DSGVO-Bußgelder steigen im zweiten Quartal 2026 um 230 Prozent

Eine Auswertung von Finbold vom 20. August 2026 zeigt eine deutliche Beschleunigung bei der Durchsetzung der Datenschutz-Grundverordnung (DSGVO). Im zweiten Quartal verhängten Datenschutzbehörden Bußgelder in Höhe von 225.879.175 Euro (260,59 Millionen US-Dollar). Das entspricht einem Anstieg von rund 230 Prozent gegenüber den 68,18 Millionen Euro (73,63 Millionen US-Dollar) aus dem ersten Quartal. Für das erste Halbjahr 2026 ergibt sich damit eine Gesamtsumme von ungefähr 295 Millionen Euro (340,5 Millionen US-Dollar).

Über das gesamte Quartal gerechnet entspricht das durchschnittlich etwa 2,48 Millionen Euro (2,86 Millionen US-Dollar) pro Tag.

Niederlande vereinen fast die Hälfte der erfassten Bußgelder auf sich

Die Niederlande verzeichneten mit 100,25 Millionen Euro die höchste nationale Summe. Das waren knapp 49 Prozent der von Finbold erfassten Bußgelder. Frankreich folgte mit 52 Millionen Euro, Italien mit 45,50 Millionen Euro und das Vereinigte Königreich mit rund 18 Millionen Euro.

Den niederländischen Wert bestimmte vor allem ein Bußgeld von 100 Millionen Euro gegen MLU B.V. Das Unternehmen betreibt die Fahrdienst-App Yango und ist die Nachfolgegesellschaft von Ridetech International B.V. Die niederländische Datenschutzbehörde stellte fest, dass personenbezogene Daten von Nutzern und Fahrern in Finnland und Norwegen ohne ausreichenden Schutz nach Russland übermittelt worden waren. Sie ordnete an, die Transfers zu stoppen, sofern keine DSGVO-konformen Schutzmaßnahmen gewährleistet sind.

Warum der Yango-Fall wichtig ist

Der Fall macht ein zentrales Problem bei internationalen Datentransfers deutlich: Standardvertragsklauseln allein lösen nicht automatisch jedes datenschutzrechtliche Risiko. Den vorliegenden Berichten zufolge berücksichtigte die niederländische Behörde unter anderem den möglichen Zugriff Russlands auf Verschlüsselungsschlüssel sowie eine gemeinsame niederländisch-russische Geschäftsführung. Daraus könnten Risiken beim Datenzugriff und bei einer möglichen Re-Identifizierung entstehen.

Nach den Hinweisen der niederländischen Datenschutzbehörde dürfen personenbezogene Daten nur in Drittländer mit einem angemessenen Schutzniveau übermittelt werden. Möglich sind unter anderem ein Angemessenheitsbeschluss, geeignete Garantien oder bestimmte Ausnahmen. Standardvertragsklauseln sind eine solche mögliche Garantie – Unternehmen müssen jedoch weiterhin sicherstellen, dass der Schutz unter den konkreten Bedingungen der Übermittlung tatsächlich wirksam ist.

Frankreich: Hohe Bußgelder nach Sicherheitsmängeln

In Frankreich entfielen auf mehrere bedeutende Verfahren insgesamt 52 Millionen Euro. FREE MOBILE erhielt nach einem größeren Datenschutzvorfall ein Bußgeld von 27 Millionen Euro, gegen die Muttergesellschaft FREE wurden 15 Millionen Euro verhängt. IQVIA Operations France musste wegen Verstößen im Zusammenhang mit Gesundheitsdaten ebenfalls 15 Millionen Euro zahlen.

Die Fälle zeigen, wie hoch die finanziellen Folgen sein können, wenn Unternehmen sensible Informationen nicht ausreichend schützen oder ihre Sicherheitskontrollen nicht wirksam aufrechterhalten. Außerdem wird deutlich, dass sich die Durchsetzung auf mehrere verbundene Gesellschaften erstrecken kann, wenn Zuständigkeiten für Datenverarbeitung und Sicherheit innerhalb einer Unternehmensgruppe verteilt sind.

Italien: Bankdaten im Mittelpunkt

Italien kam auf 45,50 Millionen Euro an DSGVO-Bußgeldern. Den größten Anteil bildete eine Strafe von 31,8 Millionen Euro gegen Intesa Sanpaolo wegen Mängeln beim Schutz von Kundendaten aus dem Bankgeschäft. Poste Italiane und PostePay wurden wegen Versäumnissen bei der Verwaltung von Banking-Apps mit 6,62 Millionen Euro beziehungsweise 5,88 Millionen Euro belegt.

