DSGVO-Durchsetzung 2026: Wenn mangelhafte Anbieterüberwachung zum Bußgeld-Multiplikator wird
Wichtige Erkenntnisse
- Steigende DSGVO-Bußgelder zeigen strukturelle Durchsetzung. Allein im Jahr 2025 wurden Bußgelder in Höhe von 1,2 Milliarden Euro verhängt, was die Gesamtsumme seit 2018 auf 5,88 Milliarden Euro erhöht. Die durchschnittliche Zahl der Datenschutzverletzungen liegt bei 443 Meldungen pro Tag.
- Versäumnisse bei der Lieferantenkontrolle erhöhen Strafen. Aufsichtsbehörden werten schwaches Prozessormanagement, fehlende DPIAs und unzureichende technische Maßnahmen nun als erschwerende Faktoren, die gemäß EDPB-Richtlinien direkt zu höheren Bußgeldern führen.
- Daten von Kindern werden zur eigenständigen Priorität. Regulierungsbehörden verhängten hohe Bußgelder gegen Reddit und PlayOn wegen unrechtmäßiger Verarbeitung von Minderjährigendaten und setzen damit Jugendschutz als eigenständigen Durchsetzungsschwerpunkt durch.
- Lücken bei der Datentransparenz gefährden Compliance. Nur 33% der Unternehmen wissen, wo alle ihre Daten gespeichert sind. Fehlende Audit-Trails korrelieren stark mit Datenschutzverletzungen. Ein durchgängiger Audit-Trail ist entscheidend, um regulatorisches Risiko zu minimieren.
Das Ausmaß der DSGVO-Durchsetzung im Jahr 2026 überrascht nicht mehr. Es ist strukturell geworden.
Die DLA Piper DSGVO-Bußgeld- und Datenschutzverletzungsstudie, 8. Ausgabe dokumentierte weitere 1,2 Milliarden Euro an DSGVO-Bußgeldern im Jahr 2025. Die Gesamtsumme seit 2018 liegt damit bei etwa 5,88 Milliarden Euro. Die Zahl der gemeldeten Datenschutzverletzungen stieg im Jahresvergleich um 22% auf durchschnittlich 443 pro Tag. Der CMS DSGVO Enforcement Tracker verzeichnet 2.245 Bußgelder mit einem Durchschnittswert von rund 2,36 Millionen Euro.
Die Veränderung liegt nicht im Volumen, sondern im Muster. Aufsichtsbehörden in der EU konzentrieren sich verstärkt auf Artikel 5(1)(a)—Rechtmäßigkeit, Fairness und Transparenz—und 5(1)(f)—Integrität und Vertraulichkeit. Diese Vorgaben betreffen direkt das Lieferantenmanagement, die Durchsetzung technischer Maßnahmen und den Nachweis, dass die Datenverarbeitung mit den Angaben in den Datenschutzhinweisen übereinstimmt.
Die Durchsetzung konzentriert sich nicht mehr nur auf spektakuläre Bußgelder gegen Technologiekonzerne, sondern auf die systematische Überprüfung, ob Daten-Governance-Programme tatsächlich gelebt werden—nicht nur auf dem Papier existieren.
5 Wichtige Erkenntnisse
1. DSGVO-Bußgelder erreichen 2025 erneut 1,2 Milliarden Euro.
Die kumulierten Bußgelder seit 2018 belaufen sich auf rund 5,88 Milliarden Euro, bei durchschnittlich 443 Meldungen von Datenschutzverletzungen pro Tag—ein Anstieg um 22% im Jahresvergleich. Die DSGVO-Durchsetzung hat sich von Einzelfällen zu kontinuierlichen, großvolumigen Operationen mit einem vorhersehbaren jährlichen Mindestniveau entwickelt.
2. Aufsichtsbehörden nutzen Versäumnisse bei der Lieferantenkontrolle für höhere Strafen.
Regulierungsbehörden werten unzureichendes Prozessormanagement, schwache DPIAs und fehlende technische Maßnahmen routinemäßig als erschwerende Faktoren, die Bußgelder erhöhen. Die fünfstufige Bußgeldberechnungsmethodik des EDPB bedeutet, dass Lücken bei der Lieferantenkontrolle direkt zu höheren Strafen führen—nicht nur zu Nebenfeststellungen.
