Die kumulierten DSGVO-Bußgelder seit 2018 belaufen sich je nach Tracker auf rund EUR 7,1 Milliarden oder EUR 6,11 Milliarden, und die Lücke zwischen diesen beiden Zahlen ist das Aufschlussreichste an der gesamten DSGVO-Statistik. CMS zählt nur direkt dokumentierte Fälle mit vollständigen Unterlagen, 2.685 an der Zahl; DLA Piper befragt 31 Jurisdiktionen einschließlich des Vereinigten Königreichs. Die sich am schnellsten verändernde Kennzahl ist dabei gar kein Geldbetrag: Die Meldungen von Datenschutzverletzungen stiegen um 22 % auf einen Schnitt von 443 pro Tag und überschritten damit erstmals seit Inkrafttreten der Verordnung die Marke von 400. Die folgenden Zahlen stammen aus dem CMS GDPR Enforcement Tracker und der Januar-2026-Erhebung von DLA Piper.
TL;DR
- Kumulierte DSGVO-Bußgelder erreichen rund EUR 7,1 Milliarden (DLA Piper, Januar 2026)
- Der CMS-Tracker verzeichnet rund EUR 6,11 Milliarden (CMS, 2025/2026)
- CMS dokumentiert rund 2.685 Fälle (CMS, 2025/2026)
- Diese Ausgabe fügte 440 Fälle gegenüber der vorherigen hinzu (CMS)
- Sie fügte EUR 487,6 Millionen an neu dokumentierten Bußgeldern hinzu (CMS)
- Der CMS-Datenstichtag war der 1. März 2026 (CMS)
- Die europäischen Behörden verhängten 2025 rund EUR 1,2 Milliarden an Bußgeldern (DLA Piper)
- Das entspricht rund USD 1,42 Milliarden oder GBP 1,06 Milliarden (DLA Piper)
- Die erste Hälfte 2026 fügte mehr als EUR 600 Millionen hinzu (Branchenbeobachtung)
- Die Meldungen von Datenschutzverletzungen stiegen im Jahresvergleich um 22 % (DLA Piper)
- Die durchschnittlichen täglichen Meldungen erreichten 443 (DLA Piper)
- Das ist das erste Mal seit 2018, dass der Tagesdurchschnitt 400 überschreitet (DLA Piper)
- DLA Piper untersucht 31 Jurisdiktionen einschließlich des Vereinigten Königreichs (DLA Piper)
1. Zwei Summen, beide korrekt
Jeder Artikel, der eine einzelne kumulierte DSGVO-Zahl zitiert, hat sich stillschweigend für eine Methodik entschieden. Die Januar-2026-Erhebung von DLA Piper beziffert die Gesamtsumme seit 2018 auf rund EUR 7,1 Milliarden, während der CMS Enforcement Tracker rund EUR 6,11 Milliarden verzeichnet, ein Unterschied von etwa einer Milliarde Euro. CMS legt einen strengeren Beweisstandard und einen festen Stichtag an; DLA Piper spannt ein breiteres Jurisdiktionsnetz.
| Metrik | Wert | Quelle |
|---|---|---|
| Kumulierte Bußgelder seit 2018 | ca. EUR 7,1 Milliarden | DLA Piper, Januar 2026 |
| Kumulierte dokumentierte Bußgelder | ca. EUR 6,11 Milliarden | CMS, 2025/2026 |
| Unterschied zwischen den beiden Zahlen | ca. EUR 1 Milliarde | Abgeleitet |
| CMS-Zählstandard | nur direkt dokumentiert, vollständige Unterlagen | CMS |
| CMS-Datenstichtag | 1. März 2026 | CMS |
| Jurisdiktionsumfang von DLA Piper | 31 Jurisdiktionen einschließlich des Vereinigten Königreichs | DLA Piper |
| Dokumentierte Fälle im CMS-Tracker | ca. 2.685 | CMS |
| Art beider Veröffentlichungen | Recherche von Anwaltskanzleien, keine offizielle EU-Statistik | Abgeleitet |
Keine der beiden Zahlen ist in dem Sinne autoritativ, wie es eine offizielle Statistik wäre, denn keine EU-Institution veröffentlicht eine konsolidierte Gesamtsumme für den gesamten Block. Beide Tracker existieren genau deshalb, um diese Lücke zu füllen.
