Bußgeld oder Verwarnung: Wie Aufsichts­behörden künftig entscheiden sollen

Grundregel der Leitlinien

Bei geringfügigen Verstößen soll die Behörde nach den Leitlinien in der Regel von einer Geldbuße absehen und stattdessen etwa eine Verwarnung aussprechen. Sofern der Verstoß nicht geringfügig ist, besteht nach den Leitlinien eine starke Vermutung für die Verhängung eines Bußgelds. Die Leitlinien stützen sich hierbei auf Erwägungsgrund 148 der DSGVO, der bei geringfügigen Verstößen ausdrücklich eine Verwarnung anstelle einer Geldbuße zulässt.

Die Behörde folgt dabei einem festgelegten Verfahren, das fünf Schritte umfasst. Zunächst wird geprüft, ob der Verstoß bußgeldbewehrt ist. Anschließend wird ermittelt, ob gerade dieses Unternehmen hierfür haftet, etwa als Verantwortlicher oder als Auftragsverarbeiter. Im dritten Schritt wird geprüft, ob Vorsatz oder Fahrlässigkeit vorliegt, da ein Bußgeld ein Verschulden voraussetzt. Im Anschluss daran prüft die Behörde anhand der Kriterien des Art. 83 Abs. 2 DSGVO, ob der Verstoß als geringfügig einzustufen ist. Zuletzt prüft sie, ob ein Bußgeld im Einzelfall wirksam, verhältnismäßig und abschreckend wäre. Die weiteren Abhilfebefugnisse sind in Art. 58 Abs. 2 DSGVO geregelt. Diese umfassen unter anderem die Warnung, die Verwarnung, Anweisungen sowie die Beschränkung oder das Verbot einer Verarbeitung.

Niedrige Schwelle für Fahrlässigkeit

Die Schwelle für ein Verschulden ist niedrig, da nach den Leitlinien bereits ein einfacher menschlicher Fehler auf Fahrlässigkeit hindeuten kann. Sollte ein Unternehmen trotz bestehender Zweifel an der Rechtmäßigkeit einer Verarbeitung fortfahren, kann dies als grob fahrlässig betrachtet werden. Ein Irrtum über die Rechtslage entlastet nur dann, wenn er unvermeidbar war, was nach den Leitlinien jedoch sehr selten der Fall sein soll. Bestehen zu einer Frage Leitlinien des EDSA, gilt ein Irrtum sogar stets als vermeidbar und damit mindestens als fahrlässig (Rn. 50).

Auch ein Rechtsgutachten garantiert keinen Schutz vor einem Bußgeld, wie die Fallbeispiele der Leitlinien zeigen. Ein Gutachten, das der vorherrschenden Meinung widerspricht und diese Gegenmeinung selbst erwähnt, entlastet nicht, da dem Unternehmen das Risiko bekannt war. Ebenso wenig entlastet eine interne Bewertung, die der bekannten Auffassung der Aufsichtsbehörde widerspricht. Sofern ein Unternehmen auf externe Beratung verweist, diese jedoch nicht dokumentieren kann, ist dies ohne Wirkung. Auch auf eine dokumentierte Beratung darf sich das Unternehmen nicht blind verlassen. Ich verstehe dies als Aufforderung, Rechtsrat mit vollständigem Sachverhalt einzuholen und festzuhalten, welche Gegenansichten bekannt waren.

Kriterien für einen geringfügigen Verstoß

Einige der 14 Beispiele der Leitlinien demonstrieren, wie ein Verfahren ohne Bußgeld enden kann. In einem Fall hatte ein kleines oder mittleres Unternehmen eine Auskunftsanfrage nicht beantwortet und hielt es für möglich, dass diese in den Spam-Ordner gelangt war. Nachdem die Behörde mit dem Unternehmen Kontakt aufgenommen hatte, entschuldigte es sich umgehend schriftlich und beantwortete die Anfrage. Ein vergleichbarer Vorfall war zuvor nicht vorgekommen. Die zuständige Behörde sah sich veranlasst, eine Verwarnung auszusprechen. In einem anderen Fall wurde durch einen Mitarbeiter versehentlich die Kopie eines Führerscheins per E-Mail an einige andere betroffene Personen versandt. Das Unternehmen meldete den Vorfall umgehend, erstattete der betroffenen Person die Kosten für ein neues Dokument und ließ seine Schutzmaßnahmen durch einen Dritten überprüfen, bevor die Behörde über die Einleitung von Ermittlungen entschied. Die zuständige Behörde hielt in diesem Fall keine Abhilfemaßnahme für verhältnismäßig.