3. Durchsetzung beim Schutz von Kinderdaten nimmt Fahrt auf.
Die britische ICO verhängte gegen Reddit ein Bußgeld von 14,5 Millionen Pfund wegen unrechtmäßiger Verarbeitung von Kinderdaten aufgrund mangelhafter Altersverifikation. Die kalifornische CPPA verhängte erstmals eine auf Schüler fokussierte Strafe—etwa 1,1 Millionen Dollar gegen PlayOn. Der Datenschutz für Jugendliche ist nun eine eigenständige Priorität in mehreren Rechtsräumen.
4. Nur 33% der Unternehmen wissen, wo alle ihre Daten gespeichert sind.
Ohne vollständige Datenklassifizierung und Transparenz können Unternehmen die von Aufsichtsbehörden geforderte Prozessorkontrolle, Datenzuordnung und technische Schutzmaßnahmen nicht nachweisen. Wer Daten nicht lokalisieren kann, kann deren Governance nicht belegen.
5. Die Korrelation zwischen Audit und Datenschutzverletzung ist eindeutig.
Nur 6% der Unternehmen, die eine Compliance-Prüfung nicht bestanden haben, berichten von keiner Datenschutzverletzung, verglichen mit 30% der Unternehmen, die alle Audits bestanden haben. Audit-Trail-Bereitschaft ist nicht nur eine Compliance-Übung, sondern ein Frühindikator für Sicherheitsergebnisse und fließt direkt in die Bußgeldbemessung der Aufsichtsbehörden ein.
Eine vollständige Checkliste für die DSGVO-Compliance
Jetzt lesen
Das Free-Mobile-Bußgeld: 27 Millionen Euro wegen unzureichendem Schutz von Teilnehmerdaten
2026 verhängte die französische CNIL gegen Free Mobile ein Bußgeld von 27 Millionen Euro—Teil eines Enforcement-Pakets von 42 Millionen Euro—wegen unzureichendem Schutz von Teilnehmerdaten. Das Bußgeld richtete sich gegen unzureichende technische und organisatorische Maßnahmen: Genau diese Formulierung nutzen Aufsichtsbehörden, wenn die Sicherheitsmaßnahmen eines Unternehmens nicht zum Risikoprofil der verarbeiteten Daten passen.
Dies ist kein Fall völliger Missachtung der DSGVO. Free Mobile ist einer der größten Mobilfunkanbieter Frankreichs und steht unter erheblicher regulatorischer Beobachtung. Das Bußgeld signalisiert, dass Aufsichtsbehörden sich nicht mehr mit der bloßen Existenz von Sicherheitsprogrammen zufriedengeben. Sie bewerten die Angemessenheit dieser Programme im Hinblick auf die tatsächlichen Datentypen, Verarbeitungsvolumina und Risiken, denen das Unternehmen ausgesetzt ist.
Die EDPB-Leitlinien 04/2022 zur Berechnung von Verwaltungsgeldern haben eine fünfstufige Methodik etabliert, die alle EU-Aufsichtsbehörden anwenden. Schritt 3 bewertet erschwerende und mildernde Umstände. Mildernde Faktoren sind unter anderem der Nachweis von Korrekturmaßnahmen, Zusammenarbeit mit Behörden und bereits implementierte technische und organisatorische Maßnahmen. Erschwerende Faktoren sind schwache Lieferantenkontrolle, fehlende DPIAs und fragmentierte technische Maßnahmen—alles Faktoren, die Bußgelder erhöhen.
Für Verantwortliche in den Bereichen Sicherheit und Compliance ist die Konsequenz klar: Der Nachweis von Kontrollen ist genauso wichtig wie die Kontrollen selbst. Wer einer Aufsichtsbehörde nicht belegen kann, dass die Sicherheitsarchitektur vor dem Vorfall angemessen war, hat bei der Bußgeldberechnung das Nachsehen.
Reddit: 14,5 Millionen Pfund Bußgeld – Kinderdaten als Durchsetzungspriorität
Das Bußgeld von 14,5 Millionen Pfund gegen Reddit wegen unrechtmäßiger Verarbeitung von Kinderdaten infolge mangelhafter Altersverifikation ist das zweite große Enforcement-Thema 2026: Regulierungsbehörden behandeln Kinderdaten und Jugendschutz als eigenständige Durchsetzungspriorität und nicht mehr nur als Teilaspekt des allgemeinen Datenschutzes.
