Strafen & Bußgelder bei Compliance-Verstößen im Shop

Ein DSGVO-Bußgeld für einen kleinen Online-Shop bewegt sich in der Praxis meist im unteren vierstelligen Bereich, weit weg von den Millionensummen aus den Schlagzeilen. Trotzdem klingt “DSGVO-Bußgeld” für die meisten Shop-Betreiber nach einer Zahl, die nur große Konzerne betrifft. Das stimmt nicht. Schon eine fehlerhafte Datenschutzerklärung, ein ungesichertes Kontaktformular oder ein veraltetes Shop-System reicht, um eine Aufsichtsbehörde auf den Plan zu rufen. Wer einen Shopify-Shop betreibt, sollte drei unterschiedliche Kostenrisiken auseinanderhalten können: das behördliche Bußgeld, die zivilrechtliche Abmahnung und die Vertragsstrafe bei einem wiederholten Verstoß. Dieser Artikel ordnet alle drei ein, zeigt reale Fälle aus Online-Shops und gibt dir eine konkrete Checkliste, mit der du dein Risiko senkst.

Wie hoch kann ein DSGVO-Bußgeld für einen Online-Shop sein?

Der gesetzliche Rahmen ist hoch angesetzt. Nach Art. 83 Abs. 5 DSGVO drohen bei schwerwiegenden Verstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei weniger schweren Verstößen liegt die Obergrenze nach Art. 83 Abs. 4 DSGVO bei 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Diese Zahlen sind Obergrenzen, keine Regel.

Für einen kleinen oder mittelgroßen Online-Shop sieht die Realität anders aus. Aufsichtsbehörden wenden das Verhältnismäßigkeitsprinzip an und richten sich nach Umsatz, Schwere und Vorsatz. Bei einem Jahresumsatz unter 250.000 Euro bewegen sich Bußgelder für einzelne, klar abgrenzbare Verstöße deshalb meist im unteren vierstelligen Bereich. Nicht im Millionenbereich. Die konkrete Höhe hängt vom Einzelfall ab. Entscheidend für deine Risikoeinschätzung ist trotzdem die Differenz zwischen der theoretischen Obergrenze und dieser realistischen Praxis.

Was kostet eine DSGVO-Abmahnung für deinen Shop?

Eine DSGVO-Abmahnung ist kein Bußgeld. Es ist ein außergerichtliches Schreiben, meist von einem Wettbewerber, einem Verband oder einer Kanzlei, das dich zur Unterlassung eines konkreten Verstoßes auffordert. Für die Abmahnung selbst werden häufig Anwaltskosten zwischen 500 und 1.500 Euro geltend gemacht. Die genaue Summe hängt vom Umfang und von der Schwere des behaupteten Verstoßes ab.

Unterschreibst du die beigefügte Unterlassungserklärung, verpflichtest du dich, den Verstoß nicht zu wiederholen. Passiert es trotzdem noch einmal, wird eine Vertragsstrafe fällig. In der Praxis liegt sie häufig zwischen 5.000 und 15.000 Euro. Eine feste Gebührenordnung gibt es dafür nicht, nur in der Rechtsberatung häufig genannte Größenordnungen. Am Ende zählt die konkrete Formulierung deiner Unterlassungserklärung.

Bußgeld, Abmahnung oder Vertragsstrafe: Die drei Kostenebenen im Überblick

Im Alltag werden die drei Begriffe oft durcheinandergeworfen. Sie meinen aber unterschiedliche Dinge. Ein Bußgeld verhängt eine staatliche Aufsichtsbehörde auf Grundlage der DSGVO. Eine Abmahnung kommt dagegen meist von einem privaten Akteur und stützt sich auf Wettbewerbsrecht oder auf die Rechte der betroffenen Person. Und eine Vertragsstrafe entsteht erst, nachdem du eine Unterlassungserklärung unterschrieben hast und den gleichen Fehler wiederholst.