Die italienischen Verfahren rücken damit Finanzinstitute in den Fokus. Besonders relevant sind dort Zugriffskontrollen, eine klare Daten-Governance und digitale Prozesse, die Kundendaten zuverlässig schützen müssen.

Reddit-Fall: Unzureichende Altersprüfung wird teuer

Die britische Datenschutzbehörde Information Commissioner’s Office (ICO) verhängte gegen Reddit ein Bußgeld von 14,47 Millionen Pfund (16,61 Millionen Euro). Beanstandet wurden eine unzureichende Altersverifikation und die unrechtmäßige Verarbeitung von Daten von Kindern.

Damit reicht das aktuelle Durchsetzungsspektrum über Datenpannen und internationale Übermittlungen hinaus. Online-Plattformen, die Informationen über Kinder verarbeiten, müssen auch nachweisen können, dass ihre Altersprüfungen und Verarbeitungspraktiken auf einer rechtmäßigen Grundlage beruhen und einen angemessenen Schutz bieten.

Welche Verstöße und Branchen waren besonders häufig?

Finbolds Analyse ergab, dass Sicherheitsmängel und das Fehlen einer Rechtsgrundlage für die Verarbeitung praktisch alle großen Bußgeldfälle der Q2-Auswertung prägten.

Unter den zehn höchsten Bußgeldern waren die Medien- und Finanzbranche jeweils dreimal vertreten. Auf die Bereiche Transport und Energie entfielen jeweils zwei der zehn größten Strafen – darunter auch der größte niederländische Fall rund um Yango.

Das Muster ist für Unternehmen relevant, die ihr DSGVO-Risiko vor allem als technisches Sicherheitsproblem betrachten. Die Fälle des zweiten Quartals zeigen, dass Behörden ebenso die Grundlagen der Datenverarbeitung prüfen: Ist die Verarbeitung rechtmäßig? Funktionieren die Schutzmaßnahmen in der Praxis? Lassen sich internationale Transfers rechtfertigen? Und kontrolliert das Unternehmen seine Dienstleister sowie verbundene Gesellschaften ausreichend?

Was die Zahlen für Unternehmen bedeuten

Der starke Anstieg bedeutet nicht, dass jedes Unternehmen demselben Bußgeldrisiko ausgesetzt ist. Zudem handelt es sich bei der Untersuchung um eine Zusammenstellung gemeldeter Durchsetzungsfälle und nicht um eine Prognose künftiger Strafen. Die Zahlen senden jedoch ein klares Signal für die Compliance: Hohe Bußgelder können aus Schwachstellen entstehen, die rechtliche, operative, technische und organisatorische Kontrollen gleichzeitig betreffen.

Für Unternehmen, die personenbezogene Daten verarbeiten, sind insbesondere diese Bereiche zu überprüfen:

• Rechtsgrundlage: Für jede wesentliche Verarbeitung sollte dokumentiert sein, warum sie zulässig ist und ob die angegebene Rechtsgrundlage der tatsächlichen Nutzung entspricht.
• Sicherheitskontrollen: Zugriffsschutz, Verschlüsselung, Überwachung und Reaktionspläne für Vorfälle sollten regelmäßig getestet werden – nicht nur auf dem Papier.
• Internationale Datentransfers: Unternehmen sollten das rechtliche und technische Umfeld im jeweiligen Zielland realistisch bewerten, statt sich allein auf Vertragsklauseln zu verlassen.
• Kontrolle von Dienstleistern: Auftragsverarbeitungsverträge, Zuständigkeiten und Prüfverfahren für externe Anbieter und verbundene Unternehmen müssen klar geregelt sein.
• Daten von Kindern und Altersprüfung: Altersverifikation und Schutzmaßnahmen für Minderjährige müssen eine rechtmäßige und verhältnismäßige Verarbeitung unterstützen.

Die zentrale Schlussfolgerung aus Finbolds Q2-Auswertung lautet: Für Unternehmen mit schwacher Daten-Governance wird die DSGVO zu einem erheblichen finanziellen Risiko. Die größten Fälle beschränkten sich nicht auf einzelne technische Fehler. Sie betrafen grundlegende Versäumnisse bei rechtmäßiger Verarbeitung, Sicherheit, internationalen Datentransfers und der Kontrolle von Partnern und Unternehmensstrukturen.