Wie sind Datenschutzverstöße zu bewerten? Was war die Rolle und Verantwortung des verursachenden Unternehmens? Welche Reaktion bzw. Sanktion ist angemessen? Antworten auf diese Fragen liefern neue Leitlinien des Europäischen Datenschutzausschusses (EDSA) für die Datenschutzaufsichts-Behörden. Wir ordnen die Vorgaben für Unternehmen ein.
Die neuen EDSA-Leitlinien zur Auswahl von Sanktionen und Korrekturmaßnahmen
Mit den Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR vom 17. September 2026 konkretisiert der EDSA, unter welchen Voraussetzungen Datenschutz-Aufsichtsbehörden ein Bußgeld verhängen sollen und wann andere Maßnahmen nach Art. 58 Abs. 2 DSGVO ausreichen.
Die Leitlinien wurden zur öffentlichen Konsultation angenommen und richten sich in erster Linie an die Aufsichtsbehörden. Änderungen sind noch möglich.
Hinweis: Die Leitlinien schaffen keine neuen Bußgeldtatbestände, geben aber bereits jetzt wichtige Hinweise darauf, wie Verstöße künftig bewertet werden dürften.
Bußgelder sind nur eines von mehreren aufsichtsbehördlichen Instrumenten
Die DSGVO stellt den Aufsichtsbehörden verschiedene Mittel zur Verfügung. Dazu gehören Verwarnungen, Anordnungen zur Herstellung rechtmäßiger Zustände, Einschränkungen oder Verbote von Verarbeitungen sowie der Widerruf von Zertifizierungen.
Diese Maßnahmen verfolgen unterschiedliche Ziele. Mit einer Anordnung soll ein rechtswidriger Zustand beendet werden. Ein Bußgeld verfolgt zusätzlich eine sanktionierende und abschreckende Wirkung.
Die Auswahl der Maßnahme erfolgt nicht schematisch. Die Aufsichtsbehörde muss vielmehr prüfen, welche Reaktion im konkreten Einzelfall geeignet, erforderlich und verhältnismäßig ist. Ein Bußgeld ist deshalb weder Automatismus noch Ultima Ratio. Maßgeblich ist stets die Gesamtwürdigung des Verstoßes.
In der Praxis entsteht allerdings teilweise der Eindruck, dass einzelne Aufsichtsbehörden bei der Verhängung von Bußgeldern deutlich zurückhaltender agieren als andere. Gerade deshalb kommt einer nachvollziehbaren und möglichst einheitlichen Anwendung der Leitlinien des EDSA besondere Bedeutung zu.
Die Fünf-Schritte-Prüfung des EDSA
1. Ist der Verstoß überhaupt bußgeldbewehrt?
Zunächst ist festzustellen, ob überhaupt ein Verstoß gegen das Datenschutzrecht vorliegt, der nach Art. 83 DSGVO mit Bußgeld bedroht ist. Das ist eine Selbstverständlichkeit und muss nicht weiter ausgeführt werden.
2. Wer ist Adressat des Bußgelds?
Liegt eine relevante Pflichtverletzung vor, muss geklärt werden, wer die verletzte Pflicht zu erfüllen hatte. In Frage kommen der Verantwortliche und der Auftragsverarbeiter, aber auch eine Zertifizierungs- oder Überwachungsstelle.
Besonders deutlich werden die EDSA-Leitlinien bezüglich der Unternehmensverantwortung. Unternehmen können grundsätzlich auch für Pflichtverletzungen ihrer Beschäftigten oder beauftragter Dienstleister verantwortlich sein. Fehlende Kenntnis der Geschäftsleitung schließt eine Sanktionierung nicht automatisch aus.
Gerade bei Auftragsverarbeitungen ist dies von ganz erheblicher Bedeutung für die Praxis. Auch Fehler, die eindeutig auf Seiten eines Dienstleisters passieren, entlasten den Verantwortlichen nämlich keinesfalls automatisch.
3. War der Verstoß verschuldet?
Ein Bußgeld setzt auch nach Auffassung des EDSA schuldhaftes Verhalten voraus, also Vorsatz oder Fahrlässigkeit.
Für die Praxis liegt die eigentliche Bedeutung der Leitlinien in der Auslegung der Fahrlässigkeit. Die Schwelle ist ausgesprochen niedrig. Es genügt bereits, dass das Unternehmen die Rechtswidrigkeit seines Handelns hätte erkennen können. Tatsächliche Kenntnis eines Verstoßes ist nicht erforderlich und Unternehmen können selbst dann fahrlässig handeln, wenn niemand bewusst gegen die DSGVO verstoßen wollte.
Das Fehlverhalten einzelner Personen ist also viel weniger relevant als weithin angenommen. Im Fokus steht stattdessen die Organisation des Unternehmens. Warum war der Datenschutzverstoß nicht bekannt bzw. warum wurde er nicht vermieden?
Mangelhafte Steuerung, fehlende oder unklare Zuständigkeiten, unzureichende Kontrollen, nicht durchgeführte Risikobewertungen, lückenhafte Dokumentation oder nicht überprüfte Auftragsverarbeiter können schnell zum Vorwurf der Fahrlässigkeit führen.
