DSGVO-Benchmark 2026: Reifegrad nach Branche

Suchen Sie nach "DSGVO-Reifegrad nach Branche", finden Sie jede Menge Tabellen voller Zahlen — und fast keine, die verrät, woher diese Zahlen eigentlich stammen. Keine Aufsichtsbehörde und kein einzelnes Marktforschungsunternehmen veröffentlicht einen geprüften DSGVO-Reifegrad für SaaS, Gastgewerbe, Gesundheitswesen, E-Commerce, Finanzdienstleistungen und Beratungsdienstleistungen nebeneinander. Also haben wir selbst einen erstellt, aus zwei Datensätzen, die tatsächlich existieren und unabhängig veröffentlicht wurden: Verizons 2026 Data Breach Investigations Report und der GDPR Enforcement Tracker Report 2026 von CMS. Dieser Artikel zeigt die daraus resultierende Rangliste, die genaue Formel dahinter und — wichtiger noch — jede Stelle, an der sich die Formel biegen muss, um sechs Branchen auf Daten zu pressen, die nicht für diesen Vergleich gedacht waren.

Die Rangliste

Jede Branche erhält einen Score von 0–100, zusammengesetzt aus zwei Komponenten: wie oft ein erfasster Sicherheitsvorfall in dieser Branche tatsächlich zu einer bestätigten Datenschutzverletzung wurde (Verizon), und wie oft Aufsichtsbehörden tatsächlich ein DSGVO-Bußgeld gegen diese Branche verhängt haben (CMS). Beide werden gegen die anderen fünf Branchen hier normalisiert — ein Score ist eine relative Position in diesem spezifischen Sechs-Branchen-Vergleich, keine absolute Bestehen/Durchfallen-Note.

Finanzdienstleistungen erzielen bei beiden Komponenten den höchsten Wert; E-Commerce bei beiden den niedrigsten. Gastgewerbe und Beratungsdienstleistungen stützen sich jeweils nur auf eine Komponente — siehe unten.

Wie der Score entsteht

Zwei Komponenten, jede unabhängig quellenbasiert, jede über die sechs Branchen hinweg auf 0–100 normalisiert und dann gemittelt.

Komponente A — Schwere von Sicherheitsvorfällen. Quelle: Verizons 2026 Data Breach Investigations Report (19. Ausgabe, erfasst Vorfälle von November 2024 bis Oktober 2025, klassifiziert nach NAICS-Branchencode). Für jede Branche ist dies der Anteil erfasster Sicherheits-vorfälle, die zu einer bestätigten Daten-verletzung eskalierten — wie oft ein Sicherheitsereignis tatsächlich zu einer unbefugten Offenlegung führt, sobald es eintritt.

Komponente B — DSGVO-Vollzugsexposition. Quelle: CMS' GDPR Enforcement Tracker Report 2026 (7. Ausgabe, Stichtag 1. März 2026, erfasst 3.202 Bußgelder im Gesamtwert von 6,31 Mrd. €). Für jede Branche ist dies die Anzahl der bisher verhängten DSGVO-Bußgelder in der jeweils passendsten CMS-Branchenkategorie — wie oft Aufsichtsbehörden tatsächlich gegen diesen Sektor vorgehen.

Gesamtscore = der Durchschnitt aus Komponente A und Komponente B, jede min-max-normalisiert über die sechs Branchen. Liegen für eine Branche nur bei einer Komponente verwertbare Daten vor, stützt sich der Gesamtscore allein auf diese Komponente.

Branche für Branche

1. Finanzdienstleistungen — 78/100

Der bei beiden Kennzahlen beste Sektor. Verizons Datensatz 2026 zeigt, dass Finanzdienstleistungen nur 1 von 3 erfassten Vorfällen in eine bestätigte Verletzung umwandeln — 34 %, mit Abstand die niedrigste Quote aller Branchen hier — während sie beim Umfang der DSGVO-Vollzugsmaßnahmen im Mittelfeld liegen: 307 Bußgelder mit einer Gesamtsumme von 87,6 Mio. € in CMS' Kategorie Finance, Insurance and Consulting.