Andere Beispiele zeigen, dass ein einzelner Fehler geringfügig sein kann, während eine Häufung gleichartiger Fehler nicht mehr geringfügig ist und schwerwiegendere Konsequenzen nach sich ziehen kann. Ein Unternehmen, das wiederholt Löschanträge nicht umsetzte, erhielt zunächst eine Verwarnung und nach weiteren Beschwerden ein Bußgeld. Nachdem festgestellt wurde, dass die verspätete Erteilung von Auskünften durch einen Telekommunikationsanbieter kein Einzelfall war, leitete die Behörde ein Bußgeldverfahren gegen diesen ein. Hat ein Unternehmen durch den Verstoß finanzielle Vorteile erlangt, kann dies nach den Leitlinien erheblich gegen einen geringfügigen Verstoß sprechen (Rn. 106).

Die gewöhnliche Zusammenarbeit mit der Behörde ist gemäß Art. 31 DSGVO verpflichtend und wirkt deshalb nicht mildernd (Rn. 90). Eine darüber hinausgehende Zusammenarbeit, die nachteilige Folgen für die betroffenen Personen verhindert oder begrenzt hat, kann ausnahmsweise mildernd wirken (Rn. 91). Dies gilt ebenso für Meldungen. Eine Meldung aus eigenem Antrieb kann zugunsten des Unternehmens berücksichtigt werden, sofern die Behörde von dem Verstoß noch keine Kenntnis hatte. Erfüllt ein Unternehmen dagegen lediglich eine gesetzliche Pflicht, etwa durch die Meldung einer Datenpanne nach Art. 33 DSGVO, wirkt sich dies nicht zu seinen Gunsten aus. Die Leitlinien bewerten eine solche Meldung neutral (Rn. 95 f.).

Besonderheiten im deutschen Recht

Gemäß dem Bundesdatenschutzgesetz können gegen Behörden und sonstige öffentliche Stellen des Bundes keine Geldbußen verhängt werden (§ 43 Abs. 3 BDSG). Eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung nach Art. 34 Abs. 1 DSGVO darf zudem in einem Bußgeldverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden (§ 43 Abs. 4 BDSG). Zweck der Vorschrift ist es, zu verhindern, dass die Meldepflicht zu einer Pflicht zur Selbstbelastung wird. Der Beitrag Datenpanne nach DSGVO: Was tun in den ersten 72 Stunden? enthält detaillierte Informationen über den Ablauf der Meldung.

Die Leitlinien liegen derzeit erst als Entwurf vor. Stellungnahmen können im Rahmen der öffentlichen Konsultation bis zum 13. November 2026 abgegeben werden. Verbände und Unternehmen haben die Möglichkeit, zum Entwurf Fälle beizusteuern, die für ihre Branche typisch sind.

Auswirkungen auf die Zahl der Bußgelder

Ich gehe davon aus, dass die neuen Leitlinien nicht zu einer Steigerung der verhängten Bußgelder führen werden. Bußgeldverfahren wird es dennoch weiterhin geben, allerdings aus einem anderen Grund. Die Praxis der DSGVO entwickelt sich weiter, wodurch neue Fragen entstehen. Dies führt immer wieder dazu, dass Unternehmen rechtliche Grauzonen ausreizen, was wiederum zu Bußgeldverfahren führt.

Empfehlungen für Unternehmen

Für Unternehmen ergeben sich aus den Leitlinien folgende Empfehlungen:

1. Für Auskunft, Löschung und den Umgang mit Datenpannen sollte ein fester, dokumentierter Ablauf etabliert werden. Die Leitlinien werten gehäufte gleichartige Fehler als Hinweis auf eine Ursache im Ablauf. Ein dokumentierter Ablauf ist dabei von Vorteil, um den Nachweis zu erbringen, dass es sich um einen Einzelfall handelt.
2. Es ist erforderlich, dass die EDSA-Leitlinien zu den eigenen Kernthemen bekannt sind. Soweit solche Leitlinien bestehen, kann sich ein Unternehmen nicht mehr auf Unkenntnis der Rechtslage berufen.
3. Bei der Einholung von Rechtsrat sollte dokumentiert werden, mit welchem Sachverhalt angefragt wurde, welche Antwort erteilt wurde und welche Gegenansichten bekannt waren.
4. Nach einem Fehler ist es unerlässlich, dass das Unternehmen unverzüglich handelt, die betroffenen Personen informiert und entlastet, den Fehler behebt, die Ursache prüfen lässt und alle Schritte dokumentiert. In den Beispielen der Leitlinien gab dies häufig den Ausschlag.
5. In Anhörungen ist es unerlässlich, dass das Unternehmen vollständig antwortet und die ergriffenen Maßnahmen belegt. Die Behörde kann mildernde Umstände nur berücksichtigen, wenn sie von ihnen Kenntnis erhält.

Der Selbsttest zum Datenschutz-Check gibt einen Überblick über den aktuellen Stand der Umsetzung.