Die Leitlinien machen auch sehr deutlich, dass externe Beratung keine automatische Entlastung bedeutet. Die Beauftragung von Rechtsanwälten, Datenschutzberatern oder spezialisierten Dienstleistern verlagert die Verantwortung nicht auf Dritte. Die Unternehmensleitung bleibt verpflichtet, die Datenschutzorganisation zu steuern, Risiken zu überwachen und rechtliche Anforderungen wirksam umzusetzen. Sie hat auch die Pflicht, ihr erteilten Rat kritisch zu bewerten und ggf. zu hinterfragen.
Das ist kein neuer Gedanke und nicht überraschend. Die Pflicht zur Steuerung und Kontrolle kann nicht delegiert werden.
Für Unternehmen ist dies die wichtigste Aussage der EDSA-Leitlinien. Fahrlässigkeit wird eher Regelfall als Ausnahme sein und wer sich entlasten will, muss im Ernstfall belegen, dass angemessene und wirksame organisatorische, technische und rechtliche Maßnahmen bestanden.
4. Handelt es sich um einen geringfügigen Verstoß?
Erst wenn die genannten Voraussetzungen für die Verhängung eines Bußgeldes vorliegen, folgt die eigentliche Auswahlentscheidung. Nun sollen die Kriterien des Art. 83 Abs. 2 DSGVO bewertet werden.
Dazu gehören unter anderem:
- Art, Schwere und Dauer des Verstoßes
- Vorsatz oder Fahrlässigkeit
- Maßnahmen zur Schadensbegrenzung
- Grad der Verantwortung
- frühere Verstöße
- Kooperation mit der Aufsichtsbehörde
- betroffene Datenkategorien
- wirtschaftliche Vorteile aus dem Verstoß
Auf Grundlage dieser Gesamtabwägung ist zu beurteilen, ob lediglich ein geringfügiger Verstoß vorliegt und zumindest grundsätzlich kein Bußgeld verhängt werden soll. Umgekehrt besteht bei nicht mehr geringfügigen Verstößen eine starke Vermutung für die Verhängung eines Bußgelds.
Entscheidend bleibt auch die Gesamtbetrachtung. Eine Vielzahl kleiner Pflichtverletzungen kann zusammengenommen eine Sanktion rechtfertigen. Wenn das Unternehmen wirtschaftlich vom Verstoß profitiert hat, gilt das erst recht.
5. Ist das Bußgeld wirksam, verhältnismäßig und abschreckend?
Abschließend werden die Anforderungen des Art. 83 Abs. 1 DSGVO geprüft: Ein Bußgeld muss wirksam, verhältnismäßig und abschreckend sein.
Der EDSA stellt dabei klar, dass Abschreckung nicht ausschließlich von der Höhe eines Bußgelds abhängt. Ebenso relevant ist die Wahrscheinlichkeit seiner Verhängung. Eine vorhersehbare und konsistente Sanktionspraxis soll Unternehmen dazu bewegen, Datenschutzverstöße gar nicht erst entstehen zu lassen.
Praktische Konsequenzen für Unternehmen
Die Leitlinien zeigen, dass Aufsichtsbehörden künftig bei Verstößen noch sehr viel stärker auf die Qualität des Datenschutzmanagements blicken werden und sich Mängel unmittelbar auf die Bußgeldpraxis auswirken.
Die Frage, ob ein Bußgeld verhängt wird, entscheidet sich ggf. bereits vor dem Datenschutzverstoß, nämlich schon bei der Organisation des Datenschutzes.
Wer Risiken systematisch bewertet, Verantwortlichkeiten festlegt, Entscheidungen dokumentiert, Dienstleister kontrolliert und die Einhaltung datenschutzrechtlicher Anforderungen aktiv steuert, reduziert damit nicht nur die Wahrscheinlichkeit eines Verstoßes an sich, sondern verbessert auch die eigene Position in einem etwaigen Bußgeldverfahren.
Aus Sicht von Verantwortlichen ist ein nachweisliches Datenschutz- bzw. Compliance-Management essenziell:
- dokumentierte Risikobewertungen,
- gesteuerte und überwachte Prozesse,
- klare Verantwortlichkeiten und Aufgaben,
- belastbare Auswahl- und Kontrollprozesse für Auftragsverarbeiter,
- nachvollziehbar dokumentierte Entscheidungen,
- wirksame Maßnahmen zur Schadensbegrenzung,
- strukturierte Zusammenarbeit mit Aufsichtsbehörden.
Die Leitlinien bestätigen einen Grundsatz, der von vielen Verantwortlichen noch nicht ausreichend wahrgenommen wird. Datenschutz ist keine Dokumentationsaufgabe und auch keine Frage einzelner Maßnahmen. Entscheidend ist, ob die Organisation ihre Pflichten wirksam steuert, überwacht und dies im Bedarfsfall auch nachweisen kann.
Genau daran wird sich künftiger wohl noch häufiger entscheiden, ob ein Verstoß mit einer Rüge endet oder doch mit einem Bußgeld.