2. Gastgewerbe — 68/100 (regionale Ersatzgröße)

Die wenigsten DSGVO-Bußgelder aller von CMS erfassten Sektoren — insgesamt 91, zusammen 22,7 Mio. €. Doch zwei Drittel davon (53 von 91) gehen auf ein einziges wiederkehrendes Versäumnis zurück: unrechtmäßige Videoüberwachung in Restaurants, Bars und Hotels. Das ist eine einzelne, behebbare Kontrolllücke, kein breites Compliance-Problem. Verizon hat im Bericht 2026 keine eigene Momentaufnahme für das Gastgewerbe veröffentlicht, weshalb die Sicherheitskomponente dieses Scores den gesamten EMEA-Regionaldurchschnitt des Berichts als Ersatz heranzieht — hier und in der Datentabelle unten entsprechend gekennzeichnet.

3. SaaS & Technologie — 53/100 (breite Ersatzgröße)

Bei beiden Kennzahlen für sich genommen im Mittelfeld — doch die Vollzugs-Kopfzahl des Sektors, rund 4,0 Mrd. € an kumulierten Bußgeldern in CMS' Kategorie Media, Telecoms and Broadcasting, wird von einer Handvoll Fälle in Plattform-Größenordnung dominiert (Meta und TikTok machen den Großteil davon aus). Nach Anzahl der Vollzugsmaßnahmen statt nach Euro gezählt, wirkt der Sektor unauffällig; nach der Gesamtsumme der Bußgelder gezählt, wirkt er katastrophal. Genau diese Lücke ist der Grund, warum dieser Score die Anzahl der Bußgelder verwendet, nicht die Gesamtsumme — siehe Einschränkungen.

4. Beratungsdienstleistungen — 40/100 (nur eine Komponente)

CMS hat keine eigene Vollzugskategorie für Beratungs-, Rechts-, Steuerberatungs- oder andere Dienstleistungsunternehmen — die nächstgelegene Kategorie bündelt sie mit Finanzdienstleistungen, was dieselben Bußgelder doppelt auf zwei Branchen anrechnen würde. Dieser Score stützt sich daher allein auf Verizons Sicherheitsdaten: 2.558 bestätigte Verletzungen von 3.578 erfassten Vorfällen, eine Umwandlungsquote von 71 %.

5. Gesundheitswesen — 33/100

Nahezu jeder erfasste Sicherheitsvorfall in Verizons Datensatz für das Gesundheitswesen wurde zu einer bestätigten Verletzung — 1.438 von 1.492, eine Umwandlungsquote von 96 %, die höchste aller Sektoren hier. Ein Teil davon spiegelt strenge Meldepflichten wider, die ihre Aufgabe erfüllen, statt einzigartig schwacher Sicherheit (mehr dazu unten) — dennoch bleibt dem Gesundheitswesen damit der geringste Spielraum für Fehler, sobald ein Vorfall beginnt. CMS erfasste 265 DSGVO-Bußgelder gegen den Sektor mit einer Gesamtsumme von 32,3 Mio. €.

6. E-Commerce — 12/100 (breite Ersatzgröße)

Der niedrigste Score in diesem Vergleich, bei beiden Komponenten: der nach Fallzahl am intensivsten und häufigsten sanktionierte DSGVO-Sektor — 588 Bußgelder, insgesamt 394 Mio. €, in CMS' Kategorie Industry and Commerce — dazu eine Verletzungs-Umwandlungsquote von 81 %, deutlich über dem Mittelwert. Diese CMS-Kategorie ist breiter als reiner E-Commerce, was wahrscheinlich einen Teil des Gewichts aus angrenzenden Einzelhandels- und Fertigungsfällen mit hineinzieht.

Die zugrunde liegenden Daten

Keine dieser sechs Branchen lässt sich eins zu eins auf das jeweils eigene Kategoriensystem einer der beiden Quellen übertragen. Die folgende Tabelle zeigt genau, welche veröffentlichte Kategorie für welche Zielbranche eingesetzt wurde.