Diese Lücke ist selbst die bemerkenswerte Tatsache. Die DSGVO wird von nationalen Aufsichtsbehörden in jedem Mitgliedstaat durchgesetzt, von denen jede nach ihrem eigenen Zeitplan, in ihrer eigenen Sprache und mit ihrem eigenen Detailgrad veröffentlicht. Manche veröffentlichen vollständige Entscheidungen, andere geben nur die Bußgeldhöhe als Schlagzeile bekannt, und einige legen fast nichts offen, bis ein Gerichtsverfahren sie dazu zwingt. Es gibt kein zentrales Register, das eine Aufsichtsbehörde, ein Journalist oder ein Compliance-Team abfragen könnte. Die Folge ist, dass die meistzitierten Zahlen zu Europas Vorzeigeregelung im Datenschutz von zwei kommerziellen Anwaltskanzleien stammen, die freiwillig diese Aggregationsarbeit leisten, und die Abweichung von rund einer Milliarde Euro zwischen ihnen ist der sichtbare Preis dieser Konstellation. Quelle: DLA Piper GDPR Fines and Data Breach Survey, Januar 2026.
2. Die Fallzahl wächst schneller als der Wert
Wer Fälle statt Euro zählt, erhält ein anderes Bild von der Durchsetzungsintensität. Der CMS-Tracker fügte in seiner jüngsten Ausgabe 440 Fälle und EUR 487,6 Millionen hinzu und erreichte damit insgesamt rund 2.685 dokumentierte Fälle. Das ergibt ein durchschnittliches dokumentiertes Bußgeld von deutlich unter EUR 3 Millionen, was bedeutet, dass die kumulierte Schlagzeile von einer kleinen Zahl sehr großer Strafen getrieben wird und nicht von breit gestreuter Härte.
| Metrik | Wert | Quelle |
|---|---|---|
| Dokumentierte Fälle, kumuliert | ca. 2.685 | CMS |
| In der jüngsten Ausgabe hinzugefügte Fälle | 440 | CMS |
| In der jüngsten Ausgabe hinzugefügter Bußgeldwert | EUR 487,6 Millionen | CMS |
| Durchschnittliches Bußgeld in der jüngsten Tranche | ca. EUR 1,1 Millionen | Abgeleitet aus CMS-Zahlen |
| Kumulierter dokumentierter Bußgeldwert | ca. EUR 6,11 Milliarden | CMS |
| Implizierter Durchschnitt über alle Fälle | ca. EUR 2,3 Millionen | Abgeleitet aus CMS-Zahlen |
| Datenstichtag | 1. März 2026 | CMS |
| Verteilungsform | getrieben von wenigen sehr großen Strafen | Abgeleitet |
Die Lücke zwischen dem Durchschnitt von EUR 1,1 Millionen in der neuesten Tranche und dem Durchschnitt von EUR 2,3 Millionen über alle Fälle deutet darauf hin, dass sich die jüngste Durchsetzung hin zu kleineren, routinemäßigeren Strafen verschoben hat. Quelle: CMS- und DLA-Piper-Durchsetzungsdaten, zusammengestellt in einer Branchenanalyse.
3. Das jährliche Tempo
Einzeljahreszahlen sind nützlicher als kumulierte Zahlen, um einzuschätzen, wohin sich die Durchsetzung entwickelt. Die europäischen Aufsichtsbehörden verhängten 2025 Bußgelder in Höhe von rund EUR 1,2 Milliarden, und allein die ersten sechs Monate 2026 fügten bereits mehr als EUR 600 Millionen hinzu. Dieses Tempo im ersten Halbjahr hochgerechnet ergibt in etwa das Niveau von 2025, was bedeutet, dass sich die Durchsetzung auf einem hohen Niveau eingependelt hat, statt sich weiter zu beschleunigen.
| Metrik | Wert | Quelle |
|---|---|---|
| Im Jahr 2025 verhängte Bußgelder | ca. EUR 1,2 Milliarden | DLA Piper |
| Entsprechung in US-Dollar | ca. USD 1,42 Milliarden | DLA Piper |
| Entsprechung in Pfund Sterling | ca. GBP 1,06 Milliarden | DLA Piper |
| In der ersten Hälfte 2026 hinzugefügt | mehr als EUR 600 Millionen | Branchenbeobachtung |
| Implizierte annualisierte Rate für 2026 | rund EUR 1,2 Milliarden | Abgeleitet |
| Richtung gegenüber 2025 | weitgehend unverändert | Abgeleitet |
| Kumulierte Gesamtsumme, Basis DLA Piper | ca. EUR 7,1 Milliarden | DLA Piper |
| Jahre seit Inkrafttreten der Verordnung | 8 | Abgeleitet |
Ein gleichbleibendes Jahrestempo von EUR 1,2 Milliarden ist wohl das Reifesignal für dieses Regime: Die Durchsetzung ist inzwischen routiniert und vorhersehbar statt episodisch, und genau das brauchen Compliance-Teams, um sie budgetieren zu können. Regulatorischen Kontext liefert unser Beitrag zu Statistiken zur KI-Regulierung. Quelle: Compliance-Analyse zur DSGVO-Durchsetzung zur Jahresmitte 2026.
