Die Einhaltung der DSGVO hängt vielfach von komplexen rechtlichen Bewertungen und Abwägungsentscheidungen ab, sodass Verstöße auch bei Anwendung hoher Sorgfaltsstandards nicht vollständig ausgeschlossen werden können. Welche Konsequenzen aus einem Verstoß folgen, entscheiden die nationalen Datenschutzaufsichtsbehörden. Damit europaweit eine einheitliche Basis für Entscheidungen von den zuständigen Aufsichtsbehörden vorhanden ist, hat der Europäische Datenschutzausschuss (EDSA, engl. EDPB) Leitlinien zu Entscheidungen nationaler Aufsichtsbehörden veröffentlicht.
Gegenstand dieses Beitrags ist die EDSA Leitlinie 04/2026. Dieser Beitrag stellt dar, in welchen Fällen Aufsichtsbehörden Geldbußen oder Verwarnungen verhängen dürfen.
1. Warum ist das wichtig?
Die Geldbuße nach Art. 83, 58 Abs. 2 lit. k DSGVO ist die schwerwiegendste Maßnahme, die einer Aufsichtsbehörde zur Verfügung steht. Bußgelder für Verstöße nach Art. 83 Abs. 4 DSGVO können bis zu 2% des Jahresumsatzes oder 10 Mio. Euro betragen und bei Verstößen nach Art. 83 Abs. 5 und 6 DSGVO mit bis zu 4% des Jahresumsatzes oder 20 Mio. Euro sogar noch höher liegen.
Eine Verwarnung gem. Art. 58 Abs. 2 lit. b DSGVO beschränkt sich demgegenüber auf die Feststellung, dass eine Verarbeitung gegen die DSGVO verstößt. Sie wird regelmäßig verhängt, wenn die Behörde zu dem Ergebnis kommt, dass ein Verstoß gegen die DSGVO als geringfügig anzusehen ist.
Die Kombination von Verwarnung und Geldbuße für denselben Verstoß ist unzulässig. Die Folgen einer Verwarnung und eines Bußgeldes unterscheiden sich drastisch und schließen sich gegenseitig aus, sodass die Abgrenzung der beiden Sanktionsmechanismen entscheidende Relevanz für Unternehmen hat.
2. Wann kommt ein Bußgeld überhaupt in Betracht?
Ein Bußgeld setzt voraus, dass Verantwortliche oder Auftragsverarbeiter wenigstens fahrlässig gegen eine bußgeldbewährte Vorschrift der DSGVO verstoßen.
a) Verstoß gegen bußgeldbewährte Vorschrift der DSGVO
Es braucht zunächst einen Verstoß gegen die DSGVO, der ein Bußgeld nach sich ziehen kann. Art. 83 Abs. 4 bis 6 DSGVO haben Normen der DSGVO zum Gegenstand, deren Nichteinhaltung ein Bußgeld zur Folge haben kann. Nur Art. 10 und Art. 24 DSGVO sind dort nicht genannt. Art. 24 DSGVO konkretisiert die Rechenschaftspflicht des Verantwortlichen aus Art. 5 Abs. 2 DSGVO, sodass bei einer Verletzung der Vorschrift des Art. 24 DSGVO auch eine bußgeldbewährte Verletzung des Art. 5 Abs. 2 DSGVO gegeben sein sollte.
Da Mitgliedstaaten im Verhältnis zur DSGVO schärfere Datenschutzregeln erlassen können, dürfen sie für diese Vorschriften Sanktionen im nationalen Recht vorsehen. Deutschland hat von dieser Möglichkeit keinen Gebrauch gemacht, sodass bei Verstößen gegen die Normen kein Bußgeld möglich ist. Ein Bußgeld scheidet daher praktisch nur bei Verstößen gegen Art. 10 DSGVO aus.
