Innovationsdruck (Real-Time Bidding, Lookalike-Zielgruppen, Attention-Metriken, KI-gestütztes Targeting) – und schon wird jeder Produktlaunch zugleich zu einem potenziellen regulatorischen Test.

Innerhalb dieses Sektors ist Ad Tech aus drei strukturellen Gründen besonders exponiert:

1. Die Daten sind das Produkt. Profiling, Identifikatoren, Verhaltenssignale und seitenübergreifendes Tracking sind keine Nebeneffekte des Geschäftsmodells – sie sind das Geschäftsmodell. Das rückt jede Verarbeitungstätigkeit standardmäßig in den Fokus der Aufsichtsbehörden.
2. Die Lieferkette ist intransparent. An programmatischen Auktionen sind pro Impression Dutzende Parteien beteiligt. Jede von ihnen ist ein potenzieller Verantwortlicher oder gemeinsam Verantwortlicher, jede schuldet betroffenen Personen eine eigene Begründung ihrer Rechtsgrundlage, und jedes schwache Glied in der Kette wird zum Risiko für alle vorgelagerten Akteure.
3. Einwilligung ist die einzig realistische Rechtsgrundlage für die meisten dieser Vorgänge. Zielgerichtete Werbung qualifiziert sich selten als „zur Vertragserfüllung erforderlich". Berechtigte Interessen lassen sich nach der Argumentation des Europäischen Gerichtshofs in Fällen wie Meta gegen Bundeskartellamt zunehmend schwerer verteidigen. Damit bleibt die Einwilligung – und diese muss freiwillig, spezifisch, informiert, unmissverständlich und nachweislich eingeholt sein.

Wenn eine dieser Voraussetzungen bricht, landet man in der Durchsetzungsstatistik.

---

Die größten DSGVO-Bußgelder im Ad-Tech-Bereich: Die vollständige Liste

Nachfolgend die Fälle, die Ad-Tech-Fachleute am häufigsten anführen, wenn sie über DSGVO-Durchsetzung sprechen. Sie lassen sich in zwei Gruppen einteilen: reine Ad-Tech-Unternehmen und Big-Tech-Konzerne, die speziell für ad-tech-bezogene Praktiken bestraft wurden.

Ad-Tech-Unternehmen mit DSGVO-Bußgeldern

Criteo – 40 Millionen Euro (CNIL, Frankreich, 2023). Die französische Aufsichtsbehörde stellte fest, dass Criteo Browsing-Daten über Cookies auf Partner-Websites verfolgte, ohne zu überprüfen, ob diese Partner tatsächlich eine gültige Einwilligung eingeholt hatten. Die Stichprobenprüfung der CNIL zeigte, dass mehr als die Hälfte der geprüften Partner-Websites keine rechtmäßige Einwilligung eingeholt hatte. Das Bußgeld wurde nicht verhängt, weil Criteos eigenes Consent-Banner versagte, sondern weil Criteo die vorgelagerte Einwilligung als Problem eines anderen behandelte.

Vectaury und Teemo (CNIL, 2018–2019). Zwei frühe förmliche Mahnungen (mise en demeure) der französischen CNIL gegen Ad-Tech-Anbieter mobiler Standortdaten. Beiden wurde vorgeworfen, über in Apps von Drittanbietern eingebettete SDKs präzise Standortdaten ohne DSGVO-konforme Einwilligung erhoben zu haben. Es wurden keine Geldbußen verhängt – beide Unternehmen stellten nach Erhalt der Mahnungen ihre Praxis um –, doch die Fälle setzten das Muster, das die CNIL seither anwendet: SDK-Anbieter und Partner haften gemeinsam mit den Publishern, die sie einbinden.

Quantcast (irische DPC, laufend). Untersucht nach einer Beschwerde von Privacy International wegen IAB-artiger Einwilligungs-Pop-ups; der Fall ist ein langsam schwelendes Signal dafür, dass die Consent-Management-Infrastruktur selbst zum Ziel werden kann.