4. Die Meldung von Datenschutzverletzungen ist die schneller wachsende Kennzahl
Bußgelder erhalten die Aufmerksamkeit; Meldungen beschreiben die tatsächliche Compliance-Last. Die Meldungen von Datenschutzverletzungen stiegen im Jahresvergleich um 22 % auf einen Schnitt von 443 pro Tag, das erste Mal seit Inkrafttreten der Verordnung 2018, dass der Tagesdurchschnitt die Marke von 400 überschreitet. Für die meisten Organisationen sind Meldepflichten ein weit häufigerer DSGVO-Berührungspunkt als jede Durchsetzungsmaßnahme.
| Metrik | Wert | Quelle |
|---|---|---|
| Durchschnittliche tägliche Meldungen von Datenschutzverletzungen | 443 | DLA Piper |
| Anstieg im Jahresvergleich | 22 % | DLA Piper |
| Bedeutung der Marke von 400 | erstmals seit 2018 überschritten | DLA Piper |
| Implizierte jährliche Meldungen | ca. 161.700 | Abgeleitet aus DLA-Piper-Zahlen |
| Dokumentierte Durchsetzungsfälle, kumuliert | ca. 2.685 | CMS |
| Verhältnis jährlicher Meldungen zu kumulierten Fällen | rund 60 zu 1 | Abgeleitet |
| Untersuchte Jurisdiktionen | 31, einschließlich des Vereinigten Königreichs | DLA Piper |
| Veröffentlichung der Erhebung | Januar 2026 | DLA Piper |
Dieses Verhältnis von 60 zu 1 zwischen einem einzigen Jahr an Meldungen und acht Jahren dokumentierter Bußgelder ist die klarste Aussage darüber, was die DSGVO im Alltag tatsächlich bewirkt: Sie ist weit mehr ein Melderegime als ein Strafregime. Kontext zu Datenschutzverletzungen liefert unser Beitrag zu Statistiken zu Datenschutzverletzungen. Quelle: DLA Piper GDPR Fines and Data Breach Survey 2026.
5. Was die Tracker nicht verraten können
Beide Datensätze teilen Einschränkungen, die man kennen sollte, bevor man einen von ihnen zitiert. Keiner von beiden ist eine offizielle EU-Statistik, beide hängen davon ab, was die Aufsichtsbehörden zu veröffentlichen entscheiden, und Bußgelder unter Rechtsmittel werden je nach Quelle unterschiedlich gezählt. Eine heute angekündigte Schlagzeilenstrafe kann Jahre später reduziert oder aufgehoben werden, ohne dass die Tracker rückwirkend korrigiert werden.
| Metrik | Wert | Quelle |
|---|---|---|
| Offizielle konsolidierte EU-Gesamtsumme | keine veröffentlicht | Abgeleitet |
| CMS-Grundlage | nur direkt dokumentierte Fälle | CMS |
| Grundlage von DLA Piper | Erhebung in 31 Jurisdiktionen | DLA Piper |
| Unterschied zwischen den beiden Gesamtsummen | ca. EUR 1 Milliarde | Abgeleitet |
| Umgang mit Bußgeldern unter Rechtsmittel | variiert je nach Quelle | Abgeleitet |
| CMS-Stichtag | 1. März 2026 | CMS |
| Veröffentlichungsmonat von DLA Piper | jährlich im Januar | DLA Piper |
| Kumulierte Spanne über die Quellen hinweg | EUR 6,11 Mrd. bis EUR 7,1 Mrd. | CMS, DLA Piper |
Die praktische Empfehlung lautet, eine Spanne statt eines Punktwerts zu zitieren und den jeweiligen Tracker zu nennen, sobald eine konkrete Zahl verwendet wird. Es gibt noch eine weitere Verzerrung, die man kennen sollte: Kumulierte Summen werden von einer Handvoll sehr großer Strafen gegen wenige große Technologiekonzerne dominiert, von denen mehrere Jahre nach Bekanntgabe noch unter Rechtsmittel stehen. Entfernt man drei oder vier dieser Fälle, sinkt die kumulierte Zahl um einen erheblichen Anteil, was bedeutet, dass die Schlagzeilensumme eine kleine Zahl außergewöhnlicher Durchsetzungsmaßnahmen beschreibt und nicht die typische Erfahrung eines der Verordnung unterliegenden Unternehmens. Kontext zu Einstellungen zum Datenschutz liefert unser Beitrag zu Statistiken zur digitalen Privatsphäre. Quelle: EU-Durchsetzungs-Tracking.
