Die spanische Datenschutzaufsicht AEPD hat heute einen bemerkenswerten Blick auf Europas DSGVO-Durchsetzung veröffentlicht. Der Kern ist schnell erzählt: Wie die AEPD unter Verweis auf den Jahresbericht 2025 des Europäischen Datenschutzausschusses darlegt, verhängten die europäischen Aufsichtsbehörden im vergangenen Jahr zusammen Bußgelder von rund 1,15 Milliarden Euro. Auf den ersten Blick klingt das wie die Bestätigung eines alten Musters: Datenschutz bleibt teuer, also muss man nur die Sanktionshöhe im Blick behalten. Genau gegen diese verkürzte Lesart richtet sich der heutige Beitrag aber. Die AEPD macht deutlich, dass sich der Vollzug in Europa nicht bloß über große Summen, sondern über sehr unterschiedliche Aufsichtsmodelle verschiebt.

Gerade deshalb ist der heutige Beitrag mehr als eine nachgereichte Statistik. Die AEPD ordnet die europäischen Zahlen am 20. Mai ausdrücklich neu ein und verbindet sie mit den gerade erst veröffentlichten spanischen Aktivitätsdaten für 2025. Damit liegt ein aktueller Aufsichtsimpuls vor, der für Datenschutzverantwortliche mehr ist als eine Randnotiz über Bußgeldtabellen.

1,15 Milliarden Euro sind nur der sichtbare Teil des Vollzugs

Laut AEPD summierten sich die von europäischen Datenschutzbehörden verhängten Geldbußen 2025 auf 1.145.760.374 Euro. Beim reinen Sanktionsvolumen lag Irland mit 530.773.000 Euro an der Spitze, gefolgt von Frankreich mit 486.854.500 Euro. Deutschland erreichte demnach 48.117.083 Euro. Beim Blick auf die Anzahl der Maßnahmen verschiebt sich das Bild aber deutlich: Die AEPD nennt 542 Sanktionen für die Slowakei, 499 für Deutschland und 326 für Spanien. Genau diese Spreizung ist der interessante Punkt.

Die heutige AEPD-Analyse warnt davor, aus einem solchen Ranking vorschnell einfache Härte-Tabellen zu bauen. Wenige Verfahren mit sehr hohem Volumen sagen etwas anderes aus als viele Verfahren mit kleinerem oder mittlerem Sanktionswert. Noch wichtiger: Der europäische Vollzug läuft längst nicht mehr nur über Geldbußen. Die AEPD hebt ausdrücklich hervor, dass Verwarnungen, Anordnungen, Anpassungsverlangen oder Beschränkungen von Verarbeitungen an Gewicht gewinnen. Für Unternehmen heißt das praktisch, dass Datenschutzaufsicht nicht erst dann real wird, wenn ein Millionenbetrag im Raum steht. Schon ein Eingriff in Prozesse, Datenflüsse oder Produktlogiken kann teuer, zeitkritisch und strategisch belastend werden.

Warum Spanien, Deutschland und Irland drei verschiedene Warnsignale senden

Gerade im Vergleich der Länder wird die operative Relevanz sichtbar. Irland steht weiter für wenige, aber extrem schwere grenzüberschreitende Fälle. Deutschland fällt durch eine hohe Zahl an Sanktionen auf, verteilt über mehrere Aufsichtsbehörden. Spanien wiederum verbindet eine intensive Beschwerdelage mit einem breiten Vollzug auf mittlerem Bußgeldniveau. Die AEPD verweist in ihrem heutigen Beitrag zusätzlich auf ihre frisch publizierte Memoria 2025. Danach gingen in Spanien 30.931 Beschwerden ein, ein Plus von 64 Prozent gegenüber dem Vorjahr. Gleichzeitig endeten 326 Verfahren mit Bußgeldern in einer Gesamthöhe von 48.108.765 Euro.