Optimove (Mobius Solutions Ltd) – 1 Million Euro (CNIL, Dezember 2025). Ein in Großbritannien registrierter Marketingtechnologie-Auftragsverarbeiter, der unter der Marke Optimove auftritt, wurde mit einem Bußgeld belegt, weil er nach Vertragsende personenbezogene Daten von 46,9 Millionen Deezer-Nutzern behielt, Daten außerhalb der Anweisungen des Verantwortlichen verarbeitete und keine Verzeichnisse der Verarbeitungstätigkeiten führte. Ein kleines, aber bemerkenswertes Bußgeld: Es bestätigte, dass Auftragsverarbeiter, die EU-Nutzerdaten verarbeiten, vollständig den DSGVO-Pflichten unterliegen, und dass „wir waren nur der Auftragsverarbeiter" keine Verteidigung darstellt.

Big-Tech-DSGVO-Bußgelder wegen Werbeverstößen

Google LLC – 50 Millionen Euro (CNIL, 2019). Das erste große DSGVO-Bußgeld. Die CNIL stellte fest, dass Google Nutzern keine ausreichend klaren, transparenten Informationen zur Anzeigenpersonalisierung gab und dass die Einwilligung zu personalisierten Anzeigen nicht wirksam eingeholt worden war. Die Informationen waren über mehrere Seiten verteilt und erforderten bis zu fünf oder sechs Klicks, um sie einzusehen.

Google + Amazon – 100 Millionen Euro und 35 Millionen Euro (CNIL, 2020). Beide wurden dafür belangt, dass sie Werbe-Cookies auf den Geräten französischer Nutzer platzierten, bevor eine Einwilligung eingeholt worden war. Diese beiden Entscheidungen machten „keine Cookies vor Einwilligung" faktisch zur unumgänglichen Regel in der gesamten EU.

Google – 150 Millionen Euro + Facebook – 60 Millionen Euro (CNIL, Januar 2022). Diese im Rahmen der französischen ePrivacy-Vorschriften ergangenen Entscheidungen ahndeten ein asymmetrisches Design bei der Cookie-Ablehnung. Die Aufsichtsbehörde stellte fest, dass „alle ablehnen" ebenso leicht anklickbar sein muss wie „alle akzeptieren" – die Banner-UX selbst stellte den Verstoß dar.

Google – 325 Millionen Euro (CNIL, September 2025). Aufgeteilt in 200 Millionen Euro gegen Google LLC und 125 Millionen Euro gegen Google Ireland. Die Entscheidung betrifft zwei verwandte Praktiken: Anzeigen, die ohne vorherige Einwilligung zwischen den E-Mails der Nutzer in den Gmail-Reitern „Werbeaktionen" und „Soziale Netzwerke" eingefügt wurden, sowie ungültige Einwilligungseinholung bei der Erstellung eines Google-Kontos. Die CNIL stützte sich auf ein CJEU-Urteil von 2021, wonach Anzeigen, die private Kommunikation nachahmen, Direktmarketing darstellen – was bedeutet, dass unabhängig von der Gestaltung der Oberfläche eine vorherige Einwilligung erforderlich ist.

Meta Platforms Ireland – 390 Millionen Euro (irische DPC, 2023). Das wegweisende Urteil zur Rechtsgrundlage. Meta hatte sich bei der Verhaltenswerbung auf Facebook und Instagram auf „Vertragserfüllung" als Rechtsgrundlage berufen. Die irische DPC stellte, gedrängt vom EDSA, fest, dass zielgerichtete Werbung nicht zwingend erforderlich ist, um den Dienstevertrag zu erfüllen, und daher eine ausdrückliche Einwilligung nötig ist. Dieses Urteil hat die Analyse der Rechtsgrundlage für jede soziale Plattform und Werbeplattform in der EU neu geprägt.

Meta – 1,2 Milliarden Euro (irische DPC, 2023). Streng genommen kein Ad-Tech-Bußgeld, aber die größte je verhängte DSGVO-Strafe. Sie ahndete unrechtmäßige Übermittlungen personenbezogener EU-Daten in die Vereinigten Staaten – ein Signal, dass auch internationale Übermittlungen von zu Werbezwecken erhobenen Daten unter genauer Beobachtung stehen.

LinkedIn Ireland – 310 Millionen Euro (irische DPC, 2024). Ein weiterer Fall zur Rechtsgrundlage. LinkedIn hatte argumentiert, dass zielgerichtete Werbung und Analyseverarbeitung zur Vertragserfüllung mit den Nutzern erforderlich seien. Die DPC widersprach und wandte die Meta-Logik an.

