DSGVO-Durchsetzung 2025: Erkenntnisse aus dem EDPB-Jahresbericht

Die Durchsetzung der DSGVO in Europa entwickelte sich 2025 nicht nur durch Geldbußen weiter, sondern auch durch grenzüberschreitende Zusammenarbeit, Betroffenenrechte und das Zusammenspiel digitaler Regelungen.

Diese Bewertung stützt sich auf die offiziellen Daten im Jahresbericht 2025 des Europäischen Datenschutzausschusses (EDSA), veröffentlicht am 9. April 2026. Statt einer unbestätigten Rangliste der „sieben am häufigsten sanktionierten Themen“ betrachten wir die konkreten, vom EDSA veröffentlichten Kennzahlen zur Durchsetzung.

Offizielle Zahlen des EDSA für 2025

Laut dem Jahresbericht 2025 des EDSA:

Im Fallregister des EDSA wurden 414 grenzüberschreitende Fälle angelegt.
Im One-Stop-Shop-Verfahren nach Artikel 60 DSGVO wurden 1.299 Verfahren eingeleitet.
Davon mündeten 572 in eine endgültige Entscheidung.
Die nationalen Datenschutzbehörden verhängten 2025 Geldbußen in Höhe von insgesamt rund 1,15 Milliarden Euro.

Aus diesen Zahlen allein lässt sich nicht ableiten, welche DSGVO-Artikel am häufigsten sanktioniert wurden.

Grenzüberschreitende Durchsetzung

Bei digitalen Produkten und SaaS-Diensten in mehreren Ländern können Datenschutzprüfungen über eine einzelne nationale Behörde hinausgehen.

Das One-Stop-Shop-System ist ein zentraler Mechanismus für die Zusammenarbeit zwischen der federführenden und den anderen betroffenen Aufsichtsbehörden bei grenzüberschreitender Datenverarbeitung.

2025 Koordinierter Durchsetzungsrahmen

Die koordinierte Durchsetzungsaktion des EDSA im Jahr 2025 konzentrierte sich auf das Recht auf Löschung.

Das zeigt, warum Unternehmen mehr als eine Datenschutzerklärung brauchen: Betroffenenanträge müssen auch in den tatsächlichen Systemen umsetzbar sein.

Lassen sich Löschanträge technisch umsetzen?

Wenn die Löschung von Kundendaten bestätigt wird, muss ihr Status in folgenden Systemen bekannt sein:

CRM,
Kundensupportsystemen,
Marketingautomatisierungssystemen,
Data-Warehouses,
Backupsystemen

Der Datenstatus muss für jedes System bekannt sein.

KI und DSGVO

Der EDSA befasste sich 2025 mit dem Zusammenspiel des Datenschutzrechts mit KI und anderen europäischen Digitalregelungen.

Ein Unternehmen sollte ein KI-Projekt nicht allein anhand der KI-Verordnung bewerten. Verarbeitet das System personenbezogene Daten, sind auch die Anforderungen der DSGVO an Rechtsgrundlagen, Transparenz, Datenminimierung und Betroffenenrechte zu berücksichtigen.

Operative Lehren aus der DSGVO-Durchsetzung 2025

Die Datenschutzerklärung muss mit dem tatsächlichen Systemverhalten übereinstimmen.
Betroffenenanträge sollten nicht allein bei der Rechtsabteilung liegen.
Anträge auf Löschung, Auskunft und Berichtigung müssen mit den entsprechenden technischen Systemen verknüpft werden.
Grenzüberschreitende Datenströme müssen sichtbar sein.
KI- und Profiling-Prozesse sollten in das Dateninventar aufgenommen werden.
Compliance-Nachweise müssen in prüfbarer Form aufbewahrt werden.

Eine Geldstrafe ist nicht das einzige Risiko.

Bei der Bewertung der DSGVO-Durchsetzung sollte nicht allein die Höhe der Geldbuße betrachtet werden.

Weitere Folgen für Unternehmen sind:

Einstellung der Verarbeitungstätigkeit,
Verpflichtung zur Löschung von Daten,
Korrekturmaßnahmen,
Auswirkungen auf die Reputation,
Betriebskosten

Auch diese Aspekte können erhebliche Folgen haben.

2025 Checkliste zur Durchsetzung der DSGVO

Lassen sich Betroffenenanträge technisch umsetzen?
Sind grenzüberschreitende Datenflüsse dokumentiert?
Wurde der Anwendungsbereich des One-Stop-Shop-Verfahrens geprüft?
Sind KI-Systeme im Dateninventar erfasst?
Funktionieren Aufbewahrungs- und Löschprozesse in den tatsächlichen Systemen?
Werden Compliance-Nachweise aufbewahrt?

Der Ansatz B10

B10 Digital Agency betrachtet bei der DSGVO- und KVKK-Compliance die rechtlichen Anforderungen gemeinsam mit den tatsächlichen Datenflüssen, SaaS-Systemen und technischen Abläufen.

Offizielle Quelle

Europäischer Datenschutzausschuss – Jahresbericht 2025

Fazit

Die Zahlen zur DSGVO-Durchsetzung 2025 zeigen, dass Compliance nicht nur das Verfassen von Dokumenten umfasst. Betroffenenrechte in den tatsächlichen Systemen umzusetzen und grenzüberschreitendes Datenmanagement operativ zu verankern, sind zentrale Bestandteile der unternehmerischen Daten-Governance.