* Verizon hat im Bericht 2026 keine eigene Momentaufnahme für Accommodation & Food Services (NAICS 72) veröffentlicht; die gezeigten Zahlen sind der EMEA-Regionaldurchschnitt des Gesamtberichts, verwendet als nächstliegende Ersatzgröße aus derselben Quelle. † CMS hat keine eigene Vollzugskategorie für Beratungs-/Dienstleistungen getrennt von Finanzdienstleistungen.

Vor dem Zitieren lesen

• Dies sind Ersatzzuordnungen, keine exakten Übereinstimmungen. Keine der beiden Quellen veröffentlicht Daten für "SaaS", "E-Commerce" oder "Beratungsdienstleistungen" als solche — jede Zielbranche wird durch die nächstliegende veröffentlichte Kategorie angenähert, und diese Annäherung ist in beide Richtungen unvollkommen.
• Für das Gastgewerbe gibt es keine eigene DBIR-Momentaufnahme 2026. Der Wert zur Sicherheitsschwere ist der EMEA-Regionaldurchschnitt des Berichts, keine sektorspezifische Zahl für das Beherbergungsgewerbe.
• Für Beratungsdienstleistungen gibt es keine eigene DSGVO-Vollzugskategorie in der CMS-Taxonomie, weshalb dieser Score allein auf Verizons Sicherheitsdaten beruht.
• Die Anzahl der Bußgelder, nicht die Gesamtsumme, treibt Komponente B — konkret, um zu verhindern, dass drei Fälle in Plattform-Größenordnung (zwei gegen Meta, einer gegen TikTok) den Score eines ganzen Sektors von drei Unternehmen abhängig machen, die für das typische Unternehmen darin nicht repräsentativ sind.
• Eine hohe Verletzungs-Umwandlungsquote ist nicht allein ein Sicherheitsversagen. Sektoren mit strengen Meldepflichten — insbesondere das Gesundheitswesen — bestätigen einen höheren Anteil an Vorfällen als Verletzungen nahezu per Definition. Verizons eigener Bericht weist darauf hin, dass branchenübergreifende Vergleiche durch "unterschiedliche regulatorische und Meldeanforderungen" sowie unterschiedliche Stichprobengrößen je Sektor geprägt sind.
• Die Scores sind relativ zu diesem spezifischen Sechs-Branchen-Vergleich, keine absolute Compliance-Note, und nichts davon ersetzt eine echte, von einem Datenschutzbeauftragten geführte Prüfung einer einzelnen Organisation.

Fazit

Finanzdienstleistungen und E-Commerce stehen aus einem wirklich interessanten Grund an entgegengesetzten Enden dieser Rangliste: Finanzdienstleistungen weisen die niedrigste Verletzungs-Umwandlungsquote aller von Verizon erfassten Sektoren auf, während E-Commerce sowohl eine hohe Umwandlungsquote als auch die größte DSGVO-Vollzugsfallzahl trägt. Keines der beiden Extreme sagt wirklich etwas darüber aus, "wie DSGVO-konform" ein typisches Unternehmen dieser Branche auf dem Papier ist — es geht darum, wie das Daten- und Vorfallsvolumen jedes Sektors mit Aufsichtsbehörden interagiert, die ihn aktiv beobachten. Die Zahl, die man daraus mitnehmen sollte, ist nicht der Rang Ihrer Branche. Es ist der Eintrag in der Datentabelle, der Ihrem eigenen Unternehmen am ähnlichsten sieht.

Kostenlose Beratung mit GDPRGard vereinbaren →

Quellen

• Verizon — 2026 Data Breach Investigations Report (Executive Summary, Healthcare- & Retail-Momentaufnahmen)
• CMS — GDPR Enforcement Tracker Report 2026 (Ausgabe 2025/2026, Stichtag 1. März 2026)
• DLA Piper — GDPR Fines and Data Breach Survey, Januar 2026
• Cisco — 2026 Data and Privacy Benchmark Study

Auch lesen:

• DSGVO 2026: Rekordbußgelder, eine Reform in Bewegung, und was jetzt zu tun ist
• Vergessen Sie die KI-Verordnung — die DSGVO bestraft Unternehmen schon jetzt für KI-Fehler
• Der EU Digital Omnibus im Detail: Was sich für die DSGVO wirklich ändert — und was gerade ins Stocken geraten ist