Shein – 150 Millionen Euro (CNIL, September 2025). Bestraft für Cookie-Praktiken, die den Einwilligungsanforderungen nicht genügten – Werbe-Cookies, die beim Laden der Seite gesetzt wurden, bevor der Nutzer mit dem Banner interagierte, sowie ein „Alle ablehnen", das das Tracking nicht tatsächlich stoppte. Verkündet am selben Tag wie die 325-Millionen-Euro-Entscheidung gegen Google. Der Fall zeigt, dass dasselbe Vorgehen, das Aufsichtsbehörden 2019–2020 rund um Google entwickelten, nun auch auf Fast-Fashion- und E-Commerce-Anbieter angewendet wird, deren Ad-Tech-Stacks ähnlich aggressiv sind.

TikTok – 345 Millionen Euro (irische DPC, September 2023) und 530 Millionen Euro (irische DPC, Mai 2025). Die erste Entscheidung ahndete standardmäßig öffentliche Einstellungen und schwache Altersprüfungen für minderjährige Nutzer – Kinder wurden standardmäßig profiliert. Die zweite, das zweithöchste je verhängte DSGVO-Bußgeld, betraf den Zugriff auf EU-Nutzerdaten aus China ohne angemessene Schutzmaßnahmen. Beide berühren werbebezogene Verarbeitung.

Yahoo (CNIL). Sanktioniert wegen Werbe-Cookies, die unter ähnlichen Bedingungen wie in den Google/Amazon-Entscheidungen von 2020 gesetzt wurden – ein Beleg dafür, dass die Cookie-Einwilligungs-Präzedenzfälle für jeden Publisher gelten, der Werbeinventar betreibt, nicht nur für die Großkonzerne.

Summiert man allein die ad-tech-getriebenen Bußgelder dieser Liste, nähert man sich 5 Milliarden Euro – deutlich mehr als die Hälfte aller je verhängten DSGVO-Bußgelder, zurückzuführen auf eine einzige Verarbeitungskategorie.

---

Wie viele DSGVO-Bußgelder wurden tatsächlich bezahlt?

DSGVO-Bußgelder: verhängt vs. tatsächlich bezahlt

Hier eine Zahl, die es in die meisten „größte DSGVO-Bußgelder"-Artikel nicht schafft: Von den 4,04 Milliarden Euro an Bußgeldern, die Irlands Datenschutzbehörde (DPC) seit 2018 verhängt hat, wurden bislang nur rund 20 Millionen Euro tatsächlich eingezogen. Das sind etwa 0,5 %.

Der Rest ist ausgesetzt, wird angefochten oder arbeitet sich durch jahrelange europäische Rechtsstreitigkeiten. Fast jedes Schlagzeilen-Bußgeld auf der obigen Liste wird angefochten – und die Rechtsmittel sind kein bloßes Beiwerk. Sie sollen die Durchsetzung in eine langsamere Spur drängen, während sich am praktischen Betriebsumfeld nichts ändert.

Eine Momentaufnahme des Rechtsmittelstatus der wichtigsten Fälle:

• Meta – 1,2 Milliarden Euro (2023, Datenübermittlungen). In Berufung. Meta bezeichnete das Bußgeld als „ungerechtfertigt"; die Zahlung ist bis zum Ausgang des Verfahrens ausgesetzt.
• Amazon – 746 Millionen Euro (2021, Ad-Targeting). Vom luxemburgischen Verwaltungsgericht im März 2026 aus verfahrenstechnischen Gründen aufgehoben, wobei das Gericht die meisten zugrunde liegenden DSGVO-Verstöße bestätigte. Der Fall wurde zur erneuten Prüfung an die CNPD zurückverwiesen.
• TikTok – 530 Millionen Euro (Mai 2025, Datenübermittlungen). In Berufung. Der irische High Court gewährte im November 2025 einen Aufschub, sodass Datenübermittlungen während des laufenden Verfahrens fortgesetzt werden können.
• Meta – 405 Millionen Euro (2022, Instagram-Kinderdaten). In Berufung vor dem irischen High Court.
• Meta – 390 Millionen Euro (Januar 2023, Rechtsgrundlage für Werbung). In Berufung.
• Google – 325 Millionen Euro (September 2025, Gmail-Werbung + Einwilligung bei Anmeldung). Zu aktuell für ein endgültiges Ergebnis; Googles bisherige Reaktion entspricht früheren Berufungen.
• LinkedIn – 310 Millionen Euro (Oktober 2024, Rechtsgrundlage für Behavioral Advertising). Microsoft legte vor Bekanntgabe der Entscheidung 425 Millionen US-Dollar für den Fall zurück, was darauf hindeutet, dass der Mutterkonzern eher mit einer Zahlung als mit einem vollständigen Rechtsstreit über den gesamten Betrag rechnet.
• TikTok – 345 Millionen Euro (September 2023, Kinderdaten). Damals angefochten; aktueller Berufungsstatus unklar.
• Shein – 150 Millionen Euro (September 2025, Cookies). Shein hat angekündigt, Berufung einzulegen.
• Criteo – 40 Millionen Euro (Juni 2023, Partner-Einwilligung). Ursprünglich vom CNIL-Berichterstatter mit 60 Millionen Euro vorgeschlagen, in der endgültigen CNIL-Entscheidung auf 40 Millionen reduziert. Criteo legte Berufung ein, doch der Conseil d'État bestätigte das Bußgeld im März 2026. Gilt als abgeschlossen.

