Wann wird ein Bußgeld verhängt und wann reicht eine Verwarnung aus? Während bisher vor allem die Berechnung von Bußgeldern im Fokus stand, gehen die neuen Leitlinien 04/2026 des Europäischen Datenschutzausschusses (EDSA) auch auf diese Frage ein (die Leitlinien können hier heruntergeladen werden). Damit wird das bestehende Regelwerk um einen wichtigen Aspekt ergänzt.
Kurze Erinnerung: Was bisher galt
In unserem Blogbeitrag von Juni 2023 haben wir die Leitlinien 04/2022 des EDSA zur Berechnung von Bußgeldern vorgestellt. Darin wird ein fünfstufiges Verfahren beschrieben, mit dem sich die Höhe eines Bußgeldes bestimmen lässt. Dieses reicht von der Feststellung des sanktionierungswürdigen Verhaltens und der Ermittlung eines Ausgangsbetrags anhand der Art und Schwere des Verstoßes sowie des Unternehmensumsatzes bis zur Berücksichtigung erschwerender und mildernder Umstände und der abschließenden Verhältnismäßigkeitsprüfung.
Mehrere deutsche Aufsichtsbehörden, darunter der BfDI, die LfD Niedersachsen und der Berliner Beauftragte für Datenschutz und Informationsfreiheit, haben die Leitlinien in ihren Tätigkeitsberichten als wichtigen Schritt zur unionsweiten Vereinheitlichung der Bußgeldpraxis hervorgehoben.
Eine Frage blieb dabei allerdings offen: Wann ist überhaupt ein Bußgeld zu verhängen und wann kommt stattdessen eine andere Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO in Betracht?
Die neuen Leitlinien 04/2026
Am 17. September 2026 hat der EDSA die Leitlinien 04/2026 zur Anwendung der Befugnis zur Verhängung von Geldbußen im Verhältnis zu anderen Abhilfemaßnahmen nach der DSGVO verabschiedet und zur öffentlichen Konsultation gestellt. Stellungnahmen können bis zum 13. November 2026 eingereicht werden. Die sogenannten „Imposition Guidelines“ ergänzen die Leitlinien zur Berechnung von Bußgeldern aus dem Jahr 2022.
Die neuen Leitlinien stellen klar, dass nicht jeder Verstoß gegen die DSGVO zwangsläufig zu einem Bußgeld führen muss. Den Aufsichtsbehörden stehen neben Geldbußen weitere Abhilfemaßnahmen zur Verfügung. Dazu gehören beispielsweise Verwarnungen, Verweise, Anordnungen, Einschränkungen der Datenverarbeitung oder der Entzug einer Zertifizierung. Anhand eines Fünf-Schritte-Modells zeigt der EDSA nun, welche Kriterien bei der Entscheidung zu berücksichtigen sind und wann ein Bußgeld gegenüber anderen Maßnahmen vorzuziehen ist.
Das neue Fünf-Schritte-Modell zur Entscheidung über ein Bußgeld
Die ersten drei Schritte betreffen die rechtlichen Voraussetzungen für die Verhängung eines Bußgeldes. Zunächst wird geprüft, ob der festgestellte Verstoß überhaupt mit einem Bußgeld geahndet werden kann. Denn nicht jeder Verstoß gegen die DSGVO fällt unter Art. 83 DSGVO. Im zweiten Schritt geht es darum, ob der Verantwortliche oder Auftragsverarbeiter mit einer Geldbuße belegt werden kann. Der dritte Schritt betrifft die Schuldfrage. Nach der DSGVO setzt ein Bußgeld voraus, dass der Verstoß vorsätzlich oder fahrlässig begangen wurde. Gerade bei komplexen Verarbeitungssituationen oder neuen Rechtsfragen kann die Bewertung im Einzelfall schwierig sein.
In Schritt vier sollen die Aufsichtsbehörden anhand der Kriterien aus Art. 83 Abs. 2 DSGVO prüfen, ob der Verstoß als geringfügig im Sinne des Erwägungsgrundes 148 DSGVO einzustufen ist. Ist das der Fall, soll in der Regel kein Bußgeld verhängt werden. Stattdessen kommt ein förmlicher Verweis in Betracht. Ein Bußgeld ist im Einzelfall dennoch nicht ausgeschlossen. Wird der Verstoß hingegen nicht als geringfügig eingestuft, spricht eine starke Vermutung für die Verhängung eines Bußgeldes.