b) Möglicher Adressat eines Bußgeldbescheid
Im nächsten Schritt stellt die Behörde fest, ob derjenige, der gegen die DSGVO verstoßen hat, Adressat eines Bußgeldbescheides sein kann. Das kann im Falle von öffentlichen Behörden je nach Mitgliedstaat problematisch sein. Private Unternehmen sind als Verantwortliche (Art. 4 Nr. 7 DSGVO) oder Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) unproblematisch Adressaten eines Bußgeldes.
c) Verschulden des Verantwortlichen oder Auftragsverarbeiters
Die Verhängung eines Bußgeldes setzt ein Verschulden des Verantwortlichen oder Auftragsverarbeiters voraus. Hierfür reicht es aus, dass der Adressat wenigstens fahrlässig gegen die DSGVO verstößt. Fahrlässigkeit ist bereits dann gegeben, wenn der Verantwortliche oder Auftragsverarbeiter in einer Position war, in der er hätte erkennen können, dass sein Verhalten gegen die DSGVO verstößt. Dabei werden hohe Anforderungen an die von den Unternehmen einzuhaltende Sorgfalt gestellt. Sie müssen sich selbstständig über für sie geltende Bestimmungen informieren und bei Änderungen ihre Prozesse anpassen.
Unvermeidbarkeit und damit keine Fahrlässigkeit liegt nur in sehr seltenen Ausnahmefällen vor. Gerade wenn es veröffentlichte Leitlinien des EDSA gibt, wird ein Verstoß als vermeidbar bewertet. Liegt eine solche Leitlinie oder auch rechtliche Fachliteratur nicht vor, heißt dies im Umkehrschluss jedoch nicht, dass ein Verstoß grundsätzlich unvermeidbar gewesen ist. Entscheidend ist lediglich, ob der Verantwortliche die Möglichkeit hatte, sich dieser Verpflichtung bewusst zu werden. Ein Verstoß gegen die DSGVO ist insbesondere auch dann nicht unvermeidbar, wenn
- Unternehmen aus Unwissenheit die DSGVO verletzen
- sich die Rechtslage ändert und Unternehmen hiervon keine Kenntnis nehmen oder
- Unternehmen sich intern oder extern rechtlich beraten lassen, die Einschätzung aber nicht der Ansicht der Aufsichtsbehörde entspricht.
Vorsatz hinsichtlich des Verstoßes ist demgegenüber keine Voraussetzung für die Verhängung eines Bußgeldes, sondern nur ein Abwägungskriterium im Rahmen der Abwägung zwischen Geldbuße und Verwarnung (siehe 3.).
3. Abwägung der Aufsichtsbehörde zwischen Geldbuße und Verwarnung
Die Entscheidung über die Verhängung eines Bußgeldes steht im Ermessen der Aufsichtsbehörde.
Das bedeutet, sie hat einen Entscheidungsspielraum, ob sie eine Verwarnung oder ein Bußgeld verhängt. In diese Entscheidung bezieht sie die Kriterien des Art. 83 Abs. 2 lit. a bis k DSGVO ein. Entscheidend ist, ob sie nach diesen Kriterien zu dem Ergebnis kommt, dass ein geringfügiger Verstoß vorliegt. Bei einem geringfügigen Verstoß ist regelmäßig nur eine Verwarnung auszusprechen. Ist der Verstoß dagegen erheblich, ist regelmäßig ein Bußgeld zu verhängen.