Die Lehre für Compliance-Teams ist nicht, dass Bußgelder wirkungslos sind. Sie lautet vielmehr, dass die operativen Konsequenzen lange eintreten, bevor überhaupt ein Scheck ausgestellt wird. Meta musste seine EU-Datenverarbeitungsinfrastruktur lokalisieren. TikTok musste seine Datenzugriffskontrollen für europäische Nutzer neu gestalten. LinkedIn hat seine Einwilligungsabläufe innerhalb von drei Monaten nach dem DPC-Urteil überarbeitet. Unternehmen legen gegen den Schlagzeilenbetrag Berufung ein, setzen die im Bescheid enthaltenen Korrekturmaßnahmen aber fast immer um.

Für die meisten Organisationen – solche ohne das Rechtsbudget, eine Aufsichtsbehörde durch den Europäischen Gerichtshof zu ziehen – ist der Berufungsweg keine realistische Option. Das Bußgeld ist das Bußgeld, und die operativen Auswirkungen treten sofort ein.

---

5 häufige Ursachen hinter jedem größeren Ad-Tech-DSGVO-Bußgeld

5 häufige Ursachen für Ad-Tech-DSGVO-Bußgelder

Betrachtet man die Entscheidungen im Vergleich, tauchen immer wieder dieselben fünf Fehlermuster auf. Keines davon ist exotisch. Alle lassen sich beheben.

1. Falsche Rechtsgrundlage für zielgerichtete Werbung

Dies ist der Verstoß, dem Aufsichtsbehörden die größte Aufmerksamkeit widmen, und derjenige, der die höchsten Bußgelder nach sich zieht. „Vertragserfüllung" und „berechtigte Interessen" reichen nicht aus, um Behavioral Advertising oder seitenübergreifendes Tracking abzudecken. Nach den Meta- und LinkedIn-Urteilen lautet die praktische Antwort für nahezu jeden Werbe-Anwendungsfall: ordnungsgemäß eingeholte Einwilligung.

2. Cookies, die vor der Einwilligung des Nutzers gesetzt werden

Die Entscheidungen gegen Google, Amazon, Yahoo und Shein beruhen alle auf demselben technischen Sachverhalt: Tracking-Technologien wurden ausgelöst, bevor der Nutzer irgendetwas angeklickt hatte. Wenn Ihr Tag-Manager Werbe-Pixel beim Laden der Seite lädt, liegt bereits ein Verstoß vor; alles danach ist nur noch Schadensbegrenzung.

3. Dark-Pattern-Cookie-Banner

„Alle akzeptieren" groß und grün, „Alle ablehnen" zwei Klicks tief in grauem Text versteckt. Aufsichtsbehörden behandeln die Banner-UX inzwischen als Bestandteil der Einwilligung selbst. Wenn das Ablehnen schwieriger ist als das Akzeptieren, ist die Einwilligung nicht freiwillig erteilt.

4. Ungeprüfte Partner-Einwilligung in der Ad-Tech-Lieferkette

Criteos 40-Millionen-Euro-Bußgeld ist das mahnende Beispiel. Consent-Strings von vorgelagerten Partnern zu empfangen ist nicht dasselbe wie ein belastbares Protokoll darüber zu besitzen, dass tatsächlich eine rechtmäßige Einwilligung eingeholt wurde. Von Anbietern wird zunehmend erwartet, eine gewisse Sorgfaltsprüfung bei der Einwilligungserfassung ihrer Partner durchzuführen – und nicht nur dem Signal zu vertrauen.