Dies entspricht einem globalen Trend. Überarbeitete COPPA-Regeln in den USA erweitern die Definition personenbezogener Daten um biometrische und behördliche Identifikationsdaten, mit strengeren Anforderungen an Aufbewahrung und Transparenz. New York und Vermont haben altersgerechte Designgesetze mit gestaffelten Inkrafttretensdaten bis 2026–2027 erlassen. Die Datenschutzbehörden der G7 veröffentlichten eine gemeinsame Erklärung zum Schutz von Minderjährigendaten.
Auch Kalifornien setzt einen weiteren Akzent: Die California Privacy Protection Agency verhängte ein Bußgeld von rund 1,1 Millionen Dollar gegen PlayOn, weil Schülern und Familien keine Opt-out-Möglichkeit für die Datenerhebung bei Ticketing-, Fundraising- und Streaming-Diensten geboten wurde. Dies ist die erste explizit auf Schüler ausgerichtete Durchsetzungsmaßnahme der CPPA.
Unternehmen, die im Bildungsbereich, im Jugendsektor, in Gaming, sozialen Medien oder familienorientierten digitalen Diensten tätig sind, sollten Kinderdatenschutz als eigenständigen Compliance-Prozess behandeln—nicht als Teil der allgemeinen Datenschutzrichtlinien.
Das Problem der Lieferantenkontrolle: Warum Aufsichtsbehörden auf Prozessormanagement fokussieren
Der Vorfall mit Rockstar Games/Anandot/Snowflake im April 2026 zeigt, warum Lieferantenkontrolle ein zentraler Durchsetzungsfokus geworden ist. Wenn ein Drittanbieter-Analytics-Dienst zum Einfallstor für eine Datenschutzverletzung wird, fragen Aufsichtsbehörden nicht nur „Wurde der Anbieter gehackt?“, sondern „Hat der Verantwortliche ausreichende Kontrolle über den Prozessor nachgewiesen?“
Der Black Kite Third-Party Breach Report 2026 verdeutlicht das Ausmaß: 136 bestätigte Drittanbieter-Vorfälle in 2025, 719 namentlich genannte Opfer und geschätzt 26.000 weitere betroffene Unternehmen. Die mittlere Verzögerung bei der öffentlichen Offenlegung lag bei 73 Tagen. Von den 50 meistgenutzten Anbietern hatten 62% Unternehmenszugangsdaten in Stealer-Logs und 84% kritische Schwachstellen (CVSS 8+).
Nach DSGVO-Artikeln 28 und 29 dürfen Verantwortliche nur Prozessoren mit ausreichenden Garantien einsetzen und müssen vertragliche Regelungen zu Sicherheitsmaßnahmen, Audit-Rechten und Subprozessoren treffen. Verträge sind jedoch nur der Anfang. Aufsichtsbehörden prüfen inzwischen, ob Verantwortliche ihre Prozessoren aktiv überwachen, Compliance-Behauptungen verifizieren und technische Maßnahmen zur Erkennung von Anomalien bei Prozessoren implementieren. Die Auswirkungen betreffen direkt das Third-Party-Risk-Management, das sich nicht mehr auf jährliche Fragebögen verlassen kann, sondern kontinuierliches Monitoring erfordert.
Der Thales Data Threat Report 2026 zeigt, warum dies in der Praxis so schwierig ist: Nur 33% der Unternehmen wissen genau, wo ihre Daten gespeichert sind, und nur 39% können alle Daten klassifizieren. Wer nicht sicher sagen kann, auf welche Daten Prozessoren zugreifen, kann die von Aufsichtsbehörden geforderte Kontrolle nicht nachweisen.
Audit-Breach-Korrelation: Warum Compliance-Bereitschaft Sicherheitsergebnisse vorhersagt
Eines der auffälligsten Ergebnisse des Thales-Reports ist der Zusammenhang zwischen Audit-Ergebnissen und Datenschutzverletzungen. Nur 6% der Unternehmen, die eine Compliance-Prüfung nicht bestanden haben, berichten von keiner Datenschutzverletzung. Im Gegensatz dazu berichten 30% der Unternehmen, die alle Audits bestanden haben, von keiner Datenschutzverletzung.