Diese Kombination ist für Unternehmen wichtiger als jede isolierte Top-10-Liste. Sie zeigt, dass Datenschutzdruck aus sehr verschiedenen Richtungen kommen kann. In einem Markt kann das Risiko aus einzelnen grenzüberschreitenden Großverfahren entstehen. In einem anderen wächst es aus Beschwerdemasse, routinierter Verfahrensführung und einer Aufsicht, die viele alltagsnahe Verstöße tatsächlich verfolgt. Wer intern nur auf spektakuläre Rekordstrafen schaut, übersieht genau diese zweite Realität. Gerade sie trifft oft nicht nur Plattformriesen, sondern auch mittelgroße Organisationen mit Marketing-, Kunden-, Beschäftigten- oder Dienstleisterdaten.

Hinzu kommt ein Governance-Punkt, den die AEPD heute klar formuliert: Datenschutz-Compliance lässt sich nicht mehr sauber nur als Sanktionsabwehr denken. Wenn Aufsichten stärker mit Korrekturmaßnahmen, Anordnungen und strukturellen Eingriffen arbeiten, wird aus dem Thema eine Führungsfrage. Dann geht es nicht nur darum, ob eine Rechtsgrundlage formal dokumentiert wurde, sondern ob Verantwortliche Datenströme, Zuständigkeiten, Löschroutinen, Auskunftsprozesse und interne Kontrollen tatsächlich im Griff haben.

Was Unternehmen aus dem heutigen AEPD-Signal mitnehmen sollten

Die praktische Lehre aus dem heutigen Fall lautet deshalb nicht: Europa verhängt hohe Bußgelder, also braucht es nur mehr Angst. Die sinnvollere Schlussfolgerung ist nüchterner. Unternehmen sollten ihre Datenschutzsteuerung daran messen, ob sie auch dann trägt, wenn die Aufsicht nicht bloß nachträglich sanktioniert, sondern aktiv in Abläufe eingreift. Wer etwa internationale Datenflüsse, Werbe- und Analyseprozesse, Auskunftsrechte oder Drittanbietersteuerung nur auf dem Papier gelöst hat, gerät in einem solchen Vollzugsumfeld schneller unter Druck als früher.

Besonders relevant ist das für Teams, die Datenschutz immer noch in zwei Schubladen trennen: hier die Rechtsabteilung, dort der operative Betrieb. Die heute von der AEPD beschriebene Entwicklung spricht eher für einen integrierten Ansatz. Datenschutz wird zum Teil von Risiko-Management, Prozesskontrolle und Vertrauensarchitektur. Das betrifft nicht nur Big Tech, sondern auch Händler, Dienstleister, Plattformbetreiber, SaaS-Anbieter, Personalabteilungen und alle Organisationen, die in mehreren Märkten oder mit vielen Betroffenenkontakten arbeiten.

• Prüfen Sie nicht nur mögliche Bußgeldhöhen, sondern auch, welche Prozesse eine Aufsicht kurzfristig stoppen, umstellen oder enger beaufsichtigen könnte.
• Bewerten Sie Beschwerdeanfälligkeit als eigenes Risiko: unklare Transparenz, langsame Auskunftsprozesse und schwache Löschroutinen sind oft der Anfang, nicht das Ende eines Verfahrens.
• Behandeln Sie Datenschutz-Governance wie ein Steuerungsthema des laufenden Betriebs und nicht wie eine reine Nachweisübung für Sonderfälle.

Genau deshalb ist der heutige AEPD-Beitrag berichtenswert. Er verdichtet denselben Tag, eine offizielle Aufsichtseinordnung und belastbare europäische Vergleichsdaten zu einer klaren Botschaft: Der DSGVO-Vollzug in Europa wird nicht einfach härter im alten Sinn. Er wird struktureller, heterogener und für Unternehmen operativ näher.

Bildquelle: Pexels

Quellen: AEPD, „Tendencia sancionadora en protección de datos en Europa“; EDPB, „Annual report 2025: supporting stakeholders through guidance and dialogue“; AEPD, „La Agencia recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior“.