Im fünften und letzten Schritt wird geprüft, ob das Bußgeld im konkreten Fall wirksam, verhältnismäßig und abschreckend wäre. Auch hier können besondere Umstände dazu führen, dass von der grundsätzlich vorgesehenen Vorgehensweise abgewichen wird. Das kann beispielsweise der Fall sein, wenn das Bußgeld eine unverhältnismäßige Belastung darstellen würde.
Die Leitlinien enthalten außerdem 14 praxisnahe Fallbeispiele. Nur in einem Teil davon wird ein Bußgeld verhängt. Die Beispiele zeigen damit, dass den Aufsichtsbehörden je nach Einzelfall unterschiedliche Reaktionsmöglichkeiten zur Verfügung stehen.
Was ist neu gegenüber dem bisherigen Rahmen?
Gegenüber dem bisherigen Regelwerk gibt es mehrere wichtige Neuerungen. Zum einen beschreibt der EDSA erstmals systematisch, wie Aufsichtsbehörden bei der Entscheidung über die Verhängung eines Bußgeldes vorgehen sollen. Die bisherigen Leitlinien WP253 behandelten diese Frage zwar bereits, gaben dafür aber keine vergleichbare Schrittfolge vor.
Zum anderen berücksichtigen die neuen Leitlinien ausdrücklich die jüngere Rechtsprechung des Europäischen Gerichtshofs. Dazu gehören insbesondere die Rechtssachen „Land Hessen“ (C-768/21), „ILVA“ (C-383/23) und „Quirin Privatbank“ (C-655/23), die wichtige Fragen zur Verhältnismäßigkeit und zu den Voraussetzungen für die Verhängung von Bußgeldern klären.
Eine weitere Neuerung betrifft geringfügige Verstöße. Der EDSA stellt klar, dass die Aufsichtsbehörden unter bestimmten Umständen auch vollständig auf Abhilfemaßnahmen verzichten können, wenn diese im konkreten Fall nicht angemessen, notwendig oder verhältnismäßig wären.
Schließlich wird deutlich, dass gesetzlich ohnehin vorgeschriebene Maßnahmen nicht automatisch als mildernder Umstand berücksichtigt werden. Anders kann es aussehen, wenn ein Unternehmen von sich aus Maßnahmen ergreift, bevor es von einer behördlichen Untersuchung Kenntnis hat. Solche Maßnahmen können bei der Entscheidung über ein Bußgeld stärker zugunsten des Unternehmens berücksichtigt werden.
Einordnung und praktische Bedeutung
Mit den neuen Leitlinien ergänzt der EDSA seine bisherigen Vorgaben zur Bußgeldpraxis. Während die Leitlinien 04/2022 beschreiben, wie die Höhe eines Bußgeldes berechnet wird, geht es in den Leitlinien 04/2026 zunächst um die Frage, ob überhaupt ein Bußgeld verhängt werden soll. Beide Leitlinien bauen damit aufeinander auf und decken unterschiedliche Phasen der Bußgeldentscheidung ab.
Für Unternehmen und Behörden bedeutet das, dass der Umgang mit Datenschutzverstößen noch stärker in den Fokus rückt. Wer nach einem Verstoß schnell reagiert, mit der Aufsichtsbehörde kooperiert und den Verstoß nachweislich behebt, kann damit nicht nur die Höhe eines möglichen Bußgeldes beeinflussen. Solche Maßnahmen können bereits bei der Entscheidung eine Rolle spielen, ob überhaupt ein Bußgeld verhängt wird.
Die Leitlinien befinden sich derzeit noch in der öffentlichen Konsultation, die bis zum 13. November 2026 läuft. Änderungen sind daher noch möglich, insbesondere wenn die eingegangenen Stellungnahmen Anpassungsbedarf aufzeigen.
Keine Kommentare