Dies ist eine Korrelation, kein Kausalitätsbeweis. Die Aussagekraft ist dennoch groß: Unternehmen, die in Audit-Bereitschaft investieren—umfassende Protokollierung, konsequente Richtliniendurchsetzung, dokumentierte Kontrollen—sind meist auch diejenigen, die Datenschutzverletzungen vermeiden. Audit-Infrastruktur und Sicherheitsinfrastruktur überschneiden sich erheblich.
Der Kiteworks Data Security, Compliance and Risk Forecast Report 2026 liefert Details: 61% der Unternehmen versuchen, Audit-Trails in Beweisqualität auf fragmentierter Infrastruktur für Datenbewegungen zu etablieren—mit isolierten Logs aus E-Mail, Filesharing, SFTP und Managed File Transfer, die nie für Interoperabilität konzipiert wurden. Das führt zu Risiken (Transparenzlücken, verzögerte Erkennung) und operativer Ineffizienz (manuelle Korrelation, inkonsistente Aufbewahrung, doppelter Aufwand).
Die 39% der Unternehmen mit einheitlichen Ansätzen für Datenbewegungen und Audit-Trails auf Durchsetzungsebene sind in einer grundlegend anderen Position, wenn eine Aufsichtsbehörde Beweise verlangt. Sie liefern eine lückenlose Chain of Custody für sensible Daten über alle Kanäle in wenigen Minuten. Die übrigen 61% müssen Logs aus mehreren Systemen korrelieren—sofern diese überhaupt vollständig vorliegen.
Regulatorische Kollision: DSGVO, AI Act und DORA wachsen zusammen
Die Trends bei der DSGVO-Durchsetzung 2026 stehen nicht isoliert. Sie überschneiden sich mit dem EU AI Act, DORA und NIS 2—und schaffen eine mehrschichtige Compliance-Landschaft, in der Lieferantenkontrolle, Daten-Governance und Sicherheitsmaßnahmen unter mehreren Rahmenwerken gleichzeitig bewertet werden.
Die Kiteworks European Forecast 2026 ergab, dass 40% der europäischen Unternehmen den AI Act als Top-Herausforderung nennen, 55% planen Investitionen in Compliance-Automatisierung, um regulatorische Überlagerungen zu bewältigen. Der AI Act sieht Bußgelder von bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes vor. Die Anforderungen an Trainingsdaten-Dokumentation und Transparenz von KI-Systemen schaffen neue Nachweispflichten, die direkt mit den DSGVO-Accountability-Anforderungen verknüpft sind.
Der World Economic Forum Global Cybersecurity Outlook 2026 beschreibt die Makro-Dynamik: 31% der großen Unternehmen nennen regulatorische Komplexität als größte Hürde für Cyber-Resilienz. Unternehmen, die jedes Rahmenwerk als separaten Compliance-Prozess behandeln, gehen in doppeltem Aufwand unter. Wer eine einheitliche Governance-Architektur aufbaut—eine Policy Engine, ein Audit-Log, eine Beweisbasis—kann mehrere Rahmenwerke aus einer Hand bedienen.
Der Kiteworks-Ansatz: Compliance nachgewiesen, nicht nur versprochen
Die Durchsetzungsmuster 2026 haben eine gemeinsame Anforderung: Unternehmen müssen nachweisen, dass ihre Kontrollen in der Praxis funktionieren, nicht nur auf dem Papier. Aufsichtsbehörden prüfen, ob Audit-Trails vollständig sind, Richtlinien durchgesetzt werden und die Lieferantenkontrolle aktiv ist—nicht, ob ein Policy-Dokument im Intranet liegt.
Das Private Data Network von Kiteworks konsolidiert alle sensiblen Datenbewegungen—sichere E-Mails, sicheres Filesharing, SFTP, Managed File Transfer, APIs, Web-Formulare und KI-Integrationen—auf einer einzigen Governance-Plattform mit einer Policy Engine und einem zentralen Audit-Log. Für die DSGVO gilt: Jeder Datenaustausch mit Prozessoren, Partnern oder Drittparteien läuft über konsistente Zugriffskontrollen, jede Aktion wird in Echtzeit ohne Verzögerung protokolliert.