5. DSGVO-Transparenz- und Informationsmängel

Die Transparenzpflichten nach Artikel 13/14 wirken prozedural, bis man die Google-Entscheidung von 2019 liest. Das Verteilen von Datenschutzinformationen über mehrere Seiten, das Verschleiern von Verarbeitungszwecken oder vage Formulierungen zu „Werbepartnern" wurden wiederholt als unzureichend eingestuft. Nutzer müssen erfahren, wer was zu welchem konkreten Zweck verarbeitet – und zwar an einer Stelle, die sie auch tatsächlich finden können.

---

Wie sich Ad-Tech-Versäumnisse den DSGVO-Verstoßkategorien zuordnen lassen

Vergleicht man die oben genannten Fehlermuster mit den neun offiziellen Verstoßkategorien, ist das Muster auffällig:

Fehlermuster	Primäre Verstoßkategorie
Falsche Rechtsgrundlage	Unzureichende Rechtsgrundlage für die Datenverarbeitung
Cookies vor Einwilligung	Unzureichende Rechtsgrundlage + Nichteinhaltung der allgemeinen Grundsätze
Dark-Pattern-Banner	Unzureichende Rechtsgrundlage (Einwilligung nicht freiwillig)
Ungeprüfte nachgelagerte Einwilligung	Unzureichende Rechtsgrundlage + unzureichender Auftragsverarbeitungsvertrag
Informationslücken	Unzureichende Erfüllung der Informationspflichten

Drei der neun offiziellen Verstoßkategorien vereinen praktisch das gesamte Durchsetzungsrisiko im Ad-Tech-Bereich auf sich. Zwei davon – Rechtsgrundlage und Informationspflichten – hängen von einem einzigen Infrastrukturbaustein ab: der Consent-Management-Schicht.

Deshalb sind CMPs wie UniConsent von einem „nice to have" ins Zentrum des Privacy-Stacks gerückt. Die Aufsichtsbehörden bestrafen nicht die Existenz von Werbung. Sie bestrafen das Fehlen eines belastbaren Einwilligungsprotokolls und die Lücke zwischen dem, was Nutzern mitgeteilt wurde, und dem, was tatsächlich mit ihren Daten geschah.

---

DSGVO-Compliance-Checkliste für Ad Tech und Publisher

Wenn Sie einen Publisher, eine Marke oder einen Ad-Tech-Anbieter innerhalb der EU/des UK betreiben, weist die Durchsetzungsstatistik auf eine kleine, konkrete Checkliste hin. Keiner dieser Punkte ist spekulativ – jeder lässt sich direkt einem bereits verhängten Bußgeld zuordnen.

• Setzen Sie standardmäßig auf Einwilligung statt auf berechtigte Interessen für jede Verarbeitung mit Werbebezug. Die Frage der Rechtsgrundlage gilt inzwischen als weitgehend geklärt.
• Blockieren Sie alle nicht essenziellen Tags, bis die Einwilligung eingeholt wurde. UniConsent koppelt die Ausführung von Tags an Einwilligungssignale, sodass kein Tracking ausgelöst wird, bevor der Nutzer gehandelt hat. Dies gilt auch für Analytics in Rechtsräumen, in denen dieses als werbenah eingestuft wird (Frankreich, Österreich, Italien bei Google Analytics).
• Machen Sie das Ablehnen genauso leicht wie das Akzeptieren. Ein Klick, gleiche Sichtbarkeit, keine Reibungsverluste.
• Protokollieren Sie die Einwilligung so, dass Sie sie im Rahmen einer Prüfung nachvollziehen können. Zeitstempel, Umfang, Version des Banners, Version der Anbieterliste. Ohne ein belastbares Protokoll haben Sie keine Einwilligung – Sie haben nur eine Hoffnung. Der Consent Audit Trail von UniConsent speichert jedes Einwilligungsereignis mit vollständigem Kontext und ist in Echtzeit abfragbar.
• Prüfen Sie nachgelagerte Partner. Wenn Sie TCF-Strings oder andere Einwilligungssignale an Anbieter weitergeben, tragen Sie eine Mitverantwortung für die Rechtmäßigkeit dieses Signals. Regelmäßige Compliance-Prüfungen bei Partnern sind nicht mehr optional. Der Cookie-Scanner und der Consent Data Validator von UniConsent helfen dabei zu überprüfen, ob das tatsächliche Verhalten Ihrer Website mit Ihrer Einwilligungskonfiguration übereinstimmt.
• Investieren Sie in die Informationsschicht. Eine übersichtliche, aus einer einzigen Quelle stammende Datenschutzerklärung, die Zwecke und Partner klar benennt, verringert das Risiko der häufigsten „Transparenzverstoß"-Urteile.
• Behandeln Sie internationale Datenübermittlungen als eigenständigen Compliance-Bereich. Sowohl das 1,2-Milliarden-Euro-Bußgeld gegen Meta als auch das 530-Millionen-Euro-Bußgeld gegen TikTok betreffen Daten, die über Werbeinfrastruktur übermittelt wurden. Standardvertragsklauseln sind keine Ziellinie.

