Bußgeld Aktenentsorgung: 9 dokumentierte Fälle

Für falsch entsorgte Akten verhängen die deutschen Datenschutzaufsichten Bußgelder – bisher allerdings keine Millionenbeträge, sondern Summen im vierstelligen Bereich. Die öffentlich dokumentierten Fälle reichen von einer Verwarnung bis zu 6.500 Euro. Teurer als das Bußgeld ist oft, was dazukommt: Durchsuchung, Meldepflicht, Schadensersatzforderungen und der Ruf bei Patienten, Mandanten oder Eltern.

Die Tabelle enthält nur Fälle, die eine Aufsichtsbehörde in ihrem eigenen Tätigkeitsbericht beschrieben hat. Wir haben jeden Fall im Bericht selbst nachgelesen. Presseberichte ohne amtliche Grundlage und Beträge, die die Behörde nicht nennt, fehlen bewusst.

Welche Fälle haben die Aufsichtsbehörden dokumentiert?

Fünf dokumentierte Fälle unsachgemäßer Aktenentsorgung mit ihren Folgen — Quellen: Tätigkeitsberichte der Aufsichtsbehörden in Baden-Württemberg, Hessen und Hamburg.

Wer	Was entsorgt oder offen gelagert	Wo	Folge	Quelle
Apotheke, Baden-Württemberg	Rezepte mit Diagnosen, Corona-Testergebnisse, Kassenbelege, teils intakt, teils nur zerrissen	Müllraum, zugänglich auch für andere Mietparteien; sechs große Behälter	Durchsuchung mit Gerichtsbeschluss, Geldbuße 6.500 Euro, akzeptiert	LfDI BW, 38. Tätigkeitsbericht 2022, Kap. 8, S. 74
Arztpraxis, Hessen (Homeoffice)	Patientenakten mit Vorerkrankungen, Medikation, Allergien	offene Regale im nicht abgeschlossenen Heimbüro eines Praxismanagers	Geldbuße 2.500 Euro gegen die Praxisinhaberin	HBDI, 53. Tätigkeitsbericht (2024), Kap. 3.2, S. 28 f.
Kindertagesstätte, Hamburg	Aktenordner mit Betreuungsverträgen samt Kontodaten, Impfausweisen, Ausweiskopien, Vorsorgebefunden	öffentlicher Altpapier-Depotcontainer der Stadt	Geldbuße „im niedrigen vierstelligen Bereich“, rechtskräftig	HmbBfDI, Tätigkeitsbericht 2023, Kap. IV Nr. 3, S. 134–136
Arztpraxis mit zwei Inhabern, Kassel	nicht ausreichend geschredderte Patientenunterlagen, teils ganze Seiten	öffentliche Papiertonne	Bußgeldverfahren gegen beide Ärzte eingeleitet; Polizei kontrollierte den Container auf Bitte der Behörde	HBDI, 52. Tätigkeitsbericht (2023), Kap. 12.4, S. 193 f.
Unternehmen der beruflichen Rehabilitation, Hamburg	Inhalt einer Aktenvernichtungstonne	Tonne unverschlossen und unbefestigt im unbeaufsichtigten Hinterhof	unangekündigte Vor-Ort-Kontrolle, Verwarnung	HmbBfDI, Tätigkeitsbericht 2024, Kap. II Nr. 12, S. 52
zwei Rechtsanwaltskanzleien, Hessen	lesbare Mandantenkorrespondenz, Kontoauszüge, Rechnungen	Papiermüllcontainer eines Mehrparteienhauses; im zweiten Fall über eine Straße verteilt	„erforderliche aufsichtsbehördliche Maßnahmen“, ohne nähere Angabe	HBDI, 49. Tätigkeitsbericht (zum 31.12.2020), Kap. 11.7, S. 110 ff.
mehrere Arztpraxen und Kanzleien, NRW	Patienten- und Mandantenakten	Hausflure, gemeinsam genutzte Tiefgaragen, öffentlich zugängliche Container	Beschwerdeverfahren; Behörde wertet das als Verstoß gegen Art. 32 DSGVO, der mit Bußgeld geahndet werden kann	LDI NRW, 25. Datenschutzbericht 2020, Kap. 12.4, S. 95
staatliche Schule, Hamburg	PC mit Schüler- und Elterndaten, Dateien nur logisch gelöscht	Müllcontainer nach einem Brand	Hinweis nach Art. 58 Abs. 1 lit. d DSGVO an die Schulbehörde	HmbBfDI, Tätigkeitsbericht 2018, Kap. II Nr. 7, S. 41–43
private Freizeiteinrichtung, Bremen	Anmeldeformulare, Rechnungen, Zahlungsbelege	unverschlossener, allgemein zugänglicher Altpapiercontainer	Aufforderung, Hinweis auf möglichen Bußgeldtatbestand; Fall vor Geltung der DSGVO	LfDI Bremen, 38. Jahresbericht (2015), Kap. 14.4, S. 73 f.

Stand der Auswertung: 18.09.2026. Die Tabelle ist keine vollständige Statistik. Viele Verfahren enden ohne Veröffentlichung, und nicht jede Behörde berichtet über Einzelfälle.

Wie hoch kann ein Bußgeld nach der DSGVO werden?