Vorgefertigte Compliance-Berichte für DSGVO, HIPAA, CMMC 2.0 und weitere Rahmenwerke ermöglichen es Unternehmen, Audit-Bereitschaft auf Abruf nachzuweisen. Single-Tenant-Architektur eliminiert Risiken durch Mandantentrennung. Defense-in-Depth-Sicherheit—eingebaute Firewalls, WAF, doppelte Verschlüsselung im ruhenden Zustand und zero trust-Architektur—stellt sicher, dass die Plattform selbst den Standard „geeignete technische und organisatorische Maßnahmen“ gemäß Artikel 32 erfüllt.
Wenn eine Aufsichtsbehörde Beweise für Lieferantenkontrolle, Verschlüsselung oder Protokollierung von Datenbewegungen nach einem Vorfall verlangt, entscheidet der Unterschied zwischen einem einheitlichen Audit-Trail in Minuten und wochenlanger Rekonstruktion fragmentarischer Beweise, ob ein mildernder oder ein erschwerender Faktor vorliegt.
Was Compliance- und Sicherheitsverantwortliche jetzt tun sollten
Erstens führen Sie ein Audit zur Lieferantenkontrolle durch, das auf nachweisbaren Kontrollen und nicht nur auf Vertragsklauseln basiert. Der Black Kite Report zeigte, dass 62% der wichtigsten Anbieter Zugangsdaten in Stealer-Logs hatten. Verträge sind notwendig, aber nicht ausreichend. Überprüfen Sie, ob die Sicherheitsversprechen der Prozessoren durch kontinuierliches Monitoring, Zugriffsüberprüfungen und Anomalieerkennung gestützt werden.
Zweitens vereinheitlichen Sie die Audit-Protokollierung aller Datenbewegungskanäle, bevor der nächste Vorfall eintritt. Wenn Ihre E-Mail-Logs, File-Transfer-Logs und API-Zugriffsprotokolle in unterschiedlichen Systemen mit unterschiedlichen Aufbewahrungsfristen liegen, entstehen Beweislücken, die Aufsichtsbehörden als erschwerende Faktoren werten.
Drittens bauen Sie Kinderdatenschutz als eigenständigen Compliance-Prozess auf. Die Enforcement-Aktionen gegen Reddit, PlayOn und nach COPPA zeigen, dass Regulierungsbehörden Jugendschutz als eigenständige Priorität behandeln. Unternehmen, die Daten von oder über Minderjährige verarbeiten, benötigen spezifische DPIAs, Einwilligungsprozesse und Mechanismen zur Altersverifikation.
Viertens stimmen Sie die Compliance für DSGVO, AI Act, DORA und NIS 2 auf eine einheitliche Governance-Architektur ab. Eine Policy Engine, ein Audit-Log und eine Beweisbasis reduzieren Doppelarbeit und liefern die bereichsübergreifenden Nachweise, die Regulierungsbehörden zunehmend erwarten.
Fünftens nutzen Sie Audit-Bereitschaft als Sicherheitskennzahl. Die Erkenntnis des Thales-Reports, dass Audit-Fehlschläge mit einer höheren Wahrscheinlichkeit für Datenschutzverletzungen korrelieren, bedeutet: Investitionen in Compliance sind Investitionen in Sicherheit. Unternehmen, die keine Audit-Trails in Beweisqualität auf Abruf liefern können, bestehen nicht nur Compliance-Prüfungen nicht—sie sind auch häufiger von Datenschutzverletzungen betroffen.
Der Trend ist eindeutig: Die DSGVO-Durchsetzung wird präziser, evidenzbasierter und stärker darauf ausgerichtet, ob Kontrollen tatsächlich funktionieren. Unternehmen, die erst im Rahmen einer Aufsichtsbehördenprüfung ihre Beweislücken entdecken, zahlen diese Lücken bei der Bußgeldberechnung teuer.
Erfahren Sie mehr über DSGVO-Compliance und vereinbaren Sie jetzt eine individuelle Demo.
Häufig gestellte Fragen
Aufsichtsbehörden werten schwache Prozessorkontrolle inzwischen als erschwerenden Faktor bei der Bußgeldberechnung gemäß EDPB-Leitlinie 04/2022. Regulierungsbehörden erwarten aktives Monitoring der Prozessor-Compliance, verbindliche Vertragsklauseln und implementierte technische Maßnahmen. Programme zum Lieferantenrisikomanagement, die nur auf jährlichen Fragebögen oder Vertragsklauseln beruhen, genügen den Anforderungen der Aufsichtsbehörden nicht mehr.
