DSGVO-Bußgeld: Warum 20.000 Euro nur die halbe Wahrheit sind

Viele denken, ein DSGVO-Bußgeld sei das Schlimmste, was passieren kann. Falsch. Die 20.000 Euro Strafe sind nur der Anfang. Was danach kommt, reißt Löcher in die Bilanz – und die meisten merken es zu spät.

Der Fall, den keiner auf dem Schirm hat

Ein Berliner Handwerksbetrieb verliert eine unverschlüsselte Festplatte mit Kundendaten. Die Aufsichtsbehörde verhängt 15.000 Euro Bußgeld. Klingt überschaubar? War es nicht. Die echten Kosten kamen danach:

• Anwaltskosten: 8.500 Euro für die Verteidigung und Kommunikation mit der Behörde.
• IT-Forensik: 12.000 Euro für die Analyse, wie die Daten überhaupt abhandenkamen.
• Benachrichtigungspflicht: 5.000 Euro für Porto, Druck und Personal, um alle Betroffenen zu informieren.
• Kundenverlust: Drei Großkunden kündigten Verträge – 120.000 Euro Jahresumsatz weg.
• Image-Schaden: Die lokale Presse berichtete. Neue Aufträge brauchten sechs Monate länger.

Gesamtkosten: über 160.000 Euro. Das Bußgeld war da nur noch ein kleiner Posten.

Wo die meisten Geld verbrennen – ohne es zu merken

Die meisten KMU checken nur die offensichtlichen Kosten. Dabei sind es die versteckten Posten, die richtig wehtun:

• Produktivitätsverlust: Wenn drei Mitarbeiter zwei Wochen lang nur mit der Datenpanne beschäftigt sind, kostet das schnell 10.000 Euro Lohnkosten – ohne dass ein Cent Umsatz reinkommt.
• Versicherung: Die Cyber-Police wird teurer. Bei einem Mandanten stieg die Prämie von 1.200 auf 3.800 Euro pro Jahr – für fünf Jahre.
• Compliance-Nacharbeit: Plötzlich muss ein externer Datenschutzbeauftragter ran. 1.500 Euro im Monat, mindestens für ein Jahr.
• Vertragsstrafen: Lieferanten und Partner verlangen oft Schadensersatz. Ein Berliner Einzelhändler musste 25.000 Euro an einen Zahlungsdienstleister zahlen, weil Kreditkartendaten abhandenkamen.

Das Problem: Diese Kosten tauchen nicht im Bußgeldbescheid auf. Sie kommen schleichend – und summieren sich.

Warum Berliner KMU besonders gefährdet sind

In Berlin gibt es zwei Faktoren, die das Risiko erhöhen:

1. Hohe Dichte an Aufsichtsbehörden: Die Berliner Datenschutzbeauftragte ist aktiv. Im letzten Jahr wurden 38% mehr Bußgelder verhängt als im Bundesschnitt.
2. Viele internationale Kunden: Wer mit US-Firmen oder EU-Partnern arbeitet, steht unter doppelter Beobachtung. Ein Verstoß kann gleich zwei Behörden auf den Plan rufen.

Dazu kommt: Viele Berliner KMU nutzen Cloud-Dienste wie Dropbox oder Google Drive – oft ohne zu wissen, wo die Daten wirklich liegen. Ein falscher Klick, und schon ist die Panne da.

Wie Sie die Kosten im Griff behalten – bevor es knallt

Sie müssen nicht zum Datenschutz-Paranoiker werden. Aber ein paar einfache Schritte sparen Ihnen sechsstellige Summen:

• Verschlüsselung ist kein Hexenwerk: Tools wie VeraCrypt oder BitLocker sind kostenlos und machen USB-Sticks und Festplatten sicher. Ein Berliner Steuerberater hat damit in drei Jahren keine einzige Panne mehr gehabt – vorher waren es zwei pro Jahr.
• Mitarbeiter schulen – aber richtig: Nicht mit langweiligen PowerPoints, sondern mit echten Beispielen. Zeigen Sie, wie schnell ein falscher Anhang eine Datenpanne auslöst. Ein Mandant hat mit 15-minütigen Monats-Trainings die Vorfälle um 70% reduziert.
• Notfallplan erstellen: Wer weiß, was im Ernstfall zu tun ist, spart Zeit und Geld. Ein Berliner Architekturbüro hat mit einem einfachen 5-Seiten-Plan die Reaktionszeit von zwei Wochen auf zwei Tage gedrückt – und damit 40.000 Euro Folgekosten gespart.
• Daten minimieren: Löschen Sie, was Sie nicht brauchen. Ein Berliner Online-Shop hat durch Aufräumen der Kundendatenbank das Bußgeldrisiko um 60% reduziert – weil einfach weniger Daten im Umlauf waren.

Das Wichtigste: Fangen Sie heute an. Nicht morgen, nicht nächste Woche. Jeder Tag ohne Schutz ist ein Tag, an dem die Kosten explodieren können.

Was Sie jetzt tun sollten – ohne teure Berater

Sie brauchen keinen 200-Euro-die-Stunde-Anwalt, um loszulegen. Diese drei Schritte kosten nichts und bringen sofort Sicherheit:

1. Dateninventur machen: Listen Sie auf, welche Daten Sie haben, wo sie liegen und wer Zugriff hat. Ein Berliner Physiotherapeut hat damit in zwei Tagen 15 unnötige Datenquellen identifiziert – und einfach gelöscht.
2. Passwort-Manager einführen: Tools wie Bitwarden oder KeePass sind kostenlos und verhindern, dass Mitarbeiter Passwörter auf Zetteln notieren. Ein Mandant hat damit in drei Monaten keine einzige Phishing-Attacke mehr gehabt.
3. Backup testen: Nicht nur machen, sondern auch prüfen, ob es funktioniert. Ein Berliner Handwerksbetrieb hat beim Test festgestellt, dass das Backup seit acht Monaten defekt war – und konnte es gerade noch retten, bevor die Festplatte den Geist aufgab.

Fangen Sie mit dem an, was wehtut. Wenn Sie nur eine Sache umsetzen, dann diese: Verschlüsseln Sie alle mobilen Geräte und Datenträger. Das ist der einfachste Schutz gegen die teuersten Pannen.