Eine moderne Consent-Management-Plattform wie UniConsent steht im Zentrum der meisten dieser Punkte. Sie ist die eine Software, deren ausdrückliche Aufgabe es ist, ein belastbares Einwilligungsprotokoll zu erzeugen, dieses über alle Tags hinweg durchzusetzen und dem Rechtsteam etwas an die Hand zu geben, worauf es verweisen kann, wenn eine Aufsichtsbehörde die einfache, aber entscheidende Frage stellt: Beweisen Sie, dass Ihre Nutzer zugestimmt haben.

---

Wohin sich die DSGVO-Durchsetzung im Ad-Tech-Bereich 2026 entwickelt

Einige Muster sind beobachtenswert, während sich die Durchsetzungsaktivität weiter verdichtet:

• Die durchschnittlichen Bußgeldhöhen im Sektor Medien, Telekommunikation und Rundfunk steigen weiter. Die Schlagzeilenfälle ziehen den Mittelwert nach oben, doch auch der Median steigt. Kleinere Akteure fliegen nicht länger unter dem Radar.
• Mehr Aufsichtsbehörden, mehr Aktivität. Allein Spanien hat weit über 900 Bußgelder verhängt. Italien, Rumänien und Deutschland liegen jeweils im dreistelligen Bereich. Die Durchsetzung konzentriert sich nicht mehr auf eine Handvoll „strenger" Aufsichtsbehörden – jeder Mitgliedstaat ist inzwischen spürbar aktiv.
• Der DSA fügt nun eine zweite Sanktionsebene hinzu. Im Dezember 2025 verhängte die Europäische Kommission ihr erstes Bußgeld nach dem Digital Services Act – 120 Millionen Euro gegen X – wegen irreführendem Verifizierungsdesign, einem unzureichenden Anzeigenarchiv und Versäumnissen beim Forscherzugang. Ad Tech unterliegt nun zwei Durchsetzungsregimen, die sich nicht immer abstimmen.
• Die Durchsetzung des AI Act beginnt im August 2026. Die Vorschriften für Hochrisiko-KI-Systeme treten Mitte des Jahres in Kraft, mit Strafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes. KI-gestütztes Targeting, Zielgruppenmodellierung und Bid-Optimierung müssen alle unter dem neuen Rahmenwerk neu bewertet werden.
• KI-Verarbeitung wird bereits in bestehende DSGVO-Durchsetzung integriert. Italiens Garante behandelt Trainingsdaten großer Modelle und Chatbot-Personalisierung unter derselben Rechtsgrundlagen-Perspektive, die er seit Jahren auf Ad Tech anwendet. Es ist zu erwarten, dass sich ad-tech-artige Durchsetzung mit zunehmender Reife auf KI-gestützte Personalisierung ausweitet.
• Cookie-Banner-Beschwerden werden dezentraler. Koordinierte Beschwerden im Stil von noyb haben zu Hunderten Entscheidungen in mehreren Mitgliedstaaten geführt. Das Banner-Design ist inzwischen selbst ein eigenständiges Durchsetzungsziel.

Für Ad Tech bleibt die zentrale Linie konsistent: Aufsichtsbehörden versuchen nicht, zielgerichtete Werbung abzuschaffen, sondern sie an eine echte, nachweisbare und vom Nutzer kontrollierte Einwilligung zu knüpfen. Die Unternehmen, die in diesem Umfeld einen dauerhaften Vorteil aufbauen, sind diejenigen, die die Einwilligungsinfrastruktur als zentrales Plattform-Engineering behandeln – nicht als Banner, das auf einem ansonsten unveränderten Stack sitzt. UniConsent liefert diese Infrastruktur von Haus aus, mit integrierter Unterstützung für IAB TCF, Google Consent Mode und GPP.

