Die Top 10 der europäischen DSGVO-Sünder

Wie halten es die Europäer mit der Einhaltung der DSGVO/GDPR? Dazu führte das Unternehmen Proxyrack eine Untersuchung mit Hilfe des GDPR Enforcement Trackersdurch und analysierte die GDPR-Verstöße zwischen 2018 und 2023. Dabei scheinen vor allem US-Konzerne wie Meta, Amazon und Google auf die DSGVO/GDPR zu pfeifen.

Eines der weiteren Ergebnisse: Während Deutschland in Sachen Digitalisierung zwar langsam aber sicher im weltweiten Vergleich die rote Laterne am Ende des Zuges ist, spielen die Deutschen zumindest bei den Datenschutzverstößen in der Oberliga mit. Im EU-Vergleich kommen sie auf Platz 3 mit 148 verhängten Strafen wegen Verstößen gegen die DSGVO.

Spitzenreiter Spanien

Einsamer Spitzenreiter ist Spanien mit 651 verhängten Strafen, gefolgt von Italien mit 265. Musterknaben scheinen dagegen Belgien (Platz 9) und Zypern (Platz 10) zu sein. Hier wurden im Untersuchungszeitraum lediglich 39 beziehungsweise 37 Verstöße sanktioniert.

Doch wie teuer kommt einem Unternehmen im Schnitt die Missachtung der DSGVO/GDPR? Schließlich reichen die Strafen von einigen Cents bis zu Milliarden an Dollar. Mit 111,9 Millionen Dollar verhängte Irland im Durchschnitt die höchsten Strafen. Hierbei ist allerdings zu berücksichtigen, dass sich Irland in den letzten Jahren einen Kampf mit Meta um die Datenschutzgrundverordnung lieferte und seit der Einführung der Vorschriften zahlreiche Bußgelder in Höhe von mehreren Millionen Dollar gegen das Unternehmen verhängte.

Im Schnitt 112 Millionen Dollar Strafe

Luxemburg nimmt den zweiten Platz der Länder ein, die die höchsten GDPR-Bußgelder verhängen - im Durchschnitt 25,8 Millionen Dollar pro Bußgeld. Hier hat Amazon seinen europäischen Geschäftssitz.

In die Top-Drei-Liste der Länder mit den höchsten durchschnittlichen Kosten pro Bußgeld schafft es auch Frankreich. Mit Strafen in Höhe von 3.000 bis 96 Millionen Dollar war Frankreich im Laufe der Jahre in eine breite Palette von GDPR-Verfahren verwickelt, was zu einem durchschnittlichen Bußgeld von 9,1 Millionen Dollar führte. Eine Höhe, die sich auch dadurch erklärt, dass die Franzosen Google unnachgiebig für Verstöße gegen die DSGVO/GDPR verfolgten.

803.000 Euro - mildes Deutschland

Eher billig kommen Datensünder dagegen in Deutschland davon. Das Land, das sich sonst mit seiner Datenschutz-Paranoia bei der Digitalisierung lähmt, zeigt sich scheinbar bei Verstößen gegen die DSGVO milde: Im Durchschnitt mussten die Sünder rund 803.000 Dollar pro Vergehen Zahlen. Ein durchschnittliche Strafe, die im EU-Vergleich nur für Platz 7 reicht.

Topsünder Meta

Geht es um die größten Datensünder in der EU, dann führen schlicht drei US-Konzerne die Top 10 an: Meta mit Facebook und WhatsApp, Google sowie Amazon. Den drei US-Konzernen scheinen die EU-Datenschutzvorschriften schlicht einen feuchten Kehricht zu interessieren. Anders lässt es sich nicht erklären, dass Meta es etwa schafft, in den Top 10 der höchsten Strafen gleich sechs Plätze zu belegen.

Zudem gebührt Meta die zweifelhafte Ehre, mit 1,28 Milliarden Dollar bislang die höchste Strafe in der EU gezahlt zu haben. Auf Platz 2 folgt Amazon mit rund 798 Millionen Dollar. Platz 3 mit zirka 433 Millionen Dollar geht wiederum an Meta. Geradezu billig kommt Google in diesem Vergleich mit etwa über 96 Millionen Dollar davon - das reicht für Platz 7.

Über die schlimmsten DSGVO-Sünder in Deutschland haben wir bereits hier berichtet.

Keine Rechtsgrundlage

Darüber hinaus hat Proxyrack auch analysiert, um welche Art von Verstößen es sich handelt und diese in zehn Kategorien unterteilt. Mit insgesamt 541 Fällen ist die häufigste Art der Datenschutzverletzung die unzureichende Rechtsgrundlage für die Datenverarbeitung. Ein Beispiel für diese Art des Verstoßes gegen die DSGVO in der realen Welt ist, wenn Unternehmen Daten von Nutzern sammeln, um gezielte Werbung ohne deren Zustimmung zu erstellen.

Die zweithäufigste Art von Datenschutzverletzungen mit 425 Fällen ist die Nichteinhaltung der allgemeinen Grundsätze der Datenverarbeitung. Diese Missachtung setzt Unternehmen einer potenziellen Gefährdung aus, was zum Bekanntwerden sensibler Informationen führen kann - und wie die Strafen zeigen, auch bereits geschehen ist.

Schlamperei bei IT-Sicherheit

Schlamperei in Sachen Security führte zu 318 Fällen, in denen unzureichende technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit gemäß DSGVO/GDPR geahndet wurden. Zu den technischen Maßnahmen gehören Dinge wie Cybersecurity und Passwörter, während sich die organisatorischen Maßnahmen auf Richtlinien und Risikobewertungen beziehen.

Den ausführlichen GDPR-Report finden Sie hier.