Kostenebene	Wer verhängt sie	Rechtsgrundlage	Typische Höhe
Bußgeld	Aufsichtsbehörde (z. B. Landesdatenschutzbehörde)	Art. 83 DSGVO	Unterer vierstelliger Bereich bei kleinen Shops, theoretisch bis 20 Mio. EUR / 4 % Umsatz
Abmahnung	Wettbewerber, Verband oder Kanzlei	Wettbewerbsrecht (UWG) oder Betroffenenrechte	Häufig 500 bis 1.500 EUR Anwaltskosten
Vertragsstrafe	Abmahnender, bei wiederholtem Verstoß nach Unterlassungserklärung	Vertraglich vereinbart in der Unterlassungserklärung	Häufig 5.000 bis 15.000 EUR

Diese Übersicht ersetzt keine Rechtsberatung im Einzelfall, hilft dir aber, eine eingehende Post oder E-Mail richtig einzuordnen, bevor du reagierst.

Welche Verstöße kosten deinen Shop am meisten?

Nicht jeder Verstoß wiegt gleich schwer. Die folgende Tabelle zeigt, welche typischen Shop-Fehler in der Praxis am häufigsten zu Bußgeldern oder Abmahnungen führen und welche Größenordnung dabei berichtet wird. Es handelt sich um in der Fachpresse genannte Erfahrungswerte, nicht um einen amtlichen Bußgeldkatalog, denn einen festen Katalog gibt es für die DSGVO nicht.

Verstoß	Typische Bußgeldspanne	Passender Guide
Fehlendes oder unvollständiges Impressum	500 bis 1.500 EUR	Impressum für den Online-Shop
Fehlerhafte oder fehlende Datenschutzerklärung	500 bis 1.500 EUR, in schweren Fällen deutlich mehr	Datenschutzerklärung für Shopify erstellen
Google Analytics ohne wirksame Einwilligung	5.000 bis 50.000 EUR	Cookie-Banner & Consent-Management für Shopify
Google Fonts extern eingebunden	rund 100 EUR pro betroffenem Besucher plus Anwaltskosten	Google-Fonts-Abmahnung vermeiden
Fehlender Auftragsverarbeitungsvertrag (AVV)	2.000 bis 10.000 EUR	Auftragsverarbeitungsvertrag für Online-Shops
Ungesichertes Kontaktformular ohne Einwilligungs-Checkbox	1.000 bis 3.000 EUR	Datenschutzerklärung für Shopify erstellen

Jeder dieser Verstöße lässt sich mit überschaubarem Aufwand beheben. Meistens liegt der größere Fehler woanders: das Problem erst nach einer Abmahnung anzugehen statt vorher.

Reale DSGVO-Bußgelder gegen Online-Shops: Beispiele aus der Praxis

Zahlen wirken abstrakt, bis ein konkreter Fall zeigt, wie sie zustande kommen. Die folgenden Beispiele stammen aus tatsächlichen Entscheidungen europäischer Aufsichtsbehörden und zeigen, wie unterschiedlich die Ursachen sein können.

Online-Shop mit veralteter Software: 65.500 Euro in Niedersachsen

Die Landesbeauftragte für den Datenschutz Niedersachsen verhängte gegen einen Online-Shop-Betreiber ein Bußgeld von 65.500 Euro nach Art. 32 DSGVO. Der Grund: veraltete Technik. Der Shop lief auf xt:Commerce 3.0.4 SP2.1, einer seit 2014 nicht mehr aktualisierten Version mit bekannten Sicherheitslücken, die SQL-Injection-Angriffe ermöglichten. Hinzu kam ein zweites Problem. Passwörter wurden nur mit dem veralteten MD5-Verfahren ohne Salt gehasht, was Rainbow-Table-Angriffe mit vertretbarem Aufwand möglich machte. Immerhin informierte der Betreiber betroffene Kunden proaktiv über nötige Passwortänderungen. Die Behörde berücksichtigte das bei der Bußgeldhöhe mildernd.