---

Häufig gestellte Fragen zu DSGVO-Bußgeldern

Was ist das maximale DSGVO-Bußgeld?

Das maximale DSGVO-Bußgeld beträgt 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes einer Organisation, je nachdem, welcher Betrag höher ist. Dies gilt für schwerwiegende Verstöße wie Verletzungen der Rechte betroffener Personen, unrechtmäßige Verarbeitung oder Nichteinhaltung der Kernprinzipien der DSGVO. Verstöße geringerer Schwere sind auf 10 Millionen Euro oder 2 % des weltweiten Umsatzes begrenzt.

Was ist das höchste je verhängte DSGVO-Bußgeld?

Das höchste je verhängte DSGVO-Bußgeld beträgt 1,2 Milliarden Euro und wurde im Mai 2023 von der irischen Datenschutzbehörde gegen Meta Platforms Ireland verhängt, weil personenbezogene Daten europäischer Nutzer ohne angemessene Schutzmaßnahmen unrechtmäßig in die Vereinigten Staaten übermittelt wurden.

Welches Land hat die meisten DSGVO-Bußgelder verhängt?

Spanien hat die meisten DSGVO-Bußgelder nach Anzahl verhängt, mit fast 1.000 Bußgeldern seit 2018. Irland hat die meisten nach Gesamtwert verhängt, mit kumulierten Bußgeldern von 4,04 Milliarden Euro – rund 57 % des gesamten DSGVO-Bußgeldvolumens in Europa.

Wie hoch ist das durchschnittliche DSGVO-Bußgeld?

Das durchschnittliche DSGVO-Bußgeld über alle Rechtsräume hinweg beträgt seit 2018 rund 2,4 Millionen Euro. Der Median liegt deutlich niedriger, da eine kleine Anzahl sehr hoher Bußgelder gegen Big-Tech-Konzerne den Durchschnitt nach oben zieht.

Wurden DSGVO-Bußgelder tatsächlich bezahlt?

Die meisten großen DSGVO-Bußgelder befinden sich zu jedem gegebenen Zeitpunkt in Berufung. Von den 4,04 Milliarden Euro, die Irlands Datenschutzbehörde verhängt hat, wurden bislang nur rund 20 Millionen Euro eingezogen – etwa 0,5 %. Doch selbst unbezahlte Bußgelder erzwingen operative Änderungen. Unternehmen legen gegen den Schlagzeilenbetrag Berufung ein, setzen aber in der Regel die im Bescheid enthaltenen Korrekturmaßnahmen um.

Was ist der häufigste DSGVO-Verstoß?

Der häufigste DSGVO-Verstoß, der zu Bußgeldern führt, ist die „unzureichende Rechtsgrundlage für die Datenverarbeitung" – typischerweise das Versäumnis, eine gültige Einwilligung für Aktivitäten wie Behavioral Advertising oder die Weitergabe von Daten an Dritte einzuholen. Am zweithäufigsten ist die „Nichteinhaltung der allgemeinen Grundsätze der Datenverarbeitung" (Artikel 5), die im Durchschnitt zu den höchsten Bußgeldern führt.

Wie werden DSGVO-Bußgelder berechnet?

DSGVO-Bußgelder werden anhand von zehn in Artikel 83(2) festgelegten Faktoren berechnet, darunter Art und Schwere des Verstoßes, die Anzahl der betroffenen Personen, die Dauer des Verstoßes, Größe und Umsatz des Unternehmens, Vorsätzlichkeit, ergriffene Milderungsmaßnahmen, frühere Verstöße sowie die Zusammenarbeit mit der Aufsichtsbehörde.

Kann ein Unternehmen außerhalb der EU ein DSGVO-Bußgeld erhalten?

Ja. Nach Artikel 3(2) DSGVO gilt die Verordnung für jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet, unabhängig davon, wo das Unternehmen ansässig ist. Aktuelle Bußgelder gegen TikTok (chinesisches Unternehmen), Clearview AI (US-Unternehmen) und Uber (US-Unternehmen) bestätigen die extraterritoriale Reichweite der DSGVO.