Die DSGVO kennt zwei Obergrenzen (Art. 83 DSGVO). Welche gilt, hängt davon ab, gegen welche Pflicht Sie verstoßen haben:

Verstoß	Fundstelle	Obergrenze
Pflichten des Verantwortlichen aus Art. 25 bis 39, darunter Sicherheit der Verarbeitung (Art. 32), Auftragsverarbeitung (Art. 28), Meldepflicht (Art. 33)	Art. 83 Abs. 4 lit. a	bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, was höher ist
Grundsätze aus Art. 5, etwa Vertraulichkeit (Art. 5 Abs. 1 lit. f) und Speicherbegrenzung, sowie Rechte der Betroffenen	Art. 83 Abs. 5 lit. a und b	bis 20 Mio. Euro oder 4 %

Fast alle Fälle oben stützen sich auf Art. 32 DSGVO, oft zusammen mit Art. 5 Abs. 1 lit. f. Damit ist rechtlich auch der höhere Rahmen eröffnet. Die Obergrenzen sagen über die Praxis wenig aus: Bei Praxen, Kitas und kleinen Betrieben lagen die veröffentlichten Beträge zwischen 2.500 und 6.500 Euro.

Was macht ein Bußgeld höher oder niedriger?

Die Behörde muss im Einzelfall abwägen; die Kriterien stehen in Art. 83 Abs. 2 DSGVO. In den Berichten tauchen immer dieselben auf:

Art der Daten: Gesundheitsdaten (Apotheke, Arztpraxen) und Daten von Kindern (Kita) haben die Bußgelder ausdrücklich erhöht.
Umfang: sechs volle Müllbehälter wiegen schwerer als ein einzelnes Blatt.
Vorsatz oder Fahrlässigkeit: In Hamburg und Hessen wurde zugunsten der Verantwortlichen nur Fahrlässigkeit angenommen.
Verhalten danach: Die Apotheke kooperierte und verbesserte ihre Maßnahmen; die hessische Praxis kaufte abschließbare Schränke und einen Tresor. Beides milderte. Die Kita dagegen lehnte zunächst ab, die gefundenen Ordner abzuholen.
Erstverstoß: wurde bei der Kita mildernd berücksichtigt.

Berufsgeheimnisträger trifft ein strengerer Maßstab. Die hessische Behörde hielt fest, dass die Kanzleifälle schwerer wogen als bei anderen Verantwortlichen. Das bayerische Landesamt ordnet Unterlagen von Kanzleien, Praxen und Steuerberatern der Schutzklasse 3 zu und hält beim Selbstschreddern mindestens Sicherheitsstufe P-5 für erforderlich (BayLDA, Tätigkeitsbericht 2017/18, Kap. 9.2).

Was kommt zum Bußgeld hinzu?

Meldepflicht: Gelangen Unterlagen an Dritte, ist das eine Datenpanne, die in der Regel binnen 72 Stunden zu melden ist. Wie Sie das Risiko bewerten, steht im Ratgeber Datenschutzvorfall durch Altakten.
Schadensersatz: Betroffene können materiellen und immateriellen Schaden geltend machen (Art. 82 DSGVO).
Ermittlungsaufwand: In Baden-Württemberg durchsuchte die Bußgeldstelle die Apotheke; in Hamburg kam die Behörde unangekündigt.
Berufsrecht und Strafrecht: Bei Ärzten, Anwälten und Steuerberatern kann die Offenbarung von Geheimnissen zusätzlich nach § 203 StGB strafbar sein.

Welche Fehler wiederholen sich?

Wer die Fälle nebeneinanderlegt, sieht drei Muster:

Altpapier statt Vernichtung. Städtische Container, Papiertonnen und Müllräume sind Sammelwege für Altpapier, keine Vernichtung. Die hessische Aufsicht verlangt, Papier mit personenbezogenen Daten aus dem nicht-privaten Bereich mit einem Aktenvernichter oder einem qualifizierten Entsorgungsdienst zu vernichten.
Zerreißen statt Schreddern. Die Apotheke hatte Aktenvernichter an den Arbeitsplätzen – und trotzdem landeten intakte oder nur zerrissene Blätter im Müll. Geräte helfen nur mit klarer Anweisung und Kontrolle.
Offene Behälter. Auch eine Aktenvernichtungstonne schützt nur, wenn sie verschlossen an einem Ort steht, den Unbefugte nicht erreichen.

Die Vorgaben, die daraus für Ihr Unternehmen folgen, fasst die Seite DSGVO und Aktenvernichtung zusammen. Wenn Sie Altbestände loswerden wollen, ohne selbst zu schreddern, können Sie Angebote für die Aktenvernichtung durch einen Fachbetrieb vergleichen.

Häufige Fragen

Wie hoch sind Bußgelder für falsch entsorgte Akten in Deutschland?

In den von Aufsichtsbehörden veröffentlichten Fällen lagen sie zwischen 2.500 und 6.500 Euro, in Hamburg „im niedrigen vierstelligen Bereich“. Der gesetzliche Rahmen reicht bis 20 Millionen Euro oder 4 Prozent des Jahresumsatzes (Art. 83 Abs. 5 DSGVO).

Ist es erlaubt, Akten ungeschreddert in die Papiertonne zu werfen?

Nicht, wenn sie personenbezogene Daten enthalten. Die Aufsichtsbehörden werten das als Verstoß gegen Art. 32 DSGVO, weil Dritte die Unterlagen lesen können.

Gibt es auch ohne Bußgeld Folgen?

Ja. Die Behörde kann verwarnen, anweisen und vor Ort prüfen. Hinzu kommen die Meldepflicht nach Art. 33 DSGVO und mögliche Schadensersatzansprüche der Betroffenen nach Art. 82 DSGVO.

Werden Arztpraxen und Kanzleien strenger beurteilt?

Ja. Die hessische Aufsicht hat Verstöße von Berufsgeheimnisträgern ausdrücklich als schwerer gewertet, das bayerische Landesamt verlangt für deren Unterlagen beim Selbstschreddern mindestens Sicherheitsstufe P-5.

Quellen

Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.