| Kriterien | Verstoß geringfügig = Verwarnung, Art. 58 Abs. 2 lit. b DSGVO | Verstoß erheblich = Bußgeld, Art. 83 DSGVO i.V.m. Art. 58 Abs. 2 lit. k DSGVO |
| Art, Schwere und Dauer des Verstoßes im Verhältnis zum Zweck der Verarbeitung sowie Anzahl betroffener Personen und Höhe des Schadens | bspw. kurzweiliger Verstoß mit geringen Auswirkungen auf wenige betroffene Personen im Rahmen einer Verarbeitung aufgrund einer gesetzlichen Verpflichtung | bspw. schwerwiegender und lang anhaltender Verstoß mit weitreichenden Auswirkungen und einer Vielzahl betroffener Personen im Rahmen einer Verarbeitung zu Werbezwecken |
| Grad des Verschuldens | Eher bei Fahrlässigkeit | Eher bei Vorsatz |
| Maßnahmen der Schadensminderung ergriffen | Unverzügliche Bemühungen zur Schadensminderung | Gar keine oder verzögerte Bemühungen zur Schadensminderung |
| Anpassung von technischen und organisatorischen Maßnahmen (TOMs) oder verstärkte Pseudonymisierung nach einem Verstoß | Anpassung der TOMs, die über die gesetzliche Verpflichtung hinausgeht, verstärkte Pseudonymisierung → Dokumentieren und Einreichen bei der Aufsichtsbehörde | Bloße Wiederherstellung von Konformität durch Anpassung der TOMs oder erstmalige Implementierung von TOMs |
| Vorherige Verstöße | Erstmaliger Verstoß oder Verstoß liegt weit in der Vergangenheit | Bei wiederholten Verstößen (je mehr sich Verstöße ähneln und je näher sie zeitlich beieinander liegen, desto eher liegt ein Bußgeld nahe) |
| Kooperationsbereitschaft mit Behörden | Mitwirkung, die über das gesetzlich verpflichtende Ausmaß hinausgeht (bspw. besondere Mitwirkung während einer Untersuchung begrenzt nachweislich die Auswirkungen des Verstoßes) | Mitwirkung im Rahmen dessen, was gesetzlich vorgeschrieben ist |
| Art der betroffenen personenbezogenen Daten | Keine/wenige sensible Daten im Sinne von Art. 9 DSGVO betroffen | Je mehr sensible Daten im Sinne von Art. 9 DSGVO, desto eher Bußgeld |
| Kenntniserlangung der Aufsichtsbehörde | Meldung des Verstoßes durch das Unternehmen selbst | Kenntnis durch eigene Untersuchung der Aufsichtsbehörde gem. Art. 58 Abs. 1 DSGVO oder Beschwerde einer betroffenen Person gem. Art. 77 Abs. 1 DSGVO |
| Vorherige Maßnahmen der Aufsichtsbehörde | Auf vorherige Maßnahmen (bspw. Warnung und Anweisungen) wurde reagiert und diese wurden in einem über die gesetzliche Verpflichtung hinaus erfüllt | Keine Reaktion oder den gesetzlichen Anforderungen entsprechende Reaktion auf vorherige Maßnahmen der Aufsichtsbehörde |
| Freiwillige Unterwerfung unter branchenspezifischen Code of Conduct (CoC) und Sanktionierung im Rahmen des CoC | Nach CoC zuständige Stelle hat Sanktionen für den Verstoß gegen den CoC aufgrund desselben Verhaltens verhängt | Keine Unterwerfung unter einen CoC oder zuständige Stelle verhängt keine oder keine aus Sicht der Behörde ausreichende Sanktion für den Verstoß gegen den CoC aufgrund desselben Verhaltens |
| Die vorgenannten Kriterien sind nicht abschließend (Art. 83 Abs. 2 lit. k DSGVO), sodass die Behörde auch andere Aspekte bei der Abwägung berücksichtigen kann. | ||
4. Wie KREMER LEGAL Ihnen helfen kann
Als Kanzlei mit Schwerpunkt im Digitalrecht unterstützt KREMER LEGAL Sie dabei, die datenschutzrechtlichen Anforderungen umfassend und nachhaltig zu erfüllen. Unser Ziel ist es, Risiken frühzeitig zu erkennen und zu minimieren, damit behördliche Abhilfemaßnahmen wie Verwarnungen und Bußgelder möglichst vermieden werden. Sind Sie bereits mit einem Bußgeldverfahren oder behördlichen Abhilfemaßnahmen konfrontiert, begleiten wir Sie bei der Herstellung datenschutzrechtlicher Konformität und vertreten Ihre Interessen gegenüber den zuständigen Aufsichtsbehörden.
KL/ Beitrag von Nicole Poubants und Nils Grüttner