Zusammenfassung: DSGVO-Bußgelder in Zahlen
| Metrik | Wert | Quelle |
|---|---|---|
| Kumulierte Bußgelder seit 2018 | ca. EUR 7,1 Milliarden | DLA Piper |
| Kumulierte dokumentierte Bußgelder | ca. EUR 6,11 Milliarden | CMS |
| Unterschied zwischen beiden | ca. EUR 1 Milliarde | Abgeleitet |
| Dokumentierte Fälle | ca. 2.685 | CMS |
| In der jüngsten Ausgabe hinzugefügte Fälle | 440 | CMS |
| Hinzugefügter Bußgeldwert | EUR 487,6 Millionen | CMS |
| Durchschnittliches Bußgeld in der jüngsten Tranche | ca. EUR 1,1 Millionen | Abgeleitet |
| Implizierter Durchschnitt über alle Fälle | ca. EUR 2,3 Millionen | Abgeleitet |
| Im Jahr 2025 verhängte Bußgelder | ca. EUR 1,2 Milliarden | DLA Piper |
| In der ersten Hälfte 2026 hinzugefügt | mehr als EUR 600 Millionen | Branchenbeobachtung |
| Implizierte annualisierte Rate für 2026 | rund EUR 1,2 Milliarden | Abgeleitet |
| Durchschnittliche tägliche Meldungen von Datenschutzverletzungen | 443 | DLA Piper |
| Anstieg der Meldungen im Jahresvergleich | 22 % | DLA Piper |
| Implizierte jährliche Meldungen | ca. 161.700 | Abgeleitet |
| Jurisdiktionen in der DLA-Piper-Erhebung | 31 | DLA Piper |
| CMS-Datenstichtag | 1. März 2026 | CMS |
Methodik und Quellen
- Kumulierte Summen, jährliche Durchsetzungswerte, das Volumen der Meldungen von Datenschutzverletzungen und der Jurisdiktionsumfang stammen aus der im Januar 2026 veröffentlichten GDPR Fines and Data Breach Survey von DLA Piper (Erhebung, Kurzbericht zur Erhebung).
- Fallzahlen, dokumentierte Bußgeldwerte und der Stichtag 1. März 2026 stammen aus dem CMS GDPR Enforcement Tracker Report 2025/2026, zusammengestellt in Branchenanalysen (Kiteworks, ComplianceHub, PrivacyEngine, EU Enforcement Tracker).
- Datenhinweis: Keine EU-Institution veröffentlicht eine konsolidierte Durchsetzungssumme, weshalb beide Schlagzeilenzahlen Recherchen von Anwaltskanzleien statt offizieller Statistiken sind und unterschiedlich konstruiert werden. CMS zählt nur Bußgelder, die es vollständig dokumentieren kann, und legt einen festen Stichtag fest; DLA Piper befragt Aufsichtsbehörden in 31 Jurisdiktionen einschließlich des Vereinigten Königreichs, das zwar kein EU-Mitglied mehr ist, aber ein von der DSGVO abgeleitetes Regime beibehält. Die Lücke von rund einer Milliarde Euro zwischen ihnen ist methodisch bedingt, kein Fehler in einer der beiden Quellen. Bußgelder unter Rechtsmittel werden je nach Quelle uneinheitlich behandelt, und Schlagzeilenstrafen werden mitunter Jahre später reduziert oder aufgehoben, ohne dass veröffentlichte Gesamtsummen rückwirkend korrigiert werden. Die Zahl für das erste Halbjahr 2026 ist eine laufende Summe und kein abgeschlossener Zeitraum. Als abgeleitet gekennzeichnete Zeilen sind Rechenoperationen auf Basis veröffentlichter Zahlen.
- Zuletzt aktualisiert: 2. August 2026. Wir aktualisieren diese Übersicht vierteljährlich, die nächste größere Aktualisierung wird erwartet, sobald DLA Piper seine Januar-2027-Erhebung veröffentlicht.