Verkkokauppa.com: Bußgeld für Konto-Zwang ohne Löschroutine

Im März 2024 verhängte die finnische Aufsichtsbehörde ein Bußgeld von ursprünglich 856.000 Euro gegen den Online-Händler Verkkokauppa.com. Der Auslöser war unspektakulär: eine Pflicht zur Kontoerstellung beim Einkauf, kombiniert mit einer unbegrenzten Speicherung von Kundendaten ohne festgelegte Löschfristen. Genau die Art von Alltagsentscheidung, die auch Shopify-Shops treffen, wenn sie Gastbestellungen abschalten. Finnlands oberstes Verwaltungsgericht bestätigte den Verstoß im Juni 2026 in letzter Instanz und reduzierte die Summe leicht auf 792.639 Euro.

Vinted: über 2,3 Millionen Euro für verweigerte Löschanfragen

Der Marktplatz Vinted wurde im Juli 2024 von der litauischen Aufsichtsbehörde mit über 2,3 Millionen Euro belegt. Der Grund: Nutzer bekamen ihre Löschanfragen und Auskunftsersuchen nicht ordnungsgemäß bearbeitet. So teuer wird es, wenn ein Shop oder Marktplatz Betroffenenrechte systematisch ignoriert.

LinkedIn Ireland: 10.000 Euro für Werbe-Mails nach Abmeldung

Die spanische Aufsichtsbehörde verhängte im März 2024 ein Bußgeld von 10.000 Euro gegen LinkedIn Ireland. Der Fehler war simpel: Werbe-E-Mails liefen weiter, nachdem Nutzer sich bereits abgemeldet hatten. Für Shop-Betreiber mit eigenem Newsletter ist das ein direktes Warnsignal. Ein funktionierender Abmeldeprozess ist Pflicht, kein Kulanzangebot.

notebooksbilliger.de: von 10,4 Millionen auf 900.000 Euro reduziert

Ein besonders hoher deutscher Fall betrifft notebooksbilliger.de. Die Landesbeauftragte für den Datenschutz Niedersachsen verhängte ursprünglich 10,4 Millionen Euro, weil Mitarbeitende über zwei Jahre hinweg per Video überwacht wurden, ohne dass dafür eine ausreichende Rechtsgrundlage bestand. Das Unternehmen klagte dagegen. Das Oberlandesgericht Celle setzte die Strafe Ende 2025 auf 900.000 Euro herab und bezeichnete selbst diese Summe noch als angemessen. Der Fall zeigt zwei Dinge zugleich: Bußgelder in Millionenhöhe kommen in Deutschland real vor, aber Gerichte prüfen die ursprüngliche Behördenrechnung nicht selten deutlich nach unten.

Knuddels: 20.000 Euro trotz schneller Reaktion

Die Social-Plattform Knuddels erhielt nach einer Datenpanne ein Bußgeld von 20.000 Euro. Bemerkenswert daran: Die schnelle und transparente Reaktion des Unternehmens wurde von der Behörde ausdrücklich positiv gewertet und wirkte sich mildernd auf die Höhe aus. Wer im Ernstfall schnell und offen kommuniziert, kann die Konsequenzen spürbar begrenzen.

Wonach richtet sich die Höhe eines DSGVO-Bußgelds?

Es gibt keinen starren Bußgeldkatalog. Stattdessen bemessen Aufsichtsbehörden die Höhe nach den Kriterien aus Art. 83 Abs. 2 DSGVO:

• Schwere, Dauer und Art des Verstoßes
• Vorsatz oder Fahrlässigkeit
• Anzahl der betroffenen Personen und Ausmaß des entstandenen Schadens
• Maßnahmen zur Minderung des Schadens, die der Verantwortliche ergriffen hat
• Frühere einschlägige Verstöße
• Grad der Zusammenarbeit mit der Aufsichtsbehörde
• Kategorien der betroffenen personenbezogenen Daten
• Art und Weise, wie die Behörde von dem Verstoß erfahren hat

Diese Kriterien erklären, warum zwei ähnlich gelagerte Fälle zu sehr unterschiedlichen Bußgeldern führen können. Schnelligkeit zahlt sich aus. Ein Shop, der einen Fehler zügig behebt und offen mit der Behörde kommuniziert, steht am Ende meist besser da als einer, der abtaucht.