SOC 2 prüft Sicherheitsmaßnahmen, deckt aber die DSGVO-Anforderungen an Prozessoren gemäß Artikel 28 und 29 nicht direkt ab. Der Thales Data Threat Report 2026 zeigt, dass nur 33% der Unternehmen vollständige Datentransparenz haben. Sie benötigen zusätzlich DSGVO-spezifische Prozessor-Dokumentation, DPIAs und Nachweise für laufende Kontrolle, die SOC 2 nicht abdeckt.
Ja. Das Bußgeld von rund 1,1 Millionen Dollar gegen PlayOn zeigt, dass Regulierungsbehörden gezielt auf Bildungsnahe Dienste abzielen. Wenn Sie Daten von Minderjährigen oder über schulische Kanäle verarbeiten, sollten Sie Einwilligungsprozesse, Opt-out-Mechanismen und Datenminimierung als eigenständigen Compliance-Prozess behandeln – getrennt vom allgemeinen Datenschutzprogramm.
Fragmentierte Logs führen zu Beweislücken, die Aufsichtsbehörden als erschwerende Faktoren werten. Nur 39% der Unternehmen verfügen laut Kiteworks Forecast 2026 über einheitliche Audit-Trails auf Durchsetzungsebene. Ein konsolidiertes Log für E-Mail, Filesharing, SFTP und API-Transfers ermöglicht es, Chain-of-Custody-Beweise in Minuten zu liefern – ein klarer mildernder Faktor bei jeder Untersuchung.
Nicht nur realistisch – sondern zunehmend notwendig. Der WEF Global Cybersecurity Outlook 2026 zeigt, dass 31% der großen Unternehmen regulatorische Komplexität als größte Hürde für Resilienz nennen. Eine einheitliche Governance-Architektur mit einer Policy Engine, einem Audit-Log und einer Beweisbasis adressiert DSGVO, DORA und NIS 2 gleichzeitig – und eliminiert den doppelten Aufwand separater Compliance-Prozesse.
Weitere Ressourcen
- BlogbeitragDSGVO-Datenresidenzanforderungen verstehen und einhalten
- BlogbeitragSo versenden Sie personenbezogene Daten per E-Mail DSGVO-konform: Ihr Leitfaden für sichere E-Mail-Kommunikation
- BlogbeitragDSGVO-Compliance erreichen und das neue EU-Datenschutzgesetz einhalten
- BlogbeitragSo teilen Sie Dateien mit internationalen Partnern, ohne gegen die DSGVO zu verstoßen
- BlogbeitragSo erstellen Sie DSGVO-konforme Formulare
Häufig gestellte Fragen
Die DLA Piper DSGVO-Bußgeld- und Datenschutzverletzungsstudie dokumentierte 1,2 Milliarden Euro an DSGVO-Bußgeldern im Jahr 2025. Die Gesamtsumme seit 2018 beträgt rund 5,88 Milliarden Euro, bei durchschnittlich 443 Meldungen von Datenschutzverletzungen pro Tag.
Regulierungsbehörden werten unzureichendes Prozessormanagement, schwache DPIAs und fehlende technische Maßnahmen als erschwerende Faktoren gemäß der fünfstufigen Bußgeldberechnung des EDPB. Dadurch werden Bußgelder direkt erhöht und nicht nur als Nebenbefunde behandelt.
Das Bußgeld richtete sich gegen unzureichende technische und organisatorische Maßnahmen, die nicht zum Risikoprofil der Teilnehmerdaten passten. Es zeigt, dass Aufsichtsbehörden die Angemessenheit von Sicherheitsprogrammen anhand der tatsächlichen Datentypen, Volumina und Risiken bewerten – und nicht nur das Vorhandensein von Kontrollen prüfen.
Nur 6% der Unternehmen, die eine Compliance-Prüfung nicht bestanden haben, berichten von keiner Datenschutzverletzung, verglichen mit 30% der Unternehmen, die alle Audits bestanden haben. Audit-Bereitschaft und starke Protokollierung korrelieren deutlich mit besseren Sicherheitsresultaten.