Welche Branchen erhalten die meisten DSGVO-Bußgelder?

Medien, Telekommunikation und Rundfunk ist die am häufigsten mit Bußgeldern belegte Branche und war es in den vergangenen Jahren durchgehend, verantwortlich für rund 70 % des gesamten DSGVO-Bußgeldvolumens gegen Unternehmen. Die Branche ist weit gefasst und umfasst Telekommunikationsanbieter, soziale Netzwerke, Streaming-Dienste und das Ad-Tech-Ökosystem. Industrie und Handel folgen auf Platz zwei, stark angehoben durch das 746-Millionen-Euro-Bußgeld gegen Amazon.

Welche Aufsichtsbehörden verhängen die höchsten DSGVO-Bußgelder?

Irlands Datenschutzbehörde ist nach Gesamtbußgeldvolumen der größte Vollstrecker (kumuliert 4,04 Milliarden Euro), gefolgt von der französischen CNIL (über 1 Milliarde Euro) und der luxemburgischen CNPD. Irlands überproportionale Rolle ist struktureller Natur: Die meisten großen Technologieunternehmen haben dort ihren europäischen Hauptsitz, wodurch die DPC über den One-Stop-Shop-Mechanismus der DSGVO deren federführende Aufsichtsbehörde ist.

Was ist der Unterschied zwischen DSGVO-Bußgeldern und ePrivacy-Bußgeldern?

DSGVO-Bußgelder werden für Verstöße gegen die Datenschutz-Grundverordnung verhängt, mit einer Höchststrafe von 20 Millionen Euro oder 4 % des weltweiten Umsatzes. ePrivacy-Bußgelder werden nach nationalen Umsetzungen der EU-ePrivacy-Richtlinie verhängt, die speziell Cookies, elektronische Kommunikation und Direktmarketing regelt. Mehrere Schlagzeilen-„DSGVO-Bußgelder" – darunter das 150-Millionen-Euro-Bußgeld gegen Shein und Teile der Google-Entscheidungen – sind technisch gesehen ePrivacy-Bußgelder nach Artikel 82 des französischen Datenschutzgesetzes und keine reinen DSGVO-Bußgelder. Beide Regime zielen auf dieselben zugrunde liegenden Themen ab und werden häufig von derselben Behörde durchgesetzt.

---

Wichtige Erkenntnisse: Warum Consent Management heute zur Kerninfrastruktur gehört

Die Durchsetzungsdaten erzählen über alle Branchen und Verstoßarten hinweg dieselbe konsistente Geschichte, doch nirgends ist sie lauter zu hören als im Ad-Tech-Bereich. Von den zehn Branchenkategorien liegt Ad Tech in der am häufigsten mit Bußgeldern belegten. Von den neun Verstoßkategorien vereinen drei fast das gesamte Durchsetzungsrisiko im Ad-Tech-Bereich auf sich, und zwei dieser drei hängen von der Qualität Ihres Consent Managements ab.

Wenn Sie in diesem Bereich tätig sind, ist die praktische Konsequenz einfach. Einwilligung ist kein Banner. Sie ist ein System, das protokolliert, wer wozu Ja gesagt hat, diese Entscheidungen über jedes Tag und jeden Partner hinweg durchsetzt, die richtigen Informationen zum richtigen Zeitpunkt bereitstellt und eine Prüfspur erzeugt, wenn eine Aufsichtsbehörde nachfragt. Unternehmen, die ein solches System aufbauen, bleiben aus der Durchsetzungsstatistik heraus. Unternehmen, die das nicht tun, werden irgendwann selbst zu einem Fallbeispiel darin.

Die bereits verhängten über 7 Milliarden Euro sind in diesem Sinne weniger eine Warnung als eine Preisliste. Die Frage, die jedes werbefinanzierte Unternehmen beantworten muss, lautet, ob es lieber jetzt in Consent-Infrastruktur investiert oder später in einer Pressemitteilung der CNIL oder der irischen DPC dafür bezahlt.

---

Über UniConsent

UniConsent ist Teil der datenschutzorientierten User-Experience-Plattform von Transfon, die täglich zig Millionen Nutzern eine nahtlose Datenschutzerfahrung für Nutzer und Publisher im Zeitalter nach der DSGVO bietet. Kontaktieren Sie uns, um mehr zu erfahren: hello@uniconsent.com