So senkst du das Bußgeld-Risiko in deinem Shopify-Shop

Die meisten Bußgelder und Abmahnungen gegen Online-Shops lassen sich mit ein paar konkreten Schritten vermeiden, viele davon ohne Theme-Code:

• Impressum vollständig und über jede Seite erreichbar hinterlegen
• Datenschutzerklärung an die tatsächlich eingesetzten Tools und Apps anpassen, nicht nur einmalig beim Shop-Start
• Cookie-Banner so einrichten, dass nicht notwendige Cookies erst nach aktiver Einwilligung geladen werden
• Auftragsverarbeitungsverträge mit allen Dienstleistern abschließen, die personenbezogene Daten verarbeiten, etwa Versand- oder E-Mail-Marketing-Tools
• Google Fonts und ähnliche externe Ressourcen lokal statt über fremde Server einbinden
• Shop-Software, Themes und Apps regelmäßig aktualisieren, damit keine bekannten Sicherheitslücken offenbleiben
• Passwörter und Kundendaten mit aktuellen, sicheren Verfahren schützen

Jeder dieser Punkte entspricht einem der Verstöße aus der Tabelle weiter oben. Einmal sauber eingerichtet, senkt das Risiko einer Abmahnung spürbar. Und meldet sich doch einmal eine Aufsichtsbehörde, reicht eine ruhige Erklärung statt Panik.

Häufige Fragen zu Bußgeldern und Abmahnungen im Online-Shop

Muss ich als kleiner Online-Shop wirklich mit einem DSGVO-Bußgeld rechnen?

Ja, auch kleine Shops erhalten Bußgelder, allerdings meist in einer deutlich niedrigeren Größenordnung als die Millionenbeträge aus den Schlagzeilen. Aufsichtsbehörden berücksichtigen Umsatz und Schwere des Verstoßes. Ein einzelner, schnell behobener Fehler bleibt deshalb oft im unteren vierstelligen Bereich.

Was ist der Unterschied zwischen einer Abmahnung und einem Bußgeld?

Ein Bußgeld wird von einer staatlichen Aufsichtsbehörde nach Art. 83 DSGVO verhängt, während eine Abmahnung ein außergerichtliches Schreiben eines privaten Akteurs ist, meist gestützt auf Wettbewerbsrecht oder Betroffenenrechte. Beide können parallel auftreten, folgen aber unterschiedlichen rechtlichen Grundlagen.

Kann eine einzelne Anfrage bei der Aufsichtsbehörde selbst zu einem Bußgeld führen?

Ja, das kommt vor, auch wenn es selten ist. Ein bekannter Fall betrifft ein Unternehmen, das für eine Rückfrage bei der Aufsichtsbehörde mit 5.000 Euro Bußgeld belegt wurde. Die Rückfrage selbst legte nämlich bereits einen laufenden Verstoß offen. Die Lehre daraus: Offene Fragen zuerst mit einer spezialisierten Kanzlei klären, nicht direkt mit der Behörde.

Was passiert, wenn ich eine Unterlassungserklärung unterschreibe und den Fehler trotzdem wiederhole?

Dann wird die vertraglich vereinbarte Vertragsstrafe fällig, die in der Praxis häufig zwischen 5.000 und 15.000 Euro liegt. Deshalb lohnt es sich, nach einer Abmahnung nicht nur den konkret genannten Fehler zu beheben, sondern den gesamten Shop auf ähnliche Schwachstellen zu prüfen.

Reicht es, die Datenschutzerklärung einmal zu erstellen und dann nicht mehr anzufassen?

Nein, eine einmal erstellte Datenschutzerklärung wird ungültig, sobald sich die eingesetzten Tools, Apps oder Tracking-Dienste ändern. Viele Bußgelder und Abmahnungen entstehen genau deshalb, weil die Datenschutzerklärung nicht mehr zum tatsächlichen Shop-Setup passt.